Dane w Unii Europejskiej: co to znaczy, a czego nie znaczy
Hasło „dane w Unii Europejskiej” wisi dziś na stronie chyba każdego dostawcy narzędzi marketingowych. Wygląda jak zamknięcie tematu zgodności. A jest dopiero jego początkiem. Naklejka „serwery w UE” mówi o lokalizacji dysku, na którym leży baza. Nie mówi nic o tym, kto się na ten dysk loguje, z jakiego kraju i na jakiej podstawie prawnej wysyłasz maile. Adres e-mail subskrybenta to dana osobowa. Tak samo logi otwarć, historia kliknięć i adres IP zapisany przy wypełnieniu formularza.
Piszemy to jako zespół, który utrzymuje własną flotę serwerów wysyłkowych. Patrzymy więc od strony infrastruktury: konfiguracji, dostępów, kolejek i rekordów DNS, a nie od strony broszury sprzedażowej. W tym tekście rozdzielamy dwie rzeczy, które w materiałach marketingowych zlewają się w jedno. Po pierwsze, co lokalizacja danych realnie załatwia. Po drugie, czego nie załatwi nigdy, choćby serwerownia stała w samym środku Frankfurtu.
Co realnie znaczy „dane w UE”
Zacznijmy od konkretów. Lokalizacja danych to fizyczne miejsce, w którym leży baza kontaktów, kopie zapasowe i logi wysyłkowe. Te trzy zbiory potrafią mieszkać w trzech różnych miejscach, a klienci pytają zwykle wyłącznie o pierwszy. No właśnie. Kopia zapasowa w innym regionie to ten sam zbiór danych osobowych, tylko o dzień starszy.
Druga warstwa to kraj rejestracji podmiotu przetwarzającego i prawo, któremu ten podmiot podlega. Firma z siedzibą poza Unią może trzymać dysk w Europie i nadal odpowiadać przed regulatorem swojego kraju. Trzecia warstwa to umowa powierzenia przetwarzania. Dobre DPA wskazuje lokalizację z nazwy i wymienia podprocesorów po kolei, zamiast odsyłać do „zaufanych partnerów”.
Realna korzyść jest proceduralna. W razie kontroli albo żądania od podmiotu danych masz jedną jurysdykcję, jeden język postępowania i krótszą drogę do odpowiedzi. To dużo. Ale to nie jest zgodność sama w sobie.
Lista kontrolna, którą przechodzę u każdego dostawcy:
- Gdzie fizycznie leży baza kontaktów?
- Gdzie trafiają kopie zapasowe i jak długo są trzymane?
- Gdzie zapisywane są logi wysyłkowe i dane śledzenia?
- Kto ma dostęp administracyjny do produkcji?
- Z jakiego kraju pracuje wsparcie techniczne?
- Kto figuruje na liście podprocesorów?
Czego „dane w UE” nie znaczy
Serwer we Frankfurcie nie wyklucza dostępu spoza Unii. Jeśli administrator albo konsultant wsparcia loguje się z innego kontynentu, następuje transfer danych. Zdalny wgląd w bazę jest transferem tak samo jak jej kopiowanie. Pytanie zadawane rzadko, a odpowiedzi bywają ciekawe.
Lokalizacja nie oznacza też zgodności z RODO. To jeden element obok podstawy prawnej przetwarzania, okresu retencji, realizacji praw podmiotu danych i rejestru czynności. Dysk w Polsce nie zastąpi żadnego z nich. Warto zestawić to z listą tego, co stanowi minimum RODO w email marketingu, i sprawdzić, ile punktów masz naprawdę odhaczonych.
Nie oznacza również niezależności od dostawców spoza Unii. Skrypt analityczny na stronie zapisu, sieć CDN serwująca obrazki w newsletterze, wtyczka formularza, system zgłoszeń. Każde z nich potrafi wyprowadzać dane poza UE bez świadomości właściciela sklepu. Warto sprawdzić, jakie integracje z zewnętrznymi narzędziami podpinasz do formularza i newslettera, bo to zwykle tam zaczyna się transfer. Warstwa wysyłkowa bywa czysta, a wyciek następuje na landing page’u.
