Nuova normativa SMS in Spagna: cos'è il Registro degli Alias della CNMC e cosa cambia

Il mercato delle telecomunicazioni in Spagna sta vivendo un importante cambio normativo volto a contrastare l'invio di messaggi ingannevoli, il phishing via SMS (smishing) e lo spoofing dei mittenti. 

La CNMC (Comisión Nacional de los Mercados y la Competencia) ha introdotto il Registro de Alias, un registro ufficiale ed obbligatorio che cataloga tutti gli identificativi alfanumerici (Sender ID) associati ai messaggi SMS, MMS e RCS inviati verso numerazioni telefoniche spagnole.

A tal proposito, la CNMC esorta le aziende a registrare i propri alias e a rispondere alle comunicazioni dell'agenzia in merito entro il 15 settembre, per evitare interruzioni nelle comunicazioni.

Di seguito illustreremo come funziona la normativa spagnola e quali sono gli step da seguire per adeguarsi ed evitare l'interruzione dei propri servizi di messaggistica.

Come funziona il Registro de Alias SMS della CNMC

La nuova regolamentazione impone che nessun SMS promozionale o transazionale con Sender ID alfanumerico personalizzato (es. il nome del brand) possa essere consegnato in Spagna senza un'approvazione formale.

I punti chiave del nuovo funzionamento sono:

• Vincolo di legittimità: Ogni Alias deve essere associato a un titolare legittimo (attraverso marchio registrato, denominazione sociale, dominio web o uso professionale documentato).
• Blocco degli SMS non autorizzati: Gli operatori di telecomunicazione spagnoli filtrano e bloccano automaticamente tutti i messaggi provenienti da un Alias non registrato o non autorizzato.
• Applicazione universale: La regola vale per qualsiasi mittente, sia che l'invio avvenga dall'interno del territorio spagnolo, sia che si tratti di un invio internazionale destinato a utenti in Spagna.

Cosa cambia: gestione e registrazione completa dell'Alias tramite API 

Per adeguarsi alla nuova normativa promossa dalla CNMC in Spagna, Openapi consente di effettuare la registrazione completa dell'Alias e l'invio della relativa documentazione direttamente via API.

L'aggiornamento degli endpoint aziendali permette agli utenti di gestire programmaticamente l'intero processo di censimento, compreso il caricamento dei dati identificativi e dei file richiesti (LOA e Dichiarazione di Responsabilità). 

Le procedure da seguire variano in base allo stato dell'Alias.

Nuovi clienti o prima configurazione di un Alias per la Spagna 

Se si deve lanciare una campagna SMS verso numeri spagnoli o non si è mai registrato un Sender ID per questo Paese, la procedura prevede la registrazione ex novo tramite l'endpoint “POST /senders/alias”. In alternativa, tutta la procedura può essere gestita comodamente anche tramite l'interfaccia grafica, utilizzando il tool di configurazione presente nella Dashboard alla sezione API “SMS v2”, all'interno della tab “Configurazione”. 

La normativa del regolatore spagnolo CNMC impone che l'Alias sia esclusivamente alfanumerico e che il titolare dell'Alias (alias holder) sia dichiarato in modo esplicito. Il titolare è la persona o l'azienda a cui appartiene l'Alias, che può coincidere con l'intestatario dell'account Openapi oppure essere un soggetto terzo.

I dati inseriti nell'API devono coincidere esattamente con quelli riportati nei due documenti firmati (esLoA e esResponsibleDeclaration). Eventuali discrepanze comporteranno il rigetto automatico della richiesta da parte della CNMC.

