Perché il Tracciamento HubSpot ha Bisogno di un Vero Segnale di Consenso

HubSpot deposita un certo numero di cookie di prima parte sul dispositivo di un visitatore non appena lo script di tracciamento (il frammento JavaScript di HubSpot, tipicamente hs-scripts.com/{hub_id}.js) viene eseguito. I più rilevanti sono __hstc, hubspotutk e __hssc, che insieme identificano il visitatore tra le sessioni, collegano gli invii di form alla cronologia di navigazione anonima e alimentano i modelli di lead scoring nel CRM. Ai sensi del GDPR e della Direttiva ePrivacy, tutti e tre sono cookie non essenziali che richiedono un consenso preventivo liberamente espresso, specifico, informato e inequivocabile. Caricare il frammento nell'intestazione del documento — che è il pattern di integrazione predefinito di HubSpot — inserisce quei cookie prima che al visitatore venga chiesto qualsiasi cosa.

Le conseguenze non sono teoriche. Le autorità di protezione dei dati in Francia, Italia e Spagna hanno tutte emesso provvedimenti esecutivi negli ultimi due anni contro organizzazioni i cui stack di marketing impostano cookie di tracciamento prima del consenso. Le sanzioni sono variate da penali a cinque cifre per i piccoli editori a penali multimilionarie in euro per le grandi imprese. Il banner cookie nativo di HubSpot esiste, ma è intenzionalmente leggero e non blocca, di per sé, l'esecuzione del frammento. La maggior parte dei revisori di conformità lo tratta come un livello di notifica piuttosto che un livello di controllo.

Cosa Traccia Effettivamente HubSpot

Prima di decidere come limitare HubSpot, è utile essere precisi sulle categorie di elaborazione in gioco. La superficie di tracciamento di HubSpot si divide in quattro gruppi sovrapposti, ognuno con le proprie implicazioni di consenso.

Analisi comportamentale

Gli eventi di visualizzazione pagina, clic, scorrimento e durata della sessione vengono raccolti automaticamente una volta che il codice di tracciamento si carica. Questi eventi costruiscono la cronologia del visitatore che vedi all'interno dei record di contatto di HubSpot e sono la base di ogni regola di lead scoring o workflow. Dal punto di vista di un regolatore, si tratta di un tracciamento analitico semplice che richiede consenso opt-in nell'EU e nell'EEA. Nel UK, le linee guida dell'ICO del 2023 lo trattano in modo identico.

Form e chat

I form HubSpot e il widget di chat HubSpot (ex integrazione Drift) possono essere configurati per caricarsi indipendentemente dallo script di tracciamento principale. Gli invii di form sono, nella maggior parte delle analisi legali, considerati un'attività di elaborazione separata con la propria base giuridica — tipicamente l'esecuzione del contratto o l'interesse legittimo. La chat che registra trascrizioni su un server di terze parti, tuttavia, richiede generalmente il consenso per la registrazione stessa.

Collegamento dell'identità cross-domain

Se usi lo stesso portale HubSpot su più domini, il frammento tenterà di impostare e leggere cookie in modo da collegare i visitatori attraverso quelle proprietà. Ciò rientra in ciò che l'EDPB chiama "tracciamento" in senso stretto ed è la categoria ad alto rischio. È anche quella con maggiore probabilità di essere segnalata durante una DPIA.

Integrazioni marketing

HubSpot può inviare eventi a Google Ads, Meta, LinkedIn e altre reti pubblicitarie tramite le sue integrazioni. Ognuno di quei trasferimenti in avanti porta il proprio requisito di consenso e, nell'EU, la propria valutazione del trasferimento di dati.

Banner HubSpot Nativo vs. CMP di Terze Parti

HubSpot include un banner di consenso cookie integrato che puoi abilitare da Impostazioni > Privacy & Consenso. Mostrerà un avviso configurabile, registrerà un record di consenso rispetto al contatto e rispetterà un singolo opt-out per le analisi. Per le organizzazioni molto piccole che operano in giurisdizioni a basso rischio, può essere sufficiente. Per chiunque sia seriamente interessato alla conformità — o per chiunque gestisca pubblicità consapevole della modalità di consenso — non lo è.

I motivi per passare a un CMP di terze parti sono pratici:

• Categorie granulari. Il banner nativo non separa i cookie strettamente necessari, funzionali, analitici e di marketing in toggle distinti, che è la struttura che i regolatori si aspettano.
• Supporto IAB TCF e GPP. Se partecipi alla pubblicità programmatica, hai bisogno di un CMP certificato Google che emetta una stringa TC valida. Il banner HubSpot nativo non fa questo.
• Consent Mode v2. Google ora richiede segnali di consenso consegnati in formato v2 per il traffico EEA. Un CMP dedicato collega questo end-to-end, inclusa la configurazione di default-deny.
• Multilingua e accessibilità. La maggior parte dei CMP viene fornita con 30+ pacchetti linguistici e impostazioni predefinite conformi a WCAG. Il banner integrato di HubSpot è più limitato.
• Registrazione di livello audit. Un CMP dedicato registra ogni decisione di consenso con timestamp, versione del banner e scelta — le prove che i regolatori richiedono nelle indagini.

