Como comprar um software de teste A/B compatível com GDPR

Atualização : o Convert agora é totalmente compatível com GDPR. Você pode conferir nossa jornada para alcançar a conformidade com o GDPR aqui.

Também estamos comprometidos em ajudar nossos clientes a se tornarem compatíveis com o GDPR. Para facilitar isso, estamos emitindo a todos os nossos usuários uma cópia assinada do nosso Contrato de Processamento de Dados (DPA).

Além disso, estamos acompanhando de perto os desenvolvimentos em torno das próximas atualizações dos regulamentos de privacidade eletrônica. Como sempre, seremos o mais proativos possível para garantir a conformidade - tanto para nós mesmos quanto para nossos clientes

Alerta de spoiler: esqueça.

Não há ferramenta de teste A/B compatível.

Ou seja, não há “certificado” de uma ferramenta de teste A/B garantindo que você evitará esse processo de 20 milhões de euros de uma autoridade de privacidade europeia. Mas o que é possível é que você escolha uma ferramenta de teste projetada com a privacidade em mente. Um que não causará problemas ao usar sua configuração padrão.

Este artigo ajuda você a fazer as perguntas certas sobre seu fornecedor de ferramentas de teste A/B antes da data de aplicação do GDPR (25 de maio de 2018). Desconstruirei cada elemento importante no GDPR e no próximo regulamento de privacidade eletrônica (rascunho 15333) e fornecerei uma lista de verificação no final.

(Clique aqui para ir direto para a lista de verificação)

Neste artigo…

Minimização de dados

O princípio da minimização de dados é essencialmente a ideia de que, sujeita a exceções limitadas, uma organização deve processar apenas os dados (pessoais) de que realmente precisa para atingir seus objetivos de processamento.

Considerando 39 do GDPR; Art.5(1)(c)
Os dados pessoais devem ser adequados, relevantes e limitados ao necessário em relação às finalidades para as quais esses dados são processados.

Então, quais são os dados mínimos necessários para executar experimentos? Quero dizer, você precisa coletar todos os detalhes do IP, navegador e ID do dispositivo para obter resultados para seu teste A/B? Não. Você os está coletando porque a ferramenta pode coletá-los. Com a privacidade em mente, concentre-se nos elementos que você precisa coletar e não armazene o resto. O que é essencial para executar um experimento é:

• Variação vista
• Meta atingida: sim/não (sobre metas de receita, contagem de produtos e receita)

Quando você quiser se aprofundar nos diferentes resultados por subsegmento necessários, por exemplo:

• Subsegmento: sim/não

A ferramenta de teste A/B não precisa armazenar uma linha de dados para cada usuário final. O que você precisa armazenar para obter insights é:

• Total de usuários finais que viram variação específica (total e por subsegmento)
• Total de usuários finais de uma variação que acionou uma meta

E, em um ambiente de comércio eletrônico:

• Os produtos médios por variação e
• O valor médio do pedido por variação…

…que pode ser recalculado em cada novo pedido (sem armazenar os pedidos individuais).

O restante dos dados estatísticos pode ser recalculado dinamicamente sem armazenar linhas individuais de dados do usuário final. Isso permite que sua ferramenta de teste A/B cumpra as diretrizes de minimização de dados e reduz significativamente o risco de violação de privacidade e segurança.

Pense nisso. O que alguém faria com apenas os totais de um experimento? Se não houver dados de usuário final armazenados em sua ferramenta de teste A/B, nem mesmo dados pseudônimos/com hash, não há como os usuários finais serem reidentificados.

Dados pessoais incluem endereço IP

Dados pessoais, conforme definido pelo GDPR, se diferentes das definições anteriores de Informações Pessoais Identificáveis ​​(PII). Agora, endereços IP, cookies e UserID são todos dados pessoais.

