Cómo comprar software de prueba A/B compatible con GDPR

Actualización : Convert ahora es totalmente compatible con GDPR. Puede consultar nuestro viaje para lograr el cumplimiento de GDPR aquí.

También estamos comprometidos a ayudar a nuestros clientes a cumplir con el RGPD. Para hacerlo más fácil, estamos emitiendo a todos nuestros usuarios una copia firmada de nuestro Acuerdo de procesamiento de datos (DPA).

Además, estamos siguiendo de cerca los desarrollos en torno a las próximas actualizaciones de las Regulaciones de privacidad electrónica. Como siempre, seremos lo más proactivos posible para garantizar el cumplimiento, tanto para nosotros como para nuestros clientes.

Alerta de spoiler: olvídalo.

No existe una herramienta de prueba A/B compatible.

Es decir, no hay un "certificado" de una herramienta de prueba A/B que garantice que evitará esa demanda de 20 millones de euros de una autoridad de privacidad europea. Pero lo que es posible es que elija una herramienta de prueba diseñada teniendo en cuenta la privacidad. Uno que no te meterá en problemas al usar su configuración predeterminada.

Este artículo lo ayuda a hacer preguntas correctas sobre su proveedor de herramientas de prueba A/B, antes de la fecha de entrada en vigor del RGPD (25 de mayo de 2018). Deconstruiré cada elemento importante en GDPR y el próximo Reglamento de privacidad electrónica (borrador 15333), y le daré una lista de verificación al final.

(Haga clic aquí para ir directamente a la lista de verificación)

En este articulo…

Minimización de datos

El principio de minimización de datos es esencialmente la idea de que, sujeto a excepciones limitadas, una organización solo debe procesar los datos (personales) que realmente necesita para lograr sus propósitos de procesamiento.

RGPD Considerando 39; Art.5(1)(c)
Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que se procesan.

Entonces, ¿cuál es la información mínima necesaria para ejecutar experimentos? Quiero decir, ¿necesita recopilar todos los detalles de la IP, el navegador y la identificación del dispositivo para obtener resultados para su prueba A/B? No. Los está recopilando porque la herramienta puede recopilarlos. Con la privacidad en el fondo de su mente, concéntrese en los elementos que necesita recopilar y no almacene el resto. Lo que es esencial para ejecutar un experimento es:

• variación vista
• Objetivo alcanzado: sí/no (en objetivos de ingresos, recuento de productos e ingresos)

Cuando desee profundizar en los diferentes resultados por subsegmento que necesita, por ejemplo:

• Subsegmento: si/no

La herramienta de prueba A/B en realidad no necesita almacenar una fila de datos para cada usuario final. Lo que necesita almacenar para obtener información es:

• Total de usuarios finales que vieron una variación específica (total y por subsegmento)
• Total de usuarios finales de una variación que desencadenó un objetivo

Y, en un entorno de comercio electrónico:

• Los productos medios por variación y
• El valor medio del pedido por variación...

…que se puede volver a calcular en cada nuevo pedido (sin almacenar los pedidos individuales).

El resto de los datos estadísticos se pueden volver a calcular sobre la marcha sin almacenar filas individuales de datos del usuario final. Esto permite que su herramienta de prueba A/B cumpla con las pautas de minimización de datos y reduce significativamente el riesgo de una violación de la privacidad y la seguridad.

Piénsalo. ¿Qué haría alguien solo con los totales de un experimento? Si no hay datos del usuario final almacenados en su herramienta de prueba A/B, ni siquiera datos seudónimos/hash, no hay forma de que los usuarios finales puedan volver a identificarse.

Los datos personales incluyen la dirección IP

Datos personales, tal como los define el RGPD, si difieren de las definiciones anteriores de información de identificación personal (PII). Ahora, las direcciones IP, las cookies y el ID de usuario son todos datos personales.

