GDPR準拠のA/Bテストソフトウェアを購入する方法

更新：ConvertはGDPRに完全に準拠するようになりました。 GDPRコンプライアンスを達成するための私たちの旅をここでチェックできます。

また、お客様がGDPRに準拠するのを支援することにも取り組んでいます。 これを簡単にするために、すべてのユーザーにデータ処理契約（DPA）の署名付きコピーを発行しています。

また、eプライバシー規制の今後の更新に関する進展を綿密に追跡しています。 いつものように、私たちはコンプライアンスを確保するために可能な限り積極的に取り組みます—私たち自身とお客様の両方のために

ネタバレ注意：忘れてください。

準拠したA/Bテストツールはありません。

つまり、A / Bテストツールからの「証明書」はなく、ヨーロッパのプライバシー当局からの2,000万ユーロの訴訟を回避できることを保証します。 しかし、可能なことは、プライバシーを念頭に置いて設計されたテストツールを選択することです。 デフォルト設定を使用するときに問題が発生しないもの。

この記事は、GDPR施行日（2018年5月25日）より前に、A/Bテストツールベンダーについて正しい質問をするのに役立ちます。 GDPRと今後のeプライバシー規制（ドラフト15333）で重要な各要素を分解し、最後にチェックリストを示します。

（チェックリストに直接ジャンプするには、ここをクリックしてください）

記事上で…

データの最小化

データ最小化の原則は、基本的に、限られた例外を条件として、組織は処理目的を達成するために実際に必要な（個人）データのみを処理する必要があるという考えです。

GDPRリサイタル39; Art.5（1）（c）
個人データは、適切で関連性があり、それらのデータが処理される目的に関連して必要なものに限定されている必要があります。

では、実験を実行するために必要な最小限のデータは何ですか？ つまり、A / Bテストの結果を取得するには、IP、ブラウザー、およびデバイスIDのすべての詳細を収集する必要がありますか？ いいえ。ツールで収集できるため、収集しています。 プライバシーを念頭に置いて、収集する必要のある要素に焦点を合わせ、残りは保存しないでください。 実験を実行するために不可欠なものは次のとおりです。

• 見られる変化
• 到達した目標：はい/いいえ（収益目標、製品数、および収益について）

必要なサブセグメントごとのさまざまな結果について詳しく知りたい場合は、次のようになります。

• サブセグメント：はい/いいえ

A / Bテストツールは、実際にはエンドユーザーごとに1行のデータを保存する必要はありません。 インサイトを取得するために保存する必要があるのは次のとおりです。

• 特定の変動を見たエンドユーザーの総数（合計およびサブセグメントごと）
• 目標をトリガーしたバリエーションのエンドユーザーの合計

そして、eコマースの設定では：

• バリエーションごとの平均製品と
• バリエーションごとの平均注文額…

…（個々の注文を保存せずに）新しい注文ごとに再計算できます。

残りの統計データは、エンドユーザーデータの個々の行を保存せずにオンザフライで再計算できます。 これにより、A / Bテストツールがデータ最小化ガイドラインに準拠できるようになり、プライバシーとセキュリティの侵害のリスクが大幅に低下します。

考えてみてください。 誰かが実験の合計だけで何をしますか？ A / Bテストツールにエンドユーザーデータが保存されていない場合、仮名/ハッシュデータでさえも、エンドユーザーを再識別できる方法はありません。

個人データにはIPアドレスが含まれます

個人識別情報（PII）の以前の定義と異なる場合は、GDPRで定義されている個人データ。 現在、IPアドレス、Cookie、およびUserIDはすべて個人データです。

その定義についてどのように感じるかに関わらず、それは法律です。 2016年10月19日、欧州連合司法裁判所（「CJEU」）は、事件582/14 – PatrickBreyervGermanyで判決を発表しました。 IPアドレスは特定の状況では個人データであると考えられていました。 この判決は、2016年5月以降、この場合の提唱者総長の意見と概ね一致しています。

個人データは、指令の第2条（a）で、「特定された、または特定可能な自然人（「データ主体」）に関連する情報として定義されています。 識別可能な人物とは、「直接的または間接的に識別できる人物[…]」です（強調を追加）。 識別可能性の問題のさらなる分析は、EUの第29条作業部会の意見4/2007で提供されています。

