วิธีซื้อซอฟต์แวร์ทดสอบ A/B ที่สอดคล้องกับ GDPR

อัปเดต : ขณะนี้การแปลงเป็นไปตามข้อกำหนดของ GDPR อย่างสมบูรณ์แล้ว คุณสามารถตรวจสอบเส้นทางสู่การปฏิบัติตาม GDPR ของเราได้ที่นี่

นอกจากนี้เรายังมุ่งมั่นที่จะช่วยให้ลูกค้าของเราปฏิบัติตาม GDPR เพื่อทำให้สิ่งนี้ง่ายขึ้น เรากำลังออกสำเนาข้อตกลงการประมวลผลข้อมูล (DPA) ของเราให้ผู้ใช้ทุกคน

นอกจากนี้ เรายังติดตามการพัฒนาอย่างใกล้ชิดเกี่ยวกับการอัปเดตกฎระเบียบ ePrivacy ที่กำลังจะมีขึ้น และเช่นเคย เราจะดำเนินการในเชิงรุกให้มากที่สุดเท่าที่จะเป็นไปได้เพื่อให้แน่ใจว่ามีการปฏิบัติตามข้อกำหนด — ทั้งสำหรับตัวเราเองและลูกค้าของเรา

การแจ้งเตือนสปอยเลอร์: ลืมมันไป

ไม่มีเครื่องมือทดสอบ A/B ที่เป็นไปตามข้อกำหนด

หมายความว่าไม่มี "ใบรับรอง" จากเครื่องมือทดสอบ A/B ที่ รับประกัน ว่าคุณจะหลีกเลี่ยงการฟ้องร้อง 20 ล้านยูโรจากหน่วยงานด้านความเป็นส่วนตัวของยุโรป แต่สิ่งที่เป็นไปได้คือคุณเลือกเครื่องมือทดสอบที่ออกแบบโดยคำนึงถึงความเป็นส่วนตัว ที่จะไม่ทำให้คุณมีปัญหาเมื่อใช้การกำหนดค่าเริ่มต้น

บทความนี้ช่วยให้คุณถามคำถามที่ถูกต้องเกี่ยวกับผู้จำหน่ายเครื่องมือทดสอบ A/B ก่อนวันที่บังคับใช้ GDPR (25 พฤษภาคม 2018) ฉันจะแยกองค์ประกอบแต่ละองค์ประกอบที่สำคัญใน GDPR และกฎระเบียบ ePrivacy ที่กำลังจะมีขึ้น (ร่าง 15333) และให้รายการตรวจสอบในตอนท้าย

(คลิกที่นี่เพื่อข้ามไปยังรายการตรวจสอบโดยตรง)

ในบทความนี้…

การลดขนาดข้อมูล

หลักการของการลดขนาดข้อมูลโดยพื้นฐานแล้วเป็นแนวคิดที่ว่า ภายใต้ข้อยกเว้นที่จำกัด องค์กรควรประมวลผล (ส่วนบุคคล) เฉพาะข้อมูลที่จำเป็นจริง ๆ เพื่อให้บรรลุวัตถุประสงค์ในการประมวลผล

การบรรยาย GDPR 39; มาตรา 5(1)(ค)
ข้อมูลส่วนบุคคลต้องเพียงพอ มีความเกี่ยวข้อง และจำกัดเฉพาะสิ่งที่จำเป็นที่เกี่ยวข้องกับวัตถุประสงค์ในการประมวลผลข้อมูลเหล่านั้น

ข้อมูลขั้นต่ำที่จำเป็นในการทำการทดสอบคือเท่าใด ฉันหมายถึง คุณจำเป็นต้องรวบรวมทุกรายละเอียดของ IP, เบราว์เซอร์ และรหัสอุปกรณ์ เพื่อให้ได้ผลลัพธ์สำหรับการทดสอบ A/B ของคุณหรือไม่ ไม่ คุณกำลังรวบรวมเพราะเครื่องมือสามารถรวบรวมได้ ด้วยความเป็นส่วนตัวในใจของคุณ ให้มุ่งเน้นไปที่องค์ประกอบที่คุณต้องการรวบรวมและอย่าเก็บส่วนที่เหลือ สิ่งสำคัญในการทำการทดสอบคือ:

• การเปลี่ยนแปลงที่เห็น
• บรรลุเป้าหมาย: ใช่/ไม่ใช่ (ตามเป้าหมายรายได้ จำนวนผลิตภัณฑ์ และรายได้)

เมื่อคุณต้องการเจาะลึกถึงผลลัพธ์ต่างๆ ต่อกลุ่มย่อยที่คุณต้องการ ตัวอย่างเช่น

• ส่วนย่อย: ใช่/ไม่ใช่

เครื่องมือทดสอบ A/B ไม่จำเป็นต้องจัดเก็บข้อมูลหนึ่งแถวสำหรับผู้ใช้ปลายทางแต่ละคน สิ่งที่คุณต้องจัดเก็บเพื่อเข้าถึงข้อมูลเชิงลึกคือ:

• ผู้ใช้ปลายทางทั้งหมดที่เห็นรูปแบบเฉพาะ (ทั้งหมดและต่อกลุ่มย่อย)
• ผู้ใช้ปลายทางทั้งหมดของรูปแบบที่เรียกใช้เป้าหมาย

และในการตั้งค่าอีคอมเมิร์ซ:

• สินค้าเฉลี่ยต่อรูปแบบและ
• มูลค่าการสั่งซื้อเฉลี่ยต่อรูปแบบ...

