Usar Mailchimp conforme a la protección de datos

Mailchimp (Intuit Inc., EE. UU.) trata direcciones de correo, comportamiento de apertura y clic e integra en los correos un píxel de recuento. El servicio necesita un consentimiento limpio y una transferencia a EE. UU. documentada.

El doble opt-in no es el valor predeterminado en Mailchimp, sino un ajuste por audiencia: en Settings → Audience name and defaults debe estar activo «Enable double opt-in». Sin este ajuste, toda dirección introducida mediante un formulario entra de inmediato en la lista: un opt-in simple difícil de acreditar en un litigio y que los tribunales alemanes consideran habitualmente insuficiente para correos publicitarios.

El segundo elemento es el contrato de encargo del tratamiento. Intuit facilita un Data Processing Addendum que rige al aceptar las condiciones de uso; las cláusulas contractuales tipo que incluye o la certificación DPF de Intuit son la base de transferencia para el tratamiento en EE. UU. Ambas deben documentarse y mencionarse en la política de privacidad.

El seguimiento activo por defecto en las campañas de Mailchimp (aperturas de correo mediante un píxel de recuento, clics mediante enlaces reescritos) genera perfiles de uso. El enfoque limpio es desactivar ese seguimiento o incluirlo en el consentimiento y divulgarlo en la política de privacidad. Una nota genérica «usamos Mailchimp» no basta.

¿Es un riesgo?

Para el envío del boletín, la base jurídica es por regla general el consentimiento (art. 6.1.a RGPD), acreditado mediante doble opt-in. Sin una suscripción confirmada, sin un contrato de encargo del tratamiento con Intuit o sin una base de transferencia nombrada, falta la base. El seguimiento de aperturas y clics habitual en los boletines requiere un consentimiento separado o debe hacerse transparente.

Qué puedes hacer

• Activa el doble opt-in: tras la suscripción, un correo de confirmación con enlace de activación; solo después se añade la dirección a la lista.
• Registra la hora de suscripción, la IP y la hora de confirmación (Mailchimp lo guarda en el campo «Opt-in»).
• Firma un contrato de encargo del tratamiento (Data Processing Addendum) con Intuit; documenta las cláusulas contractuales tipo o la certificación DPF como base de transferencia.
• En la política de privacidad, nombra a Mailchimp/Intuit como destinatario, la transferencia a EE. UU., el seguimiento de aperturas y clics y el derecho de retirada (enlace de baja).

Preguntas frecuentes

¿Se permite un opt-in simple para boletines?

Para boletines publicitarios, la jurisprudencia alemana exige prácticamente siempre un doble opt-in, porque solo así se puede acreditar que la suscripción procede del titular de la dirección. Un opt-in simple apenas se sostiene en un litigio.

¿Necesito un contrato de encargo para Mailchimp?

Sí. Mailchimp trata las direcciones de correo por tu cuenta. El Data Processing Addendum de Intuit rige al aceptar las condiciones; deberías archivarlo.

¿Puedo usar el seguimiento de aperturas en los boletines?

Solo de forma transparente y, en el mejor de los casos, sobre la base del consentimiento. El píxel de recuento y el seguimiento de clics generan perfiles de comportamiento; hay que informar a los destinatarios y muchos expertos en protección de datos consideran necesario un consentimiento separado.

¿La transferencia a EE. UU. hacia Mailchimp es inofensiva tras el DPF?

La transferencia está en principio cubierta por el EU-US Data Privacy Framework mientras Intuit siga certificada. Las obligaciones de consentimiento y prueba para el boletín en sí se aplican con independencia de ello.

Cómo ayuda consentglass

El análisis gratuito comprueba el HTML entregado y muestra qué servicios están integrados, si se detecta un banner de cookies y si hay enlaces a la privacidad y al aviso legal — con contexto para cada hallazgo. No sustituye el asesoramiento jurídico.