したがって、IPアドレスは個人データです。 限目。 訪問者から明示的な同意を得ない限り、匿名化することを選択できます（これは避けたい場合があります）。 ただし、そうしても、これは常に同意の境界にあり、再識別のリスクがあります。

この新しい法律の安全を100％維持するために、A/BテストツールにIPを保存しないことをお勧めします。

さて、あなたは尋ねるかもしれません…もし私たちがIPアドレスを保存できないなら、あなたはどのように国ターゲティングを実行しますか？

最も簡単な解決策は、エンドユーザーからの呼び出しを使用して追跡スクリプトを呼び出し、国を特定することです。 バリエーション/国の組み合わせを1つのサブセグメントに保存しますが、ユーザーには接続しません。 そのサブセグメントにビューを追加するだけで、そのセグメント内の他の何百ものビューと混合され、基本的には+1になります。 繰り返しになりますが、データベースから個々のエンドユーザーを分解する方法はありません。

ジオロケーションに関する追加の注意事項は、国のデータ自体が広すぎることですが、地域、都市、または郵便番号のサブセグメントには、エンドユーザーの同意が必要です。 他の要素と組み合わせると、それは本当に小さいサブセグメントである可能性があります（たった1人でも！）。 繰り返しになりますが、個人データを保存することができます。これには、ユーザーの同意が必要になります。

クッキーと個人データ

GDPRによると、Cookieは個人データでもあります。 しかし、すべてのCookieが同じように作成されるわけではありません。 ユーザーの同意が必要なものとそうでないものがある可能性があります。 詳細は、承認された後、新しいeプライバシー規制によって決定されます。 今のところ、ドラフト15333があります。これには、A/BテストツールなどのWeb分析ソフトウェアの例外があります。

A / Bテストツールは、「提供される情報化社会サービスの有効性を評価する」限り、同意要件はありません。 しかし、エンドユーザーを非常に具体的にターゲティングするか、Webサイトを使用しているユーザーの性質を特定しようとするとすぐに、同意が必要な領域に移動します。

A/Bテストツールで使用されるCookieに一意の識別子がないことを再確認する必要があります。 一意の識別子により、Cookieを個人データとして認定することができます。

eプライバシー規制（ドラフト15333）はまだ法律ではなく、GDPRを補完することを目的としていますが、GDPR自体が、どのタイプのCookieがその性質上個人データの処理を伴うかについてのガイダンスを提供します。 これの鍵となるリサイタルが1つあります。

これは、デバイスおよび/またはデバイスの使用に関連する個人の一意の識別子を含むCookieを個人データとして扱う必要があることを示しています。 この考えは、リサイタル26によっても強化されています。このリサイタルでは、個人データは、個人を識別するために、単独で、または他のデータと組み合わせて合理的に使用できるデータによっても定義されると述べています。

したがって、A / Bテストツールは、GDPRに準拠するために一意の識別子を削除する必要があります。 また、サーバー側の1つのCookieに接続された個々のレコードを保存しないでください。 これにより、eプライバシー規制の例外の範囲外になります。

Cookieによく含まれる偽名の識別子（数字や文字の文字列など）も、個人データとしての資格があります。 したがって、GDPRの下では、ユーザーに一意に帰属し、したがって個人を識別できるCookieまたはその他の識別子は、この識別子がサーバー側に保存されると、個人データの処理としてカウントされます。

ユーザーIDと個人データ

個人に固有のユーザーID、または個人の個人データにクロスリンクできるその他の識別子を保存することは…ご想像のとおり…個人データです。 したがって、これらは同意が必要であり、避ける必要があります（リサイタル30はここでも適用され、以下のリサイタル50も同様です）。

Convertには、ユニバーサルユーザーIDと呼ばれる機能があります。 たとえば、これを使用して、ユーザーが購入した後にeコマースシステムからセッションを再接続する場合、顧客との関係で合意された条件に同意が組み込まれることがあります。 ただし、GDPRを想定するのではなく、絶対的な透明性を提供することが最善であるため、デバイス、セッション、ブラウザの統合については別途同意することをお勧めします。

