CN105745666A - 用于保护消费者隐私的匿名链接 - Google Patents

Abstract

用于将在线和离线广告放在一起的方法和***使用与消费者数据相关联的匿名链接。这些匿名链接允许安全环境中的没有个人可标识信息(PII)的处理。数据是使用匿名链接来匹配的。该方法和***允许营销商利用离线数据来精确地定向广告而无需使用PII，并执行关于对这些在线广告的使用的分析以更精确地确定多渠道营销努力的有效性。

Description

用于保护消费者隐私的匿名链接

相关应用的交叉引用

本申请要求以下申请的权益：2013年9月13日提交的题为“AnonymousConsumerandAddressLinks(匿名消费者和地址链接)”的美国临时专利申请no.61/877530；2013年9月13日提交的题为“PartnerEncodedLinks(经伙伴编码的链接)”的美国临时专利申请no.61/877,536；以及2013年9月13日提交的题为“BringingOfflineDataOnline(使得离线数据在线)”的美国临时专利申请no.61/877,543。前述临时和非临时专利申请中的每一者作为整体援引在此。

关于联邦赞助的研究或开发的声明

不适用。

发明背景

零售商和其他营销商现今花费大量金钱构建营销数据库。这些数据库可包含涉及数百万的个体消费者的记录，这些消费者可以是零售商的实际顾客或者潜在的顾客(“潜在顾客”)。对于每一消费者，数据库可包含上百或甚至上千的个体数据点。该数据可包括人口统计学信息、生活方式信息、购买习惯及与营销努力或营销分析有关的其他信息。该数据可用于个性化要约、交叉销售产品或甚至引入全新的产品。此外，该数据用于理解零售商的营销活动的有效性，使得他们可以细化其营销过程以便增加其投资回报。尽管对零售商有利，但该细化还通过带给那些消费者更相关的要约和产品来使消费者受益，而不是用与消费者无关的要约或营销消息来妨碍消费者。最近的调查显示尽管少数消费者希望“退出”定向营销努力，并由此偏好接收非定向广告，但多得多的消费者偏好——如果消费者将接收营销消息——那些消息被定制以准确地反映这些消费者事实上可能感兴趣的那些产品和服务。

历史上，消费者数据对于制定要约并分析营销活动有效性的有效使用仅在其中诸如名称、地址、电话号码或电子邮件之类的消费者个性化信息已经可用的营销渠道中已成为可能。这些渠道包括其中消费者和地址的邮寄列表用于向各个体消费者物理地邮寄营销要约的传统“离线”渠道，诸如举例而言直接邮寄努力。在历史上，在线广告努力(诸如在使用诸如智能电话和平板设备之类的移动设备时出现的网页和各种营销消息上的横幅广告)主要是非定向努力，因为没有标识这些渠道中使得定向广告成为可能的信息。例如，在在线搜索期间浏览到特定网页的消费者通常会这么做，而不提供任何个人标识信息，并且消费者不愿意将这样的信息透露给除最信任的网站和其他在线提供商以外的所有人。然而，将这些在线广告渠道与在线渠道联系起来将对零售商和其他营销商高度有利，因为这将允许营销商跨各平台协调其营销要约。营销商可由此在现代多渠道营销世界中使用更统一的一致方法。营销商还可高效得多地分析其多渠道广告努力的结果。例如，如果这样的协调被完成，则零售商可能能够更好的理解其在线营销驱动对其产品的离线销售的程度。由此，放置在线横幅广告的营销商可能能够知道该在线横幅广告中的多少次查看(view)实际导致其物理零售位置处的店内销售。这将允许营销商更有效地测量其各在线营销选项的有效性，并将由此导致更高效的广告市场，并更好地反映这样的努力的投资回报。

虽然将离线数据和在线数据联系起来的能力将由此对营销商高度有利，但结合在线营销(更具体地包括诸如名称、地址、电话号码以及电子邮件之类的PII)使用离线数据会形成消费者的隐私可能在对这样的信息的使用中被危及的风险。此外，由于这些关于消费者隐私以及具体地对在线营销中的PII的使用的重要顾虑，对PII的使用对于某些在线营销应用可能受到适用的法律或规则的禁止或限制，可适用的法律或规则可在不同管辖区域之间非常不同。保护消费者的在线隐私已被消费者、政府实体、个体营销商和表示营销商的工业和贸易组织(诸如直销协会)被认识到为最重要的问题。由此，由于对在线营销活动的PII的使用的这些重要限制，用于改善在线消费者营销的有效性并更好的理解该有效性的当前努力相对于离线营销而言是受限制的。

零售商通常与营销服务提供商紧密配合以便改善其营销努力。营销服务提供商可能具有对大型消费者数据储存库的访问权，该储存库可包括比零售商本身所维持的多得多的关于零售商的顾客的信息。这样的信息可使得营销服务提供商能够向现有数据的数据清洁(即，数据的标准化和去重复)和增强提供在营销努力中有价值的附加信息。这样的服务长期地结合例如直接邮寄广告和电话营销一起被提供。但将此丰富的数据带入在线世界增加了重要的隐私顾虑。在在线营销中利用全部这种数据同时还确保关于这样的营销被定向到的消费者的个人信息的隐私的方法将是高度合需的。

在本领域已作出了某些有限的努力来解决在线营销和离线营销之间的这种分离，和/或解决关于将PII用于在线应用的顾虑。一些尝试涉及在将向消费者分配并链接到消费者的PII的标识符放入旨在对消费者被去标识的环境之前，重新使用或轻微模糊化这些标识符。然而，由于对这些标识符的重新使用，这些环境不足以防止消费者重新标识其角色。示例包括将经加密的标识符用于像素调用；在个人登录到网页时，获得与该个人相关联的标识符，并随后将那个标识符与站点访问数据或广告印象数据一起传递；以及，使用非动态IP地址的各种尝试。

