Automatyczne pozyskiwanie leadów dzięki Albacross czy Bazo. Jak robić to zgodnie z prawem?

Automatyczne pozyskiwanie leadów dzięki Albacross czy Bazo jest w pełni legalne, o ile śledzisz wyłącznie dane podmiotów gospodarczych, a skrypty tych narzędzi umieścisz za rzetelnym banerem cookies wymagającym aktywnej zgody użytkownika. Przetwarzanie zebranych w ten sposób informacji B2B opiera się na uzasadnionym interesie administratora, co oznacza, że możesz zgodnie z prawem wysłać spersonalizowaną ofertę na ogólny adres mailowy zidentyfikowanej firmy. To twarda zasada. Żadnych wyjątków i dróg na skróty dla działów sprzedaży.

Wdrażanie technologii do prospectingu to dzisiaj chleb powszedni dyrektorów handlowych. Problem polega na tym, że działy prawne często blokują te inicjatywy ze strachu przed RODO. Prawda jest zresztą absolutnie taka, że większość obaw wynika z braku wiedzy technicznej na temat tego, jak oprogramowanie mapuje ruch sieciowy. Odzierając ten proces z magii, mówimy o prostym odpytywaniu baz danych. Pamiętam nasze pierwsze wdrożenie skryptów śledzących w agencji cztery lata temu. Dział compliance zablokował nam publikację strony na cały tydzień, ponieważ prawnicy uznali, że będziemy śledzić fizycznych ludzi w ich domach. Musieliśmy im pokazać logi serwera. Dopiero wtedy zrozumieli, że widzimy tylko nazwy spółek z o.o. i ich numery NIP.

Jak w ogóle działa automatyczne pozyskiwanie leadów B2B przez śledzenie IP?

Aplikacje takie jak Albacross i Bazo nie instalują na komputerach użytkowników oprogramowania szpiegowskiego. Wykorzystują mechanizm znany od początku istnienia internetu, czyli zapytania Reverse DNS. Każde urządzenie podłączone do sieci ma swój adres IP. Kiedy pracownik korporacji wchodzi na twoją stronę internetową, zostawia w logach serwera ślad w postaci adresu IP zarejestrowanego na swojego pracodawcę. Zwykły Google Analytics agreguje te dane do postaci anonimowych wykresów. Narzędzia do generowania leadów robią coś odwrotnego.

Oprogramowanie B2B bierze ten adres IP i przepuszcza go przez ogromne, komercyjne bazy danych rejestrów firmowych. Sprawdza, do jakiego podmiotu gospodarczego przypisana jest dana pula adresów. To zjawisko wprost techniczne. I tu pojawia się odpowiedź na to, co widzi handlowiec w panelu.

• System pokazuje dokładną nazwę firmy (np. „Januszex Sp. z o.o.”), która spędziła cztery minuty na podstronie z cennikiem usług. Zestawia to z bazą KRS lub odpowiednikami europejskimi, wyciągając od razu wielkość przychodów, branżę i powiązane konta na LinkedIn, dając handlowcowi gotowy profil do ataku cold mailingowego. Zdecydowana większość tych danych pochodzi z publicznych, jawnych źródeł otwartych.
• Widzisz też ścieżkę kliknięć.

To brutalnie skuteczna metoda. Konwersja z zimnych maili wysyłanych do firm, które wczoraj czytały twojego bloga, jest często dwukrotnie wyższa niż w przypadku masowego wysyłania wiadomości w ciemno do zakupionej bazy z internetu.

Czy identyfikacja firm po adresach IP to naruszenie prywatności?

RODO chroni osoby fizyczne. Nie chroni spółek kapitałowych. Oznacza to, że nazwa spółki akcyjnej, jej ogólny numer telefonu do sekretariatu czy adres mailowy w formacie [email protected] nie stanowią danych osobowych podlegających ochronie z tytułu unijnego rozporządzenia. Możesz je zbierać, przetwarzać i profilować. Ale sprawa komplikuje się przy jednoosobowych działalnościach gospodarczych (JDG) oraz w sytuacjach, gdy początkujący przedsiębiorcy sprawdzają, czym są inkubatory przedsiębiorczości i jak mogą pomóc w starcie biznesu, działając pod ich osobowością prawną. W Polsce nazwa firmy osoby fizycznej często zawiera jej imię i nazwisko (np. „Usługi Informatyczne Jan Kowalski”). W takim przypadku wchodzimy już w reżim ochrony danych osobowych. Urząd Ochrony Danych Osobowych traktuje takie informacje z pełną surowością.

Narzędzia analityczne B2B mają wbudowane filtry odrzucające ruch z domowych dostawców internetu (ISP), takich jak Orange, Play czy Vectra. Skrypty te wiedzą, że jeśli ktoś wchodzi na stronę z neostrady, to identyfikacja konkretnej firmy graniczy z błędem w statystyce. Dlatego w panelu Bazo czy Albacross zobaczysz głównie średnie i duże przedsiębiorstwa dysponujące własną infrastrukturą sieciową.