まだ個人データの保存を計画していますか？

では、すべてをA / Bテストツールに保存することにしましたか？ セッションID、ユーザーID、またはその他の識別子を適切に保存するということは、それが

• 保護されています
• 正確
• オンデマンドで更新
• 必要に応じて消去

個人データの保存とそれに伴うすべての楽しみに関連して、GDPR法のいくつかの項目を紹介します。

GDPRとエンドユーザーデータの精度

したがって、個人データを保存するA / Bテストツールがあり、テストが重要になる場合、エンドユーザーがWebサイトに必要なフォームに入力すると、それらの結果をフリーズするツールが必要になります。 前の段落で、分析ツールに個人データを保存するように説得されていない場合は、GDPR法のこの部分に保存されます。 ここにそれを綴る記事全体を貼り付けます。

それで…それについて少し考えさせてあげましょう…
…
…

ええ、そう思いました。 今、私と一緒に…これを大声で言いなさい。

• A/Bテストツールに個人データを保存しないことを約束します
• A/Bテストツールに個人データを保存しないことを約束します
• A/Bテストツールに個人データを保存しないことを約束します

したがって、A / Bテストプロバイダーを再確認し、彼らがユニークな訪問者の個々の記録を物語る方法がないことを確認してください。

つまり、私たちは皆、クライアントや上司により良い洞察と良いニュースをもたらしたいのです。 そして、失われたA / Bテストにドリルダウンして、いくつかのサブセグメントが勝ったかどうかを確認するのは素晴らしいことです。

しかし、本当に…あなたは、プレゼンテーションのスクリーンショットで総訪問者を隠し、スウェーデンのChromeの1つのバリエーションで1460％の勝利で人々を驚かせるような人々の1人になりたいですか？

次のことを受け入れてください。明確な仮説を立ててテストを設定し、実験を実行して、十分なトラフィックが到着したら（ピークなしで）テストを停止します。 小さなサブセグメントで勝者を探すことは、あなたをより良いマーケターにすることにはなりません。

GDPRを使用すると、保存すればするほど、より多くのことを知ることができ、トラフィックのセグメントが実際のエンドユーザーになる可能性が高くなります。 それに伴い、データの保護、データの要求（サブジェクトアクセス要求を使用）、データの消去、およびデータの更新に対する要求が高まっています。
保存しないでください。A/Bテストツールに保存されていないことを確認してください。心配することが1つ少なくなります。

それでも同意を求めて、すべての個人データをA / Bテストツールに保存することにした場合は、A / Bテストツールを使用して、一意の訪問者に基づいて生データを簡単にエクスポートできるようにしてください。 ロックされていることを確認してください。 ユーザーに関して保存されている関心、カテゴリ、その他のセグメンテーションを変更でき、A/Bテストの履歴結果を変更せずにデータを消去できること。

個人データを収集することにより、EU市民および欧州の人々がWebサイトにアクセスする際の権利を尊重する必要があります。 これも：

• 実験、オーディエンス、セグメント（および目標）内で収集したデータを表示する可能性。
• それらに関する一部またはすべてのデータを更新/修正する可能性。
• 彼らの要求に応じて彼らのデータを削除する可能性。
• すべてのデータをエクスポートする可能性。 したがって、ユーザーがそれを要求している場合は、自分のIPアドレスまたは一意の識別子にリンクされたデータをエクスポートする必要があります。 たとえば、.csvファイルとして簡単にエクスポートできます。

したがって、個人データを保存することを決定した場合は、データアクセス、修正、および消去に関するサブジェクトアクセスリクエストを提供する必要があります。

• アクセスする権利
• 処理を制限する権利
• 是正する権利
• 忘れられる権利
• データの移植性に対する権利

GDPRのテキストに記載されているように、すべてのサブジェクトアクセスリクエストは、受領から遅くとも1か月以内に処理および解決する必要があります。

質問するのは怖いですが、バリエーションのサブセグメンテーションはどうですか？

カスタムディメンション、カスタム変数などを使用して、このようなデータを収集できます。

さて、二度と始めないようにしましょう。 GDPRの第15条で、そのデータに対するエンドユーザーの権利に基づいて何も保存しないことを約束しました。 ただし、その情報を接続するための識別子がない場合でも、個人データを保存している可能性があります。 この例はその理由を説明しています。

モバイル、テーブル、またはデスクトップデバイスを可能にするテクノロジーは、現在の場所に接続できます。 他の組織もこのタイプの情報を使用して場所固有のコンテンツや広告を提供したい場合がありますが、場所データ、特に時間の経過に伴う個人の動きの正確なパターンに関するデータは、その個人の個人的な生活に関する非常に詳細な情報を明らかにする可能性があります。 これは個人データです。