Independentemente de como você possa se sentir sobre essa definição - é lei. Em 19 de outubro de 2016, o Tribunal de Justiça da União Europeia (o “TJUE”) publicou sua sentença no Caso 582/14 – Patrick Breyer v Alemanha. Considerou que os endereços IP são dados pessoais em determinadas circunstâncias. O acórdão está amplamente em conformidade com as conclusões do advogado-geral neste processo, de maio de 2016.

Os dados pessoais são definidos no artigo 2.º, alínea a), da diretiva como “qualquer informação relativa a uma pessoa singular identificada ou identificável («titular dos dados»). Uma pessoa identificável é aquela “que pode ser identificada, direta ou indiretamente […]” (grifo nosso). Uma análise mais aprofundada da questão da identificabilidade é fornecida pelo Grupo de Trabalho do Artigo 29.º da UE, no seu Parecer 4/2007.

Portanto, os endereços IP são dados pessoais. Período. Você pode optar por torná-los anônimos, a menos que receba o consentimento explícito do visitante (o que você pode querer evitar). Mas mesmo se você fizer isso, isso sempre estará no limite do consentimento – e correrá o risco de reidentificação.

Sugerimos que você não armazene IP's em sua ferramenta de teste A/B, para ficar 100% no lado seguro desta nova lei.

Agora você pode perguntar... se não podemos armazenar endereços IP, como você executa a segmentação por país?

A solução mais fácil é usar a chamada do usuário final para chamar o script de rastreamento e identificar o país. Armazene a combinação de variação/país em um subsegmento, mas não conectado a um usuário. Basta adicionar uma visualização extra a esse subsegmento, para que seja misturado com as centenas de outros nesse segmento e basicamente apenas +1. Então, novamente, não há como desconstruir o usuário final individual do banco de dados.

Uma observação adicional sobre geolocalização é que os dados do país em si são muito amplos, mas seus subsegmentos de região, cidade ou CEP exigirão o consentimento do usuário final. Combinados com outros elementos, podem ser subsegmentos realmente pequenos (mesmo apenas 1 pessoa!). Então, novamente, você pode armazenar dados pessoais, e isso exigiria o consentimento do usuário.

Cookies e dados pessoais

De acordo com o GDPR, os cookies também são dados pessoais. Mas nem todos os cookies são criados iguais. Pode ser possível que alguns exijam o consentimento do usuário, enquanto outros não. Os detalhes serão determinados pelos novos Regulamentos de ePrivacy—uma vez aprovados. Por enquanto, temos o rascunho 15333, que tem uma exceção para software de análise da web, como ferramentas de teste A/B.

As ferramentas de teste A/B estão isentas de requisitos de consentimento, desde que estejam “avaliando a eficácia de um serviço da sociedade da informação entregue”. Mas assim que você entra em uma segmentação muito específica de usuários finais, ou tenta identificar a natureza de quem está usando o site, você está entrando em uma área que requer consentimento.

Você deve verificar novamente se os cookies usados ​​por sua ferramenta de teste A/B não possuem um identificador exclusivo. O identificador exclusivo pode fazer com que um cookie se qualifique como dados pessoais.

Embora o regulamento de privacidade eletrônica (projeto 15333) ainda não seja uma lei, e sua intenção seja complementar o GDPR - o próprio GDPR nos fornece algumas orientações sobre quais tipos de cookies, por sua natureza, envolvem o processamento de dados pessoais. Há 1 considerando que é fundamental para isso:

Isso nos diz que os cookies que contêm um identificador exclusivo para o dispositivo e/ou o indivíduo associado ao uso do dispositivo devem ser tratados como dados pessoais. Esta ideia é também reforçada pelo considerando 26, que afirma que os dados pessoais são também definidos por dados que podem ser razoavelmente utilizados, isoladamente ou em conjunto com outros dados, para identificar um indivíduo.

Portanto, sua ferramenta de teste A/B deve remover todos os identificadores exclusivos para cumprir o GDPR. Além disso, nunca armazene o registro individual conectado a um cookie no lado do servidor. Isso faria com que ele ficasse fora da exceção nos regulamentos de privacidade eletrônica.

