Come acquistare un software di test A/B conforme al GDPR

Aggiornamento : Convert è ora completamente conforme al GDPR. Puoi dare un'occhiata al nostro viaggio verso il raggiungimento della conformità al GDPR qui.

Ci impegniamo anche ad aiutare i nostri clienti a diventare conformi al GDPR. Per rendere tutto più semplice, stiamo rilasciando a tutti i nostri utenti una copia firmata del nostro Accordo sul trattamento dei dati (DPA).

Inoltre, stiamo seguendo da vicino gli sviluppi relativi ai prossimi aggiornamenti delle normative ePrivacy. Come sempre, saremo il più proattivi possibile per garantire la conformità, sia per noi stessi che per i nostri clienti

Avviso spoiler: dimenticalo.

Non esiste uno strumento di test A/B conforme.

Ciò significa che non esiste un "certificato" da uno strumento di test A/B che garantisca che eviterai quella causa da 20 milioni di euro da parte di un'autorità europea per la privacy. Ma ciò che è possibile è scegliere uno strumento di test progettato pensando alla privacy. Uno che non ti metterà nei guai quando usi la sua configurazione predefinita.

Questo articolo ti aiuta a porre le domande giuste sul tuo fornitore di strumenti di test A/B, prima della data di applicazione del GDPR (25 maggio 2018). Decostruirò ogni elemento importante nel GDPR e nel prossimo regolamento ePrivacy (bozza 15333) e alla fine ti fornirò una lista di controllo.

(Clicca qui per passare direttamente alla checklist)

In questo articolo…

Minimizzazione dei dati

Il principio della minimizzazione dei dati è essenzialmente l'idea che, fatte salve eccezioni limitate, un'organizzazione dovrebbe trattare solo i dati (personali) di cui ha effettivamente bisogno per raggiungere le proprie finalità di trattamento.

GDPR considerando 39; Art.5(1)(c)
I dati personali devono essere adeguati, pertinenti e limitati a quanto necessario in relazione alle finalità per le quali tali dati sono trattati.

Quindi quali sono i dati minimi necessari per eseguire gli esperimenti? Voglio dire, devi raccogliere tutti i dettagli dell'IP, del browser e dell'ID del dispositivo per ottenere risultati per il tuo test A/B? No. Li stai raccogliendo perché lo strumento può raccoglierli. Con la privacy in fondo alla tua mente, concentrati sugli elementi che devi raccogliere e non archiviare il resto. Ciò che è essenziale per eseguire un esperimento è:

• Variazione vista
• Obiettivo raggiunto: sì/no (su obiettivi di entrate, conteggio prodotti ed entrate)

Quando desideri approfondire i diversi risultati per sottosegmento, hai bisogno, ad esempio:

• Sottosegmento: sì/no

Lo strumento di test A/B in realtà non ha bisogno di archiviare una riga di dati per ciascun utente finale. Ciò che devi archiviare per ottenere informazioni dettagliate è:

• Utenti finali totali che hanno visto variazioni specifiche (totali e per sottosegmento)
• Utenti finali totali di una variante che ha attivato un obiettivo

E, in un ambiente di e-commerce:

• I prodotti medi per variazione e
• Il valore medio dell'ordine per variazione...

…che può essere ricalcolato ad ogni nuovo ordine (senza memorizzare i singoli ordini).

Il resto dei dati statistici può essere ricalcolato al volo senza memorizzare singole righe di dati dell'utente finale. Ciò consente al tuo strumento di test A/B di conformarsi alle linee guida sulla minimizzazione dei dati e riduce significativamente il rischio di violazione della privacy e della sicurezza.

Pensaci. Cosa farebbe qualcuno solo con i totali di un esperimento? Se nel tuo strumento di test A/B non sono memorizzati dati dell'utente finale, nemmeno dati pseudonimi/hashing, non è possibile identificare nuovamente gli utenti finali.

I dati personali includono l'indirizzo IP

Dati personali, come definiti dal GDPR, se diversi dalle precedenti definizioni di Informazioni Personali Identificabili (PII). Ora, gli indirizzi IP, i cookie e l'ID utente sono tutti dati personali.