したがって、A / Bテストツールの場合、これは、個々のユーザーを複数のセグメントに格納でき、一緒にこの個人を個人として識別できることを意味します。 したがって、個々のレコードを保存するのではなく、データベース内のセグメントのグループのみを保存することをお勧めします。 また、国よりも具体的な場所の場所データを含む複数のサブセグメントの収集を開始する場合は、同意を求めてください。 A / Bテストツールは、収集するセグメントが多すぎる場合にアドバイスを提供できますが、私の意見では、個々のレコードを保存することは問題を引き起こしているだけです。

そして、サードパーティのデータを接続しますか？ BlueKaiのように？

エンドユーザーの同意が必要です。 または、BlueKaiとあなたは共同コントローラーになることができます。 つまり、エンドユーザーのデータ収集の瞬間に、BlueKaiはあなたの名前で同意を求めました。 ありそうもないことですが、この記事の執筆時点では、データに関する同意の形式を使用して、A/Bテストツールで視聴者を充実させることに同意する必要があります。 たとえば、BlueKaiなどのデータプロバイダーに問い合わせてください。

ヨーロッパのみを追跡しませんか？ 本気ですか？

Do Not Track（または単にDNT）は、エンドユーザーがほとんどのブラウザーで設定できるプライバシー設定です。 あなたとあなたのエンドユーザーが私たちにデータをどのように使用してほしいかについてのシグナルとしてDNTを尊重する必要があります。 ここ数年、多くのエンドユーザーがブランドとの新しい関わり方を望んでいることを示しました。 たとえば、カナダでは、カナダの連邦法によりプライバシー法が変更されています。 または、プライバシーシールドの新しい段階での米国議会で。 または、加盟国がエンドユーザーとのより敬意のある相互作用のサポートを表明する欧州連合では。 あなたはそれらを聞き、それらを尊重するべきです。

DNTには3つの可能な値があります。

1. 追跡しない（追跡をオプトアウトする）
2. 追跡（追跡にオプトイン）
3. Null –優先なし

デフォルトでは、Webブラウザはnull値（設定なし）を使用します。これは、エンドユーザーが追跡するかどうかの希望を表明していないことを示します。 A / Bテストツールには、オプション1のブラウザで[追跡しない]（追跡をオプトアウトする）が設定されている場合に、スクリプトを読み込まないように設定する必要があります。
JonathanMayerとArvindNarayananは、スタンフォード大学の2人の主要な研究者であり、DoNotTrackテクノロジーに取り組んでいます。 彼らのモデルは、HTTPヘッダーの情報を使用して、すべてのオンライン追跡を普遍的にオプトアウトします。

「テクノロジーモデルとして、Do Not Trackはオプトアウトメカニズムよりも明らかに優れています」とMayer氏は述べ、ウェブサイトでテクノロジーをサポートするというGoogleの他のブラウザの取り組みについて言及しました。

「これで、テクノロジーの問題は解決しました。追跡しないでください。」

A / Bテストツールには、次のオプションがあります。

• 追跡しないことは十分に重要であり、顧客が何かをオンまたはオフにする必要なしにツールによって尊重されます。 それはうまくいきます（完全な開示：Convertで、これを選びました…）。
• 追跡禁止は、すべてのプラットフォームのユーザーがオンまたはオフにできます（管理者としてすべてのプロジェクトのデフォルトになっていることを確認してください）。
• 追跡禁止は、プロジェクトごと、および地域（ヨーロッパ）ごとにプラットフォームのユーザーがオンにできるため、各プロジェクトの管理者が確認する必要があります。

次に、電源を入れたときに実際に何が起こるかが重要です。

クッキーを配置しますか（推奨されません）、またはツールがまったくロードされませんか（私たちはそれを選択しました）。 最初の（Cookieの配置）の欠点は、Cookieがエンドユーザーに警告をトリガーする可能性があり、Webサイトの所有者がユーザーからより多くのデータ要求を受け取る可能性があることです。 スクリプトをまったくロードしないことの欠点は、ブラウザー拡張機能とユーザーが実際にはまったく追跡されないことです（したがって、バリエーションやエクスペリエンスを追跡する訪問者は、分析ツールとは異なり始める可能性があります）。 私の意見では、2番目の問題の方が理にかなっています。 さまざまなツールが同意を得るかどうかにかかわらず、GDPRはとにかく数字を台無しにします。 したがって、1つの「真の」結果を確認するためにそれらすべてを一致させることは、とにかくほぼ不可能になります。

