En este artículo, resumimos cómo y dónde afecta el GDPR a los usuarios de la Emarsys Marketing Platform y los productos que la conforman.
Índice:
Emarsys no es un despacho jurídico especializado en la legislación de seguridad de datos y no ofrecemos asesoramiento jurídico. Queremos ayudarle a comprender cómo puede afectarle esta legislación como cliente de Emarsys y este artículo da por sentado que utiliza la Emarsys Marketing Platform adecuadamente, conforme a nuestra documentación.
Debería siempre dirigirse a una fuente jurídica cualificada cuando quiera comprobar si cumple o no la legislación en una situación concreta.
GDPR y la Emarsys Platform
Los puntos más importantes del GDPR que le afectan como usuario de Emarsys se describen aquí:
Como resumen, es cosa suya asegurarse de que:
- Tiene métodos robustos y cumplidores para la recolección y almacenamiento de permisos para enviar contenidos de marketing y rastrear y recolectar datos de respuesta y comportamiento.
- Su Política de Privacidad está actualizada y cubre todos sus métodos de compilación y uso de datos y de entrega de mensajes y es fácilmente accesible y visible en el punto de registro de nuevos contactos.
- Sus métodos de baja son tan sencillos como sus métodos de suscripción.
- Puede recolectar y procesar solicitudes para recuperar o eliminar datos de clientes.
Si usa Web Extend para rastrear visitantes a su sitio web, también debería:
- Explicar en su Política de Privacidad que usa tanto datos personales como historial de comportamiento web para proporcionar contenidos personalizados a sus clientes.
- Describir cómo puede darse de baja un cliente del uso de sus datos de esta manera.
Es importante destacar que no hay realmente mucho que haya cambiando con el GDPR en este sentido. Se trata únicamente de que la normativa se expresa más claramente, se espera que la aplicación sea más estricta y las potenciales sanciones son considerablemente mayores.
Si ya cumplía completamente nuestras buenas prácticas de suscripción antes, esperamos que ya cumpla con la mayor parte del GDPR antes de su entrada en vigor.
Dado que no podemos dar asesoramiento (ni directrices) para cubrir todos los casos comerciales, le recomendamos que obtenga asesoramiento jurídico independiente, si le preocupa que el GDPR tenga un impacto sobre su negocio, por ejemplo, en lo que respecta a la suscripción de contactos menores de 16 años.
GDPR y Predict
Predict basa toda su funcionalidad en los datos que le proporcionan los scripts de recolección de datos de Web Extend, que se explican detalladamente en el artículo:
Todos los métodos para proporcionar recomendaciones personalizadas están cubiertos por las directrices generales para GDPR y la Emarsys Platform descritos anteriormente.
GDPR y Smart Insight
Smart Insight basa su funcionalidad en los datos de ventas que carga en Emarsys. Debería dejar claro en su Política de Privacidad que comparte estos datos de forma segura con un proveedor tercero de servicios para poder ofrecer un mejor servicio a sus clientes a través de contenidos personalizados.
El resto de aspectos de la gestión de datos por Smart Insight, incluyendo la creación de segmentos que pueden usarse para personalizar contenidos en los canales de mensajería de Emarsys, están cubiertos por las directrices generales para GDPR y la Emarsys Platform descritas anteriormente.
En el caso de los datos que le proporcionan los scripts de recolección de datos de Web Extend, todo esto se explica detalladamente en el artículo:
GDPR y Web Channel
Web Channel basa toda su funcionalidad en los datos que le proporcionan los scripts de recolección de datos de Web Extend, que se explican detalladamente en el artículo:
GDPR y CRM Ads
El único momento en que CRM Ads traslada datos de Emarsys a un tercero es cuando enviamos una lista de identificadores de contactos hash (en la actualidad, direcciones de email o números de teléfono móvil) a las redes para que puedan buscar coincidencias entre sus propios perfiles de usuario.
Estas direcciones de email se envía como hashes criptográficos. No solo son seguras durante el tránsito, sino que la red que las recibe únicamente puede usarlas para identificar perfiles de usuario para los que los datos ya existen. Si estos datos no existen (p.e., la dirección de email o número de teléfono móvil no se han dado para un perfil), no puede estar descubierto.