用于标识在线消费者的许多当前努力都依赖于cookie，即在访问特定网站时写到并存储在消费者的计算机或其他设备上的小文件。Cookie可包含标识消费者所使用的设备的信息，而不包括那个消费者的PII。该cookie数据一般只不过是标识号。单个消费者可使得多个cookie被分配给其在线角色，这诸如将由于在与在线世界交互时使用此许多不同的设备引起。这样的设备可包括例如工作台式计算机、家庭膝上型计算机、智能电话和平板设备。同样，单个cookie实际上可与多个消费者相关联，诸如共享对单个计算机的使用的生活在同一家庭中的两个或更多个人。准确地说，将这些cookie解析成特定消费者的单个实例可能被看作将cookie用作定向在线广告努力的一部分的努力成功的关键。

对Cookie解析的现有尝试通常是不一致且不可靠的，因为其用于标识消费者的基本***不足够准确。由于已经描述的隐私顾虑，在cookie的上下文中使用PII来标识消费者不是切实可行的解决方案。用于标识与同一消费者有关的多个cookie，但同时避免对PII的传输和/或远程存储以便保护消费者的隐私的有效***将高度合需。可明白，cookie解析的问题也是分析营销活动的有效性时的一个因素；在没有有效解析的情况下，不可能准确地理解实际上正向谁进行营销并随后将(在线或离线的)销售额归因于那个营销事件。结果是在线广告市场方面的持续低效，营销者的投资回报较低，且将营销消息递送到对那些消息不感兴趣或发现其不相关的消费者。

发明的简要概述

本发明一般涉及一种装置和方法，籍此营销者可将其丰富的消费者营销信息与在线消费者关联，但没有关于消费者的个人可标识信息(“PII”)曾籍此变得可使用匿名链接在受保护数据环境之外获得。由于PII没有由此被暴露，该新方法允许解析的优点以及在在线环境中准确的定向营销消息，而没有将与这种类型的信息的转移相关联的隐私风险。在各方面，本发明允许在线营销者将其营销数据关联到他们今天做的相同消费者的能力，只是无需呈现PII。营销者能够使用该数据来按与消费者在诸如直接邮寄之类的离线渠道中看见的营销要约一致的方式在在线环境中向消费者显示定向要约，诸如网页横幅广告。此外，由于数据是跨各渠道被一致地加入的，因此营销者可跨诸如直接邮寄和电子邮件之类的“标识的”努力(即，使用PII)以及诸如在线横幅广告之类的“去标识的”努力(没有对PII的访问)两者分析营销活动的影响。结果是无缝的多渠道营销，其中零售商的营销能力增加，并为消费者递送更可能相关的营销消息，而同时维护消费者隐私。

在本发明的一方面，营销服务提供商维持cookie池，并使得这些cookie中的一者或多者与匿名链接相联系。匿名链接基于由营销服务提供商使用的内部消费者链接，但由于该链接是匿名的，该链接可能被外部地用来保护隐私并避免分发者或其他方以不适当的方式使用标识符。营销服务提供商的cookie池可随后被绑定到“外”cookie存储，诸如由营销服务提供商的分发伙伴维护的那些cookie存储。数据可随后被从营销商的环境(其中PII被维护)上传到营销服务提供商的数据库，在某些情况下为经去标识的即不包含PII数据的专用受保护数据库区域。分开地维护支经去标识的数据防止对PII的误用。该数据随后基于营销服务提供商的cookie池以及外cookie存储与供分发的cookieID相关联。

再次，在本发明的一个或多个方面中，标识符被与受保护环境中的每一个消费者相关联，但这些标识符是专门为该环境创建的匿名链接。使用散列算法来确保这些标识符不可被用来重构由营销服务提供商使用的实际内部消费者链接。

在这些各方面，本发明支持各种新的涉及营销和营销分析的商业计划，并继续支持如适用规则和最佳行业惯例所陈述的强隐私保护。本发明通过将来自离线世界的基于PII的营销数据移动到经去标识的在线世界而不包括实际的PII来允许对该数据的使用。原来只对离线营销努力可用的现有营销数据库由此被扩展到新的渠道中。由此，零售商和其他营销商可利用其传统的营销数据来用于在线定向，并且他们还能够以他们在本发明之前不可能实现的方式分析其匿名的在线活动对销售额或其中存在PII的其他转换度量的影响。

本发明的这些和其他特征、目标及优点将通过结合如以下描述的附图考虑以下对优先实施例和所附权利要求书的详细描述而变得更好理解。

附图的若干视图的简要描述

图1是根据本发明的某些实施例的cookie匹配中的全部步骤的图表。

图2是示出根据本发明的某些实施例的用于将顾客信息上传在***中的元素的示意图。

图3是示出根据本发明的某些实施例的构造匿名链接的流程图。

图4是示出根据本发明的某些实施例的构造经伙伴编码的链接的流程图。

图5是示出根据本发明的某些实施例的从经伙伴编码的链接恢复匿名链接的流程图。

图6是示出根据本发明的某些实施例的将经伙伴编码的链接分配给匹配伙伴数据的图表。

图7是示出根据本发明的某些实施例的将经伙伴编码的链接应用于匹配伙伴数据时的各步骤的图表。

图8示出根据本发明的某些实施例的使用分发伙伴的cookie同步。

图9示出根据本发明的某些实施例的使用延伸伙伴(reachpartner)的cookie同步。

图10示出根据本发明的某些实施例的通过分发伙伴对数据的分发。

图11示出根据本发明的某些实施例的对广告的定向。

图12示出根据本发明的某些实施例的数据分析。

(诸)优先实施例的详细描述

在本发明被更详细描述之前，应理解，本发明不限于所描述的特定实施例，并且在描述特定实施例时使用的术语仅用于描述那些特定实施例的目的，而不旨在进行限制，因为本发明的范围将仅通过权利要求书来限制。