...ที่สามารถคำนวณใหม่ได้ในแต่ละคำสั่งซื้อใหม่ (โดยไม่ต้องจัดเก็บคำสั่งซื้อแต่ละรายการ)

ข้อมูลทางสถิติที่เหลือสามารถคำนวณใหม่ได้ทันทีโดยไม่ต้องจัดเก็บข้อมูลผู้ใช้ปลายทางแต่ละแถว ซึ่งช่วยให้เครื่องมือทดสอบ A/B ของคุณปฏิบัติตามแนวทางการลดขนาดข้อมูลและลดความเสี่ยงของการละเมิดความเป็นส่วนตัวและความปลอดภัยได้อย่างมาก

คิดเกี่ยวกับมัน ใครบางคนจะทำอะไรกับผลรวมของการทดลอง? หากไม่มีข้อมูลผู้ใช้ปลายทางเก็บไว้ในเครื่องมือทดสอบ A/B ของคุณ หรือแม้แต่ข้อมูลในนามแฝง/แฮช ไม่มีทางที่จะระบุผู้ใช้ปลายทางได้อีกครั้ง

ข้อมูลส่วนบุคคลรวมถึงที่อยู่ IP

ข้อมูลส่วนบุคคล ตามที่กำหนดโดย GDPR หากแตกต่างจากคำจำกัดความก่อนหน้าของข้อมูลส่วนบุคคลที่ระบุตัวบุคคลนั้นได้ (PII) ตอนนี้ที่อยู่ IP คุกกี้และ UserID เป็นข้อมูลส่วนบุคคลทั้งหมด

ไม่ว่าคุณจะรู้สึกอย่างไรกับคำจำกัดความนั้น—มันคือกฎหมาย เมื่อวันที่ 19 ตุลาคม 2559 ศาลยุติธรรมแห่งสหภาพยุโรป (“CJEU”) ได้ตีพิมพ์คำพิพากษาในคดี 582/14 – Patrick Breyer v Germany โดยถือได้ว่าที่อยู่ IP เป็นข้อมูลส่วนบุคคลในบางสถานการณ์ คำพิพากษานั้นสอดคล้องกับความเห็นของ Advocate General ในกรณีนี้ตั้งแต่เดือนพฤษภาคม 2559

ข้อมูลส่วนบุคคลถูกกำหนดไว้ในมาตรา 2(a) ของคำสั่งนี้ว่าเป็น "ข้อมูลใด ๆ ที่เกี่ยวข้องกับบุคคลธรรมดาที่ระบุหรือระบุตัวได้ ('เจ้าของข้อมูล') บุคคลที่ระบุตัวตนได้คือ "ผู้ที่สามารถระบุได้ไม่ว่าทางตรงหรือทางอ้อม […]" (เน้นเพิ่ม) การวิเคราะห์เพิ่มเติมเกี่ยวกับปัญหาการระบุตัวตนได้จัดทำโดยคณะทำงานมาตรา 29 ของสหภาพยุโรป ในความเห็นที่ 4/2007

ดังนั้นที่อยู่ IP จึงเป็นข้อมูลส่วนบุคคล ระยะเวลา. คุณสามารถเลือกที่จะปิดบังข้อมูลเหล่านี้ได้ เว้นแต่คุณจะได้รับความยินยอมอย่างชัดแจ้งจากผู้เข้าชม (ซึ่งคุณอาจต้องการหลีกเลี่ยง) แต่ถึงแม้ว่าคุณจะทำเช่นนั้นก็ตาม สิ่งนี้จะอยู่ในขอบเขตของการยินยอมเสมอ—และจะเสี่ยงต่อการถูกระบุซ้ำ

เราขอแนะนำให้คุณอย่าเก็บ IP ไว้ในเครื่องมือทดสอบ A/B ของคุณ เพื่อความปลอดภัย 100% ของกฎหมายใหม่นี้

ตอนนี้ คุณอาจถาม...ถ้าเราไม่สามารถจัดเก็บที่อยู่ IP คุณจะเรียกใช้การกำหนดเป้าหมายตามประเทศได้อย่างไร

ทางออกที่ง่ายที่สุดคือใช้การโทรจากผู้ใช้ปลายทางเพื่อเรียกสคริปต์ติดตามและระบุประเทศ จัดเก็บชุดค่าผสมของรูปแบบ/ประเทศไว้ในส่วนย่อยเดียวแต่ไม่ได้เชื่อมต่อกับผู้ใช้ เพียงเพิ่มมุมมองพิเศษให้กับกลุ่มย่อยนั้น ดังนั้นมันจึงผสมกับคนอื่นๆ อีกหลายร้อยคนในกลุ่มนั้น และโดยพื้นฐานแล้วก็แค่ +1 ดังนั้นอีกครั้ง ไม่มีทางที่จะแยกโครงสร้างผู้ใช้แต่ละรายออกจากฐานข้อมูล

หมายเหตุเพิ่มเติมเกี่ยวกับตำแหน่งทางภูมิศาสตร์คือข้อมูลประเทศนั้นกว้างเกินไป แต่ส่วนย่อยของภูมิภาค เมือง หรือรหัสไปรษณีย์จะต้องได้รับความยินยอมจากผู้ใช้ปลายทาง เมื่อรวมกับองค์ประกอบอื่นๆ แล้ว อาจเป็นส่วนย่อยที่มีขนาดเล็กมาก (แม้เพียง 1 คนเท่านั้น!) ดังนั้นอีกครั้ง คุณสามารถจัดเก็บข้อมูลส่วนบุคคลได้ และสิ่งนี้จะต้องได้รับความยินยอมจากผู้ใช้

คุกกี้และข้อมูลส่วนบุคคล

ตาม GDPR คุกกี้ก็เป็นข้อมูลส่วนบุคคลเช่นกัน แต่คุกกี้ทั้งหมดไม่ได้ถูกสร้างขึ้นมาอย่างเท่าเทียมกัน อาจเป็นไปได้ว่าบางคนต้องการความยินยอมจากผู้ใช้ในขณะที่คนอื่นไม่ต้องการ รายละเอียดจะถูกกำหนดโดยข้อบังคับ ePrivacy ใหม่—เมื่อได้รับการอนุมัติแล้ว สำหรับตอนนี้ เรามีร่าง 15333 ซึ่งมีข้อยกเว้นสำหรับซอฟต์แวร์วิเคราะห์เว็บ เช่น เครื่องมือทดสอบ A/B

