如何购买符合 GDPR 的 A/B 测试软件

更新：Convert 现在完全符合 GDPR。 您可以在此处查看我们实现 GDPR 合规性的历程。

我们还致力于帮助我们的客户遵守 GDPR。 为方便起见，我们将向所有用户发放一份我们的数据处理协议 (DPA) 的签名副本。

此外，我们正在密切关注即将到来的电子隐私条例更新的进展。 与往常一样，我们将尽可能积极主动地确保合规——无论是为了我们自己还是我们的客户

剧透警报：忘记它。

没有合规的 A/B 测试工具。

意思是，没有来自 A/B 测试工具的“证书”保证您将避免来自欧洲隐私机构的 2000 万欧元诉讼。 但有可能的是，您选择了一种考虑到隐私的测试工具。 使用其默认配置时不会给您带来麻烦的一种。

本文帮助您在 GDPR 实施日期（2018 年 5 月 25 日）之前就您的 A/B 测试工具供应商提出正确的问题。 我将解构 GDPR 和即将出台的电子隐私条例（草案 15333）中的每个重要元素，并在最后为您提供一份清单。

（点击这里直接跳转到清单）

在本文中…

数据最小化

数据最小化原则本质上是这样一种想法，即除有限的例外情况外，组织应仅处理实现其处理目的实际需要的（个人）数据。

GDPR 独奏会 39； 第 5(1)(c) 条
个人数据必须充分、相关且仅限于与处理这些数据的目的相关的必要内容。

那么运行实验所需的最少数据是多少？ 我的意思是，您是否需要收集 IP、浏览器和设备 ID 的所有详细信息来获得 A/B 测试的结果？ 不，您正在收集它们，因为该工具可以收集它们。 考虑到隐私，专注于您需要收集的元素，而不是存储其余的元素。 进行实验的必要条件是：

• 看到的变化
• 达到的目标：是/否（关于收入目标、产品数量和收入）

当您想深入了解您需要的每个子细分的不同结果时，例如：

• 子段：是/否

A/B 测试工具实际上并不需要为每个最终用户存储一行数据。 您需要存储以获取洞察力的是：

• 看到特定变化的最终用户总数（总数和每个子段）
• 触发目标的变体的最终用户总数

而且，在电子商务环境中：

• 每个变体的平均产品和
• 每个变体的平均订单价值……

…可以在每个新订单上重新计算（不存储单个订单）。

其余的统计数据可以即时重新计算，而无需存储最终用户数据的各个行。 这使您的 A/B 测试工具能够遵守数据最小化准则，并显着降低隐私和安全漏洞的风险。

想想看。 有人会用实验的总数做什么？ 如果您的 A/B 测试工具上没有存储最终用户数据，甚至没有假名/散列数据，则无法重新识别最终用户。

个人数据包括 IP 地址

GDPR 定义的个人数据，如果与之前对个人身份信息 (PII) 的定义不同。 现在，IP 地址、cookie 和用户 ID 都是个人数据。

不管你对这个定义有什么感觉——这是法律。 2016 年 10 月 19 日，欧盟法院（“CJEU”）公布了其对案件 582/14 – Patrick Breyer v Germany 的判决。 它认为IP地址在某些情况下是个人数据。 从 2016 年 5 月起，该判决与总检察长在本案中的意见基本一致。

指令第 2(a) 条将个人数据定义为“与已识别或可识别的自然人（‘数据主体’）相关的任何信息。 可识别的人是“可以直接或间接识别的人[……]”（强调）。 欧盟第 29 条工作组在其第 4/2007 号意见中提供了对可识别性问题的进一步分析。

所以IP地址是个人数据。 时期。 您可以选择匿名他们，除非您得到访问者的明确同意（您可能希望避免）。 但即使你这样做了，这也将始终处于同意的边界——并且会冒重新识别的风险。

我们建议您不要将 IP 存储在您的 A/B 测试工具中，以确保 100% 保持这一新法律的安全。

现在您可能会问……如果我们无法存储 IP 地址，您如何运行国家/地区定位？

最简单的解决方案是使用来自最终用户的呼叫来调用跟踪脚本并识别国家。 将变体/国家/地区的组合存储在一个子段中，但未连接到用户。 只需向该子细分添加一个额外的视图，因此它与该细分中的数百个其他视图混合在一起，基本上只是 +1。 同样，没有办法从数据库中解构单个最终用户。

