Convertは、市場で最もプライバシーに焦点を当てたテストツールです。 これが理由です

私たちは10年前から成果を改善してきました。

また、300億を超える経験をテストして、あらゆる業界の顧客のコンバージョンを改善するツールを完成させました。面倒なことはありません。

しかし、GDPRの津波が襲ったとき、私たちは結果の改善を超えたいと考えました。

私たちは、プライバシーの懸念が年を追うごとにますます重要になる世界で、知識のあるユーザーのための最適化ツールになりたかったのです。

8か月、数千時間、数百の（小さな）議論の大部分を要しましたが、私たちはやりたいことをすべて達成することができました。

GDPRやeプライバシー規制を無視せずに、テストを実行して洞察を掘り起こすために必要なすべてのもの。

目次：

アプリ内アップデート：プライバシーと機能のバランス

訪問者のIDの匿名化：デフォルトモードでの同意なしのテスト

欧州連合の一般データ保護規則（GDPR）（第2章、第5条）の重要な原則は、データの最小化です。

つまり、個人データのコンテキストでは、製品およびサービスプロバイダーは、適切で関連性があり、ビジネスケースに限定されているもののみを収集、保存、および処理する必要があります。

収集すべき個人データと収集すべきでない個人データの明確な定義はありません。 これは完全に特定のユースケースに基づいています。

データ最小化の原則を実践するために、数百人のWebサイト訪問者を、訪問者の存在のみをカウントする訪問者グループにグループ化することにより、追跡で訪問者のIDを匿名化しました。

個々の訪問者はConvertExperiencesに保存されません。 グループカウントを個々の訪問者に再接続することはできません。

GDPRは、Convertに何を保存しているか、そしてますますプライバシー中心の環境でそれを維持するためのユースケースを詳しく調べる機会を提供してくれました。

トランザクションIDの削除：「プッシュ」の取得

また、 sendRevenueの代わりにpushRevenueを使用するように収益追跡を変更しました。

• pushRevenueはトランザクションIDを送信しません。
• sendRevenueはトランザクションIDを送信しますが、無視されて保存されません。

 <script>    window['_conv_q'] = window['_conv_q'] || [];    window['_conv_q'].push(["pushRevenue",revenue,products_cnt,goal_id]); </script>

永続的なCookieの有効期限：あなたは素晴らしいですが、6か月間だけあなたを覚えています

永続的なCookieは、ユーザーが最初にWebサイトにログオンしたときにユーザーのコンピューターに配置され、ユーザーがサイトから離れてブラウザーを閉じた後もそのコンピューターに残ります。

これらのCookieは、広告主が複数のWebページにわたるサイトユーザーの動きを追跡し、ユーザーの閲覧と検索パターンに基づいてターゲットを絞った広告を作成するためによく使用されるため、「トラッキングCookie」という名前が付けられています。

各永続的なCookieには、作成者が設定した名前と有効期限があります。

WebサイトがCookieを送信すると、特定の日時が経過するまでその特定のCookieを保持するようブラウザに要求します。

ePrivacy Directiveの推奨によれば、永続的なCookieは少なくとも12か月ごとに削除する必要がありますが、残念ながら、ほとんどのCookieはそれよりもはるかに長く保存されます。

グーグルアドワーズでは、クッキーは最大540日続く可能性があり、グーグルアナリティクスでは、クッキーは最大2年続く可能性があります。 +7000年の寿命を持つように作られたクッキーの例が登録されています！

永続的なCookieは簡単に誤用される可能性があり、この不測の事態については多くの懸念があります。 実際、Yahooは、報告されたサーバーのハッキングには、パスワードを必要とせずにハッカーがユーザーアカウントにアクセスできるようにする盗まれたCookieや偽造されたCookieが含まれていることを明らかにしました。 これは、ハッカーがYahooのサーバーにある永続的なCookieをコピーし、それらの偽造バージョンを作成して、わずかな労力でユーザーアカウントにアクセスできることを意味します。

このプライバシーの課題に対応するために、Convertは、永続的なCookieの有効期間の保存制限を12か月から6か月に短縮しました。

サードパーティのCookieの削除：私たちはサードパーティのCookieと「話し合っている」わけではありません

サードパーティのCookieは、（a）別のドメインからのCookie、または（b）「ユーザーがアクセスしたWebサイトを操作するデータコントローラーとは異なるデータコントローラーによって設定された」Cookieです。

FireFoxブラウザにLightbeamというプログラムをインストールすると、Webブラウザの影にダウンロードされたすべてのサードパーティCookieを確認できます。 よくアクセスするサイトの結果は次のとおりです。