Indipendentemente da come potresti sentirti riguardo a quella definizione, è legge. Il 19 ottobre 2016 la Corte di giustizia dell'Unione Europea (la “CGUE”) ha pubblicato la sentenza nella causa 582/14 – Patrick Breyer c. Germania. Ha ritenuto che gli indirizzi IP siano dati personali in determinate circostanze. La sentenza è sostanzialmente in linea con le conclusioni dell'avvocato generale nella presente causa, del maggio 2016.

I dati personali sono definiti all'articolo 2, lettera a), della direttiva come “qualsiasi informazione relativa a una persona fisica identificata o identificabile ('interessato'). Una persona identificabile è una “che può essere identificata, direttamente o indirettamente […]” (il corsivo è mio). Un'ulteriore analisi della questione dell'identificabilità è fornita dal Gruppo di lavoro articolo 29 dell'UE, nel suo parere 4/2007.

Quindi gli indirizzi IP sono dati personali. Periodo. Puoi scegliere di renderli anonimi a meno che tu non riceva il consenso esplicito dal visitatore (cosa che potresti voler evitare). Ma anche se lo fai, questo sarà sempre al confine del consenso e correrà il rischio di una nuova identificazione.

Ti consigliamo di non archiviare gli IP nel tuo strumento di test A/B, per rimanere al 100% sul sicuro di questa nuova legge.

Ora potresti chiedere... se non possiamo memorizzare gli indirizzi IP, come gestisci il targeting per Paese?

La soluzione più semplice è utilizzare la chiamata dell'utente finale per chiamare lo script di monitoraggio e identificare il paese. Memorizza la combinazione di variazione/paese in un sottosegmento ma non connesso a un utente. Basta aggiungere una vista extra a quel sottosegmento, quindi è mescolato con le centinaia di altri in quel segmento e praticamente solo +1. Quindi, ancora una volta, nessun modo per decostruire il singolo utente finale dal database.

Un'ulteriore nota sulla geolocalizzazione è che i dati del Paese in sé sono troppo ampi, ma i sottosegmenti di regione, città o codice postale richiederanno il consenso dell'utente finale. Combinato con altri elementi, possono essere sottosegmenti davvero piccoli (anche solo 1 persona!). Quindi, ancora una volta, potresti memorizzare dati personali e ciò richiederebbe il consenso dell'utente.

Cookie e dati personali

Secondo il GDPR, anche i cookie sono dati personali. Ma tutti i cookie non sono creati uguali. È possibile che alcuni richiedano il consenso dell'utente, mentre altri no. I dettagli saranno determinati dal nuovo Regolamento ePrivacy, una volta approvati. Per ora, abbiamo la bozza 15333, che ha un'eccezione per il software di analisi web, come gli strumenti di test A/B.

Gli strumenti di test A/B sono privi di requisiti di consenso, purché "valutano l'efficacia di un servizio fornito della società dell'informazione". Ma non appena si entra in un targeting molto specifico degli utenti finali o si cerca di identificare la natura di chi sta utilizzando il sito Web, ci si sposta in un'area che richiede il consenso.

Dovresti ricontrollare che i cookie utilizzati dal tuo strumento di test A/B non abbiano un identificatore univoco. L'identificatore univoco può far qualificare un cookie come dati personali.

Sebbene il regolamento ePrivacy (bozza 15333) non sia ancora una legge, ed è intenzione che sia complementare al GDPR, il GDPR stesso ci fornisce alcune indicazioni su quali tipi di cookie, per loro natura, implicheranno il trattamento di dati personali. C'è 1 considerando che è la chiave di questo:

Questo ci dice che i cookie che contengono un identificatore univoco per il dispositivo e/o la persona associata all'utilizzo del dispositivo, devono essere trattati come dati personali. Questa idea è rafforzata anche dal considerando 26, in cui si afferma che i dati personali sono anche definiti da dati che possono essere ragionevolmente utilizzati, da soli o insieme ad altri dati, per identificare un individuo.

