Modalità di privacy e GDPR nel tracciamento dei link

Ogni conversazione sulla privacy nel tracciamento dei link arriva prima o poi alla stessa domanda da parte di un cliente: che cosa sapete esattamente delle persone che cliccano sui nostri link? La risposta di solito viene improvvisata, ed è per questo che di solito sbaglia in una direzione o nell'altra — rassicurante oltre quello che il sistema garantisce, oppure abbastanza vaga da suonare evasiva.

Questo articolo è il materiale per una risposta migliore: che cosa contiene un evento di clic, perché il livello di dettaglio si decide in scrittura invece di essere filtrato via da un report, che fine fa l'indirizzo di rete, come funziona davvero la conservazione, che cosa copre il consenso e i documenti che chiederà chi verifica la conformità dalla parte del cliente. Non è una consulenza legale — gli obblighi dipendono dalla tua giurisdizione, dal tuo pubblico e da quello che fai con i dati dopo.

Che cosa mette per iscritto un clic

Nel momento del reindirizzamento, prima che una qualsiasi pagina sia stata caricata, il motore vede una richiesta. Da essa l'evento può registrare il momento del clic, il link e il dominio, la destinazione, una posizione approssimativa ricavata dall'indirizzo di rete, il tipo di dispositivo, il browser e il sistema operativo estratti dallo user agent, il dominio di provenienza quando ne viene inviato uno, la lingua del browser e gli eventuali parametri di campagna sull'URL.

Quando l'area di lavoro ha attivato lo strato dettagliato, lo stesso evento può portare anche regione e città con i loro identificatori GeoNames, coordinate e raggio di accuratezza, il fuso orario e l'ora locale del visitatore, il numero di sistema autonomo e il nome del provider, e un verdetto sul tipo di traffico con un punteggio di qualità. A che cosa serve quello strato è spiegato nella documentazione delle regole di traffico.

Due cose mancano di proposito. Il codice postale viene risolto dal database geografico e poi non viene registrato, perché in zone ad alta densità abitativa un codice postale è quasi un indirizzo. E l'indirizzo di rete stesso non viene mai scritto, cosa a cui è dedicata una sezione più sotto.

Ciò che l'evento non contiene conta altrettanto. Non identifica una persona, non dice se la pagina di destinazione sia stata caricata o se sia seguito un acquisto, e non porta nessun identificatore tra siti. Tutto quello che sta oltre richiede una seconda fonte di dati dal lato della destinazione, come descritto nella nostra guida al tracciamento dei clic sui link.

Due modi molto diversi di limitare i dati

Confonderli è l'errore più costoso in questo ambito, e i fornitori raramente li tengono distinti.

Un piano limita quanto indietro può guardare un'area di lavoro. Le righe esistono comunque; un piano più grande ne mostra di più. È un limite commerciale, reversibile passando a un piano superiore. Una modalità di privacy limita che cosa viene scritto fin dall'inizio: ciò che disattiva non arriva mai all'archivio, quindi nessun report, nessuna esportazione, nessuna richiesta al supporto e nessuna interrogazione futura può riportarlo indietro — e nemmeno un ripensamento.

| | Conservazione del piano | Modalità di privacy | | --- | --- | --- | | Che cosa governa | Quanto indietro puoi guardare | Che cosa viene registrato | | Dove si applica | In lettura | In scrittura | | Reversibile | Sì, passando a un piano superiore | No, per le righe già scritte | | Chi la cambia | Chi gestisce la fatturazione | Proprietario o amministratore dell'area di lavoro |

Valgono entrambi insieme, ed è questa la parte che sfugge. Un'area di lavoro con un piano che dà due anni di profondità di consultazione ma che ha impostato la propria conservazione a 30 giorni tiene 30 giorni.