在各实施例中，本发明允许使用与个体有关的消费者信息，该信息基于诸如名称、地址、电话号码和电子邮件之类的个人可标识信息(PII)，但可按不允许该数据被外部用户去标识的方式来去标识。通过这种方式，该数据可用于在线营销，而不会丧失关于该信息属于谁的消费者隐私。这些方法和***所利用的软件、过程和计算机硬件进一步允许数据一旦被去标识就与个体消费者的在线cookie相关联。通过这么做，开始离线的数据现在可在在线生态***中被利用来提供更全面的多渠道营销体验。来自包含PII信息的数据库的数据可由此被导入其中维护了关于消费者的在线的非PII数据的环境(诸如web浏览)，而不允许将PII传输到安全环境之外。

在许多可能的应用之一中，汽车品牌所有者可能希望将其在线广告定向到当前想要购买汽车且其收入对于该品牌所提供的车辆范围而言是合适的那些消费者。可明白，该汽车品牌不一定需要各个体消费者的名称来实现其目的，而仅需要其在线广告事实上基于所标识的特性被递送到最有可能购买的那些消费者。在各实施例中，本发明为汽车品牌提供将其广告定向到(例如依据在市场中并在某收入范围内来标识出的)特定市场区隔而无需向营销者提供关于这些人的任何PII的能力。此外，在各实施例中，本发明允许汽车品牌对其使用在线广告递送和查看的营销活动执行分析，并将那些准确地相关到实际上在离线世界中其代理商处得到的销售额，同样无需提供涉及在线营销努力的PII。

在各实施例中，本发明在包括针对各提供商的多个不同的角色的离线和在线营销空间中操作。营销服务提供商(MSP)是已提供了传统的离线数据库营销服务并且通常管理大公司的离线潜在顾客或消费者数据库的公司。它们通常被托付了客户的营销数据以及对该数据的处理，包括基于PII来识别消费者的能力。匹配伙伴通常是具有收集消费者的PII的网站或者与具有收集消费者的PII的网站的公司有关系(通常为交换内容或服务(彩铃、优惠券、赠品、电子商务站点等))的公司。要求这些匹配伙伴向消费者给出关于如何利用其信息以及退出的选择给出谨慎的通知。分发伙伴通常是利用数据来进行定向广告或将该数据传递到可基于该数据提供定向在线广告的其他在线公司的任何在线公司。这些公司通常仅用cookie工作，并且不可或不想被暴露给关于消费者的PII。示例包括广告交换、广告网络、数据管理平台(DMP)或需求方平台(DSP)。延伸伙伴是有能力为许多网页贴标签并由此有机会与多个其他公司实现cookie标识符同步的公司。延伸伙伴随后促成各个这些公司之间的ID共享。

作为宽泛的概览，根据本发明的某些实施例的过程可参考图1来描述。该图通过框6处的顾客(诸如希望放置广告的零售商)、具有登陆区5的由营销服务提供商(MSP)维护的受限访问区域16、在分发伙伴7处具有内部数据关联框4和8的分发伙伴框(诸如DMP或DSP)以及由MSP管理并与框2处的匹配伙伴相关联的匹配过程示出若干不同方之间的大致关系。框2处的匹配伙伴与营销服务提供商结合起来用于创建设置在与一消费者相关联的多个设备(诸如由消费者使用的计算机、智能电话和平板设备)上的cookie之间的相关性以及如由MSP分配的针对那个消费者的匿名链接。在分发伙伴框7，交叉引用表(其可被实现成如在各步骤中示出的两个或更多个链表或单个表)被构建以将营销服务提供商的cookie与在线营销努力的分发点相关。该步骤涉及对(诸如来自提供DMP或DSP的分发伙伴的)“外”cookie池的使用，该“外”cookie池包含链接到提供商cookie池中的cookie的cookie。通过顾客框6，数据被从零售商或其他营销商的基于PII的消费者数据库上传到专门为在线营销设计的符合隐私的经去标识的环境，同时保护最初被定向到登陆区5的隐私。在数据关联框8，营销服务提供商通过利用提供商cookie池以及外cookie池来将安全区域16内的现在去标识的数据与用于分发点的cookie关联。这些步骤中的每一步骤以及在各实施例中调用的该过程的变型都将在下面被更详细地描述。

在MSP框16的经上传的非PII区域中使用的匿名链接允许数据被从PII环境传递到非PII环境并在被正确地覆盖在同一消费者的非PII环境中，只是没有将把该数据连接到该消费者的身份的个人可标识元素。该匿名链接是利用如本文中阐述的多步骤过程和标准密码功能通过多个单向、安全的且不可逆的变换来创建的。这些过程使得在理论上(更别提在实践上了)营销服务提供商之外的某方无法从该匿名链接重新构造原始标识符消费者链接。数据可由此出于在线营销的目的而与特定个体相关，但是那个个体的身份却无法基于为在线营销提供的信息来确定。

现在参考图2，用于从客户的基于PII的***接收客户数据(如来自例如零售商或其他广告商)并将那个数据加载到用于在线营销的非PII环境的过程(如以上参考图1概括地描述的)可被更详细地描述。客户的基于PII的数据库10可以是包含关于消费者(诸如零售商或其他营销商的顾客或潜在顾客)的信息的许多不同类型的营销数据库中的任一者。这样的数据库通常由零售商和其他营销商维护以便保持跟踪关于其离线顾客的信息。客户的基于PII的数据库10可包含关于这些消费者的各种类型的个人可标识的信息，诸如名称、地址、电话号码或电子邮件地址。

在用于将关于这样的顾客的信息移动到对在线营销安全的环境的过程中的第一步骤中，构建提取文件12，该提取文件12包含关于其数据被维护在客户的基于PII的数据库10中的所有消费者或其子集的信息。各数据元素(例如年龄、性别、婚姻状态、收入水平或购买历史)可基于为其提供该数据的应用而被包括在提取文件12中。

