B2B Web Sitesi Kişiselleştirme ve Veri Gizliliği: Uyumlu Kalmanın Yolları

Çoğu B2B kişiselleştirme projesi ikinci haftada aynı duvara çarpar. Pazarlama segmentleri ve başlık varyantlarını hazırlamıştır; ardından hukuk ekibinden biri ziyaretçi tanımlama kısmının GDPR kapsamında nasıl işlediğini sorar ve kimsenin yazılı bir cevabı yoktur. Proje bekletilir.

Bu yazı, yazıya dökülmüş olarak görmek isteyeceğimiz yanıtın kendisi. B2B web siteleri için kişiselleştirme ve veri gizliliğini, soruların çoğuna neden olan üç kural seti (GDPR, çerezler ve cihaz erişimine ilişkin AB ePrivacy kuralları ve Kaliforniya'nın CCPA/CPRA yasası) kapsamında ele alıyor; her birinin gerçekte neyi gerektirdiğini anlatıyor ve hukuk ekibinize verebileceğiniz bir lansman kontrol listesi sunuyor. Hukuki tavsiye değildir. Amaç, pazarlama ve hukuk ekiplerini daha hızlı aynı masaya getirmek; hukuk danışmanınızın kontrol edebilmesi için birincil kaynaklara bağlantı veriyoruz.

B2B kişiselleştirmenin gizlilik profili neden farklıdır

Gizlilik rehberlerinin çoğu tüketici senaryoları için yazılmıştır: alışveriş siteleri arasında reklam takibi, üçüncü taraflara satılan davranışsal profiller. B2B web sitesi kişiselleştirmesi genellikle farklı görünür:

• Ana girdi, genellikle ziyaretçinin IP adresinden türetilen şirket düzeyindeki verilerdir (sektör, büyüklük, konum, kullanılan teknoloji).
• Sonuç ılımlıdır: üretim sektöründen bir ziyaretçi, fintech vaka çalışmaları yerine üretim vaka çalışmalarını görür.
• Ziyaretçilerin çoğu zaten satış yaptığınız veya hedeflediğiniz şirketlerden gelir; dolayısıyla onlara alakalı içerik göstermek için makul bir iş gerekçesi vardır.

Bunların hiçbiri B2B kişiselleştirmeyi gizlilik yasalarından muaf tutmaz. Her IP adresinin arkasında yine bir kişi vardır ve yasalar şirketi değil o kişiyi korur. Değişen, risk düzeyi ve hangi hukuki dayanağın gerçekçi olduğudur. Bu sınıflandırmayı doğru yapmak işin büyük kısmıdır.

GDPR: IP adresi meselesi

Hukuk ekibinin soracağı ilk soru, bir IP adresinin kişisel veri sayılıp sayılmadığıdır. Dürüst yanıt “çoğu zaman evet, kimin elinde olduğuna bağlı olarak”dır. Breyer (Dava C-582/14) davasında Avrupa Birliği Adalet Divanı, dinamik bir IP adresinin bir web sitesi işletmecisi için kişisel veri olduğuna hükmetti; yeter ki o işletmeci, internet servis sağlayıcısının elindeki ek bilgilerle ziyaretçiyi tanımlamak için hukuki imkânlara sahip olsun. Dava eski Veri Koruma Direktifi kapsamında karara bağlandı, ancak GDPR'ın Madde 4(1)'deki kişisel veri tanımı, bir kişiyi tanımlanabilir kılabilecek unsurlar arasında açıkça “çevrimiçi tanımlayıcı”yı sayıyor; bu nedenle aynı gerekçe geçerliliğini koruyor.

Görüşümüz: İşlediğiniz her IP adresi kişisel veriymiş gibi plan yapın. Aksini savunmak size çok az şey kazandırır ve belgelerinizin bir denetim otoritesine kaçamak görünmesine neden olur.