Identificadores pseudônimos (por exemplo, sequências de números ou letras), que é o que os cookies geralmente contêm, também se qualificam como dados pessoais. Portanto, de acordo com o GDPR, qualquer cookie ou outro identificador atribuído exclusivamente a um usuário e, portanto, capaz de identificar um indivíduo, conta como processamento de dados pessoais quando esse identificador é armazenado no lado do servidor.

IDs de usuário e dados pessoais

Armazenar um ID de usuário específico para um indivíduo, ou qualquer outro identificador que você possa vincular a dados pessoais individuais... é... você adivinhou... dados pessoais. Portanto, estes requerem consentimento e devem ser evitados (o considerando 30 também se aplica aqui, assim como o considerando 50 abaixo).

O Convert tem um recurso chamado Universal User ID. Se isso, por exemplo, for usado para reconectar sessões de um sistema de e-commerce após a compra dos usuários, o consentimento pode ser incorporado aos termos acordados com o relacionamento com o cliente. Mas ainda sugerimos um consentimento separado para a unificação de dispositivos, sessões e navegadores, pois é melhor não assumir com o GDPR, mas oferecer transparência absoluta.

Ainda planejando armazenar dados pessoais?

Então você decidiu armazenar tudo em sua ferramenta de teste A/B? Bem, armazenar um ID de sessão, ID de usuário ou qualquer outro identificador significa que você precisa ter certeza de que está

• Protegido
• Exato
• Atualizado sob demanda
• Apagado quando necessário

Deixe-me apresentar alguns itens da lei GDPR no contexto do armazenamento de dados pessoais e toda a diversão que vem com isso.

GDPR e precisão de dados do usuário final

Portanto, quando você tem uma ferramenta de teste A/B que armazena dados pessoais e seus testes atingem significância, você precisa de uma ferramenta que congele esses resultados assim que os usuários finais preencherem os formulários que você precisa ter em seu site. Se os parágrafos anteriores ainda não o convenceram a ter dados pessoais armazenados em sua ferramenta de análise, esta parte da lei GDPR o fará. Vou colar o artigo inteiro que explica isso aqui.

Então… vou deixar você pensar sobre isso por um minuto…
…
…

Sim, eu pensei assim. Agora todos juntos comigo... digam isso em voz alta.

• Prometo não armazenar dados pessoais na minha ferramenta de teste A/B
• Prometo não armazenar dados pessoais na minha ferramenta de teste A/B
• Prometo não armazenar dados pessoais na minha ferramenta de teste A/B

Portanto, verifique novamente seu provedor de testes A/B e certifique-se de que não há como eles relatarem registros individuais de visitantes únicos.

Quero dizer, todos nós queremos trazer melhores insights e boas notícias para clientes e chefes. E é incrível detalhar os testes A/B perdidos e ver se algum subsegmento venceu.

Mas realmente... você quer ser uma daquelas pessoas que esconde o total de visitantes nas capturas de tela da sua apresentação e surpreende as pessoas com 1460% de vitórias em uma variação do Chrome na Suécia?

Apenas aceite o seguinte: você configura um teste com uma hipótese clara, executa o experimento e o interrompe quando chega tráfego suficiente (sem espiar). Procurar vencedores em pequenos subsegmentos não faz de você um profissional de marketing melhor.

Com o GDPR, quanto mais você armazenar, mais saberá – e maior a chance de segmentos de tráfego se tornarem usuários finais reais. Junto com isso, vem uma demanda maior de que você proteja os dados, solicite os dados (usando solicitações de acesso do titular), apague os dados e atualize os dados.
Apenas não o armazene, certifique-se de que sua ferramenta de teste A/B não o armazene e você se deu uma coisa a menos para se preocupar.

