De AVG en je contacten: waar jij verantwoordelijk voor bent, en hoe Leat helpt

Volgens de AVG ben jij de verwerkingsverantwoordelijke voor de gegevens van je contacten: jij bepaalt wat je verzamelt, waarom je het verzamelt en wat je je contacten stuurt. Leat is je verwerker: wij slaan die gegevens op en verwerken ze voor jou, en alleen voor jou. Ervoor zorgen dat je loyaltyprogramma en je marketing aan de AVG voldoen, is dus jouw verantwoordelijkheid.

Wat Leat doet, is de juiste manier de makkelijke manier maken. Marketing bereikt alleen contacten die ja hebben gezegd, elke marketingmail heeft een uitweg, en contacten die een mail als spam melden, worden uitgeschreven. Dit artikel zet op een rij wat er geregeld is en wat nog bij jou ligt. Het is geen juridisch advies: twijfel je wat er voor je bedrijf geldt, vraag het dan aan een privacyjurist.

Wie is waarvoor verantwoordelijk

Jij, als verwerkingsverantwoordelijke:

Een rechtsgrond hebben voor de gegevens die je verzamelt, zoals toestemming van je contacten.
Contacten in je eigen privacyverklaring vertellen wat je met hun gegevens doet.
Alleen marketing sturen naar contacten die ermee hebben ingestemd, en stoppen als ze bezwaar maken.
Contacten antwoorden die hun gegevens willen inzien, laten corrigeren of laten verwijderen.

Leat, als verwerker:

De gegevens van je contacten alleen namens jou verwerken, nooit voor eigen doeleinden.
Je binnen 48 uur nadat we het ontdekken laten weten als er een datalek is.
Een verzoek van een van je contacten dat bij ons binnenkomt binnen een week aan je doorgeven.
Je gegevens verwijderen of teruggeven als je contract afloopt.

Dit staat in onze verwerkersovereenkomst.

Marketing gaat alleen naar contacten die ja hebben gezegd

Elke campagne, automatische e-mail en terugkerende e-mail hoort bij een abonnementstype, en bereikt alleen de contacten die daarop zijn ingeschreven. Het abonnementstype Marketing van een nieuw account gebruikt de strategie Opt-In: contacten beginnen uitgeschreven en krijgen pas mail als ze zich inschrijven, bijvoorbeeld met de marketing-opt-in op een formulier.

Wil je kunnen aantonen dat elke abonnee er echt om heeft gevraagd, gebruik dan de strategie dubbele opt-in. Inschrijven stuurt het contact dan een e-mail met een link om te bevestigen, en het contact krijgt pas mail als het dat heeft gedaan. Zie Abonnementstypes: een strategie kiezen, en wat de detailpagina laat zien.

Elke marketingmail heeft een uitweg

Een afmeldlink is verplicht. Een campagne, automatische e-mail of terugkerende e-mail zonder afmeldlink of link naar de abonnementsvoorkeuren wordt geweigerd. Alleen e-mails met een functioneel abonnementstype, zoals een login-e-mail, hebben er geen nodig.
Contacten beslissen zelf. De afmeldlink opent een pagina waar het contact met een knop bevestigt, en op de pagina met abonnementsvoorkeuren zet het contact elk abonnementstype aan of uit. Zie De pagina met abonnementsvoorkeuren voor je contacten bewerken.
Een spammelding telt als bezwaar. Standaard wordt een contact dat je mail als spam meldt uitgeschreven, net als een contact van wie het adres hard bouncet. Zie Bounces en spammeldingen: waarom een contact je e-mails niet meer ontvangt, en wat je doet.
Geen marketing via de wallet pass. Een melding op een wallet pass heeft geen afmeldlink en niets om je voor af te melden, dus Leat laat je er geen marketing via sturen. Zie Kan ik een pushbericht sturen naar iedereen met een wallet pass?

Ga je om deze beveiligingen heen, dan is dat jouw verantwoordelijkheid

De beveiligingen hierboven zijn standaardinstellingen, geen sloten. Leat laat je ze aanpassen, omdat je soms een goede reden hebt, zoals toestemming die je ergens anders hebt vastgelegd. Doe je dat, dan ligt de verantwoordelijkheid bij jou. Bijvoorbeeld:

Contacten in bulk inschrijven. Een Marketing-import schrijft iedereen in je bestand in, ook contacten die zich zelf hadden afgemeld. Zie Veel contacten tegelijk inschrijven voor marketing, en wanneer je dat niet moet doen.
De strategie Opt-Out gebruiken. Die schrijft elk nieuw contact automatisch in, zonder het te vragen.
Het uitschrijven na een spammelding uitzetten. Contacten die je mail als spam hebben gemeld, blijven hem dan ontvangen.

Leat kan niet controleren of een contact echt heeft ingestemd. Doe dit alleen voor contacten van wie je weet dat ze ja hebben gezegd, en leg dat vast.

Als een contact vraagt naar zijn gegevens

Om zijn gegevens in te zien. Open het contact, klik in de zijbalk op Gegevens, open het actiemenu (de drie puntjes) en kies Persoonsgegevens exporteren. Bevestig met Exporteren. Zo maak je een bestand met alle persoonsgegevens die over het contact zijn opgeslagen. Je komt dan op de pagina van de export, waar je op Downloaden klikt zodra hij klaar is. Deel het bestand alleen met het contact zelf.
Om zijn gegevens te corrigeren. Pas zijn profiel aan op dezelfde pagina Gegevens. Zie Een contact handmatig toevoegen.
Om geen marketing meer te krijgen. Schrijf het contact uit op zijn profiel: klik in de zijbalk op Marketing en gebruik het tabblad Abonnementen.
Om verwijderd te worden. Verwijder het contact. Daarmee verdwijnen het contact en alles wat eraan gekoppeld is voorgoed. Zie Een contact verwijderen.

De regels zelf

De AVG, Verordening (EU) 2016/679: de volledige wettekst op EUR-Lex, de officiële juridische databank van de EU. Artikel 21 is het recht van bezwaar tegen direct marketing.
Verwerkingsverantwoordelijke of verwerker?: van het Europees Comité voor gegevensbescherming, waarin de privacytoezichthouders van de EU-landen samenwerken.
Respecteer de rechten van personen: uit de gids voor kleine bedrijven van hetzelfde comité.
Autoriteit Persoonsgegevens: de Nederlandse toezichthouder op de AVG.