Independientemente de cómo te sientas acerca de esa definición, es ley. El 19 de octubre de 2016, el Tribunal de Justicia de la Unión Europea (el “TJUE”) publicó su sentencia en el Caso 582/14 – Patrick Breyer c. Alemania. Sostuvo que las direcciones IP son datos personales en determinadas circunstancias. La sentencia coincide en términos generales con las conclusiones del Abogado General en este caso, de mayo de 2016.

Los datos personales se definen en el artículo 2(a) de la Directiva como “cualquier información relativa a una persona física identificada o identificable ('sujeto de datos'). Una persona identificable es aquella “que puede ser identificada, directa o indirectamente […]” (énfasis añadido). El Grupo de Trabajo del Artículo 29 de la UE proporciona un análisis más detallado de la cuestión de la identificabilidad en su Dictamen 4/2007.

Por lo tanto, las direcciones IP son datos personales. Período. Puede optar por anonimizarlos a menos que reciba el consentimiento explícito del visitante (que es posible que desee evitar). Pero incluso si lo hace, esto siempre estará en el límite del consentimiento y correrá el riesgo de volver a identificarse.

Le sugerimos que no almacene IP en su herramienta de prueba A/B, para mantenerse 100% seguro con esta nueva ley.

Ahora podría preguntarse... si no podemos almacenar direcciones IP, ¿cómo ejecuta la orientación por país?

La solución más sencilla es utilizar la llamada del usuario final para llamar al script de seguimiento e identificar el país. Almacene la combinación de variación/país en un subsegmento pero no conectado a un usuario. Simplemente agregue una vista adicional a ese subsegmento, de modo que se mezcle con los cientos de otros en ese segmento y básicamente solo +1. De nuevo, no hay forma de deconstruir al usuario final individual de la base de datos.

Una nota adicional sobre la geolocalización es que los datos del país en sí son demasiado amplios, pero sus subsegmentos de región, ciudad o código postal requerirán el consentimiento del usuario final. Combinados con otros elementos, pueden ser subsegmentos que son realmente pequeños (¡incluso solo 1 persona!). Entonces, nuevamente, podría almacenar datos personales, y esto requeriría el consentimiento del usuario.

Cookies y datos personales

De acuerdo con GDPR, las cookies también son datos personales. Pero no todas las cookies son iguales. Es posible que algunos requieran el consentimiento del usuario, mientras que otros no. Los detalles serán determinados por las nuevas Regulaciones de privacidad electrónica, una vez que sean aprobadas. Por ahora, tenemos el borrador 15333, que tiene una excepción para el software de análisis web, como las herramientas de prueba A/B.

Las herramientas de prueba A/B están libres de requisitos de consentimiento, siempre y cuando estén “evaluando la eficacia de un servicio de la sociedad de la información entregado”. Pero tan pronto como entra en la orientación muy específica de los usuarios finales, o intenta identificar la naturaleza de quién está usando el sitio web, entonces se está moviendo a un área que requiere consentimiento.

Debe verificar dos veces que las cookies utilizadas por su herramienta de prueba A/B no tengan un identificador único. El identificador único puede hacer que una cookie califique como datos personales.

Si bien el Reglamento de privacidad electrónica (borrador 15333) aún no es una ley, y tiene la intención de cumplir con el RGPD, el RGPD en sí mismo nos brinda alguna orientación sobre qué tipos de cookies, por su naturaleza, implicarán el procesamiento de datos personales. Hay 1 considerando que es clave para esto:

Esto nos dice que las cookies que contienen un identificador único para el dispositivo y/o la persona asociada con el uso del dispositivo deben tratarse como datos personales. Esta idea también se ve reforzada por el Considerando 26, que establece que los datos personales también se definen como datos que pueden usarse razonablemente, solos o junto con otros datos, para identificar a una persona.

Por lo tanto, su herramienta de prueba A/B debe eliminar cualquier identificador único para cumplir con GDPR. Además, nunca almacene el registro individual conectado a una cookie en el lado del servidor. Eso haría que quedara fuera de la excepción en las Regulaciones de privacidad electrónica.