Dati obbligatori da inviare

Durante la chiamata occorre fornire i parametri identificativi del Sender ID e i dati anagrafici e fiscali del titolare dell'Alias:

Dati del Sender ID e del servizio:

• countryCode: Il codice ISO a 2 lettere del Paese di destinazione (es. “ES”).
• senders: L'Alias che si desidera registrare. Deve avere una lunghezza compresa tra 3 e 11 caratteri alfanumerici (sono ammessi gli spazi) e contenere almeno una lettera; non può essere puramente numerico. (es. MyBrand).
• companyWebsite: L'URL completo del sito web del titolare dell'Alias (es. https://www.mycompany.com). La CNMC verifica se l'Alias corrisponde a questo dominio per validare il legame dichiarato; indicare un sito non di proprietà del titolare compromette la validità della dichiarazione.
• senderCompanyRelationship: Descrizione della relazione tra l'Alias e il titolare (max 60 caratteri, es. brand, nome commerciale,ragione sociale, nome prodotto). Se l'Alias non coincide con la ragione sociale o con il dominio registrato, questo testo viene inviato testualmente alla CNMC come motivazione del titolare per l’utilizzo dell’alias; pertanto, deve descrivere il rapporto del titolare stesso con l’alias, non quello della società che effettua la registrazione.
• industry: Il settore dell'azienda (max 50 caratteri, es. e-commerce).
• trafficType: La tipologia di traffico SMS inviato (es. transactional o promotional).

Tipologia e Dati Anagrafici del Titolare (Alias Holder)

• aliasHolderType: Specifica se il titolare dell'Alias è una persona giuridica/azienda (LE) o una persona fisica (NP). La scelta di questo valore determina quali campi anagrafici compilare:
• Se Persona Giuridica (LE): Si dichiara la Ragione Sociale in aliasHolderName e non si inseriscono cognomi.
• Se Persona Fisica (NP): Si dichiara il nome in aliasHolderName e si compila il campo relativo al primo cognome (holder1stSurname).
• aliasHolderTaxId: Codice di identificazione fiscale del titolare dell'Alias (max 20 caratteri, es. B12345678). Il codice fiscale aziendale per una persona giuridica, quello personale (NIF, NIE o l'equivalente nel paese del titolare) per una persona fisica. Deve coincidere perfettamente con il numero riportato nei documenti firmati.
• aliasHolderName: Denominazione ufficiale della società (se “LE”, es. TERCERO EJEMPLO, S.L.) oppure il nome proprio della persona fisica (se “NP”).

Indirizzo Postale del Titolare dell'Alias

• holderMailingAddressStreetAvenue: Nome della via/piazza della sede o residenza del titolare, senza numero civico (max 40 caratteri, es. Calle Gran Via).
• holderMailingAddressStreetNumber: Numero civico (max 8 caratteri). Per immobili privi di civico, indicare la dicitura standard spagnola S/N (Sin Número).
• holderMailingAddressPostalCode: Codice d'avviamento postale (max 10 caratteri, es. 28013).
• holderMailingAddressCountry: Codice ISO a 2 lettere del Paese del titolare (es. “ES”). Questo parametro determina quale rappresentante autorizzato viene dichiarato alla CNMC e deve corrispondere al modello di esLoA utilizzato (titolari in Spagna firmano il modulo IB_ES, titolari esteri firmano IB_UK).

Documenti obbligatori da allegare

I documenti vanno allegati in formato PDF codificato in Base64 (dimensione massima 5 MB ciascuno) selezionando il modello adatto alla propria struttura aziendale e al legame con l'Alias.

esLoA:  Lettera di Autorizzazione (Carta de Autorización)

Lettera firmata dal titolare dell'Alias che autorizza l'aggregatore a rappresentarlo presso la CNMC. Esistono 4 modelli distinti in base alla tipologia del titolare e alla sua sede:

• Persona fisica residente in Spagna (o con residenza legale)
• Azienda con sede legale in Spagna
• Persona fisica fuori dalla Spagna
• Azienda con sede legale fuori dalla Spagna

Firmare un modello non corrispondente al Paese o al tipo di titolare dichiarato comporterà il rifiuto della richiesta.

esResponsibleDeclaration: Dichiarazione di Responsabilità (Declaración Responsable)

Autocertificazione formale in cui il titolare dichiara la legittimità d'uso del Sender ID. È disponibile in 4 modelli, strutturati in base alla natura del soggetto (persona fisica o azienda) e alla presenza di un collegamento ufficiale (connection):

• Con collegamento: l’alias corrisponde, oppure è un’abbreviazione o un’estensione, della denominazione sociale registrata del titolare, oppure di un dominio Internet registrato indicato come sito web della società.
• Senza collegamento: l’alias viene utilizzato solo di fatto nell’ambito dell’attività commerciale, senza alcuna iscrizione in un registro a sostegno.