Quindi il tuo strumento di test A/B dovrebbe rimuovere qualsiasi identificatore univoco per conformarsi al GDPR. Inoltre, non memorizzare mai il singolo record collegato a un cookie sul lato server. Ciò lo renderebbe al di fuori dell'eccezione nei regolamenti e-privacy.

Anche gli identificatori pseudonimi (ad es. stringhe di numeri o lettere), che spesso contengono i cookie, si qualificano come dati personali. Pertanto, ai sensi del GDPR, qualsiasi cookie o altro identificatore attribuito in modo univoco a un utente e quindi in grado di identificare un individuo, conta come trattamento di dati personali una volta che questo identificatore è memorizzato sul lato server.

ID utente e dati personali

La memorizzazione di un ID utente specifico per un individuo, o qualsiasi altro identificatore che puoi collegare in modo incrociato a dati personali individuali... è... hai indovinato... dati personali. Pertanto, questi richiedono il consenso e dovrebbero essere evitati (il considerando 30 si applica anche qui, così come il considerando 50 di seguito).

Converti ha una funzione chiamata ID utente universale. Se questo, ad esempio, viene utilizzato per ricollegare sessioni da un sistema di e-commerce dopo l'acquisto da parte degli utenti, il consenso può essere incorporato nei termini concordati con il rapporto con il cliente. Ma suggeriamo comunque un consenso separato per un'unificazione di dispositivi, sessioni e browser, poiché è meglio non presumere con GDPR, ma offrire assoluta trasparenza.

Stai ancora pianificando di archiviare i dati personali?

Quindi hai deciso di archiviare tutto nel tuo strumento di test A/B? La corretta memorizzazione di un ID sessione, ID utente o qualsiasi altro identificatore significa che devi assicurarti che lo sia

• Protetto
• Preciso
• Aggiornato su richiesta
• Cancellato quando richiesto

Lascia che ti presenti alcuni elementi della legge GDPR nel contesto della conservazione dei dati personali e di tutto il divertimento che ne deriva.

GDPR e accuratezza dei dati degli utenti finali

Quindi, quando disponi di uno strumento di test A/B che memorizza i dati personali e i tuoi test raggiungono la significatività, hai bisogno di uno strumento che blocchi quei risultati una volta che gli utenti finali compilano i moduli che devi avere sul tuo sito web. Se i paragrafi precedenti non ti hanno già convinto ad avere i dati personali archiviati nel tuo strumento di analisi, questa parte della legge GDPR lo farà. Incollerò l'intero articolo che lo spiega qui.

Allora... te lo lascio pensare per un minuto...
…
…

Sì, lo pensavo. Ora tutti insieme a me... dillo ad alta voce.

• Prometto di non archiviare dati personali nel mio strumento di test A/B
• Prometto di non archiviare dati personali nel mio strumento di test A/B
• Prometto di non archiviare dati personali nel mio strumento di test A/B

Quindi ricontrolla il tuo fornitore di test A/B e assicurati che non ci sia modo che registrino record individuali di visitatori unici.

Voglio dire, tutti noi vogliamo portare migliori intuizioni e buone notizie a clienti e capi. Ed è fantastico approfondire i test A/B persi e vedere se qualche sottosegmento ha vinto.

Ma davvero... vuoi essere una di quelle persone che nascondono il totale dei visitatori negli screenshot della tua presentazione e stupisce le persone con il 1460% di vittorie su una variante di Chrome in Svezia?

Accetta semplicemente quanto segue: imposti un test con un'ipotesi chiara, esegui l'esperimento e lo interrompi quando è arrivato abbastanza traffico (senza sbirciare). Cercare vincitori in piccoli sottosegmenti non ti rende un marketer migliore.

Con il GDPR, più archivi, più ne saprai e maggiori sono le possibilità che segmenti di traffico diventino veri utenti finali. Insieme a ciò, arriva una maggiore richiesta di proteggere i dati, richiedere i dati (utilizzando le Richieste di accesso del soggetto), cancellare i dati e aggiornare i dati.
Basta non conservarlo, assicurati che il tuo strumento di test A/B non lo memorizzi e ti sei dato una cosa in meno di cui preoccuparti.

