Chat Funnel Patuh GDPR untuk Pembeli EU

Kempen WhatsApp EU pengurus marketing ops seorang diwarnai oleh pasukan undang-undang dua minggu sebelum pelancaran. Kempen itu kukuh: penyasaran, kreatif, aliran automasi semuanya siap. Masalahnya adalah pengendalian data: tiada persetujuan yang direkodkan, tiada aliran kerja pemadaman, data CRM mengalir ke alat berpangkalan AS tanpa Data Processing Agreement.

Dia membetulkannya dalam 3 hari tanpa membuang funnel. Perubahan itu adalah prosedural, bukan seni bina: menambah langkah persetujuan ke aliran, mengemas kini pautan notis privasi, mengesahkan DPA vendor, dan membina aliran kerja pemadaman dalam CRM.

Funnel WhatsApp untuk audiens EU berada di persimpangan GDPR, dasar data Meta, dan terma WhatsApp Business. Panduan ini merangkumi ketiganya, diterjemahkan kepada perubahan aliran khusus yang boleh anda laksanakan tanpa ijazah undang-undang.

Tiga Kewajipan GDPR yang Terpakai untuk Chat Funnel

Pematuhan GDPR untuk chat funnel WhatsApp bergantung kepada tiga kewajipan teras. Segala-galanya yang lain adalah perincian. Teks penuh General Data Protection Regulation tersedia di EUR-Lex, pangkalan data undang-undang EU rasmi, Artikel 6 (asas undang-undang), 7 (syarat persetujuan), dan 17 (hak untuk pemadaman) adalah tiga yang paling langsung terpakai untuk operasi chat funnel. Kewajipan ini terpakai tanpa mengira platform mana yang anda gunakan untuk menjalankan funnel, jika anda membina pada Respond.io atau ManyChat, panduan integrasi CRM WhatsApp merangkumi cara data peribadi mengalir ke CRM anda, yang secara langsung mempengaruhi postur pengendalian data GDPR anda.

Kewajipan ini wujud secara bebas. Bersikap telus tidak membebaskan anda daripada mempunyai asas undang-undang. Mempunyai persetujuan tidak membebaskan anda daripada memenuhi permintaan pemadaman. Ketiga-tiganya mesti ditangani.

Asas Undang-Undang untuk Penjanaan Lead WhatsApp

GDPR memerlukan anda mengenal pasti dan mendokumentasikan asas undang-undang sebelum memproses data peribadi. Untuk funnel penjanaan lead WhatsApp, anda biasanya memilih antara:

Persetujuan: Kenalan bersetuju secara jelas untuk data mereka diproses bagi tujuan yang dinyatakan. Diperlukan untuk jangkauan sejuk, komunikasi pemasaran, dan situasi di mana pemprosesan tidak dijangkakan secara jelas.

Kepentingan sah: Anda mempunyai kepentingan perniagaan yang tulen dalam memproses data yang tidak ditimpa oleh hak kenalan. Boleh terpakai untuk perbualan masuk (orang itu memulakan kenalan) tetapi merupakan asas yang lebih lemah berbanding persetujuan dan lebih sukar untuk dipertahankan jika dicabar.

Panduan praktikal:

Untuk funnel chat masuk, di mana lead mengklik iklan anda dan memulakan perbualan, kepentingan sah berpotensi boleh dipertahankan untuk pemprosesan awal (mereka datang kepada anda). Tetapi ia berisiko untuk apa-apa hiliran: menambahkan mereka ke nurture sequence, menyimpan data mereka dalam CRM pemasaran, atau menghantar kempen tindak lanjut. Untuk penggunaan tersebut, anda memerlukan persetujuan.

Untuk mesej keluar melalui WhatsApp API (menghantar mesej pertama ke senarai), anda memerlukan persetujuan awal yang jelas. Kepentingan sah tidak meliputi jangkauan tanpa permintaan.

Mendokumentasikan keputusan asas undang-undang anda: Simpan rekod mudah: "Untuk perbualan penjanaan lead WhatsApp masuk, kami bergantung pada persetujuan jelas yang dikumpul semasa aliran kelayakan. Persetujuan direkodkan dengan cap masa dalam [nama CRM] untuk setiap kenalan."

Mekanisme Persetujuan dalam Aliran

Di mana anda meletakkan permintaan persetujuan dan cara anda memfrasanya menentukan sama ada ia sah dari segi undang-undang dan sama ada ia menukar. Untuk lead EU yang tiba melalui pemerolehan berbayar, automasi penangkapan lead dan GDPR untuk audiens EU lebih mendalam mengenai kewajipan khusus yang terpakai apabila sumber lead adalah iklan Meta.

Sebelum atau selepas pertukaran pembuka?

