Muitos fornecedores de rastreio B2B gostam da palavra "cookieless". É uma palavra de marketing e, se olhar de perto, geralmente não é literalmente verdadeira. A identificação ao nível da empresa escreve algo no dispositivo do visitante — um identificador funcional de primeira parte no seu próprio domínio, utilizado para unir as visualizações de página da mesma sessão de navegação numa visão de empresa coerente. O que não faz é definir cookies de publicidade, definir cookies de vários sites, fazer fingerprinting de navegadores ou entregar dados a redes de anúncios. Este artigo percorre o âmbito exato para que o seu DPO não tenha de o analisar por engenharia reversa.
O que o rastreador realmente escreve no dispositivo
Na primeira visualização de página, o rastreador gera um ID aleatório ao nível do dispositivo e armazena-o como um valor de primeira parte no seu próprio domínio (normalmente num cookie ou no localStorage). Nas visualizações de página subsequentes, o rastreador envia este ID juntamente com o URL, o referrer, o carimbo de data/hora e o user-agent para o endpoint de ingestão, para que várias visualizações de página da mesma sessão do navegador possam ser anexadas à mesma visualização de empresa. Essa é toda a pegada local. Sem cookies de publicidade. Sem cookies de vários sites. Sem cookies de terceiros. Sem fingerprinting.
A resolução da empresa em si não corre no dispositivo. O servidor recebe o IP do pedido, cruza-o com dados de empresas B2B verificados, resolve a organização (ou deixa-a por resolver), descarta o IP em bruto após a resolução e armazena a organização resolvida junto à visualização da página. O ID de dispositivo existe apenas para agrupar visualizações de página da mesma sessão no seu próprio domínio — é infraestrutura funcional, não um perfil.
O que o rastreador nunca faz
| Comportamento | Identificador nível empresa (lead.box) | Cookies de publicidade / retargeting |
|---|---|---|
| Escrito no seu próprio domínio (first-party) | Sim | Por vezes |
| Escrito sob um domínio de terceiros | Não | Sim |
| Legível por outros sites | Não | Sim |
| Usado para construir um perfil multi-site | Não | Sim |
| Partilhado com redes de anúncios | Não | Sim |
| Browser fingerprinting | Não | Por vezes |
| Persiste após opt-out | Não | Depende |
Duas regras, ambas se aplicam
O GDPR regula o processamento (Art. 6(1)(f) interesse legítimo, com um teste de ponderação documentado a favor da empresa). A ePrivacy / TDDDG §25 regula o que é escrito no dispositivo. Como um identificador funcional de primeira parte é escrito no seu próprio domínio, a questão do banner do §25 é uma decisão de âmbito para o seu DPO — não algo que um fornecedor possa decidir por si.
A questão do banner, honestamente
Lerá páginas de fornecedores que prometem "nenhum banner é necessário". Encare isso como marketing, não como aconselhamento jurídico. O §25 TDDDG exige consentimento para o armazenamento ou acesso ao dispositivo terminal, a menos que o armazenamento seja estritamente necessário para um serviço solicitado pelo utilizador. Se um identificador funcional de primeira parte para análise B2B interna conta como estritamente necessário é uma decisão de âmbito: alguns DPOs dizem que sim (é infraestrutura funcional no seu próprio domínio, divulgada sob legítimo interesse), outros preferem incluí-lo no CMP como uma categoria funcional/necessária. Ambas são defensáveis. O que não deve fazer é chamar-lhe "cookieless" e saltar a conversa.
Como se enquadra num CMP
- Mantenha o seu CMP para ferramentas de publicidade e cross-site — nada muda aí.
- Categorize o identificador de nível de empresa como funcional / estritamente necessário, com uma fundamentação de uma linha referindo a análise B2B interna no seu próprio domínio.
- Divulgue o identificador explicitamente no seu aviso de privacidade (um parágrafo pronto a usar está na página /gdpr — este nomeia o ID de primeira parte ao nível do dispositivo).
- Forneça o link de opt-out (/opt-out) junto ao parágrafo, para que a parte dos direitos do visitante não fique em falta.
O que acontece quando um visitante clica em "rejeitar tudo"
Se o seu CMP categoriza o identificador como estritamente necessário / funcional, ele continua a funcionar — é isso que estritamente necessário significa. Se o seu CMP o categoriza como uma categoria de análise opcional e o visitante rejeita, o rastreador para de escrever o identificador e para de enviar eventos para esse visitante. Ambas as configurações são legítimas; escolha a que o seu DPO aprovar. Os seus números de empresas identificadas serão estáveis na primeira configuração e dependentes da taxa de consentimento na segunda.
O que dizer no seu aviso de privacidade
Um único parágrafo é suficiente. Nomeia o processamento, indica a base legal, divulga explicitamente o identificador de dispositivo de primeira parte (não o esconda), refere que não são utilizados cookies de publicidade ou de vários sites, e liga para o DPA e para /opt-out. A página /gdpr tem um snippet para copiar e colar em EN e DE que já nomeia o identificador com honestidade.
Publicado por
lead.box Team
Mais artigos
Veja o lead.box no seu próprio tráfego
Comece gratuitamente — sem cartão, sem necessidade de chamada de vendas. Ou reserve uma demonstração de 20 minutos se preferir uma visita guiada.