Conformidade com a CAN-SPAM: de cabeçalhos honestos a opt-outs respeitados

Se você envia e-mail de marketing ou promocional para qualquer pessoa nos Estados Unidos, a conformidade com a CAN-SPAM é o mínimo que o governo federal espera que você cumpra. A lei CAN-SPAM estabelece regras para o e-mail comercial — como você se identifica, o que suas linhas de assunto podem dizer e como você permite que as pessoas deixem de receber suas mensagens. O que surpreende muitos remetentes é o que a lei não exige: ela não pede permissão prévia antes do envio. Ela regula como você se comporta depois que envia. Este guia percorre o que a lei de fato abrange, os deveres específicos que ela impõe aos remetentes e por que seu modelo de opt-out a torna a exceção entre as principais leis de e-mail do mundo.

O que a lei CAN-SPAM de fato abrange#

A CAN-SPAM — abreviação de Controlling the Assault of Non-Solicited Pornography And Marketing — é uma lei federal dos EUA que regula as mensagens de correio eletrônico comercial: e-mails cujo propósito principal é anunciar ou promover um produto ou serviço. Ela se aplica a mensagens enviadas a destinatários nos Estados Unidos e, notavelmente, abrange o e-mail business-to-business tanto quanto o e-mail para consumidores. Não há isenção para uma lista pequena, uma primeira mensagem ou uma nota de vendas do tipo "só passando para saber"; se o propósito principal for comercial, as regras se aplicam.

A lei traça uma linha entre o conteúdo comercial e outros tipos de e-mail. As mensagens transacionais ou de relacionamento — um recibo, um aviso de envio, uma atualização de conta, informações sobre algo que a pessoa já comprou — são tratadas de forma diferente e não estão sujeitas ao mesmo conjunto de exigências, embora ainda não possam usar informações de roteamento falsas ou enganosas. As mensagens que misturam conteúdo comercial e transacional são julgadas pelo seu propósito principal. A maioria das newsletters, promoções e prospecções frias recai claramente no lado comercial.

A fiscalização fica a cargo da Federal Trade Commission (FTC), com um papel também para outros reguladores e autoridades estaduais. As violações podem gerar penalidades civis substanciais avaliadas por e-mail, de modo que um único disparo não conforme para uma lista grande não é uma única infração — cada mensagem pode contar. Os valores são ajustados ao longo do tempo, então, em vez de se fixar em um número, a conclusão prática é que as penalidades aumentam com o volume e que os deveres abaixo são baratos de cumprir em comparação com a exposição de ignorá-los.

Os deveres centrais que a CAN-SPAM estabelece#

As exigências da lei são concretas e, para um remetente bem administrado, em grande parte uma questão de boa higiene. Existem alguns poucos deveres, e eles funcionam em conjunto.

• Nenhuma informação de cabeçalho falsa ou enganosa. Os campos "From", "To", "Reply-To" e os detalhes de roteamento que identificam quem enviou a mensagem devem ser precisos. O domínio de origem e o endereço de e-mail precisam representar genuinamente o remetente. Você não pode disfarçar quem você é.
• Nenhuma linha de assunto enganosa. O assunto deve refletir o conteúdo real da mensagem. Um assunto que promete uma coisa para conseguir a abertura enquanto o corpo entrega outra é exatamente o que esta disposição combate.
• Identifique a mensagem como uma publicidade. Onde se aplica, a lei exige que uma mensagem comercial seja divulgada como um anúncio. Essa divulgação pode ser feita de forma clara e evidente; o ponto é que os destinatários devem conseguir perceber que estão diante de uma peça publicitária.
• Inclua um endereço postal físico válido. Todo e-mail comercial deve conter seu endereço postal físico real e atual. Uma caixa postal registrada ou uma caixa de correio privada registrada junto a uma agência comercial de recebimento de correspondência pode atender a essa exigência, mas o endereço tem que ser genuíno.
• Ofereça um meio claro e evidente de opt-out. Toda mensagem comercial deve dar aos destinatários um método óbvio para avisar que não querem mais e-mails — normalmente um link de cancelamento de inscrição. Ele precisa ser fácil de encontrar e fácil de usar, e você não pode cobrar uma taxa, exigir qualquer coisa além de um endereço de e-mail e das preferências de opt-out, nem obrigar as pessoas a fazer login ou fornecer outras informações para sair da lista.
• Respeite prontamente as solicitações de opt-out. Assim que alguém faz o opt-out, você precisa parar de enviar e-mail comercial a essa pessoa. A lei concede 10 dias úteis para processar a solicitação — um prazo bem estabelecido no estatuto — e, após esse período, o endereço não deve receber mais nada. Você também não pode vender nem transferir o endereço de e-mail de alguém que fez o opt-out.
• Monitore o que outros fazem em seu nome. Você continua responsável pelas mensagens enviadas para promover seu negócio, mesmo que contrate outra empresa para enviá-las. Tanto a empresa cujo produto é promovido quanto a parte que de fato transmite a mensagem podem ter responsabilidade legal, portanto terceirizar o envio não terceiriza o dever.