I 4 moduli a disposizione:

1. Persona fisica — Con connessione
2. Azienda — Con connessione
3. Persona fisica — Senza connessione
4. Azienda — Senza connessione

Il collegamento tra l’alias e il suo titolare deriva dai dati di registrazione e viene dichiarato alla CNMC; pertanto, la dichiarazione di una variante errata contraddice quanto dichiarato e comporta il rifiuto della richiesta.

IMPORTANTE: il mittente deve riferirsi chiaramente all’azienda o a uno dei suoi marchi registrati e non deve essere generico: gli alias generici (ad es. Info, Alert, Notify, SMS, Verify, Assistenza) rischiano di essere rifiutati dai revisori e dagli operatori di telefonia mobile. È, invece, consigliato utilizzare il nome della propria azienda o del proprio marchio (ad es. Openapi, OpenapiOTP, OpenapiInfo).

Se si è già configurato un Alias per la Spagna

Se si ha già attivo un Sender ID per la Spagna all'interno della piattaforma Openapi, non bisogna creare un nuovo Alias. È sufficiente integrare i dati di registrazione già presenti.

L’endpoint da utilizzare è “PATCH /senders”

Tramite questa chiamata si dovranno inviare i nuovi campi obbligatori richiesti dalla normativa spagnola, con particolare attenzione a:

• LOA (Letter of Authorization): La Lettera di Autorizzazione debitamente compilata (esLoA).
• Dichiarazione di responsabilità: La documentazione formale che attesta la legittimità d'uso dell'Alias (esResponsibleDeclaration).

Questa procedura consentirà di garantire la continuità dei servizi di invio SMS verso la Spagna, assicurando al contempo la piena conformità alle direttive stabilite dalla CNMC. 

Tempi di approvazione e blocco preventivo dei messaggi

È fondamentale pianificare l'adeguamento con largo anticipo a causa delle tempistiche previste dall'autorità regolatrice spagnola.

La procedura di verifica del Registro de Alias spagnolo può richiedere fino a 30 giorni per l'approvazione definitiva della richiesta.

Fino al completamento e all'effettiva approvazione dell'Alias non sarà possibile inviare SMS verso numerazioni spagnole.

Il blocco si applica sia alle richieste inoltrate tramite l'endpoint specifico per la Spagna, sia agli invii effettuati tramite l'endpoint globale aventi come destinazione un numero spagnolo.

Inoltre, prima di procedere con l'implementazione o l'aggiornamento dei propri sistemi, è sempre consigliabile consultare la documentazione tecnica ufficiale. Trattandosi di un'infrastruttura soggetta all'evoluzione delle normative di settore, le specifiche API potrebbero subire variazioni nel tempo, con l'introduzione di nuovi campi o la deprecazione di parametri precedenti. Verificare la documentazione aggiornata garantisce la corretta formattazione di tutte le richieste ed evita possibili errori in fase di invio. 

Come monitorare lo stato della richiesta

Per verificare in tempo reale lo stato di avanzamento dell'approvazione del proprio Sender ID, Openapi mette a disposizione due strumenti principali:

• Callback automatica: Si può specificare un URL di callback direttamente in fase di registrazione iniziale tramite l'endpoint “POST /senders/alias” ricevendo una notifica non appena lo stato della pratica cambierà.
• Interrogazione via API: Si può verificare manualmente lo stato della richiesta in qualsiasi momento chiamando gli endpoint:
• “GET /senders” (per l'elenco dei mittenti e relativi dettagli)
• “GET /senders/{id}” (per controllare lo stato di un Alias specifico)