Gestione del consenso utente GDPR

1) Obiettivo e area

Crea un unico processo di gestione del consenso e delle preferenze di comunicazione compatibile con GDPR e ePrivacy applicabile a tutte le superfici: web, applicazioni mobili/SDK, e-mail/SMS/push, landing affiliati, striam/social media, tag vendor.

2) Principi di base

Espressione libera, specifica, informata e senza ambiguità di volontà (senza stampa/condizionamento di accesso).
Analisi, personalizzazione, marketing, geolocalizzazione, test A/B, tag di terze parti - singole nebbler.
La recensione è semplice quanto il consenso. Niente «chiacchiere» da rifiutare.
Nessun pattern oscuro. Niente distorsioni visive/locker.
È provabile. Fogli, versioni di testi, screenshot UI, hash policy.
Minimizzazione e privacy predefinite.

3) Basi legali (manuale breve)

Art. 6 (1) a) Consenso: marketing, personalizzazione, analisi con identificatori, cookie/SDK non condizionati.
Art. 6 1) b) Contratto: operazioni necessarie per fornire il servizio (cookie strettamente necessari).
Art. 6 (1) f) Interesse legittimo (LIA): misurazioni limitate delle prestazioni con forti garanzie e diritto di obiezione.
Art. 8 Bambini: L'età per il consenso del bambino è la soglia nazionale; per i minorenni, divieto di marketing.
Art. 9 Categorie speciali: biometria/salute - fuori marketing; basi legali separate/proibizioni.
ePrivacy Archiviazione/accesso al dispositivo (cookies/storage locale/SDK) - solo «strettamente necessari» senza il consenso; Gli altri sono consensuali.

4) Ruoli e RACI

DPO/Head of Compliance - Politica, DPIA, controllo delle denunce/rischi. (A)

I testi legali, la localizzazione dei requisiti, la matrice di base. (R)

Product/UX - banner/preference center, anti-dark-patterns. (R)

Engineering/CMP Owner - Integrazioni CMP/SDK, API, versione, GPC/DNT. (R)

CRM/Marketing - segmentazione per flag di consenso, supplence. (R)

Data/Analytics - Modalità di identificazione, restrizioni di tracking. (C)

InfoSec - crittografia, chiavi, RBAC/ABAC ai reparti di consenso. (C)

Test Internal - Campione di prove, CAPA. (C)

5) Tassonomia di consensi e preferenze

Funzionali (senza consenso): rigorosamente necessari (autenticazione, cestino, bilanciamento, protezione contro il frodo).

1. Analisi (ID/cross-device)

2. Personalizzazione dei contenuti/giochi

3. Marketing (e-mail/SMS/push/in-arr/telematica) - canali separati

4. Remarketing/Ads (inclusi pixel/SDK di terze parti)

5. Geolocalizzazione non corretta (città/regione)

6. Test A/B (se utilizza ID)

7. Tag/pixel associati

6) Modelli UX CMP (Web/Mobile)

Primo livello (banner): obiettivo breve + Accetta tutto, Rifiuta tutto, Personalizza è la stessa visibilità.
Secondo livello (pannello): nebbler per categoria e pagine affiancate Più (venditori, obiettivi, scadenze).
Centro preferenziale (account): canali di marketing (e-mail/SMS/push/telefono) - separati; il link «Scartare tutto».
Recensione/modifica: in 1-2 clic da qualsiasi schermo; non cambia l'accesso alle funzioni obbligatorie.
Disponibilità: contrasto, tastiera, screen-reader, locali.
GPC/» Do Not Track» - Il segnale globale viene interpretato come rifiutare tutto tranne quello che è strettamente necessario.
SDK mobile: in-app CMP + autorizzazioni di sistema (OS prompts) → sincronizzazione con il profilo server.

7) IAB TCF 2. 2 (ossatura di implementazione)

Supporto di una serie di obiettivi/caratteristiche, elenco dei venditori, string TC sul lato client.
Salvare una stringa TC, una versione, un foglio di vendita mapping sulle nostre bandiere.
Blocca tag/SDK prima di ricevere TC (prior consent).
Rispetto dello status di Deny All e dei permessi dei venditori.
Per i mercati non-TSPS è un CMP «custome» con lo stesso UX e la rivista.

8) Minori e vulnerabili

Se <soglia di mercato: nessun canale di marketing o personalizzazione l'analista è solo necessario/PII-free.
Verifica l'età prima del download SDK/pixel.
Le bandiere SE/RG - In caso di auto-esclusione - marketing forzato supplence indipendentemente dal consenso.

9) Privacy, conservazione e reticenza

Modello di minimizzazione: memorizza i fatti di azione (accept/deny/withdraw), le versioni di testi, la stringa TC/hash, non i cookie crudi.
Ritenzione: per ora è in vigore obiettivo/relazione + tempi di mercato (solitamente 24 mes senza attività di marketing).
Accesso: RBAC, registri invariati (WORM), ora UTC.
Rimozione: revoca → stop-processing immediato; cron pulisce la cache id/SDK inutilizzata.

10) Dati e prove (modello minimo)

consent_id, user_id/device_id, market, locale,
ui_variant_id, policy_version, tcf_string, vendors[],
purpose_id, lawful_basis{consent    contract    legit_interest},
status{accept    deny    withdraw}, source{web    app    email    sdk    api},
captured_at_utc, ip_hash, ua_hash, gpc{true    false},
evidence{banner_screenshot_id, copy_hash}, expires_at

Artefatti: hash del testo della politica e del banner, screenshot della variante, elenco dei tag attivi/SDK al momento del consenso.
Connessioni: 'consent _ id' eventi CRM/Ads per la tracciabilità della superpressione.