Esse último ponto merece destaque porque é o que mais costuma ser deixado de lado. Se uma agência, um afiliado ou um fornecedor de leads envia e-mail anunciando seu produto, a CAN-SPAM não trata isso como problema de outra pessoa. A empresa que está sendo promovida pode ser responsabilizada junto com o remetente. Incorporar o tratamento do opt-out e cabeçalhos honestos em cada caminho que envia e-mails em seu nome — não apenas na sua própria plataforma — é a única maneira confiável de cobrir essa exposição.

Um regime de opt-out: por que a conformidade com a CAN-SPAM difere do GDPR e da CASL#

Aqui está a característica que a define, e a que tem mais chance de confundir um remetente que opera entre fronteiras. A CAN-SPAM é uma lei de opt-out. Ela não exige que você obtenha o consentimento prévio do destinatário antes de enviar e-mail comercial. Segundo a lei, você pode enviar uma primeira mensagem comercial a alguém que nunca a solicitou, desde que a própria mensagem siga as regras acima e ofereça um meio funcional de opt-out. A obrigação é agir com honestidade e parar quando avisado — não ter permissão de antemão.

Essa é uma filosofia genuinamente diferente dos dois outros regimes com os quais os remetentes mais lidam. A Legislação Antispam do Canadá é construída sobre o padrão oposto: ela geralmente exige consentimento antes do envio, junto com uma identificação clara do remetente e um cancelamento de inscrição funcional. Os requisitos e a forma como o consentimento funciona são abordados no guia de conformidade com a CASL. O arcabouço da Europa trata os endereços de e-mail como dados pessoais e se apoia em uma base legal — muitas vezes o consentimento — para o marketing, como explica o guia sobre GDPR e marketing por e-mail. Na prática, um remetente que se prepara para o mundo mais rígido de opt-in da CASL e do GDPR normalmente supera o patamar da CAN-SPAM com folga, porque o envio baseado em permissão já pressupõe identificação honesta e opt-out fácil. O caminho inverso é onde os remetentes se enrascam: um programa desenhado apenas para o padrão de opt-out da CAN-SPAM pode se tornar não conforme no momento em que chega a uma caixa de entrada canadense ou europeia.

Como diferentes países traçam essas linhas de formas distintas, os remetentes com qualquer alcance internacional se beneficiam de mapear quais regras se aplicam onde. A visão geral das leis de marketing por e-mail por país apresenta como os regimes de opt-in e opt-out se comparam, para que você possa desenhar um único programa que atenda à caixa de entrada mais rigorosa que você efetivamente alcança.

Fazendo o opt-out funcionar na prática#

Os dois deveres operacionais que geram mais problemas no mundo real são o mecanismo de opt-out e o prazo de 10 dias úteis para respeitá-lo. Ambos são simples em princípio e fáceis de errar de forma sutil.

Um opt-out que existe tecnicamente, mas é difícil de usar, é uma falha comum. O link precisa ser claro, evidente e funcional por um tempo razoável após o envio. Os provedores modernos de caixa de entrada empurraram os remetentes ainda mais na mesma direção: os principais operadores de caixa de correio agora esperam que os remetentes em massa ofereçam cancelamento de inscrição com um clique no cabeçalho da mensagem, o que atende ao espírito da regra de opt-out fácil da CAN-SPAM e mantém você alinhado com os requisitos de entregabilidade. Tratar o cancelamento de inscrição como um recurso de primeira classe, em vez de uma observação em letras miúdas, serve aos dois objetivos ao mesmo tempo.

Respeitar as solicitações em até 10 dias úteis significa que o encanamento por trás do link precisa de fato suprimir o endereço em todos os sistemas que possam enviar a ele. Se o seu cancelamento de inscrição grava em uma plataforma, mas uma ferramenta separada de prospecção fria mantém o contato ativo, você não respeitou a solicitação — apenas a registrou em um único lugar. É aqui que a regra de "responsabilidade por terceiros" e o prazo de opt-out se encontram: a supressão precisa ser global em tudo o que envia em seu nome.

Há também uma dimensão de reputação. Os destinatários que não encontram um jeito fácil de sair tendem a recorrer ao botão "denunciar spam", e uma taxa de reclamações de spam em alta prejudica sua entregabilidade, independentemente de algum regulador algum dia olhar para você. Um opt-out limpo e honesto é, ao mesmo tempo, um dever legal e um ativo de entregabilidade — os interesses se alinham.

