Semua yang perlu diketahui, tidak ada yang tidak perlu.
Dasar hukum untuk pemasaran SMS
Pasal 6 mewajibkan salah satu dari enam dasar hukum. Untuk perpesanan komersial, dasar yang praktis adalah persetujuan eksplisit (yang paling aman) atau kepentingan sah (dapat dijalankan tetapi memerlukan uji keseimbangan dan mengecualikan sebagian besar pemasaran langsung). PECR (rezim ePrivacy Inggris/UE) menambahkan persyaratan opt-in khusus pemasaran di atas GDPR Pasal 6 — untuk SMS pemasaran, Anda memerlukan keduanya. SMS transaksional (OTP, konfirmasi pesanan) tidak memerlukan opt-in tetapi tetap memerlukan dasar hukum (biasanya pelaksanaan kontrak, Pasal 6(1)(b)).
Transfer lintas batas
Mengirim SMS ke penerima di Uni Eropa melalui SMSC non-Uni Eropa dianggap sebagai transfer data lintas batas. Setelah Schrems II (2020), validitas Standard Contractual Clauses bergantung pada penilaian dampak transfer. Untuk agregator berbasis AS, UE-US Data Privacy Framework (berlaku sejak 2023) memberikan dasar hukum untuk transfer jika agregator tersebut telah tersertifikasi. Untuk agregator berbasis MENA seperti BroadNet, trafik penerima Uni Eropa idealnya dirutekan melalui SMSC wilayah Uni Eropa; kami mengoperasikan satu di Frankfurt khusus untuk tujuan ini.
Hak penghapusan dan penanganan STOP
Pasal 17 memberikan hak kepada subjek data untuk penghapusan atas permintaan. Untuk perpesanan, ini berarti: kata kunci STOP dihormati segera, MSISDN penerima dihapus dari daftar aktif, preferensi opt-out tetap disimpan (sehingga Anda tidak menambahkannya kembali pada kampanye berikutnya), dan riwayat isi pesan dihapus atau dianonimkan tergantung pada dasar hukum tempat Anda menyimpannya. BroadNet menyediakan API penghapusan per-penerima untuk pemenuhan GDPR DSAR.
Prosesor vs pengendali
CPaaS Anda adalah prosesor (Pasal 28). Anda adalah pengendali. Anda harus memiliki DPA yang ditandatangani. Perubahan subprosesor (misalnya, jaringan operator yang Anda gunakan untuk perutean) harus diungkapkan dan Anda harus memiliki hak untuk keberatan. BroadNet menyediakan daftar subprosesor publik di /trust/subprocessors dan memberi tahu pengendali 30 hari sebelum ada perubahan.