上のスクリーンショットでわかるように、7つのWebサイトにアクセスした直後に、私のブラウザは文字通りクッキージャーになりました。

多くの場合、サイトはサードパーティのプラットフォームへのアクセスを通知し、広告やマーケティングの利益のためにブラウジングデータをサイトと共有します。

クッキーは、情報を追跡するだけでなく、実際に情報を盗むことができるため、eプライバシー指令の下で多くの注目を集めています。

サードパーティによって追跡される性質とプロセスは、特にオンサイト広告からのサードパーティのCookieが関係している場合、ユーザーとWebサイトの所有者の間に利益の衝突を引き起こします。

サイトでサードパーティのCookieを使用している場合、またはそれらの使用を許可している場合は、Cookie法に基づいてより多くの結果にさらされることになります。

完全な顧客と訪問者のプライバシーを確​​保するために、2018年2月21日の時点で、すべてのサードパーティのCookieを無効にしました。

私たちはあなたの背中を手に入れました：便利なGDPR警告！

プロジェクトまたは実験で使用されたGDPR関連の設定またはオプションをお客様に通知するための警告を導入しました。

• Convert Experiencesは従来、場所や行動などの条件によってサイト訪問者をグループ化することを許可してきました。 これらのグループは、カスタムセグメントと呼ばれます。 ただし、GDPR後、セグメンテーション機能が有効になっている場合、これはヨーロッパのプライバシー当局によってデータ主体を識別する方法として解釈できます。 ユーザーに通知するために、少なくとも1人のオーディエンスに対してセグメンテーションが有効になっている場合にアクティブになる目立つ警告を挿入しました。

• 個人データで構築されたオーディエンス：GDPR警告は、オーディエンスがCookieまたはJavaScript条件で構築された場合、またはタイムゾーン、都市、地域、顧客ID、または顧客タグがターゲットにされている場合、保存されたオーディエンスとエクスペリエンスの概要ページに存在します。

• クロスドメイントラッキング：クロスドメインCookieは、ConvertExperiencesのすべてのプロジェクトでデフォルトでオフになっています。 オンにすると、別の警告がアクティブになります。

• パーソナライズエクスペリエンスには小さなセグメント（100人未満の一意の訪問者）が含まれる場合があり、これはヨーロッパのプライバシー当局によってデータ主体の識別として解釈される場合があります。 そのため、パーソナライズエクスペリエンスの概要に警告を追加しました。

これらの警告の目的は、EU当局がデータ主体の潜在的な「識別」と見なす可能性のある機能をユーザーが確実に理解できるようにすることです。

GDPRの義務とeプライバシー指令の要点を覚えるのは難しいです！

Convert Experiencesを使用すると、多くのことを実行できるツールを使用できますが、欧州連合諸国では特定のアクションの解釈が異なることを思い出させることができます。

GDPR警告をオフにすることができます。

ログインサーバー：ドイツ、フランクフルト

GDPRによってもたらされたもう1つの大きな変化は、データストレージの場所に関係しています。

これは簡単です。

EU市民のデータを保存する場合、データはEUの土壌に残しておく必要があります。 つまり、欧州連合諸国にサーバーが必要です。

いかなる状況においても、データをEU外のサーバー（たとえば、米国）に送信しないでください。

ログインサーバーを米国からドイツのフランクフルトにあるカーボンニュートラルエネルギーを利用したデータセンターに移動しました。

DNT設定：あなたのブラウザは話します、私たちは聞きます

Do Not Trackは、ユーザーが広告ネットワーク、分析サービス、およびソーシャルプラットフォームによる追跡をオプトアウトできるようにするテクノロジーおよび法的フレームワークです。

DNTは、選択したパワーでトラフィックを強化します。

これは、ユーザーが毎日使用するWebサイトやサービスに追跡されないようにするための好みを表現できるWebブラウザーの機能です。

EU GDPRは、この新しいブラウザー設定の尊重を強制します。 テクノロジーと法律を組み合わせることで、ウェブ上のプライバシーの権利を取り戻すための実行可能な道が開かれます。

DNTは明示的な機能要求を行うユーザーです。追跡されたくありません。 DNTは、ユーザーの動作を追跡しないようにサーバーに明示的に指示するHTTP要求をサーバーに送信するようにブラウザーに強制するユーザー設定です。

