Verificações de privacidade no Ads Data Hub

A privacidade do usuário final é a prioridade e a base do Ads Data Hub. Para manter essa privacidade e ajudar nossos clientes a seguir os regulamentos, exigimos algumas verificações e restrições que têm como objetivo impedir a transmissão de informações sobre usuários individuais¹ nos dados que você recebe da plataforma.

Termo principal: linhas filtradas são as omitidas dos resultados devido a restrições de privacidade.

Confira uma visão geral dos recursos de privacidade do Ads Data Hub e mais detalhes nas seções a seguir:

• As verificações estáticas analisam as declarações nas suas consultas para procurar questões de privacidade óbvias e imediatas.
• Os orçamentos de acesso aos dados limitam quantas vezes é possível acessar determinadas informações.
• As verificações de agregação garantem que cada linha tenha um número suficiente de usuários para proteger a privacidade do usuário final.
• As verificações de diferenças (ou "verificações de diff") comparam conjuntos de resultados para impedir que você colete informações sobre usuários individuais comparando dados de vários conjuntos de usuários.
• A injeção de ruído é uma alternativa às verificações de diferenças. Adicionar ruído aleatório a uma cláusula SELECT de agregação de uma consulta protege a privacidade do usuário e oferece resultados precisos. Com isso, não é mais preciso verificar as diferenças, além de reduzir o limite de agregação necessário para a saída.

Quando o resultado não é aprovado nas verificações de privacidade, o Ads Data Hub mostra ou retorna uma mensagem de privacidade informando que uma linha foi filtrada. Isso pode ser de uma única linha a um conjunto de resultados inteiro. Para garantir a precisão dos valores totais nos relatórios, use um resumo da linha filtrada para contabilizar os dados das linhas descartadas².

Observação: sempre que possível, use dados do sandbox para iterar e testar consultas. As atividades que usam dados do sandbox não contribuem para violações das verificações de diferenças.

Verificações estáticas

As verificações estáticas buscam, nas instruções das consultas, questões de privacidade óbvias e imediatas. Por exemplo, exportação de identificadores dos usuários ou qualquer função desses identificadores, ou uso de funções não permitidas em campos que contêm dados do usuário. Para evitar erros de consulta nas verificações estáticas, revise as práticas recomendadas e entenda quais funções são permitidas.

Orçamento de acesso aos dados

Seu orçamento de acesso aos dados limita o número de vezes que é possível acessar determinados dados. Os usuários que estiverem no fim do orçamento serão notificados por uma mensagem de privacidade do tipo DATA_ACCESS_BUDGET_IS_NEARLY_EXHAUSTED. Monitore o orçamento usando o orçamento de acesso aos dados ponto de entrada ou acompanhando as notificações na interface.

Requisitos de agregação

O limite de agregação de usuários é o foco das verificações de privacidade do Ads Data Hub. Na maioria das consultas, só é possível receber dados de relatórios de 50 usuários ou mais. No entanto, as consultas que só acessam cliques e conversões podem ser usadas para gerar relatórios sobre 10 usuários ou mais.

• Eventos com IDs de usuários zerados são contabilizados como um único usuário para o limite de agregação, não importa quantos usuários reais criaram os eventos.
• Usuários com IDs nulos não são contabilizados no limite de agregação.
• Saiba como o modo de ruído afeta os requisitos de agregação.

Prática recomendada: configure um resumo da linha filtrada para gerar relatórios sobre os dados que foram omitidos. Isso ajuda a manter um valor de referência consistente nos relatórios.

No exemplo a seguir, a linha que contém a campanha 125 é filtrada dos resultados finais por agregar resultados de 48 usuários, ou seja, menos que o mínimo de 50 usuários.

ID da campanha	Usuários	Impressões
123	314	928
124	2718	5772
125	48	353

Modos de privacidade

O Ads Data Hub oferece dois modos de privacidade: verificações de diferenças e injeção de ruído. As seções a seguir descrevem e comparam esses modos.