Onde se encaixam a higiene de listas e a manutenção de registros#

A CAN-SPAM não exige o tipo de registro de consentimento que a CASL e o GDPR exigem, mas manter bons registros ainda ajuda você a demonstrar conduta honesta e a gerenciar a supressão de forma confiável. Seja qual for o seu modelo de envio, o lado operacional da conformidade se apoia na mesma higiene de listas que mantém você fora das pastas de spam.

Dois hábitos importam mais. Primeiro, mantenha e respeite sua lista de supressão com rigor, para que os opt-outs permaneçam fora de todos os lugares. Segundo, mantenha a lista que você envia precisa — uma limpeza de lista de e-mail rotineira remove endereços mortos e inválidos que inflam os bounces e derrubam a reputação. A verificação é onde uma ferramenta como a Qualisend se encaixa: ela confirma quais endereços são entregáveis antes do envio, para que suas mensagens honestas e bem formadas de fato cheguem a caixas de entrada reais, em vez de quicarem em mailboxes abandonadas ou spam traps. Ela não decide para quem você tem permissão de enviar — isso é uma questão de lei e consentimento — mas mantém em bom estado a lista que você tem o direito de enviar.

A forma como você coleta os endereços em primeiro lugar molda tudo o que vem depois. Mesmo que a CAN-SPAM permita o envio por opt-out, optar por um opt-in confirmado no cadastro dá a você uma lista mais limpa e mais engajada e, de forma discreta, aproxima você da conformidade com regimes mais rígidos; os trade-offs são abordados no guia de opt-in simples versus duplo. Boa coleta, listas precisas e supressão confiável são a rotina que torna os deveres legais fáceis de cumprir, em vez de uma correria depois do ocorrido.

Perguntas frequentes#

A CAN-SPAM exige consentimento por opt-in antes do envio?#

Não. A CAN-SPAM é uma lei de opt-out. Ela não exige permissão prévia para enviar um e-mail comercial a um destinatário nos EUA, o que é sua principal diferença em relação à CASL do Canadá e ao GDPR da UE, que em geral esperam consentimento antes do envio. O que a CAN-SPAM exige é uma identificação honesta do remetente, uma linha de assunto verdadeira, um endereço postal físico e um meio claro de opt-out que você respeite prontamente. Um programa baseado em permissão, construído para a CASL ou o GDPR, normalmente também atenderá à CAN-SPAM.

Com que rapidez preciso respeitar um cancelamento de inscrição segundo a CAN-SPAM?#

A lei concede até 10 dias úteis para processar uma solicitação de opt-out, após os quais você precisa parar de enviar e-mail comercial a essa pessoa. Esse prazo está definido no estatuto. Na prática, a maioria dos remetentes suprime o endereço imediatamente por meio de sua plataforma de envio, o que é mais simples e mais seguro do que acompanhar uma contagem regressiva — e evita a situação em que uma ferramenta separada continua enviando a um contato que já pediu para sair.

A CAN-SPAM se aplica ao e-mail business-to-business?#

Sim. Ao contrário de algumas leis focadas em consumidores, a CAN-SPAM se aplica a mensagens comerciais independentemente de o destinatário ser um consumidor ou um contato corporativo. Um e-mail de prospecção fria que promove seu produto para outra empresa é uma mensagem comercial e precisa seguir as mesmas regras — cabeçalhos honestos, assunto verdadeiro, endereço físico e opt-out funcional — que qualquer newsletter destinada a consumidores.

Sou responsável se um terceiro enviar e-mail em meu nome?#

Sim. A CAN-SPAM torna você responsável pelas mensagens comerciais que promovem seu negócio, mesmo quando outra empresa as envia em seu nome. Tanto a empresa que está sendo anunciada quanto a parte que transmite a mensagem podem ter responsabilidade legal. Isso significa que o tratamento do opt-out e a identificação honesta precisam estar incorporados em cada caminho que envia e-mails em seu nome — incluindo agências, afiliados e plataformas terceirizadas — e não apenas na sua própria ferramenta de envio.

O e-mail honesto começa com uma lista que você de fato consegue alcançar. A Qualisend verifica seus endereços para que mensagens genuínas e bem formadas cheguem a caixas de entrada reais e os endereços mortos parem de derrubar sua reputação. Experimente o verificador de e-mail gratuito ou comece com 100 créditos gratuitos no plano gratuito — depois mantenha sua lista de supressão enxuta e seus cancelamentos de inscrição respeitados, e o resto do bom envio vem por consequência.