SE ancora decidi che non ti dispiace chiedere il consenso e archiviare tutti quei dati personali nel tuo strumento di test A/B, assicurati che il tuo strumento di test A/B ti consenta un modo semplice per esportare dati grezzi basati su visitatori unici. Assicurati che sia bloccato. Che può modificare l'interesse, le categorie e l'altra segmentazione che hai memorizzato sugli utenti e può cancellare i dati senza modificare i risultati storici dei test A/B.

Raccogliendo dati personali, dovrai rispettare i diritti dei cittadini dell'UE e delle persone in Europa al momento della loro visita al tuo sito web. Ciò comprende:

• La possibilità per loro di visualizzare i dati che hai raccolto su di loro all'interno di esperimenti, segmenti di pubblico e segmenti (e obiettivi).
• La possibilità di aggiornare/rettificare alcuni o tutti i dati che li riguardano.
• La possibilità di cancellare i propri dati su loro richiesta.
• La possibilità di esportare tutti i dati. Quindi, se un utente lo richiede, dovrai esportare i dati collegati ai suoi indirizzi IP o identificativi univoci. Può essere facilmente esportato come file .csv, ad esempio.

Quindi, quando decidi di archiviare i dati personali, dovresti offrire una richiesta di accesso al soggetto relativa all'accesso, alla rettifica e alla cancellazione dei dati.

• il diritto di accesso
• il diritto di limitare il trattamento
• il diritto alla rettifica
• il diritto all'oblio
• il diritto alla portabilità dei dati

Ogni Richiesta di Accesso del Soggetto dovrà essere elaborata e risolta entro il termine massimo di un mese dalla ricezione, come descritto nel testo del GDPR.

Ho paura di chiedere, ma che dire delle sottosegmentazioni per le variazioni?

Puoi raccogliere tali dati utilizzando dimensioni personalizzate, variabili personalizzate... e molto altro ancora.

Ora non ricominciamo. Mi hai appena promesso che non avresti archiviato nulla in base ai diritti degli utenti finali su tali dati nell'articolo 15 del GDPR. Ma anche quando non disponi di alcun identificatore per collegare tali informazioni, potresti comunque archiviare dati personali. Questo esempio spiega perché.

Le tecnologie che abilitano dispositivi mobili, tavoli o desktop possono essere collegate alla loro posizione corrente. Anche altre organizzazioni potrebbero voler utilizzare questo tipo di informazioni per fornire contenuti o pubblicità specifici per località, tuttavia, i dati sulla posizione, in particolare i dati sullo schema preciso dei movimenti di un individuo nel tempo, possono rivelare dettagli molto intimi sulla vita personale di quella persona. Questi sono dati personali.

Quindi per il tuo strumento di test A/B questo significa che potresti memorizzare un singolo utente in più segmenti e insieme questo individuo può essere identificato come una persona. Quindi il consiglio è di non archiviare mai i singoli record, ma solo gruppi di segmenti nel database. E chiedi il consenso quando inizi a raccogliere più sottosegmenti che coinvolgono dati sulla posizione in località più specifiche del paese. Il tuo strumento di test A/B può darti un consiglio quando stai raccogliendo troppi segmenti ma, a mio avviso, archiviare i singoli record è solo un problema.

E collegare dati di terze parti? Ti piace BlueKai?

È necessario il consenso dell'utente finale. Oppure, BlueKai e tu potete essere contitolari del trattamento; ovvero, al momento della raccolta dei dati dell'utente finale BlueKai, ha chiesto il consenso a tuo nome. Essendo improbabile, al momento della stesura di questo pezzo, è necessario il consenso per arricchire il proprio pubblico negli strumenti di test A/B con una forma di consenso sui dati. Chiedi al tuo fornitore di dati, ad esempio BlueKai.

Non tracciare solo per l'Europa? Sei sicuro?

