Использование Mailchimp в соответствии с защитой данных

Mailchimp (Intuit Inc., США) обрабатывает адреса электронной почты, поведение открытия и кликов и встраивает в письма счётный пиксель. Сервису нужны чистое согласие и задокументированная передача в США.

Double opt-in — не значение по умолчанию в Mailchimp, а настройка для каждой аудитории: в Settings → Audience name and defaults должно быть активно «Enable double opt-in». Без этой настройки каждый введённый через форму адрес сразу попадает в список — одиночный opt-in, который трудно доказать в споре и который немецкие суды регулярно считают недостаточным для рекламных писем.

Второй строительный блок — договор поручения обработки. Intuit предоставляет Data Processing Addendum, действующий при принятии условий использования; содержащиеся стандартные договорные положения или сертификация DPF Intuit являются основанием для передачи при обработке в США. Оба следует задокументировать и упомянуть в политике конфиденциальности.

Активное по умолчанию в кампаниях Mailchimp отслеживание (открытия писем через счётный пиксель, клики через переписанные ссылки) создаёт профили использования. Чистый подход — либо отключить это отслеживание, либо включить его в согласие и раскрыть в политике конфиденциальности. Общей пометки «мы используем Mailchimp» недостаточно.

Это риск?

Для рассылки правовым основанием, как правило, является согласие (ст. 6 п. 1 подп. a GDPR), подтверждённое через double opt-in. Без подтверждённой подписки, без договора поручения обработки с Intuit или без названного основания для передачи основание отсутствует. Обычное для рассылок отслеживание открытий и кликов требует отдельного согласия или должно быть прозрачным.

Что вы можете сделать

• Активируйте double opt-in: после подписки письмо-подтверждение со ссылкой активации, и только затем адрес добавляется в список.
• Фиксируйте время подписки, IP и время подтверждения (Mailchimp хранит это в поле «Opt-in»).
• Заключите договор поручения обработки (Data Processing Addendum) с Intuit; задокументируйте стандартные договорные положения или сертификацию DPF как основание для передачи.
• В политике конфиденциальности укажите Mailchimp/Intuit как получателя, передачу в США, отслеживание открытий и кликов и право на отзыв (ссылка для отписки).

Частые вопросы

Допустим ли одиночный opt-in для рассылок?

Для рекламных рассылок немецкая судебная практика практически всегда требует double opt-in, потому что только так можно доказать, что подписка исходит от владельца адреса. Одиночный opt-in едва защитим в споре.

Нужен ли мне договор поручения обработки для Mailchimp?

Да. Mailchimp обрабатывает адреса электронной почты по вашему поручению. Data Processing Addendum от Intuit действует при принятии условий; вам следует его архивировать.

Можно ли использовать отслеживание открытий в рассылках?

Только прозрачно и в идеале на основании согласия. Счётный пиксель и отслеживание кликов создают поведенческие профили; получателей нужно информировать, и многие эксперты по защите данных считают отдельное согласие необходимым.

Безопасна ли передача в США в Mailchimp после DPF?

Передача в принципе покрыта EU-US Data Privacy Framework, пока Intuit сертифицирована. Обязанности по согласию и доказыванию для самой рассылки действуют независимо от этого.

Как помогает consentglass

Бесплатная проверка анализирует предоставленный HTML и показывает, какие сервисы встроены, обнаружен ли баннер cookie и есть ли ссылки на конфиденциальность и контактные данные — с классификацией для каждого вывода. Не заменяет юридическую консультацию.