GDPR kapsamında B2B soğuk e-posta: gerçekte neye izin var?

Her B2B ekibi ilk kampanyadan önce aynı soruyu sorar: bizden hiçbir şey istememiş işletmelere e-posta atabilir miyiz? Avrupa'nın büyük bölümünde yanıt evet, belirli koşullarla. Bu yazının tamamı o koşullardan ibaret.

Kafa karışıklığı genellikle iki ayrı düzenlemenin birbirine karışmasından doğar. GDPR, verileri tutup kullanabilir misiniz onu belirler. ePrivacy direktifinden gelen ve her ülkenin kendi ulusal yasasına ayrı ayrı aktardığı elektronik pazarlama kuralları ise mesajı gönderebilir misiniz onu belirler. İkisine birden uymanız gerekir ve ülkelerin ayrıştığı yer ikincisidir. Türkiye'de kişisel verilerin korunmasına ilişkin ulusal düzenleme KVKK'dır; bu yazı Avrupa Birliği çerçevesini anlatır.

Bu yazı genel bilgidir, hukuki danışmanlık değildir. Kendi durumunuz için kendi ülkenizde bir avukata danışın.

Bir işletme adresi ile adı geçen bir kişi aynı şey değildir

GDPR kişisel verileri korur: kimliği belirli veya belirlenebilir, yaşayan bir gerçek kişiye ilişkin bilgileri. Şirket kişi değildir. Bir fırının ticari adresi, santral numarası ve [email protected] gibi genel bir kutusu tüzel kişiye aittir, dolayısıyla tüzüğün bunlar hakkında söyleyeceği çok daha azdır.

Kayıtta bir insan göründüğü anda sınır kayar. Ad ve soyaddan kurulmuş bir adres kişisel veridir; "sahibi: Maria Santos" yazan bir kayıt da öyledir. En zor durum şahıs işletmesidir: tek kişilik bir işletmede şirket adresi çoğu zaman kişinin adresidir, yani tablonuzdaki aynı satır hem işletme verisi hem kişisel veridir.

Hukukçu olmayanlar için işe yarar bir kural: bir insanı adıyla anan her kaydı kişisel veri sayın ve seçme şansınız varsa işletmenin kendi yayımladığı kanalı tercih edin.

Meşru menfaat, B2B erişimin olağan hukuki sebebi

GDPR altı hukuki sebep sayar. Soğuk erişim için yalnızca ikisi gerçekçidir: tanımı gereği henüz sahip olmadığınız açık rıza ve meşru menfaat.

GDPR metnindeki 47. gerekçe, kişisel verilerin doğrudan pazarlama amacıyla işlenmesinin meşru menfaate dayalı sayılabileceğini söyler. "Sayılabilir" kelimesine dikkat edin. Avrupa denetim otoriteleri açıkça belirtti: doğrudan pazarlama kendiliğinden meşru değildir, bunu göstermek size düşer. Bu da üç aşamalı bir testtir:

• Gerçek bir menfaat. Somut, güncel ve hukuka uygun bir şey. "Diş kliniklerine randevu yazılımı satıyoruz ve Lyon'da bu yazılımı kullanmayan kliniklere ulaşmak istiyoruz" bir menfaattir. "Daha çok potansiyel müşteri istiyoruz" değildir.
• Gereklilik. Aynı sonuca daha az kişisel veriyle ulaşabilir misiniz? İşletmenin genel kutusu işi görüyorsa, adı geçen bir kişinin adresine ihtiyacınız yoktur.
• Denge testi. Kişinin hakları ve makul beklentileri sizin menfaatinizin önüne geçiyor mu? İş adresinden, gerçekten görevine ilişkin bir konuda ulaşılan biri, evindeki bir bireye kıyasla bu mesajı çok daha fazla bekler.