เครื่องมือทดสอบ A/B นั้นไม่มีข้อกำหนดความยินยอม ตราบใดที่เครื่องมือเหล่านี้ “ประเมินประสิทธิภาพของบริการสังคมข้อมูลที่จัดส่ง” แต่ทันทีที่คุณเข้าสู่การกำหนดเป้าหมายเฉพาะของผู้ใช้ปลายทาง หรือพยายามระบุลักษณะของผู้ที่ใช้งานเว็บไซต์ แสดงว่าคุณกำลังย้ายไปยังพื้นที่ที่ต้องได้รับความยินยอม

คุณควรตรวจสอบอีกครั้งว่าคุกกี้ที่ใช้โดยเครื่องมือทดสอบ A/B ของคุณไม่มีตัวระบุที่ไม่ซ้ำกัน ตัวระบุที่ไม่ซ้ำกันสามารถทำให้คุกกี้มีคุณสมบัติเป็นข้อมูลส่วนบุคคลได้

แม้ว่ากฎระเบียบ ePrivacy (ร่าง 15333) จะยังไม่เป็นกฎหมาย และมีวัตถุประสงค์เพื่อส่งเสริม GDPR—GDPR เองก็ให้คำแนะนำบางอย่างแก่เราว่าคุกกี้ประเภทใดจะเกี่ยวข้องกับการประมวลผลข้อมูลส่วนบุคคลโดยธรรมชาติ มีบทบรรยาย 1 บทที่สำคัญในเรื่องนี้:

สิ่งนี้บอกเราว่าคุกกี้ที่มีตัวระบุเฉพาะสำหรับอุปกรณ์และ/หรือบุคคลที่เกี่ยวข้องกับการใช้อุปกรณ์ ควรได้รับการปฏิบัติเหมือนเป็นข้อมูลส่วนบุคคล แนวคิดนี้ยังเสริมด้วย Recital 26 ซึ่งระบุว่าข้อมูลส่วนบุคคลถูกกำหนดโดยข้อมูลที่สามารถใช้อย่างสมเหตุสมผล ไม่ว่าจะเพียงอย่างเดียวหรือร่วมกับข้อมูลอื่น ๆ เพื่อระบุตัวบุคคล

ดังนั้นเครื่องมือทดสอบ A/B ของคุณควรลบตัวระบุที่ไม่ซ้ำเพื่อให้สอดคล้องกับ GDPR นอกจากนี้ อย่าเก็บบันทึกแต่ละรายการที่เชื่อมต่อกับคุกกี้ตัวเดียวบนฝั่งเซิร์ฟเวอร์ นั่นจะทำให้อยู่นอกข้อยกเว้นในข้อบังคับ ePrivacy

ตัวระบุนามแฝง (เช่น สตริงของตัวเลขหรือตัวอักษร) ซึ่งเป็นสิ่งที่คุกกี้มักมี ถือเป็นข้อมูลส่วนบุคคลเช่นกัน ดังนั้นภายใต้ GDPR คุกกี้หรือตัวระบุอื่นๆ ที่มาจากผู้ใช้โดยเฉพาะ และสามารถระบุตัวบุคคลได้ จะนับเป็นการประมวลผลข้อมูลส่วนบุคคลเมื่อตัวระบุนี้ถูกจัดเก็บไว้ในฝั่งเซิร์ฟเวอร์

ID ผู้ใช้ & ข้อมูลส่วนบุคคล

การจัดเก็บ ID ผู้ใช้เฉพาะสำหรับบุคคล หรือตัวระบุอื่นๆ ที่คุณสามารถเชื่อมโยงข้ามไปยังข้อมูลส่วนบุคคล... คือ ...คุณเดาเอาเองว่า... ข้อมูลส่วนบุคคล ดังนั้น สิ่งเหล่านี้ต้องได้รับความยินยอมและควรหลีกเลี่ยง (การบรรยาย 30 ใช้ที่นี่ เช่นเดียวกับ Recital 50 ด้านล่าง)

Convert มีคุณสมบัติที่เรียกว่า Universal User ID ตัวอย่างเช่น หากใช้เพื่อเชื่อมต่อเซสชันจากระบบอีคอมเมิร์ซอีกครั้งหลังจากที่ผู้ใช้ซื้อ ความยินยอมอาจรวมอยู่ในข้อกำหนดที่ตกลงกับความสัมพันธ์กับลูกค้า แต่เรายังคงแนะนำความยินยอมแยกต่างหากสำหรับการรวมอุปกรณ์ เซสชัน และเบราว์เซอร์—เนื่องจากเป็นการดีที่สุดที่จะไม่ใช้ GDPR แต่เพื่อให้มีความโปร่งใสอย่างแท้จริง

ยังคงวางแผนที่จะจัดเก็บข้อมูลส่วนบุคคล?

คุณจึงตัดสินใจเก็บทุกอย่างไว้ในเครื่องมือทดสอบ A/B ของคุณหรือไม่ การจัดเก็บ ID เซสชัน ID ผู้ใช้หรือตัวระบุอื่น ๆ อย่างดีหมายความว่าคุณต้องแน่ใจว่าเป็น

• มีการป้องกัน
• แม่นยำ
• อัพเดทตามคำเรียกร้อง
• ลบเมื่อจำเป็น

ให้ฉันโยนบางรายการของกฎหมาย GDPR ในบริบทของการจัดเก็บข้อมูลส่วนบุคคลและความสนุกสนานทั้งหมดที่มาพร้อมกับมัน

GDPR และความถูกต้องของข้อมูลผู้ใช้ปลายทาง

ดังนั้น เมื่อคุณมีเครื่องมือทดสอบ A/B ที่เก็บข้อมูลส่วนบุคคล และการทดสอบของคุณมีนัยสำคัญ คุณต้องมีเครื่องมือที่หยุดผลลัพธ์เหล่านั้นเมื่อผู้ใช้ปลายทางกรอกแบบฟอร์มที่คุณจำเป็นต้องมีบนเว็บไซต์ของคุณ หากย่อหน้าก่อนหน้านี้ไม่ได้โน้มน้าวให้คุณมีข้อมูลส่วนบุคคลที่จัดเก็บไว้ในเครื่องมือวิเคราะห์ของคุณ กฎหมาย GDPR ส่วนนี้จะมีขึ้น ฉันจะวางบทความทั้งหมดที่สะกดออกมาที่นี่