在某些实施例中，提取文件12中的数据可以按其中文件由大量记录构成的典型格式来结构化，每一记录涉及特定顾客，并且每一个这样的记录都被划分成多个字段，每一字段包含关于与该记录相关联的顾客的某种类型的信息。替换地，在某些实施例中，这样的记录中的数据可被分类，该分类可在如本文中所描述的处理之前或者作为将数据从传统字段格式拉到经分类的格式的处理的一部分。分类是用涉及特定数据且利用该数据的各方一般已知的标准化ID来替换典型的字段名称和位置。例如，男性性别可被分类为“3001”，并且每年$75,000的收入可被分类到“13027”。可以明白，通过使用分类，数据不再依赖于字段位置或对任何特定字段或数据格式的知识，只要分类ID是使用该数据的每一方已知的即可。由此，在各记录中该数据可按任何次序呈现。分类已被示为改善文件处理速度，文件处理速度对于包含具有关于每一消费者的许多数据点的大量消费者记录的非常大型的文件尤其重要。

除了提取文件12的各记录中的其他数据(不管是被分类还是采用利用字段的标准格式)外，还可为每一顾客记录提供一个或多个消费者链接，以便将涉及记录中的特定顾客的数据与那个顾客的身份唯一地关联。在本发明的各实施例中可使用各种类型的消费者链接。在各实施例中，这些消费者链接可以是包括数字、字母数字字符或任何组合的字段。在一个示例中，消费者链接可以是如在安客诚(Acxiom)公司所提供的AbiliTec消费者链接产品中使用的哪些消费者链接。AbiliTec链接***提供跨某领域的消费者(诸如例如美国的所有消费者)唯一的标识符。在AbiliTec链接***中存在唯一地标识特定消费者的标识符(AbiliTec消费者链接)和唯一地标识特定地址的标识符(AbiliTec地址链接)以及唯一地标识家族的标识符(AbiliTec家族链接)，并且消费者和地址之间随时间的连接可由这些类型的标识符之间的连接来表示。(出于本文中的目的，“消费者链接”一般将指代所有类型的可能链接，包括但不限于所有类型的AbiliTec链接，包括AbiliTec消费者链接、AbiliTec地址链接和AbiliTec家族链接)。使用这些类型的关联，每一标识符可与特定消费者唯一地关联，而不管是否存在包含关于那个个体消费者的信息的多个记录。包含关于相同消费者或相同地址的信息的多个记录是依据相同消费者和相同地址两者都链接到此相同消费者链接的事实来关联的那些记录。这允许该***准确地确定两条记录实际上涉及相同的个体消费者，诸如已搬家或由于结婚而改变了名称的消费者。如果客户的基于PII的数据库100中的数据由于较早的处理而尚未与AbiliTec标识符或其他这样的消费者链接相链接，则那些AbiliTec标识符或其他这样的消费者链接可在提取文件12被构造之前或之后被应用于要被包括在提取文件12中的每一记录中的数据。对AbiliTec标识符的使用和构造以及那些标识符与消费者数据的关联在美国专利No.6,523,041和6766327中被描述，这两件美国专利各自通过参考被援引，就好像完全在本文中被阐述了一样。

在各实施例中，控制文件14也可与提取文件12一起被构造。控制文件14的目的在于由提供本文中描述的服务的提供商提供用于自动处理来自提取文件12的数据的指令。例如，它可指定提取文件12中的PII字段的含义和/或包含针对提取文件12中的各数据元素的分类指令。在替换实施例中，控制文件14可与提取文件12结合，或者可被省略而以从维护客户的基于PII的数据库10的客户到提供这些服务的提供商的或与该客户相关的其他形式的指令来代替。提取文件12和控制文件14两者都可通过众多已知手段中的任一者来发送，包括通过文件在网络连接上的电子传输(诸如通过因特网上的传输)来发送。

一旦提取文件12被从客户的基于PII的数据库10中创建并且控制文件14被准备，营销服务提供商就可将该提取文件12接收到受限访问区域16中。受限访问区域16可被实现成许多已知形式的计算机存储介质中的任一者中的一个数据库或多个数据库。受限访问区域16的目的是提供其中可操纵数据而无需使用PII的安全数据存储设施，以便确保例如在线营销事务中使用的数据的隐私。来自提取文件的数据最初是在受限访问区域16的登陆区5中接收到的。登陆区5提供其中可在将PII传递到其中不允许PII用于进一步处理的区域之前将PII从数据中移除的区域。在某些实施例中，数据可在此时被分析以确定是否存在AbiliTec标识符或其他消费者链接，并且如果不存在AbiliTec标识符或其他消费者链接，则该数据可被清理、标准化并处理以接收消费者链接。在这样的情况下，该数据中的记录将随后附有针对每一消费者的消费者链接。一旦这被完成，该数据被剥离了除消费者链接以外的所有PII。通过这种方式，该数据变得准备好供在受限访问环境16的匿名区域19中进一步处理，其中任何PII都不被允许以便完全地保护消费者隐私。

虽然除消费者链接以外的所有PII现在都被从消费者记录中剥离，但消费者链接本身可引起风险，因为消费者链接被营销服务提供商内部地使用来链接与特定个体相关联的数据。消费者链接在与同其相关的消费者的PII相关联的这些***中。希望有敌意地从匿名区域19中的数据中重构PII的某方可因此在实现该目标的努力中使用消费者链接。为了防止可能希望秘密地标识与这些记录中的每一者相关联的消费者的某方对消费者链接的任何可能的滥用，这些消费者链接被以防止任何这样的滥用的方式修改。该过程导致从每一消费者链接创建匿名链接。匿名链接是隐私友好并且完全匿名的经去标识的链接，因为匿名链接并不与同消费者相关联的名称、地址、电话号码、电子邮件地址或其他PII结合在一起被存储在任何***中的任何地方，即既不被存储在营销服务提供商的***内部也不被存储在其外部，并且也不可被反向工程到存储在具有特定消费者的PII的任何数据库中的标识符。