Dengeyi lehinize çeviren şeyler gösterişsizdir: teklif işletmenin yaptığı işe uyar, asgari veriyi toplarsınız, kim olduğunuzu dürüstçe söylersiniz ve hayır demek ücretsiz ve kolaydır. Aleyhinize çevirenler: satın alınmış bir liste, gizlenmiş bir gönderen ve üç alanlı bir çıkış formu.

Bu değerlendirmeyi şikâyetten sonra değil, kampanyadan önce yazın. Bir sayfa yeter. Bir fırıncının neden fırın yazılımıyla ilgili bir e-posta beklemesi gerektiğini açıklayamıyorsanız, elinizde bir gerekçe yok demektir.

Veriler kişinin kendisinden gelmediğinde bilgilendirme yükümlülüğü

GDPR metnindeki 14. madde tam olarak soğuk erişimin durumunu anlatır: kişisel verileri, ilgili kişiden değil başka bir kaynaktan edindiniz; örneğin kamuya açık bir kayıttan veya bir şirket sitesinden. Bu durumda o kişiye bilgi borçlusunuz.

Liste sabittir: kim olduğunuz ve size nasıl ulaşılacağı, amaçlar ve hukuki sebep, elinizdeki veri kategorileri, verileri başka kimlerin aldığı, ne kadar süre sakladığınız, nereden edindiğiniz ve kaynağın kamuya açık olup olmadığı, ayrıca kişinin hakları: erişim, düzeltme, silme, kısıtlama, itiraz ve denetim otoritesine şikâyet. Meşru menfaate dayanıyorsanız o menfaati açıkça belirtin.

En çok yanlış anlaşılan kısım zamanlamadır. Kural, makul bir süre ve en geç verileri edinmenizden bir ay sonrasıdır. Ancak verileri kişiyle iletişim kurmak için kullanıyorsanız süre öne çekilir ve ilk iletişim anına gelir. Soğuk e-postada bu, ikinci e-posta değil, ilk e-postanın kendisidir.

Uygulamada mesajın altındaki kısa bir paragraf işi görür: kim olduğunuz, işletmeyi nerede bulduğunuz, neden yazdığınız ve tam listeyi taşıyan bir gizlilik sayfasına bağlantı. 14. maddede istisnalar vardır, orantısız çaba da bunlardan biridir, ama pazarlamayı bunlara dayandırmayın. O paragrafı yazmak, istisnayı tartışmaktan ucuzdur.

ePrivacy katmanı ve kararı neden ülkenin verdiği

Sağlam bir meşru menfaatiniz olsa bile gönderme fiili elektronik pazarlama kurallarına tabidir. Bu kurallar tüzük olarak değil direktif olarak geldiği için her ülke kendi sürümünü yazdı ve sürümler gerçekten farklı. Üç ülke, ana hatlarıyla.

Hollanda. Spam kuralları telekomünikasyon yasasında yer alır ve tüketici ve piyasa otoritesi ACM tarafından uygulanır. Yaygın bir efsane, Hollanda yasağının yalnızca tüketicileri koruduğudur. Öyle değil: işletmeleri de kapsar, dolayısıyla şirketlere yazarken başlangıç noktası rızadır; mevcut müşteri ilişkisi gibi dar istisnalar vardır. Hangi yolu seçerseniz seçin, gönderen açıkça tanınabilir olmalı ve her mesajda hızlı ve ücretsiz bir çıkış yolu bulunmalıdır.

Almanya. Üçünün en katısı. E-posta reklamı, haksız rekabet hukuku uyarınca kural olarak önceden açık rıza gerektirir; mahkemeler ticari alıcılar veya genel şirket kutuları için genel bir istisna tanımadı ve rızayı ispat yükü gönderendedir. Almanya'yı rızanın önce geldiği bir pazar olarak ele alın.

Fransa. B2B için üçünün en uygulanabiliri. Ulusal otorite CNIL, bir profesyonele iş adresinden ulaşmanın meşru menfaate dayanabileceğini kabul eder; yeter ki mesaj o kişinin işiyle ilgili olsun, gönderen tanınabilsin ve her mesaj itiraz için basit ve ücretsiz bir yol sunsun. contact@ veya info@ gibi genel adresler bireye değil şirkete aittir.