Do Not Track (o solo DNT) è un'impostazione sulla privacy che gli utenti finali possono impostare nella maggior parte dei browser. Dovresti onorare DNT come segnale per come tu e i tuoi utenti finali volete che usiamo i dati . Negli ultimi anni molti utenti finali hanno segnalato di volere un nuovo modo di interagire con i marchi. Ad esempio, in Canada, dove la legislazione federale canadese apporta modifiche alla legge sulla privacy. O al Congresso degli Stati Uniti con una nuova tappa nel Privacy Shield. O nell'Unione Europea, dove gli Stati membri esprimono il sostegno per un'interazione più rispettosa con gli utenti finali. Dovresti ascoltarli e rispettarli.

DNT ha tre possibili valori:

1. Do Not Track (Disattiva il monitoraggio)
2. Traccia (attiva il monitoraggio)
3. Nullo: nessuna preferenza

Per impostazione predefinita, i browser Web utilizzano il valore null (nessuna preferenza), indicando che l'utente finale non ha espresso il desiderio di essere monitorato o meno. Il tuo strumento di test A/B dovrebbe avere un'impostazione per non caricare NESSUN script quando è impostata l'opzione 1, Do Not Track (Opt-out of tracking) nel browser.
Jonathan Mayer e Arvind Narayanan sono i due principali ricercatori della Stanford University che hanno lavorato sulla tecnologia Do Not Track. Il loro modello utilizza le informazioni nell'intestazione HTTP per disattivare universalmente tutto il tracciamento online.

"Come modello tecnologico, Do Not Track è chiaramente superiore a un meccanismo di opt-out", ha affermato Mayer, riferendosi agli impegni di Google altri browser per supportare la tecnologia sui loro siti web.

"Quindi la domanda sulla tecnologia è ora risolta: è Do Not Track."

Il tuo strumento di test A/B può avere le seguenti opzioni:

• Do Not Track è abbastanza importante ed è rispettato dallo strumento senza che i clienti debbano attivare o disattivare nulla. Funziona e basta (divulgazione completa: a Convert, abbiamo scelto questo...).
• Do Not Track può essere attivato o disattivato dagli utenti per tutta la piattaforma (controlla che sia predefinito per tutti i tuoi progetti come amministratore).
• Do Not Track può essere attivato dagli utenti della piattaforma per progetto e regione (Europa) e deve essere controllato dall'amministratore su ogni progetto.

Quindi ciò che accade effettivamente quando viene acceso è importante.

Inserite un cookie (non consigliato) o lo strumento non si carica affatto (l'abbiamo selezionato). Lo svantaggio del primo (inserimento del cookie) è che i cookie potrebbero attivare un avviso per gli utenti finali e il proprietario del sito Web potrebbe ricevere più richieste di dati dagli utenti. Lo svantaggio di non caricare affatto lo script è che l'estensione del browser e gli utenti in realtà non vengono tracciati in alcun modo (e quindi i visitatori monitorati per una variazione o esperienza potrebbero iniziare a differire dallo strumento di analisi). A mio parere, la seconda questione ha più senso. Il GDPR farà comunque un pasticcio di numeri, dal momento che diversi strumenti otterranno o non otterranno il consenso. Quindi abbinarli tutti per accertare un risultato "vero" diventerà comunque quasi impossibile.

Responsabilità

Sì, è necessario modificare i termini di utilizzo, la politica sulla privacy e la politica sui cookie (o includerli nella politica sulla privacy). È inoltre necessario disporre di un gestore del consenso sul sito Web e...

Solo un aggiornamento di processore e controller (confuso, giusto?).

Tu sei il controllore nella relazione tra il visitatore del tuo sito web (utente finale). Il tuo strumento di test A/B è il processore.

Ciò significa che sei responsabile della conformità al GDPR e non puoi puntare il dito sul fornitore del tuo strumento di test A/B. Il modo più intelligente per farlo è assicurarsi che il fornitore dello strumento di test A/B stia facendo tutto il possibile per conformarsi come descritto in questo articolo.

Monitoraggio delle entrate? Numeri d'ordine come dati personali?

Qui ho i miei dubbi. Gli ID ordine (numeri d'ordine o ID transazione) saranno dati personali?

Non credo, ma la separazione dei dati personali dalle informazioni non identificative (ad esempio un numero d'ordine dal nome e dall'indirizzo del cliente) è solo una buona pratica.

