Cum să cumpărați software de testare A/B conform GDPR

Actualizare : Convert este acum pe deplin compatibil cu GDPR. Puteți consulta călătoria noastră către atingerea conformității GDPR aici.

De asemenea, ne angajăm să ajutăm clienții noștri să devină conformi cu GDPR. Pentru a face acest lucru ușor, emitem tuturor utilizatorilor noștri o copie semnată a Acordului nostru de prelucrare a datelor (DPA).

De asemenea, urmărim îndeaproape evoluțiile din jurul actualizărilor viitoare ale Regulamentului privind confidențialitatea electronică. Ca întotdeauna, vom fi cât mai proactivi posibil pentru a asigura conformitatea – atât pentru noi, cât și pentru clienții noștri

Alertă spoiler: uitați.

Nu există un instrument de testare A/B compatibil.

Adică, nu există niciun „certificat” de la un instrument de testare A/B care să garanteze că vei evita acel proces de 20 de milioane de euro din partea unei autorități europene de confidențialitate. Dar ceea ce este posibil este să alegeți un instrument de testare conceput pentru confidențialitate. Unul care nu vă va pune în probleme atunci când utilizați configurația implicită.

Acest articol vă ajută să puneți întrebări corecte despre furnizorul dvs. de instrumente de testare A/B, înainte de data aplicării GDPR (25 mai 2018). Voi deconstrui fiecare element important din GDPR și viitorul regulament ePrivacy (proiectul 15333) și vă voi oferi o listă de verificare la sfârșit.

(Faceți clic aici pentru a trece direct la lista de verificare)

În acest articol…

Minimizarea datelor

Principiul minimizării datelor este în esență ideea că, sub rezerva unor excepții limitate, o organizație ar trebui să prelucreze numai datele (personale) de care are de fapt nevoie pentru a-și atinge scopurile de prelucrare.

GDPR considerentul 39; Art.5(1)(c)
Datele cu caracter personal trebuie să fie adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate acele date.

Deci, care sunt datele minime necesare pentru a rula experimente? Adică, trebuie să colectați fiecare detaliu al IP-ului, al browserului și al ID-ului dispozitivului, pentru a obține rezultate pentru testul dvs. A/B? Nu. Le colectați pentru că instrumentul le poate colecta. Cu intimitatea în spatele minții tale, concentrează-te pe elementele pe care trebuie să le adună și nu depozitează restul. Ceea ce este esențial pentru a derula un experiment este:

• Varianta vazuta
• Obiectiv atins: da/nu (cu privire la obiectivele de venit, numărul de produse și venitul)

Când doriți să explorați mai profund diferitele rezultate pe subsegment de care aveți nevoie, de exemplu:

• Subsegment: da/nu

Instrumentul de testare A/B nu trebuie de fapt să stocheze un rând de date pentru fiecare utilizator final. Ceea ce trebuie să stocați pentru a obține statistici este:

• Numărul total de utilizatori finali care au văzut variații specifice (total și pe subsegment)
• Numărul total de utilizatori finali ai unei variante care a declanșat un obiectiv

Și, într-un cadru de comerț electronic:

• Produsele medii pe variație și
• Valoarea medie a comenzii pe variație...

…care poate fi recalculat la fiecare comandă nouă (fără a stoca comenzile individuale).

Restul datelor statistice pot fi recalculate din mers fără a stoca rânduri individuale de date ale utilizatorului final. Acest lucru permite instrumentului dvs. de testare A/B să respecte regulile de minimizare a datelor și reduce semnificativ riscul unei încălcări a confidențialității și a securității.

Gandeste-te la asta. Ce ar face cineva doar cu totalurile unui experiment? Dacă nu există date despre utilizatorul final stocate pe instrumentul dvs. de testare A/B, nici măcar date pseudonimizate/hashed, nu există nicio modalitate ca utilizatorii finali să poată fi re-identificați.

Datele personale includ adresa IP

Datele personale, așa cum sunt definite de GDPR, dacă sunt diferite de definițiile anterioare ale informațiilor personale de identificare (PII). Acum, adresele IP, cookie-urile și UserID sunt toate date personale.