Bir ayrım her yerde önemlidir: birçok ülke şahıs işletmesini tüketici gibi ele alır, çünkü tek kişilik bir işletme hukuken gerçek kişidir. Listeniz bir limited şirketi şahıs işletmesinden ayıramıyorsa, o satıra daha katı kuralı uygulayın.

Bu yüzden gönderimden sonra değil, önce ülkeye göre bölümleyin. Rızanın fiilen zorunlu olduğu yerlerde önce başka bir kanal kullanın ve soğuk e-postayı itiraz rejimi olan ülkelere saklayın.

Kayıtlar, silme talepleri ve engelleme listesi

İşleme faaliyetleri kaydı. 30. madde veri sorumlularından yazılı bir kayıt ister: amaçlar, veri ve kişi kategorileri, alıcılar, saklama süreleri, aktarımlar ve güvenlik önlemlerinizin genel bir tarifi. 250 çalışanın altındaki kuruluşlar için bir istisna vardır, ancak işleme arızi değil düzenli hale gelir gelmez bu istisna düşer. Süregelen bir erişim programı tanımı gereği düzenlidir, dolayısıyla kaydı tutun.

Silme talepleri. Biri "beni listenizden çıkarın" diye yanıt verdiğinde bu bir itirazdır. Doğrudan pazarlamada itiraz mutlaktır: denge testi yoktur, durursunuz. Hızlı hareket edin, gerekçe sormayın ve talep söz konusu adresten geliyorsa kimlik belgesi istemeyin.

Engelleme listesi. Tuzak burada. "Beni silin" talebini kaydın tamamını silerek karşılarsanız, aynı işletmeyi gelecek çeyreğin aramasında yeniden bulur ve yeniden yazarsınız. Adresi tanımaya yetecek asgari bilgiyi, yalnızca göndermeyi engellemek için kullanılan ayrı bir listede saklayın ve her kampanyayı bu listeyle karşılaştırın. O tek alan silme talebinin ihlali değildir, verdiğiniz sözü tutmanın yoludur.

Kurallar ne istiyor, Leadralia bunu nasıl çözüyor

Leadralia bunu nasıl ürünün içine koyuyor

Bunlar bir politika sayfasındaki vaatler değil, ürünün davranışlarıdır.

Yalnızca kamuya açık işletme verisi. Her kayıt, işletmenin kendisi hakkında yayımladığı bilgiden gelir: kamuya açık kaydı ve kendi sitesi. Satın alınmış veri tabanı yok, veri simsarı yok; 14. madde notunuzdaki kaynak satırının kısa ve doğru olmasının nedeni de bu.

Kaynak ve çıkış yolu mesajla birlikte gider. Her mesaj tek satırlık bir kaynak cümlesiyle (işletme bilgileri herkese açık çevrimiçi kaynaklardan alınmıştır) ve şunu söyleyen bir satırla biter: bu adrese "hayır" yazın, size başka e-posta gönderilmez. O adrese ulaşan her şey, Leadralia'daki tüm gönderenler için otomatik olarak işlenir ve Belçika'ya giden e-postalarda ayrıca bir abonelikten çıkma bağlantısı bulunur. Yani yanlışlıkla bunlar olmadan kampanya gönderemezsiniz.

Önce doğrulama, sonra kayıt. Adresler gönderim mümkün olmadan önce doğrulanır, kalıcı dönüşler hatırlanır ve her tahsilat ile her iade cüzdan geçmişinize yazılır.

Kaldırma self servis ve anında. Sistemde yer almak istemeyen bir işletme bunu sitedeki veri hakları portalından söyler ve işlem hemen gerçekleşir. Leadralia verileri asla satmaz ve GDPR kapsamında çalışır.

Ürünün geri kalanını sade bir dille okumak isterseniz: Leadralia ne yapar.

Soğuk e-posta kontrol listesi

Bunu kopyalayın ve her kampanyadan önce baştan sona geçin.