Il dettaglio si sceglie in scrittura

L'impostazione vive in Impostazioni → Dati dei visitatori e privacy: tre livelli di posizione più tre interruttori indipendenti.

| Livello | Che cosa porta l'evento | | --- | --- | | Completo | Paese, continente, regione, città, identificatori GeoNames, coordinate, raggio di accuratezza, fuso orario, ora locale | | Città senza coordinate | Tutto quanto sopra tranne le coordinate e il raggio di accuratezza | | Solo paese | Paese e continente |

Con solo paese il database geografico non viene proprio interrogato per l'evento — paese e continente arrivano già dalla CDN senza costi. L'impostazione toglie lavoro oltre che dati, quindi la scelta più protettiva per la privacy è anche la più economica da far girare.

Gli interruttori sono più circoscritti. Conserva la rete del visitatore governa il numero di sistema autonomo e il nome del provider; disattivato, il dettaglio Reti resta vuoto. Conserva l'indirizzo di provenienza completo governa soltanto il percorso e la stringa di query della pagina di provenienza — il dominio di provenienza viene sempre mantenuto, perché è su di esso che si costruisce il report Sorgenti. Rileva il tipo di traffico disattiva i controlli stessi, non soltanto i campi: niente ricerche sugli intervalli, niente DNS inverso, niente contatori comportamentali.

Un solo pulsante applica la combinazione pensata per le giurisdizioni con requisiti rigorosi: solo paese, rete non conservata, indirizzo di provenienza completo non conservato, rilevamento del tipo di traffico disattivato, conservazione 30 giorni. Ciò che sopravvive è lo strato aggregato — paese, dispositivo, browser, sistema operativo, dominio di provenienza, tag di campagna e l'impronta giornaliera del visitatore. Quest'ultima viene mantenuta di proposito: senza di essa sparisce la nozione stessa di visitatore unico, insieme a ogni aggregato costruito su di essa.

Due conseguenze tagliano da entrambe le parti. Il salvataggio riscrive la configurazione in cache di ogni link e di ogni pagina link in bio pubblicata dell'area di lavoro, così il clic successivo viene registrato con la nuova modalità e non alla scadenza successiva della cache — «ho disattivato le coordinate e le hanno raccolte per un altro giorno» non è una risposta accettabile per un'impostazione il cui scopo è non raccogliere. E la modifica non è retroattiva: le righe già scritte conservano ciò con cui sono state scritte. Il filtraggio non ne risente in nessuno dei due sensi: una regola di traffico che instrada per città continua a instradare per città anche quando la città non viene registrata, perché le regole decidono dove va un visitatore, non che cosa viene conservato su di lui.

L'indirizzo: troncarlo, oppure non tenerlo

L'approccio più diffuso nel settore è il troncamento — azzerare l'ultimo ottetto di un indirizzo IPv4, o un prefisso più ampio per IPv6 — ed è meglio che conservarlo per intero. È anche più debole di come suona: un indirizzo troncato individua comunque una rete di dimensioni limitate, restringe comunque parecchio il campo attorno a un visitatore di un piccolo centro e si può combinare con gli altri campi della stessa riga. Il troncamento riduce la risoluzione; non toglie il campo dal sistema.

L'alternativa è non tenerlo. Qui l'indirizzo esiste dentro una sola funzione il tempo necessario a fare esattamente due cose, poi viene scartato. L'hash è a senso unico, calcolato sull'indirizzo, sullo user agent, sul dominio del link e su un sale segreto ruotato ogni giorno a mezzanotte UTC, con il sale precedente che viene scartato.

address + user agent + link domain + daily salt  ->  one-way hash  ->  stored
address                                          ->  range lookup  ->  country, city, network
address                                          ->  discarded

Ne discendono due conseguenze da dire onestamente, ed entrambe stanno nella conversazione con il cliente più che in una nota a piè di pagina.