説明責任

はい、利用規約、プライバシーポリシー、Cookieポリシーを変更する必要があります（またはそれをプライバシーポリシーに含める必要があります）。 また、ウェブサイトに同意マネージャーが必要です…

プロセッサとコントローラを更新するだけです（混乱しますよね？）。

あなたはあなたのウェブサイト訪問者（エンドユーザー）間の関係の管理者です。 A/Bテストツールはプロセッサです。

これは、GDPRに準拠する責任があり、A/Bテストツールのベンダーに指を向けることができないことを意味します。 これを行う最も賢い方法は、A/Bテストツールのベンダーがこの記事で説明されているように準拠するためにすべてを行っていることを確認することです。

収益の追跡？ 個人データとしての注文番号？

ここに疑問があります。 注文ID（注文番号または取引ID）は個人データになりますか？

私はそうは思いませんが、個人データを非識別情報（たとえば、顧客の名前と住所からの注文番号）から分離することは良い習慣です。

私たちは、eプライバシー規制の変更の可能性について顧客に心配させたくないので、会社として、この情報をツールの収益追跡セクションに保存しないことにしました。

平均注文額、購入した製品、収益、注文IDの組み合わせは、私たちのデータベースに入れるには少し多すぎる非識別情報です。 しかし、これはあなたとあなたのA /Bテストベンダーがあなたがこれにどのように対処したいかについて議論することです。 データの最小化では、基本的に、できるだけ少なく保存するように要求されます。 収益の追跡にはこれは必要ないため、個人の収益、製品数、および個人（エンドユーザー）レベルのその他の注文データとともに、データセットから削除します。

統合？

エンドユーザーが参加したバリエーションとエクスペリエンスに関する情報を送信する場合は、これに同意することをお勧めします。

くそー、何か良いニュースはありますか？

うん…

コンテンツを読み取るためにCookieを受け入れる必要があったCookieの壁を覚えていますか？ まあ、それらはなくなっています。 それらをもう立てることはできないので、すべての訪問者にコンテンツを表示するか、特定のトラッカーの同意を求めるか、ペイウォールの後ろに移動します。

それでおしまい？

もういや…

GDPRによると、Cookieはユーザーのインターネット体験を向上させます。たとえば、ショッピングカートの履歴を記憶します。 または、複数のページにわたるフォームに記入する場合。

GDPRでの分析は、収集された個人データが最初の当事者によってのみ処理される限り可能です。 eプライバシーはCookieに関して固有であり、GDPRはそうではありません。 eプライバシー規制ドラフト15333、記事21をお読みください。

最後にもう1つ…米国とEUベースのサーバー

あなたがあなたのウェブサイトをどこでホストするかは重要ですか？ または、A / Bテストトラッカースクリプトはどこからロードされますか？ または、実際のデータセットはどこにありますか？ はい、それ以外の場合はこの記事には含まれません

サーバーの場所は主にデータ転送に関するものであり、個人データを使用する場合はそれだけで同意が必要になります。 第三国または国際機関への個人データの転送に関するGDPRの第5章を確認する必要があります。 これにより、データが欧州連合の外部に保存されている場合の対処方法についての洞察が得られます。

第三国の個人データ保護のレベルは、すべての加盟国に完全に拘束力のある「妥当性の調査結果」を通じて欧州委員会によって評価されます。 第三国の「妥当性」が認められると、それ以上の保護措置を講じることなく、個人データをこの国に転送することができます。

転送（第44条）および適切性の決定に基づく転送（第45条）の一般原則では、議論は主にEU以外の国（およびノルウェー、リヒテンシュタイン、アイスランド）へのデータ転送を中心に行われることが多いと説明しています。オプションのみがあります：

• プライバシーシールド（米国向け）および適切な国（欧州委員会はこれまで、アンドラ、アルゼンチン、カナダ（商業組織）、ファロー諸島、ガーンジー、イスラエル、マン島、ジャージー、ニュージーランド、スイス、ウルグアイ、および米国（適切な保護を提供するものとして、プライバシーシールドフレームワークに限定されます。
• モデル契約条項とも呼ばれる標準契約条項
• 拘束力のある企業ルール（GDPRの第47条でカバーされています）。

