consent-platform-eval

评估同意管理平台

概述

同意管理平台（CMP）是用于处理 Cookie 同意收集、偏好管理、同意记录存储以及向下游系统传递信号的技术层。选择合适的 CMP 对遵守 GDPR、ePrivacy、CCPA/CPRA、LGPD 及其他法规至关重要。IAB Transparency and Consent Framework（TCF）v2.2 认证是面向欧盟广告生态系统运营的 CMP 的一项关键差异化优势。

评估标准

类别 1：法规合规性（权重：30%）

标准	描述	评分
TCF v2.2 认证	CMP 已在 IAB Europe 注册并通过合规审计	欧盟广告业务必备
GDPR 合规性	支持第 7 条的同意要求、第 7(3) 条的撤回要求、第 7(1) 条的记录要求	欧盟业务必备
CCPA/CPRA 支持	支持“Do Not Sell”退出选项、GPC 信号检测及 CPRA 要求	美国业务必备
LGPD 支持	符合巴西数据保护法的同意要求	巴西业务必备
GPC 支持	检测并遵循 Global Privacy Control（Sec-GPC: 1）信号	CA、CO、CT、MT、TX、OR 必备
CNIL 合规性	接受和拒绝选项具有同等显著性、每 6 个月重新征求同意、不得设置 Cookie 墙	法国业务必备
多司法管辖区支持	能够根据用户所在位置应用不同的同意规则	全球业务的关键要求
Cookie 扫描	自动扫描并检测、分类网站上的所有 Cookie	完整性的重要保障

类别 2：技术能力（权重：25%）

标准	描述	评分
API 集成	提供 RESTful API，供后端系统查询同意状态	服务端强制执行的关键要求
标签管理器集成	原生集成 Google Tag Manager、Tealium、Segment	减少实施工作量
SDK 可用性	提供移动 SDK（iOS、Android）和服务端 SDK	移动应用必备
性能	对页面加载的影响（目标：额外延迟 <100ms）	对用户体验至关重要
自定义	可自定义 UI（颜色、布局、语言、按钮文字）	保持品牌一致性的重要因素
A/B 测试	内置同意横幅实验功能（须符合合规要求）	优化的重要手段
地理定位	准确检测用户位置，以应用特定司法管辖区的规则	多区域运营的关键要求
TC String 生成	生成 IAB TC String，以集成广告技术生态系统	广告业务必备

类别 3：同意记录管理（权重：20%）

标准	描述	评分
同意回执	根据第 7(1) 条生成可供审计的同意回执	合规的关键要求
版本控制	跟踪同意文本版本及其变更历史	审计跟踪的重要保障
同意历史记录	保存每位用户的完整历史记录（授予、撤回、重新同意）	支持 DSAR 的关键要求
数据导出	以标准格式（JSON、CSV）导出同意记录	数据可移植性的重要保障
保留期限控制	可配置同意记录的保留期限	数据最小化的重要保障
搜索和查询	按用户、目的、日期范围搜索同意记录	应对 DPA 询问的重要能力
同意证明	可为监管机构的询问生成证据材料包	应对执法调查的关键保障

类别 4：报告与分析（权重：15%）

标准	描述	评分
同意率仪表板	按目的和地区显示实时同意／选择退出率	对监控很重要
趋势分析	随时间变化的历史同意率趋势	对制定策略很重要
合规报告	预先构建的报告，符合 GDPR、CCPA 要求	对 DPO 很重要
自定义报告	创建自定义报告和仪表板的能力	有则更好
警报	针对异常同意模式（骤降、激增）发出警报	对事件检测很重要
GPC 报告	GPC 信号检测率及采取措施的报告	CPRA 合规所必需

类别 5：供应商与支持（权重：10%）

标准	描述	评分
数据处理协议	提供符合 GDPR 的 DPA	强制要求
数据驻留	提供欧盟数据托管（用于同意记录）	欧盟业务运营所必需
子处理方	公开透明的子处理方名单	第 28 条要求
SLA	正常运行时间 SLA（目标：99.9%+）	对可用性至关重要
支持	专属支持、隐私专业知识、实施指导	很重要
定价模式	定价透明（按页面浏览量、按域名、统一费率）	对预算规划很重要