在某些实施例中，匿名链接是在如图3所示的过程中从消费者链接创建的。在所描述的该特定实施例中，消费者链接22可以是16字符的字母数字串。在第一步骤，提供消费者链接22作为步骤30处的使用来自安全盐存储32的安全盐(salt)的散列函数的输入。如密码领域中已知的，盐(salt)是用作单向散列函数的附加输入的随机串或其他数据。单向散列函数同样是本领域公知的。使用盐的目的是防止在该随机元素没有被添加到该单向散列函数的情况下可能被使用的某些类型的攻击。在步骤30可应用各种散列函数，在某些实施例中包括如国家标准和技术协会(NIST)发布的标准SHA-1散列函数。结果是中间值34。

在第二散列步骤36，使用来自盐存储32的第二安全盐来再次应用单向散列算法，这次是被应用于中间值34。如本领域已知的，在步骤36可应用各种散列函数，包括在该第二散列步骤以及第一散列步骤中对SHA-1的应用。该步骤的输出是散列值36，在某些实施例中，该散列值36是20字节的散列，其随后被转换并存储成基16(base-16)编码的40字符的字母数字串。虽然在该特定实施例中应用了两个单向散列函数，但本发明并不限于此，而可利用仅单个散列或被扩展为应用任何数目的散列函数。

为了在全球营销努力中利用该过程而同时保持特定区域的标识符分开，可进行任选的区域代码步骤40，在该步骤40中，可将标识区域(诸如特定国家)的区域代码应用于散列值38。在某些实施例中，该区域代码是通过串接成为散列值38的前缀的双字符代码。最终结果是匿名链接26，在某些实施例中，该匿名链接26是40字符的(或者在区域代码成为前缀的情况下，为42字符的)字母数字串。例如，用于初始处理的消费者链接22可以为“0000US01ABCDEFGH”，并且得到的匿名链接可以为“183FC2C3A760B11C863856A46C2DEDBECC21512345”。

可注意到，在某些实施例中，来自安全盐存储32的盐是安全的，因为它们是以加密的形式被存储在***配置中的；在某些实施例中，加密是其中口令被隐藏在编程代码内使得外行或者入侵者将无法看见该口令的基于口令的AES。从本文中描述的并且在图3中示出的过程中将显而易见的是来自盐存储32的两个经加密的盐是从消费者链接22生成匿名链接26所需的唯一外部参数。

在某些实施例中，如以上描述的分类可在为每一记录创建了匿名链接26后的这个时间点对记录20执行。任选地，控制文件14可包含用于以下的指令：向这些记录提供分类处理，使得通过该分类处理使作为分布在列中的值的数据或者标准数据字段中的数据转变成独立于次序的数字数据。

在某些实施例中，一旦匿名链接26被创建，一任选步骤将随机地排序这些记录，使得它们按与这些记录被原始提供在受限访问区域16中的次序不同且不匹配的次序呈现。这是防止获得对提取文件12的输入和输出版本两者的访问权的某方能够对输入和输出版本进行比较并重新标识现在仅与匿名链接26相关联而没有PII数据的数据的进一步安全措施。

在如以上参考图1描述并在以下更详细解释的匹配伙伴处理中，在某些情况下，产生不仅是匿名的而且是按因营销服务提供商的特定伙伴而异的方式来加密的标识符是合需的。这样的标识符将在本文中被称为经伙伴编码的链接50。经伙伴编码的链接50可用于匹配涉及消费者的信息的目的，而没有对关于那个消费者的PII的实时交换，与匿名链接26一样。对针对特定伙伴不同地编码的标识符的使用允许营销服务提供商与不希望将特定消费者的PII从其特定数据环境中发送出去或者被适用的法律或规则禁止这样做的特定伙伴一起工作。对经伙伴编码的链接50的使用还允许营销服务提供商的客户将供分析的其匿名数据与不可被无意地绑定到另一客户的数据的匿名链接26一起存储在对这些客户而言唯一的数据库中。如将明白的，所应用的随机化实现了两个相同的匿名链接可映射到两个完全不同的经伙伴编码的链接50的结果；然而，这两个完全不同的经伙伴编码的链接50两者都可被解密成相同的匿名链接26。该加密优选地使用诸如128位AES加密之类的标准密码功能。为了确保加密密钥的安全性，这些加密密钥在存储之前也被加密。

在某些实施例中，如在图4中阐述了用于创建经伙伴编码的链接50的过程。经伙伴编码的链接50可构建自单个匿名链接26，或构建自多个匿名链接，如在针对消费者和针对与那个消费者相关联的地址的标识符(例如，AbiliTec消费者链接和AbiliTec地址链接)的情况下。如果将使用两个匿名链接26，则在步骤51可将其串接在一起成为二进制串。专用字节可被添加到该串接，以便标识正向该过程提供的匿名链接26的类型，例如为仅消费者类型链接，或者为消费者和地址两者链接。

对应于将对其使用该数据的伙伴的因伙伴而异的加密密钥是从因伙伴而异的加密密钥存储库54中读出的。这些加密密钥在处理之前被创建。在步骤55，确定该加密是否将包括按需生成的随机初始化向量。每次执行该过程时，对随机初始化向量的使用将从匿名链接26产生不同的经伙伴编码的链接50。然而，可存在其中这是不合需的情况，诸如其中经伙伴编码的链接50仅用作伪装的匿名链接26以及每一处理生成相同的经伙伴编码的链接50是重要的情况。加密在针对随机加密结果的情况的步骤52或针对非随机结果的步骤53处发生，在任一情况下，都使用来自因伙伴而异的加密密钥54的合适加密密钥。