Osobna sprawa: kraj serwera nie poprawia dostarczalności. Filtry patrzą na reputację nadawcy, uwierzytelnianie wiadomości i reakcje odbiorców. Geolokalizacja adresu IP jest dla nich marginalna.
I rzecz najprostsza na koniec. Lokalizacja nie chroni przed własnymi decyzjami. Kupiona baza wysłana z serwera pod Warszawą to nadal naruszenie, tylko z ładniejszym adresem.
Zgoda: RODO to nie wszystko, jest jeszcze PKE
Tu popełnia się najwięcej błędów. Podstawa przetwarzania danych i podstawa samej wysyłki handlowej to dwie różne kwestie, regulowane w dwóch różnych aktach. Możesz mieć porządną podstawę przetwarzania i nadal nie mieć prawa wysłać oferty.
Prawo komunikacji elektronicznej rozstrzyga tę drugą warstwę. Artykuł 398 PKE wymaga uprzedniej zgody odbiorcy na przesyłanie informacji marketingowej na adres e-mail. Uprzedniej, czyli wcześniejszej niż wiadomość. Nie dorobionej po fakcie.
Dotyczy to również B2B. Dział sprzedaży zwykle zakłada, że adres ogólny typu kontakt@ zdejmuje obowiązek. W praktyce ratuje sytuację rzadziej, niż się wydaje, zwłaszcza gdy skrzynkę obsługuje konkretna osoba, a nie automat. Rozbieramy to na czynniki pierwsze w tekście o tym, dlaczego zgoda marketingowa jest wymagana także w B2B.
Zgoda bez dowodu to tylko twierdzenie. Zapisuj datę, treść klauzuli, adres IP i źródło zapisu. Bez tego kompletu nie odpowiesz ani regulatorowi, ani odbiorcy, który złoży reklamację.
Tip: trzymaj zrzut treści klauzuli w brzmieniu z dnia zapisu. Po każdej zmianie formularza starsze zgody zostają przy starej wersji i tylko archiwum to udowodni.
Zgoda ma też wymiar czysto techniczny. Potwierdzony zapis, czyli double opt-in, odsiewa literówki w domenie, pułapki spamowe i zapisy dokonane cudzym adresem. Kosztuje trochę subskrybentów na wejściu. Oszczędza sporo problemów później.
Co decyduje o tym, czy mail dojdzie
Fundamentem jest uwierzytelnianie na twojej własnej domenie: SPF, DKIM i DMARC. Duzi dostawcy poczty oczekują dziś opublikowanej polityki DMARC od nadawców masowych. Brak rekordu to nie drobiazg, tylko brak podpisu pod wiadomością.
Dalej szczegóły, które widać dopiero w nagłówkach. Return-Path i domena śledząca powinny być spójne z marką. Adres zwrotny na cudzej domenie osłabia sygnał tożsamości nadawcy. Rekordy PTR i A adresu wysyłkowego muszą zgadzać się w obie strony, a samo IP mieć czystą historię.
Nowy adres wymaga rozgrzewania. Wolumen rośnie stopniowo, a pierwsze wysyłki kierujesz do najbardziej aktywnych odbiorców. Filtry uczą się nadawcy na podstawie reakcji, więc kolejność ma znaczenie.
Obsługa odrzuceń musi działać automatycznie. Twarde odrzucenie wypisuje kontakt natychmiast, miękkie dostaje limit prób i też kończy się wypisaniem. Skargi i trafienia w pułapki spamowe szkodzą znacznie bardziej niż słabe otwarcia. Higiena listy jest po prostu tańsza niż wychodzenie z blokady.
Blokada u dużego filtra to procedura, nie przycisk. Odcinasz źródło problemu, ograniczasz wolumen, składasz zgłoszenie i obserwujesz kolejki przez kilka dni.