Indiferent de ce te-ai putea simți în legătură cu această definiție, este legea. La 19 octombrie 2016, Curtea de Justiție a Uniunii Europene („CJUE”) și-a publicat hotărârea în Cauza 582/14 – Patrick Breyer împotriva Germaniei. Acesta a susținut că adresele IP sunt date cu caracter personal în anumite circumstanțe. Hotărârea este în linii mari în concordanță cu concluziile avocatului general în această cauză, din mai 2016.

Datele cu caracter personal sunt definite la articolul 2 litera (a) din directivă ca „orice informație referitoare la o persoană fizică identificată sau identificabilă („persoana vizată”). O persoană identificabilă este una „care poate fi identificată, direct sau indirect […]” (subliniere adăugată). O analiză suplimentară a problemei identificării este oferită de Grupul de lucru al UE pentru articolul 29, în Avizul său 4/2007.

Deci adresele IP sunt date personale. Perioadă. Puteți alege să le anonimizați, cu excepția cazului în care primiți consimțământul explicit de la vizitator (pe care poate doriți să îl evitați). Dar chiar dacă o faci, acest lucru va fi întotdeauna la granița consimțământului – și va risca reidentificarea.

Vă sugerăm să nu stocați IP-uri în instrumentul dvs. de testare A/B, pentru a rămâne 100% pe partea sigură a acestei noi legi.

Acum ați putea întreba... dacă nu putem stoca adrese IP, cum rulați direcționarea în funcție de țară?

Cea mai ușoară soluție este să folosiți apelul de la utilizatorul final pentru a apela scriptul de urmărire și a identifica țara. Stocați combinația de variație/țară într-un sub-segment, dar nu este conectat la un utilizator. Doar adăugați o vizualizare suplimentară la acel subsegment, astfel încât să fie amestecat cu alte sute din acel segment și practic doar +1. Deci, din nou, nu există nicio modalitate de a deconstrui utilizatorul final individual din baza de date.

O notă suplimentară despre geolocalizare este că datele de țară în sine sunt prea ample, dar subsegmentele dvs. de regiune, oraș sau cod poștal vor necesita acordul utilizatorului final. Combinate cu alte elemente, pot fi subsegmente cu adevărat mici (chiar și doar 1 persoană!). Deci, din nou, ați putea stoca date personale, iar acest lucru ar necesita acordul utilizatorului.

Cookie-uri și date personale

Conform GDPR, cookie-urile sunt și date personale. Dar toate cookie-urile nu sunt create egale. Este posibil ca unele să necesite consimțământul utilizatorului, în timp ce altele nu. Detaliile vor fi determinate de noile Regulamente privind confidențialitatea electronică — odată ce sunt aprobate. Pentru moment, avem schița 15333, care are o excepție pentru software-ul de analiză web, cum ar fi instrumentele de testare A/B.

Instrumentele de testare A/B sunt lipsite de cerințe de consimțământ, atâta timp cât „evaluează eficacitatea unui serviciu oferit de societatea informațională”. Dar de îndată ce intrați în direcționarea foarte specifică a utilizatorilor finali sau încercați să identificați natura celor care utilizează site-ul web, atunci vă mutați într-o zonă care necesită consimțământ.

Ar trebui să verificați din nou dacă modulele cookie utilizate de instrumentul dvs. de testare A/B nu au un identificator unic. Identificatorul unic poate face ca un cookie să se califice drept date personale.

Deși Regulamentul privind confidențialitatea electronică (proiectul 15333) nu este încă o lege și intenționează să completeze GDPR, GDPR însuși ne oferă câteva îndrumări cu privire la tipurile de cookie-uri care, prin natura lor, vor implica prelucrarea datelor cu caracter personal. Există 1 recital care este cheia acestui lucru:

Acest lucru ne spune că cookie-urile care conțin un identificator unic pentru dispozitiv și/sau persoana asociată cu utilizarea dispozitivului, ar trebui tratate ca date personale. Această idee este întărită și de considerentul 26, care afirmă că datele cu caracter personal sunt definite și de date care pot fi utilizate în mod rezonabil, fie singure, fie împreună cu alte date, pentru a identifica o persoană.

Prin urmare, instrumentul dvs. de testare A/B ar trebui să elimine orice identificatori unici pentru a respecta GDPR. În plus, nu stocați niciodată înregistrarea individuală conectată la un cookie pe partea de server. Acest lucru ar face să nu se încadreze în excepția reglementărilor privind confidențialitatea electronică.

