Website visitor deanonymization is het achterhalen van wie er achter de anonieme bezoeken aan je website zit: het bedrijf waar de bezoeker werkt of, met agressievere tools, de persoon zelf. Het maakt van een aantal sessies in je analytics namen waar een salesteam iets mee kan.

Die twee versies worden onder één label verkocht, en dat zou niet moeten. Weten dat een groothandel in Tilburg deze week twee keer je prijspagina las, is een feit over een bedrijf. Weten dat Pieter van die groothandel dat deed, is een persoonsgegeven over Pieter, verzameld zonder het hem te vragen. In Europa bepaalt dat verschil of je de informatie überhaupt mag gebruiken.

De setups die wij komen repareren, gaan meestal op een van twee manieren mis. Of een team zette een tool op persoonsniveau aan die voor Amerikaans verkeer is gebouwd, achter een cookiebanner die nooit de juiste vraag stelde. Of het kocht een verstandige tool op bedrijfsniveau en liet de lijst met bezoekende bedrijven daarna staan in een dashboard dat geen rep opent.

TL;DR

• Er zijn twee niveaus. Identificatie op bedrijfsniveau benoemt het bedrijf achter een bezoek, met IP-data, een first-party script en enrichment. Identificatie op persoonsniveau zegt de mens zelf te benoemen, met identity graphs die cookies, apparaten en gehashte e-mailadressen over veel sites heen aan elkaar koppelen. Behandel ze als aparte producten met aparte risico's.

• Elke gepubliceerde match rate is een claim van een leverancier, gemeten op het verkeer van iemand anders. Controleer met de hand een steekproef van geïdentificeerde bezoeken op je eigen site voordat je iets rond de tool plant.

• Voor identificatie op persoonsniveau in de EU stapelen drie regels zich op. De ePrivacy-richtlijn vereist toestemming voordat een script iets op het apparaat van de bezoeker opslaat of uitleest. De Autoriteit Persoonsgegevens (AP) zegt dat tracking over sites heen waarmee je profielen van mensen opstelt, ondubbelzinnige toestemming nodig heeft. En artikel 13 van dezelfde richtlijn vereist voorafgaande toestemming voor marketingmail aan personen.

• Je cookiebanner bepaalt hoe groot je lijst wordt. Volgens de EDPB leveren cookiewalls en scrollen geen geldige toestemming op, en de AP wil alle keuzes op één laag, geen vinkjes die automatisch aanstaan en toestemming intrekken die net zo makkelijk gaat als toestemming geven. Je tool ziet alleen bezoekers die akkoord gaven.

• Laat sales elk geïdentificeerd bedrijf indelen als vandaag oppakken, in de gaten houden of negeren, en het naar degene sturen die de relatie beheert (customer success bij klanten, de AE bij lopende deals, een SDR bij nieuwe accounts). Schrijf over het probleem waar de bekeken pagina's naar wijzen, en nooit over het bezoek zelf.

• Een bezoek is één signaal tussen andere. Het doet het meeste goed als het een accountscore en een account-based play voedt. Een bezoek dat in zijn eentje een e-mail afvuurt, haalt er veel minder uit.

Website visitor deanonymization op bedrijfsniveau en op persoonsniveau zijn verschillende producten

Identificatie op bedrijfsniveau beantwoordt één vraag: bij welke organisatie hoort dit bezoek? De oudste manier om die vraag te beantwoorden is reverse IP lookup, en dat werkt als de bezoeker op een kantoornetwerk zit. Betere tools voegen een first-party script toe dat een browser over meerdere sessies volgt, plus data enrichment die van een domein een branche, een aantal medewerkers en een lijst met mensen in de rollen waaraan je verkoopt maakt. Wat eruit komt, is een account en geen mens.

Misschien heb je al een basisversie in huis. De website visits-tool van HubSpot gebruikt de trackingcode om bij elke paginaweergave het IP-adres te detecteren, en toont openbare informatie over het bedrijf dat aan dat adres gekoppeld is. HubSpot zegt er op dezelfde pagina bij dat kleinere bedrijven en individuen soms geen eigen IP-adres hebben, en dan als hun internetprovider verschijnen.

