Molti fornitori di tracking B2B amano la parola "cookieless". È un termine di marketing e, a guardare bene, di solito non è letteralmente vero. L'identificazione a livello aziendale scrive qualcosa sul dispositivo del visitatore: un identificatore funzionale di prima parte sul vostro dominio, utilizzato per unire le visualizzazioni di pagina della stessa sessione del browser in una vista aziendale coerente. Ciò che non fa è impostare cookie pubblicitari, impostare cookie cross-site, eseguire il fingerprinting del browser o consegnare dati a reti pubblicitarie. Questo articolo illustra l'ambito esatto in modo che il vostro DPO non debba fare reverse engineering.
Cosa scrive effettivamente il tracker sul dispositivo
Alla prima visualizzazione di pagina, il tracker genera un ID casuale limitato al dispositivo e lo memorizza come valore di prima parte sul vostro dominio (in genere in un cookie o nel localStorage). Nelle visualizzazioni successive, il tracker invia questo ID insieme a URL, referrer, timestamp e user-agent all'endpoint di ingestione, in modo che più visualizzazioni di pagina della stessa sessione del browser possano essere collegate alla stessa vista aziendale. Questo è l'intero footprint locale. Niente cookie pubblicitari. Niente cookie cross-site. Niente cookie di terze parti. Niente fingerprinting.
La risoluzione aziendale in sé non viene eseguita sul dispositivo. Il server riceve l'IP della richiesta, lo consulta rispetto a dati aziendali B2B verificati, risolve l'organizzazione (o la lascia non risolta), scarta l'IP grezzo dopo la risoluzione e memorizza l'organizzazione risolta accanto alla visualizzazione di pagina. L'ID del dispositivo esiste solo per raggruppare le visualizzazioni di pagina della stessa sessione sul proprio dominio: è una struttura funzionale, non un profilo.
Cosa non fa mai il tracker
| Comportamento | Identificatore a livello aziendale (lead.box) | Cookie pubblicitari / retargeting |
|---|---|---|
| Scritto sul proprio dominio (prima parte) | Sì | A volte |
| Scritto sotto un dominio di terze parti | No | Sì |
| Leggibile da altri siti | No | Sì |
| Utilizzato per costruire un profilo cross-site | No | Sì |
| Condiviso con reti pubblicitarie | No | Sì |
| Browser fingerprinting | No | A volte |
| Persiste dopo l'opt-out | No | Dipende |
Due regole, entrambe ancora applicabili
Il GDPR disciplina il trattamento (Art. 6(1)(f) legittimo interesse, con un test di bilanciamento documentato a favore dell'impresa). ePrivacy / TDDDG §25 disciplina ciò che viene scritto sul dispositivo. Poiché un identificatore funzionale di prima parte viene scritto sul vostro dominio, la questione del banner §25 è una decisione di ambito per il vostro DPO, non qualcosa che un fornitore può decidere per voi.
La questione del banner, onestamente
Leggerete pagine di fornitori che promettono "nessun banner necessario". Consideratelo come marketing, non come consulenza legale. Il §25 TDDDG richiede il consenso per l'archiviazione o l'accesso al terminale, a meno che l'archiviazione non sia strettamente necessaria per un servizio richiesto dall'utente. Il fatto che un identificatore funzionale di prima parte per l'analisi B2B interna conti come strettamente necessario è una valutazione di ambito: alcuni DPO dicono di sì (è una struttura funzionale sul proprio dominio, dichiarata sotto legittimo interesse), altri preferiscono includerlo nella CMP come categoria funzionale/necessaria. Entrambe le posizioni sono difendibili. Ciò che non si dovrebbe fare è chiamarlo "cookieless" ed evitare la conversazione.
Come si integra con una CMP
- Mantenete la vostra CMP per gli strumenti pubblicitari e cross-site: lì non cambia nulla.
- Categorizzate l'identificatore a livello aziendale come funzionale / strettamente necessario, con una motivazione che faccia riferimento all'analisi B2B interna sul proprio dominio.
- Dichiarate esplicitamente l'identificatore nella vostra informativa sulla privacy (un paragrafo già pronto è disponibile nella pagina /gdpr — indica l'ID di prima parte del dispositivo).
- Fornite il link di opt-out (/opt-out) insieme al paragrafo, in modo che la parte relativa ai diritti del visitatore non manchi.
Cosa succede quando un visitatore clicca su "rifiuta tutto"
Se la vostra CMP categorizza l'identificatore come strettamente necessario / funzionale, esso continua a funzionare — questo è ciò che significa strettamente necessario. Se la vostra CMP lo categorizza come una categoria di analisi opzionale e il visitatore rifiuta, il tracker smette di scrivere l'identificatore e di inviare eventi per quel visitatore. Entrambe le configurazioni sono legittime; scegliete quella approvata dal vostro DPO. I numeri delle aziende identificate saranno stabili nella prima configurazione e dipendenti dal tasso di consenso nella seconda.
Cosa dire nella vostra informativa sulla privacy
Un singolo paragrafo è sufficiente. Specifica il trattamento, indica la base giuridica, rivela esplicitamente l'identificatore di prima parte del dispositivo (non nascondetelo), sottolinea che non vengono utilizzati cookie pubblicitari o cross-site e rimanda al DPA e a /opt-out. La pagina /gdpr contiene uno snippet copia-incolla in EN e DE che nomina già onestamente l'identificatore.
Pubblicato da
lead.box Team
Altri articoli
Veda lead.box in azione sul Suo traffico
Inizi gratuitamente — nessuna carta, nessuna chiamata di vendita richiesta. Oppure prenoti una panoramica di 20 minuti per un tour guidato.