Hukuki dayanak seçmek

GDPR 6. madde altı hukuki dayanak listeler. Bunlardan ikisi web sitesi kişiselleştirmesiyle ilgilidir:

Burada iki ayrıntı önemli. Birincisi, Breyer basın bülteni Mahkeme'nin şu tespitine de dikkat çeker: bir web sitesi işletmecisinin ziyaretçi verilerini işlemede meşru bir menfaati olabilir, yeter ki bu menfaat ziyaretçinin haklarıyla tartılsın. LIA'nızın göstermesi gereken dengeleme işte budur. İkincisi, kişiselleştirme doğrudan pazarlamanın bir parçasıysa Madde 21(2) ve (3) ziyaretçiye mutlak itiraz hakkı tanır: itiraz ettiği anda durursunuz. Vazgeçme seçeneğini ilk şikâyetten sonra değil, lansmandan önce kurun.

Bir GDPR hatasının maliyeti ne olabilir

Madde 83(5) uyarınca işleme ilkelerinin, Madde 6'daki hukuki dayanak kurallarının, Madde 7'deki onay koşullarının ve Madde 12 ila 22'deki ilgili kişi haklarının ihlali, 20 milyon € veya dünya çapındaki yıllık cironun %4'üne kadar (hangisi daha yüksekse) para cezasına yol açabilir. Bunlar tipik cezalar değil, üst sınırlardır. Orta ölçekli bir B2B ekibi için daha gerçekçi maliyet, zaten sahip olmanız gereken belgeleri hazırlarken kişiselleştirmeyi duraklatmanızı zorunlu kılan bir denetim otoritesi soruşturmasıdır.

ePrivacy: "çerezsiz" kavramının yanlış anlaşıldığı yer

ePrivacy Direktifi (2002/58/EC, Article 5(3)), çerez banner'larının arkasındaki kuraldır. Depolama veya erişim, kullanıcının talep ettiği bir hizmet için kesinlikle gerekli olmadıkça, bir kullanıcının cihazında bilgi depolamadan veya cihazdaki bilgiye erişmeden önce rıza alınmasını gerektirir. GDPR ile birlikte uygulanır ve bilginin kişisel veri olup olmamasını önemsemez.

Birleşik Krallık'ta eşdeğer kural PECR'de yer alır. ICO'nun rehberi, onayın aktif ve açık bir şekilde verilmesi gerektiğini ve yalnızca faydalı veya kullanışlı olan çerezlerin de onay gerektirdiğini açıkça belirtiyor. Kişiselleştirme çerezleri bu gruba girer.

Birçok tedarikçi blogunun atladığı kısım şu. Pek çok kişiselleştirme pazarlaması "sunucu taraflı, çerezsiz, dolayısıyla onay gerekmez" der. Bu fazla basit bir yaklaşım. EDPB'nin Guidelines 2/2023 on the technical scope of Article 5(3) belgesi (nihai versiyon Ekim 2024), yalnızca IP adreslerine dayalı izlemenin 5(3). madde kapsamına girebileceğini ve bir IP adresinin kullanıcının cihazından gelmediğini garanti edemediğiniz sürece bunu kapsam dahilinde saymanız gerektiğini söyler. Aynı yönergeler, istemci taraflı kod tarayıcıya size tanımlayıcı göndermesini söylediğinde de 5(3). maddenin uygulandığını belirtir.

Bunun pratikteki anlamı:

• Mevcut sayfa görüntülemesi için bir başlık seçmek amacıyla kullanılan tek seferlik, sunucu taraflı bir IP sorgusu en düşük riskli modeldir. Bazı avukatlar yine de bunun onayla veya EDPB yönergeleri kapsamında net bir muafiyet analiziyle güvence altına alınmasını isteyecektir; bu yüzden kendi avukatınıza danışın.
• IP adresini bir ziyaretçiyi sayfalar veya oturumlar arasında izlemek için kullanmak takiptir ve EDPB'nin görüşüne göre çerezlerle aynı onay analizini gerektirir.
• Tarayıcıda tanımlayıcıları okuyan veya ayarlayan her JavaScript snippet'i (çerezler, yerel depolama, parmak izi sinyalleri), kesinlikle gerekli olmadıkça çalışmadan önce onay gerektirir.

