Coduri OTP
Pot trimite coduri OTP prin SMS fără consimțământ de marketing?
Codul de unică folosință e mesajul pe care utilizatorul îl așteaptă în secunda în care apasă „trimite cod”. Nu are nevoie de acord de marketing — dar are propriile reguli, iar cea mai încălcată e tentația de a adăuga ceva pe lângă cod.
Răspuns scurt
Da. Un cod OTP e un mesaj tranzacțional: e declanșat de acțiunea utilizatorului și e necesar pentru serviciul cerut, deci nu intră sub regula consimțământului de marketing din art. 12.
- 1Temeiul e executarea contractului sau interesul legitim de securizare a contului, nu consimțământul de marketing.
- 2Mesajul trebuie să conțină strict ce e necesar: codul, cine îl trimite și, util, durata de valabilitate.
- 3Nu adăuga oferte, linkuri promoționale sau invitații în mesajul cu codul — asta l-ar transforma în mesaj mixt și l-ar aduce sub regula de marketing.
- 4Codul trebuie să expire: o valabilitate scurtă e și cerință de securitate, și dovadă că mesajul e strict funcțional.
- 5Nu folosi numerele colectate pentru OTP ca bază de marketing — scopul pentru care au fost colectate limitează folosirea lor.
Ce spune legea
GDPR art. 6 alin. (1) lit. b)
Prelucrarea necesară pentru executarea contractului — utilizatorul cere autentificarea, deci mesajul face parte din serviciu.
GDPR art. 6 alin. (1) lit. f)
Interesul legitim, aplicabil măsurilor de securitate a conturilor.
GDPR art. 5 alin. (1) lit. b)
Limitarea scopului: datele colectate pentru autentificare nu pot fi refolosite pentru marketing fără o bază nouă.
GDPR art. 32
Securitatea prelucrării — justifică autentificarea în doi pași ca măsură tehnică adecvată.
Exemple practice
Mesaj corect
„Codul tău 4notify este 449182. Valabil 5 minute. Nu îl comunica nimănui.” — cod, expeditor, durată, avertisment. Nimic în plus.
Mesaj care devine problematic
„Codul tău este 449182. Vezi ofertele noastre pe site!” — partea a doua e comunicare comercială și atrage regula consimțământului pe tot mesajul.
Confirmarea unei plăți
Un cod pentru autorizarea unei tranzacții intră în aceeași categorie: e cerut de operațiunea pe care clientul o iniția.
Greșeli frecvente
Cod fără termen de expirare
Un cod valabil nelimitat e o vulnerabilitate, iar prezența unui termen scurt susține și încadrarea mesajului drept strict funcțional.
Se folosește baza de OTP pentru campanii
Numerele colectate pentru autentificare au un scop declarat. Refolosirea lor comercială cere un consimțământ nou.
Sender ID diferit de la un cod la altul
Utilizatorul nu poate verifica dacă mesajul e legitim, iar rata de finalizare a autentificării scade. Un expeditor constant e și măsură anti-phishing.
Se trimit coduri fără limitare de rată
Un formular fără limită pe număr și pe interval devine vector de abuz, cu costuri reale pentru firmă.
Cum te ajută 4notify
Codurile OTP se trimit prin API, cu latență mică și fără să treacă prin verificările de marketing.
- →Canalul tranzacțional e separat de cel comercial, deci un cod nu e blocat de un opt-out de marketing.
- →Fiecare trimitere are id de mesaj și status de la operator, deci o autentificare eșuată se poate diagnostica pe un caz concret.
- →Consumul e contorizat per mesaj, ca volumul de OTP să fie vizibil separat de campanii.