Wspólne IP kontra własna pula: co wybrać
Wspólna pula opiera się na reputacji budowanej przez wielu nadawców naraz. Przy małym i nieregularnym wolumenie to rozsądny wybór, bo jedna kampania w miesiącu nie wystarczy, żeby zbudować własną historię. Cena za wygodę: sąsiedzi wpływają na twoje wyniki.
Własna pula daje pełną kontrolę i pełną odpowiedzialność. Wymaga stałego wolumenu, cierpliwego rozgrzewania i realnego pilnowania jakości listy. Adres bez ruchu traci reputację równie skutecznie jak adres z górą skarg.
Niezależnie od wyboru rozdziel strumienie. Wiadomości transakcyjne i marketingowe powinny iść z osobnych subdomen i osobnych adresów. Problem z kampanią nie może zatrzymywać potwierdzeń zamówień.
Tip: zanim poprosisz o własne IP, sprawdź, czy wysyłasz wystarczająco regularnie, żeby filtry zdążyły cię zapamiętać między kampaniami.
Kryteria decyzji bez marketingu są cztery: miesięczny wolumen, regularność wysyłek, udział ruchu transakcyjnego oraz gotowość do systematycznego czyszczenia bazy. Kuleje któryś punkt? Wspólna pula wypadnie lepiej.
Jak my to robimy w MailCraft i czego jeszcze nie mamy
Utrzymujemy własną flotę serwerów wysyłkowych zamiast odsprzedawać cudze API. Różnica jest praktyczna: decyzje o konfiguracji, kolejkach i reakcji na blokadę podejmujemy sami, bez czekania na zgłoszenie u pośrednika. Gdy filtr przykręca ruch, widzimy to w logach. Nie w mailu od dostawcy.
Infrastruktura i dane pozostają w Unii Europejskiej. Do tego umowa powierzenia przetwarzania i jawna lista podprocesorów, którą można przeczytać przed podpisaniem, a nie po incydencie. Szczegóły techniczne opisujemy na stronie produktowej, gdzie znajdziesz opis tego, jak działa platforma do e-mail marketingu MailCraft.
Uczciwie o granicach: część rzeczy jest na roadmapie, nie w panelu. Nie opisujemy planów jako gotowych funkcji, bo klient sprawdza to pierwszego dnia i wtedy rozmowa robi się niepotrzebnie trudna. Pełną listę dostępnych funkcji trzymamy w jednym miejscu, żeby dało się ją porównać z własnymi wymaganiami przed decyzją.
Jest też rzecz, której nie obieca uczciwie żaden dostawca: gwarancji wejścia do skrzynki odbiorczej ani sposobu na obchodzenie filtrów. Można wyłącznie usuwać powody do blokady, konsekwentnie i po kolei. Kto obiecuje więcej, sprzedaje coś, czego nie kontroluje.
Podsumowanie: lokalizacja to fundament, nie budynek
Dane w Unii Europejskiej ograniczają ryzyko prawne i skracają drogę w razie kontroli. Nie zastąpią zgody, higieny listy ani uwierzytelniania. To fundament, na którym trzeba jeszcze coś postawić.
Trzy pytania do dostawcy:
- Gdzie leżą dane i kopie zapasowe?
- Kto ma do nich dostęp i z jakiego kraju się loguje?
- Kto jest podprocesorem?
Trzy rzeczy po twojej stronie: udokumentowana zgoda z datą i treścią klauzuli, poprawne SPF, DKIM oraz DMARC na własnej domenie, a także konsekwentne czyszczenie listy. Żadnej z nich nie kupisz razem z abonamentem.
Kolejność prac też ma znaczenie. Najpierw uwierzytelnianie i zgody, potem budowanie wolumenu, na końcu optymalizacja treści. Odwrócenie tej kolejności kończy się dopracowanym newsletterem, który ląduje w spamie.