ดังนั้น… ฉันจะให้คุณคิดเกี่ยวกับเรื่องนี้สักครู่…
…
…

ใช่ ฉันคิดอย่างนั้น ตอนนี้ทั้งหมดกับฉัน ... พูดออกมาดัง ๆ

• ฉันสัญญาว่าจะไม่จัดเก็บข้อมูลส่วนบุคคลในเครื่องมือทดสอบ A/B ของฉัน
• ฉันสัญญาว่าจะไม่จัดเก็บข้อมูลส่วนบุคคลในเครื่องมือทดสอบ A/B ของฉัน
• ฉันสัญญาว่าจะไม่จัดเก็บข้อมูลส่วนบุคคลในเครื่องมือทดสอบ A/B ของฉัน

ดังนั้น ให้ตรวจสอบผู้ให้บริการทดสอบ A/B ของคุณอีกครั้ง และตรวจสอบให้แน่ใจว่าไม่มีทางใดที่พวกเขาบันทึกประวัติผู้เยี่ยมชมที่ไม่ซ้ำกัน

ฉันหมายถึง เราทุกคนต้องการนำข้อมูลเชิงลึกและข่าวดีมาสู่ลูกค้าและผู้บังคับบัญชา และมันยอดเยี่ยมมากที่จะเจาะลึกลงไปในการทดสอบ A/B ที่หายไปและดูว่าส่วนย่อยบางส่วนชนะหรือไม่

แต่จริงๆ แล้ว...คุณต้องการเป็นหนึ่งในคนเหล่านั้นที่ซ่อนผู้เข้าชมทั้งหมดไว้ในภาพหน้าจอการนำเสนอของคุณ และทำให้ผู้คนประหลาดใจด้วยชัยชนะ 1460% ในรูปแบบเดียวใน Chrome ในสวีเดนหรือไม่

เพียงยอมรับสิ่งต่อไปนี้: คุณตั้งค่าการทดสอบด้วยสมมติฐานที่ชัดเจน เรียกใช้การทดสอบ และหยุดการทดสอบเมื่อมีการเข้าชมเพียงพอ (ไม่มีการแอบดู) การมองหาผู้ชนะในกลุ่มย่อยเล็กๆ ไม่ได้ทำให้คุณเป็นนักการตลาดที่ดีขึ้น

ด้วย GDPR ยิ่งคุณจัดเก็บมากเท่าไหร่ คุณก็จะยิ่งรู้มากขึ้นเท่านั้น และกลุ่มที่มีโอกาสกลายเป็นผู้ใช้จริงก็จะยิ่งสูงขึ้น นอกจากนั้น ความต้องการที่สูงขึ้นในการปกป้องข้อมูล ร้องขอข้อมูล (โดยใช้ Subject Access Requests) ลบข้อมูลและอัปเดตข้อมูล
อย่าเก็บไว้เลย ตรวจสอบให้แน่ใจว่าเครื่องมือทดสอบ A/B ของคุณไม่ได้จัดเก็บไว้ และคุณได้มอบสิ่งที่ต้องกังวลน้อยลงอีกหนึ่งอย่างให้กับตัวเอง

หากคุณยังคงตัดสินใจว่าจะไม่รบกวนการขอความยินยอม และจัดเก็บข้อมูลส่วนบุคคลทั้งหมดไว้ในเครื่องมือทดสอบ A/B ของคุณ ตรวจสอบให้แน่ใจว่าเครื่องมือทดสอบ A/B ของคุณอนุญาตให้คุณส่งออกข้อมูลดิบโดยอิงจากผู้เข้าชมที่ไม่ซ้ำได้อย่างง่ายดาย ตรวจสอบให้แน่ใจว่าล็อคอยู่ ซึ่งสามารถแก้ไขความสนใจ หมวดหมู่ และการแบ่งส่วนอื่นๆ ที่คุณเก็บไว้เกี่ยวกับผู้ใช้ และสามารถลบข้อมูลโดยไม่ต้องแก้ไขผลการทดสอบ A/B ในอดีต

ในการรวบรวมข้อมูลส่วนบุคคล คุณจะต้องเคารพสิทธิ์ของพลเมืองสหภาพยุโรปและผู้คนในยุโรปในขณะที่เข้าชมเว็บไซต์ของคุณ ซึ่งรวมถึง:

• ความเป็นไปได้สำหรับพวกเขาในการดูข้อมูลที่คุณรวบรวมจากการทดสอบ ผู้ชม และกลุ่ม (และเป้าหมาย)
• ความเป็นไปได้ในการอัปเดต/แก้ไขข้อมูลบางส่วนหรือทั้งหมดที่เกี่ยวข้อง
• ความเป็นไปได้ในการลบข้อมูลตามคำขอของพวกเขา
• ความเป็นไปได้ในการส่งออกข้อมูลทั้งหมด ดังนั้นหากผู้ใช้ร้องขอ คุณจะต้องส่งออกข้อมูลที่เชื่อมโยงกับที่อยู่ IP ของเขาหรือตัวระบุที่ไม่ซ้ำกัน สามารถส่งออกเป็นไฟล์ .csv ได้อย่างง่ายดาย

ดังนั้นเมื่อคุณตัดสินใจว่าจะจัดเก็บข้อมูลส่วนบุคคล คุณควรเสนอคำขอการเข้าถึงข้อมูลที่เกี่ยวข้องกับการเข้าถึงข้อมูล การแก้ไข และการลบ

• สิทธิในการเข้าถึง
• สิทธิในการจำกัดการประมวลผล
• สิทธิในการแก้ไข
• สิทธิที่จะถูกลืม
• สิทธิในการพกพาข้อมูล

คำขอเข้าถึงหัวเรื่องทั้งหมดจะต้องได้รับการประมวลผลและแก้ไขภายในกรอบเวลาอย่างน้อยหนึ่งเดือนหลังจากได้รับ ตามที่อธิบายไว้ในข้อความของ GDPR