Los identificadores seudónimos (por ejemplo, cadenas de números o letras), que es lo que suelen contener las cookies, también se consideran datos personales. Por lo tanto, según el RGPD, cualquier cookie u otro identificador que se atribuya únicamente a un usuario y, por lo tanto, sea capaz de identificar a una persona, cuenta como procesamiento de datos personales una vez que este identificador se almacena en el lado del servidor.

ID de usuario y datos personales

Almacenar una identificación de usuario específica para un individuo, o cualquier otro identificador que pueda vincular a datos personales individuales... es... lo adivinó... datos personales. Por lo tanto, estos requieren consentimiento y deben evitarse (el considerando 30 también se aplica aquí, al igual que el considerando 50 a continuación).

Convert tiene una característica llamada ID de usuario universal. Si esto, por ejemplo, se utiliza para volver a conectar sesiones de un sistema de comercio electrónico después de que los usuarios compran, el consentimiento puede incorporarse a los términos acordados con la relación con el cliente. Pero aún sugerimos un consentimiento por separado para una unificación de dispositivos, sesiones y navegadores, ya que es mejor no asumir con GDPR, sino ofrecer transparencia absoluta.

¿Sigue pensando en almacenar datos personales?

¿Así que decidiste almacenar todo en tu herramienta de prueba A/B? Bueno, almacenar una ID de sesión, una ID de usuario o cualquier otro identificador significa que debe asegurarse de que sea

• Protegido
• Preciso
• Actualizado bajo demanda
• Borrado cuando sea necesario

Permítanme mostrarles algunos elementos de la ley GDPR en el contexto del almacenamiento de datos personales y toda la diversión que conlleva.

RGPD y precisión de los datos del usuario final

Entonces, cuando tiene una herramienta de prueba A/B que almacena datos personales y sus pruebas alcanzan un nivel significativo, necesita una herramienta que congele esos resultados una vez que los usuarios finales completen los formularios que necesita tener en su sitio web. Si los párrafos anteriores no lo convencieron de tener datos personales almacenados en su herramienta de análisis, esta parte de la ley GDPR lo hará. Pegaré el artículo completo que lo explica aquí.

Así que… te dejaré pensar en eso por un minuto…
…
…

Sí, eso pensé. Ahora todos juntos conmigo... digan esto en voz alta.

• Prometo no almacenar datos personales en mi herramienta de prueba A/B
• Prometo no almacenar datos personales en mi herramienta de prueba A/B
• Prometo no almacenar datos personales en mi herramienta de prueba A/B

Así que verifique dos veces a su proveedor de pruebas A / B y asegúrese de que no haya forma de que registren registros individuales de visitantes únicos.

Quiero decir, todos queremos brindar mejores conocimientos y buenas noticias a clientes y jefes. Y es increíble profundizar en las pruebas A/B perdidas y ver si ganó algún subsegmento.

Pero realmente... ¿quieres ser una de esas personas que oculta el total de visitantes en las capturas de pantalla de tu presentación y sorprende a la gente con un 1460 % de ganancias en una variación de Chrome en Suecia?

Simplemente acepte lo siguiente: configure una prueba con una hipótesis clara, ejecute el experimento y deténgalo cuando haya llegado suficiente tráfico (sin mirar). Buscar ganadores en pequeños subsegmentos no lo convierte en un mejor vendedor.

Con GDPR, cuanto más almacene, más sabrá, y mayores serán las posibilidades de que los segmentos de tráfico se conviertan en usuarios finales reales. Junto con eso, viene una mayor demanda de que proteja los datos, solicite los datos (usando Solicitudes de acceso de sujetos), borre los datos y actualice los datos.
Simplemente no lo almacene, asegúrese de que su herramienta de prueba A/B no lo almacene, y tendrá una cosa menos de qué preocuparse.

SI aún decide que no le importa pedir consentimiento y almacenar todos esos datos personales en su herramienta de prueba A/B, entonces asegúrese de que su herramienta de prueba A/B le permita exportar datos sin procesar basados ​​en visitantes únicos. Asegúrate de que esté bloqueado. Que puede modificar intereses, categorías y otras segmentaciones que tengas almacenadas sobre los usuarios, y puede borrar los datos sin modificar los resultados históricos de las pruebas A/B.

