In het kort
Jij bent de verwerkingsverantwoordelijke en MailBlue is de verwerker. Jij bepaalt welke persoonsgegevens worden verwerkt en met welk doel, wij voeren die verwerking in jouw opdracht uit.
Je hoeft geen aparte verwerkersovereenkomst te ondertekenen. Onze verwerkersovereenkomst is Bijlage 1 bij de algemene voorwaarden en treedt in werking zodra je die aanvaardt.
Wat wij hebben vastgelegd over beveiliging, sub-verwerkers, dataopslag, datalekken en bewaartermijnen staat in de verwerkersovereenkomst.
Dit artikel gaat vooral over wat je zelf regelt: geldige toestemming vragen en kunnen aantonen, enkel noodzakelijke gegevens verzamelen, een duidelijke privacy policy publiceren en verzoeken van betrokkenen afhandelen.
Alle juridische documenten vind je op mailblue.nl/legal.
Wat houdt de AVG in?
De Algemene Verordening Gegevensbescherming, hierna te noemen 'AVG', is sinds 25 mei 2018 van toepassing in de gehele Europese Unie. In het Engels wordt deze wet de General Data Protection Regulation, afgekort 'GDPR', genoemd. De AVG is ontworpen om de bescherming van de verwerking van persoonsgegevens van betrokkenen in de Europese Unie te vergroten.
De AVG is van toepassing op elke organisatie die persoonsgegevens verwerkt van Europese betrokkenen, ongeacht of die organisatie in de Europese Unie gevestigd is. Als persoonsgegevens van welk type dan ook, inclusief e-mailadressen, worden verzameld, beheerd of geanalyseerd, dan is de AVG waarschijnlijk van invloed op je organisatie. Wanneer je niet aan de AVG voldoet, kun je een boete ontvangen van maximaal 20 miljoen euro of 4% van je totale wereldwijde omzet, afhankelijk van welk bedrag hoger is.
Let op: dit artikel behandelt een aantal vereisten van de AVG, maar bevat geen uitputtende opsomming. We raden je ten zeerste aan om onafhankelijk advies in te winnen om te bepalen in hoeverre de AVG van invloed is op je bedrijf.
Verwerkingsverantwoordelijke en verwerker
De AVG maakt onderscheid tussen twee rollen. De specifieke verantwoordelijkheden van elke partij zijn uiteengezet in de artikelen 24 tot en met 43 AVG.
Rol | Wie | Wat het inhoudt |
Verwerkingsverantwoordelijke | Jij | Jij bepaalt of er persoonsgegevens verwerkt mogen worden, welke gegevens dat zijn, met welk doel en met welke middelen. |
Verwerker | MailBlue | Wij verwerken die persoonsgegevens namens en in opdracht van jou, en volgen daarbij jouw instructies. |
De persoonsgegevens worden door ons niet voor eigen doeleinden verwerkt en blijven van jou. Let op dat het mogelijk is dat één organisatie zowel verwerker als verwerkingsverantwoordelijke is. Dat hangt af van de verwerking waar je naar kijkt.
Je verwerkersovereenkomst is al geregeld
Artikel 28 AVG stelt dat de verwerkingsverantwoordelijke een duidelijk gedocumenteerde overeenkomst met de verwerker dient te hebben die de reikwijdte van de verwerking definieert. Voor MailBlue hoef je hier zelf niets voor te regelen. Onze verwerkersovereenkomst is Bijlage 1 bij onze algemene voorwaarden en treedt in werking op het moment dat je die algemene voorwaarden aanvaardt. Een afzonderlijke ondertekening is niet vereist.
De volledige en actuele tekst vind je op mailblue.nl/legal/verwerkersovereenkomst. Daarin is onder meer vastgelegd welke persoonsgegevens wij verwerken, van welke categorieën betrokkenen, met welk doel en voor welke duur.
Let op: MailBlue werkt uitsluitend met de eigen verwerkersovereenkomst en accepteert geen modellen van andere partijen. Heb je vanuit je organisatie specifieke eisen, dan kun je die wel met ons overleggen via [email protected] of via je Customer Success Manager.