Zamanlamayla ilgili bir not: Direktifin yerini alması planlanan ePrivacy Tüzüğü artık yok. Avrupa Komisyonu 2025 çalışma programında teklifi geri çekeceğini duyurdu ve mevcut Direktif ile ulusal uygulama yasaları yürürlükte kalıyor. Onayı düzgün şekilde kurmadan önce yeni AB çerez kurallarını beklemeyin.

CCPA/CPRA: sizin için geçerli mi?

Kaliforniya yasası yalnızca Kaliforniya'da iş yapan ve en az bir eşiği karşılayan kâr amaçlı işletmeler için geçerlidir. California Privacy Protection Agency'ye göre bu eşikler şunlardır:

1. Yıllık brüt geliri 26,625 milyon $ veya üzeri (1 Ocak 2025 itibarıyla güncellenmiş rakam).
2. 100.000 veya daha fazla California sakininin ya da hanesinin kişisel bilgilerini satın almak, satmak veya paylaşmak.
3. Yıllık gelirin %50 veya daha fazlasını Kaliforniya sakinlerinin kişisel bilgilerini satmaktan veya paylaşmaktan elde etmek.

B2B ekipleri için önemli olan geçmiş şu: iş iletişim verileri ve çalışan verileri için tanınan geçici muafiyet 1 Ocak 2023'te sona erdi. Kaliforniya'da iş bilgisayarından sitenizi gezen bir alıcı, yasa kapsamında bir tüketicidir.

Kapsam dahilindeyseniz, kişiselleştirmeyi ilgilendiren yükümlülükler şunlardır:

• Gizlilik politikanızda kişiselleştirme için IP'den türetilmiş veriler topladığınızı ve hangi veri kategorilerini kullandığınızı açıklayın.
• Veri zenginleştirme veya reklam ortakları ziyaretçi verilerini "satış" ya da "paylaşım" sayılacak şekilde alıyorsa (paylaşım, bağlamlar arası davranışsal reklamcılığı kapsar), "Kişisel Bilgilerimi Satma veya Paylaşma" bağlantısı sunun ve vazgeçme taleplerine uyun.
• CPPA SSS'ye göre bilgi edinme, silme veya düzeltme taleplerini 45 takvim günü içinde yanıtlayın; kişiyi bilgilendirirseniz bu süre 45 gün daha uzatılabilir.

Cezalar 1 Ocak 2025'te enflasyona göre artırıldı: CPPA duyurusuna göre ihlal başına 2.663 $'a ve kasıtlı ihlal başına 7.988 $'a kadar idari para cezası. Diğer ABD eyaletlerinin farklı eşiklere sahip kendi kapsamlı gizlilik yasaları vardır; bu nedenle o eyaletlerden anlamlı trafik alıyorsanız Kaliforniya analizinin sizi kapsadığını varsaymak yerine onları ayrı ayrı haritalayın.

Uygulanabilir bir çerçeve: üç veri seviyesi

Bunu yönetilebilir kılmanın en kolay yolu, herhangi bir şey kurmadan önce kişiselleştirmenizin kullandığı her girdiyi sınıflandırmaktır.

Görüşümüz: Tier 1 ile başlayın. Bir lojistik şirketine lojistik vaka çalışmanızı göstermek, onu okuyan kişi hakkında hiçbir şey bilmeyi gerektirmez. Bariz kişiselleştirme kazanımlarının çoğu (sektör başlığı, alakalı kanıt, şirket büyüklüğüne göre fiyat vurgusu) Tier 1'dedir. Tier 2 ve 3 değer katar, ancak onay bağımlılıkları ve evrak işi de getirir; bu yüzden Tier 1 ölçülüp istikrar kazandıktan sonra ekleyin.

