Comment choisir un outil de test A/B conforme à la confidentialité (notre guide pour les optimiseurs allemands)

Les consommateurs sont de plus en plus conscients et contrôlent leurs informations personnelles, à mesure que les lois sur la confidentialité entrent en vigueur dans le monde entier. L'UE, par exemple, a adopté le Règlement général sur la protection des données (RGPD) en 2018, pour renforcer les réglementations sur la confidentialité des données et la Californie a appliqué le California Consumer Privacy Act (CCPA) en 2020.

Les entreprises de test A/B prennent désormais des mesures supplémentaires pour se conformer à ces nouvelles règles. Par exemple, beaucoup demandent aux utilisateurs le consentement avant de les ajouter à une liste de diffusion, fournissent des déclarations de confidentialité et des divulgations facilement accessibles, et donnent aux utilisateurs la possibilité d'accéder, de modifier ou de supprimer leurs informations personnelles.

Malgré le manque de confidentialité numérique dans le monde d'aujourd'hui, l'Allemagne reste attachée à la protection des données personnelles de ses citoyens, des lois telles que l'ancienne loi fédérale allemande sur la protection des données (BDSG) étant considérées comme l'une des plus strictes au monde.

Le guide suivant vous guidera à travers chacune des lois sur la confidentialité des données en Allemagne, afin que vous puissiez prendre la décision la plus éclairée lors de la sélection d'un outil de test A/B.

Critères de sélection pour la confidentialité des données

La loi sur la protection des données, adoptée pour la première fois en Allemagne en 1970, est depuis devenue un droit de l'homme essentiel, soutenu par les autorités de protection des données des 16 États et fédérations allemands. Il est important de respecter les lois suivantes lors de la sélection d'une plateforme de test A/B :

• Le règlement général de l'UE sur la protection des données (RGPD) (2018)
  
  
  • Mis en place pour protéger les données des citoyens de l'UE.
• La loi fédérale sur la protection des données (BDSG) (2018)
  
  
  • Modifie le GDPR, permettant des exceptions aux droits individuels lors du traitement des données personnelles des employés.
• La loi fédérale sur la protection des données et la vie privée dans les télécommunications et les télémédias (TTDSG) (2021)
  
  
  • Combine la loi sur les télécommunications (1996) et la loi sur les télémédias (2007), qui interdisent l'accès aux données de télécommunication (comme les comptes de messagerie professionnels, les téléphones professionnels ou l'historique des navigateurs Internet) et établissent des exigences de consentement aux cookies conformément à l'article 5, paragraphe 3. d'ePrivacy.
• ePrivacy (loi sur les cookies) (2002)
  
  
  • Assure "la vie privée et la confidentialité, en ce qui concerne le traitement des données personnelles dans le secteur des communications électroniques".

Les critères suivants serviront de guide lors du choix d'une plateforme de test A/B conforme en Allemagne

1. Comment l'entreprise de test A/B s'est-elle préparée à la conformité des données ?

Comment se sont-ils préparés aux lois GDPR, BDSG et TTDSG ?

Une fois que vous avez affiné vos principaux choix, assurez-vous qu'ils sont en mesure de décrire brièvement la procédure, les domaines concernés et les mesures initiées. Si toutes les mesures prévues n'ont pas été pleinement mises en œuvre, elles doivent être en mesure d'expliquer leur état de mise en œuvre.

Cela vous donnera un aperçu des approches utilisées, ainsi que leur auto-évaluation quant à leur position sur la façon de mettre en œuvre les différentes lois.

Les questions courantes auxquelles il faut répondre sont

1. Tous les départements essentiels de l'entreprise qui travaillent avec des données personnelles ont-ils été impliqués (par exemple, ressources humaines, informatique, ventes/assistance client, marketing) ?
2. Y a-t-il des preuves qu'une formation sur ces lois a été dispensée ?
3. Toutes les mesures prévues par l'entreprise ont-elles été mises en œuvre ?

Par exemple, Convert a publié une feuille de route publique, où nous indiquons clairement quelles mesures ont été prises pour se conformer au RGPD (pour chaque article requis).

Une feuille de route similaire doit être présente pour chaque plateforme de test A/B que vous envisagez.