Identificatorii pseudonimi (de exemplu șiruri de cifre sau litere), care este ceea ce conțin adesea cookie-urile, se califică, de asemenea, drept date personale. Prin urmare, în conformitate cu GDPR, orice cookie sau alt identificator care este atribuit în mod unic unui utilizator și, prin urmare, capabil să identifice o persoană, contează drept procesare de date cu caracter personal odată ce acest identificator este stocat pe partea serverului.

ID-uri de utilizator și date personale

Stocarea unui ID de utilizator specific unei persoane sau a oricărui alt identificator pe care îl puteți încrucișa cu datele personale individuale... este... ați ghicit... date personale. Deci, acestea necesită consimțământ și ar trebui evitate (considerentul 30 se aplică și aici, la fel ca și considerentul 50 de mai jos).

Convert are o caracteristică numită Universal User ID. Dacă acesta, de exemplu, este folosit pentru a reconecta sesiunile de la un sistem de comerț electronic după ce utilizatorii cumpără, consimțământul poate fi încorporat în termenii conveniți cu relația cu clientul. Dar sugerăm totuși un consimțământ separat pentru unificarea dispozitivelor, sesiunilor și browserelor, deoarece este mai bine să nu presupunem cu GDPR, ci să oferiți o transparență absolută.

Încă planificați stocarea datelor cu caracter personal?

Deci ați decis să stocați totul în instrumentul dvs. de testare A/B? Stocarea unui ID de sesiune, ID de utilizator sau orice alt identificator înseamnă că trebuie să vă asigurați că este

• Protejat
• exact
• Actualizat la cerere
• Sterge cand este necesar

Permiteți-mi să vă arunc câteva elemente ale legii GDPR în contextul stocării datelor cu caracter personal și toată distracția care vine cu aceasta.

GDPR și acuratețea datelor utilizatorului final

Așadar, atunci când aveți un instrument de testare A/B care stochează date personale, iar testele dvs. ajung la semnificație, aveți nevoie de un instrument care să blocheze acele rezultate odată ce utilizatorii finali completează formularele pe care trebuie să le aveți pe site-ul dvs. Dacă paragrafele anterioare nu v-au convins deja să aveți date personale stocate în instrumentul dvs. de analiză, această parte a legii GDPR va fi. Voi lipi aici întregul articol care îl explică.

Deci... te las să te gândești la asta un minut...
…
…

Da, așa am crezut. Acum toți împreună cu mine... spuneți asta cu voce tare.

• Promit că nu voi stoca date personale în instrumentul meu de testare A/B
• Promit că nu voi stoca date personale în instrumentul meu de testare A/B
• Promit că nu voi stoca date personale în instrumentul meu de testare A/B

Așadar, verificați de două ori furnizorul dvs. de testare A/B și asigurați-vă că nu există nicio modalitate de a povesti înregistrările individuale ale vizitatorilor unici.

Adică, cu toții vrem să aducem informații mai bune și vești bune clienților și șefilor. Și este minunat să analizezi testele A/B pierdute și să vezi dacă un subsegment a câștigat.

Dar într-adevăr... vrei să fii unul dintre acei oameni care ascunde numărul total de vizitatori pe capturile de ecran de prezentare și uimește oamenii cu 1460% câștiguri la o variantă pe Chrome în Suedia?

Doar acceptați următoarele: configurați un test cu o ipoteză clară, rulați experimentul și îl opriți când a sosit suficient trafic (fără observare). Căutarea câștigătorilor în subsegmente minuscule nu te face un marketer mai bun.

Cu GDPR, cu cât stocați mai mult, cu atât veți ști mai multe – și cu atât este mai mare șansa segmentelor de trafic să devină utilizatori finali reali. Odată cu aceasta, vine și o cerere mai mare ca să protejați datele, să solicitați datele (folosind Solicitări de acces la subiect), să ștergeți datele și să actualizați datele.
Doar nu-l depozitați, asigurați-vă că instrumentul dvs. de testare A/B nu îl stochează și v-ați oferit un lucru mai puțin de care să vă faceți griji.