プロジェクトごとにブラウザの「追跡しない」設定の構成可能なサポートを追加しました。

デフォルトでは、新しいプロジェクトを作成するときに[オフ]オプションが選択されていますが、次の設定のいずれかから選択できます。

• オフ
• EUのみ
• EEAのみ
• 世界的に

つまり、ユーザーは、追跡されたくない個人のデータを使用して、カウントを回避したり、何らかの方法で操作したりすることができます。

この新機能の詳細については、こちらをご覧ください。

オプトアウト：すべてを除外するための1つのリンク

追跡ストーリーには2つの側面があります。

1つは、精通したWebサイトの訪問者が、ブラウザーで追跡禁止を有効にして、詮索好きな目から隠すことを選択できます。

2つ目は、アクセスしたWebサイトから直接追跡をオプトアウトする権限が必要です。

Convertはそれを知っており、オプトアウト機能https://www.convert.com/opt-out/をアプリの変換設定ページに配置しました。

オプトアウトリンクを1回クリックするだけで、訪問者はConvertExperiencesアプリを使用するすべてのWebサイトによる追跡をオプトアウトすることを選択できます。

クロスドメインテスト：デフォルトでは許可されていません

クロスドメイントラッキングにより、Convert Experiencesは、2つの関連サイト（eコマースサイトと別のショッピングカートサイトなど）のセッションを単一のセッションとして表示できます。 これは、サイトリンクと呼ばれることもあります。

次のような別のドメインでホストされているオンラインストアとサードパーティのショッピングカートがあるとします。

• www.example-store.com
• www.example-commerce-host.com/example-store/

クロスドメイントラッキングがない場合、オンラインストアにアクセスしてからサードパーティのショッピングカートに移動したユーザーは、期間が異なる2つの別々のセッションを持つ2つの別々のユーザーとしてカウントされます。

クロスドメイントラッキングにより、Convert Experiencesはこれを単一のユーザーによる単一のセッションと見なすことができ、ストアサイトで開始したセッションは、ショッピングカートサイトで費やされた時間まで継続されます。

ただし、クロスドメイントラッキングはGDPRの下の灰色の領域であるため、新しいプロジェクトを作成するときに、クロスドメインリンクを禁止するための構成可能なオプションがデフォルトでオンになりました。

DPIA：私たちは真剣に変化を起こします

データ保護影響評価（DPIA）は、組織がデータ処理活動によるプライバシーリスクを特定、評価、軽減、または最小化するのに役立ちます。 これらは、新しいデータ処理プロセス、システム、またはテクノロジーが導入されている場合に特に関係があります。

DPIAは、組織がGDPRの要件に準拠するのを支援し、コンプライアンスを確保するために適切な措置が講じられていることを実証するため、説明責任の原則もサポートします。

適切な場所でDPIAを適切に実施しなかった場合、GDPRに違反し、組織の年間世界売上高の最大2％または1,000万ユーロのいずれか大きい方の罰金が科せられる可能性があることをご存知ですか？

ConvertのGDPRプロジェクトの一環として、チームメンバー向けのガイダンスと、データ保護影響評価（DPIA）の実行に使用されるテンプレートを作成しました。

正当な利息評価（LIA）：私たちは仮定しません

正当な利益は、個人データの処理を正当化するためにGDPRに定められた6つの合法的な根拠の1つです。

そして、それは最も少ない仕事のように聞こえます！

正当な利息の根拠は、範囲が広く、柔軟性があります。 素人の言葉で言えば、データを処理するのが簡単であれば、データを処理できるということです。

しかし、それを解釈する方法は非常にたくさんあるので、正当な利益を使用することは、単に疑いと精査に自分自身を開放することです。 他のベース（法的義務や重要な利益など）が利用できない場合、または正当な利益が処理アクティビティに使用するのに最も適切である場合は、正当な利益ベースに頼ることを強くお勧めします。

ただし、比例評価が必要です。 正当な利息基準を使用する前に、次のことを行ってください。

• 目的テスト：正当な利益を特定します。
• 必要性テスト：その関心を達成するために処理が必要かどうかを評価します。 と
• バランステスト：正当な利益と個人の利益、権利、自由のバランスを取ります。

私たちは独自の正当な利益影響評価（LIA）を実施し、それに応じてマーケティングタッチポイントの同意オプションを構成しました。

安全なカード会員データのためのPCI-DSS：機密情報が私たちの優先事項です

クレジットカード情報の保存と処理については、PCIStandardsCouncilによって設定された原則と標準に従います。 詳細については、こちらをご覧ください。

PCI DSSは支払いカード会員データの保護に重点を置いており、GDPRの目的はEU居住者の個人データを保護することですが、PCI違反は個人データの侵害でもあります。