Integrazione Passo dopo Passo con un CMP di Terze Parti

Il pattern di integrazione che funziona in modo affidabile è mantenere il frammento HubSpot sulla pagina ma impedire che venga eseguito fino a quando non viene registrata una decisione di consenso. Di seguito è riportato l'approccio canonico, scritto genericamente in modo da applicarsi a qualsiasi CMP moderno, incluso FlexyConsent.

1. Rimuovere il frammento predefinito dall'intestazione del documento

Nel tuo template di sito, elimina il tag <script> inline che carica hs-scripts.com/{hub_id}.js. Sostituiscilo con un segnaposto che il tuo CMP può attivare in seguito, tipicamente impostando l'attributo type su text/plain e aggiungendo un attributo data di categoria come data-category="marketing".

2. Mappare HubSpot alla categoria di consenso corretta

La maggior parte dei CMP utilizza IAB TCF o un modello a quattro gruppi: necessario, funzionale, analitico, marketing. Lo script di tracciamento HubSpot riguarda sia le categorie analitiche che quelle di marketing a causa dell'integrazione CRM. La mappatura conservativa è quella di bloccare l'intero frammento dietro la categoria marketing, che è il gruppo più restrittivo. Se il tuo CMP consente una mappatura dettagliata, puoi dividere: carica i form sotto funzionale, carica gli eventi analitici sotto analitico e carica il collegamento dell'identità CRM sotto marketing.

3. Configurare il callback di attivazione

Il tuo CMP espone un evento o callback che si attiva quando un utente concede il consenso per una categoria. In quel callback, riscrivi l'attributo type del tag script segnaposto in text/javascript e aggiungilo al documento. Lo script si caricherà ed eseguirà normalmente. Per una SPA, registra il callback su ogni cambio di route in modo che le pagine appena montate ricevano anche l'attivazione.

4. Collegare Consent Mode v2

Se utilizzi Google Ads o GA4 insieme a HubSpot, il tuo CMP deve inviare i segnali di consenso v2 — ad_storage, analytics_storage, ad_user_data, ad_personalization — nel dataLayer prima che qualsiasi tag Google si attivi. HubSpot stesso non utilizza questi segnali, ma il resto del tuo stack sì, e l'incoerenza tra HubSpot e Google apparirà nei tuoi report come un divario di entrate misurabile.

5. Sincronizzare lo stato del consenso nel CRM di HubSpot

Quando un contatto noto aggiorna il proprio consenso (ad esempio, rivisitando il banner e revocando il consenso marketing), dovresti riflettere questo nel record HubSpot in modo che la logica del workflow smetta di inviare email marketing. L'API HubSpot espone un endpoint communication-preferences che accetta aggiornamenti a livello di iscrizione. La maggior parte dei CMP può essere configurata per chiamare questo endpoint da un hook lato server.

Insidie Comuni e Come Evitarle

Tre errori di integrazione rappresentano la maggior parte delle risultanze degli audit che vediamo negli stack ad alta presenza di HubSpot.

Caricare il frammento troppo presto

Alcuni team inseriscono il tag HubSpot all'interno di un tag manager e presumono che il tag manager gestisca il consenso. Google Tag Manager rispetta la modalità di consenso, ma solo per i tag che richiedono esplicitamente uno stato concesso. Se il tag HubSpot è configurato senza quel requisito, GTM lo attiverà comunque. Imposta sempre il campo Additional consent nel tag per richiedere il consenso marketing prima dell'attivazione.

Dimenticare gli script dei form

I form HubSpot vengono serviti da un dominio separato (forms.hsforms.com) e possono essere incorporati con il loro script. Se blocchi il frammento di tracciamento principale ma lasci caricare lo script del form al rendering iniziale, non hai davvero risolto il problema — la libreria del form imposta cookie identificativi propri. Blocca entrambi e lascia che il CMP li carichi insieme.

Trattare opt-out come opt-in

Le impostazioni native di HubSpot includono un'opzione Do Not Track e un opt-out con un solo clic. Alcuni team interpretano questi come meccanismo sufficiente per conformarsi al GDPR. Non lo sono — il GDPR richiede un opt-in affermativo per i cookie non essenziali, e una casella di opt-out sepolta in una pagina sulla privacy non soddisfa questo standard. Rendi il CMP la fonte autorevole dello stato di consenso e configura HubSpot per seguirlo.

Documentazione Pronta per l'Audit

Dopo che l'integrazione tecnica è in atto, il passo finale è assicurarsi che la tua traccia di evidenza possa resistere a una richiesta del regolatore. Come minimo, conserva un registro di: le categorie a cui il tuo CMP mappa HubSpot, la versione del banner di consenso attiva in qualsiasi data, campioni di stringhe TC che mostrano il consenso valido e i log API che dimostrano che HubSpot non ha attivato alcuna chiamata di tracciamento prima che fosse concesso il consenso. La maggior parte delle azioni esecutive si blocca non sulla tecnologia ma sulla documentazione — le organizzazioni in grado di produrre una chiara traccia cartacea risolvono tipicamente le indagini molto più rapidamente di quelle che non possono. Una piattaforma di gestione del consenso che esporta questi artefatti su richiesta trasforma l'audit da una corsa febbrile di più settimane in una risposta di un pomeriggio.