Tudo o que vale a pena saber, nada do que não vale.
Fundamento jurídico para o marketing por SMS
O Artigo 6 exige uma das seis bases legais. Para mensagens comerciais, as mais práticas são o consentimento explícito (o mais seguro) ou o interesse legítimo (viável, mas que requer análise de equilíbrio e exclui a maior parte do marketing direto). O PECR (o regime de privacidade eletrónica do Reino Unido/UE) adiciona um requisito de adesão específico para marketing, além do Artigo 6 do GDPR — para SMS de marketing, ambos são necessários. SMS transacionais (códigos de verificação, confirmações de pedidos) não exigem adesão, mas ainda requerem uma base legal (geralmente a execução do contrato, Artigo 6(1)(b)).
Transferências transfronteiriças
O envio de um SMS para um destinatário na UE através de um SMSC fora da UE é considerado uma transferência de dados transfronteiriça. Após o caso Schrems II (2020), a validade das Cláusulas Contratuais Padrão depende de uma avaliação do impacto da transferência. Para agregadores sediados nos EUA, o Quadro de Privacidade de Dados UE-EUA (em vigor desde 2023) fornece uma base legal para a transferência, caso o agregador seja certificado. Para agregadores sediados no MENA, como a BroadNet, o tráfego destinado a destinatários na UE deve, idealmente, ser encaminhado através de um SMSC na região da UE; operamos um em Frankfurt exatamente para isso.
Direito ao apagamento e à interrupção do processamento.
O Artigo 17 concede ao titular dos dados o direito ao apagamento mediante solicitação. Para mensagens, isso significa: a palavra-chave STOP é respeitada imediatamente, o MSISDN do destinatário é removido das listas ativas, a preferência de cancelamento de subscrição é mantida (para que você não os adicione novamente na próxima campanha) e o histórico do corpo da mensagem é excluído ou anonimizado, dependendo da base legal sob a qual você armazenou os dados. A BroadNet disponibiliza uma API de apagamento por destinatário para o cumprimento da solicitação de acesso a dados pessoais (DSAR) do GDPR.
Processador vs. controlador
O seu CPaaS é um processador (Artigo 28). Você é o controlador. Você deve ter um DPA assinado. Alterações no subprocessador (por exemplo, a rede da operadora pela qual você encaminha os dados) devem ser divulgadas e você deve ter o direito de se opor. A BroadNet mantém uma lista pública de subprocessadores em /trust/subprocessors e notifica os controladores 30 dias antes de qualquer alteração.