如果您使用了企业级访客识别，您的隐私政策中必须明示这一点。它不该藏在脚注中，不该淹没在晦涩的法律术语里，也不该放在无人问津的独立页面上——而是要放在访客习惯查阅的现有文件里。这篇实用的指南将带您了解这段该向访客展示的说明、它的具体位置，以及如何用恰当的措辞进行表述，避免弄巧成拙。
注意
本文为营销文章，不构成法律建议。请将文末的文案作为参考基础，并交由您的数据保护官 (DPO) 或法律顾问根据您实际的处理流程进行调整。
这段说明该放在哪里
最合适的归宿是您现有的隐私政策——通常位于标题为“网站分析”、“您的数据使用”或“本网站的数据处理”之类的章节中。请添加一个带有清晰标题的新子章节，位置紧挨分析章节，但要与其独立开来。目标是让访客能在十秒钟内，用 Ctrl+F 搜索“访客识别”或“企业数据”就能快速找到它。
请勿将其藏在 Cookie 政策中。Cookie 政策涉及的是设备上的存储；而企业级识别通常不使用 Cookie，放在那里只会让人感到困惑。
这段说明必须包含哪些内容
大致按以下顺序包含六个要素。每个要素都不需要太长。
- 您的操作：识别网站访问背后的企业（组织），而不是个人。
- 您处理的数据：在一个短暂的技术窗口期内处理访客的 IP 地址，加上访问的页面和时间戳。
- 您如何处理：使用 IP 到企业的数据库将 IP 解析为组织机构；解析完成后，不再保留原始 IP。
- 为什么处理：基于《通用数据保护条例》(GDPR) 第 6(1)(f) 条的合法利益——直接营销和账户情报——并已将利益平衡测试存档。
- 保留期限：已识别的访问记录在您的系统中保留多久。
- 权利与退出机制：提供退出 (opt-out) 页面的链接，并说明访客可以随时提出异议。
用词注意事项
| 推荐 | 避免 |
|---|---|
| 使用“我们识别来访的企业（组织）” | 使用“我们识别访客”（表述模糊——听起来像在识别个人） |
| 明确指出合法依据（第 6(1)(f) 条） | 当合法依据是合法利益时提及同意 |
| 描述 IP 的转换过程（IP → 企业，解析后不再存储原始数据） | 省略保留期限——不写往往意味着永久保留 |
| 直接提供退出 (opt-out) 页面的链接 | 仅指示人们“联系我们以提出异议” |
| 如果您使用了处理者，请写明其名称，并提供数据处理协议（DPA）/子处理者列表的链接 | 隐晦地暗示使用了第三方处理 |
| 在法律术语旁边使用大白话进行解释 | 仅依赖拉丁语和法条编号 |
现成的文案模板（请根据您的设置进行调整）
“网站访客识别（企业级）。当您访问我们的网站时，我们会在短暂的技术窗口期内处理您的 IP 地址，以确定此次访问背后的组织机构——而非个人。我们会通过 IP 到组织的查询库将 IP 解析为企业，解析完成后不再保留原始形式的 IP。我们将解析出的企业信息与您浏览的页面及访问时间相结合，以便了解哪些组织对我们的服务感兴趣，并在适当时主动联系。合法依据：基于 GDPR 第 6(1)(f) 条的合法利益（直接营销和账户情报），相关内容已记录在内部利益平衡测试中，可根据要求提供。保留期限：已识别的访问记录将存储 [12个月]，随后将被删除。您有权随时提出异议；您可以在 [您的 /opt-out 页面链接] 选择退出此处理流程。”
请将 [12个月] 替换为您的实际保留期限。将退出链接替换为您自己的链接。如果您使用了处理者，请补充：“为此，我们使用 [处理者名称] 作为处理者。我们的数据处理协议可在此处查看：[链接]。”
值得加入的两个链接锚点
如果能在该段落中链接到另外两个页面，其说服力会更强：您的数据处理协议（DPA）（用于说明处理者关系）以及您的子处理者列表。对于那些安全团队会去阅读您隐私政策的潜在客户（他们确实会这样做）来说，这两者都在传递一个信号：“我们已经从头到尾仔细考量过这套合规流程”。
加入该段落时还需要做哪些调整
仅仅修改这一段通常是不够的。有两个相关的文档往往需要同步更新：子处理者列表（添加您的识别处理者），以及您内部的数据处理活动记录。如果您有同意横幅，此段落不应被归为横幅中的某个类别——前提是您已经完成了利益平衡测试，企业级识别就不需要通过同意横幅获取同意。给您的同意管理平台 (CMP) 管理员留个简短的内部备注，说明这一点，将能避免他们在六个月后提出让人摸不着头脑的工单问题。
该段落上线后，请对该部分进行截图，并与您的利益平衡测试一起存档。如果监管机构某天询问您在某年 8 月 3 日是如何告知访客的，您会庆幸这份带有时间戳的截图发挥了大作用。
本文为面向 B2B 团队的通用信息，不构成法律建议。请务必让您的数据保护官或法律顾问根据您具体的处理流程来确认最终措辞。
Published by