关于地理位置的另一个注意事项是国家数据本身过于宽泛，但您的地区、城市或邮政编码的子段将需要最终用户的同意。 结合其他元素，它可能是非常小的子段（甚至只有 1 人！）。 同样，您可以存储个人数据，这需要用户的同意。

Cookie 和个人数据

根据 GDPR，cookie 也是个人数据。 但并非所有 cookie 都是平等的。 有些可能需要用户同意，而有些则不需要。 一旦获得批准，细节将由新的电子隐私条例确定。 目前，我们有 15333 草案，其中对 Web 分析软件（如 A/B 测试工具）有一个例外。

A/B 测试工具没有同意要求，只要它们“评估所提供的信息社会服务的有效性”。 但是，一旦您针对最终用户进行了非常具体的定位，或者试图确定谁在使用该网站的性质，那么您就进入了一个需要征得同意的领域。

您应该仔细检查 A/B 测试工具使用的 cookie 是否没有唯一标识符。 唯一标识符可以使 cookie 有资格作为个人数据。

虽然 ePrivacy 法规（草案 15333）还不是法律，但它的目的是补充 GDPR——GDPR 本身就哪些类型的 cookie 将根据其性质涉及个人数据的处理为我们提供了一些指导。 有一个独奏会是关键：

这告诉我们，包含设备和/或与使用设备相关的个人的唯一标识符的 cookie 应被视为个人数据。 Recital 26 也强化了这一想法，其中指出个人数据也由可合理使用的数据定义，无论是单独使用还是与其他数据结合使用，以识别个人。

因此，您的 A/B 测试工具应删除所有唯一标识符以符合 GDPR。 此外，切勿在服务器端存储连接到一个 cookie 的个人记录。 这将使其不属于电子隐私法规的例外情况。

cookie 经常包含的假名标识符（例如数字或字母字符串）也有资格作为个人数据。 因此，根据 GDPR，任何唯一归属于用户并因此能够识别个人的 cookie 或其他标识符，一旦该标识符存储在服务器端，就被视为对个人数据的处理。

用户 ID 和个人数据

存储特定于个人的用户 ID，或您可以交叉链接到个人个人数据的任何其他标识符......是......你猜对了......个人数据。 因此，这些需要同意并且应该避免（演奏会 30 也适用于此，下面的演奏会 50 也是如此）。

Convert 有一个称为通用用户 ID 的功能。 例如，如果这用于在用户购买后重新连接来自电子商务系统的会话，则可以将同意合并到与客户关系商定的条款中。 但我们仍然建议单独同意设备、会话和浏览器的统一——因为最好不要假设 GDPR，而是提供绝对的透明度。

还在计划存储个人数据？

所以您决定将所有内容都存储在您的 A/B 测试工具中？ 存储会话 ID、用户 ID 或任何其他标识符意味着您必须确保它是

• 受保护
• 准确的
• 按需更新
• 需要时擦除

让我在个人数据的存储以及随之而来的所有乐趣的背景下向您介绍 GDPR 法的一些内容。

GDPR 和最终用户数据准确性

因此，当您拥有一个存储个人数据的 A/B 测试工具，并且您的测试达到重要程度时，您需要一个工具来在最终用户填写您需要在您的网站上拥有的表格后冻结这些结果。 如果前面的段落还没有说服您将个人数据存储在您的分析工具中，那么 GDPR 法律的这一部分将会。 我将把说明它的整篇文章粘贴在这里。

所以……我会让你想一想……
…
…

是的，我是这么想的。 现在和我一起……大声说出来。

• 我保证不会在我的 A/B 测试工具中存储个人数据
• 我保证不会在我的 A/B 测试工具中存储个人数据
• 我保证不会在我的 A/B 测试工具中存储个人数据

因此，请仔细检查您的 A/B 测试提供商，并确保他们无法记录唯一访问者的个人记录。

我的意思是，我们都想为客户和老板带来更好的见解和好消息。 深入了解丢失的 A/B 测试并查看是否有某个子段获胜，这真是太棒了。

但真的……您想成为那些在您的演示文稿屏幕截图中隐藏总访问者并在瑞典 Chrome 的一种变体上以 1460% 获胜的人中的一员吗？

只需接受以下内容：您设置一个带有明确假设的测试，运行该实验，并在足够的流量到达时停止它（不要偷看）。 在微小的细分市场中寻找赢家并不能使您成为更好的营销人员。

使用 GDPR，您存储的越多，您了解的越多，流量部分成为真正的最终用户的机会就越大。 随之而来的是对保护数据、请求数据（使用主题访问请求）、擦除数据和更新数据的更高要求。
只是不要存储它，确保您的 A/B 测试工具不会存储它，这样您就可以少担心一件事情了。