Dal momento che non vogliamo che i clienti si preoccupino di eventuali modifiche ai regolamenti ePrivacy, noi, come azienda, abbiamo deciso di non archiviare queste informazioni nella nostra sezione di monitoraggio delle entrate dello strumento.

La combinazione di valore medio dell'ordine, prodotti acquistati, entrate e ID dell'ordine è un po' troppa come informazione non identificativa per essere contenuta nei nostri database. Ma sta a te e al tuo fornitore di test A/B discutere su come vorresti affrontarlo. La minimizzazione dei dati ci richiede fondamentalmente di archiviare il meno possibile. Dal momento che non ne abbiamo bisogno per il monitoraggio delle entrate, lo stiamo eliminando dal set di dati, insieme alle entrate individuali, al conteggio dei prodotti e a qualsiasi altro dato sugli ordini a livello individuale (utente finale).

Integrazioni?

Se invii informazioni su quali varianti ed esperienze hanno partecipato l'utente finale, ti suggeriamo il consenso per questo.

Accidenti, qualche buona notizia?

Sì…

Ricordi quei cookie wall in cui dovevi accettare i cookie per poterne leggere il contenuto? Bene, quelli sono andati. Non puoi più metterli su e quindi mostra contenuti a tutti i visitatori, chiedendo il consenso per tracker specifici o spostandoli dietro il paywall.

Questo è tutto?

Non più…

Il GDPR afferma che i cookie migliorano l'esperienza Internet di un utente, ad esempio ricordando la cronologia del carrello degli acquisti. O quando si compila un modulo su più pagine.

L'analisi in GDPR è possibile purché i dati personali raccolti vengano elaborati solo dalla prima parte. La ePrivacy è specifica per quanto riguarda i cookie, laddove non lo è il GDPR. Leggi la bozza del Regolamento ePrivacy 15333, articolo 21;

Ah, un'ultima cosa... server basati negli Stati Uniti e nell'UE

Importa dove ospiti il ​​tuo sito web? O da dove viene caricato lo script del tracker del test A/B? O dove si trova il tuo attuale set di dati? Sì, altrimenti non sarebbe in questo articolo

Le posizioni dei server riguardano principalmente i trasferimenti di dati, che da soli richiedono il consenso se si tratta di dati personali. Dobbiamo guardare al capitolo 5 del GDPR sui trasferimenti di dati personali verso paesi terzi o organizzazioni internazionali. Questo ci darà informazioni su cosa fare se i dati sono archiviati al di fuori dell'Unione Europea.

Il livello di protezione dei dati personali dei paesi terzi è valutato dalla Commissione europea attraverso "risultati di adeguatezza", che sono vincolanti nella loro interezza per tutti gli Stati membri. Una volta riconosciuta l'“adeguatezza” di un Paese terzo, i dati personali possono essere trasferiti in questo Paese senza dover adottare ulteriori misure di protezione.

Un principio generale per i trasferimenti (articolo 44) e i trasferimenti sulla base di una decisione di adeguatezza (articolo 45) spiega che la discussione spesso ruota principalmente sul trasferimento di dati verso paesi al di fuori dell'UE (e Norvegia, Liechtenstein e Islanda), dove ora hanno solo opzioni:

• Privacy Shield (per gli USA) e Paesi adeguati (la Commissione Europea ha finora riconosciuto Andorra, Argentina, Canada (organizzazioni commerciali), Isole Faroe, Guernsey, Israele, Isola di Man, Jersey, Nuova Zelanda, Svizzera, Uruguay e USA ( limitatamente al quadro dello scudo per la privacy) in quanto fornisce una protezione adeguata.
• Clausole contrattuali standard, dette anche clausole contrattuali tipo
• Norme vincolanti d'impresa (coperte nell'articolo 47 del GDPR).

Molto probabilmente il tuo fornitore di test A/B è una società statunitense, quindi la scelta più semplice sembra essere Privacy Shield e SCC, poiché è solo uno sforzo una tantum. Per la nostra azienda ciò significa che anche se tutti i dati dei nostri clienti (degli utenti finali del loro sito Web) sono archiviati in server a emissioni zero a Francoforte, la nostra base legale per l'azienda statunitense sarebbe Privacy Shield e SCC (ci piace solo essere più sicuri e avere tutti i server con set di dati dei clienti in Germania).