2. L'outil de test A/B a-t-il des enregistrements des activités de traitement ?

Il est important que l'outil que vous sélectionnez ait inclus toutes leurs opérations commerciales de traitement de données personnelles dans un registre des activités de traitement.

Posez-vous les questions suivantes :

1. Est-il clair que le registre des activités de traitement est régulièrement examiné et mis à jour si nécessaire ?
2. Cet enregistrement correspond-il aux exigences légales de l'article 30 du RGPD ?
   
   
   1. Fournissent-ils le nom et les coordonnées de la personne responsable ?
   2. Les finalités du traitement sont-elles précisées ?
   3. Les catégories de personnes concernées (par exemple, les employés, les clients, etc.) et les catégories de données personnelles (par exemple, les données de base des employés, les données des candidats, les coordonnées des clients, les données de solvabilité, etc.) sont-elles décrites ?
   4. Une déclaration est-elle faite concernant le transfert de données personnelles vers un pays tiers ou vers une organisation interne ?
   5. Les délais envisagés pour la suppression des différentes catégories de données sont-ils indiqués ?

Vous trouverez ci-dessous un exemple des enregistrements que Convert conserve pour chaque activité de traitement de données.

3. Sur quelle base juridique l'outil de test A/B traite-t-il les données personnelles ?

Selon l'article 6 du RGPD, il devrait y avoir des bases légales sur lesquelles l'entreprise s'appuie pour traiter les données personnelles.

Posez les questions suivantes :

1. Les bases juridiques sont-elles mentionnées dans leur politique de confidentialité ?
2. Les déclarations de consentement sont-elles faciles à comprendre (c'est-à-dire que le contenu de la personne concernée est-il clair et simple lors de l'explication de l'octroi du consentement) ?

Il existe plusieurs bases légales sur lesquelles Convert s'appuie, qui sont publiées dans notre politique de confidentialité. Ils sont centrés sur le RGPD et incluent

• Contrat : Nous nous acquittons de nos responsabilités contractuelles envers vous (lorsque vous vous enregistrez en tant que client, achetez chez nous ou utilisez nos services, par exemple).
• Consentement : les clients doivent donner leur accord avant que nous puissions utiliser leurs informations personnelles d'une manière spécifique (c'est-à-dire lors de l'activation du suivi inter-domaines, de l'ajout de plusieurs domaines dans un projet, de l'activation de la segmentation de l'audience ou de la demande de journalisation supplémentaire).
• Obligation légale : Nous sommes légalement tenus de fournir certains documents (c'est-à-dire des copies de factures et des informations sur les paiements).
• Intérêt légitime : nous n'utilisons vos données personnelles que de la manière que vous attendez, avec un impact minimal sur la vie privée ou lorsqu'il existe une justification convaincante.

4. L'outil de test A/B dispose-t-il d'une évaluation d'impact sur la protection des données ?

Les DPIA (évaluations d'impact sur la protection des données) aident les organisations à identifier, évaluer et atténuer ou minimiser les risques de confidentialité associés au traitement des données. Ils sont particulièrement importants lors de l'introduction d'une nouvelle technique, d'un nouveau système ou d'une nouvelle technologie de traitement de données.

Les DPIA promeuvent également le principe de responsabilité car elles aident les organisations à se conformer aux normes du RGPD et à démontrer que des mesures suffisantes ont été prises pour assurer la conformité.

Saviez-vous que le fait de ne pas mener une DPIA lorsque cela est nécessaire est une violation du RGPD qui peut entraîner des amendes pouvant aller jusqu'à 2 % du chiffre d'affaires mondial annuel d'une organisation ou 10 millions d'euros, selon le montant le plus élevé ?

Dans le cadre du projet GDPR de Convert, Convert a développé des conseils pour le personnel et un modèle à utiliser pour effectuer des DPIA. Cela permet de garantir que les opérations de traitement présentant un risque élevé attendu pour les droits et libertés des personnes concernées sont identifiées.

5. Un Délégué à la Protection des Données est-il nommé ?

La responsabilité première du délégué à la protection des données (DPD) est de s'assurer que les données personnelles des employés, clients, fournisseurs ou autres personnes (également appelées personnes concernées) de son organisation sont traitées conformément aux règles applicables en matière de protection des données. Le RGPD exige que chaque organisation et organe de l'UE établisse un DPD.