Adım adım: uyumlu bir şekilde yayına almak

1. Deneyimi onaya göre ayırın

Yaygın hata, ziyaretçi "Kabul et"e tıklayana kadar tüm kişiselleştirmeyi engellemektir. Daha iyi bir tasarım:

1. Onaydan önce: Yalnızca sunucu tarafı aramaya dayalı 1. kademe kişiselleştirme; cihazda hiçbir tanımlayıcı saklanmaz. Davranış geçmişi yok.
2. Kişiselleştirme çerezlerine onay verildikten sonra: geri dönüş ziyaretlerini ve etkileşimi kaydetmeye başlayın ve bunları Tier 2 kuralları için kullanın.
3. Form gönderiminden sonra: Gizlilik bildiriminiz ve hukuki dayanağınız kapsadığı ölçüde hesabı CRM verilerine (3. seviye) bağlayın.

Sıkıcı ama sağlam yoldan test edin: Siteyi temiz bir tarayıcı profilinde açın, her şeyi reddedin ve DevTools'taki Application sekmesini kontrol edin. Hiçbir kişiselleştirme çerezi veya yerel depolama anahtarı görünmemelidir. Ardından kabul edin ve tekrar kontrol edin.

2. Rıza kategorilerini gerçeklikle uyumlu hâle getirin

"Analitik"i kabul eden bir ziyaretçi "kişiselleştirme"yi kabul etmiş sayılmaz. Onay aracınızda ayrıntılı kategoriler varsa, bir kişiselleştirme kategorisi ekleyin (ya da kişiselleştirmeyi onu doğru şekilde tanımlayan mevcut bir "işlevsel" veya "pazarlama" kategorisinin altına koyun) ve kişiselleştirme kodunun özellikle o kategoriyi dikkate aldığından emin olun.

3. Veri akışındaki her tedarikçiyi denetleyin

Ziyaretçi verilerine dokunan her tedarikçi için (IP zenginleştirme, analitik, CDP, CRM, onay aracı) şunları not edin:

• Sitenizden hangi verileri aldıkları ve neleri geri gönderdikleri.
• Verileri nerede sakladıkları ve işledikleri ve AEA dışına yapılan aktarımları hangi aktarım mekanizmasının kapsadığı.
• Ziyaretçi verilerinizi kendi ürünleri için kullanıp kullanmadıkları. Kullanıyorlarsa, veri işleyen değil veri sorumlusu olarak hareket ediyor olabilirler; bu da sözleşmelerinizi ve gizlilik bildiriminizi değiştirir.
• Bir Veri İşleme Sözleşmesinin imzalanıp imzalanmadığı ve nerede saklandığı.

Sözleşme işin yalnızca yarısını kapsar; diğer yarısı her tedarikçinin verileri gerçekte nasıl koruduğudur. Ekibinizde şirket içi güvenlik uzmanlığı yoksa, harici siber güvenlik hizmetleri imza atmadan önce tedarikçilerin erişim kontrollerini ve depolama yöntemlerini inceleyebilir.

Bu denetimin genellikle yakaladığı şeye bir örnek (temsilî): sözleşme koşulları, müşteri verilerini kendi kitle ürünlerini oluşturmak için kullanmasına izin veren bir analitik aracı. Bu bir veri işleyen ilişkisi değildir; ya yeniden müzakere edersiniz, ya bunu düzgün şekilde açıklarsınız ya da veri işleyen rolünde kalan bir araca, örneğin verileri yalnızca sizin talimatlarınızla işleyen bir kişiselleştirme analitiği kurulumuna geçersiniz.

4. Üç belgeyi yazın

• Gizlilik politikası bölümü. Ne topladığınız (IP'den türetilen şirket verileri, onayla davranış verileri), neden topladığınız (alakalı içerik göstermek için), hukuki dayanak, saklama süresi, tedarikçiler ve nasıl itiraz edilebileceği.
• Meşru Menfaat Değerlendirmesi. Amaç testi (kurumsal ziyaretçilere ilgili içerik göstermek), gereklilik testi (şirket düzeyindeki verilerin neden yeterli olduğu ve daha fazlasına neden ihtiyaç olmadığı), dengeleme testi (hassas veri yok, şirket düzeyinde çıktı, kolay itiraz, kısa saklama süresi).
• Çerez politikası. Kişiselleştirme sisteminin ayarladığı her çerez veya depolama anahtarı, amacı, ömrü ve kategorisi.