ฉันกลัวที่จะถาม แต่แล้วการแบ่งส่วนย่อยสำหรับรูปแบบต่างๆ ล่ะ

คุณสามารถรวบรวมข้อมูลดังกล่าวโดยใช้มิติข้อมูลที่กำหนดเอง ตัวแปรที่กำหนดเอง... และอื่นๆ อีกมากมาย

ตอนนี้ขอไม่เริ่มต้นอีกครั้ง คุณเพิ่งสัญญากับฉันว่าคุณจะไม่จัดเก็บข้อมูลใด ๆ ตามสิทธิ์ของผู้ใช้ปลายทางในข้อมูลนั้นในมาตรา 15 ของ GDPR แต่ถึงแม้คุณจะไม่มีตัวระบุใดๆ ในการเชื่อมต่อข้อมูลนั้น คุณก็อาจยังคงจัดเก็บข้อมูลส่วนบุคคลอยู่ ตัวอย่างนี้อธิบายว่าทำไม

เทคโนโลยีที่เปิดใช้งานอุปกรณ์เคลื่อนที่ โต๊ะ หรือเดสก์ท็อปสามารถเชื่อมต่อกับตำแหน่งปัจจุบันได้ องค์กรอื่นๆ อาจต้องการใช้ข้อมูลประเภทนี้เพื่อให้เนื้อหาหรือโฆษณาเฉพาะสถานที่ อย่างไรก็ตาม ข้อมูลตำแหน่ง โดยเฉพาะอย่างยิ่งข้อมูลเกี่ยวกับรูปแบบการเคลื่อนไหวของบุคคลอย่างแม่นยำเมื่อเวลาผ่านไป สามารถเปิดเผยรายละเอียดที่ใกล้ชิดมากเกี่ยวกับชีวิตส่วนตัวของบุคคลนั้น นี่คือข้อมูลส่วนบุคคล

ดังนั้นสำหรับเครื่องมือทดสอบ A/B ของคุณ นี่หมายความว่าคุณสามารถจัดเก็บผู้ใช้แต่ละรายในหลายกลุ่มและสามารถระบุตัวบุคคลนี้ร่วมกันได้ ดังนั้นคำแนะนำคืออย่าเก็บบันทึกแต่ละรายการเลย—แค่กลุ่มของเซ็กเมนต์ในฐานข้อมูล และขอความยินยอมเมื่อคุณเริ่มรวบรวมส่วนย่อยหลายส่วนที่เกี่ยวข้องกับข้อมูลตำแหน่งในสถานที่ที่เฉพาะเจาะจงมากกว่าประเทศ เครื่องมือทดสอบ A/B ของคุณสามารถให้คำแนะนำเมื่อคุณรวบรวมกลุ่มมากเกินไป แต่ในความคิดของฉัน การจัดเก็บบันทึกแต่ละรายการเป็นเพียงการถามถึงปัญหา

และการเชื่อมต่อข้อมูลบุคคลที่สาม? ชอบ BlueKai?

คุณต้องได้รับความยินยอมจากผู้ใช้ปลายทาง หรือ BlueKai และคุณสามารถเป็นผู้ควบคุมร่วมกันได้ ความหมาย ในช่วงเวลาของการรวบรวมข้อมูลของผู้ใช้ปลายทาง BlueKai ได้ขอความยินยอมในชื่อของคุณ ไม่น่าจะเป็นไปได้ ในขณะที่เขียนบทความนี้ คุณต้องได้รับความยินยอมเพื่อเพิ่มคุณค่าให้กับผู้ชมในเครื่องมือทดสอบ A/B ด้วยรูปแบบการยินยอมในข้อมูล ถามผู้ให้บริการข้อมูลของคุณ เช่น BlueKai

อย่าติดตามสำหรับยุโรปเท่านั้น? คุณแน่ใจไหม?

Do Not Track (หรือแค่ DNT) คือการตั้งค่าความเป็นส่วนตัวที่ผู้ใช้ปลายทางสามารถตั้งค่าได้ในเบราว์เซอร์ส่วนใหญ่ คุณควรให้เกียรติ DNT เป็นสัญญาณว่าคุณและผู้ใช้ปลายทางต้องการให้เราใช้ข้อมูล อย่างไร ในปีที่ผ่านมา ผู้ใช้ปลายทางหลายคนส่งสัญญาณว่าพวกเขาต้องการวิธีใหม่ในการมีส่วนร่วมกับแบรนด์ ตัวอย่างเช่น ในแคนาดา ซึ่งกฎหมายของรัฐบาลกลางของแคนาดานำการเปลี่ยนแปลงกฎหมายความเป็นส่วนตัวมาให้เรา หรือในรัฐสภาคองเกรสแห่งสหรัฐอเมริกาด้วยเวทีใหม่ใน Privacy Shield หรือในสหภาพยุโรปที่ประเทศสมาชิกแสดงความสนับสนุนให้มีปฏิสัมพันธ์กับผู้ใช้ปลายทางด้วยความเคารพมากขึ้น คุณควรได้ยินพวกเขาและเคารพพวกเขา

DNT มีค่าที่เป็นไปได้สามค่า:

1. อย่าติดตาม (เลือกไม่ติดตาม)
2. ติดตาม (เลือกใช้การติดตาม)
3. Null – ไม่มีการตั้งค่า

ตามค่าเริ่มต้น เว็บเบราว์เซอร์ใช้ค่า null (ไม่มีการตั้งค่า) ซึ่งบ่งชี้ว่าผู้ใช้ปลายทางไม่ได้แสดงความปรารถนาว่าต้องการถูกติดตามหรือไม่ เครื่องมือทดสอบ A/B ของคุณควรมีการตั้งค่าไม่ให้โหลดสคริปต์ใดๆ เมื่อมีการตั้งค่าตัวเลือกที่หนึ่ง Do Not Track (การเลือกไม่ใช้การติดตาม) ในเบราว์เซอร์
Jonathan Mayer และ Arvind Narayanan เป็นนักวิจัยหลักสองคนที่มหาวิทยาลัยสแตนฟอร์ดซึ่งทำงานเกี่ยวกับเทคโนโลยี Do Not Track โมเดลของพวกเขาใช้ข้อมูลในส่วนหัว HTTP เพื่อเลือกไม่ใช้การติดตามออนไลน์ทั้งหมดในระดับสากล

