Bilmeniz gereken her şey, gereksiz hiçbir şey yok.
SMS pazarlaması için yasal dayanak
Madde 6, altı yasal temelden birini şart koşar. Ticari mesajlaşma için pratik olanlar açık rıza (en güvenlisi) veya meşru menfaattir (uygulanabilir ancak denge testi gerektirir ve doğrudan pazarlamanın çoğunu kapsamaz). PECR (Birleşik Krallık/AB ePrivacy rejimi), GDPR Madde 6'ya ek olarak pazarlamaya özel bir onay (opt-in) gerekliliği getirir; pazarlama SMS için her ikisine de ihtiyacınız vardır. İşlemsel SMS (OTP'ler, sipariş onayları) bir onay gerektirmez ancak yine de yasal bir temel gerektirir (genellikle sözleşmenin ifası, Madde 6(1)(b)).
Sınır ötesi transferler
AB dışındaki bir SMSC aracılığıyla AB'deki bir alıcıya SMS göndermek, sınır ötesi veri transferi sayılır. Schrems II (2020) sonrası, Standart Sözleşme Maddeleri'nin (SCC) geçerliliği bir transfer etki değerlendirmesine bağlıdır. ABD merkezli agregatörler için, agregatör sertifikalıysa EU-US Veri Gizliliği Çerçevesi (2023'ten beri yürürlükte) transfer için yasal bir temel sağlar. BroadNet gibi MENA merkezli agregatörler için, AB alıcılı trafik ideal olarak AB bölgesindeki bir SMSC üzerinden yönlendirilmelidir; tam olarak bu amaçla Frankfurt'ta bir SMSC işletmekteyiz.
Silinme hakkı ve STOP işleme
Madde 17, veri sahibine talep üzerine silinme hakkı verir. Mesajlaşma için bu şu anlama gelir: STOP anahtar kelimesi anında uygulanır, alıcının MSISDN'si aktif listelerden temizlenir, ayrılma tercihi saklanır (böylece bir sonraki kampanyada tekrar eklemezsiniz) ve mesaj gövdesi geçmişi, sakladığınız yasal dayanağa bağlı olarak ya silinir ya da anonim hale getirilir. BroadNet , GDPR DSAR yerine getirme işlemi için alıcı başına bir silinme API sunar.
Veri işleyen ve veri sorumlusu
CPaaS bir veri işleyicidir (Madde 28). Siz ise veri sorumlususunuz. İmzalı bir DPA'ya sahip olmalısınız. Alt işleyici değişiklikleri (örneğin, üzerinden yönlendirme yaptığınız operatör ağı) açıklanmalı ve itiraz etme hakkınız olmalıdır. BroadNet, /trust/subprocessors adresinde halka açık bir alt işleyici listesi tutar ve herhangi bir değişiklikten 30 gün önce veri sorumlularına bildirimde bulunur.