Използване на Mailchimp съобразено със защитата на данните

Mailchimp (Intuit Inc., САЩ) обработва имейл адреси, поведение при отваряне и кликване и вгражда в имейлите брояч-пиксел. Услугата се нуждае от чисто съгласие и документиран трансфер към САЩ.

Double opt-in не е стандарт в Mailchimp, а настройка за всяка аудитория: под Settings → Audience name and defaults трябва да е активно „Enable double opt-in“. Без тази настройка всеки въведен чрез формуляр адрес попада веднага в списъка — single opt-in, който е труден за доказване при спор и който германските съдилища редовно смятат за недостатъчен за рекламни имейли.

Втората градивна част е договорът за обработка. Intuit предоставя Data Processing Addendum, който важи при приемане на условията за ползване; съдържащите се стандартни договорни клаузи или DPF сертификацията на Intuit са основанието за трансфер при обработка в САЩ. И двете трябва да бъдат документирани и споменати в политиката за поверителност.

Проследяването, активно по подразбиране в кампаниите на Mailchimp (отваряния на имейли чрез брояч-пиксел, кликвания чрез пренаписани линкове), създава профили за използване. Чистият подход е това проследяване или да се изключи, или да се включи в съгласието и да се оповести в политиката за поверителност. Обща бележка „използваме Mailchimp“ не е достатъчна.

Това риск ли е?

За изпращането на бюлетина основанието по правило е съгласие (чл. 6, ал. 1, б. „а“ GDPR), доказано чрез double opt-in. Без потвърдена регистрация, без договор за обработка с Intuit или без посочено основание за трансфер няма основание. Обичайното проследяване на отваряния и кликвания в бюлетините изисква отделно съгласие или трябва да бъде направено прозрачно.

Какво можете да направите

• Активирай double opt-in: след регистрация имейл за потвърждение с активационен линк, едва след това адресът се добавя в списъка.
• Запиши времето на регистрация, IP и времето на потвърждение (Mailchimp го съхранява в полето „Opt-in“).
• Сключи договор за обработка (Data Processing Addendum) с Intuit; документирай стандартните договорни клаузи или DPF сертификацията като основание за трансфер.
• В политиката за поверителност посочи Mailchimp/Intuit като получател, трансфера към САЩ, проследяването на отваряния и кликвания и правото на оттегляне (линк за отписване).

Често задавани въпроси

Разрешен ли е single opt-in за бюлетини?

За рекламни бюлетини германската съдебна практика практически винаги изисква double opt-in, защото само така е доказуемо, че регистрацията идва от притежателя на адреса. Single opt-in едва ли издържа при спор.

Нужен ли ми е договор за обработка за Mailchimp?

Да. Mailchimp обработва имейл адресите от твое име. Data Processing Addendum на Intuit важи при приемане на условията; трябва да го архивираш.

Мога ли да използвам проследяване на отваряния в бюлетините?

Само прозрачно и в идеалния случай на основание съгласие. Брояч-пикселът и проследяването на кликвания създават поведенчески профили; получателите трябва да бъдат информирани, а много експерти по защита на данните смятат отделното съгласие за необходимо.

Трансферът към Mailchimp безпроблемен ли е след DPF?

Трансферът е принципно покрит от EU-US Data Privacy Framework, докато Intuit е сертифицирана. Задълженията за съгласие и доказване за самия бюлетин важат независимо от това.

Как помага consentglass

Безплатната проверка анализира предоставения HTML и показва кои услуги са вградени, разпозната ли е лентата за бисквитки и налични ли са връзките към поверителност и данни за контакт — с класификация към всяка констатация. Не замества правна консултация.