如果您仍然决定不介意征求同意并将所有个人数据存储在您的 A/B 测试工具中，那么请确保您的 A/B 测试工具允许您以一种简单的方式导出基于唯一访问者的原始数据。 确保它已锁定。 它可以修改您存储的有关用户的兴趣、类别和其他细分，并且可以在不修改 A/B 测试的历史结果的情况下擦除数据。

通过收集个人数据，您必须尊重欧盟公民和欧洲人民在访问您的网站时的权利。 这包括：

• 他们可以查看您在实验、受众和细分（和目标）中收集的关于他们的数据。
• 更新/纠正与他们有关的部分或全部数据的可能性。
• 可以根据他们的要求删除他们的数据。
• 导出所有数据的可能性。 因此，如果用户请求它，您将必须导出链接到他的 IP 地址或唯一标识符的数据。 例如，它可以很容易地导出为 .csv 文件。

因此，当您决定存储个人数据时，您应该提供有关数据访问、更正和擦除的主题访问请求。

• 访问权
• 限制处理的权利
• 纠正权
• 被遗忘的权利
• 数据可移植性的权利

如 GDPR 文本所述，每个主题访问请求都需要在最迟收到一个月的时间范围内得到处理和解决。

我不敢问，但是变体的子细分呢？

您可以使用自定义维度、自定义变量……等等来收集此类数据。

现在让我们不要再开始了。 您刚刚向我保证，您不会根据 GDPR 第 15 条中的最终用户对该数据的权利存储任何内容。 但即使您没有任何标识符来连接该信息，您也可能仍在存储个人数据。 这个例子解释了原因。

支持手机、桌子或桌面设​​备的技术可以连接到它们的当前位置。 其他组织也可能希望使用此类信息来提供特定位置的内容或广告，但是，位置数据，尤其是有关个人随时间移动的精确模式的数据，可以揭示有关该人个人生活的非常私密的细节。 这是个人数据。

因此，对于您的 A/B 测试工具，这意味着您可以将单个用户存储在多个段中，并且可以将这个人一起识别为一个人。 所以建议永远不要存储单独的记录——只存储数据库中的段组。 当您开始收集涉及位置数据的多个子细分时，请征得您的同意，这些位置数据比国家/地区更具体。 当您收集太多片段时，您的 A/B 测试工具可以为您提供建议，但在我看来，存储单个记录只是自找麻烦。

并连接第三方数据？ 喜欢蓝凯？

您需要最终用户的同意。 或者，BlueKai 和你可以成为联合控制者； 这意味着，在最终用户数据收集 BlueKai 的那一刻，已以您的名义征求同意。 这是不太可能的，在撰写本文时，您需要同意以对数据表示同意的形式丰富您的 A/B 测试工具中的受众。 请询问您的数据提供商，例如 BlueKai。

不只追踪欧洲？ 你确定吗？

不跟踪（或只是 DNT）是最终用户可以在大多数浏览器中设置的隐私设置。 您应该尊重 DNT 作为您和您的最终用户希望我们如何使用数据的信号。 在过去几年中，许多最终用户表示他们想要一种与品牌互动的新方式。 例如，在加拿大——加拿大联邦立法为我们带来了隐私法的变化。 或者在美国国会的隐私护盾新阶段。 或者在欧盟，成员国表示支持与最终用户进行更尊重的互动。 你应该听到他们的声音并尊重他们。

DNT 具有三个可能的值：

1. 不跟踪（选择退出跟踪）
2. 跟踪（选择跟踪）
3. 空 - 无偏好

默认情况下，Web 浏览器使用 null 值（无偏好），表示最终用户尚未表达他们是否希望被跟踪的愿望。 您的A/B测试工具应设置一个设置，即在选项ONE时不加载任何脚本，请在浏览器中设置不跟踪（选择退出跟踪）。
Jonathan Mayer 和 Arvind Narayanan 是斯坦福大学的两位主要研究人员，他们一直在研究 Do Not Track 技术。 他们的模型使用 HTTP 标头中的信息来普遍选择退出所有在线跟踪。