SE ainda assim você decidir que não se importa em pedir consentimento e armazenar todos os dados pessoais em sua ferramenta de teste A/B, certifique-se de que sua ferramenta de teste A/B permita uma maneira fácil de exportar dados brutos com base em visitantes únicos. Certifique-se de que está trancado. Que pode modificar interesses, categorias e outras segmentações armazenadas sobre usuários, e pode apagar os dados sem modificar resultados históricos de testes A/B.

Ao coletar dados pessoais, você terá que respeitar os direitos dos cidadãos da UE e das pessoas na Europa no momento da visita ao seu site. Isso inclui:

• A possibilidade de eles visualizarem os dados que você coletou sobre eles dentro de experimentos, públicos e segmentos (e objetivos).
• A possibilidade de atualizar/retificar alguns ou todos os dados que lhes digam respeito.
• A possibilidade de excluir seus dados mediante solicitação.
• A possibilidade de exportar todos os dados. Portanto, se um usuário estiver solicitando, você terá que exportar os dados vinculados ao(s) seu(s) endereço(s) IP ou identificador único. Ele pode ser facilmente exportado como um arquivo .csv, por exemplo.

Portanto, quando você decidir que armazenará dados pessoais, deverá oferecer uma Solicitação de Acesso do Titular referente ao acesso, retificação e exclusão de dados.

• o direito de acesso
• o direito de restringir o processamento
• o direito de retificação
• o direito de ser esquecido
• o direito à portabilidade de dados

Cada Solicitação de Acesso do Sujeito precisará ser processada e resolvida dentro do prazo de, no máximo, um mês após o recebimento, conforme descrito no texto do GDPR.

Estou com medo de perguntar, mas e as sub-segmentações para variações?

Você pode coletar esses dados usando dimensões personalizadas, variáveis ​​personalizadas... e muito mais.

Agora não vamos começar de novo. Você acabou de me prometer que não armazenaria nada com base nos direitos dos usuários finais a esses dados no artigo 15 do GDPR. Mas mesmo quando você não tem identificadores para conectar essas informações, ainda pode estar armazenando dados pessoais. Este exemplo explica o porquê.

As tecnologias que permitem celulares, mesas ou dispositivos desktop podem ser conectadas à sua localização atual. Outras organizações também podem querer usar esse tipo de informação para fornecer conteúdo ou publicidade específica do local, no entanto, dados de localização, especialmente dados sobre o padrão preciso dos movimentos de um indivíduo ao longo do tempo, podem revelar detalhes muito íntimos sobre a vida pessoal dessa pessoa. Isso são dados pessoais.

Portanto, para sua ferramenta de teste A/B, isso significa que você pode armazenar um usuário individual em vários segmentos e, juntos, esse indivíduo pode ser identificado como uma pessoa. Portanto, o conselho é nunca armazenar registros individuais – apenas grupos de segmentos no banco de dados. E peça consentimento quando você começar a coletar vários subsegmentos que envolvem dados de localização em locais mais específicos do que o país. Sua ferramenta de teste A/B pode aconselhá-lo quando você estiver coletando muitos segmentos, mas, na minha opinião, armazenar registros individuais é apenas causar problemas.

E conectar dados de terceiros? Gostou do Blue Kai?

Você precisa do consentimento do usuário final. Ou, BlueKai e você podem ser controladores conjuntos; ou seja, no momento da coleta de dados do usuário final BlueKai, pediu consentimento em seu nome. Sendo improvável, no momento da redação deste artigo, você precisa de consentimento para enriquecer seu público em ferramentas de teste A/B com um formulário de consentimento sobre os dados. Pergunte ao seu provedor de dados, por exemplo, BlueKai.

Não rastrear apenas para a Europa? Tem certeza?

Não rastrear (ou apenas DNT) é uma configuração de privacidade que os usuários finais podem definir na maioria dos navegadores. Você deve respeitar o DNT como um sinal de como você e seus usuários finais desejam que usemos os dados . Nos últimos anos, muitos usuários finais sinalizaram que desejam uma nova maneira de se envolver com as marcas. Por exemplo, no Canadá – onde a legislação federal canadense nos traz mudanças na Lei de Privacidade. Ou no Congresso dos EUA com uma nova etapa no Privacy Shield. Ou na União Europeia, onde os estados membros expressam o apoio a uma interação mais respeitosa com os usuários finais. Você deve ouvi-los e respeitá-los.