供应商对比矩阵

功能	OneTrust	Cookiebot	Usercentrics	Didomi	Quantcast Choice
通过 TCF v2.2 认证	是	是	是	是	是
符合 GDPR	完全符合	完全符合	完全符合	完全符合	完全符合
支持 CCPA/CPRA	是	是	是	是	是
检测 GPC	是	是	是	是	是
支持 LGPD	是	有限	是	是	有限
符合 CNIL 要求	是	是	是	是	是
多司法管辖区	100+ 个国家/地区	50+ 个国家/地区	50+ 个国家/地区	40+ 个国家/地区	30+ 个国家/地区
Cookie 扫描器	自动化	自动化	自动化	自动化	自动化
API	REST + GraphQL	REST	REST	REST + GraphQL	REST
移动 SDK	iOS + Android	有限	iOS + Android	iOS + Android	有限
GTM 集成	原生	原生	原生	原生	原生
A/B 测试	内置	通过 API	内置	内置	有限
性能	~80ms	~60ms	~70ms	~75ms	~50ms
同意凭证	符合 Kantara 标准	基础	详细	详细	基础
版本控制	是	是	是	是	是
数据导出	JSON、CSV、API	CSV	JSON、CSV、API	JSON、CSV	CSV
同意仪表板	高级	基础	高级	高级	基础
欧盟数据托管	是（Frankfurt）	是（Copenhagen）	是（Munich）	是（Paris）	是（Amsterdam）
提供 DPA	标准	标准	标准	标准	标准
SLA	99.99%	99.9%	99.95%	99.9%	99.9%
定价模式	按会话	按域名	按会话	按页面浏览量	免费（基础版）
起始价格	~EUR 300/月	~EUR 9/月	~EUR 50/月	~EUR 50/月	免费版

选择流程

步骤 1：收集需求

根据以下因素确定必备需求：

• 组织运营所在的司法管辖区
• 域名和移动应用的数量
• 是否参与广告生态（是否需要 TCF v2.2？）
• 后端集成需求（API 要求）
• 预算限制

步骤 2：筛选候选名单（3-4 家供应商）

将强制标准作为筛选条件：

• TCF v2.2 认证（若在欧盟广告技术领域运营）
• 支持 GPC（若面向美国消费者提供服务）
• 欧盟数据托管（若数据驻留政策有此要求）

步骤 3：概念验证（每家供应商 2 周）

针对每家入围供应商：

• 在预发布环境中实施
• 测试所有同意流程（接受、拒绝、管理、撤回）
• 衡量页面加载影响
• 测试与后端系统的 API 集成
• 验证同意记录符合第 7(1) 条要求
• 测试多司法管辖区逻辑（欧盟与美国、巴西）

步骤 4：评分与选择

根据加权标准为每家供应商评分。计算加权总分。选择得分最高且满足所有强制要求的供应商。

CloudVault SaaS Inc. 的选择

评估五家供应商后，CloudVault SaaS Inc. 基于以下原因选择了 Usercentrics：

• 完全通过 TCF v2.2 认证
• 提供原生 iOS 和 Android SDK（对 CloudVault 移动应用至关重要）
• 内置 A/B 测试，且符合 CNIL 合规边界
• 提供强大的 API，可在服务端查询同意状态
• 在慕尼黑托管欧盟数据（与主要客户处于同一司法管辖区）
• 针对页面浏览量提供有竞争力的定价

主要监管参考资料

• IAB TCF v2.2 规范 — CMP 认证和要求
• GDPR 第 7 条 — 同意条件（CMP 必须支持）
• GDPR 第 28 条 — 处理者要求（CMP 作为处理者）
• CPRA 第 1798.135(e) 条 — GPC 信号识别
• CNIL 第 2020-091 号审议 — Cookie 同意技术要求
• LGPD（Lei 13.709/2018）— 巴西同意要求
• ePrivacy 指令第 5(3) 条 — Cookie 同意依据