Conclusioni

Il GDPR è enorme e non limitato solo alle aziende dell'Unione Europea. Guardando ora, alla bozza dei regolamenti ePrivacy 1533 e GDPR, è nostra opinione che tu possa testare A/B utilizzando Convert Experiences su tutti i visitatori senza consenso.

Abbiamo un'intera pagina impostata su come Convert as a company diventerà conforme e un'intera roadmap dell'applicazione sui dettagli su cui stiamo lavorando per rendere più semplice la conformità al GDPR.

Chiedi al tuo fornitore come vedono il loro strumento in termini di conformità e quando stanno lavorando per semplificare enormemente la struttura del database per eseguire il test A/B senza richiedere il consenso.

Perché se il tuo strumento RICHIEDE il consenso, avrà un impatto enorme sul tuo stack di marketing. La grande paura è che con uno strumento di test A/B basato sul consenso, perderai più dell'80% del tuo traffico con cui lavorare.

Test A/B: Lista di controllo per la conformità al GDPR

Minimizzazione dei dati

Domanda del venditore?
Quali campi memorizzi per visitatore unico nel tuo database (dopo il completamento della roadmap)?

Esempio di risposta
Niente

Dati personali

Domanda del venditore?
Memorizzi l'IP dei visitatori?

Esempio di risposta
No

Domanda del venditore?
Memorizzate dati su Paese/Regione/Città o altri dati sulla posizione per visitatore?

Esempio di risposta
No

Domanda del venditore?
Puoi descrivere il contenuto del cookie o collegarti a un articolo di supporto?

Esempio di risposta
https://convert.zendesk.com/hc/en-us/articles/204495429-Convert-Experiences-Tracking-Cookies-Structure

Domanda del venditore?
Per quanto tempo vengono memorizzati i cookie?

Esempio di risposta
6 mesi.

Domanda del venditore?
Memorizzi ID utente univoci (ID sessione, ID dispositivo, ID utente o e-mail) e/o ci consenti di archiviare e-mail o altri dati personali? Se sì, dove è conservato?

Esempio di risposta
No, inoltre, non consentiamo la memorizzazione di informazioni (vedi anche termini di utilizzo). Eccezione c'è la funzione ID universale quando è necessaria l'attivazione con il consenso del cliente

Domanda del venditore?
In che modo il tuo strumento ci aiuta con le richieste di accesso ai soggetti degli utenti finali?

Esempio di risposta
Supportare non avendo alcun dato personale memorizzato

Domanda del venditore?
In che modo il tuo strumento supporta Do Not Track?

Esempio di risposta
Sì, per impostazione predefinita lo script non è caricato (vedi anche la nostra roadmap dell'app per test A/B GDPR)

Minimizzazione dei dati

Domanda del venditore?
What fields do you store by the unique visitor in your database (after roadmap completion)?

Example answer
Nothing

Security

Vendor Question?
What server location (country) is our end-user data stored?

Example answer
Francoforte, Germania

Vendor Question?
If end-user or company information is stored outside the EEU what legal base you are using to transfer the information.

Example answer
End-user information is not stored and not transferred outside the EEU, unless customer requests debugging logging (stored max. 6 days). Customer information and debugging logs could be transferred on bases of Privacy Shield to US servers.

Vendor Question?
What security systems you have in place on databases and system where end-user information is stored?

Example answer
C5, DoD SRG, FedRAMP, FIPS, ISO 9001, ISO 27001, ISO 27017, ISO 27018, PCI, DSS Level 1, SEC Rule 17-a-4(f), SOC 1, SOC 2, SOC 3

GDPR compliance

Vendor Question?
How does your company prepare for GDPR compliance?

Example answer
Find all about out company GDPR compliance program, here.

Vendor Question?
How does your company assist us as controller with GDPR compliance of end-user data?

Example answer
The application roadmap is now public.

Disclaimer: Note that this article represents the views of the author solely, and are not intended to constitute legal advice.