Primo, la metrica è quella dei visitatori unici giornalieri. Poiché il sale ruota ogni notte, domani la stessa persona è un hash diverso, quindi una cifra mensile è una somma di unici giornalieri e non un conteggio di persone distinte. Qualunque fornitore riporti unici mensili esatti senza cookie o sta conservando un identificatore più a lungo di quanto ammetta, oppure sta stimando.

Secondo, l'indirizzo non può essere prodotto in seguito per nessuno — né per te, né per una richiesta al supporto. È questo il senso del progetto, ed è anche un limite da conoscere prima di promettere a un cliente un'indagine che ne avrebbe bisogno.

Il principio prosegue al confine in uscita. La pagina di statistiche pubbliche di un link riceve dallo strato geografico soltanto paese e città: niente reti, niente tipo di traffico, niente punteggio di qualità, niente coordinate, e a garantirlo è un test sul corpo della risposta invece della sola convenzione. Che cosa espone ciascun dettaglio è documentato nelle analytics geografiche e nella pagina geografia e qualità del traffico.

La conservazione è un'impostazione dell'area di lavoro

Lascia vuoto il campo della conservazione degli eventi dettagliati per il massimo di piattaforma di 730 giorni, oppure imposta un numero di giorni.

Il meccanismo conta più del numero. Il valore viaggia dentro ogni evento, e la scadenza nell'archivio è espressa in funzione di quel valore. Una riga scritta con un'impostazione di 30 giorni viene eliminata dopo 30 giorni anche se in seguito l'area di lavoro passa a 730, perché a governarla è l'impostazione in vigore quando la riga è stata scritta.

È questo che rende la conservazione una risposta utilizzabile invece di una rassicurazione vaga. «Teniamo 90 giorni» è difendibile se il 90 viene impresso su ogni riga nel momento in cui la riga viene scritta; non lo è se descrive un filtro dei report sopra righe conservate davvero per due anni. Quando confronti le piattaforme, non chiedere qual è il periodo di conservazione ma dove viene fatto rispettare — e, a parte, qual è la profondità di consultazione del piano, perché vale anche quel limite. Entrambi sono descritti nei dati dei visitatori e modalità di privacy.

Il consenso riguarda i dati, non il reindirizzamento

La confusione più diffusa qui è trattare il reindirizzamento stesso come l'oggetto del consenso. Un visitatore che tocca un link breve ha chiesto di essere portato da qualche parte, e portarcelo è il servizio. Le domande sul consenso riguardano altre due cose: che cosa viene registrato di quella visita e qualunque tecnologia salvata sul dispositivo del visitatore che non sia strettamente necessaria.

Questa impostazione ha conseguenze pratiche. Non esiste un cookie di misurazione tra siti, perché l'hash giornaliero sostituisce il meccanismo di cui parlano quasi tutte le norme sul consenso. Nel percorso di reindirizzamento c'è esattamente un cookie — un contrassegno di prima visita sul tuo dominio di reindirizzamento — e viene impostato solo quando una delle tue regole chiede davvero se questa sia una prima visita o una di ritorno. Così la risposta a «i vostri link impostano cookie» dipende da una configurazione che puoi mostrare invece che da una politica generica.

I pixel di tracciamento sono l'eccezione evidente. Quando un'area di lavoro aggancia un pixel di retargeting a un link, quel pixel e tutto ciò che imposta appartengono al proprietario del pixel e al terzo, non al servizio di reindirizzamento. Il proprietario del link è il titolare del trattamento per quel trattamento ed è responsabile di dichiararlo e di ottenere l'eventuale consenso necessario — un'agenzia che aggancia pixel per conto di un cliente dovrebbe averlo scritto nel contratto con il cliente, non scoprirlo durante una verifica.

I ruoli contano per la stessa ragione. Per i dati dei clic il titolare del trattamento è l'area di lavoro o il partner che ha creato il link, mentre la piattaforma è il responsabile del trattamento: quindi la base giuridica, l'informativa sulla privacy e l'eventuale consenso sono responsabilità del proprietario del link. Le agenzie che gestiscono link per i clienti si trovano in questa posizione più spesso di quanto si aspettino, cosa che la nostra guida per le agenzie ai link brandizzati affronta dal lato commerciale.