Toestemming en opt-in in e-mailmarketing
Toestemming moet op grond van de AVG vrijelijk gegeven, specifiek, geïnformeerd en ondubbelzinnig zijn. Wanneer je verwerking op toestemming baseert, moet je op grond van artikel 7 AVG ook kunnen aantonen dat iemand die toestemming heeft gegeven. Daarnaast ben je verplicht om op het moment van verzamelen duidelijk te maken wat je met de gegevens doet, in begrijpelijke en gemakkelijk toegankelijke taal.
Naast de AVG geldt in Nederland de Telecommunicatiewet voor het versturen van commerciële e-mail. Op grond daarvan heb je in beginsel vooraf toestemming nodig, tenzij je een beroep kunt doen op de uitzondering voor bestaande klantrelaties. Twijfel je of die uitzondering in jouw situatie opgaat, leg dit dan voor aan een juridisch professional.
Stel een opt-in-bevestiging in
Het inschakelen van een dubbele opt-in is een goede start die je kan helpen om te voldoen aan het vereiste van de ondubbelzinnige toestemming. Wanneer een dubbele opt-in is ingeschakeld, zullen contactpersonen hun e-mailadres moeten bevestigen voordat zij verdere berichten ontvangen. Je leert hoe je een dubbele opt-in kunt inschakelen via dit hulpartikel.
Let op: het gebruiken van een dubbele opt-in is niet verplicht, maar wordt wel aangeraden.
Schrijf een sluitende opt-in-tekst
Benoem waarvoor iemand zich inschrijft en vermeld erbij dat de mails tracking bevatten. Je kunt deze tekst opnemen via een HTML-blok of tekstblok in de MailBlue-formulieren. Wil je de toestemming ook vastleggen, dan kun je met een aangepast veld een extra selectievakje toevoegen. Hieronder vind je twee passende opt-in-teksten.
Ja, ik wil graag de nieuwsbrief ontvangen en begrijp dat geopende e-mails en klikken worden bijgehouden voor campagnemeting.
Ja, ik ga akkoord met de ontvangst van de nieuwsbrief en geef uitdrukkelijke toestemming voor het meten van het open- en klikgedrag voor analyse- en marketingdoeleinden.
Mocht je een checkbox of selectievakje toevoegen, dan wordt het aanbevolen om de opt-in-checkbox standaard niet aan te vinken. Een contact dient namelijk een opt-in af te geven, waarbij een bewuste handeling van het contact benodigd is.
Krijg bewijs van toestemming van bestaande contactpersonen
De bewijsplicht geldt ook voor contactpersonen van wie je persoonlijke informatie hebt verzameld voordat de AVG werd ingevoerd. Als je op dit moment geen dubbele opt-in-toestemming van deze contactpersonen kunt aantonen, moet je dringend contact opnemen en opnieuw toestemming vragen.
Vraag, gebruik en bewaar enkel noodzakelijke gegevens
Vaak worden er nog onnodige gegevens gevraagd door bedrijven. Je wilt enkel de gegevens vragen en opslaan die je nodig hebt voor het doel waarvoor je de gegevens oorspronkelijk hebt willen verzamelen. Bij een webshop heb je bijvoorbeeld wel de adresgegevens nodig om een bestelling te leveren, maar diezelfde gegevens heb je niet nodig om iemand een nieuwsbrief te sturen.
Wanneer de gegevens niet meer noodzakelijk zijn, kun je deze gegevens ook weer verwijderen. Leg daarom ook vast hoe lang je de gevraagde gegevens gaat bewaren, en ruim niet-geabonneerde contactpersonen en lijsten die je niet langer gebruikt op.
Verzoeken van betrokkenen afhandelen
Je contacten hebben op grond van de artikelen 15 tot en met 21 AVG onder meer recht op inzage, rectificatie, wissen van gegevens, beperking van de verwerking, overdraagbaarheid van gegevens en bezwaar.
