Se utilizzi l'identificazione dei visitatori a livello aziendale, la tua informativa sulla privacy deve dichiararlo. Non in una nota a piè di pagina, non in un linguaggio legale fumoso e non in una pagina separata che nessuno collega: deve trovarsi nello stesso documento che i tuoi visitatori sanno già di dover consultare. Questa è una guida pratica al paragrafo che devi loro, dove va inserito e come formularlo senza renderlo più complicato del necessario.
Nota
Questo è un articolo di marketing, non una consulenza legale. Utilizza lo snippet in fondo come punto di partenza e chiedi al tuo DPO o al tuo consulente di adattarlo al tuo effettivo trattamento dei dati.
Dove inserire il paragrafo
La collocazione corretta è all'interno della tua attuale informativa sulla privacy — solitamente nella sezione intitolata "Analisi del sito web", "Utilizzo dei dati" o "Trattamento su questo sito web". Aggiungilo come una nuova sottosezione con un titolo chiaro, vicino alla sezione dedicata all'analytics ma distinto da essa. L'obiettivo è che un visitatore con dieci secondi a disposizione e Ctrl+F possa trovarlo sotto "identificazione dei visitatori" o "dati aziendali".
Non nasconderlo all'interno della tua cookie policy. Le policy sui cookie riguardano l'archiviazione sul dispositivo; l'identificazione a livello aziendale tipicamente non utilizza cookie, e inserirlo lì confonde l'utente.
Cosa deve coprire il paragrafo
Sei elementi, approssimativamente in questo ordine. Nessuno di essi deve essere lungo.
- Cosa fai: identifichi l'azienda (organizzazione) che si cela dietro la visita al sito, non la singola persona fisica.
- Quali dati tratti: l'indirizzo IP del visitatore per una breve finestra tecnica, oltre alle pagine visitate e ai timestamp.
- Come li tratti: l'IP viene risolto in un'organizzazione utilizzando un database IP-to-company; l'IP grezzo non viene conservato oltre la risoluzione.
- Perché: legittimo interesse ai sensi dell'Art. 6(1)(f) GDPR — marketing diretto e account intelligence — con il balancing test archiviato.
- Conservazione: per quanto tempo le visite identificate vengono mantenute nei tuoi sistemi.
- Diritti e opt-out: un link alla tua pagina di opt-out e una nota che informa che i visitatori possono opporsi in qualsiasi momento.
Cosa fare e cosa evitare nella formulazione
| Cosa fare | Cosa evitare |
|---|---|
| Scrivere "identifichiamo l'azienda visitatrice (organizzazione)" | Scrivere "identifichiamo i visitatori" (ambiguo — suona come dato personale) |
| Citare esplicitamente la base giuridica (Art. 6(1)(f)) | Fare riferimento al consenso quando la base è il legittimo interesse |
| Descrivere la trasformazione dell'IP (da IP ad azienda, non memorizzato grezzo dopo la risoluzione) | Omettere la finestra di conservazione — il silenzio viene interpretato come tempo illimitato |
| Inserire direttamente il link alla pagina di opt-out | Indicare solo di "contattarci per opporsi" |
| Citare il responsabile del trattamento se ne utilizzi uno, con un link al DPA/elenco dei sub-responsabili | Lasciare il trattamento da parte di terzi implicito |
| Usare un linguaggio semplice accanto ai termini legali | Affidarsi solo al latino e ai numeri degli articoli |
Uno snippet pronto all'uso (da adattare alla tua configurazione)
"Identificazione dei visitatori del sito web (livello aziendale). Quando visitate il nostro sito, elaboriamo il vostro indirizzo IP per una breve finestra tecnica al fine di determinare l'organizzazione dietro la visita — non la singola persona fisica. L'IP viene risolto in un'azienda tramite una ricerca IP-to-organisation e non viene conservato in forma grezza oltre tale risoluzione. Combiniamo l'azienda identificata con le pagine visualizzate e l'ora della visita, in modo da poter capire quali organizzazioni sono interessate ai nostri servizi e ricontattarle se opportuno. Base giuridica: legittimo interesse ai sensi dell'Articolo 6(1)(f) GDPR (marketing diretto e account intelligence), documentato in un balancing test interno disponibile su richiesta. Conservazione: le visite identificate vengono conservate per [12 mesi] e poi cancellate. Avete il diritto di opporvi in qualsiasi momento; potete disattivare questo trattamento su [link alla vostra pagina /opt-out]."
Sostituisci [12 mesi] con il tuo periodo di conservazione effettivo. Sostituisci il link di opt-out con il tuo. Se utilizzi un fornitore, aggiungi: "Utilizziamo [nome del fornitore] come responsabile del trattamento per questo scopo. Il nostro DPA è disponibile al link [link]."
Due collegamenti che vale la pena inserire
Il paragrafo è più autorevole quando rimanda ad altre due pagine: il tuo DPA (per la relazione con il responsabile) e il tuo elenco di sub-responsabili. Entrambi segnalano "abbiamo analizzato il processo dall'inizio alla fine" a qualsiasi potenziale cliente il cui team di sicurezza leggerà la tua policy — e lo faranno.
Cos'altro cambia quando aggiungi questo paragrafo
Un solo paragrafo di solito non è l'unica modifica. In genere, altre due parti cambiano contemporaneamente: l'elenco dei sub-responsabili (aggiungi il tuo fornitore di identificazione) e il registro delle attività di trattamento (ROPA) dalla tua parte. Se disponi di un banner per i cookie, questo paragrafo non rientra nelle categorie del banner — l'identificazione a livello aziendale non richiede il consenso tramite banner, a condizione che sia stato eseguito il balancing test. Una breve nota interna che spieghi questo all'amministratore della tua CMP eviterà ticket confusi tra sei mesi.
Una volta che il paragrafo è online, scatta uno screenshot della sezione e archivialo insieme al tuo balancing test. Se un'autorità di controllo dovesse mai chiedere come sono stati informati i visitatori il 3 agosto dell'anno X, sarai felice che esista uno screenshot con data e ora.
Questo articolo fornisce informazioni generali per i team B2B e non costituisce consulenza legale. Chiedi al tuo DPO o consulente di confermare la formulazione per il tuo specifico trattamento.
Pubblicato da
lead.box Team
Altri articoli
Veda lead.box in azione sul Suo traffico
Inizi gratuitamente — nessuna carta, nessuna chiamata di vendita richiesta. Oppure prenoti una panoramica di 20 minuti per un tour guidato.