在编码步骤56，使用标准基64(Base64)即URL安全编解码器来编码加密结果。在单个匿名链接26的情况下，在某些实施例中，结果将是43字符的串，而对于如上所述的被串接的两个底层的匿名链接的情况，结果将是64字符的串。随后在前缀步骤64，使来自伙伴ID数据库60的伙伴ID成为该串的前缀。伙伴ID的目的将是从所有可能的匹配伙伴的总体中唯一地标识该伙伴。如果初始化向量被使用，则它也是该结果的前缀。伙伴ID和初始化向量是必须的，以便使得对经伙伴编码的链接50的加密成为可能。在某些实施例中，最终结果为49字符长或70字符长。在特定说明性示例中，匿名链接26可开始为字符串183FC2C3A760B11C863856A46C2D5DBECC21BF2512345，并且得到的经伙伴编码的链接50可以为字符串QE1005HX1fqX1cljgWLFwLGrBY92f3NO5FEdpPaouxQ0a5qEE。在该情况下，“QE”是初始化向量并且“1005”是伙伴ID。

图5示出了从经伙伴编码的链接50中恢复匿名链接26的过程。在步骤70，经伙伴编码的链接50被解析以拉取出伙伴ID、初始化向量和基本数据。伙伴ID被用来从因伙伴而异的加密密钥数据库54中选择合适的加密密钥。该数据与初始化向量一起被发送到解密步骤72，以便执行标准的解密技术来恢复匿名链接26的基本数据。在其中两个或更多个匿名链接26已被串接以构建经伙伴编码的链接50的情况下，该信息的专用字节将已被读出以便正确地标识出得到的数据。由此，经伙伴编码的链接50可使用合适的加密密钥被解密回成相应的匿名链接26；然而，底层的消费者链接22不可被恢复，因为由于用于构建匿名链接26的算法无法从匿名链接26中恢复该数据，如先前所阐述的。

现参考图6，通过匹配伙伴构建营销服务提供商cookie池的过程可开始被更详细的描述。在特定示例中，营销服务提供商具有多个“匹配”伙伴，即出于各种目的收集或提供PII的伙伴。该信息是在适用的隐私规则下并且合适地通知消费者的情况下在例如由匹配伙伴操作并且被消费者访问的网站处被收集的。这可以是例如由匹配伙伴在匹配伙伴网站表格89处向消费者呈现的表格。匹配伙伴以批处理模式发送包含其消费者记录的文件，其消费者记录包括由消费者输入在匹配伙伴网站表格89处的PII数据以及匹配伙伴的针对每一消费者的内部记录密钥。内部记录密钥是匹配伙伴用来在其自己的内部***内区分其消费者的手段。在步骤90，该信息被营销服务提供商接收，并且合适的匹配被执行以便将合适的消费者链接附加到这些记录中的每一者。通过这种方式，消费者链接与营销服务提供商处的伙伴的记录密钥中的每一者相关联。PII现在可被丢弃，因为一旦消费者链接被分配，营销服务提供商就不再需要PII来用于匹配。每一消费者链接的匿名链接如以上描述的那样被计算，并且在步骤91，匿名链接被加密以创建经伙伴编码的链接。步骤91处的结果是匹配伙伴的内部记录密钥中的每一者与由营销服务提供商创建的经伙伴编码的链接之间的关联。具有该关联的文件随后被从营销服务提供商返回给匹配伙伴，使得在步骤94匹配伙伴可使用该文件来将内部地保存在其***内的PII关联到使用该相关联的记录密钥的经伙伴编码的链接。该处理的结果是匹配伙伴现在具有向其内部顾客记录中的每一者分配的经伙伴编码的链接以促成进一步的处理。

可参考图7描述利用现在被覆盖在匹配伙伴的数据上的经伙伴编码的链接的实时处理。在框80，匹配伙伴与消费者交互，诸如通过匹配伙伴登录账户的消费者。现在实时地操作：匹配伙伴将那个消费者的相关联的经伙伴编码的链接发送给营销服务提供商。在步骤84，营销服务提供商将经伙伴编码的链接转换回成相关联的匿名链接。在步骤86，营销服务提供商随后查找其cookie之一在消费者的设备上的存在性，并且如果那里不存在cookie，则它设置包含那个消费者的匿名链接的cookie。该处理实时地并按对消费者透明的方式发生，使得消费者的web浏览体验不被负面地影响。交叉引用表88被访问以跟踪设置在消费者的设备上的cookie的MSPcookieID与那个消费者的匿名链接之间的相关性。可明白，通过这种方式，链接被实时地提供以允许在线营销被递送给那个消费者，但是PII不被使用，并且一旦经伙伴编码的链接被设置在匹配伙伴数据库上，则PII不需要被发送给任何零售商或其他营销商，以便允许该匹配以及得到的定向在线广告发生。

现参考图8，可描述与营销服务提供商的分发伙伴的集成。在步骤100，消费者访问网站或查看在线广告，该网站或在线广告包含web信标、像素、脚本、或由分发伙伴维护的提供来将cookie放置在消费者的设备上的其他数据或代码。分发伙伴随后在步骤102推送其cookie以供包括在交叉引用表88中，由此将该表扩展为不仅包括匿名链接和如图7中所描述的那样设置的cookie的MSPcookieID，还包括分发伙伴cookieID，使得现在在特定消费者的MSPcookie和分发伙伴cookie之间存在关联。在某些实施例中，营销服务提供商和分发伙伴之间的这一cookie同步允许营销服务提供商在周期性的基础上(诸如每晚)将包含这些cookie之间的关联的批处理文件发送给分发伙伴。