“ในรูปแบบเทคโนโลยี Do Not Track นั้นเหนือกว่ากลไกการเลือกไม่ใช้งานอย่างชัดเจน” Mayer กล่าว โดยอ้างถึงข้อผูกมัดของเบราว์เซอร์อื่นของ Google เพื่อสนับสนุนเทคโนโลยีบนเว็บไซต์ของพวกเขา

“ดังนั้น คำถามด้านเทคโนโลยีจึงถูกตัดสินแล้ว นั่นคือ Do Not Track”

เครื่องมือทดสอบ A/B ของคุณสามารถมีตัวเลือกดังต่อไปนี้:

• Do Not Track มีความสำคัญเพียงพอและได้รับการยอมรับจากเครื่องมือโดยไม่จำเป็นต้องให้ลูกค้าเปิดหรือปิดอะไรเลย ใช้งานได้ (การเปิดเผยแบบเต็ม: ที่ Convert เราเลือกอันนี้…)
• ผู้ใช้สามารถเปิดหรือปิด Do Not Track สำหรับแพลตฟอร์มทั้งหมดได้ (ตรวจสอบว่าเป็นค่าเริ่มต้นสำหรับโครงการทั้งหมดของคุณในฐานะผู้ดูแลระบบ)
• ผู้ใช้แพลตฟอร์มต่อโปรเจ็กต์และภูมิภาค (ยุโรป) สามารถเปิดใช้ Do Not Track ได้ และควรตรวจสอบโดยผู้ดูแลระบบในแต่ละโปรเจ็กต์

สิ่งที่เกิดขึ้นจริงเมื่อเปิดเครื่องนั้นสำคัญ

คุณจะวางคุกกี้ (ไม่แนะนำ) หรือเครื่องมือไม่โหลดเลย (เราเลือกไว้) ข้อเสียของข้อแรก (การวางคุกกี้) คือคุกกี้อาจส่งคำเตือนไปยังผู้ใช้ปลายทาง และเจ้าของเว็บไซต์อาจได้รับคำขอข้อมูลเพิ่มเติมจากผู้ใช้ ข้อเสียของการไม่โหลดสคริปต์เลยคือส่วนขยายเบราว์เซอร์และผู้ใช้ไม่ได้รับการติดตามในทางใดทางหนึ่ง (ดังนั้นผู้เยี่ยมชมที่ติดตามรูปแบบหรือประสบการณ์อาจเริ่มแตกต่างจากเครื่องมือวิเคราะห์) ในความคิดของฉัน ประเด็นที่สองเหมาะสมกว่า GDPR จะทำให้ตัวเลขยุ่งเหยิงอยู่ดี เนื่องจากเครื่องมือต่างๆ จะได้รับหรือไม่ได้รับความยินยอม ดังนั้นการจับคู่พวกเขาทั้งหมดเพื่อให้ได้ผลลัพธ์ที่ "จริง" แทบจะเป็นไปไม่ได้เลย

ความรับผิดชอบ

ใช่ คุณต้องเปลี่ยนเงื่อนไขการใช้งาน นโยบายความเป็นส่วนตัว และนโยบายคุกกี้ (หรือรวมไว้ในนโยบายความเป็นส่วนตัวของคุณ) คุณต้องมีผู้จัดการความยินยอมบนเว็บไซต์และ ...

แค่รีเฟรชโปรเซสเซอร์และคอนโทรลเลอร์ (สับสนใช่ไหม)

คุณเป็นผู้ควบคุมในความสัมพันธ์ระหว่างผู้เยี่ยมชมเว็บไซต์ของคุณ (ผู้ใช้ปลายทาง) เครื่องมือทดสอบ A/B ของคุณเป็นตัวประมวลผล

ซึ่งหมายความว่าคุณต้องรับผิดชอบต่อการปฏิบัติตาม GDPR และคุณไม่สามารถชี้นิ้วไปที่ผู้จำหน่ายเครื่องมือทดสอบ A/B ของคุณได้ วิธีที่ฉลาดที่สุดในการทำเช่นนั้น ตรวจสอบให้แน่ใจว่าผู้จำหน่ายเครื่องมือทดสอบ A/B ของคุณทำทุกอย่างเพื่อให้เป็นไปตามที่อธิบายไว้ในบทความนี้

ติดตามรายได้? หมายเลขคำสั่งซื้อเป็นข้อมูลส่วนบุคคล?

ที่นี่ฉันมีข้อสงสัยของฉัน รหัสคำสั่งซื้อ (หมายเลขคำสั่งซื้อหรือรหัสธุรกรรม) จะเป็นข้อมูลส่วนบุคคลหรือไม่

ฉันไม่คิดอย่างนั้น แต่การแยกข้อมูลส่วนบุคคลออกจากข้อมูลที่ไม่ระบุตัวตน (เช่น หมายเลขคำสั่งซื้อจากชื่อและที่อยู่ของลูกค้า) เป็นเพียงแนวทางปฏิบัติที่ดี

เนื่องจากเราไม่ต้องการให้ลูกค้ากังวลเกี่ยวกับการแก้ไขใดๆ ที่อาจเกิดขึ้นในข้อบังคับ ePrivacy เราจึงตัดสินใจไม่จัดเก็บข้อมูลนี้ในส่วนการติดตามรายได้ของเครื่องมือ

การรวมกันของมูลค่าการสั่งซื้อเฉลี่ย ผลิตภัณฑ์ที่ซื้อ รายได้ และรหัสคำสั่งซื้อเป็นข้อมูลที่ไม่สามารถระบุตัวตนได้มากเกินไปในฐานข้อมูลของเรา แต่สิ่งนี้ขึ้นอยู่กับคุณและผู้ให้บริการทดสอบ A/B ของคุณเพื่อหารือเกี่ยวกับวิธีที่คุณต้องการจัดการกับสิ่งนี้ การลดขนาดข้อมูลโดยทั่วไปขอให้เราจัดเก็บให้น้อยที่สุดเท่าที่จะทำได้ เนื่องจากเราไม่ต้องการข้อมูลนี้ในการติดตามรายได้ เราจึงนำข้อมูลนี้ออกจากชุดข้อมูล ร่วมกับรายได้แต่ละรายการ จำนวนผลิตภัณฑ์ และข้อมูลคำสั่งซื้ออื่นๆ ในระดับบุคคล (ผู้ใช้ปลายทาง)

บูรณาการ?