DNT tem três valores possíveis:

1. Não rastrear (desativar o rastreamento)
2. Rastrear (Ativar o rastreamento)
3. Nulo – Sem preferência

Por padrão, os navegadores da Web usam o valor nulo (sem preferência), indicando que o usuário final não expressou o desejo de ser rastreado ou não. Sua ferramenta de teste A/B deve ter uma configuração para não carregar NENHUM script quando a opção um, Não rastrear (Desativar rastreamento) no navegador estiver definida.
Jonathan Mayer e Arvind Narayanan são os dois principais pesquisadores da Universidade de Stanford que trabalham na tecnologia Do Not Track. Seu modelo usa informações no cabeçalho HTTP para desativar universalmente todo o rastreamento online.

“Como modelo de tecnologia, o Do Not Track é claramente superior a um mecanismo de exclusão”, disse Mayer, referindo-se aos compromissos do outro navegador do Google para oferecer suporte à tecnologia em seus sites.

“Então a questão da tecnologia agora está resolvida: é Do Not Track.”

Sua ferramenta de teste A/B pode ter as seguintes opções:

• Do Not Track é importante o suficiente e é respeitado pela ferramenta sem a necessidade de os clientes ligarem ou desligarem qualquer coisa. Simplesmente funciona (divulgação completa: na Convert, escolhemos este…).
• O Do Not Track pode ser ativado ou desativado pelos usuários de toda a plataforma (verifique se é padrão para todos os seus projetos como administrador).
• O Do Not Track pode ser ativado pelos usuários da plataforma por projeto e região (Europa) e deve ser verificado pelo administrador em cada projeto.

Então o que realmente acontece quando é ligado é importante.

Você colocará um cookie (não sugerido) ou a ferramenta simplesmente não carrega (selecionamos isso). A desvantagem do primeiro (colocar o cookie) é que os cookies podem acionar um aviso para os usuários finais, e o proprietário do site pode receber mais solicitações de dados dos usuários. A desvantagem de não carregar o script é que a extensão do navegador e os usuários realmente não são rastreados de forma alguma (e, portanto, os visitantes rastreados por uma variação ou experiência podem começar a diferir da ferramenta de análise). Na minha opinião, a segunda questão faz mais sentido. O GDPR fará uma bagunça com os números de qualquer maneira, já que ferramentas diferentes obterão ou não consentimento. Portanto, combiná-los todos para determinar um resultado “verdadeiro” se tornará quase impossível, de qualquer maneira.

Responsabilidade

Sim, você precisa alterar seus termos de uso, política de privacidade e política de cookies (ou incluir isso em sua política de privacidade). Você também precisa ter um gerente de consentimento no site e…

Apenas uma atualização do processador e do controlador (confuso, certo?).

Você é o controlador na relação entre o visitante do seu site (usuário final). Sua ferramenta de teste A/B é o processador.

Isso significa que você é responsável pela conformidade com o GDPR e não pode apontar o dedo para o fornecedor da ferramenta de teste A/B. A maneira mais inteligente de fazer isso é certificar-se de que seu fornecedor de ferramentas de teste A/B está fazendo tudo para cumprir conforme descrito neste artigo.

Rastreamento de receita? Números de pedido como dados pessoais?

Aqui eu tenho minhas dúvidas. Os IDs de pedidos (números de pedidos ou IDs de transações) serão dados pessoais?

Acho que não, mas a separação de dados pessoais de informações não identificáveis ​​(por exemplo, um número de pedido do nome e endereço do cliente) é apenas uma boa prática.

Como não queremos que os clientes se preocupem com qualquer possível modificação nos regulamentos de privacidade eletrônica, nós, como empresa, decidimos não armazenar essas informações em nossa seção de rastreamento de receita da ferramenta.

