隐私和数据保护法规

有关欧盟通用数据保护条例 (GDPR)、加州消费者隐私法案 (CCPA) 和其他隐私要求的信息。了解这些法规对您的组织和Adobe Target有何影响。

隐私和通用数据保护条例 (GDPR) 概述

2018 年 5 月 25 日，欧盟的 GDPR 已正式生效。有关此法规对您影响的更多信息，请参阅 GDPR 和您的业务。

当 Adobe 向企业提供软件和服务时，作为提供这些服务的一部分，Adobe 将充当其处理并存储的任何个人数据的“数据处理方”。作为“数据处理方”，Adobe 将根据贵公司授予的权限及指示（例如，遵照您与 Adobe 签署的协议中的规定）处理个人数据。

作为“数据控制方”，您可以决定 Adobe 代表您处理和存储的个人数据。如果您使用 Adobe Experience Cloud 解决方案，Adobe 可能会根据您使用的解决方案和您选择发送到 Adobe Experience Cloud 帐户的信息，来为您托管个人数据。有关详细的示例列表，请参阅 Adobe Experience Cloud 隐私。

Adobe Experience Cloud为数据控制方提供了为GDPR做好准备的API，这些API允许他们完成以下任务：

有关更多信息，请参阅：

《加州消费者隐私法案》(CCPA) 概述

《加州消费者隐私法案》(CCPA) 为加利福尼亚州消费者提供了关于个人信息的新权利，并明确了在加利福尼亚州开展业务的某些实体的数据保护职责。CCPA 在 2020 年 1 月 1 日起生效。

在较高层面上，这项法案为加州人提供了几项主要的权利，具体包括：

如果您去年忙于准备好应对欧洲隐私法律(GDPR)，那么您可能已经熟悉了这样的一些权利，并且可以重新利用已经完成的许多工作。

Adobe Target和Adobe Experience Platform选择加入

Target通过Adobe Experience Platform中的标记提供选择加入功能支持，以帮助支持您的同意管理策略。 选择加入功能让客户可自行决定如何以及何时触发 Target 标记。还有一个选项，即通过Adobe Experience Platform预批准Target标记。 若要启用在Target at.js库中使用选择加入的功能，您应该使用targetGlobalSettings并添加optinEnabled=true设置。 在Adobe Experience Platform中，从扩展安装视图的GDPR选择加入下拉列表中选择“启用”。 有关更多详细信息，请参阅使用Adobe Experience Platform实施Target。

以下代码段显示了如何启用 optinEnabled=true 设置：

window.targetGlobalSettings = {
  optinEnabled: true
};

推荐使用Adobe Experience Platform管理选择加入功能。 Adobe Experience Platform中存在更细粒度的控制，用于在触发Target之前隐藏页面的选定元素，这对于在同意策略中的使用非常有帮助。

使用选择加入功能时需要考虑三种情景：

隐私和数据保护法规常见问题解答

有关欧盟《通用数据保护条例》(GDPR)、《加州消费者隐私法案》(CCPA) 和其他专门特定于 Target 的国际隐私要求的常见问题解答。

针对这些法规的Adobe政策是什么？

Adobe已经履行或者正在履行其作为数据处理商的义务。 Adobe 在设计上为经认证的安全性和隐私控制奠定了牢固的基础，并在 2018 年 5 月的截止日期之前落实了产品增强功能。企业和客户负责实施这些增强功能，并更新任意必要的策略和过程。

作为数据控制方，我的公司是否必须向使用的每个Adobe Experience Cloud解决方案提交GDPR或CCPA请求？

不需要，Adobe提供了一种核心方法，帮助“数据控制方”满足其GDPR和CCPA要求。 数据控制方无需直接转向各个解决方案。

包括Target在内的Experience Cloud解决方案的所有GDPR和CCPA请求均通过集中AdobeAPI进行，后者目前称为GDPR API。 然后，API跨数据控制方的Experience Cloud解决方案包完成请求。

作为对数据主体/用户请求的回应，Adobe允许客户删除哪些信息？

在 Target 中，与单独访客有关的信息是包含在 Target 访客配置文件中。Target允许客户删除与其访客配置文件中某个ID关联的所有数据。 有关Target存储的配置文件数据的示例，请参阅访客配置文件。

未标识特定个人的聚合或匿名数据（例如，报表数据）或与特定个人无关的数据（例如，内容数据），不在用户删除请求的范围之内。

默认情况下，无需执行任何操作，系统即会删除 90 天处于不活跃状态的 Target 访客配置文件。

系统支持哪些ID来帮助客户完成Target的GDPR或CCPA访问和删除请求？

Target 支持以下 ID 类型来查找客户配置文件：

Target如何处理同意管理？

对于您必须获取同意的情况，GDPR 和 CCPA 没有进行更改，而是更改了您获取同意的方式。每个客户的同意策略取决于其数据收集和使用实践及其隐私政策。不支持，也不应通过Target for GDPR和CCPA实现同意管理。

