PrivacyDesignerin tietosuoja-asiantuntijat ovat analysoineet Mailchimpin GDPR-vaatimustenmukaisuuden — tietovirtakartta, riskit, käsittelytoimet ja alikäsittelijät dokumentoituina.
Tunnistimme 5 järjestelmäsolmua ja 3 tiedonsiirtoväylää EU:n ulkopuolelle. Tilaajarekisteri, sähköpostikäyttäytyminen ja kampanjadata kulkevat Intuitin US-palvelimille.
| Lähde | Vastaanottaja | Käsiteltävät tiedot | Sijainti |
|---|---|---|---|
| Verkkosivuston tilauslomake / CRM-integraatio | Mailchimp (Intuit Inc.) | Sähköpostiosoite, nimi, tilauspäivä, segmentointitunnisteet | 🇺🇸 USA |
| Mailchimp — lähetetyt kampanjat | Tilaajien sähköpostiohjelmat | Sähköpostisisältö, avaus- ja klikkauspikseli, linkkiseuranta | 🇺🇸 USA |
| Mailchimp Analytics | Intuitin raportointipalvelut | Avausprosentit, klikkausdata, tilaajakohtaiset käyttäytymistiedot | 🇺🇸 USA |
🔒 Yksityiskohtainen 5-solmun tietovirtakartta Mailchimp-integrointien ja kolmansien osapuolten pikselivirtojen kanssa — pyydä pääsy asiantuntijalta
Alla on yhteenveto keskeisistä vaatimustenmukaisuusalueista. Punainen = toimenpiteitä vaaditaan välittömästi, keltainen = tarkistettava, vihreä = kunnossa.
| Tiedonsiirto kolmansiin maihin (USA) | 🔴 Toimenpide vaaditaan |
| Suostumus sähköpostimarkkinointiin | 🔴 Toimenpide vaaditaan |
| Tietojenkäsittelysopimus (DPA) | 🟢 Kunnossa |
| Avaus- ja klikkausseuranta — ePrivacy | 🟡 Tarkistettava |
| Poistopyyntöjen hallinta (opt-out) | 🟡 Tarkistettava |
🔒 Yksityiskohtainen toimenpideohje jokaiselle osa-alueelle — pyydä pääsy asiantuntijalta
Alla esitetty ensimmäinen käsittelytoimi. Täydellinen rekisteri sisältää kaikki tunnistetut käsittelytoimet oikeusperusteineen ja säilytysaikoineen.
| Tarkoitus | Tietoryhmät | Oikeusperuste | Säilytysaika |
|---|---|---|---|
| Sähköpostimarkkinointi ja uutiskirjeiden lähettäminen | Sähköpostiosoite, nimi, tilaushistoria, avaus- ja klikkausdata, maalista | Suostumus (GDPR 6(1)(a)) — markkinointiviestinnässä pakollinen | Tilaajan elinkaaren ajan — poistaminen opt-outin yhteydessä 30 vrk sisällä |
Pääasiallinen sijainti: USA. Alla näkyy ensimmäinen alikäsittelijä — täydellinen lista sisältää kaikki tunnistetut alikäsittelijät maakohtaisine riskiarvioihin.
| Alikäsittelijä | Maa | Rooli |
|---|---|---|
| Intuit Inc. (Mailchimp) | 🇺🇸 USA | Sähköpostimarkkinointialustan pääkäsittelijä |
GDPR:n artikla 35 edellyttää DPIA:n tekemistä, kun käsittelytoimet aiheuttavat todennäköisesti korkean riskin luonnollisten henkilöiden oikeuksille ja vapauksille. Mailchimp kuuluu tyypillisesti tähän kategoriaan seuraavista syistä:
Mailchimp siirtää henkilötietoja Yhdysvallat (The Rocket Science Group LLC / Intuit). Tämä edellyttää asianmukaisia siirtomekanismeja, kuten EU:n komission standardisopimuslausekkeita (SCC) tai muuta lainmukaista perustetta.
Mailchimp tarjoaa standardisopimuslausekkeet (SCC) osana palvelusopimustaan — varmista, että ne on asianmukaisesti allekirjoitettu ja dokumentoitu sekä siirtovaikutustenarviointi (TIA) tehty.