DACĂ totuși decideți că nu vă deranjează să cereți consimțământul și să stocați toate acele date personale în instrumentul dvs. de testare A/B, atunci asigurați-vă că instrumentul de testare A/B vă permite o modalitate ușoară de a exporta date brute pe baza vizitatorilor unici. Asigurați-vă că este închis. Că poate modifica interesele, categoriile și alte segmentări pe care le stocați despre utilizatori și poate șterge datele fără a modifica rezultatele istorice ale testelor A/B.

Prin colectarea datelor cu caracter personal, va trebui să respectați drepturile cetățenilor UE și ale persoanelor din Europa în momentul vizitei lor pe site-ul dvs. Aceasta include:

• Posibilitatea ca aceștia să vadă datele pe care le-ați colectat despre ei în cadrul experimentelor, publicului și segmentelor (și obiectivelor).
• Posibilitatea de a actualiza/rectifica unele sau toate datele care le privesc.
• Posibilitatea de a-și șterge datele la cererea acestora.
• Posibilitatea de a exporta toate datele. Deci, dacă un utilizator o solicită, va trebui să exportați datele legate de adresa (adresele) IP sau identificatorul unic. Poate fi exportat cu ușurință ca fișier .csv, de exemplu.

Deci, atunci când decideți că veți stoca date cu caracter personal, atunci ar trebui să oferiți o Cerere de acces la subiect cu privire la accesul, rectificarea și ștergerea datelor.

• dreptul de acces
• dreptul de a restricționa prelucrarea
• dreptul la rectificare
• dreptul de a fi uitat
• dreptul la portabilitatea datelor

Fiecare Solicitare de Acces Subiect va trebui procesată și rezolvată în termenul de cel mult o lună de la primire, așa cum este descris în textul GDPR.

Mi-e frică să întreb, dar cum rămâne cu subsegmentările pentru variații?

Puteți colecta astfel de date folosind dimensiuni personalizate, variabile personalizate... și multe altele.

Acum să nu începem din nou. Tocmai mi-ați promis că nu veți stoca nimic pe baza drepturilor utilizatorilor finali asupra datelor respective în articolul 15 din GDPR. Dar chiar și atunci când nu aveți identificatori pentru a conecta acele informații, este posibil să stocați în continuare date personale. Acest exemplu explică de ce.

Tehnologiile care permit dispozitive mobile, mese sau desktop pot fi conectate la locația lor curentă. Alte organizații ar putea dori, de asemenea, să folosească acest tip de informații pentru a oferi conținut sau publicitate specifice locației, cu toate acestea, datele despre locație, în special datele despre modelul precis al mișcărilor unui individ în timp, pot dezvălui detalii foarte intime despre viața personală a acelei persoane. Acestea sunt date personale.

Deci, pentru instrumentul dvs. de testare A/B, aceasta înseamnă că puteți stoca un utilizator individual în mai multe segmente și împreună acest individ poate fi identificat ca o persoană. Așadar, sfatul este să nu stocați niciodată înregistrări individuale, ci doar grupuri de segmente în baza de date. Și cereți consimțământul atunci când începeți să colectați mai multe subsegmente care implică date despre locație în locații mai specifice decât țara. Instrumentul dvs. de testare A/B vă poate oferi un sfat atunci când colectați prea multe segmente, dar, în opinia mea, stocarea înregistrărilor individuale este doar o problemă.

Și conectarea datelor de la terți? Ca BlueKai?

Aveți nevoie de consimțământul utilizatorului final. Sau, BlueKai și dumneavoastră puteți fi controlori în comun; adică, în momentul colectării datelor utilizatorului final, BlueKai a cerut consimțământul în numele dumneavoastră. Acest lucru fiind puțin probabil, în momentul scrierii acestei piese, aveți nevoie de consimțământ pentru a vă îmbogăți audiențele în instrumente de testare A/B cu o formă de consimțământ asupra datelor. Întrebați furnizorul dvs. de date, de exemplu, BlueKai.

Nu urmăriți doar pentru Europa? Esti sigur?

Do Not Track (sau doar DNT) este o setare de confidențialitate pe care utilizatorii finali o pot seta în majoritatea browserelor. Ar trebui să respectați DNT ca un semnal al modului în care dvs. și utilizatorii dvs. finali doriți să folosim datele . În ultimii ani, mulți utilizatori finali au semnalat că își doresc un nou mod de a interacționa cu mărcile. De exemplu, în Canada, unde legislația federală canadiană ne aduce modificări în Legea privind confidențialitatea. Sau în Congresul SUA cu o nouă etapă în Privacy Shield. Sau în Uniunea Europeană, unde statele membre își exprimă sprijinul pentru o interacțiune mai respectuoasă cu utilizatorii finali. Ar trebui să le auziți și să le respectați.