Pour clarifier les qualifications d'un Délégué à la Protection des Données d'une entreprise et leur intégration dans l'organisation, demandez-vous :

1. Les connaissances spécialisées actuelles et suffisantes du DPD peuvent-elles être déduites des documents ? (Évaluer leur formation et leur formation continue en matière de protection des données, l'étendue/la durée de leur expérience en matière de protection des données, leur formation professionnelle (par exemple, avocat, informaticien) et leur participation à des réseaux établis de protection des données.
2. Existe-t-il une publication des coordonnées du DPO ? sur le site de l'entreprise ? Les coordonnées du DPO s'y trouvent-elles facilement ?

6. Comment l'entreprise de test A/B s'assure-t-elle qu'elle signale les violations de la protection des données à l'autorité de contrôle en temps opportun ?

Chaque organisation allemande est tenue, en vertu de l'article 33 du RGPD, de conserver les données personnelles en toute sécurité et de répondre de manière appropriée, dans les 72 heures, aux violations de la sécurité des données (ce qui peut inclure le signalement des violations au délégué à la protection des données dans certains cas).

Pour éviter tout risque de blessure pour les personnes, de dommages aux activités opérationnelles et de coûts financiers, juridiques et de réputation importants, il est essentiel d'agir rapidement en cas de violation réelle, possible ou suspectée de la sécurité ou de la confidentialité des données.

Lorsque vous recherchez un outil de test A/B conforme à la confidentialité, posez ces questions :

1. Le processus de signalement des violations de la protection des données a-t-il été présenté de manière compréhensible ?
2. Les responsabilités (qui fait quoi) sont-elles clairement réglementées dans le processus de reporting ?
3. Le délai de 72 heures est-il sensiblement pris en compte ?
4. Est-il clair que les employés ont été sensibilisés à ce processus ?

Convert a sa propre politique d'escalade des violations de données personnelles qui peut être demandée à [email protected].

7. Où l'outil de test A/B stocke-t-il les données ?

L'Autriche a récemment interdit l'utilisation de Google Analytics car leurs données sont stockées aux États-Unis, où la protection de la vie privée est plus limitée. Trouver une plateforme de test A/B qui stocke les données légalement dans l'UE est votre pari le plus sûr.

Vous devriez être en mesure de savoir où les données sont conservées dans la politique de confidentialité de l'organisation. En général, les informations sur le stockage des données se trouvent dans les sections « sous-traitants ultérieurs » et « services tiers ». Si vous ne trouvez pas facilement ces informations ou si elles ne sont pas claires, contactez l'organisation pour obtenir des éclaircissements.

8. L'outil de test A/B respecte-t-il les paramètres Do Not Track (DNT) ?

Pour les utilisateurs soucieux de leur vie privée, plusieurs navigateurs disposent d'une fonction "Ne pas suivre", qui peut être activée pour dire aux sites Web et aux outils d'analyse d'arrêter de suivre le comportement des utilisateurs.

En principe, ce paramètre devrait empêcher le navigateur d'un visiteur d'accepter les « cookies » qui informent les spécialistes du marketing et d'autres entreprises de leurs habitudes et intérêts en ligne. Cependant, les sites Web ne sont pas techniquement liés par ces restrictions. Par conséquent, il est important de trouver un outil de test A/B qui se soucie de la confidentialité des utilisateurs et fait un effort supplémentaire pour s'assurer que leurs systèmes sont conformes à ces exigences.

Convert prend en charge Do Not Track car nous pensons qu'il est essentiel de disposer d'une méthode simple pour contrôler la manière dont les informations de l'utilisateur final sont utilisées. Nous prenons DNT au sérieux en tant que signal de votre part et de vos utilisateurs finaux sur la manière dont nous devrions utiliser les données.

Convert offre aux utilisateurs les options suivantes :

1. Ne pas suivre (désactiver le suivi)
2. Suivre (opter pour le suivi)
3. Null (Aucune préférence)

Par défaut, les navigateurs Web utilisent "Null", indiquant que l'utilisateur final n'a pas exprimé s'il souhaite être suivi ou non. Lorsque "Ne pas suivre" est choisi, Convert ne charge pas les scripts/expériences, et charge à la place les deux autres options.

