同意、隐私与 CSP

同意

追踪遵循 Shopify 的 Customer Privacy API，也就是访客在你店铺的隐私选择：

没有营销同意，不向任何广告平台推送，事件仍然入库，订单上标记为 No consent；
GA4 按分析同意处理，并在事件里带上 Consent Mode 的选择；
Global Privacy Control（浏览器发出的 Sec-GPC）和美国的“不出售个人信息”会开启 Meta 的 Limited Data Use，并关闭广告个性化；
结账像素需要在 Shopify 后台把 Customer privacy 设为需要 Marketing 权限，访客未同意时 Shopify 不会加载它。

个人信息

结账事件里的邮箱、电话、姓名、地址在到达 Gosper 时立即哈希，按各平台的规范化规则处理。明文不落库。
浏览器侧的 Meta 高级匹配由 Meta 自己的 SDK 处理哈希。
会存储的身份类信息是广告平台的 cookie 标识与点击 id（如 _fbp、fbclid、gclid、ttclid），用于匹配和归因。
日志只记录事件类型、状态和耗时，不记录消息内容或明文个人信息。

需要放行的域名

开启浏览器像素时，店面的 CSP 必须放行已启用平台的域名。管理页会按你实际启用的平台列出来，只需要把它们加进 defaultSrc 和 connectSrc。关闭浏览器像素则无需改动。

用 npx gosper-tracking check https://你的店铺域名 可以核对线上 CSP 是否缺少域名。

店面使用的 _gosper_vid 等标识写在你自己的域名下（一方 cookie），并在每次请求时续期，因此不受 Safari 等浏览器对第三方 cookie 的限制。购物车属性把这些标识带到结账页，即使结账在另一个浏览器里完成（例如外部支付跳转）也能对上。

数据保留

原始投递记录保留 90 天；
事件、触点和订单保留 400 天；
购物车快照保留 30 天。

删除一个店铺会连同它的数据一起删除。

你需要告诉访客什么

Gosper 代你把数据发给你自己配置的广告平台，你是数据的控制者。请确认你的隐私政策和同意横幅涵盖了这些平台，以及你启用的浏览器像素。