Adobe 目前不提供同意管理解决方案，不过，市面上有各种各样的开发工具，可用来解决一些新的需求。有关常规隐私工具的更多信息，包括同意管理器，请参阅​ 隐私权专家国际协会 (iaap) 网站上的 2017 隐私技术供应商报告。

Target通过Adobe Experience Platform提供选择加入功能支持，以支持您的同意管理策略。 选择加入功能让客户可自行决定如何以及何时触发 Target 标记。还有一个选项，即通过Adobe Experience Platform预批准Target标记。 推荐使用Adobe Experience Platform管理选择加入功能。 Adobe Experience Platform中存在更细粒度的控制，用于在触发Target之前隐藏页面的选定元素，这对于在同意策略中的使用会非常有帮助。

有关GDPR、CCPA和Adobe Experience Platform的更多信息，请参阅Adobe隐私JavaScript库和GDPR。 此外，请参阅上文的 Adobe Target 和 Adobe Experience Platform 选择启用 ​部分。

AdobePrivacy.js 是否向 GDPR API 提交信息？

AdobePrivacy.js 不 ​向API提交此信息。 客户必须自行处理。该库仅提供存储在特定访客浏览器中的 ID。

removeIdentities 删除什么？

removeIdentities“只” ​删除浏览器中的那些标识，而且仅取决于 Adobe 解决方案是否已经执行了这项操作。

例如，Target会删除存储其ID的Cookie，但Adobe Audience Manager (AAM)不会删除存储在第三方Cookie中的Demdex ID。

Target GDPR或CCPA请求中必须包含哪些信息？

Privacy Service除了Central Target的要求之外，Target的有效GDPR或CCPA消息还包含：

{
    "jobId":"12345AD43E",
    ...
    "products":["Target",...],
    "companyContexts":[
        {
            "namespace":"imsOrgID",
            "value":"123456789@AdobeOrg"
        },
        ...
    ],
    "userContexts":[
        {
            "namespace":"ECID",
            "namespaceId":4,
            "type":"standard",
            "value":"53792210477379708453829363835595041181"
        }
        And/OR:
        {
            "namespace":"TNTID",
            "namespaceId":9,
            "type":"standard",
            "value":"1234567890"
        }
        And/OR:
        {
            "namespace":"THIRDPARTYID",
            "type":"target",
            "value":"thirdPartyIdName"
        },
        ...
    ]
}

我可以通过 GDPR API 从 Target 获得哪些类型的响应？

对于访问请求，Target 会向 GDPR API 发送什么响应？

在响应访问数据的请求时，将提供一份有关所讨论访客的 Target 配置文件摘要。此返回结果发送到Experience CloudGDPR API，这随之会向数据控制者发送一个响应。

Target 访问 API 响应示例如下所示：

{
    "jobId":"12345AD43E",
    ...
    "products":["Target",...],
    "companyContexts":[
        {
            "namespace":"imsOrgID",
            "value":"123456789@AdobeOrg"
        },
        ...
    ],
    "userContexts":[
        {
            ~"namespace":"ECID",
            "namespaceId":4,
            "type":"standard",
            "value":"53792210477379708453829363835595041181"
        }
        And/OR:
        {
            ~"namespace":"tntId",
            "namespaceId":9,
            "type":"standard",
            "value":"1234567890"
        }
        And/OR:
        {
            "namespace":"thirdPartyId",
            "type":"target",
            "value":"thirdPartyIdName"
        },
        ...
    ]
}

当提供多个值来识别配置文件时，每个有效的标识符将有一个配置文件。一个或多个配置文件将通过GDPR核心API发送到核心GDPR Azure Blob，采用Target配置文件JSON响应格式。

Target 配置文件 JSON 示例可能如下所示：

{"profileAttributes":

"Sample_Parameter":{"value":"Gold Loyalty Status","modifiedAt":"2018-04-11T21:44:14.000-04:00"},

"user.ReturnTimeOfDay":{"value":"44.0","modifiedAt":"2018-04-11T21:44:14.000-04:00"},

"firstSessionStart":{"value":"1523497450602","modifiedAt":"2018-04-11T21:44:10.000-04:00"},

"user.sessionCountScript":{"value":"1","modifiedAt":"2018-04-11T21:44:14.000-04:00"}
   }
}

下表包含说明性配置文件 JSON 字段的描述：

Target 是否支持 IP 模糊处理？

如果您选择将IP模糊处理用作GDPR或CCPA实施策略的一部分，则Target支持IP模糊处理。 有关更多信息，请参阅隐私。

我是否需要做些什么来防止第三方共享或出售我的数据？

Target不允许客户直接从Target向第三方共享或出售数据，因此无需为Target选择禁用出售。