Exceções de Sender ID para SMS A2P: aprovação, âmbito e revisão

O que significa uma exceção de Sender ID

Neste guia, uma exceção é uma decisão interna que permite uma utilização específica de um Sender ID que não se enquadra na regra habitual de registo ou aprovação de uma organização. Não é uma categoria regulamentar universal: as fontes gerais disponíveis não estabelecem uma definição comum nem um procedimento aplicável a todos os países, operadores ou fornecedores.

É importante distinguir três decisões: a política interna da empresa, os requisitos oficiais aplicáveis no mercado de destino e as condições comerciais ou operacionais do operador ou fornecedor. Uma aprovação interna resolve apenas a primeira. Não demonstra que a utilização esteja autorizada externamente.

• Aprovação habitual: o caso cumpre o processo e os critérios normais da organização.
• Exceção interna: uma pessoa autorizada permite um desvio delimitado em relação a esses critérios.
• Autorização externa: deve ser verificada separadamente, consoante o país, o operador e o fornecedor envolvidos.

Riscos de uma exceção sem limites

Uma aprovação ambígua pode ser reutilizada para uma marca, campanha, destino ou rota diferentes dos que foram avaliados. Também dificulta saber quem aceitou o risco, que provas analisou e se a justificação continua válida.

O objetivo dos controlos internos não é contornar regras externas, mas limitar a decisão ao que foi avaliado e detetar quando já não é adequado aplicá-la. Se não for possível verificar uma condição relevante, o pedido deve ficar pendente ou ser rejeitado, de acordo com a política da organização.

• Utilização para uma finalidade diferente da solicitada.
• Envio para destinos, operadores ou fornecedores não incluídos na avaliação.
• Alteração da marca, do conteúdo, do tipo de tráfego ou do volume que modifique o caso analisado.
• Continuação da utilização após o fim da validade da aprovação ou após uma alteração das condições externas.

Elementos mínimos do processo para avaliar o pedido

Utilize um processo que permita a outra pessoa reconstruir o que foi pedido e decidido. Os campos seguintes são uma proposta de controlo interno, não uma lista de requisitos oficiais universais.

Registe os dados com o nível de detalhe necessário para verificar o âmbito. Se o tráfego se destinar a vários mercados, identifique cada um; não presuma que uma decisão para um destino também se aplica a outro.

• Entidade requerente e contacto responsável; marca ou entidade que será apresentada ao destinatário.
• Sender ID solicitado e descrição da sua relação com a marca.
• Finalidade da mensagem e tipo de tráfego, por exemplo, OTP, transacional ou marketing legítimo.
• Países ou destinos previstos e, quando conhecidos, os operadores e fornecedores envolvidos.
• Volume ou padrão de tráfego esperado, indicando se são estimativas internas.
• Justificação para o desvio em relação ao processo habitual.
• Provas disponíveis: documentação da marca, autorização do titular, descrição do fluxo e requisitos externos consultados.
• Responsáveis pelo pedido, pela revisão e pela decisão, bem como a data da decisão.

Verificar separadamente as regras, os operadores e os fornecedores

A verificação deve ser feita para o mercado e o percurso concretos. Consulte as fontes oficiais do regulador relevante e a documentação oficial do operador ou fornecedor, quando disponível. Registe a ligação, a data da consulta, o âmbito geográfico e quaisquer condições aplicáveis; se a informação for ambígua, peça confirmação à pessoa ou entidade responsável.

Não deduza regras de Sender ID a partir de documentos gerais sobre numeração ou redes. A Recomendação UIT-T E.164 diz respeito ao plano internacional de numeração pública de telecomunicações, mas as provas disponíveis não demonstram que estabeleça como aprovar exceções de Sender ID para SMS A2P. Do mesmo modo, páginas gerais sobre especificações 3GPP ou redes móveis não bastam para confirmar os requisitos de um mercado concreto.

Se não conseguir confirmar os requisitos aplicáveis, registe essa incerteza e não apresente a aprovação interna como autorização externa. As regras podem variar entre mercados e mudar; este guia não determina quais estão em vigor num país, operador ou fornecedor específico.

• Identifique o mercado, o operador, o fornecedor e a modalidade de envio antes de fazer a consulta.
• Dê prioridade às fontes oficiais e à documentação correspondente ao interveniente e ao destino concretos.
• Arquive a referência e a data da consulta juntamente com a conclusão e as dúvidas por esclarecer.
• Encaminhe os casos ambíguos para a equipa de conformidade ou para o contacto oficial relevante antes de ativar a utilização.