Identificatie op persoonsniveau probeert een naam, een e-mailadres en een LinkedIn-profiel aan het bezoek te hangen. Niets op je eigen site kan dat bij een onbekende, dus deze tools halen data van buiten binnen. Ze gebruiken identity graphs, gebouwd door cookies, apparaat-ID's en gehashte e-mailadressen over veel websites te matchen. Zo kan een browser die op je prijspagina opduikt, gekoppeld worden aan een profiel dat iemand anders heeft samengesteld. Dat is identity resolution, uitgevoerd door een derde partij, over mensen die je nooit hebben verteld wie ze waren.

De twee niveaus verschillen in wat een fout kost. Een verkeerde bedrijfsmatch kost een rep tien minuten onderzoek. Een verkeerde persoonsmatch betekent dat je een onbekende mailt over een bezoek dat die nooit heeft gedaan, of de juiste persoon mailt over iets waarvan die geen idee had dat jij het had gezien. Ze verschillen ook in juridische basis, en daarover gaat het volgende deel. Een setup op bedrijfsniveau kan nog steeds persoonsgegevens raken (het IP-adres van een consultant met een eenmanszaak wijst direct naar een persoon), maar een setup op persoonsniveau is er volledig op gebouwd.

Beide soorten leveranciers publiceren match rates, en allebei meten ze die op verkeer dat niet van jou is, geteld op manieren die jij niet koos. De nuttige test kost een middag. Laat de tool een paar weken op je eigen site draaien, kies willekeurig twintig geïdentificeerde bezoeken en controleer ze een voor een met de hand. Bestaat het bedrijf, en klopt de naam? Zou je er ooit aan verkopen? En bij tools op persoonsniveau: werkt die persoon er nog, en is het aannemelijk dat die je site las? Hoe je de rate zelf telt, lees je bij match rate.

Geen van beide niveaus ziet alles, en dat is ook niet de bedoeling. Kopers vergelijken wekenlang opties voordat ze een formulier invullen, en veel daarvan gebeurt in de dark funnel: reviewsites, gesprekken met vakgenoten, een link die naar een collega wordt doorgestuurd. Deanonymization haalt het deel van dat onderzoek terug dat op je eigen pagina's plaatsvindt. Omdat je het op je eigen terrein verzamelt, telt het als first-party data, en die wordt elk jaar meer waard nu data die je van anderen koopt steeds lastiger te gebruiken is.

Individuele bezoekers benoemen: wat Europese toezichthouders echt zeggen

We werken vooral met bedrijven die in Europa verkopen, dus dit is het gesprek dat we het vaakst voeren voordat er iets wordt aangezet. Hieronder staat wat de teksten van de toezichthouders zelf zeggen. Hoe dat voor jouw site uitpakt, beslist degene die in je bedrijf privacy beheert.

De eerste regel geldt al voordat er iets wordt geïdentificeerd. Artikel 5, lid 3, van de ePrivacy-richtlijn staat het opslaan van informatie op het apparaat van een bezoeker, of het uitlezen van informatie die daar al staat, alleen toe als de bezoeker toestemming heeft gegeven na duidelijke en volledige informatie. De uitzondering geldt voor wat strikt noodzakelijk is om de dienst te leveren waar de bezoeker om vroeg, en een script dat diegene voor je salesteam identificeert, valt daar niet onder.

Tools op persoonsniveau voegen daar profilering aan toe. De pagina van de AP over tracking cookies beschrijft cookies die mensen over verschillende websites volgen om juist die persoon te benaderen. Volgens de AP kan een organisatie daarmee profielen van mensen opstellen, worden er persoonsgegevens mee verwerkt en is ondubbelzinnige toestemming de grondslag. Een identity graph die over sites heen werkt, draait op hetzelfde principe. Een setup op persoonsniveau heeft dus toestemming nodig voor het script en een rechtmatige grondslag om het profiel te gebruiken, en de persoon moet van jou horen waar de gegevens vandaan komen. Die plicht behandelen we bij data enrichment.