Entonces, los perfiles de usuario reconocidos se recolectan en una audiencia personalizada por la red.
En otras palabras: no se trasladan datos personales (PII) a terceros.
Por ello, no hay ningún requisito jurídico para obtener una suscripción explícita para que un contacto use sus datos de esta manera. No obstante, debería indicar claramente en su Política de Privacidad que envía direcciones de email hash a redes para que puedan construir audiencias personalizadas de sus contactos y que targetizará a estas audiencias con anuncios. Aparte de estos, no se transmiten datos personales. Los usuarios de la red pueden gestionar sus propios ajustes de privacidad en la red.
Véase también: CRM Ads - Preguntas más frecuentes.
Condiciones de la red
Como publicista, ha garantizado a la red que ha obtenido los identificadores de contactos usados en los datos hash de manera legítima cuando acepta sus condiciones. Al mismo tiempo, la red garantiza que estos datos sean tratados de conformidad con la ley.
Por ejemplo, Facebook declara:
- "Usted declara y garantiza, sin limitación alguna de estas Condiciones, que cuenta con los derechos y permisos necesarios y un fundamento legítimo para revelar y usar Datos Hash en cumplimiento de la legislación, normativa y directrices del sector aplicables. "
y
- "Usted da instrucciones a Facebook para usar los Datos Hash para el proceso de coincidencia. Facebook no compartirá los Datos Hash con terceros u otros publicistas y eliminará los Datos Hash tan pronto como se complete el proceso de coincidencias. "
Referencias:
- https://www.facebook.com/legal/terms/customaudience
- https://support.google.com/adwordspolicy/answer/6299717?hl=en
Como usuario de la red, sus contactos también han aceptado las condiciones que cubren el uso de anuncios para mostrar. Es cosa de la red informar al usuario sobre cómo puede cambiar sus ajustes de privacidad.
Referencias:
Más allá de esto, actualmente (junio de 2018) no tenemos motivo alguno para creer que el uso de Emarsys CRM Ads está prohibido por el GDPR.
GDPR y SMS
La principal diferencia con SMS com canal es que usamos una red de portadores mundiales para enviar los mensajes de texto. En ese sentido, les enviamos los números de teléfono móvil de contactos junto con el mensaje.
Dado que estos números de teléfono móvil son esenciales para entregar el mensaje y debe haber obtenido el consentimiento explícito para que todos los contactos reciban mensajes de texto, el SMS está cubierto por las directrices generales para GDPR y la Emarsys Platform descritas anteriormente.
GDPR y Mobile Engage
Es cosa suya asegurarse de que el proceso de registro para descargar e instalar su app cubre la suscripción para recibir mensajes y enlaces a su Política de Privacidad.
También debe usar datos con seudónimo para identificar a contactos, tal y como se describe en:
Dado que Mobile Engage únicamente transmite contenidos desde Emarsys a su app, está cubierto de cualquier forma por las directrices generales para GDPR y la Emarsys Platform descritas anteriormente.
GDPR y Reply Mails
Cuando un contacto responde a una de sus campañas por email usando la dirección de respuesta, su respuesta también contiene datos personales y, por tanto, está cubierta por el GDPR.
Recuperación de datos
Si quiere encontrar un email de respuesta de un contacto concreto, puede realizar una búsqueda manual a través de su buzón de entrada de email de respuesta o filtrarlo por fecha. Una vez que encuentra un email, puede abrirlo y copiar el contenido.
No obstante, la única manera en la que puede exportar todos los emails de respuesta de un único contacto o comprobar cuántos hay (p.e., si su buzón de entrada es simplemente demasiado grande para buscar a través de él) se realiza a través de una solicitud a Emarsys.
Borrado de datos
Los emails de respuesta de Emarsys se eliminan automáticamente después de 30 días, que es la ventana que permite el GDPR para borrar datos personales. Por tanto, usted no necesita realizar ninguna acción para solicitudes de este tipo, más allá de de confirmar que se realizará.