Usar o Mailchimp em conformidade com a proteção de dados

O Mailchimp (Intuit Inc., EUA) trata endereços de e-mail, comportamento de abertura e clique e incorpora nos e-mails um pixel de contagem. O serviço precisa de um consentimento limpo e de uma transferência para os EUA documentada.

O double opt-in não é a predefinição no Mailchimp, mas uma definição por audiência: em Settings → Audience name and defaults tem de estar ativo «Enable double opt-in». Sem esta definição, qualquer endereço introduzido através de um formulário entra imediatamente na lista — um opt-in simples difícil de comprovar num litígio e que os tribunais alemães consideram regularmente insuficiente para e-mails publicitários.

O segundo elemento é o contrato de subcontratação. A Intuit disponibiliza um Data Processing Addendum que se aplica com a aceitação das condições de utilização; as cláusulas contratuais-tipo nele contidas ou a certificação DPF da Intuit são a base de transferência para o tratamento nos EUA. Ambos devem ser documentados e mencionados na política de privacidade.

O rastreamento ativo por predefinição nas campanhas do Mailchimp (aberturas de e-mail através de um pixel de contagem, cliques através de ligações reescritas) cria perfis de utilização. A abordagem limpa é desativar esse rastreamento ou incluí-lo no consentimento e divulgá-lo na política de privacidade. Uma nota genérica «usamos o Mailchimp» não é suficiente.

Isto é um risco?

Para o envio da newsletter, a base jurídica é, em regra, o consentimento (art. 6.º n.º 1 al. a) do RGPD), comprovado através de double opt-in. Sem uma inscrição confirmada, sem um contrato de subcontratação com a Intuit ou sem uma base de transferência nomeada, falta a base. O rastreamento de aberturas e cliques habitual nas newsletters exige consentimento separado ou deve ser tornado transparente.

O que pode fazer

• Ative o double opt-in: após a inscrição, um e-mail de confirmação com uma ligação de ativação; só depois o endereço é adicionado à lista.
• Registe a hora da inscrição, o IP e a hora da confirmação (o Mailchimp guarda isto no campo «Opt-in»).
• Celebre um contrato de subcontratação (Data Processing Addendum) com a Intuit; documente as cláusulas contratuais-tipo ou a certificação DPF como base de transferência.
• Na política de privacidade, indique o Mailchimp/Intuit como destinatário, a transferência para os EUA, o rastreamento de aberturas e cliques e o direito de retirada (ligação de cancelamento).

Häufige Fragen

Um opt-in simples é permitido para newsletters?

Para newsletters publicitárias, a jurisprudência alemã exige praticamente sempre um double opt-in, porque só assim se pode comprovar que a inscrição vem do titular do endereço. Um opt-in simple dificilmente se sustenta num litígio.

Preciso de um contrato de subcontratação para o Mailchimp?

Sim. O Mailchimp trata os endereços de e-mail por sua conta. O Data Processing Addendum da Intuit aplica-se com a aceitação das condições; deve arquivá-lo.

Posso usar o rastreamento de aberturas nas newsletters?

Apenas de forma transparente e, idealmente, com base no consentimento. O pixel de contagem e o rastreamento de cliques criam perfis de comportamento; os destinatários têm de ser informados e muitos especialistas em proteção de dados consideram necessário um consentimento separado.

A transferência para os EUA para o Mailchimp é inofensiva após o DPF?

A transferência está em princípio coberta pelo EU-US Data Privacy Framework enquanto a Intuit se mantiver certificada. As obrigações de consentimento e de prova para a própria newsletter aplicam-se independentemente disso.

Como o consentglass ajuda

A análise gratuita verifica o HTML entregue e mostra que serviços estão incorporados, se é detetado um banner de cookies e se as ligações para privacidade e informação legal estão presentes — com enquadramento para cada constatação. Não substitui aconselhamento jurídico.