หากคุณกำลังส่งข้อมูลว่าผู้ใช้ปลายทางมีส่วนร่วมกับรูปแบบใดและประสบการณ์ใดบ้าง เราขอแนะนำให้ยินยอมในเรื่องนี้

ให้ตายสิ มีข่าวดีอะไรมั้ย?

ใช่…

จำกำแพงคุกกี้เหล่านั้นที่คุณต้องยอมรับคุกกี้เพื่อให้สามารถอ่านเนื้อหาได้หรือไม่? พวกนั้นหายไปแล้ว คุณไม่สามารถวางมันได้อีกต่อไป ดังนั้นมันจึงเป็นการแสดงเนื้อหาต่อผู้เยี่ยมชมทุกคน ขอความยินยอมสำหรับตัวติดตามที่เฉพาะเจาะจง หรือย้ายมันไว้หลังเพย์วอลล์

แค่นั้นแหละ?

ไม่มีอีกแล้ว…

GDPR ระบุว่าคุกกี้ช่วยปรับปรุงประสบการณ์การใช้อินเทอร์เน็ตของผู้ใช้ เช่น การจดจำประวัติตะกร้าสินค้าของผู้ใช้ หรือเมื่อกรอกแบบฟอร์มหลายหน้า

การวิเคราะห์ใน GDPR สามารถทำได้ตราบใดที่ข้อมูลส่วนบุคคลที่รวบรวมได้รับการประมวลผลโดยบุคคลที่หนึ่งเท่านั้น ePrivacy มีความเฉพาะเจาะจงเกี่ยวกับคุกกี้ โดยที่ GDPR ไม่ใช่ อ่านร่างข้อบังคับ ePrivacy 15333 มาตรา 21;

อ้อ สิ่งสุดท้าย… เซิร์ฟเวอร์ที่ใช้ US vs EU

ไม่สำคัญว่าคุณจะโฮสต์เว็บไซต์ของคุณที่ไหน? หรือสคริปต์ตัวติดตามการทดสอบ A/B โหลดจากที่ใด หรือชุดข้อมูลจริงของคุณอยู่ที่ไหน ใช่มันจะไม่อยู่ในบทความนี้เป็นอย่างอื่น

ตำแหน่งเซิร์ฟเวอร์ส่วนใหญ่เกี่ยวกับการถ่ายโอนข้อมูล – ซึ่งเพียงอย่างเดียวจะต้องได้รับความยินยอมหากเกี่ยวข้องกับข้อมูลส่วนบุคคล เราต้องดูบทที่ 5 ของ GDPR เกี่ยวกับการถ่ายโอนข้อมูลส่วนบุคคลไปยังประเทศที่สามหรือองค์กรระหว่างประเทศ สิ่งนี้จะให้ข้อมูลเชิงลึกแก่เราว่าต้องทำอย่างไรหากข้อมูลถูกเก็บไว้นอกสหภาพยุโรป

ระดับการปกป้องข้อมูลส่วนบุคคลของประเทศที่สามได้รับการประเมินโดยคณะกรรมาธิการยุโรปผ่าน 'การค้นพบที่เพียงพอ' ซึ่งมีผลผูกพันกับประเทศสมาชิกทั้งหมด เมื่อทราบ “ความเพียงพอ” ของประเทศที่สามแล้ว ข้อมูลส่วนบุคคลก็สามารถโอนไปยังประเทศนี้ได้โดยไม่ต้องมีมาตรการป้องกันเพิ่มเติม

หลักการทั่วไปสำหรับการถ่ายโอน (มาตรา 44) และการโอนบนพื้นฐานของการตัดสินใจที่เพียงพอ (มาตรา 45) อธิบายว่าการอภิปรายมักจะเกี่ยวข้องกับการถ่ายโอนข้อมูลไปยังประเทศนอกสหภาพยุโรป (และนอร์เวย์ ลิกเตนสไตน์ และไอซ์แลนด์) เป็นหลัก มีเพียงตัวเลือก:

• Privacy Shield (สำหรับสหรัฐอเมริกา) และประเทศที่เพียงพอ (คณะกรรมาธิการยุโรปได้รับรองอันดอร์รา อาร์เจนตินา แคนาดา (องค์กรการค้า) หมู่เกาะแฟโร เกิร์นซีย์ อิสราเอล เกาะแมน เจอร์ซีย์ นิวซีแลนด์ สวิตเซอร์แลนด์ อุรุกวัย และสหรัฐอเมริกา ( จำกัดเฉพาะกรอบการคุ้มครองความเป็นส่วนตัว) เนื่องจากมีการป้องกันที่เพียงพอ
• ข้อสัญญามาตรฐานหรือที่เรียกว่าข้อสัญญาต้นแบบ
• กฎข้อบังคับของบริษัทที่มีผลผูกพัน (ครอบคลุมอยู่ในมาตรา 47 ของ GDPR)

เป็นไปได้มากว่าผู้ให้บริการทดสอบ A/B ของคุณเป็นบริษัทในสหรัฐอเมริกา และทางเลือกที่ง่ายที่สุดน่าจะเป็น Privacy Shield และ SCC เนื่องจากเป็นการดำเนินการเพียงครั้งเดียว สำหรับบริษัทของเรา นี่หมายความว่าแม้ว่าข้อมูลลูกค้าของเราทั้งหมด (ของผู้ใช้ปลายทางเว็บไซต์) จะถูกเก็บไว้ในเซิร์ฟเวอร์ที่เป็นกลางในแฟรงค์เฟิร์ต - ฐานทางกฎหมายของเราสำหรับบริษัทในสหรัฐอเมริกาจะเป็น Privacy Shield และ SCC (เราต้องการความปลอดภัยเป็นพิเศษและ มีเซิร์ฟเวอร์ทั้งหมดที่มีชุดข้อมูลลูกค้าในเยอรมนี)