Al recopilar datos personales, deberá respetar los derechos de los ciudadanos de la UE y de las personas en Europa en el momento de su visita a su sitio web. Esto incluye:

• La posibilidad de que vean los datos que recopilaste sobre ellos dentro de experimentos, audiencias y segmentos (y objetivos).
• La posibilidad de actualizar/rectificar algunos o todos los datos que les conciernen.
• La posibilidad de eliminar sus datos a petición suya.
• La posibilidad de exportar todos los datos. Entonces, si un usuario lo solicita, deberá exportar los datos vinculados a su(s) dirección(es) IP o identificador único. Se puede exportar fácilmente como un archivo .csv, por ejemplo.

Entonces, cuando decida que almacenará datos personales, debe ofrecer una Solicitud de acceso de sujeto relacionada con el acceso, la rectificación y el borrado de datos.

• el derecho de acceso
• el derecho a restringir el procesamiento
• el derecho a la rectificación
• el derecho al olvido
• el derecho a la portabilidad de los datos

Cada Solicitud de acceso de sujeto deberá procesarse y resolverse dentro del plazo de, como máximo, un mes a partir de la recepción, como se describe en el texto del RGPD.

Tengo miedo de preguntar, pero ¿qué pasa con las subsegmentaciones para variaciones?

Puede recopilar dichos datos utilizando dimensiones personalizadas, variables personalizadas... y mucho más.

Ahora no empecemos de nuevo. Acabas de prometerme que no almacenarías nada en función de los derechos de los usuarios finales sobre esos datos en el artículo 15 del RGPD. Pero incluso cuando no tiene ningún identificador para conectar esa información, aún puede estar almacenando datos personales. Este ejemplo explica por qué.

Las tecnologías que permiten que los dispositivos móviles, de mesa o de escritorio se puedan conectar a su ubicación actual. Es posible que otras organizaciones también deseen utilizar este tipo de información para proporcionar contenido o publicidad específicos de la ubicación; sin embargo, los datos de ubicación, especialmente los datos sobre el patrón preciso de los movimientos de un individuo a lo largo del tiempo, pueden revelar detalles muy íntimos sobre la vida personal de esa persona. Estos son datos personales.

Entonces, para su herramienta de prueba A/B, esto significa que puede almacenar un usuario individual en varios segmentos y, en conjunto, este individuo puede identificarse como una persona. Por lo tanto, el consejo es no almacenar nunca registros individuales, solo grupos de segmentos en la base de datos. Y solicite su consentimiento cuando comience a recopilar múltiples subsegmentos que involucren datos de ubicación en ubicaciones más específicas que el país. Tu herramienta de prueba A/B puede darte un consejo cuando recopilas demasiados segmentos pero, en mi opinión, almacenar registros individuales es simplemente un problema.

¿Y conectar datos de terceros? ¿Te gusta BlueKai?

Necesita el consentimiento del usuario final. O bien, BlueKai y usted pueden ser controladores conjuntos; es decir, en el momento de la recopilación de datos del usuario final, BlueKai ha solicitado el consentimiento en su nombre. Siendo eso poco probable, en el momento de escribir este artículo, necesita consentimiento para enriquecer a su audiencia en herramientas de prueba A/B con una forma de consentimiento sobre los datos. Pregúntele a su proveedor de datos, por ejemplo, BlueKai.

¿No rastrear solo para Europa? ¿Está seguro?

No rastrear (o simplemente DNT) es una configuración de privacidad que los usuarios finales pueden configurar en la mayoría de los navegadores. Debe honrar DNT como una señal de cómo usted y sus usuarios finales quieren que usemos los datos . En los últimos años, muchos usuarios finales señalaron que quieren una nueva forma de relacionarse con las marcas. Por ejemplo, en Canadá, donde la legislación federal canadiense nos trae cambios en la Ley de privacidad. O en el Congreso de EE.UU. con una nueva etapa en el Privacy Shield. O en la Unión Europea, donde los estados miembros expresan su apoyo a una interacción más respetuosa con los usuarios finales. Debes escucharlos y respetarlos.