可明白，该过程产生有意义的结果的能力依赖于营销服务提供商和分发伙伴之间的重叠；的cookie池的重叠越大，则该过程将在最终递送对消费者有意义的定向广告方面更有效。为了帮助增加营销服务提供商cookie池和分发伙伴cookie池之间的重叠，可如图9所示的那样利用延伸伙伴。延伸伙伴可在每天的基础上看见非常大量的web流量，由此提高了与分发伙伴的高效重叠。在步骤110，延伸伙伴从营销服务提供商和分发伙伴两者接收cookieID，并在每一ID集合之间创建延伸伙伴交叉引用。这些被匹配到延伸伙伴自己的对应于这些ID的cookieID，并且该数据在步骤112被用来通过示出现有的营销服务提供商cookieID和分发伙伴cookieID之间的相关性来进一步扩展营销服务提供商交叉引用表88。

前述处理允许将数据从受限访问区域16推送到分发伙伴(如图10所示的)，从而利用所有可用的数据，但无需正向分发伙伴分发的任何PII。营销服务提供商处在先前描述的处理中开发的新的完整的交叉引用表88被用来查找特定设备的分发伙伴cookie，并且结果是相应的匿名链接。在步骤120，使用该匿名链接，可将来自匿名记录24的数据与相关联的分发伙伴cookie一起被发送回分发点。这允许实现到特定消费者的定向广告(该特定消费者与来自分发伙伴cookie的设备相关联)，但是无需将关于那个特定消费者的任何PII传送给分发伙伴。分发伙伴接收允许对生成定向广告有用的用于实现定向的数据(诸如举例而言年龄、性别、收入等)，而无需与该数据相关联的PII(例如，名称、地址、电话号码或电子邮件地址)。由此，消费者的隐私没有丧失。

图11示出了使得定向广告可使用现在描述的各组件来实现而不会将PII泄漏给分发伙伴并由此保护消费者的隐私的方式。在步骤130，“登录”过程以接收涉及客户PII、关于客户的某些数据分段(其可与定向广告相关)以及匹配的消费者链接的文件开始。当在步骤132移动到受限访问区域16内时，这允许针对这些消费者中的每一者的匿名链接与分段数据的关联。在步骤134，如先前描述的交叉引用表88被用来将匿名链接与由营销服务提供商放置的cookie关联，并且还将那个cookie与那个数据的伙伴的cookie连接。在步骤136，到分发伙伴的输出仅仅是伙伴的cookie和特定客户分段之间的匹配。使用该数据，当伙伴cookie被分发伙伴在网站上识别出时，与该特定客户数据分段相关联的要约可被显示在那个特定消费者的设备上。在某些实施例中，特定伙伴对该过程的初始设置将是具有营销服务提供商在特定在前时段(诸如90天)内已看见的所有cookie的文件。后续文件将包含在循环的基础上(诸如每天)看见的新cookie或者被再次看见的现有cookie。

图12示出利用本发明的各实施例的过程和方法来执行分析的过程。可明白，客户数据和广告服务数据的重叠可利用营销服务提供商的cookie池和在cookie同步过程期间构建的交叉引用来实现。在步骤130，从客户接收的数据是匿名的，与之前一样，该数据被一路传递到步骤132，在步骤132，将该数据与这样的数据的匿名链接26相关联。在步骤146，从伙伴处拉取广告服务器数据，该广告服务器数据包括诸如伙伴的cookie、提供该广告的日期以及各种印象细节(诸如点击或动作)之类的信息。如参考图11解释的，使用交叉引用表88，有可能在步骤134使合适的匿名链接与针对特定客户的广告服务器数据匹配。分析随后在步骤144被执行，在步骤144，相应的匿名链接被匹配到广告服务信息。所有这些分析都发生在受限访问区域16内，并由此在匹配过程中没有使用PII。结果，营销服务提供商可跨各在线渠道将强有力的分析提供给其顾客，即使在该处理中没有使用PII。

可注意，在各实施例中，可存在匿名链接与cookie间的多对多关系。在某些实施例中，在其中存在许多匿名链接与单个cookie相关联的情况(其对应于众多个体消费者使用单个设备的情况)下，所看见的最后一个个体将被用于将数据关联到那个cookie。在其中一个匿名链接与许多cookie相关联的情况(指示单个个体使用多个设备)下，则此个体的数据将被与同其绑定的每一个cookie关联。

可注意，本发明的各实施例并不在所有情况下都要求所解说的实施例中示出的特定次序或者必须要求任何顺序次序来实现期望的结果。此外，其他步骤可被提供，或者步骤可被从例示中消除，并且其他组件可被添加到所描述的***或从所描述的***中移除。

所使用的与营销服务提供商、分发伙伴、匹配伙伴、延伸伙伴和其他方通信的各***中的每一者可被实现成如本领域公知的标准计算机服务器或服务器群组。这些机器可专门编程有用于实现如本文中描述的算法的软件，结果是专用计算机器。这些机器可使用网络(诸如因特网)连接在一起。标准web浏览器软件或用于从各客户设备访问因特网的其他软件可被使用。作为非限制示例，这样的设备包括台式计算机、膝上型计算机、智能电话和平板设备。

除非以其他方式说明，否则本文中所使用的所有技术和科学术语具有如本发明所属的本领域的普通技术人员共同理解的相同含义。虽然类似于或等同于本文所描述的方法或材料的任何方法和材料可在实践或测试本发明时使用，本文中描述了有限数目的示例性的方法和/或材料。本领域的那些技术人员将领会，更多的修改是可能的，而不背离本文中的发明概念。

本文中使用的所有术语应当以与上下文一致的尽可能最宽的方式来解释。具体而言，术语“包括”(“comprise”和“comprising”)应当被解释为是以非排他方式指代元件、组件或步骤，即指示所引用的元件、组件或步骤可以存在或被利用，或者可以与没有明确引用的其他元件、组件或步骤组合。当本文中使用Markush组或其他编组时，该组中的所有个体成员以及该组中所有可能的组合和子组合均旨在被个体地包括。本文中引用的所有参考都被通过援引纳入在此到不存在与本说明书的公开不一致的程度。