Deze verzoeken handel je zelf af, want het gaat om jouw contacten. In vrijwel alle gevallen vind je de benodigde gegevens rechtstreeks terug in je e-mailmarketingaccount, bijvoorbeeld via een export of via het contactprofiel. Kun je bepaalde gegevens die gegrond worden opgevraagd niet in je account terugvinden, dan kun je een verzoek bij ons indienen. Wat wij daarin voor je doen en binnen welke termijn, is vastgelegd in artikel 7 van de verwerkersovereenkomst.
Praktisch in je account:
Contactpersonen bewerken en verwijderen, zie ons helpartikel over contactbeheer.
Contactgegevens exporteren, zie ons helpartikel over exporteren.
Plaats een privacy policy op je website
Om e-mailadressen te verzamelen is het belangrijk om een privacy policy op je website te hebben staan. Daarin vermeld je onder andere welke persoonsgegevens je verwerkt, met welk doel en op welke grondslag, hoe lang je ze bewaart, met welke partijen je ze deelt en hoe iemand zijn of haar rechten kan uitoefenen.
Wat MailBlue voor je heeft geregeld
De afspraken hieronder staan volledig uitgewerkt in onze algemene voorwaarden en verwerkersovereenkomst. Daar vind je steeds de actuele en geldende tekst.
Onderwerp | Kort | Lees verder |
Informatiebeveiliging | MailBlue voldoet aan de ISO 27001-norm, de wereldwijd erkende internationale norm voor informatiebeveiliging. De technische en organisatorische maatregelen staan in artikel 9 van de verwerkersovereenkomst. | |
Sub-verwerkers | Wij houden een actueel, publiek overzicht bij van alle ingeschakelde sub-verwerkers, met datalocatie en aard van de verwerking. Wijzigingen worden vooraf gepubliceerd en je kunt daar bezwaar tegen maken. De termijnen en de procedure staan in artikel 2 van de verwerkersovereenkomst. | |
Opslag en doorgifte | Afhankelijk van de datacenterlocatie van je account worden persoonsgegevens opgeslagen in de Verenigde Staten of binnen de Europese Unie. Voor doorgifte buiten de EER zijn passende waarborgen getroffen. Zie artikel 8 van de verwerkersovereenkomst. | |
Datalekken | Wij informeren je onverwijld bij een datalek met een reëel risico voor betrokkenen. De melding bij de Autoriteit Persoonsgegevens doe je zelf als verwerkingsverantwoordelijke. Zie artikel 4 van de verwerkersovereenkomst. | |
Bewaren en verwijderen na beëindiging | Je kunt tot de vervaldatum van je abonnement exporteren, en daarna nog gedurende een vastgelegde periode via heractivering. Daarna worden de gegevens definitief verwijderd. De termijnen staan in artikel 5 van de verwerkersovereenkomst. | |
DPIA, verwerkingsregister en audits | Wij ondersteunen je bij een DPIA, houden een verwerkingsregister bij en werken mee aan een audit onder de voorwaarden uit artikel 10 van de verwerkersovereenkomst. |
Tip: wil je op de hoogte gehouden worden van AVG-wijzigingen, zoals aanpassingen in sub-verwerkers of in de verwerkersovereenkomst, dan kun je je via het formulier op de sub-verwerkerspagina abonneren op onze update.
Raadpleeg een juridisch professional
DISCLAIMER: De inhoud van deze pagina is informatief en is expliciet geen advies aan je als lezer. Om de effecten van de AVG op jouw organisatie volledig te begrijpen, raden wij je ten zeerste aan juridisch advies in te winnen bij een juridische professional. MailBlue B.V. aanvaardt geen enkele aansprakelijkheid voortvloeiende uit het raadplegen en gebruik van dit specifieke artikel. Het gebruik van dit artikel is geheel voor rekening en risico van gebruiker(s).
Wij zullen AVG-gerelateerde wijzigingen en updates op voortschrijdende basis via onze website aankondigen.