A / Bテストベンダーは米国企業である可能性が高いです。その場合、1回限りの作業であるため、最も簡単な選択はプライバシーシールドとSCCのようです。 私たちの会社にとって、これは、（ウェブサイトのエンドユーザーの）すべての顧客データがフランクフルトのカーボンニュートラルサーバーに保存されている場合でも、米国企業の法的基盤はプライバシーシールドとSCCになることを意味します（私たちは非常に安全であり、ドイツに顧客データセットを備えたすべてのサーバーがあります）。

結論

GDPRは大規模であり、欧州連合の企業だけに限定されているわけではありません。 現在、eプライバシー規制ドラフト1533とGDPRを見ると、同意なしにすべての訪問者に対してConvertExperiencesを使用してA/Bテストを実行できると私たちは考えています。

会社としてのConvertがどのように準拠するかについてのページ全体の設定と、GDPRへの準拠を容易にするために取り組んでいる詳細に関するアプリケーションロードマップ全体があります。

ベンダーに、コンプライアンスの観点からツールをどのように見ているか、および同意を必要とせずにデータベース構造をA/Bテストに大幅に簡素化することに取り組んでいる場合を尋ねます。

ツールが同意を必要とする場合、それはマーケティングスタックに大きな影響を与えるからです。 大きな懸念は、同意ベースのA / Bテストツールを使用すると、トラフィックの80％以上が失われることです。

A / Bテスト：GDPRコンプライアンスチェックリスト

データの最小化

ベンダーの質問？
（ロードマップの完了後）データベースに一意の訪問者ごとにどのフィールドを保存しますか？

回答例
何もない

個人データ

ベンダーの質問？
ビジターIPを保存していますか？

回答例
いいえ

ベンダーの質問？
訪問者ごとに国/地域/都市またはその他の位置データを保存していますか？

回答例
いいえ

ベンダーの質問？
Cookieの内容やサポート記事へのリンクについて説明してください。

回答例
https://convert.zendesk.com/hc/en-us/articles/204495429-Convert-Experiences-Tracking-Cookies-Structure

ベンダーの質問？
クッキーはどのくらいの期間保存されますか？

回答例
6ヵ月。

ベンダーの質問？
一意のユーザーID（セッションID、デバイスID、ユーザーID、または電子メール）を保存しますか、および/または電子メールやその他の個人データを保存することを許可しますか？ もしそうなら、それはどこに保存されていますか？

回答例
いいえ、情報の保存も許可されていません（利用規約も参照してください）。 例外は、顧客の同意が必要な場合にユニバーサルID機能がオンになっている場合です

ベンダーの質問？
あなたのツールは、エンドユーザーのサブジェクトアクセスリクエストをどのように支援しますか？

回答例
個人データを保存しないことによるサポート

ベンダーの質問？
ツールはDoNotTrackをどのようにサポートしていますか？

回答例
はい、デフォルトではスクリプトはロードされていません（GDPR A / Bテストアプリのロードマップも参照してください）

データの最小化

ベンダーの質問？
（ロードマップの完了後）データベース内の一意の訪問者によってどのフィールドを保存しますか？

回答例
何もない

Security

Vendor Question?
What server location (country) is our end-user data stored?

Example answer
フランクフルト、ドイツ

Vendor Question?
If end-user or company information is stored outside the EEU what legal base you are using to transfer the information.

Example answer
End-user information is not stored and not transferred outside the EEU, unless customer requests debugging logging (stored max. 6 days). Customer information and debugging logs could be transferred on bases of Privacy Shield to US servers.

Vendor Question?
What security systems you have in place on databases and system where end-user information is stored?

Example answer
C5, DoD SRG, FedRAMP, FIPS, ISO 9001, ISO 27001, ISO 27017, ISO 27018, PCI, DSS Level 1, SEC Rule 17-a-4(f), SOC 1, SOC 2, SOC 3

GDPR compliance

Vendor Question?
How does your company prepare for GDPR compliance?

Example answer
Find all about out company GDPR compliance program, here.

Vendor Question?
How does your company assist us as controller with GDPR compliance of end-user data?

Example answer
The application roadmap is now public.

Disclaimer: Note that this article represents the views of the author solely, and are not intended to constitute legal advice.