1. Meşru menfaat değerlendirmesini yazın: menfaat, verinin neden gerekli olduğu, alıcının mesajı neden bekleyeceği.
2. Listedeki her ülkenin kurallarını kontrol edin ve listeyi bölün. Rızanın önce geldiği pazarlara soğuk e-posta gitmez.
3. Şahıs işletmelerini işaretleyin. Şirketi tek kişilik işletmeden ayıramıyorsanız daha katı kuralı uygulayın.
4. İşletmenin kendi yayımladığı kanalı adı geçen bir kişinin adresine tercih edin.
5. Teklifi o işletme türüne uygun hale getirin. Aynı mesaj her sektöre uyuyorsa denge testi onu kurtarmaz.
6. 14. madde notunu ilk mesaja koyun, tam gizlilik bilgisine bağlantı ile birlikte.
7. Her mesajda hayır demenin ücretsiz ve kolay bir yolunu sunun ve bizzat test edin.
8. Kim olduğunuzu dürüstçe belirtin: gerçek gönderen adı, gerçek şirket ve bir insanın okuduğu yanıt adresi.
9. Adresleri doğrulayın, ölü kutulara yazmayın.
10. Kampanyayı engelleme listenizle karşılaştırın ve her çıkışı aynı gün listeye ekleyin.

Sık sorulan sorular

Avrupa Birliği'nde B2B soğuk e-posta için rıza gerekir mi?

GDPR açısından çoğunlukla gerekmez: ilgili bir B2B erişim için olağan hukuki sebep meşru menfaattir, yeter ki üç aşamalı testi gösterebilesiniz ve kolay bir çıkış yolu sunasınız. Ulusal elektronik pazarlama kuralları açısından yanıt ülkeye bağlıdır. Almanya fiilen önceden rıza ister, Hollanda ticari alıcılar için de rızayı başlangıç noktası alır, Fransa ise mesaj kişinin işiyle ilgili olduğunda iş adreslerinde sonradan itiraz modelini kabul eder.

İlk e-postada tam olarak ne bulunmalı?

Kim olduğunuz ve size nasıl ulaşılacağı, neden yazdığınız ve hangi hukuki sebebe dayandığınız, iletişim bilgilerini nereden aldığınız ve kaynağın kamuya açık olduğu, verileri ne kadar sakladığınız, alıcının itiraz ve şikâyet dahil hakları ve hayır demenin çalışan, ücretsiz ve kolay bir yolu. Kısa bir paragraf artı bir gizlilik sayfası bağlantısı bunu karşılar.

Biri silinmeyi istedi. Kaydı siler miyim, saklar mıyım?

Gönderimi hemen durdurun ve pazarlama kaydını silin, ancak adresi tanımaya yetecek asgari bilgiyi bir engelleme listesinde tutun. Bir sonraki arama verilerinizi tazeledikten sonra o kişiye bir daha ulaşmadığınızdan emin olmanın tek yolu budur. Talebi ve tarihini not edin.

Özet

B2B soğuk e-posta Avrupa ülkelerinin çoğunda yasaldır ve gerçekten işe yarar, yeter ki onu bir sayı oyunu değil düzenlenmiş bir faaliyet olarak ele alın. Gerçek bir menfaatiniz olsun, konunun gerçekten ilgilendirdiği kişilere yazın, ilk mesajda onları nerede bulduğunuzu söyleyin, reddetmeyi zahmetsiz kılın, reddi kalıcı olarak sayın ve önce ulusal kuralları kontrol edin.

Leadralia bu adımları ürünün içine koydu: yalnızca kamuya açık işletme verisi, her mesajda bir kaynak cümlesi ve basit bir "hayır" ile çıkış, gönderim öncesi doğrulama, anında self servis kaldırma ve veri satışı yok. Kendi pazarınızın düzgün bir listesinin nasıl göründüğünü görmek için bir aramayı ücretsiz çalıştırın. Kart gerekmez.