Aprovação com responsáveis e decisão documentada

Defina um fluxo interno adequado ao risco e à dimensão da organização. Como medida prudente de controlo, evite que a pessoa que pede a exceção ou dela beneficia diretamente seja a única a aprová-la. Esta separação de funções é uma recomendação de governação interna, não um requisito externo verificado pelas fontes disponíveis.

A decisão deve indicar se o pedido foi aprovado, rejeitado ou ficou pendente; explicar o motivo; resumir as provas analisadas; e enumerar as condições que limitam a utilização. Se houver desacordo ou faltar uma verificação externa essencial, documente o encaminhamento e não interprete o silêncio como aprovação.

• Área de negócio ou responsável pelo caso: explica a finalidade e a necessidade.
• Operações: avalia a viabilidade do fluxo e a possibilidade de aplicar os limites.
• Conformidade: analisa o risco e verifica os requisitos externos relevantes.
• Aprovador designado: regista a decisão e as condições, de acordo com a política interna.
• Registo de auditoria: conserva quem decidiu, quando, com que provas e porquê.

Limitar o âmbito e definir um prazo de validade

Cada aprovação deve descrever sem ambiguidades o que está autorizado. Para que o controlo possa ser aplicado, limite a autorização aos destinos e fornecedores avaliados, à finalidade e ao tipo de tráfego descritos e às condições registadas. Se um sistema não conseguir impor um limite, indique quem fará a verificação e como serão detetados os desvios.

Defina uma data de início e uma data de fim ou de revisão, de acordo com a política interna. As provas disponíveis não estabelecem um prazo universal para estas exceções. O intervalo deve ser escolhido em função do risco, da estabilidade do caso e das condições suscetíveis de mudar, e não deve ser interpretado como um prazo reconhecido por reguladores ou operadores.

• Sender ID e marca autorizados.
• Finalidade, tipo de tráfego e condições de utilização permitidos.
• Países ou destinos e, quando verificados, os operadores ou fornecedores incluídos.
• Limites de volume ou de padrão, se a organização os definir para o caso.
• Data de início, data de fim ou de revisão e responsável pela renovação.
• Medida prevista se for detetado tráfego fora do âmbito.

Alterações, renovação e conservação de provas

Reabra a avaliação antes de alargar ou alterar a utilização. Mudanças de marca, finalidade, conteúdo, mercados, fornecedores ou padrão de tráfego podem fazer com que as provas anteriores deixem de descrever o caso. Determine internamente que alterações exigem uma nova aprovação e quais requerem apenas a atualização do processo.

A renovação não deve ser automática apenas porque o tráfego funcionou. Verifique se a necessidade, o âmbito, as provas e as condições externas consultadas continuam válidos. Conserve o pedido, a decisão, as fontes e datas de verificação, as alterações posteriores e o resultado de cada revisão durante o período definido pela política de conservação da organização.

• Solicite uma nova validação quando mudarem a finalidade, a marca, o destino, o fornecedor ou as condições externas.
• Compare a utilização observada com o âmbito aprovado, se existirem registos operacionais disponíveis.
• Documente as renovações, alterações e razões para encerrar ou manter a exceção.
• Aplique a política interna de conservação e acesso aos processos.

Monitorização, suspensão e encerramento

Defina sinais de revisão antes de ativar a exceção. Entre eles podem estar tráfego para um destino não aprovado, mudança de fornecedor, discrepância entre a utilização observada e a finalidade declarada, provas que já não sejam válidas ou a chegada da data de fim. São critérios sugeridos para uma política interna, não indicadores regulamentares universais.

Quando surgir um sinal, aplique um procedimento proporcional: limite ou suspenda apenas o âmbito afetado, se isso puder ser feito em segurança; investigue e documente; e decida se a exceção deve ser restabelecida, alterada, renovada ou encerrada. Sempre que seja possível distingui-lo, evite afetar tráfego legítimo não relacionado, sem deixar de cumprir as obrigações externas aplicáveis.

• Atribua um responsável e um canal para comunicar desvios.
• Registe o evento, o âmbito afetado, as provas e a medida tomada.
• Encaminhe os casos que indiquem uma possível infração ou perda de autorização externa.
• Encerre a exceção quando já não for necessária, quando a sua base não puder ser verificada ou quando tiver expirado sem renovação.