Untuk funnel chat masuk, anda mempunyai sedikit fleksibiliti. Pendekatan biasa: jalankan 1-2 pertukaran untuk menetapkan konteks dan nilai, kemudian minta persetujuan sebelum mengumpul sebarang data peribadi tambahan di luar apa yang WhatsApp sudah ada. Ini bukan menangguhkan. Ia memberikan nilai yang cukup supaya permintaan persetujuan terasa munasabah.

Permintaan persetujuan sepatutnya datang sebelum anda meminta e-mel, nama syarikat, atau sebarang maklumat yang belum ada dalam perbualan WhatsApp.

Apa yang merupakan persetujuan GDPR yang sah:

• Diberikan secara bebas (kenalan tidak dipaksa)
• Spesifik (persetujuan adalah untuk tujuan yang dinyatakan, bukan "semua pemasaran masa hadapan")
• Maklum (mereka tahu apa yang mereka bersetujui)
• Tidak samar-samar (tindakan afirmatif, bukan kotak yang telah ditanda)

Garis panduan European Data Protection Board mengenai persetujuan memberikan tafsiran berautoriti bagi keempat-empat keperluan, ini adalah dokumen rujukan utama untuk memahami apa yang dijangkakan oleh pengawal selia.

Contoh mesej persetujuan untuk aliran WhatsApp:

"Sebelum saya teruskan, sekadar nota ringkas: untuk menindaklanjuti perbualan ini dan menghantar maklumat yang berkaitan tentang [Produk] kepada anda, saya akan menyimpan butiran kenalan anda dan nota perbualan kami dalam CRM kami. Anda boleh menarik balik ini pada bila-bila masa dengan menghantar mesej 'unsubscribe.' Adakah itu tidak mengapa?"

Pilihan butang: "Ya, tiada masalah" / "Tidak, terima kasih"

Mesej ini jelas tentang tujuan (tindak lanjut, maklumat yang berkaitan), menyebut hak untuk menarik balik, dan memerlukan tindakan afirmatif (ketukan butang).

Merekodkan persetujuan. Apabila kenalan mengetuk "Ya," rekodkan:

• Nombor telefon mereka
• Cap masa persetujuan (dalam UTC)
• Bahasa persetujuan yang ditunjukkan (nombor versi atau cincangan)
• Saluran dan nama aliran

Simpan ini dalam medan CRM yang dikhaskan untuk rekod persetujuan. Jangan simpan hanya dalam platform chat. Anda memerlukannya untuk bertahan jika anda menukar alat.

Kotak semak persetujuan berbanding balasan afirmatif. WhatsApp tidak menyokong kotak semak. Balasan afirmatif (ketukan butang) adalah kaedah persetujuan yang sah untuk aliran WhatsApp. Pastikan butang "Ya" adalah tindakan opt-in, bukan lalai, dan laluan "Tidak, terima kasih" keluar dari aliran pemasaran dengan teratur.

Keperluan Ketelusan

GDPR memerlukan bahawa pada masa pengumpulan data, anda memberitahu kenalan:

• Siapa yang mengumpul data (nama syarikat anda)
• Data peribadi apa yang anda kumpul
• Mengapa anda mengumpulnya (tujuan)
• Berapa lama anda akan menyimpannya
• Dengan siapa anda akan berkongsi (pihak ketiga yang berkaitan)
• Hak mereka (akses, pemadaman, portabiliti)

Notis privasi dalam konteks WhatsApp. Anda tidak boleh menampal dasar privasi 2,000 patah perkataan ke dalam mesej chat. Tetapi anda boleh menghubungkannya. Mesej persetujuan sepatutnya mengandungi URL: "Anda boleh membaca dasar privasi penuh kami di sini: [pautan]."

Pastikan dasar privasi yang dihubungkan adalah terkini, menyebut WhatsApp sebagai saluran pengumpulan data, dan boleh diakses tanpa log masuk. Dasar privasi yang memerlukan akaun untuk dibaca tidak boleh diakses untuk tujuan GDPR.

Senarai semak ketelusan untuk aliran anda:

• Nama syarikat kelihatan dalam profil WhatsApp Business
• Mesej persetujuan menyatakan tujuan secara jelas
• URL dasar privasi disertakan dalam atau berhampiran mesej persetujuan
• Kenalan dimaklumkan tentang hak untuk menarik balik
• Laluan yang jelas untuk meminta pemadaman (contohnya, "hantar mesej 'padam data saya' pada bila-bila masa")
• Persetujuan direkodkan dengan cap masa sebelum pengumpulan data selanjutnya

Pengurangan Data dalam Reka Bentuk Aliran

Prinsip pengurangan data GDPR menyatakan bahawa anda hanya perlu mengumpul data peribadi yang diperlukan untuk tujuan yang dinyatakan. Prinsip ini juga membentuk cara anda mereka bentuk urutan kelayakan perbualan anda, lebih sedikit medan yang dikumpul bermakna kurang pendedahan GDPR, yang merupakan satu lagi sebab seni bina 5 soalan berfungsi dengan baik untuk audiens EU. Untuk aliran kelayakan lead, ini bermakna menyemak setiap titik data yang anda kumpul dan bertanya: adakah kami benar-benar memerlukan ini untuk mencapai tujuan yang dinyatakan (berkelayakan dan menindaklanjuti lead ini)?