Dan de e-mail. Artikel 13, lid 1, van dezelfde richtlijn staat e-mail voor direct marketing alleen toe aan mensen die vooraf toestemming hebben gegeven, met een smalle uitzondering voor je eigen klanten. Artikel 13, lid 5, zegt dat die toestemmingsregels gelden voor natuurlijke personen en laat de bescherming van andere abonnees, zoals bedrijven, over aan nationale wetgeving. Daarom gaan EU-landen verschillend om met zakelijke adressen. Wat geen enkele lezing toestaat, is een bezoek aan je prijspagina behandelen als opt-in.

Naast elkaar gelegd laten die teksten weinig ruimte voor de flow waar veel tools op persoonsniveau omheen zijn ontworpen: een bezoeker krijgt een naam, en een uur later mailt een sequence hem. Voor Europees verkeer houden wij identificatie op bedrijfsniveau. Biedt een tool toch een persoonsnaam aan, dan wordt die een startpunt voor onderzoek naar het account. Een contact om te mailen is het niet. Amerikaanse wetten op staatsniveau, zoals de CCPA in Californië, zijn anders opgebouwd. De standaardinstellingen van een leverancier voor Amerikaans verkeer zeggen dus niets over wat er mag bij een bezoeker in Utrecht.

Je cookiebanner bepaalt hoeveel bezoekers je ziet

Zodra het identificatiescript op toestemming wacht, wordt de banner de poort naar je hele bezoekerslijst. Dan is het verleidelijk om de banner te ontwerpen op een ja. Toezichthouders zijn duidelijk over waar dat misgaat.

De richtsnoeren over toestemming van de EDPB geven twee voorbeelden die hier tellen. Blokkeer je de inhoud van een site tot de bezoeker op "Cookies accepteren" klikt (een cookiewall), dan is de toestemming niet vrij gegeven. En scrollen of swipen door een pagina telt in geen enkel geval als de duidelijke, actieve handeling die toestemming vereist.

De pagina van de AP over heldere cookiebanners noemt negen vuistregels. Deze raken een tool voor bezoekersidentificatie het meest direct:

• Zet vinkjes of schuifjes niet automatisch aan, op de eerste laag en ook niet op de lagen daarna.

• Zet verschillende keuzes op één laag. Verberg bepaalde keuzes niet, en maak ze niet minder zichtbaar.

• Laat iemand niet extra klikken om toestemming te weigeren.

• Maak toestemming intrekken net zo makkelijk als toestemming geven.

• Verwar toestemming niet met gerechtvaardigd belang.

In haar uitleg over tracking cookies vraagt de AP ook om de partijen die via je website tracking cookies plaatsen bij naam te noemen. In de praktijk staat je leverancier voor bezoekersidentificatie dus met naam in de banner, met een doel dat een bezoeker begrijpt, zoals "herkennen welke bedrijven onze site bezoeken, zodat sales ze kan opvolgen".

Reken erop dat je een deel van je verkeer ziet, en een scheef deel. Bezoekers die weigeren, komen nooit bij de tool aan, dus de bedrijven die je ziet, zijn de bedrijven waarvan de mensen op ja klikten. Dat is nog een reden om de tool te beoordelen op de vraag of de accounts die hij vindt de moeite waard zijn. Hoeveel het er zijn, zegt veel minder.

Wat sales moet doen met een gedeanonimiseerd bedrijfsbezoek

Een bezoekend bedrijf is een vraag en nog geen lead. De eerste taak is bepalen op welke van drie stapels het hoort.

1. Vandaag oppakken. Het bedrijf past bij je ICP, en het bezoek raakte pagina's die dicht bij een beslissing liggen: prijzen, integraties, security, een vergelijking met een concurrent of een klantverhaal uit hun sector. Deze gaan dezelfde dag naar een persoon.

2. In de gaten houden. Het bedrijf past, maar het bezoek was één blogpost of één pagina. Het gaat naar account scoring, waar herhaalde bezoeken, meer mensen van hetzelfde bedrijf en externe intentsignalen kunnen optellen tot het account kwalificeert als marketing qualified account.

3. Negeren. Een slechte fit, concurrenten, bureaus, studenten, internetproviders en iedereen die alleen je vacaturepagina las. Houd ze in je rapportage en uit de dag van een rep.

