Mailchimpi kasutamine andmekaitsega kooskõlas

Mailchimp (Intuit Inc., USA) töötleb e-posti aadresse, avamis- ja klõpsamiskäitumist ning lisab e-kirjadesse loenduspiksli. Teenus vajab puhast nõusolekut ja dokumenteeritud USA-sse edastamist.

Double opt-in ei ole Mailchimpis vaikimisi, vaid seade iga auditooriumi kohta: Settings → Audience name and defaults all peab „Enable double opt-in“ olema aktiivne. Ilma selle seadeta satub iga vormi kaudu sisestatud aadress kohe nimekirja — single opt-in, mida on vaidluses raske tõendada ja mida Saksa kohtud peavad reklaam-e-kirjade puhul regulaarselt ebapiisavaks.

Teine ehituskivi on andmetöötlusleping. Intuit pakub Data Processing Addendum'i, mis kehtib kasutustingimuste nõustumisel; selles sisalduvad standardsed lepingutingimused või Intuiti DPF-sertifikaat on edastamise alus USA-s töötlemiseks. Mõlemad tuleks dokumenteerida ja privaatsuspoliitikas mainida.

Mailchimpi kampaaniates vaikimisi aktiivne jälgimine (e-kirjade avamised loenduspiksli kaudu, klõpsud ümberkirjutatud linkide kaudu) loob kasutusprofiile. Puhas lähenemine on see jälgimine kas välja lülitada või lisada nõusolekusse ja avaldada privaatsuspoliitikas. Üldine märkus „me kasutame Mailchimpi“ ei piisa.

Kas see on risk?

Uudiskirja saatmise õiguslik alus on üldjuhul nõusolek (art 6 lg 1 p a GDPR), tõendatuna double opt-in'iga. Ilma kinnitatud registreerimiseta, ilma Intuitiga sõlmitud andmetöötluslepinguta või ilma nimetatud edastamise aluseta puudub alus. Uudiskirjades tavaline avamiste ja klõpsude jälgimine vajab eraldi nõusolekut või tuleb muuta läbipaistvaks.

Mida saate teha

• Aktiveeri double opt-in: pärast registreerimist kinnituskiri aktiveerimislingiga, alles seejärel lisatakse aadress nimekirja.
• Logi registreerimise aeg, IP ja kinnitamise aeg (Mailchimp salvestab selle väljal „Opt-in“).
• Sõlmi Intuitiga andmetöötlusleping (Data Processing Addendum); dokumenteeri standardsed lepingutingimused või DPF-sertifikaat edastamise alusena.
• Nimeta privaatsuspoliitikas Mailchimp/Intuit saajaks, USA-sse edastamine, avamiste ja klõpsude jälgimine ning tagasivõtmise õigus (loobumislink).

Korduma kippuvad küsimused

Kas single opt-in on uudiskirjade jaoks lubatud?

Reklaam-uudiskirjade puhul nõuab Saksa kohtupraktika praktiliselt alati double opt-in'i, sest ainult nii on tõendatav, et registreerimine tuleb aadressi omanikult. Single opt-in on vaidluses vaevalt kaitstav.

Kas mul on Mailchimpi jaoks andmetöötluslepingut vaja?

Jah. Mailchimp töötleb e-posti aadresse sinu nimel. Intuiti Data Processing Addendum kehtib tingimuste nõustumisel; peaksid selle arhiveerima.

Kas ma tohin uudiskirjades avamiste jälgimist kasutada?

Ainult läbipaistvalt ja ideaalis nõusoleku alusel. Loenduspiksel ja klõpsude jälgimine loovad käitumisprofiile; saajaid tuleb teavitada ja paljud andmekaitseeksperdid peavad eraldi nõusolekut vajalikuks.

Kas USA-sse edastamine Mailchimpi on pärast DPF-i probleemitu?

Edastamine on põhimõtteliselt kaetud EU-US Data Privacy Frameworkiga, kuni Intuit on sertifitseeritud. Nõusoleku- ja tõendamiskohustused uudiskirja enda jaoks kehtivad sellest sõltumatult.

Kuidas consentglass aitab

Tasuta kontroll analüüsib edastatud HTML-i ja näitab, millised teenused on manustatud, kas küpsiseriba on tuvastatud ning kas lingid privaatsusele ja kontaktandmetele on olemas — klassifikatsiooniga iga leiu juures. Ei asenda õigusnõustamist.