Medan biasa untuk dikeluarkan bagi audiens EU:

• Nombor telefon yang diminta sebagai soalan aliran apabila WhatsApp sudah memberikannya (anda sudah mempunyai nombor telefon, jadi memintanya semula adalah berlebihan dan berpotensi menjadi risiko GDPR jika anda menyimpan dua salinan)
• Tarikh lahir atau pengesahan umur melainkan diperlukan secara undang-undang untuk produk anda
• Alamat IP yang dikumpul dalam langkah aliran (tidak diperlukan untuk kelayakan)
• Sub-kategori industri yang lebih terperinci daripada yang pasukan jualan anda sebenarnya gunakan untuk penghalaan

Medan yang boleh dipertahankan dengan tujuan yang jelas:

• Nama syarikat (diperlukan untuk menyelidik akaun sebelum tindak lanjut)
• Saiz pasukan (diperlukan untuk kelayakan ICP dan penghalaan)
• Kes penggunaan (diperlukan untuk memperibadikan mesej tindak lanjut)
• Tempoh masa (diperlukan untuk menentukan kemendesakan bagi penghalaan jualan)

Untuk setiap medan yang anda kekalkan, pastikan anda boleh menjawab: "Kami mengumpul ini kerana [sebab khusus yang dikaitkan dengan tujuan yang dinyatakan]." Jika anda tidak dapat menjawab itu dengan jelas, keluarkan medan tersebut.

Pengekalan Data dan Pemadaman

Berapa lama boleh anda mengekalkan data perbualan WhatsApp? GDPR tidak menyatakan tempoh pengekalan yang tepat. Ia memerlukan bahawa anda menyimpan data "tidak lebih lama daripada yang diperlukan" untuk tujuan yang dinyatakan. Panduan gdpr.eu mengenai pengekalan data menawarkan ringkasan praktikal tentang cara pengawal selia mentafsirkan "tidak lebih lama daripada yang diperlukan" merentasi kategori data yang berbeza, termasuk data kenalan pemasaran. Untuk lead yang menukar kepada pelanggan, pengekalan sepanjang tempoh hubungan pelanggan ditambah keperluan undang-undang yang berkaitan (selalunya 7 tahun untuk rekod kewangan) adalah tipikal. Untuk lead yang tidak menukar, 12-24 bulan adalah kedudukan yang boleh dipertahankan untuk kebanyakan konteks B2B.

Peraturan pemadaman automatik dalam Respond.io. Respond.io mempunyai tetapan kitaran hayat kenalan di bawah Settings → Privacy. Konfigurasi pemadaman kenalan automatik selepas tempoh tidak aktif yang ditetapkan. Untuk kenalan EU yang ditanda sebagai lead yang tidak menukar, tetapkan peraturan pemadaman tidak aktif 12 bulan.

Pemadaman automatik dalam CRM anda. Dalam HubSpot, gunakan aliran kerja: cetuskan pada "Status lead = ditutup-kalah atau tiada kenalan selama 365 hari DAN negara = EU → tandakan untuk pemadaman → padam rekod kenalan selepas tempoh tangguh 30 hari." Tempoh tangguh membenarkan semakan manual sebelum pemadaman kekal.

Apabila kenalan meminta pemadaman semasa funnel: Hentikan semua mesej automatik dengan segera. Padam rekod kenalan dari CRM dan platform chat anda. Dokumentasikan permintaan pemadaman dan tarikh selesai. Sahkan kepada kenalan bahawa pemadaman selesai. Lakukan ini dalam masa 30 hari dari permintaan (tarikh akhir standard GDPR). Bahasa "hantar mesej 'padam data saya' pada bila-bila masa" dalam mesej persetujuan anda mencipta proses yang tersirat, jadi pastikan aliran kerja sebenar wujud untuk menyokongnya.

Pertimbangan Pemindahan Data Rentas Sempadan

Jika CRM, alat automasi, atau platform chat anda berpusat di AS atau di luar EU/EEA, anda mungkin mempunyai kewajipan pemindahan data rentas sempadan. Jika anda menilai CRM mana yang perlu dilalui untuk data EU, perbandingan HubSpot berbanding Salesforce untuk pasukan B2B merangkumi nota mengenai kediaman data dan ketersediaan DPA setiap platform. Menghantar data kenalan EU ke pelayan AS memerlukan mekanisme undang-undang.