DNT are trei valori posibile:

1. Nu urmăriți (Renunțați la urmărire)
2. Urmăriți (Activați urmărirea)
3. Null – Nicio preferință

În mod implicit, browserele web folosesc valoarea nulă (fără preferință), indicând faptul că utilizatorul final nu și-a exprimat dorința dacă dorește sau nu să fie urmărit. Instrumentul dvs. de testare A/B ar trebui să aibă o setare pentru a nu încărca NICIUN script atunci când este setată opțiunea 1, Nu urmăriți (Renunțați la urmărire) din browser.
Jonathan Mayer și Arvind Narayanan sunt cei doi cercetători principali de la Universitatea Stanford care au lucrat la tehnologia Do Not Track. Modelul lor folosește informațiile din antetul HTTP pentru a renunța în mod universal la orice urmărire online.

„Ca model tehnologic, Do Not Track este net superior unui mecanism de renunțare”, a spus Mayer, referindu-se la angajamentele altor browsere Google de a sprijini tehnologia pe site-urile lor.

„Deci problema tehnologiei este acum rezolvată: este Do Not Track.”

Instrumentul dvs. de testare A/B poate avea următoarele opțiuni:

• Do Not Track este suficient de important și este respectat de instrument fără a fi nevoie ca clienții să pornească sau să oprească ceva. Pur și simplu funcționează (dezvăluire completă: la Convert, am ales-o pe aceasta...).
• Do Not Track poate fi activat sau dezactivat de către utilizatori pentru toată platforma (verificați că este implicit pentru toate proiectele dvs. ca administrator).
• Do Not Track poate fi activat de utilizatorii platformei pe proiect și regiune (Europa) și ar trebui verificat de administrator la fiecare proiect.

Apoi, ceea ce se întâmplă de fapt când este pornit este important.

Veți plasa un cookie (nu este sugerat) sau pur și simplu instrumentul nu se încarcă deloc (am selectat asta). Dezavantajul primului (plasarea cookie-ului) este că cookie-urile pot declanșa un avertisment pentru utilizatorii finali, iar proprietarul site-ului web ar putea primi mai multe solicitări de date de la utilizatori. Dezavantajul de a nu încărca deloc scriptul este că extensia browserului și utilizatorii chiar nu sunt urmăriți în niciun fel (și astfel vizitatorii urmăriți pentru o variație sau experiență ar putea începe să difere de instrumentul de analiză). După părerea mea, a doua problemă are mai mult sens. GDPR va face oricum o mizerie de cifre, deoarece diferite instrumente vor primi sau nu consimțământ. Deci, potrivirea lor pe toate pentru a stabili un rezultat „adevărat” va deveni oricum aproape imposibilă.

Responsabilitate

Da, trebuie să vă schimbați termenii de utilizare, politica de confidențialitate și politica privind cookie-urile (sau includeți-le în politica de confidențialitate). De asemenea, trebuie să aveți un manager de consimțământ pe site și...

Doar o reîmprospătare a procesorului și controlorului (confuz, nu?).

Sunteți controlorul în relația dintre vizitatorul site-ului dvs. (utilizatorul final). Instrumentul dvs. de testare A/B este procesorul.

Aceasta înseamnă că sunteți responsabil pentru conformitatea cu GDPR și nu puteți arăta cu degetul către furnizorul dvs. de instrumente de testare A/B. Cel mai inteligent mod de a face acest lucru este să vă asigurați că furnizorul dvs. de instrumente de testare A/B face totul pentru a se conforma așa cum este descris în acest articol.

Urmărirea veniturilor? Numerele de comandă ca date personale?

Aici am îndoielile mele. ID-urile comenzii (numerele comenzii sau ID-urile tranzacției) vor fi date personale?

Nu cred, dar separarea datelor cu caracter personal de informațiile neidentificatoare (de exemplu, un număr de comandă din numele și adresa clientului) este doar o bună practică.