Usar verificações de diferenças

Aviso: de acordo com as políticas do Ads Data Hub, não desagregue dados para tentar remover a ambiguidade dos conjuntos de usuários que não atendem aos nossos requisitos de agregação.

As verificações de diferenças garantem que os usuários não sejam identificados pela comparação de vários resultados suficientemente agregados das seguintes maneiras:

• Elas comparam os resultados da atividade que você está executando com os anteriores.
• Elas comparam linhas no mesmo conjunto de resultados.

Se você fizer mudanças nos dados entre uma atividade e outra, talvez ocorram violações das verificações de diferenças. Ao comparar os resultados de uma atividade com os anteriores, o Ads Data Hub procura vulnerabilidades nos usuários individuais. Por isso, mesmo os resultados de campanhas diferentes ou aqueles que registram o mesmo número de usuários poderão ser filtrados se tiverem um grande número de usuários sobrepostos.

Por outro lado, dois conjuntos de resultados agregados podem ter o mesmo número de usuários e parecer idênticos, mas não compartilhar usuários individuais. Dessa forma, há proteção da privacidade, e eles não são filtrados.

O Ads Data Hub usa dados dos resultados históricos ao considerar a vulnerabilidade de um novo resultado. Isso significa que executar a mesma consulta várias vezes cria mais dados para as verificações de diferenças usarem na hora de considerar a vulnerabilidade de um novo resultado. Além disso, os dados podem mudar, o que leva a violações das verificações de privacidade em consultas consideradas estáveis.

**Dica**: sempre que possível, use dados do sandbox para iterar e testar consultas. As atividades que usam dados do sandbox não contribuem para violações das verificações de diferenças.

Quando os resultados da atividade diferem, mas uma linha individual é semelhante a outra de uma atividade anterior, o Ads Data Hub filtra a linha semelhante. Neste exemplo, a linha que contém a campanha 123 nos resultados da segunda atividade será filtrada porque é diferente do resultado anterior de um único usuário.

Job 1 ID da campanha Usuários 123 400 124 569

Job 2 ID da campanha Usuários 123 401 224 1325

Quando a soma dos usuários em todas as linhas de um conjunto de resultados é semelhante à de um job anterior, o Ads Data Hub filtra todo o conjunto. Neste exemplo, todos os resultados do segundo job serão filtrados.

Job 1 ID da campanha Usuários 123 400 124 1367

Job 2 ID da campanha Usuários 123 402 124 1367

Usar injeção de ruído

Injeção de ruído é uma técnica usada para proteger a privacidade do usuário ao consultar um banco de dados. Ela adiciona um ruído aleatório à cláusula SELECT de agregação de uma consulta. Esse ruído protege a privacidade do usuário e fornece resultados razoavelmente precisos, eliminando a necessidade de realizar verificações de diferenças e reduzindo o limite de agregação necessário para a saída. A maioria das consultas atuais pode ser executada em modo de ruído, com algumas limitações. Para saber mais sobre o modo de ruído e como a injeção de ruído afeta as normas de privacidade, consulte Injeção de ruído.

Comparar verificações de diferenças com injeção de ruído

Dados reais ID da campanha Contagem de impressões 101 35 102 63 201 142 202 21 301 56 302 99	Resultados usando verificações de diferenças ID da campanha Contagem de impressões 101 35 102 63 201 142 202 21 301 56 302 99
Resultados usando injeção de ruído ID da campanha Contagem de impressões 101 37,8373 102 60,9104 201 182,0955 202 26,2332 301 58,0871 302 97,5018	Exemplo da campanha 101 no modo de ruído ID da campanha Impressões reais Ruído adicionado Impressões retornadas (ANON_COUNT) 101 35 2,8373 37,8373

Resumo das linhas filtradas

Resumos das linhas filtradas: listam os dados que foram filtrados devido a verificações de privacidade. Os dados das linhas com filtros são somados e adicionados a uma linha agregadora. Os dados filtrados não podem mais ser analisados. No entanto, eles fornecem um resumo da quantidade de informação que foi filtrada e descartada.

