Device ID мы видим только когда пользователь уже в приложении, а до этого есть анонимный пользователь, пришедший с рекламы. Как подружить эти два слоя данных между собой?

Свяжите рекламный клик и первый запуск через поддерживаемый канал атрибуции или одноразовый контекст перехода. Один только Device ID не позволяет достоверно восстановить анонимный визит.

На вебе сохраняют идентификатор касания и кампанию; при открытии приложения передают непрозрачный короткоживущий токен через проверяемый deep link, если платформа это поддерживает. При установке понадобится доступный механизм deferred attribution или referrer; обычный параметр URL не обязан пережить магазин приложений. Backend связывает подтверждённый контекст с установкой и позднее с аккаунтом. Неподтверждённые совпадения не выдавайте за точные; учитывайте согласие, ограничения платформы и срок хранения.