Todo lo que vale la pena saber, nada que no lo sea.
Base legal para el marketing por SMS
El artículo 6 exige una de las seis bases legales. Para la mensajería comercial, las más prácticas son el consentimiento explícito (la más segura) o el interés legítimo (viable, pero requiere ponderación y excluye la mayor parte del marketing directo). El PECR (el régimen de privacidad electrónica del Reino Unido y la UE) añade un requisito de consentimiento explícito específico para marketing, además del artículo 6 del RGPD; para los SMS de marketing, se necesitan ambos. Los SMS transaccionales (OTP, confirmaciones de pedidos) no requieren consentimiento explícito, pero sí una base legal (normalmente la ejecución del contrato, artículo 6(1)(b)).
Transferencias transfronterizas
El envío de un SMS a un destinatario de la UE a través de un SMSC fuera de la UE se considera una transferencia de datos transfronteriza. Tras la sentencia Schrems II (2020), la validez de las cláusulas contractuales tipo depende de una evaluación del impacto de la transferencia. Para los agregadores con sede en EE. UU., el Marco de Protección de Datos UE-EE. UU. (en vigor desde 2023) proporciona una base legal para la transferencia si el agregador está certificado. Para los agregadores con sede en la región MENA, como BroadNet, lo ideal es que el tráfico de destinatarios de la UE se enrute a través de un SMSC de la UE; nosotros gestionamos uno en Fráncfort precisamente para este fin.
Derecho de supresión y STOP (Detener el tratamiento)
El artículo 17 otorga al interesado el derecho a la supresión de sus datos a petición propia. En el ámbito de la mensajería, esto implica: la palabra clave STOP se respeta de inmediato, el MSISDN del destinatario se elimina de las listas activas, se conserva la preferencia de exclusión (para que no se vuelva a añadir al destinatario en la próxima campaña) y el historial del cuerpo del mensaje se elimina o se anonimiza según la base legal con la que se almacenó. BroadNet ofrece una API de supresión por destinatario para el cumplimiento de las solicitudes de acceso a datos personales (DSAR) del RGPD.
Procesador frente a controlador
Su CPaaS actúa como procesador (Artículo 28). Usted es el responsable del tratamiento. Debe contar con un Acuerdo de Procesamiento de Datos (DPA) firmado. Los cambios en los subprocesadores (por ejemplo, la red del operador a través de la cual enruta el tráfico) deben ser divulgados y usted debe tener derecho a oponerse. BroadNet mantiene una lista pública de subprocesadores en /trust/subprocessors y notifica a los responsables del tratamiento con 30 días de antelación a cualquier cambio.