บทสรุป

GDPR มีขนาดใหญ่มาก และไม่ได้จำกัดเฉพาะบริษัทในสหภาพยุโรปเท่านั้น เมื่อดูที่ร่างข้อบังคับ ePrivacy 1533 และ GDPR เราเห็นว่าคุณสามารถทดสอบ A/B โดยใช้ Convert Experiences กับผู้เยี่ยมชมทุกคนโดยไม่ได้รับความยินยอม

เรามีการตั้งค่าหน้าเว็บทั้งหมดเกี่ยวกับวิธีที่บริษัทจะปฏิบัติตามข้อกำหนดของ Convert และแผนงานของแอปพลิเคชันทั้งหมดเกี่ยวกับรายละเอียดที่เรากำลังดำเนินการอยู่เพื่อให้ปฏิบัติตาม GDPR ได้ง่ายขึ้น

ถามผู้จำหน่ายของคุณว่าพวกเขาเห็นเครื่องมือของพวกเขาในแง่ของการปฏิบัติตามข้อกำหนดอย่างไร และเมื่อใดที่พวกเขากำลังทำงานเพื่อลดความซับซ้อนของโครงสร้างฐานข้อมูลในการทดสอบ A/B โดยไม่ต้องได้รับความยินยอม

เพราะหากเครื่องมือของคุณต้องได้รับความยินยอม—จะมีผลกระทบอย่างมากต่อกลุ่มการตลาดของคุณ ความกลัวที่ยิ่งใหญ่คือด้วยเครื่องมือทดสอบ A/B ตามความยินยอม คุณจะสูญเสียการเข้าชมมากกว่า 80% ในการทำงานด้วย

การทดสอบ A/B: รายการตรวจสอบการปฏิบัติตามข้อกำหนดของ GDPR

การลดขนาดข้อมูล

คำถามจากผู้ขาย?
ฟิลด์ใดที่คุณจัดเก็บโดยผู้เยี่ยมชมที่ไม่ซ้ำในฐานข้อมูลของคุณ (หลังจากเสร็จสิ้นแผนงาน)

ตัวอย่างคำตอบ
ไม่มีอะไร

ข้อมูลส่วนบุคคล

คำถามจากผู้ขาย?
คุณเก็บ IP ของผู้เยี่ยมชมหรือไม่

ตัวอย่างคำตอบ
ไม่

คำถามจากผู้ขาย?
คุณจัดเก็บข้อมูลประเทศ/ภูมิภาค/เมืองหรือข้อมูลตำแหน่งอื่นๆ โดยผู้เยี่ยมชมหรือไม่?

ตัวอย่างคำตอบ
ไม่

คำถามจากผู้ขาย?
คุณสามารถอธิบายเนื้อหาคุกกี้หรือลิงก์ไปยังบทความสนับสนุนได้หรือไม่

ตัวอย่างคำตอบ
https://convert.zendesk.com/hc/en-us/articles/204495429-Convert-Experiences-Tracking-Cookies-Structure

คำถามจากผู้ขาย?
คุกกี้ถูกเก็บไว้นานแค่ไหน?

ตัวอย่างคำตอบ
6 เดือน.

คำถามจากผู้ขาย?
คุณจัดเก็บ ID ผู้ใช้เฉพาะ (session-ID, device-ID, User ID หรืออีเมล) และ/หรืออนุญาตให้เราจัดเก็บอีเมลหรือข้อมูลส่วนบุคคลอื่น ๆ หรือไม่? ถ้าเป็นเช่นนั้นจะเก็บไว้ที่ไหน?

ตัวอย่างคำตอบ
ไม่ เรายังไม่อนุญาตให้จัดเก็บข้อมูล (โปรดดูข้อกำหนดการใช้งานด้วย) ข้อยกเว้นคือมีฟีเจอร์ Universal ID เมื่อเปิดใช้งานโดยลูกค้าต้องยินยอม

คำถามจากผู้ขาย?
เครื่องมือของคุณช่วยเราในการร้องขอการเข้าถึงเรื่องของผู้ใช้ปลายทางอย่างไร

ตัวอย่างคำตอบ
สนับสนุนโดยไม่ได้เก็บข้อมูลส่วนบุคคลใด ๆ ไว้

คำถามจากผู้ขาย?
เครื่องมือของคุณรองรับ Do Not Track อย่างไร?

ตัวอย่างคำตอบ
ใช่ โดยค่าเริ่มต้นไม่ได้โหลดสคริปต์ (ดูแผนงานแอปทดสอบ GDPR A/B ของเราด้วย)

การลดขนาดข้อมูล

คำถามจากผู้ขาย?
What fields do you store by the unique visitor in your database (after roadmap completion)?

Example answer
ไม่มีอะไร

Security

Vendor Question?
What server location (country) is our end-user data stored?

Example answer
แฟรงก์เฟิร์ต ประเทศเยอรมนี

Vendor Question?
If end-user or company information is stored outside the EEU what legal base you are using to transfer the information.

Example answer
End-user information is not stored and not transferred outside the EEU, unless customer requests debugging logging (stored max. 6 days). Customer information and debugging logs could be transferred on bases of Privacy Shield to US servers.

Vendor Question?
What security systems you have in place on databases and system where end-user information is stored?

Example answer
C5, DoD SRG, FedRAMP, FIPS, ISO 9001, ISO 27001, ISO 27017, ISO 27018, PCI, DSS Level 1, SEC Rule 17-a-4(f), SOC 1, SOC 2, SOC 3

GDPR compliance

Vendor Question?
How does your company prepare for GDPR compliance?

Example answer
Find all about out company GDPR compliance program, here.

Vendor Question?
How does your company assist us as controller with GDPR compliance of end-user data?

Example answer
The application roadmap is now public.

Disclaimer: Note that this article represents the views of the author solely, and are not intended to constitute legal advice.