Mailchimp naudojimas laikantis duomenų apsaugos

Mailchimp (Intuit Inc., JAV) tvarko el. pašto adresus, atidarymo ir paspaudimų elgseną ir įterpia į el. laiškus skaičiavimo pikselį. Paslaugai reikia švarios sutikimo ir dokumentuoto perdavimo į JAV.

Dvigubas patvirtinimas nėra Mailchimp numatytasis, o kiekvienos auditorijos nustatymas: Settings → Audience name and defaults turi būti aktyvus „Enable double opt-in“. Be šio nustatymo kiekvienas per formą įvestas adresas iškart patenka į sąrašą — vienkartinis patvirtinimas, kurį ginče sunku įrodyti ir kurį Vokietijos teismai reklaminiams el. laiškams reguliariai laiko nepakankamu.

Antras statybinis blokas yra tvarkymo sutartis. Intuit pateikia Data Processing Addendum, kuris galioja priėmus naudojimo sąlygas; jame esančios standartinės sutarčių sąlygos arba Intuit DPF sertifikatas yra perdavimo pagrindas tvarkymui JAV. Abu turėtų būti dokumentuoti ir paminėti privatumo politikoje.

Mailchimp kampanijose pagal numatytuosius nustatymus aktyvus sekimas (el. laiškų atidarymai per skaičiavimo pikselį, paspaudimai per perrašytas nuorodas) kuria naudojimo profilius. Švarus požiūris yra šį sekimą arba išjungti, arba įtraukti į sutikimą ir atskleisti privatumo politikoje. Bendro pobūdžio pastaba „mes naudojame Mailchimp“ nepakanka.

Ar tai rizika?

Naujienlaiškio siuntimo teisinis pagrindas paprastai yra sutikimas (BDAR 6 str. 1 d. a p.), įrodytas dvigubu patvirtinimu. Be patvirtintos registracijos, be tvarkymo sutarties su Intuit arba be įvardyto perdavimo pagrindo pagrindo nėra. Naujienlaiškiuose įprastas atidarymų ir paspaudimų sekimas reikalauja atskiro sutikimo arba turi būti skaidrus.

Ką galite padaryti

• Įjunkite dvigubą patvirtinimą: po registracijos patvirtinimo el. laiškas su aktyvinimo nuoroda, tik po to adresas įtraukiamas į sąrašą.
• Užfiksuokite registracijos laiką, IP ir patvirtinimo laiką (Mailchimp jį saugo lauke „Opt-in“).
• Sudarykite tvarkymo sutartį (Data Processing Addendum) su Intuit; dokumentuokite standartines sutarčių sąlygas arba DPF sertifikatą kaip perdavimo pagrindą.
• Privatumo politikoje nurodykite Mailchimp/Intuit kaip gavėją, perdavimą į JAV, atidarymų ir paspaudimų sekimą ir teisę atšaukti (atsisakymo nuoroda).

Dažni klausimai

Ar vienkartinis patvirtinimas leidžiamas naujienlaiškiams?

Reklaminiams naujienlaiškiams Vokietijos teismų praktika praktiškai visada reikalauja dvigubo patvirtinimo, nes tik taip įrodoma, kad registracija atlikta adreso savininko. Vienkartinis patvirtinimas ginče vargu ar apgintinas.

Ar man reikia tvarkymo sutarties su Mailchimp?

Taip. Mailchimp tvarko el. pašto adresus jūsų vardu. Intuit Data Processing Addendum galioja priėmus sąlygas; turėtumėte jį archyvuoti.

Ar galiu naudoti atidarymų sekimą naujienlaiškiuose?

Tik skaidriai ir idealiu atveju sutikimo pagrindu. Skaičiavimo pikselis ir paspaudimų sekimas kuria elgesio profilius; gavėjai turi būti informuoti, o daugelis duomenų apsaugos ekspertų laiko atskirą sutikimą būtinu.

Ar perdavimas į JAV į Mailchimp yra be problemų po DPF?

Perdavimas iš esmės padengtas EU-US Data Privacy Framework, kol Intuit yra sertifikuota. Sutikimo ir įrodymo pareigos pačiam naujienlaiškiui galioja nepriklausomai.

Kaip padeda consentglass

Nemokama patikra analizuoja pateiktą HTML ir parodo, kokios paslaugos įterptos, ar aptikta slapukų juosta ir ar yra nuorodos į privatumą bei kontaktinius duomenis — su klasifikacija prie kiekvieno radinio. Nepakeičia teisinės konsultacijos.