5. Uygulayabileceğiniz saklama süreleri belirleyin

GDPR'ın Article 5(1)(e) maddesindeki saklama sınırlaması ilkesi, kişisel verilerin amacın gerektirdiğinden daha uzun süre tutulmaması anlamına gelir. Yasa bir süre belirlemez; bu yüzden bir süre seçin ve gerekçelendirin. Örnek: tipik bir B2B satış döngüsünü kapsamak için davranış verileri 90 gün, zenginleştirilmiş hesap verileri 12 ay. Seçiminiz ne olursa olsun, silme işleminin otomatik gerçekleşmesi için bunu araçlarda yapılandırın.

6. Bir ilgili kişi başvurusunun provasını yapın

Article 12(3) uyarınca erişim, silme ve itiraz taleplerini gereksiz gecikme olmaksızın ve bir ay içinde yanıtlamanız gerekir; gerektiğinde bu süre iki ay daha uzatılabilir. Kaliforniya 45 gün tanır. Yayına almadan önce bir test talebi yürütün: siteyi ziyaret etmiş bir meslektaşınızı seçin ve sisteminizin onunla ilgili tuttuğu her şeyi bulup dışa aktarmaya ve silmeye çalışın. Ziyaretçi tanımlama aracınız bunu IP adresi veya kişi bazında yapamıyorsa, canlıya geçmeden önce çözmeniz gereken bir sorununuz var demektir.

Sık yapılan uyum hataları

Şirket verilerine "anonim" demek

Bir şirketi tanımlamak, anonim veri işlemekle aynı şey değildir. Sorgu için kullandığınız IP adresi, gerçekçi senaryoların çoğunda kişisel veridir. Bunu belgelerinizde belirtin, belgelenmiş bir hukuki dayanağa dayanın ve devam edin.

"Sunucu taraflı" ifadesini "onay gerektirmez" diye yorumlamak

Yukarıda ele alındığı gibi EDPB, Madde 5(3)'ü IP tabanlı izlemeyi ve istemci tarafında tanımlayıcı toplamayı kapsayacak kadar geniş yorumlar. Sunucu tarafında, istek başına yapılan şirket sorguları en düşük riskli tasarımdır; ancak bu, otomatik bir muafiyet değil, hukuk danışmanınızla görüşülmesi gereken bir tasarım tercihidir.

İtiraz yolu yok

Hukuki dayanağınız meşru menfaat ise ziyaretçi itiraz edebilir. Gizlilik politikasında, kimsenin takip etmediği bir e-posta kutusuna giden bir bağlantı bunu karşılamaz. Onlara kişiselleştirmeyi kapatan bir ayar verin ve kişiselleştirme motorunda buna uyun.

Kaynağını kontrol etmeden üçüncü taraf niyet verisi beslemek

Üçüncü taraf niyet verisi çoğu zaman siteler arası gezinmeden oluşturulur. Sağlayıcı bu veri toplama için onayın veya başka bir hukuki dayanağın nasıl elde edildiğini gösteremiyorsa, veriyi kullandığınız anda bu zayıflığı devralırsınız. İmzalamadan önce veri kaynağı belgelerini isteyin ve birinci taraf davranış sinyallerini tercih edin. Artıları ve eksileri B2B web sitesi kişiselleştirmesi için niyet verisi rehberimizde daha ayrıntılı ele alıyoruz.

Süresiz saklama

Kişiselleştirme araçları varsayılan olarak çoğu zaman her şeyi saklar. Yalnızca ana kişiselleştirme platformunda değil, yığındaki her araçta saklama ayarını kontrol edin.

