Jak obsłużyć rezygnację, listę blokad i retencję SMS
Rezygnacja musi zatrzymać właściwy cel we wszystkich systemach. Minimalna lista blokad zapobiega ponownemu kontaktowi, a retencja wymaga osobnych reguł dla każdego zbioru.
Opt-out nie jest dopiskiem przygotowanym po zakończeniu kampanii. To ścieżka, która zaczyna się w treści, przechodzi przez odpowiedź lub ustawienia, zatrzymuje kolejkę i pozostaje skuteczna przy następnym imporcie. Jeżeli działa tylko w jednym narzędziu, osoba może ponownie trafić na listę mimo prawidłowo zgłoszonej rezygnacji.
Proces powinien rozpoznawać co najmniej wycofanie zgody, sprzeciw wobec marketingu bezpośredniego, zmianę preferencji i zgłoszenie błędnego numeru. Te żądania mogą mieć inny zakres, ale dla odbiorcy wejście musi być proste.
Wycofanie zgody i sprzeciw nie są tym samym
Jeżeli przetwarzanie opiera się na zgodzie, RODO wymaga, aby można ją było wycofać równie łatwo, jak udzielić. Wycofanie działa na przyszłość i nie zmienia zgodności wcześniejszego przetwarzania opartego na zgodzie przed jej wycofaniem. Art. 400 PKE nakazuje odpowiednio stosować przepisy o ochronie danych osobowych do uzyskania zgody abonenta lub użytkownika końcowego.
Niezależnie od tego art. 21 RODO daje osobie prawo sprzeciwu wobec przetwarzania danych do celów marketingu bezpośredniego. W tym zakresie sprzeciw jest bezwarunkowy: danych nie wolno dalej przetwarzać do takiego celu. Nie wymagaj od odbiorcy uzasadnienia ani rozmowy sprzedażowej przed wykonaniem żądania.
Zmiana preferencji może być węższa, na przykład dotyczyć jednej kategorii opcjonalnych powiadomień. Zgłoszenie „to nie mój numer” dotyczy z kolei jakości danych i możliwego ujawnienia. System powinien zapisać właściwy skutek zamiast redukować wszystkie przypadki do jednego ogólnego pola.
Mechanizm rezygnacji musi odpowiadać trasie
Polecenie odpowiedzi słowem ma sens tylko wtedy, gdy numer odbiera SMS-y, a system i zespół obsługują odpowiedzi. Przetestuj małe i wielkie litery, literówki oraz zwykłe zdanie opisujące zamiar. Człowiek nie powinien pozostać w marketingu dlatego, że nie odgadł dokładnej komendy.
Przy jednostronnym nadawcy wskaż inny łatwo dostępny kanał, na przykład znane ustawienia w oficjalnym serwisie. Nie obiecuj odpowiedzi na alias i nie ukrywaj rezygnacji za niepotrzebnym logowaniem lub żądaniem dodatkowych danych. Potwierdzenie zmiany powinno być krótkie, wolne od promocji i precyzować zakres.
Kolejka musi sprawdzić najnowszy stan
Wyłączenie zapisane dziś nie pomoże, jeśli jutrzejsza wysyłka korzysta z wczorajszego eksportu. Przed każdą próbą system powinien zastosować aktualne reguły i listę blokad. Gdy kampania jest już w kolejce, żądanie musi dotrzeć do mechanizmu, który potrafi usunąć pozostałe wiadomości dla danego celu.
Lista blokad powinna być minimalna i odporna na ponowny import
Jej zadaniem jest uniemożliwić ponowne dodanie osoby do określonej komunikacji. Pełny profil, treść wszystkich SMS-ów i historia aktywności zwykle nie są do tego potrzebne. Można rozważyć ograniczony identyfikator, zakres wyłączenia, datę i źródło żądania oraz informację potrzebną do rozliczalności, przy odpowiedniej kontroli dostępu.