DNT tiene tres valores posibles:

1. No rastrear (optar por dejar de rastrear)
2. Seguimiento (optar por el seguimiento)
3. Nulo – Sin preferencia

De forma predeterminada, los navegadores web usan el valor nulo (sin preferencia), lo que indica que el usuario final no ha expresado su deseo de ser rastreado o no. Su herramienta de prueba A/B debe tener una configuración para no cargar NINGÚN script cuando la opción uno, No rastrear (Optar por no rastrear) en el navegador está configurada.
Jonathan Mayer y Arvind Narayanan son los dos investigadores principales de la Universidad de Stanford que han estado trabajando en la tecnología Do Not Track. Su modelo utiliza información en el encabezado HTTP para excluirse universalmente de todo el seguimiento en línea.

“Como modelo de tecnología, Do Not Track es claramente superior a un mecanismo de exclusión voluntaria”, dijo Mayer, refiriéndose a los compromisos de Google con otros navegadores para admitir la tecnología en sus sitios web.

“Así que la cuestión de la tecnología ahora está resuelta: es Do Not Track”.

Su herramienta de prueba A/B puede tener las siguientes opciones:

• No rastrear es lo suficientemente importante y la herramienta lo respeta sin necesidad de que los clientes activen o desactiven nada. Simplemente funciona (divulgación completa: en Convert, elegimos este...).
• Los usuarios pueden activar o desactivar No rastrear para toda la plataforma (verifique que sea predeterminado para todos sus proyectos como administrador).
• Los usuarios de la plataforma pueden activar No rastrear por proyecto y región (Europa) y el administrador debe verificarlo en cada proyecto.

Entonces, lo que realmente sucede cuando se enciende es importante.

¿Colocará una cookie (no se sugiere) o la herramienta simplemente no se carga en absoluto (seleccionamos eso). La desventaja de la primera (colocar la cookie) es que las cookies pueden activar una advertencia para los usuarios finales y el propietario del sitio web puede recibir más solicitudes de datos de los usuarios. La desventaja de no cargar el script en absoluto es que la extensión del navegador y los usuarios realmente no son rastreados de ninguna manera (y por lo tanto, los visitantes rastreados por una variación o experiencia pueden comenzar a diferir de la herramienta de análisis). En mi opinión, el segundo tema tiene más sentido. El RGPD hará un lío con los números de todos modos, ya que diferentes herramientas obtendrán o no el consentimiento. Por lo tanto, emparejarlos a todos para determinar un resultado "verdadero" será casi imposible de todos modos.

Responsabilidad

Sí, debe cambiar sus condiciones de uso, política de privacidad y política de cookies (o incluirlas en su política de privacidad). También necesita tener un administrador de consentimiento en el sitio web y...

Solo una actualización del procesador y el controlador (confuso, ¿verdad?).

Usted es el controlador en la relación entre el visitante de su sitio web (usuario final). Su herramienta de prueba A/B es el procesador.

Esto significa que usted es responsable del cumplimiento del RGPD y no puede señalar con el dedo a su proveedor de herramientas de prueba A/B. La forma más inteligente de hacerlo es asegurarse de que su proveedor de herramientas de prueba A/B esté haciendo todo lo posible para cumplir con lo descrito en este artículo.

¿Seguimiento de ingresos? ¿Números de pedido como datos personales?

Aquí tengo mis dudas. ¿Los ID de pedido (números de pedido o ID de transacción) serán datos personales?

No lo creo, pero la separación de los datos personales de la información no identificable (por ejemplo, un número de pedido del nombre y la dirección del cliente) es simplemente una buena práctica.

Dado que no queremos que los clientes se preocupen por cualquier posible modificación en las Regulaciones de privacidad electrónica, nosotros, como empresa, decidimos no almacenar esta información en nuestra sección de seguimiento de ingresos de la herramienta.