その結果、PCI DSSコンプライアンスの下で、私たちは常にカード会員データの年次レビューを実施してきました。 したがって、このレビューのスケジュールは、GDPRに準拠するための対策を実装するときに使用されてきたフレームワークを提供します。

さらに、カード会員データを安全に保つための安全なテクノロジーに投資しました。

アプリの更新を超えて：変換チームへのGDPRの変更

法的：

プライバシーポリシーと利用規約を更新しました。 新しいCookieポリシーを追加しました。 これらの更新は、2018年5月25日に、既存および新規のユーザーと顧客に対して有効になりました。
GDPRの第28条第4項によると、欧州のすべてのクライアントと標準としてデータ処理契約（DPA）に署名しています。

売上高：

販売プロセスをGDPRに準拠させました。

• LiveChat 。 ブラウザでDNTが有効になっている場合、LiveChatは表示されません。 LiveChatの履歴からすべてのIPアドレスを削除しました。
• お問い合わせフォーム。 GDPRに準拠するように更新されました。
• デモフォームをリクエストします。 GDPR同意オプションを反映するように更新されました。
• 電子メールキャンペーンの再許可。 アカウントエグゼクティブと会話しているすべての見込み客に対して、1対1の支援に対する同意を集めるために、再許可キャンペーンを実行しました。
• 無料トライアルフォーム。 GDPRに準拠するように更新されました。

マーケティング：

マーケティングプロセスをGDPRに準拠させました。

1. アウトバウンドEメールの顧客。 GDPRを尊重して、アウトバウンドキャンペーンを停止しました。
2. 電子メールキャンペーンの再許可。 データベース全体に対して再許可キャンペーンを実行し、さまざまな種類の通信でそれらに連絡することについてきめ細かい同意を得ました。
3. ニュースレターフォーム。 GDPRに準拠するように更新されました。
4. 鉛磁石フォーム。 GDPRに準拠するように更新されました。
5. ウェビナーフォーム。 GDPRに準拠するように更新されました。
6. 無料トライアルフォーム。 GDPRに準拠するように更新されました。
7. ゲスト投稿フォーム。 GDPRに準拠するように更新されました。

人材（HR）：

スタッフをセミナーでトレーニングし、全員が基本的な知識をカバーするGDPR証明書を持っています。

顧客サポート：

GDPRの質問/チケットおよびデータ侵害に適切に対応するようにCSスタッフをトレーニングしました。

発達：

ソフトウェア開発サークルには、いくつかのガイドラインが適用されました。

1. トレーニング（開発者はプライバシーとセキュリティの側面についてトレーニングを受けました）
2. 設計（すべてのデータ指向およびプロセス指向の設計要件はGDPRによって推進されました）
3. コーディング（開発者は承認されたツールとフレームワークを使用し、安全でない機能とモジュールを無効にし、静的コード分析とコードレビューを定期的に実行します）
4. テスト（データ保護とセキュリティ要件が適切に実装されていることを確認するためにテストしました）
5. すべてのリリースの前に、インシデント対応計画が確立され、ソフトウェアの完全なセキュリティレビューが実行されました。 その後、リリースが承認され、開発プロセス全体からのすべての関連データがアーカイブされました。
6. メンテナンス（Convertは、インシデント、個人データの侵害、障害、および攻撃に対応する準備ができており、ユーザーおよびソフトウェアの影響を受けるユーザーに更新、ガイドライン、および情報を発行することができます）

ポリシーフレームワーク：データの安全性とプライバシーに重点を置いた未来へのガイド

ITリソース、プロセス、およびプラクティスの一貫した高品質の実装と管理を確実にするために、明確に定義されたポリシー、手順、および標準の包括的なフレームワークを定義しました。

これらのITポリシー、手順、および標準を開発する際に、情報セキュリティの問題のためにISO（国際標準化機構）によって特別に予約されているISO27000シリーズの標準を参照しました。