Deoarece nu dorim ca clienții să-și facă griji cu privire la orice modificare posibilă a Reglementărilor privind confidențialitatea electronică, noi, ca companie, am decis să nu stocăm aceste informații în secțiunea noastră de urmărire a veniturilor a instrumentului.

Combinația dintre valoarea medie a comenzii, produsele cumpărate, veniturile și ID-ul comenzii reprezintă puțin prea multă informație neidentificatoare pentru a se afla în bazele noastre de date. Dar aceasta depinde de dvs. și de furnizorul dvs. de testare A/B să discutați despre cum ați dori să faceți acest lucru. Minimizarea datelor, practic, ne cere să stocăm cât mai puțin posibil. Deoarece nu avem nevoie de acest lucru pentru urmărirea veniturilor, îl eliminăm din setul de date, împreună cu veniturile individuale, numărul de produse și orice alte date despre comandă la nivel individual (utilizator final).

Integrari?

Dacă trimiteți informații despre variațiile și experiențele la care a participat utilizatorul final, vă sugerăm să vă dați acordul.

La naiba, vreo veste bună?

Da…

Vă amintiți acei pereți cookie în care a trebuit să acceptați cookie-urile pentru a putea citi conținutul? Ei bine, alea au dispărut. Nu le mai puteți pune, așa că fie afișează conținut tuturor vizitatorilor, cere consimțământ pentru anumite trackere, fie îl mută în spatele perelui de plată.

Asta e?

Nu mai…

GDPR prevede că modulele cookie îmbunătățesc experiența de internet a unui utilizator, de exemplu, amintirea istoricului coșului de cumpărături. Sau la completarea unui formular pe mai multe pagini.

Analiza în GDPR este posibilă atâta timp cât orice date cu caracter personal colectate sunt prelucrate numai de prima parte. ePrivacy este specific în ceea ce privește cookie-urile, unde GDPR nu este. Citiți proiectul Regulamentului ePrivacy 15333, articolul 21;

Ah, un ultim lucru... Servere din SUA vs. UE

Contează unde vă găzduiți site-ul? Sau de unde este încărcat scriptul de urmărire a testării A/B? Sau unde se află setul de date real? Da, altfel nu ar fi în acest articol

Locațiile serverelor se referă în principal la transferuri de date – doar care ar necesita consimțământ dacă implică date personale. Trebuie să ne uităm la capitolul 5 din GDPR privind transferurile de date cu caracter personal către țări terțe sau organizații internaționale. Acest lucru ne va oferi informații despre ce să facem dacă datele sunt stocate în afara Uniunii Europene.

Nivelul de protecție a datelor cu caracter personal al țărilor terțe este evaluat de Comisia Europeană prin „concluzii privind adecvarea”, care sunt obligatorii în întregime pentru toate statele membre. Odată ce „adecvarea” unei țări terțe a fost recunoscută, datele personale pot fi transferate în această țară fără a fi nevoie să ia măsuri de protecție suplimentare.

Un principiu general pentru transferuri (articolul 44) și transferuri pe baza unei decizii de adecvare (articolul 45) explică faptul că discuția se învârte adesea în principal în jurul transferului de date către țări din afara UE (și Norvegia, Liechtenstein și Islanda), unde acum au doar optiuni:

• Privacy Shield (pentru SUA) și țări adecvate (Comisia Europeană a recunoscut până acum Andorra, Argentina, Canada (organizații comerciale), Insulele Feroe, Guernsey, Israel, Insula Man, Jersey, Noua Zeelandă, Elveția, Uruguay și SUA ( limitat la cadrul Privacy Shield) ca oferind o protecție adecvată.
• Clauze contractuale standard, numite și clauze contractuale model
• Reguli corporative obligatorii (acoperite în articolul 47 din GDPR).

Cel mai probabil, furnizorul dvs. de testare A/B este o companie din SUA - și atunci cea mai ușoară alegere pare să fie Privacy Shield și SCC, deoarece este doar un efort o singură dată. Pentru compania noastră, acest lucru înseamnă că, deși toate datele clienților noștri (ale utilizatorilor finali ai site-ului lor web) sunt stocate pe servere neutre de emisii de carbon din Frankfurt – baza noastră legală pentru compania americană ar fi Privacy Shield și SCC (ne dorim să fim mai siguri și au toate serverele cu seturi de date pentru clienți în Germania).