I documenti che chiederà chi verifica

Due documenti fanno quasi tutto il lavoro, e nessuno dei due va improvvisato.

Un accordo sul trattamento dei dati governa il trattamento svolto per tuo conto. Chi verifica ci cerca un insieme preciso di cose: chi è titolare e chi responsabile del trattamento per ciascuna categoria di dati, le categorie di interessati e di dati personali, le misure di sicurezza, la finestra di notifica di una violazione, il meccanismo di trasferimento per i dati che escono dallo Spazio economico europeo o dal Regno Unito, i diritti di verifica e che fine fanno i dati alla cessazione. Il nostro DPA fissa quelle condizioni, tra cui una finestra di notifica di 72 ore, le clausole contrattuali tipo con l'addendum per il Regno Unito dove applicabile, un diritto di verifica annuale su preavviso e l'eliminazione entro 30 giorni dalla fine della finestra di esportazione.

Un elenco dei sub-responsabili nomina i terzi che trattano dati per conto della piattaforma, a che cosa serve ciascuno e dove tiene i dati. È parte del DPA e non una pagina di marketing, e ciò che chi verifica valuta è il meccanismo che gli sta intorno: almeno 30 giorni di preavviso prima che uno venga aggiunto o sostituito, un diritto di opposizione documentato e la cessazione della parte interessata senza penali quando non esiste un'alternativa ragionevole. Il nostro elenco dei sub-responsabili pubblica i fornitori attuali con finalità e luogo dei dati; la descrizione generale sta nell'informativa sulla privacy.

Se un fornitore non riesce a produrre entrambi i documenti, o produce un elenco dei sub-responsabili senza nessun meccanismo di preavviso agganciato, il rilievo è quello — non l'assenza del logo di una certificazione.

Una lista di controllo per la conversazione con il cliente

1. Produci l'elenco dei campi per la modalità realmente in uso — non il massimo di piattaforma, ma quello che quell'area di lavoro sta scrivendo oggi.
2. Dichiara la conservazione in giorni e dove viene fatta rispettare, distinta dalla profondità di consultazione del piano, e indica quale delle due è vincolante in questo momento.
3. Rispondi in una frase alla domanda sull'indirizzo: conservato per intero, troncato oppure non conservato — e se non è conservato, spiega l'hash giornaliero e la natura giornaliera dei visitatori unici.
4. Elenca i cookie del percorso di reindirizzamento e che cosa provoca l'impostazione di ciascuno. «Nessuno, a meno che non sia configurata una regola sulla prima visita» batte «solo cookie essenziali».
5. Separa quello che agganci tu da quello che fa la piattaforma. Pixel, tag di terzi e analytics dal lato della destinazione sono un trattamento tuo, non del redirector.
6. Consegna il DPA e l'elenco dei sub-responsabili invece di riassumerli, e segnala il preavviso previsto per le modifiche.
7. Imposta la modalità di privacy al livello più rigoroso che la tua reportistica può reggere, poi verifica quali dettagli sono rimasti vuoti — è così che scopri se un'impostazione è stata scelta oppure soltanto ereditata come predefinita.

La parte scomoda di questo argomento è che le decisioni prese in scrittura sono definitive in entrambe le direzioni. I dati che hai scelto di non raccogliere non si recuperano quando qualcuno più avanti chiede un dettaglio per città, e i dati che hai raccolto non si tolgono dal mondo quando qualcuno più avanti chiede perché li hai. È un argomento per decidere con consapevolezza all'inizio di un incarico invece di ereditare un valore predefinito. Tutto quello che sta nelle analytics continua a funzionare anche all'estremo rigoroso della scala; quello che cambia è quanto del visitatore, e non quanto della campagna, riesci a vedere.