Nie ma jednak automatycznej zasady „zachowaj na zawsze”. Administrator musi określić podstawę, cel i okres albo kryteria przeglądu. Usunięcie całego zapisu może prowadzić do ponownego kontaktu, lecz bezterminowe gromadzenie szczegółowej historii także wymagałoby wykazania konieczności. Rozwiązanie powinno zachować minimum pozwalające respektować wybór.
Synchronizację sprawdź w każdym źródle: systemie relacji, hurtowni, narzędziu kampanii, plikach partnera i kopiach roboczych. Raportuj opóźnienia oraz błędy. Nie wysyłaj kolejnej promocji z przeprosinami, jeśli osoba już sprzeciwiła się marketingowi.
Retencja potrzebuje kilku zegarów
Lista robocza, dowód zgody, lista blokad, zaakceptowany szablon, log transmisji, odpowiedź odbiorcy, raport zagregowany i dokumentacja incydentu mają różne cele. Dla każdego zbioru zapisz właściciela, zakres, podstawę, miejsce, dostęp, okres lub kryterium usunięcia oraz sposób bezpiecznego zniszczenia. Termin dostawcy nie powinien domyślnie stawać się polityką administratora.
Po wysyłce usuń eksporty z pulpitów, skrzynek i katalogów współdzielonych, jeśli nie są już potrzebne. Ogranicz logi do informacji niezbędnych do obsługi, rozliczenia i bezpieczeństwa. Wyniki długoterminowe można często zachować w postaci zagregowanej albo zanonimizowanej, o ile anonimizacja jest rzeczywista, a nie tylko polega na ukryciu jednej kolumny.
Błędna wysyłka uruchamia procedurę, nie masowe uspokojenie
Gdy wiadomość trafia do niewłaściwej grupy, zawiera błędne dane albo omija wyłączenia, natychmiast zatrzymaj kolejkę i ponowienia. Zabezpiecz wersję treści, źródło listy, czasy, zakres odbiorców, statusy i wykonane działania, ale nie rozsyłaj pełnej bazy w szerokim wątku. Ogranicz dostęp i zmień dane dostępowe, jeśli mogły zostać przejęte.
Następnie ustal, czy doszło do naruszenia ochrony danych osobowych i jakie jest ryzyko dla praw lub wolności osób. RODO przewiduje zgłoszenie organowi bez zbędnej zwłoki, w miarę możliwości nie później niż 72 godziny od stwierdzenia, chyba że jest mało prawdopodobne, by naruszenie skutkowało takim ryzykiem. Zawiadomienie osób wiąże się z wysokim ryzykiem i podlega odrębnym warunkom. Nie każda techniczna awaria daje ten sam wynik, dlatego ocenę trzeba wykonać na konkretnych faktach z udziałem właściwych ról.
Podszywanie się pod nadawcę także wymaga planu
Jeżeli ktoś wykorzystuje nazwę organizacji w oszukańczej kampanii, zachowaj próbki bez dalszego rozpowszechniania danych, powiadom dostawcę i zespół bezpieczeństwa oraz przekaż odbiorcom informację przez niezależny, znany kanał, jeżeli ocena tego wymaga. CERT Polska przyjmuje zgłoszenia incydentów, a podejrzany SMS można przekazać na numer 8080. Nie odpowiadaj na podszywanie się nowym komunikatem zawierającym podobny presyjny link.
Zamknięcie żądania musi być sprawdzalne
Próbka kontrolna powinna potwierdzić, że wyłączony numer nie wraca po ponownym imporcie, odpowiedzi są obsłużone, eksporty usunięte, a okresy retencji mają właściciela. Raportuj czas od żądania do zatrzymania, liczbę ponownych kontaktów po wyłączeniu i przyczyny błędów. To lepszy miernik niż sama liczba osób, które kliknęły „rezygnuję”.
Jeżeli proces nie potrafi od razu zastosować sprzeciwu lub zatrzymać kolejki, nie uruchamiaj kolejnej kampanii. Najpierw napraw przepływ. Skala zwiększa wartość sprawnego mechanizmu wyłączeń dokładnie tak samo, jak zwiększa skutek jego braku.