Dans la configuration de votre projet, il y a une ligne qui dit : "Respecter les paramètres du navigateur Do Not Track", qui est désactivé par défaut, mais peut être modifié à l'aide du menu déroulant.

9. L'outil de test A/B permet-il un suivi anonyme ?

L'anonymisation permet aux outils de test A/B de se conformer au RGPD, tout en suivant les données pour les rapports. Selon les directives du RGPD, les outils de test A/B peuvent recueillir certaines données tant qu'elles sont « rendues anonymes de manière à ce que la personne concernée ne soit pas ou plus identifiable ». Ceci est important pour les entreprises qui souhaitent garder une trace des données démographiques qui ne sont pas personnellement identifiables.

L'option d'anonymisation des données dans Convert Experiences permet à votre site Web de nettoyer toutes les données entrantes et historiques sur les noms des expériences/variantes de vos visiteurs, permettant aux équipes marketing et informatiques de conserver les données de suivi essentielles sans compromettre la confidentialité.

10. Que conserve l'outil de test A/B dans ses journaux de serveur ?

Selon le RGPD, une adresse IP est considérée comme une donnée personnelle. Si les logs du serveur de votre outil de test A/B contiennent les adresses IP de vos visiteurs, ils contiennent des données personnelles.

Voici les directives de base pour les journaux de serveur conformes au RGPD :

1. La solution la plus simple pour conserver des journaux conformes au RGPD consiste à ne conserver aucun journal.
2. Si des journaux de serveur sont nécessaires, conservez-les le moins longtemps possible. Créez une stratégie de rotation des journaux de serveur qui supprime automatiquement les anciens journaux.
3. S'ils collectent des journaux sans adresses IP ni autres données personnelles, ils sont conformes au RGPD.
4. Ils peuvent collecter des journaux sans consentement sous certaines conditions, mais ils doivent vous en informer dans leur politique de confidentialité.

Les journaux en direct dans Convert Experiences suivent la façon dont les utilisateurs finaux interagissent avec les pages Web en temps réel. Ils capturent des informations telles que l'horodatage lorsqu'un objectif est déclenché, le type d'événement qui a été déclenché, la variation affichée à l'utilisateur final et bien plus encore. Les journaux en direct sont considérés comme conformes au RGPD, car ils ne stockent pas les adresses IP ni aucune autre donnée PII.

11. À qui appartiennent les données ?

L'une des principales exigences du RGPD est que des mesures appropriées pour le traitement des données personnelles soient en place. Les données liées à une transaction de consommation dans l'UE doivent être physiquement stockées dans l'UE ou dans un pays avec des mesures de protection des données que le RGPD juge adéquates (à moins que l'utilisateur ne consente à conserver ses données ailleurs).

Cette règle pose certains défis aux entreprises non basées dans l'UE, bien que certains de ces problèmes puissent être atténués à l'aide d'un package d'analyse avec une politique claire de propriété des données.

Convert donne aux utilisateurs la tranquillité d'esprit en ayant une déclaration de propriété définie en place. Cela précise que nous « ne partagerons aucune donnée avec un tiers sans l'autorisation écrite expresse du client », et « supprimerons toutes les données relatives aux clients qui se désabonnent du service sur demande ».

12. L'outil de test A/B peut-il s'intégrer à votre pile technologique actuelle ?

Vous voudrez vous assurer qu'un nouvel outil de test A/B fonctionne bien avec le reste de votre pile technologique, comme votre CMS (système de gestion de contenu) et votre plateforme de commerce électronique. Connecter votre pile technologique actuelle à une nouvelle solution peut être coûteux, alors assurez-vous de faire une liste de tous les outils actuels que vous utilisez et voyez si vous pouvez recréer les mêmes intégrations avec le nouvel outil, soit via des intégrations ou des API.

Lorsque vous menez votre étude, gardez à l'esprit les questions suivantes :

1. Dans quelle mesure et à quelle vitesse l'outil que vous avez choisi s'intégrera-t-il au reste de votre système, tel que votre CRM ?
2. Existe-t-il des intégrations autorisées pour rendre ces connexions possibles ? Sinon, êtes-vous autorisé à modifier le code pour qu'il fonctionne pour vous ?
3. Est-il possible de convertir sans effort vos données vers un autre outil si le besoin s'en fait sentir ?
4. Existe-t-il des preuves d'un blocage du fournisseur ou de problèmes de transfert de données vers un autre fournisseur ?

