Geolocalização por IP em anúncios e privacidade
A geolocalização por IP para segmentação de anúncios significa mapear o endereço IP de um visitante a um local aproximado, geralmente um país, uma região ou uma cidade, para que um sistema de anúncios decida qual campanha exibir. Funciona sem cookies ou permissões do dispositivo, e por isso é popular, mas também é uma estimativa de onde uma rede está, não uma localização precisa de uma pessoa.
A mecânica é simples. Uma requisição chega, o servidor de anúncios consulta o endereço em um conjunto de dados de geolocalização e o resultado (país, região, cidade, às vezes um código postal) alimenta as regras de segmentação: mostrar uma promoção de inauguração a pessoas perto da loja, excluir regiões em que um produto não pode ser vendido legalmente ou escolher uma moeda e um idioma para o criativo. Como o endereço IP já está presente em toda requisição, nenhum dado extra precisa ser coletado do usuário.
Quão precisa é a segmentação de anúncios por IP?
A precisão é a primeira coisa sobre a qual ser honesto. Os resultados em nível de país são geralmente confiáveis. Os resultados em nível de cidade são mais fracos, e qualquer coisa mais fina que uma cidade é, em grande parte, adivinhação, pois o conjunto de dados descreve onde um bloco de endereços está registrado ou roteado, e não em qual casa um dispositivo se encontra. O tráfego móvel costuma sair por gateways situados em uma cidade diferente da do aparelho, e uma rede corporativa ou universitária pode apresentar uma única localização para milhares de pessoas. As razões são tratadas com mais profundidade em por que a precisão por cidade é limitada.
Para quem compra anúncios, isso significa que as regras geográficas devem ser escritas com folga. Segmentar um raio de 5 km a partir de um ponto derivado do IP desperdiça orçamento com pessoas que não estão lá e deixa de fora pessoas que estão. Segmentar uma região metropolitana ou um país é muito mais defensável. Se uma campanha realmente precisa de precisão em nível de rua, ela deve vir de algo que o usuário compartilha explicitamente, como a geolocalização do navegador com permissão, e não do endereço de rede.
Também ajuda verificar a quem o endereço realmente pertence antes de confiar na localização. A consulta de ASN mostra qual organização opera a rede. Se o proprietário é um provedor de hospedagem ou um serviço de VPN, a localização aparente é a do servidor, não a do espectador, e uma impressão segmentada provavelmente está sendo gasta com o público errado. No ipto, a resposta de /v1/ip inclui asn, org, is_datacenter e is_vpn ao lado dos campos de localização, para que você possa descontar essas impressões em uma única chamada.
Privacidade: um endereço IP é dado pessoal?
Em muitas jurisdições, um endereço IP pode contar como dado pessoal, sobretudo quando combinado com outros identificadores ou retido ao longo do tempo. A GDPR europeia trata identificadores online dessa forma em muitos contextos, e outros regimes têm regras comparáveis. Os detalhes variam por país, então leia a discussão da GDPR sobre endereços IP e a visão geral das leis de privacidade em diferentes países, e busque aconselhamento jurídico para a sua situação. Nada aqui é aconselhamento jurídico.
O que importa para o projeto é que a geolocalização pode ser feita de modo a manter a pegada pequena. A consulta de localização em si não exige armazenar o endereço. Um padrão comum é resolver o endereço no momento da requisição, manter apenas o resultado grosseiro (país ou região) e descartar o IP bruto, ou truncá-lo, antes que algo seja gravado em logs ou em um repositório de análises. Passos práticos que decorrem disso:
- Resolva e depois reduza. Armazene o país ou a região de que precisa para segmentação e relatórios, não o endereço completo nem as coordenadas exatas.
- Defina um limite de retenção. Se endereços brutos precisarem ser mantidos por razões de segurança, guarde-os separadamente das análises de anúncios e faça-os expirar em um cronograma.
- Respeite os sinais de consentimento. Onde o consentimento é exigido para publicidade personalizada, a geografia grosseira usada em escolhas contextuais (como idioma ou moeda) é uma finalidade diferente da de construir um perfil, e as duas não devem ser misturadas por acidente no mesmo pipeline.
- Seja transparente. Informe no aviso de privacidade que a localização aproximada é derivada do endereço IP e para que é usada.
- Ofereça uma opção de recusa sempre que suas obrigações ou sua própria política exigirem.
Filtrando o tráfego que não deve ser segmentado
Orçamentos de anúncios vazam para tráfego não humano e mascarado. Endereços de data center, saídas Tor e endpoints de VPN conhecidos não representam um público local. O verificador de VPN, Tor e proxy mostra se um endereço aparece nos dados de feeds de ameaças do ipto, e o verificador de abuso de IP informa a corroboração entre vários feeds. Esses feeds são atualizados a cada 6 horas, e os conjuntos de dados de IP e ASN subjacentes, diariamente. Dois limites importam: os sinalizadores de VPN, Tor e abuso atualmente cobrem apenas intervalos IPv4, então um endereço IPv6 retorna false para eles em vez de um palpite, e o ipto não detecta proxies residenciais, então o tráfego roteado por uma conexão doméstica parecerá uma residência comum.
Uma política sensata é tratar esses sinalizadores como um sinal de ponderação. Exclua os endereços sinalizados dos relatórios de público, não cobre prêmios de localização por eles e mantenha um grupo separado nas suas análises para ver quanto de uma campanha eles representam.
Testando no ipto
Chame GET https://ipto.to/v1/ip sem parâmetro para ver a resposta do seu próprio endereço, ou use /v1/ip/:ip com qualquer endereço para ver país, cidade, ASN e sinalizadores. O serviço é gratuito, sem cadastro, e permite 1.000 requisições por dia, o suficiente para testar uma integração de segmentação com amostras de tráfego real. A lista completa de campos está na documentação da API.
A abordagem equilibrada é usar a geolocalização por IP naquilo que ela faz bem, decisões regionais grosseiras e de baixo atrito, manter os dados retidos no mínimo que essas decisões exigem e ser explícito com os usuários sobre isso. Não vale coletar dados extras para perseguir uma precisão que você não consegue entregar.