A combinação do valor médio do pedido, produtos comprados, receita e ID do pedido é um pouco demais de informações não identificadoras para ficar em nossos bancos de dados. Mas cabe a você e ao seu fornecedor de testes A/B discutir como você gostaria de lidar com isso. A minimização de dados basicamente nos pede para armazenar o mínimo possível. Como não precisamos disso para rastreamento de receita, estamos removendo-o do conjunto de dados, juntamente com receita individual, contagem de produtos e quaisquer outros dados de pedidos no nível individual (usuário final).

Integrações?

Se você estiver enviando informações sobre quais variações e experiências o usuário final participou, sugerimos o consentimento para isso.

Porra, alguma boa notícia?

Sim…

Lembra daquelas paredes de cookies onde você tinha que aceitar os cookies para poder ler o conteúdo? Bem, esses se foram. Você não pode mais colocá-los e, portanto, está mostrando conteúdo para todos os visitantes, solicitando consentimento para rastreadores específicos ou movendo-o para trás do paywall.

É isso?

Não mais…

O GDPR afirma que os cookies melhoram a experiência do usuário na Internet, por exemplo, lembrando o histórico do carrinho de compras. Ou ao preencher um formulário em várias páginas.

A análise no GDPR é possível desde que quaisquer dados pessoais coletados sejam processados ​​apenas pela primeira parte. ePrivacy é específico em relação aos cookies, onde o GDPR não é. Leia a minuta do Regulamento de Privacidade Eletrônica 15333, artigo 21;

Ah, uma última coisa… servidores baseados nos EUA vs UE

Importa onde você hospeda seu site? Ou de onde o script do rastreador de teste A/B é carregado? Ou onde seu conjunto de dados real está localizado? Sim, não estaria neste artigo de outra forma

As localizações dos servidores são principalmente sobre transferências de dados – o que por si só exigiria consentimento se envolvesse dados pessoais. Temos que olhar para o Capítulo 5 do GDPR sobre Transferências de dados pessoais para países terceiros ou organizações internacionais. Isso nos dará uma visão sobre o que fazer se os dados forem armazenados fora da União Europeia.

O nível de proteção de dados pessoais dos países terceiros é avaliado pela Comissão Europeia através de «descobertas de adequação», que são integralmente vinculativas para todos os Estados-Membros. Uma vez reconhecida a “adequação” de um país terceiro, os dados pessoais podem ser transferidos para este país sem que seja necessário tomar outras medidas de proteção.

Um princípio geral para transferências (Artigo 44) e transferências com base em uma decisão de adequação (Artigo 45) explica que a discussão geralmente gira principalmente em torno da transferência de dados para países fora da UE (e Noruega, Liechtenstein e Islândia), onde você agora tem apenas opções:

• Privacy Shield (para os EUA) e países adequados (A Comissão Europeia reconheceu até agora Andorra, Argentina, Canadá (organizações comerciais), Ilhas Faroé, Guernsey, Israel, Ilha de Man, Jersey, Nova Zelândia, Suíça, Uruguai e EUA ( limitado à estrutura do Escudo de Privacidade) como fornecendo proteção adequada.
• Cláusulas contratuais padrão, também chamadas de cláusulas contratuais modelo
• Regras corporativas vinculativas (abordadas no artigo 47 do GDPR).

Muito provavelmente, seu fornecedor de testes A/B é uma empresa dos EUA, e a escolha mais fácil parece ser o Privacy Shield e o SCC, pois é apenas um esforço único. Para nossa empresa, isso significa que, embora todos os dados de nossos clientes (dos usuários finais de seus sites) sejam armazenados em servidores neutros em carbono em Frankfurt – nossa base legal para a empresa dos EUA seria Privacy Shield e SCC (só gostamos de ser mais seguros e tem todos os servidores com conjuntos de dados de clientes na Alemanha).

