알아야 할 모든 정보, 불필요한 정보는 없습니다.
문자 마케팅을 위한 법적 근거
제6조는 6가지 법적 근거 중 하나를 요구합니다. 기업 메시징의 경우 실질적인 근거는 명시적 수신 동의(가장 안전함) 또는 정당한 이익(실행 가능하지만 균형 테스트가 필요하며 대부분의 직접적인 마케팅은 제외됨)입니다. PECR(영국/EU ePrivacy 규정)은 GDPR 제6조에 더해 마케팅 전용 수신 동의 요건을 추가합니다. 마케팅용 문자의 경우 이 두 가지가 모두 필요합니다. 트랜잭션 문자(OTP, 주문 확인 등)는 수신 동의가 필요하지 않지만, 여전히 법적 근거(통상 계약 이행, 제6조(1)(b))가 필요합니다.
국가 간 데이터 전송
비EU 지역 SMSC를 통해 EU 수신자에게 SMS를 전송하는 것은 국경 간 데이터 전송으로 간주됩니다. Schrems II(2020) 판결 이후, 표준 계약 조항(SCC)의 유효성은 전송 영향 평가에 따라 달라집니다. 미국 기반 애그리게이터의 경우, 애그리게이터가 인증을 받았다면 EU-US 데이터 프라이버시 프레임워크(2023년부터 시행)가 전송에 대한 법적 근거를 제공합니다. BroadNet과 같은 중동·북아프리카 기반 애그리게이터의 경우, EU 수신자 트래픽은 이상적으로 EU 지역 SMSC를 통해 경로를 지정해야 하며, 당사는 바로 이 목적을 위해 프랑크푸르트에 SMSC를 운영하고 있습니다.
삭제 권리 및 수신 거부(STOP) 처리
제17조는 정보 주체에게 요청 시 삭제권을 부여합니다. 메시징의 경우 이는 다음을 의미합니다: STOP 키워드를 즉시 반영하고, 수신자의 MSISDN을 활성 리스트에서 삭제하며, 수신 거부 설정을 유지하여(다음 캠페인에서 재등록되지 않도록 함) 다음 캠페인에서 재등록되지 않도록 하고, 저장된 법적 근거에 따라 메시지 본문 이력을 삭제하거나 익명화해야 합니다. BroadNet은 GDPR DSAR 이행을 위한 수신자별 삭제 API를 제공합니다.
처리자(Processor) vs 컨트롤러(Controller)
귀사의 CPaaS는 처리자(Article 28)이며, 귀사는 컨트롤러입니다. 반드시 서명된 DPA를 보유해야 합니다. 하위 처리자 변경(예: 메시지가 경유하는 통신사 네트워크)은 반드시 공개되어야 하며, 귀사는 이에 대해 이의를 제기할 권리가 있습니다. BroadNet은 /trust/subprocessors에서 공개 하위 처리자 목록을 유지하며, 변경 사항이 있을 경우 30일 전에 컨트롤러에게 통지합니다.