Albacross czy Bazo? Które narzędzie wybrać do polskiego prospectingu?

Wybór oprogramowania zależy od tego, na jakim rynku operuje twój biznes. Automatyczne pozyskiwanie leadów dzięki Albacross czy Bazo przynosi skrajnie różne efekty w zależności od geografii. My testowaliśmy oba systemy równolegle na dwóch różnych stronach docelowych. Albacross to szwedzki gigant. Mają gigantyczną bazę mapowania IP dla firm z Europy Zachodniej, Wielkiej Brytanii i Stanów Zjednoczonych. Jeśli sprzedajesz usługi IT w modelu nearshoringowym do Niemiec, w ogóle nie zastanawiaj się nad lokalnymi rozwiązaniami.

Z kolei Bazo to polski produkt. Ich przewaga na naszym podwórku polega na doskonałym zmapowaniu polskich dostawców internetu i rodzimych firm. Tam, gdzie zagraniczne narzędzia pokazują tylko niezidentyfikowany ruch z Warszawy, Bazo potrafi precyzyjnie wskazać lokalną hurtownię materiałów budowlanych. Różnica w cenie również odgrywa rolę w budżetowaniu.

Funkcjonalność i cechy	Albacross	Bazo
Główny rynek skuteczności	Globalny (szczególnie USA i EU Zachodnia)	Lokalny (Polska i rynki ościenne)
Zgodność z RODO (Wbudowana)	Tak (serwery w EU)	Tak (polskie wsparcie prawne)
Integracje z CRM	HubSpot, Salesforce, Pipedrive (Natywne)	Zapier, webhooki, API, Livespace
Próg wejścia cenowego	Bardzo wysoki (rozliczenie w EUR)	Przystępny (pakiety dla polskich MŚP)

Z technicznego punktu widzenia oba narzędzia wpinasz w kod strony jako krótki skrypt JavaScript. Zajmuje to programiście dosłownie trzy minuty pracy. Prawdziwe problemy zaczynają się na etapie prawnym u prawników korporacyjnych.

Automatyczne pozyskiwanie leadów dzięki Albacross czy Bazo. Jak robić to zgodnie z prawem i RODO?

Główna fraza tego artykułu – automatyczne pozyskiwanie leadów dzięki Albacross czy Bazo i to, jak robić to zgodnie z prawem – wymaga zrozumienia dwóch różnych reżimów prawnych. Pierwszym jest wspomniane RODO (ochrona danych osobowych). Drugim jest Prawo Telekomunikacyjne i unijna dyrektywa ePrivacy (dotycząca ciasteczek i śledzenia terminali końcowych).

Błędem nowicjuszy jest myślenie, że jeśli przetwarzają tylko dane firm, to nie muszą pytać o zgodę na cookies. To bzdura. Dyrektywa ePrivacy chroni urządzenie końcowe użytkownika. Niezależnie od tego, czy z komputera korzysta prezes wielkiej korporacji, czy student, nie możesz bez jego aktywnej zgody zapisywać na jego dysku plików śledzących innych niż absolutnie techniczne (niezbędne do działania strony). Skrypty Albacross i Bazo służą celom marketingowym i analitycznym, idealnie wpisując się w 3P, 5P i inne zasady marketingu, które pomagają w precyzyjnym dotarciu do klienta.

Czy muszę mieć zgodę w banerze cookies na skrypty śledzące B2B?

Tak. Musisz wdrożyć mechanizm Consent Management Platform (CMP). Skrypt śledzący Bazo lub Albacross nie ma prawa załadować się w przeglądarce przed momentem kliknięcia przez użytkownika przycisku „Akceptuję wszystkie” lub ręcznego zaznaczenia zgody na analitykę i marketing. Jeśli wpinasz kod na sztywno w sekcję head strony bez blokady, łamiesz prawo i narażasz się na kary finansowe z urzędu komunikacji elektronicznej.

Skonfigurowanie blokady tagów to podstawa w Google Tag Manager. Ustawiasz regułę uruchamiania (trigger) na zdarzenie niestandardowe odpowiadające za zgodę w banerze cookies. Zrobiłem to ostatnio dla klienta z branży produkcyjnej. Zanim to wdrożyliśmy, mieli skrypty ładowane na żywioł. Kiedy włączyliśmy prawidłowy baner wymagający aktywnego działania, ich pula wykrywanych leadów spadła o prawie połowę. To cena za legalność. Ludzie coraz częściej odrzucają śledzenie.

Kiedy adres IP staje się daną osobową według UODO?