Conclusões

O GDPR é enorme e não está restrito apenas a empresas da União Europeia. Olhando agora, no rascunho 1533 dos regulamentos de privacidade eletrônica e GDPR, é nossa opinião que você pode testar A/B usando o Convert Experiences em todos os visitantes sem consentimento.

Temos uma configuração de página inteira sobre como a Convert como empresa se tornará compatível e um roteiro completo de aplicativos com os detalhes em que estamos trabalhando para facilitar a conformidade com o GDPR.

Pergunte ao seu fornecedor como ele vê sua ferramenta em termos de conformidade e quando está trabalhando para simplificar massivamente sua estrutura de banco de dados para teste A/B sem exigir consentimento.

Porque se sua ferramenta EXIGE consentimento, ela terá um impacto enorme em sua pilha de marketing. O grande medo é que, com uma ferramenta de teste A/B baseada em consentimento, você perca mais de 80% do seu tráfego para trabalhar.

Teste A/B: Lista de Verificação de Conformidade com GDPR

Minimização de dados

Pergunta do fornecedor?
Quais campos você armazena por visitante único em seu banco de dados (após a conclusão do roteiro)?

Exemplo de resposta
Nada

Dados pessoais

Pergunta do fornecedor?
Você armazena o IP do visitante?

Exemplo de resposta
Não

Pergunta do fornecedor?
Você armazena dados de país/região/cidade ou outros dados de localização por visitante?

Exemplo de resposta
Não

Pergunta do fornecedor?
Você pode descrever o conteúdo do cookie ou link para um artigo de suporte?

Exemplo de resposta
https://convert.zendesk.com/hc/en-us/articles/204495429-Convert-Experiences-Tracking-Cookies-Structure

Pergunta do fornecedor?
Por quanto tempo os cookies são armazenados?

Exemplo de resposta
6 meses.

Pergunta do fornecedor?
Você armazena IDs de usuário exclusivos (ID de sessão, ID de dispositivo, ID de usuário ou e-mail) e/ou nos permite armazenar e-mails ou outros dados pessoais? Se sim, onde está armazenado?

Exemplo de resposta
Não, também não permitimos o armazenamento de informações (consulte também os termos de uso). Exceção há recurso de ID universal quando ativado pelo consentimento do cliente é necessário

Pergunta do fornecedor?
Como sua ferramenta nos ajuda com solicitações de acesso do usuário final?

Exemplo de resposta
Apoiar por não ter nenhum dado pessoal armazenado

Pergunta do fornecedor?
Como sua ferramenta oferece suporte a Não rastrear?

Exemplo de resposta
Sim, por padrão, o script não é carregado (veja também nosso roteiro do aplicativo de teste A/B GDPR)

Minimização de dados

Pergunta do fornecedor?
What fields do you store by the unique visitor in your database (after roadmap completion)?

Example answer
Nada

Security

Vendor Question?
What server location (country) is our end-user data stored?

Example answer
Frankfurt, Germany

Vendor Question?
If end-user or company information is stored outside the EEU what legal base you are using to transfer the information.

Example answer
End-user information is not stored and not transferred outside the EEU, unless customer requests debugging logging (stored max. 6 days). Customer information and debugging logs could be transferred on bases of Privacy Shield to US servers.

Vendor Question?
What security systems you have in place on databases and system where end-user information is stored?

Example answer
C5, DoD SRG, FedRAMP, FIPS, ISO 9001, ISO 27001, ISO 27017, ISO 27018, PCI, DSS Level 1, SEC Rule 17-a-4(f), SOC 1, SOC 2, SOC 3

GDPR compliance

Vendor Question?
How does your company prepare for GDPR compliance?

Example answer
Find all about out company GDPR compliance program, here.

Vendor Question?
How does your company assist us as controller with GDPR compliance of end-user data?

Example answer
The application roadmap is now public.

Disclaimer: Note that this article represents the views of the author solely, and are not intended to constitute legal advice.