许多 B2B 追踪供应商喜欢使用“无 cookie”这个词。这是一个营销词汇，如果您仔细观察，通常会发现这并非字面上的真实情况。企业级识别确实会向访客设备写入一些内容——在您的自有域名上的第一方功能性标识符，用于将同一浏览器会话的页面浏览量拼接到一个连贯的企业视图中。它不会做的是设置广告 cookie、跨站 cookie、进行浏览器指纹识别或将数据提供给广告网络。本文详细说明了确切的范围，让您的数据保护官 (DPO) 无需费力进行逆向工程。
追踪器实际会向设备写入什么内容
在首次页面浏览时，追踪器会生成一个随机的设备级 ID，并将其作为第一方值存储在您的自有域名下（通常位于 cookie 或 localStorage 中）。在随后的页面浏览中，追踪器会将此 ID 连同 URL、来源页面、时间戳和 user-agent 一起发送到采集端点，以便将同一浏览器会话的多次页面浏览关联到同一个企业视图。这就是它在本地留下的全部痕迹。没有广告 cookie。没有跨站 cookie。没有第三方 cookie。没有指纹识别。
企业解析过程本身并不在设备上运行。服务器获取请求的 IP 地址，在经过验证的 B2B 企业数据中进行查询，解析出具体机构（或者未解析出结果），在解析后丢弃原始 IP，并将解析出的机构与对应的页面浏览记录一并存储。该设备级 ID 的存在仅仅是为了将在您自有域名上的同一会话内的页面浏览量进行分组——它是底层的功能性管道，而不是一份用户画像。
追踪器绝不会做什么
| 行为 | 企业级标识符 (lead.box) | 广告 / 重定向 cookie |
|---|---|---|
| 写入您的自有域名（第一方） | 是 | 有时 |
| 写入第三方域名 | 否 | 是 |
| 可被其他网站读取 | 否 | 是 |
| 用于建立跨站画像 | 否 | 是 |
| 与广告网络共享 | 否 | 是 |
| 浏览器指纹识别 | 否 | 有时 |
| 退出 (opt-out) 后依然保留 | 否 | 视情况而定 |
两条规则，依然适用
《通用数据保护条例》(GDPR) 管辖数据处理（第 6(1)(f) 条的合法利益，并附带偏向于企业的书面利益平衡测试）。《电子隐私指令》(ePrivacy) / TDDDG §25 管辖写入设备的内容。因为第一方功能性标识符是写入您的自有域名的，所以关于 §25 中同意横幅 (banner) 的问题需要您的数据保护官 (DPO) 来判断范围——这绝不是供应商能替您做决定的事情。
开诚布公地谈谈同意横幅问题
您可能会看到一些供应商页面承诺“不需要同意横幅”。请把这当成营销说辞，而非法律建议。TDDDG 第 25 条要求，在终端设备上进行存储或访问必须获得同意，除非该存储对于用户请求的服务是绝对必要的。用于内部 B2B 分析的第一方功能性标识符是否算作绝对必要，属于范围判定的范畴：一些 DPO 认为算（它是您自有域名上的功能性管道，且在合法利益下进行了披露），另一些则倾向于将其作为“功能性/必要”类别包含在同意管理平台 (CMP) 中。这两种做法都能站得住脚。您绝不应该做的是将其称为“无 cookie”，然后直接避开这个话题的探讨。
它如何与 CMP 协同运作
- 继续使用您的 CMP 来管理广告和跨站工具——这方面没有任何改变。
- 将企业级标识符归类为功能性/绝对必要类别，并提供一句简短的理由，提及在您自有域名上进行内部 B2B 分析。
- 在您的隐私声明中明确披露该标识符（/gdpr 页面上有一个现成的段落——它指明了第一方设备级 ID）。
- 在该段落旁边提供退出 (opt-out) 链接（/opt-out），这样就不会遗漏访客权利这一部分。
当访客点击“全部拒绝”时会发生什么
如果您的 CMP 将该标识符归类为绝对必要/功能性类别，它将继续运行——这就是绝对必要的含义。如果您的 CMP 将其归类为可选的分析类别并且访客选择了拒绝，追踪器将停止写入该标识符，并停止为该访客发送事件记录。这两种配置都是合规的；只需选择您的 DPO 批准的那一种。在第一种配置下，您识别出的企业数量将保持稳定；而在第二种配置下，该数量将取决于同意率。
在您的隐私声明中该写些什么
一段话就足够了。其中指明了数据处理情况、说明了法律依据、明确披露了第一方设备级标识符（不要隐藏它）、指出未使用广告或跨站 cookie，并提供指向数据处理协议（DPA）和 /opt-out 页面的链接。/gdpr 页面上提供了英文和德文的复制粘贴片段，其中已经诚实地指明了该标识符。
Published by