详细回答
只提供有价值的信息，杜绝冗余。
§01
短信营销的法律依据
第6条要求具备六种合法依据之一。对于商业消息服务，实际可行的依据是明确同意（最安全）或合法利益（可行，但需要进行平衡测试，且排除大多数直接营销）。PECR（英国/欧盟ePrivacy制度）在GDPR第6条的基础上增加了针对营销的选择性加入（opt-in）要求——对于营销短信，您需要同时满足这两者。交易类短信（OTP、订单确认）不需要选择性加入，但仍需具备合法依据（通常为履行合同，即第6(1)(b)条）。
§02
跨境转账
通过非欧盟SMSC向欧盟接收者发送短信被视为跨境数据传输。在Schrems II (2020)之后，标准合同条款的有效性取决于传输影响评估。对于总部位于美国的聚合商，如果该聚合商已获得认证，则欧盟-美国数据隐私框架（自2023年起生效）为数据传输提供了法律依据。对于像BroadNet这样总部位于中东及北非的聚合商，欧盟接收者的流量理想情况下应通过欧盟地区的SMSC通道传输；我们恰好在法兰克福运营着一个这样的SMSC。
§03
删除权与STOP处理
第17条赋予了数据主体根据请求行使删除权的权利。对于消息服务而言，这意味着：立即执行STOP关键词指令、从活动列表中清除接收者的MSISDN、保留退订偏好（以便您在下次营销活动中不会重新添加他们），并根据您存储时所依据的合法依据，对消息正文历史记录进行删除或匿名化处理。BroadNet为履行GDPR DSAR提供针对每个接收者的删除API。
§04
处理者与控制者
您的CPaaS是处理者（第28条）。您是控制者。您必须签署DPA。子处理者的变更（例如您所使用的运营商路由网络）必须予以披露，且您必须拥有反对权。BroadNet在/trust/subprocessors维护一份公开的子处理者列表，并在任何变更发生前30天通知控制者。