La combinación del valor promedio del pedido, los productos comprados, los ingresos y la identificación del pedido es demasiada información no identificable para estar en nuestras bases de datos. Pero esto depende de ti y de tu proveedor de pruebas A/B para discutir cómo te gustaría lidiar con esto. La minimización de datos básicamente nos pide que almacenemos lo menos posible. Dado que no necesitamos esto para el seguimiento de ingresos, lo eliminamos del conjunto de datos, junto con los ingresos individuales, el recuento de productos y cualquier otro dato de pedido a nivel individual (usuario final).

¿Integraciones?

Si envía información sobre la variación y las experiencias en las que participó el usuario final, le sugerimos que dé su consentimiento.

Joder, ¿alguna buena noticia?

Sí…

¿Recuerdas esos muros de cookies en los que tenías que aceptar las cookies para poder leer el contenido? Bueno, esos se han ido. Ya no puede colocarlos, por lo que muestra contenido a todos los visitantes, solicita el consentimiento para rastreadores específicos o lo mueve detrás del muro de pago.

¿Eso es todo?

No más…

El RGPD establece que las cookies mejoran la experiencia de Internet de un usuario, por ejemplo, recordando el historial del carrito de compras. O al completar un formulario de varias páginas.

El análisis en GDPR es posible siempre que los datos personales recopilados solo sean procesados ​​​​por la primera parte. ePrivacy es específico con respecto a las cookies, donde GDPR no lo es. Lea el proyecto de Reglamento de Privacidad Electrónica 15333, artículo 21;

Ah, una última cosa... Servidores basados ​​en EE. UU. vs. UE

¿Importa dónde alojas tu sitio web? ¿O desde dónde se carga el script de seguimiento de pruebas A/B? ¿O dónde se encuentra su conjunto de datos real? Sí, de lo contrario no estaría en este artículo.

Las ubicaciones de los servidores se tratan principalmente de transferencias de datos, que por sí solas requerirían consentimiento si se trata de datos personales. Tenemos que fijarnos en el Capítulo 5 del RGPD sobre Transferencias de datos personales a terceros países u organizaciones internacionales. Esto nos dará una idea de qué hacer si los datos se almacenan fuera de la Unión Europea.

La Comisión Europea evalúa el nivel de protección de datos personales de los terceros países a través de 'conclusiones de adecuación', que son vinculantes en su totalidad para todos los Estados miembros. Una vez que se haya reconocido la "adecuación" de un tercer país, los datos personales pueden transferirse a este país sin tener que tomar medidas de protección adicionales.

Un principio general para transferencias (artículo 44) y transferencias sobre la base de una decisión de adecuación (artículo 45) explica que la discusión a menudo gira principalmente en torno a la transferencia de datos a países fuera de la UE (y Noruega, Liechtenstein e Islandia), donde ahora solo tiene opciones:

• Privacy Shield (para EE. UU.) y países adecuados (la Comisión Europea ha reconocido hasta ahora a Andorra, Argentina, Canadá (organizaciones comerciales), Islas Feroe, Guernsey, Israel, Isla de Man, Jersey, Nueva Zelanda, Suiza, Uruguay y EE. UU. ( limitado al marco del Escudo de privacidad) como que proporciona una protección adecuada.
• Cláusulas contractuales estándar, también llamadas cláusulas contractuales modelo
• Normas corporativas vinculantes (cubiertas en el artículo 47 del RGPD).

Lo más probable es que su proveedor de pruebas A/B sea una empresa de EE. UU., y entonces la opción más fácil parece ser el Escudo de privacidad y SCC, ya que es solo un esfuerzo de una sola vez. Para nuestra empresa, esto significa que, aunque todos los datos de nuestros clientes (de los usuarios finales de su sitio web) se almacenan en servidores neutrales en carbono en Frankfurt, nuestra base legal para la empresa de EE. UU. sería Privacy Shield y SCC (simplemente nos gusta estar más seguros y tener todos los servidores con conjuntos de datos de clientes en Alemania).