“作为一种技术模型，Do Not Track 显然优于选择退出机制，”Mayer 说，他指的是谷歌其他浏览器承诺在其网站上支持该技术。

“所以技术问题现在解决了：它是 Do Not Track。”

您的 A/B 测试工具可以有以下选项：

• Do Not Track 非常重要，并且受到该工具的尊重，而无需客户打开或关闭任何东西。 它只是工作（完全披露：在转换，我们选择了这个……）。
• 用户可以为所有平台打开或关闭“不跟踪”（以管理员身份检查所有项目的默认设置）。
• Do Not Track 可以由每个项目和地区（欧洲）的平台用户打开，并且应由管理员在每个项目上进行检查。

那么当它打开时实际发生的事情很重要。

您会放置一个cookie（不建议）还是该工具根本不加载（我们选择了那个）。 第一个（放置 cookie）的缺点是 cookie 可能会向最终用户触发警告，并且网站所有者可能会收到更多来自用户的数据请求。 根本不加载脚本的缺点是浏览器扩展程序和用户实际上不会以任何方式被跟踪（因此跟踪的访问者的变化或体验可能开始与分析工具不同）。 在我看来，第二个问题更有意义。 GDPR 无论如何都会把数字弄得一团糟，因为不同的工具会得到或不得到同意。 因此，无论如何，将它们全部匹配以确定一个“真实”结果几乎是不可能的。

问责制

是的，您需要更改您的使用条款、隐私政策和 cookie 政策（或将其包含在您的隐私政策中）。 您还需要在网站上有一个同意管理器，并且……

只需刷新处理器和控制器（令人困惑，对吗？）。

您是网站访问者（最终用户）之间关系的控制者。 您的 A/B 测试工具就是处理器。

这意味着您有责任遵守 GDPR，并且您不能指责您的 A/B 测试工具供应商。 做到这一点的最明智的方法是确保您的 A/B 测试工具供应商正在尽一切努力遵守本文所述。

收入跟踪？ 订单号作为个人数据？

在这里，我有我的疑问。 订单 ID（订单号或交易 ID）会是个人数据吗？

我不这么认为，但是将个人数据与非识别信息（例如，客户姓名和地址中的订单号）分开只是一种很好的做法。

由于我们不希望客户担心电子隐私法规中的任何可能修改，因此我们作为公司决定不将此信息存储在该工具的收入跟踪部分中。

平均订单价值、购买的产品、收入和订单 ID 的组合对于我们数据库中的非识别信息来说有点太多了。 但这取决于您和您的 A/B 测试供应商来讨论您希望如何处理这个问题。 数据最小化基本上要求我们尽可能少地存储。 由于我们不需要将其用于收入跟踪，因此我们将其与个人收入、产品数量和个人（最终用户）级别的任何其他订单数据一起从数据集中删除。

集成？

如果您要发送有关最终用户参与的变化和体验的信息，我们建议您对此表示同意。

卧槽，有什么好消息吗？

是的…

还记得那些必须接受 cookie 才能读取内容的 cookie 墙吗？ 好吧，那些都没有了。 你不能再把它们放上去，所以它要么向所有访问者显示内容，要么向特定跟踪器征求同意，要么将其移到付费墙后面。

而已？

不再…

GDPR 指出，cookie 可以改善用户的互联网体验——例如，记住一个人的购物车历史。 或者在完成多页表格时。

只要收集的任何个人数据仅由第一方处理，GDPR 中的分析就是可能的。 ePrivacy 特定于 cookie，而 GDPR 则不是。 阅读电子隐私条例草案 15333，第 21 条；

啊最后一件事......美国与欧盟的服务器

您在哪里托管您的网站是否重要？ 或者从哪里加载 A/B 测试跟踪器脚本？ 或者你的实际数据集在哪里？ 是的，否则它不会出现在这篇文章中

服务器位置主要与数据传输有关——如果涉及个人数据，仅此一项就需要征得同意。 我们必须查看 GDPR 第 5 章关于将个人数据传输到第三国或国际组织的内容。 这将使我们了解如果数据存储在欧盟之外该怎么办。

欧盟委员会通过“充分性调查结果”评估第三国的个人数据保护水平，该调查结果对所有成员国具有整体约束力。 一旦承认第三国的“充分性”，个人数据就可以转移到该国，而无需采取进一步的保护措施。