11) API/SDK e blocco dei tag

Edge/CMP-SDK: prima di scegliere, carichiamo solo script rigorosamente necessari.

• `GET /consents? user_id=...`
• `POST /consents` (create/withdraw)
• «POST/marketing/preferences» (bandiere di canale)
• `POST /gpc/signal`
• Tag Manager Guards: regole "fire if consent. purpose. marketing == true».
• E-mail/SMS - Solo per "marketing. email = = true 'e «doppio opt-in» (se necessario dal mercato).

12) Compatibilità con CRM/Ads/Affiliati

Avanzation thread - Revoca l'aggiornamento di supplence in CRM, Ads, affiliati (batch + near-real-time).
UTM/postbec - Trasmettere solo i tecnici; il consenso non viene «convertito» ai partner senza un quadro legale separato.
Gli affiliati sono obbligati a visualizzare lo stesso CMR/Disclaier; Senza, i lidi non sono qualificati.

13) Processi e valigette

Recensione tramite e-mail: in ogni e-mail «Unsubscribe all» e «Personalizza». Dimissione istantanea, conferma sulla pagina/lettera.

DSAR/Conversioni: mostra i flag di consenso correnti, il registro delle azioni; esportazione senza PII di terzi

Nuovo obiettivo: nuova richiesta di consenso (non «retroattiva»).
Prova A/B - Modifica dell'UI CMP - versione/screen in manufatti, controllo sulla mancanza di pattern scuri.
Incidenti: scaricamento errato del tag senza consenso, takedown immediato, controllo dei reparti, CAPE.

14) KPI/KRI e dashboard

Opt-in Rate per obiettivi/mercati/dispositivi

Withdraw/Change Rate e la mediana Time-to-Withdraw-Apply

GPC Onore Rate (percentuale di segnali GPC correttamente elaborati)

Tag Firing Violations (avviati in assenza di consenso)

Integrity di Supplence (marketing di richiamo = 0)

Complaint Rate и Regulatory Findings

Auditability Score (% record con pacchetto completo di manufatti)

15) Assegno fogli

Prima di avviare

• Matrice di basi e obiettivi concordata (Legale/DPO).
• CMP supporta Rifiuta tutto, GPC, locali.
• Tag Manager blocca tutti i tag non necessari fino al consenso.
• Centro preferenziale con canali (e-mail/SMS/push/telefono).
• Collegamento con CRM/Ads/affiliati per supplence.
• Versioni di testo/screenshot in WORM.

In operazioni

• Monitoraggio delle violazioni delle regole firing e GPC.
• DSAR risponde con le bandiere e il registro correnti.
• Denunce e incidenti - SLA e CAPA.

Controllo/miglioramenti

• Campionamenti trimestrali di record completi.
• A/B-ringhiera CMP per pattern scuri.
• Aggiornamento di locali/testi legali.

16) Modelli (inserimento rapido)

17) Struttura tecnica ed eventi

События: `consent_banner_shown`, `consent_given/denied/withdrawn`, `gpc_detected`, `tag_fired_blocked`, `marketing_unsubscribed`, `dsar_fulfilled`.
Ficci: lettura automatica GPC; Gate SDK; server-side consent cache; convalida integrity di Tag Manager esportazione «PII-free» per gli analisti.
Test CI/CD: linter di blocco dei tag, migrazione dei diagrammi di versione, screen test CMP.

18) Rischi e prevenzione

Blocco dei tag incompleto. → Regole in Tag Manager «deny by default».
Dipendenza dai venditori.
Pattern scuri, invecchiamento e controllo della parità dei pulsanti.
Screenshot, testi hash, riviste WORM.
Stato non corrispondente in CRM/Ads. → Servizio unico supplence + compressione giornaliera.

19) Piano di implementazione di 30 giorni

Settimana 1

1. Approva la matrice di obiettivi/basi e i testi (locali).
2. Seleziona/configura CMP (TDF 2). 2 + obiettivi di castoma).
3. Specializzare il modello di dati e artefatti, includere WORM.

Settimana 2

4. Integrare CMP/SDK, Tag Manager «deny by default», GPC.
5. Costruisci un centro preferenziale e un'API supplence per CRM/Ads.
6. Preparare le varianti A/B del banner, la schermata.

Settimana 3

7. Pilota 10-20% traffico: misura Opt-in/Withdraw/GPC Onore.
8. Retro per lamentele/incidenti; Modifica UX/testi.
9. Collega gli affiliati a un livello CMP obbligatorio.

Settimana 4

10. Rilascio completo; includere il dashboard KPI/KRI e gli alert.
11. Piano di revisione trimestrale e CAPE.
12. Piano v1. 1: console cache server, rapporti automatici sui mercati.

20) Partizioni correlate

Controllo dell'età e filtri dell'età

Standard pubblicitari e divieti/Disclaim e veridicità pubblicitaria

Trasparenza dei termini di bonifica

Compagine di affiliati e partner

Localizzazione dei dati per giurisdizione

Gioco responsabile e limiti/Auto-esclusione/Reality Checks

Report regolatori e formati di dati/Verifiche interne ed esterne