Lansman öncesi kontrol listesi

1. Veri envanteri tamamlandı, her girdi 1., 2. veya 3. seviye olarak sınıflandırıldı.
2. Katman başına hukuki dayanak belgelendi; Katman 1 için LIA hazırlandı.
3. IP sorgusunun ve istemci taraflı tüm betiklerin ePrivacy analizi hukuk danışmanı tarafından incelenmiştir.
4. Onay banner'ında kişiselleştirmeyi kapsayan bir kategori var ve temiz tarayıcı testi onaydan önce hiçbir şeyin saklanmadığını doğruluyor.
5. Her sağlayıcıyla DPA imzalandı; depolama konumları ve aktarım mekanizmaları kayıt altına alındı.
6. Gizlilik politikası ve çerez politikası güncellendi.
7. İtiraz ve vazgeçme yolu çalışıyor ve kişiselleştirme motoru tarafından dikkate alınıyor.
8. Her araçta saklama süreleri yapılandırıldı.
9. Test amaçlı veri sahibi talebi GDPR ve CCPA sürelerine uygun olarak tamamlandı.
10. CCPA kapsamı üç eşiğe göre kontrol edildi ve trafiğiniz varsa diğer ABD eyalet yasaları haritalandı.

Gizlilik kısıtlamaları neden daha iyi kişiselleştirme sağlar

Bu görüş kısmı ve bazı ekipler buna katılmayacaktır. Gizlilik kuralları çerçevesinde çalışmak, sizi zaten işe yarama eğiliminde olan kişiselleştirmeye doğru iter.

Şirket düzeyindeki segmentler, çerezleri reddedenler dahil her ziyaretçiye ulaşır; bu yüzden ilk testiniz “Kabul et”e tıklayan alt kümeyle sınırlı kalmaz. Daha az sayıda ve daha geniş segmentler (örneğin sektöre ve şirket büyüklüğüne göre beş altı segment), gezinme örüntülerinden oluşturulmuş onlarca mikro segmente göre iyi içerik yazmak için daha kolaydır ve her segment ölçülebilecek kadar trafik alır. Üçüncü taraf verilere güvenemediğinizde ise, insanların kendi sitenizi gerçekte nasıl kullandığına dayanan bir birinci taraf veri stratejisine yatırım yaparsınız; bu da onların özellikle size olan ilgisini yansıtan veridir.

Bu segmentler için bir başlangıç noktası istiyorsanız, dönüşüm sağlayan firmografik segmentler yazımız bunları nasıl seçeceğinizi anlatıyor; şirket düzeyinde ziyaretçi tanımlama nasıl çalışır yazımız ise IP aramasının size neyi söyleyip neyi söyleyemeyeceğini açıklıyor.

Hukuki incelemede takılmadan başlamak

Çoğu B2B ekibi için gerçekçi risk bir para cezası değildir. Kimse hukuk ekibine inceleyecek somut bir tasarım vermediği için aylarca süren gidip gelmelerdir. Onlara bir tane verin:

1. IP sorgusunu, dönen bilgileri ve neyin saklandığını gösteren tek sayfalık bir veri akış şeması.
2. Yukarıdaki seviye tablosu, yığınınız için doldurulmuş hali.
3. Taslak bir LIA ve gizlilik politikası bölümü.
4. Temiz tarayıcıyla yapılan onay testi sonuçları.

Ardından 1. kademeyi birkaç yüksek trafikli sayfada yayına alın, 30 gün ölçün ve onay mekanizması çalıştığında ve rakamlar bunu haklı çıkardığında 2. kademeyi ekleyin.

Markettailor bu işlem sırasına uyar: Firmografik segmentasyonu şirket düzeyindeki verilerle çalışır; böylece onay çalışmaları tamamlanırken 1. kademe kurallarla başlayabilirsiniz. Hukuk ekibiyle görüşmeden önce planları karşılaştırmak isterseniz Markettailor fiyatlarını görün.