Słynny wyrok Trybunału Sprawiedliwości Unii Europejskiej w sprawie Patricka Breyera (C-582/14) ustalił twardą linię orzeczniczą. Dynamiczny adres IP staje się daną osobową w rękach operatora strony internetowej, jeśli ten podmiot dysponuje środkami prawnymi umożliwiającymi mu zidentyfikowanie użytkownika za pomocą dodatkowych informacji posiadanych przez dostawcę dostępu do internetu. W praktyce rynkowej B2B oznacza to, że powinieneś traktować adresy IP odwiedzających z dużą ostrożnością.

Właśnie dlatego dostawcy tacy jak Albacross pełnią rolę procesorów danych. Ty jesteś administratorem. Zanim puścisz ruch na stronie, musisz podpisać umowę powierzenia przetwarzania danych osobowych (Data Processing Agreement). U obu dostawców podpisujesz to zazwyczaj elektronicznie w panelu poprzez akceptację regulaminu, ale musisz o tym pamiętać i umieścić stosowny zapis w swoim rejestrze czynności przetwarzania.

Zimne maile do wygenerowanych kontaktów. Gdzie leży granica spamu?

Załóżmy, że system zadziałał. Widzisz, że firma „Logistyka Transport Sp. z o.o.” przeglądała twoją ofertę wdrożeń systemów magazynowych. Chcesz do nich napisać. Tutaj zderzamy się z ustawą o świadczeniu usług drogą elektroniczną (UŚUDE) oraz art. 172 Prawa Telekomunikacyjnego. Zakazują one wysyłania niezamówionej informacji handlowej bez uprzedniej zgody.

Jak więc wysłać maila, żeby nie złamać prawa?

• Nigdy nie wysyłaj od razu cennika i prezentacji z prośbą o zakup. Twój pierwszy mail musi być wyłącznie zapytaniem o zgodę na przesłanie oferty. To tak zwany cold mail badający grunt, który wymaga równie przemyślanej komunikacji co wiedza o tym, jak tworzyć i pisać skuteczny newsletter. Piszesz krótko, że analizujesz rynek logistyczny i masz materiał, który może ich zainteresować, pytając, czy możesz go przesłać.
• Kieruj wiadomości na adresy ogólne (biuro@, kontakt@). Wysyłanie maili w ciemno do konkretnych osób z zarządu, których adresy wygenerowałeś z wtyczek na LinkedIn (np. [email protected]), opierając się tylko na tym, że ktoś z ich firmy był na stronie, to proszenie się o gniew inspektora danych osobowych.
• Zawsze zamieszczaj stopkę z informacją o tym, skąd masz dane (źródła publiczne) i jak realizujesz obowiązek informacyjny z art. 14 RODO.
• Daj jasną, jedno kliknięcie wymagającą opcję wypisu (opt-out) z dalszej komunikacji.

Granica spamu leży w intencji i formie pierwszej wiadomości. Agresywna sprzedaż w pierwszym mailu to spam. Kulturalne zapytanie o osobę decyzyjną w sprawie systemów IT to standardowy, dopuszczalny prospecting B2B oparty na uzasadnionym interesie administratora (motyw 47 RODO wprost mówi, że marketing bezpośredni może stanowić uzasadniony interes prawny).

Omijanie pułapek prawnych. Co dokładnie musisz wpisać w polityce prywatności?

Twoja polityka prywatności na stronie internetowej wymaga natychmiastowej aktualizacji, jeśli decydujesz się na wdrożenie automatycznej identyfikacji odwiedzających – podobnie rygorystyczne zasady obowiązują, gdy interesuje Cię legalna afiliacja i umieszczanie linków śledzących. Kopiowanie cudzych polityk to proszenie się o problemy w razie audytu.

Musisz w niej jasno wskazać odbiorców danych. Jeśli używasz szwedzkiego narzędzia, napisz wprost: „Odbiorcą danych zbieranych za pośrednictwem strony internetowej jest firma Albacross Nordic AB z siedzibą w Sztokholmie, która świadczy dla nas usługi analityki ruchu B2B. Dane te mogą obejmować adresy IP, czas wizyty oraz odwiedzane podstrony”. To konkret. Użytkownik musi wiedzieć, gdzie trafiają pakiety z jego przeglądarki.

Określ cel przetwarzania. W tym wypadku to optymalizacja działań marketingowych i sprzedażowych B2B (podstawa prawna: prawnie uzasadniony interes, art. 6 ust. 1 lit. f RODO). Nie ukrywaj tego pod mętnymi sformułowaniami o „poprawie jakości usług”. Pisz wprost o pozyskiwaniu leadów biznesowych.

Zadbaj o określenie czasu retencji danych. Bazo i Albacross przechowują logi przez określony czas. Ty w swoim CRM również nie możesz trzymać wygenerowanych z nich leadów w nieskończoność. Ustal procedurę usuwania kontaktów firmowych, do których wysłałeś zapytanie ofertowe, a które nie odpowiedziały przez sześć miesięcy. Kasuj te wpisy z bazy. Martwe leady to tylko niepotrzebne ryzyko prawne.