Concluzii

GDPR este masiv și nu este limitat doar la companiile din Uniunea Europeană. Privind acum, la proiectul 1533 al regulamentului de confidențialitate electronică și GDPR, părerea noastră este că puteți testa A/B folosind Experiențe Convertiți pe toți vizitatorii fără consimțământ.

Avem o pagină întreagă configurată cu privire la modul în care Convert, ca companie, va deveni conformă și o întreagă foaie de parcurs pentru aplicații cu detaliile la care lucrăm pentru a facilita respectarea GDPR.

Întrebați-vă furnizorul cum își văd instrumentul în ceea ce privește conformitatea și când lucrează la simplificarea masivă a structurii bazei de date la testul A/B fără a necesita consimțământ.

Pentru că, dacă instrumentul dvs. necesită consimțământ, acesta va avea un impact masiv asupra stivei dvs. de marketing. Marea teamă este că, cu un instrument de testare A/B bazat pe consimțământ, vei pierde mai mult de 80% din trafic cu care să lucrezi.

Testare A/B: Lista de verificare a conformității GDPR

Minimizarea datelor

Întrebare despre furnizor?
Ce câmpuri stocați după vizitatorul unic în baza de date (după finalizarea foii de parcurs)?

Exemplu de răspuns
Nimic

Date personale

Întrebare despre furnizor?
Stocați IP-ul vizitatorului?

Exemplu de răspuns
Nu

Întrebare despre furnizor?
Stocați Țară/Regiune/Oraș sau alte date despre locație ale vizitatorului?

Exemplu de răspuns
Nu

Întrebare despre furnizor?
Puteți descrie conținutul cookie-urilor sau linkul către un articol de asistență?

Exemplu de răspuns
https://convert.zendesk.com/hc/en-us/articles/204495429-Convert-Experiences-Tracking-Cookies-Structure

Întrebare despre furnizor?
Cât timp sunt stocate cookie-urile?

Exemplu de răspuns
6 luni.

Întrebare despre furnizor?
Stocați ID-uri unice de utilizator (ID-ul sesiunii, ID-ul dispozitivului, ID-ul utilizatorului sau e-mailul) și/sau ne permiteți să stocăm e-mailuri sau alte date personale? Dacă da, unde este depozitat?

Exemplu de răspuns
Nu, de asemenea, nu permitem stocarea informațiilor (vezi și termenii de utilizare). Excepție, există funcția Universal ID atunci când este activată prin acordul clientului

Întrebare despre furnizor?
Cum ne ajută instrumentul dumneavoastră cu solicitările de acces la subiecte ale utilizatorilor finali?

Exemplu de răspuns
Sprijin prin a nu avea niciun fel de date personale stocate

Întrebare despre furnizor?
Cum acceptă instrumentul Do Not Track?

Exemplu de răspuns
Da, în mod implicit, scriptul nu este încărcat (consultați și foaia noastră de parcurs pentru aplicația de testare A/B GDPR)

Minimizarea datelor

Întrebare despre furnizor?
What fields do you store by the unique visitor in your database (after roadmap completion)?

Example answer
Nothing

Security

Vendor Question?
What server location (country) is our end-user data stored?

Example answer
Frankfurt, Germany

Vendor Question?
If end-user or company information is stored outside the EEU what legal base you are using to transfer the information.

Example answer
End-user information is not stored and not transferred outside the EEU, unless customer requests debugging logging (stored max. 6 days). Customer information and debugging logs could be transferred on bases of Privacy Shield to US servers.

Vendor Question?
What security systems you have in place on databases and system where end-user information is stored?

Example answer
C5, DoD SRG, FedRAMP, FIPS, ISO 9001, ISO 27001, ISO 27017, ISO 27018, PCI, DSS Level 1, SEC Rule 17-a-4(f), SOC 1, SOC 2, SOC 3

GDPR compliance

Vendor Question?
How does your company prepare for GDPR compliance?

Example answer
Find all about out company GDPR compliance program, here.

Vendor Question?
How does your company assist us as controller with GDPR compliance of end-user data?

Example answer
The application roadmap is now public.

Disclaimer: Note that this article represents the views of the author solely, and are not intended to constitute legal advice.