Observação: os requisitos de agregação são válidos para os resumos de linhas filtradas. Se o resultado do resumo de linhas filtradas não atender aos requisitos de agregação, o próprio resumo vai ficar no filtro.

Filtragem de privacidade explícita

Nos casos em que você precisa dividir a consulta, mas quer combinar os resultados agregados, é possível aplicar verificações de privacidade explicitamente a várias consultas menores e, em seguida, agregar esses resultados de maneira segura para a privacidade.

Exemplos de casos de uso:

• Você é um anunciante que procura todas as conversões por tipo de evento de atribuição na sua conta vinculada do Google Ads, que inclui dados do EEE.
• Você é um parceiro de medição que procura todas as conversões por tipo de evento de atribuição na sua conta vinculada do Google Ads.

Para receber a soma das conversões da sua conta do Google Ads, você pode reescrever a consulta usando uma cláusula OPTIONS(privacy_checked_export=TRUE) para aplicar verificações de privacidade a cada Serviço do Google individualmente.

O exemplo de reescrita nesta seção faz o seguinte:

1. Consulta cada Serviço do Google individualmente, aplicando verificações de privacidade explicitamente a cada conjunto de resultados intermediários.
2. Cria uma tabela temporária separada para os resultados verificados de privacidade de cada Serviço do Google: YouTube, Gmail e Rede.
3. Agrega e soma as contagens de conversão verificadas de privacidade das tabelas temporárias.

CREATE TEMP TABLE youtube_agg OPTIONS(privacy_checked_export=TRUE) AS
SELECT
 impression_data.campaign_id,
 attribution_event_type,
 COUNT(1) AS num_convs
FROM adh.google_ads_conversions_policy_isolated_youtube
WHERE impression_data.campaign_id IN UNNEST(@campaign_ids)
 AND conversion_type IN UNNEST(@conversion_type_list)
GROUP BY campaign_id, attribution_event_type;

CREATE TEMP TABLE network_agg OPTIONS(privacy_checked_export=TRUE) AS
SELECT
 impression_data.campaign_id,
 attribution_event_type,
 COUNT(1) AS num_convs
FROM adh.google_ads_conversions_policy_isolated_network
WHERE impression_data.campaign_id IN UNNEST(@campaign_ids)
 AND conversion_type IN UNNEST(@conversion_type_list)
GROUP BY campaign_id, attribution_event_type;

CREATE TEMP TABLE gmail_agg OPTIONS(privacy_checked_export=TRUE) AS
SELECT
 impression_data.campaign_id,
 attribution_event_type,
 COUNT(1) AS num_convs
FROM adh.google_ads_conversions_policy_isolated_gmail
WHERE impression_data.campaign_id IN UNNEST(@campaign_ids)
 AND conversion_type IN UNNEST(@conversion_type_list)
GROUP BY campaign_id, attribution_event_type;

SELECT
 campaign_id,
 attribution_event_type,
 SUM(num_convs) AS num_convs
FROM (
 SELECT * FROM youtube_agg
 UNION ALL
 SELECT * FROM network_agg
 UNION ALL
 SELECT * FROM gmail_agg
)
GROUP BY campaign_id, attribution_event_type

Essa consulta não usa um JOIN para combinar dados diretamente entre as tabelas, mas executa a consulta para cada tabela primeiro, aplica verificações de privacidade a cada tabela intermediária e, em seguida, usa um UNION para somar os valores verificados de privacidade.

Orientador de consultas

Se o seu SQL é válido, mas pode causar problemas de privacidade, o orientador de consultas mostra ações recomendadas durante o processo de desenvolvimento de consultas para evitar resultados indesejados.

Para usar o orientador de consultas:

• Interface. As recomendações vão aparecer no editor de consultas, acima do texto da consulta.
• API. Use o método customers.analysisQueries.validate.

---

1. Além dos dados que eles permitiram compartilhar, como no caso dos membros do painel. ↩

2. A menos que alguma restrição de privacidade não permita isso, como quando os usuários em um resumo de linhas filtradas não atendem aos requisitos de agregação. ↩