Kary za nielegalny scraping i śledzenie. Kto w Polsce realnie za to zapłacił?

Urząd Ochrony Danych Osobowych rzadko uderza w małe firmy za same skrypty śledzące, ale nie ma litości dla podmiotów, które masowo budują bazy bez spełnienia obowiązku informacyjnego. Głośna sprawa spółki Bisnode (obecnie Dun & Bradstreet) pokazała, że nawet pozyskiwanie danych z jawnych i publicznych rejestrów (CEIDG, KRS) wymaga powiadomienia przedsiębiorców o tym fakcie.

Bisnode zebrało miliony rekordów i nie wysłało ludziom informacji o przetwarzaniu ich danych osobowych, bo uznało, że koszty wysyłki listów tradycyjnych będą zbyt wysokie. UODO nałożył na nich milionową karę. To sygnał dla rynku. Jeśli twój system wyłapie firmę Jana Kowalskiego ze strony, a twój handlowiec doda go do CRM i zacznie profilować bez wysłania mu klauzuli informacyjnej w rozsądnym terminie (najpóźniej do miesiąca od pozyskania danych), łamiesz art. 14 RODO.

Dlatego proces musi być zautomatyzowany po obu stronach. Skrypt wyłapuje firmę. Handlowiec wysyła pierwszego maila kontaktowego, a na samym dole tej wiadomości znajduje się pełen, prawniczy tekst o tym, kto jest administratorem, skąd wzięto dane i jakie prawa przysługują odbiorcy. To tarcza, która chroni budżet twojej firmy przed roszczeniami.

Więc wiesz już wszystko. Masz przed sobą wdrożenie skryptu na serwer. Odpal swój system CMS, dodaj tag menedżera u góry kodu, zepnij go z prawnym banerem i skonfiguruj blokadę ciasteczek śledzących przed wyrażeniem zgody. Uczul dział handlowy na to, by przestał wysyłać agresywne oferty w ciemno, a zaczął wysyłać uprzejme pytania o zgodę na kontakt do zidentyfikowanych spółek. Czekanie na przypływ klientów z organicznych wyszukiwań z założonymi rękami to marnowanie czasu i budżetu działu sprzedaży. Zrób to dzisiaj.

---

Często Zadawane Pytania (FAQ)

• Czy narzędzia Bazo i Albacross są w 100% zgodne z prawem europejskim?
  Tak, obie platformy działają zgodnie z prawem europejskim i posiadają wdrożone mechanizmy ochrony danych, ale to po stronie właściciela strony leży obowiązek wdrożenia banera cookies i uzyskania zgody na uruchomienie ich skryptów.
• Czy mogę śledzić osoby fizyczne za pomocą tych narzędzi?
  Nie. Oprogramowanie to odrzuca ruch domowy i skupia się na identyfikacji firm po adresach IP. Próba profilowania konkretnych osób fizycznych bez ich wyraźnej zgody łamie przepisy RODO.
• Co grozi za brak banera cookies blokującego skrypty do leadów?
  Brak wdrożenia Consent Management Platform (CMP) stanowi naruszenie Prawa Telekomunikacyjnego. Grożą za to kary nakładane przez Prezesa Urzędu Komunikacji Elektronicznej (UKE), niezależnie od sankcji z UODO.
• Czy mogę wysłać cennik na maila zidentyfikowanej firmy?
  Nie w pierwszej wiadomości. Zgodnie z UŚUDE, pierwsza wiadomość (cold mail) musi być wyłącznie zapytaniem o zgodę na przesłanie informacji handlowej.
• Ile kosztuje wdrożenie takich narzędzi?
  Bazo oferuje pakiety dostosowane do polskich MŚP (często startujące od kilkuset złotych miesięcznie), podczas gdy Albacross celuje w rynek Enterprise, a jego ceny są zazwyczaj kilkukrotnie wyższe i rozliczane w walutach obcych.
• Gdzie muszę zgłosić korzystanie z oprogramowania do prospectingu?
  Nie musisz tego zgłaszać do urzędów, ale masz absolutny obowiązek zaktualizowania swojej polityki prywatności na stronie internetowej oraz wpisania tego procesu do wewnętrznego rejestru czynności przetwarzania (RCP).

Bibliografia

1. Urząd Ochrony Danych Osobowych – https://uodo.gov.pl
2. Urząd Komunikacji Elektronicznej – https://uke.gov.pl
3. Ministerstwo Cyfryzacji – https://www.gov.pl/web/cyfryzacja
4. Trybunał Sprawiedliwości Unii Europejskiej (InfoCuria) – https://curia.europa.eu