当社のITポリシーは、ITのセキュリティと使用に関するポリシーとデータに関するポリシーの2つの領域に分かれています。

ITセキュリティおよび使用ポリシー：

次のポリシーと手順は、ITのセキュリティと使用法に関する明確なガイダンスを提供します。

1. GDPRコンプライアンスのプライバシーとセキュリティのチェックリスト：GDPRでは、データ処理ライフサイクルのすべての段階で顧客と従業員の個人データを保護するためにConvertが必要です。クラウドベースのツールとソフトウェアを採用して使用する企業が増えるにつれ、この要件に準拠することが課題になります。 。 企業は、サービスプロバイダーを探す際に、さまざまなテクノロジーと法的側面を考慮する必要があります。 この特定のポリシーにより、プライバシーに焦点を当てたアプローチに沿ったサービスプロバイダーとベンダーを選択する際に、最も重要な要素を念頭に置くことができます。
2. オープンソースソフトウェアライセンスポリシー：このポリシーの目的は、開発サークルがコードの開発時に受け入れるオープンソースソフトウェアライセンスポリシーを認識できるようにすることです。
3. 従業員のパスワードポリシー：このポリシーの目的は、すべてのConvertInsightsのリソースとデータが適切なパスワード保護を受けていることを確認することです。 このポリシーは、1つ以上のアカウントを担当している、またはパスワードを必要とするリソースにアクセスできるすべての従業員を対象としています。
4. 利用規定：このポリシーは、ConvertInsightsのスタッフがConvertInsightsのITリソースまたはネットワークサービスを使用してコンテンツを利用、アクセス、または作成する際の責任を理解できるように設計されています。 Convert Insightsがこれらのリソースの許容可能な使用と見なすものを（理由の範囲内で）明確にし、定義します。
5. Webおよびソーシャルメディアポリシー：このポリシーは、Convert Insightsがこのデジタル資産を管理する方法を明確にし、ConvertInsightsに代わってデジタルコンテンツを作成する際のユーザー向けのガイドラインと公式のConvertInsightsソーシャルメディアアカウントの使用に関するガイドラインも提供します。
6. ITセキュリティポリシー：このセキュリティポリシーの目的は、効率的な管理と安全な保護、およびConvert Insightsと情報に依存するスタッフやその他の関係者の権利の保護を通じて、情報の価値を最大化するのに役立つ文化を促進することです。
7. 外部ホスティングサービスアンケート：このアンケートの目的は、サードパーティのデータプロセッサ（GDPRの観点から）が、ConvertInsightsの個人データの損失または公開のリスクを最小限に抑えるための許容可能なITセキュリティおよびデータプライバシーポリシーと手順を確実に実施することです。 。

データポリシーと手順：

次のポリシーと手順は、Convert Insightsがデータを使用および管理するための、許容可能で安全かつ合法的な方法に関する明確なガイダンスを提供します。

1. 一般データ保護ポリシー：このポリシーは、GDPRに従って個人の権利とプライバシーを保護するというConvertInsightsの取り組みに関する声明です。
2. 緊急事態管理計画：緊急事態管理チーム（EMT）は、違反に応じて会合し、緊急事態管理計画を呼び出す必要があるかどうかを決定します。 このチームは、データとリソースに関連する重大なインシデントまたはポリシー違反のエスカレーションポイントとして機能します。
3. データ管理ポリシー：このポリシーの目的は、Convert Insightsが保持するデータおよび情報へのアクセスを可能な限り可能にすると同時に、不正使用、アクセス、およびプライバシーの侵害から保護することです。
4. データ分類手順：データ管理ポリシーでは、データ所有者がデータの機密性と重要度に従ってデータを分類する必要があります。 この手順では、この分類を実行する方法を説明します。
5. スタッフデータ保護トレーニングポリシー：このポリシーおよびこのポリシーで参照されているその他のドキュメントは、個人データのすべての処理が一般データ保護規則（GDPR）に準拠していることを確認するためにConvertInsightsスタッフに提供されるトレーニングを示しています。
6. データアクセス要求手順：この手順の目的は、Convert Insightsが一般データ保護規則のアクセス要求規定に準拠していることを確認し、個人が必要に応じてデータアクセス要求を送信できるようにすることです。
7. 個人データ侵害エスカレーションポリシー：これらの手順の目的は、ConvertInsightsが保持する個人データまたは機密個人データに影響を与えるデータセキュリティ違反を報告および管理するためのフレームワークを提供することです。 これらの手順は、データ保護法に従って個人のプライバシー権を保護するというコミットメントを確認するデータ保護ポリシーを補足するものです。

GDPRを変換することは不便ではありません。

分析の使用方法を再構築し、最適化の世界での位置を再定義しました。

分析は、とらえどころのない洞察を見つけることを期待して、見込み客のデータを蓄えることではなくなりました。

もはや、パーソナライズが進むべき道であると想定することではありません。

GDPR後の分析とテストは、ミニマリズムに関するものです。 新しい革新的な方法で処理できるデータを最大限に活用します。

これらのプライバシーの変化を乗り越えられるツールが必要な場合は、現在および将来、15日間の猶予を与えてください。義務は発生しません。