Wie een account uit "vandaag oppakken" krijgt, hangt af van de relatie. Wiens beurt het is, speelt geen rol. Een klant die je prijs- of contractpagina's leest, gaat naar customer success, want dat kan op uitbreiding wijzen, of op een klant die je vergelijkt met iemand die goedkoper is. Een bedrijf met een lopende deal gaat naar de AE, als deal intelligence: duikt hun financeteam ineens op de prijspagina op, dan ligt de deal inmiddels ook bij een andere afdeling op tafel. Een nieuw account gaat naar de SDR of de eigenaar van het territory. Dat alles werkt alleen als het bezoek aan het juiste bedrijfsrecord wordt gekoppeld, en dat is dezelfde logica als lead-to-account matching bij ingevulde formulieren.

Dan het bericht, en de regel waar wij ons aan houden is simpel: noem het bezoek niet. "Ik zag dat je op onze prijspagina was" vertelt de koper dat hij in de gaten werd gehouden, en in Europa suggereert het ook dat je een persoon hebt gevolgd die je niet mocht volgen. Gebruik de pagina's in plaats daarvan als hint over het probleem. Bracht een groothandel met 200 medewerkers in Eindhoven tijd door op je pagina over HubSpot koppelen aan een ERP, schrijf dan hun hoofd sales operations over dat integratieprobleem, en een of twee anderen in de rollen die enrichment vindt. Het bezoek is je reden om deze week te schrijven. In de e-mail hoeft het niet te staan.

Timing weegt zwaarder dan afwerking. De interesse achter een bezoek zakt binnen een paar dagen weg, dus de gewoontes rond speed to lead die je bij een ingevuld formulier toepast, gelden hier ook, met een melding die de eigenaar nog dezelfde dag bereikt. Dat is de kern van inbound-led outbound: doordachte outreach naar accounts die interesse toonden, in plaats van een koude sequence naar een lijst die je bij elkaar gokte. Onze website visitor tracking-workflow beschrijft de build, en de voorbeelden van websitebezoeker-workflows laten de routes zien die een geïdentificeerd account kan nemen voordat een rep het oppakt.

Daarna gaat het meestal mis in de opvolging. Een team identificeert honderden bedrijven per maand, zet ze allemaal in een sequence en verbrandt zijn domein op accounts die nooit zouden passen. Of het ziet op maandag een perfect account op de prijspagina, en niemand belt tot de week erna. Eén sterk bezoek van het juiste bedrijf, goed opgevolgd, is meer waard dan een vol dashboard. Zie het als een van je koopsignalen, naast de andere, en dan past het vanzelf in signal-based selling.

Samenvatting

Deanonymization klinkt als één vaardigheid en blijkt er twee te zijn. Het bedrijf benoemen is nuttig, redelijk nauwkeurig bij verkeer vanaf kantoornetwerken en in Europa werkbaar als je toestemming goed geregeld is. De persoon benoemen hangt af van profielen over sites heen, die EU-toezichthouders zien als persoonsgegevens waarvoor toestemming nodig is, en van e-mailregels waarin een paginaweergave niet als toestemming telt.

De realistische versie voor een Europees B2B-team is dus bescheiden, en toch waardevol. Een cookiebanner die de regels van de toezichthouders volgt, een tool op bedrijfsniveau die je met de hand op je eigen verkeer hebt gecontroleerd, een indeling in oppakken, in de gaten houden en negeren, en een overdracht op dezelfde dag aan wie het account beheert. Het bezoek staat dan naast ingevulde formulieren, intent data en lopende deals in één accountoverzicht waar je revenueteam vanuit werkt, en daar doet het het meeste goed.

Nebor bouwt dit voor klanten die in Europa verkopen, op bedrijfsniveau: de categorie in de banner, het script dat op toestemming wacht, de regels voor oppakken, in de gaten houden en negeren, en de meldingen aan accounteigenaren, allemaal in een CRM en een Clay-workspace die van de klant zijn. Elke regel staat in gewone taal op papier, zodat het team van de klant later zelf kan bepalen welke pagina's tellen en wie over een bezoek hoort, zonder ons te hoeven bellen.

Veelgestelde vragen