Standard Contractual Clauses (SCC). Kebanyakan vendor B2B SaaS utama (HubSpot, Salesforce, Respond.io) mempunyai SCC yang tersedia dalam Data Processing Agreements (DPA) standard mereka. Apabila anda mendaftar untuk perkhidmatan, anda mungkin secara automatik memasuki DPA. Semak pusat amanah atau dokumentasi privasi vendor anda.

Cara menyemak status DPA vendor anda:

Senarai semak pematuhan vendor ringkas:

• Adakah vendor menawarkan DPA? (Mesti ya)
• Adakah DPA merangkumi EU SCC atau mekanisme pemindahan yang setara? (Mesti ya)
• Adakah penggunaan khusus anda (data perbualan, rekod kenalan) termasuk dalam skop DPA? (Semak jenis data yang diliputi)
• Sudahkah anda menerima DPA? (Sesetengah vendor memerlukan penerimaan aktif, bukan sekadar terma perkhidmatan)

Jika vendor tidak menawarkan DPA, anda tidak boleh menghantar data peribadi EU secara sah melalui sistem mereka. Ini bermakna anda mungkin perlu menghalakan kenalan EU melalui alat yang berbeza berbanding yang anda gunakan untuk kenalan bukan EU.

Kesilapan Biasa

Kotak persetujuan yang telah ditanda. GDPR secara jelas melarang kotak yang telah ditanda sebagai mekanisme persetujuan. Kenalan mesti opt-in secara aktif. WhatsApp tidak menyokong kotak semak natif pun, tetapi jika anda menggunakan borang berasaskan web sebagai sebahagian daripada funnel anda, pastikan medan persetujuan tidak ditanda secara lalai.

Menyimpan nombor telefon EU dalam CRM AS tanpa DPA. Nombor telefon adalah data peribadi di bawah GDPR. Jika anda menghalakan kenalan EU ke CRM atau inbox tanpa mengesahkan DPA vendor meliputi pemindahan rentas sempadan, anda mempunyai jurang pematuhan.

Tiada aliran kerja pemadaman. Anda telah menambah mekanisme persetujuan ke aliran, tetapi anda belum membina proses untuk apabila seseorang meminta pemadaman. GDPR memerlukan respons dalam masa 30 hari. Tanpa aliran kerja yang didokumentasikan, permintaan pemadaman hilang atau tertangguh.

Menggunakan aliran yang sama untuk audiens EU dan bukan EU tanpa penghalaan geo. Jika anda menjalankan kempen global dan langkah persetujuan khusus EU anda hanya dalam versi "EU" aliran yang berasingan, pastikan anda mempunyai penghalaan berasaskan geo yang menghantar kenalan EU ke versi yang patuh dengan dipercayai. Lead dari Jerman yang melalui aliran bukan EU masih menjadi masalah pematuhan anda.

Apa yang Perlu Dilakukan Seterusnya

Sebelum pelancaran kempen EU anda seterusnya, jalankan aliran WhatsApp semasa anda melalui senarai semak dalam panduan ini:

• Asas undang-undang didokumentasikan
• Langkah persetujuan dalam aliran dengan tindakan afirmatif diperlukan
• Persetujuan direkodkan dengan cap masa dalam CRM
• URL dasar privasi dalam mesej persetujuan
• Hanya medan yang diperlukan dikumpul (semakan pengurangan data selesai)
• Tempoh pengekalan ditetapkan dalam CRM dan platform chat
• Aliran kerja permintaan pemadaman wujud dan didokumentasikan
• Semua vendor disemak untuk liputan DPA
• Kenalan EU dihala geo ke versi aliran yang patuh

Tandakan sebarang jurang kepada pasukan undang-undang anda sebelum pelancaraan, bukan selepas. Pembaikan biasanya cepat. Denda untuk melakukan kesalahan tidak (sehingga 4% daripada hasil tahunan global di bawah GDPR). Penjejak penguatkuasaan GDPR Suruhanjaya Eropah menunjukkan bahawa denda untuk pelanggaran persetujuan dan ketelusan adalah antara tindakan penguatkuasaan yang paling biasa, purata €2.8 juta setiap kes pada 2024, dengan saluran pemasaran B2B semakin diawasi.

Ketahui Lebih Lanjut

• Menyediakan funnel Meta ads ke chat WhatsApp dari hujung ke hujung
• Integrasi WhatsApp Business API dengan CRM anda
• Jurang tadbir urus AI dalam alat perusahaan
• Persediaan kempen Click-to-WhatsApp untuk audiens EU
• Kelayakan perbualan: soalan yang tidak menjengkelkan pembeli
• Mengukur prestasi chat funnel: metrik yang penting