传输（第 44 条）和基于充分性决定的传输（第 45 条）的一般原则解释说，讨论通常主要围绕将数据传输到欧盟以外的国家（以及挪威、列支敦士登和冰岛），您现在只有选择：

• 隐私护盾（适用于美国）和适当国家（欧盟委员会迄今已认可安道尔、阿根廷、加拿大（商业组织）、法罗群岛、根西岛、以色列、马恩岛、泽西岛、新西兰、瑞士、乌拉圭和美国（仅限于隐私保护框架）作为提供足够的保护。
• 标准合同条款，也称为示范合同条款
• 具有约束力的公司规则（涵盖在 GDPR 第 47 条中）。

您的 A/B 测试供应商很可能是一家美国公司，然后最简单的选择似乎是 Privacy Shield 和 SCC，因为这只是一次性的工作。 对于我们公司来说，这意味着即使我们所有的客户数据（他们的网站最终用户）都存储在法兰克福的碳中和服务器中——我们对美国公司的法律基础将是 Privacy Shield 和 SCC（我们只是希望更加安全和在德国拥有所有带有客户数据集的服务器）。

结论

GDPR 规模庞大，不仅限于欧盟的公司。 现在来看，在 ePrivacy 法规草案 1533 和 GDPR 中，我们认为您可以在未经同意的情况下对所有访问者使用转换体验进行 A/B 测试。

我们有一个完整的页面设置，说明 Convert 作为一家公司将如何变得合规，以及一个完整的应用程序路线图，说明我们正在努力使其更容易遵守 GDPR 的细节。

询问您的供应商他们如何看待他们的工具在合规性方面，以及他们何时致力于大规模简化其数据库结构以进行 A/B 测试而无需征得同意。

因为如果您的工具确实需要同意——它将对您的营销堆栈产生巨大影响。 最大的担忧是，使用基于同意的 A/B 测试工具，您将失去 80% 以上的流量。

A/B 测试：GDPR 合规性检查表

数据最小化

供应商问题？
您在数据库中按唯一访问者存储哪些字段（路线图完成后）？

示例答案
没有什么

个人资料

供应商问题？
你存储访客IP吗？

示例答案
不

供应商问题？
您是否按访客存储国家/地区/城市或其他位置数据？

示例答案
不

供应商问题？
您能否描述 cookie 内容或支持文章的链接？

示例答案
https://convert.zendesk.com/hc/en-us/articles/204495429-Convert-Experiences-Tracking-Cookies-Structure

供应商问题？
cookie 存储多长时间？

示例答案
6个月。

供应商问题？
您是否存储唯一的用户 ID（会话 ID、设备 ID、用户 ID 或电子邮件），和/或允许我们存储电子邮件或其他个人数据？ 如果是这样，它存储在哪里？

示例答案
不，我们也不允许存储信息（另请参阅使用条款）。 需要客户同意才能开启通用 ID 功能的例外情况

供应商问题？
您的工具如何帮助我们处理最终用户的主题访问请求？

示例答案
通过不存储任何个人数据来支持

供应商问题？
您的工具如何支持 Do Not Track？

示例答案
是的，默认情况下未加载脚本（另请参阅我们的 GDPR A/B 测试应用路线图）

数据最小化

供应商问题？
唯一访问者在数据库中存储哪些字段（路线图完成后）？

示例答案
没有什么

安全

供应商问题？
What server location (country) is our end-user data stored?

Example answer
德国法兰克福

Vendor Question?
If end-user or company information is stored outside the EEU what legal base you are using to transfer the information.

Example answer
End-user information is not stored and not transferred outside the EEU, unless customer requests debugging logging (stored max. 6 days). Customer information and debugging logs could be transferred on bases of Privacy Shield to US servers.

Vendor Question?
What security systems you have in place on databases and system where end-user information is stored?

Example answer
C5, DoD SRG, FedRAMP, FIPS, ISO 9001, ISO 27001, ISO 27017, ISO 27018, PCI, DSS Level 1, SEC Rule 17-a-4(f), SOC 1, SOC 2, SOC 3

GDPR compliance

Vendor Question?
How does your company prepare for GDPR compliance?

Example answer
Find all about out company GDPR compliance program, here.

Vendor Question?
How does your company assist us as controller with GDPR compliance of end-user data?

Example answer
The application roadmap is now public.

Disclaimer: Note that this article represents the views of the author solely, and are not intended to constitute legal advice.