13. Existe-t-il une option pour auto-héberger le script de test A/B ?

Choisir entre le logiciel en tant que service (SaaS) et l'auto-hébergement peut être difficile. Lorsque l'on considère le coût, la facilité et la commodité, il est logique que la majorité des logiciels soient fournis via le cloud. Cependant, le SaaS peut ne pas être le meilleur choix pour certaines entreprises et organisations, comme les gouvernements et les banques.

Une solution de test A/B sur site sera l'option la plus privilégiée pour les entreprises qui souhaitent un contrôle total sur leurs données et leur emplacement de stockage. Ce sera aussi le plus simple, en termes de conformité RGPD.

Posez-vous ces questions de clarification :

1. Votre outil de test A/B est-il autorisé à utiliser une solution hébergée dans le cloud ?
2. Avez-vous les ressources pour héberger l'outil sur votre infrastructure ?
3. Connaissez-vous les limites de données fournies avec votre forfait ?

14. Les transferts internationaux de données sont-ils autorisés ?

Les transferts de données sont maintenant si courants que la plupart des gens ne sont même pas conscients qu'ils se produisent. Même encore, ils peuvent être difficiles à gérer et doivent être convenus dans l'accord de collecte de données d'origine (un peu comme l'emplacement des données).

Jusqu'à récemment, les entreprises utilisaient le cadre du bouclier de protection des données pour transmettre des données de l'UE et de la Suisse aux États-Unis sans nécessiter d'approbation préalable. Cependant, en 2020, les juges européens ont jugé que les protections américaines des données étaient insuffisantes, rendant le cadre invalide, bien que ces transferts de données risqués se produisent toujours pour d'autres motifs juridiques.

Pour éviter les menaces potentielles, les entreprises de test A/B peuvent utiliser la stratégie de protection des données dès la conception (dont nous parlerons dans la section suivante). Sinon, elles peuvent simplement demander le consentement et spécifier où les données seront stockées et déplacées.

15. La protection des données par conception et par défaut est-elle respectée ?

Le concept de confidentialité dès la conception est au cœur des outils de test A/B respectueux de la vie privée.

Nous préférons prévenir les atteintes à la vie privée plutôt que de les traiter après coup, et nous utilisons la minimisation des données et la limitation des objectifs pour rester proactifs.

La minimisation des données signifie uniquement le traitement des données nécessaires pour atteindre un objectif spécifique, tandis que la limitation de la finalité fait référence à l'identification de l'objectif du traitement des données, à son enregistrement et à l'information des personnes avant le traitement.

Une fois collectées et traitées, les données ne doivent être conservées que pendant la durée de la tâche pour laquelle elles ont été obtenues.

La protection des données dès la conception nécessite l'utilisation de garanties techniques et organisationnelles lors des étapes de planification du traitement. Cela permet aux organisations de s'assurer que les mécanismes de confidentialité et de sécurité sont en place dès le début. Les procédures spécifiques varient en fonction du cas d'utilisation, mais elles peuvent inclure l'anonymisation des données, la surveillance des données ou l'ajout de nouvelles fonctionnalités de protection de la vie privée au logiciel de test A/B.

Alors, quelles plateformes de test A/B sont respectueuses de la vie privée ?

Si vous recherchez un moyen de collecter et d'analyser les données de votre site Web, de votre produit numérique ou de votre application mobile en Allemagne, la plate-forme que vous choisissez est essentielle.

La plupart des solutions de test A/B n'ont pas été conçues en tenant compte de la confidentialité, et bien que les principales plates-formes réussissent certaines choses (comme l'anonymisation et la propriété des données), elles échouent dans d'autres domaines (comme la localisation des données).

Heureusement, il existe une forte demande ces jours-ci pour des logiciels de test A/B qui vous permettent d'exécuter des expériences sur votre site Web tout en préservant la confidentialité des données. Cela signifie qu'il existe aujourd'hui plus d'outils de test A/B respectueux de la vie privée que jamais auparavant. Pour un bref résumé, consultez le tableau ci-dessous avec les mesures les plus importantes.