本发明已参考某些实施例来描述，这些实施例旨在仅为示例性的而非旨在限制如所附权利要求书中阐述的本发明的整个范围。

Claims (20)

1.一种用于链接与消费者有关的数据的计算机实现的方法，包括以下步骤：

a.在营销服务提供商服务器处，将消费者记录与消费者链接关联，所述消费者记录包括含个人可标识信息(PII)的消费者数据，其中所述消费者链接唯一地与消费者人口中的特定消费者相关联；

b.将所有PII从所述记录中移除；

c.将所述消费者记录复制到安全存储区域，所述安全存储区域包括多个其他消费者数据记录，所述多个其他消费者数据记录各自不包括PII；

d.将第一散列函数应用于所述消费者链接以创建匿名链接，其中所述散列函数是单向函数，由此所述匿名链接无法从所述消费者链接中推导出；以及

e.将所述匿名链接与所述消费者记录一起存储在所述安全存储区域中。

2.如权利要求1所述的用于链接与消费者有关的数据的计算机实现的方法，其特征在于，所述第一散列函数从与所述营销服务提供商服务器通信的安全盐存储中接收第一安全盐作为输入，并在创建所述匿名链接时利用所述第一安全盐。

3.如权利要求2所述的用于链接与消费者有关的数据的计算机实现的方法，其特征在于，所述第一散列函数包括SHA-1散列函数。

4.如权利要求3所述的用于链接与消费者有关的数据的计算机实现的方法，其特征在于，所述第一散列函数的输出是中间值，并且进一步包括在所述营销服务提供商服务器处将第二散列函数应用于所述中间值以创建所述匿名链接的步骤，其中所述第二散列函数是单向函数，由此所述匿名链接无法从所述消费者链接或所述中间值中推导出。

5.如权利要求4所述的用于链接与消费者有关的数据的计算机实现的方法，其特征在于，所述第二散列函数从与所述营销服务提供商服务器通信的所述安全盐存储中接收第二安全盐作为输入，并在创建所述匿名链接时利用所述第二安全盐。

6.如权利要求5所述的用于链接与消费者有关的数据的计算机实现的方法，其特征在于，所述第二散列函数包括SHA-1散列函数。

7.如权利要求5所述的用于链接与消费者有关的数据的计算机实现的方法，其特征在于，所述匿名链接是字母数字串。

8.如权利要求7所述的用于链接与消费者有关的数据的计算机实现的方法，其特征在于，所述第二散列函数的输出是最终散列值，并且其中所述方法进一步包括将区域代码应用于所述最终散列值以产生所述匿名链接的步骤。

9.如权利要求8所述的用于链接与消费者有关的数据的计算机实现的方法，其特征在于，将区域代码应用于所述最终散列值以产生所述匿名链接的步骤包括将所述区域代码串接到所述最终散列值的步骤。

10.如权利要求5所述的用于链接与消费者有关的数据的计算机实现的方法，其特征在于，所述第一安全盐和所述第二安全盐中的一者或两者在所述安全盐存储中被加密。

11.一种用于链接与消费者有关的数据的***，所述***包括：

a.广告商服务器，所述广告商服务器包括多个广告商记录，其中每一广告商记录涉及特定消费者，并且每一记录包括与所述特定消费者有关的个人可标识信息(PII)；

b.跨计算机网络与所述广告商服务器通信的营销服务提供商(MSP)服务器，其中所述MSP服务器包括用于构建多个匿名链接的散列例程，所述多个匿名链接各自从与所述多个广告商记录之一相关联的消费者链接构建；以及

c.与所述MSP服务器通信的安全存储区域，其中所述安全存储区域包括多个MSP记录，所述多个MSP记录各自涉及所述广告商记录与其有关的顾客之一，并且其中每一MSP记录进一步包括所述匿名链接之一。

12.如权利要求11所述的用于链接与消费者有关的数据的***，其特征在于，所述***进一步包括与所述MSP服务器通信的安全盐存储，并且其中所述散列例程包括第一散列函数，所述第一散列函数从安全盐存储接收第一安全盐作为输入，并在创建所述匿名链接时利用所述第一安全盐。

13.如权利要求12所述的用于链接与消费者有关的数据的***，其特征在于，所述第一散列函数包括SHA-1散列函数。

14.如权利要求12所述的用于链接与消费者有关的数据的***，其特征在于，所述第一散列函数的输出是多个中间值，并且其中所述散列例程进一步包括用于从所述中间值创建所述匿名链接的第二散列函数。

15.如权利要求14所述的用于链接与消费者有关的数据的***，其特征在于，所述第二散列函数包括一个或多个单向函数，由此所述匿名链接无法从所述消费者链接或所述中间值中推导出。

16.如权利要求15所述的用于链接与消费者有关的数据的***，其特征在于，所述第二散列函数从所述安全盐存储接收第二安全盐作为输入，并在创建所述匿名链接时利用所述第二安全盐。

17.如权利要求15所述的用于链接与消费者有关的数据的***，其特征在于，所述***进一步包括多个广告服务器，并且其中每一广告服务器与所述安全盐存储中的分开的第一安全盐和第二安全盐相关联。

18.如权利要求16所述的用于链接与消费者有关的数据的***，其特征在于，所述第二散列函数的输出是最终散列值，并且其中所述散列例程包括区域代码例程，所述区域代码例程接收最终散列值以从所述最终散列值以及区域代码集合中的一个区域代码中产生所述匿名链接中的每一者。

19.如权利要求18所述的用于链接与消费者有关的数据的***，其特征在于，所述区域代码例程将所述区域代码之一串接到所述最终散列值中的每一者。

20.如权利要求16所述的用于链接与消费者有关的数据的***，其特征在于，所述第一安全盐和所述第二安全盐中的一者或两者在所述安全盐存储中被加密。