Conclusiones

GDPR es masivo, y no solo está restringido a empresas en la Unión Europea. Mirando ahora, en el borrador 1533 de las Regulaciones de privacidad electrónica y GDPR, es nuestra opinión que puede realizar una prueba A / B usando Convert Experiences en todos los visitantes sin consentimiento.

Tenemos una configuración de página completa sobre cómo Convert, como empresa, se volverá compatible y una hoja de ruta completa de la aplicación sobre los detalles en los que estamos trabajando para que sea más fácil cumplir con el RGPD.

Pregúntele a su proveedor cómo ve su herramienta en términos de cumplimiento y cuándo está trabajando en la simplificación masiva de la estructura de su base de datos para realizar pruebas A/B sin necesidad de consentimiento.

Porque si su herramienta SÍ requiere consentimiento, tendrá un impacto masivo en su pila de marketing. El gran temor es que con una herramienta de prueba A/B basada en el consentimiento, perderá más del 80% de su tráfico para trabajar.

Pruebas A/B: Lista de verificación de cumplimiento de GDPR

Minimización de datos

¿Pregunta del proveedor?
¿Qué campos almacena por visitante único en su base de datos (después de completar la hoja de ruta)?

Ejemplo de respuesta
Nada

Información personal

¿Pregunta del proveedor?
¿Almacena la IP del visitante?

Ejemplo de respuesta
No

¿Pregunta del proveedor?
¿Almacena el país/región/ciudad u otros datos de ubicación por visitante?

Ejemplo de respuesta
No

¿Pregunta del proveedor?
¿Puede describir el contenido de la cookie o vincular a un artículo de soporte?

Ejemplo de respuesta
https://convert.zendesk.com/hc/en-us/articles/204495429-Convert-Experiences-Tracking-Cookies-Structure

¿Pregunta del proveedor?
¿Cuánto tiempo se almacenan las cookies?

Ejemplo de respuesta
6 meses.

¿Pregunta del proveedor?
¿Almacena ID de usuario únicos (ID de sesión, ID de dispositivo, ID de usuario o correo electrónico) y/o nos permite almacenar correos electrónicos u otros datos personales? Si es así, ¿dónde se almacena?

Ejemplo de respuesta
No, tampoco permitimos almacenar información (ver también términos de uso). Excepción: se necesita la función de identificación universal cuando se activa con el consentimiento del cliente

¿Pregunta del proveedor?
¿Cómo nos ayuda su herramienta con las solicitudes de acceso de sujetos de usuarios finales?

Ejemplo de respuesta
Apoyando al no tener ningún dato personal almacenado

¿Pregunta del proveedor?
¿Cómo admite su herramienta No rastrear?

Ejemplo de respuesta
Sí, la secuencia de comandos predeterminada no está cargada (consulte también nuestra hoja de ruta de la aplicación de pruebas A/B del RGPD)

Minimización de datos

¿Pregunta del proveedor?
What fields do you store by the unique visitor in your database (after roadmap completion)?

Example answer
Nada

Security

Vendor Question?
What server location (country) is our end-user data stored?

Example answer
Frankfurt, Alemania

Vendor Question?
If end-user or company information is stored outside the EEU what legal base you are using to transfer the information.

Example answer
End-user information is not stored and not transferred outside the EEU, unless customer requests debugging logging (stored max. 6 days). Customer information and debugging logs could be transferred on bases of Privacy Shield to US servers.

Vendor Question?
What security systems you have in place on databases and system where end-user information is stored?

Example answer
C5, DoD SRG, FedRAMP, FIPS, ISO 9001, ISO 27001, ISO 27017, ISO 27018, PCI, DSS Level 1, SEC Rule 17-a-4(f), SOC 1, SOC 2, SOC 3

GDPR compliance

Vendor Question?
How does your company prepare for GDPR compliance?

Example answer
Find all about out company GDPR compliance program, here.

Vendor Question?
How does your company assist us as controller with GDPR compliance of end-user data?

Example answer
The application roadmap is now public.

Disclaimer: Note that this article represents the views of the author solely, and are not intended to constitute legal advice.