Markkinoinnin tietosuoja- ja evästepolitiikka

Markkinoinnin tietosuoja- ja evästepolitiikka määrittää pakolliset tietosuojavaatimukset markkinoinnille, evästeille, seurantateknologioille, analytiikalle, mainosteknologialle, kohderyhmien segmentoinnille, suoramarkkinoinnille, valinta-asetusten hallinnalle, estolistaukselle, kolmannen osapuolen tageille, kampanjakatselmoinnille ja niihin liittyvälle henkilötietojen käsittelylle. Sen määritetty tarkoitus on varmistaa, että näitä toimia hallinnoidaan selkeiden käyttötarkoitustallenteiden, läpinäkyvän tietosuojaselosteen, asianmukaisten suostumus- tai valinta-asetuskontrollien, estolistauksen ja suostumuksen peruuttamisen käsittelyn, kolmannen osapuolen valvonnan sekä auditointivalmiutta tukevan näytön avulla. Politiikkaa sovelletaan rekisterinpitäjä-, yhteisrekisterinpitäjä-, henkilötietojen käsittelijä- ja alikäsittelijäkonteksteissa siten, että rekisterinpitäjän velvoitteita sovelletaan, kun organisaatio määrittää markkinoinnin käyttötarkoitukset ja keinot, ja henkilötietojen käsittelijän velvoitteita sovelletaan, kun markkinointiin, analytiikkaan, seurantaan tai kampanjoihin liittyviä henkilötietoja käsitellään asiakkaan tai ylemmän tason henkilötietojen käsittelijän dokumentoitujen ohjeiden mukaisesti. Keskeinen vaatimus on, että markkinointi- ja seurantatarkoitukset tulee kirjata ennen käsittelyn aloittamista. Rekisterinpitäjän toimissa prosessien omistajan tai liiketoimintavastaavan tulee kirjata REG02:een jokainen markkinointikampanja, kanava, käsittelyn käyttötarkoitus, henkilötietoluokka, kohderyhmän lähde, oikeusperusteyhteys, seurantateknologian luokka, toimittaja- tai tagiriippuvuus, tietosuojaselosteyhteys, suostumus- tai valinta-asetusriippuvuus, säilytysyhteys ja siirtomerkintä ennen kampanjan tai seurantatoimen aloittamista. Tietosuojavastaavan / PIMS-päällikön tulee vahvistaa voimassa oleva REG07-tietosuojaselosteyhteys ja REG05-suostumus- tai valinta-asetusyhteys ennen kampanjan julkaisua. Kun kyseessä on yhteismarkkinointi, jaettu kohderyhmä, yhteisbrändätty kampanja tai jaettu seurantatoimi, yhteisrekisterinpitäjän vastuunjako tulee kirjata REG08:aan ennen julkaisua. Politiikka antaa yksityiskohtaiset operatiiviset vaatimukset suostumukselle, valinta-asetuksille, evästeille ja seurantakontrolleille. Se edellyttää, että organisaatio tunnistaa kunkin markkinointikanavan osalta, tarvitaanko suostumus, valinta-asetus, vastustaminen, sopimusperusteinen ohje tai muu hyväksytty peruste, ja kirjaa päätöksen REG02:een ja REG05:een ennen keräämistä tai kampanjakäyttöä. Ei-välttämättömien evästeiden, tagien, pikseleiden, SDK-komponenttien ja vastaavien seurantateknologioiden tulee pysyä passiivisina, kunnes vaadittu suostumus- tai valinta-asetustila on saatavilla REG05:ssä. Suostumus- tai valinta-asetussignaaleja ei saa ylikirjoittaa, ohittaa tai jättää huomiotta verkkosivuston, sovelluksen, kampanjan tai tagienhallinnan muutosten yhteydessä, ja validointinäyttö tulee kirjata ennen julkaisua. Suostumusta, valinta-asetuksia, suostumuksen peruuttamista, estolistausta ja versioita koskeva näyttö tulee kirjata REG05:een yhden työpäivän kuluessa tallennuksesta, muutoksesta tai peruuttamisesta. Läpinäkyvyys ja kolmannen osapuolen hallinnointi ovat myös keskeisiä teemoja. Tietosuojavastaavan / PIMS-päällikön tulee luoda tai päivittää markkinoinnin tietosuojaselosteen tai evästeilmoituksen tallenne REG07:ssä ennen uuden markkinointikanavan, seurantateknologian, analytiikkakonfiguraation tai olennaisen kampanjamuutoksen julkaisua. Tietosuojaselosteen sisällön tulee olla yhdenmukainen REG02:ssa kirjattujen markkinointitarkoitusten, henkilötietoluokkien, vastaanottajaluokkien, toimittajaluokkien, seurantateknologialuokkien, valinta-asetusvaihtoehtojen ja siirtomerkintöjen kanssa ennen julkaisua. Markkinointitoimittajat, analytiikkapalveluntarjoajat, mainosalustat, tagit, pikselit, SDK-komponentit ja tietojen jakamisen kumppanit tulee kirjata REG08:aan ennen tuotantokäyttöä, ja henkilötietojen käsittelijän, yhteisrekisterinpitäjän tai itsenäisen rekisterinpitäjän luokitus tulee vahvistaa ennen käyttöönottoa tai uusimista. Kansainväliset toimittajat, tagit, analytiikkapalveluntarjoajat, mainosalustat, kohderyhmäsiirrot tai tietojen jakamisen siirrot tulee tarvittaessa reitittää REG09:ään ennen tuotantokäyttöönottoa. Politiikka asettaa myös vaatimukset kampanjakatselmoinnille, estolistaukselle, kieltäytymisten reititykselle, soveltamiselle ja jatkuvalle valvonnalle. Kohderyhmän lähde, segmentointikriteerit, henkilötietoluokat, estolistauspoissulut, valinta-asetusrajoitteet ja tietosuojaselosteyhteys tulee tarkistaa ennen kampanjan julkaisua, ja henkilöt, joilla on suostumuksen peruuttamisen, vastustamisen, yhteydenottokiellon tai estolistauksen tila, tulee sulkea pois ennen aktivointia. Markkinointia koskevat vastustamiset, kieltäytymiset, suostumuksen peruuttamispyynnöt, tilauksen peruutuksen epäonnistumiset ja suoramarkkinointia koskevat valitukset tulee reitittää REG06:een kahden työpäivän kuluessa, ja estolistaus- tai valinta-asetustila tulee päivittää yhden työpäivän kuluessa validoinnista. Hallinnointikontrolleihin kuuluvat markkinoinnin tietosuojakontrollien tilan neljännesvuosittainen katselmointi REG12:ssa, aktiivisten markkinointitoimittajien vuosittainen katselmointi REG08:ssa, neljännesvuosittaiset mittarit puuttuvista suostumus- tai tietosuojaselosteyhteyksistä, seurantateknologioiden ja suostumustilan poikkeuksista, viivästyneistä täyttämiskohteista sekä REG12:een kirjatuista auditointihavainnoista tai korjaavista toimenpiteistä.