Kampanie SMS dla sklepu internetowego — zgody, koszt i SMS marketing krok po kroku

Kampania SMS to seria wiadomości tekstowych wysyłanych do grupy odbiorców z jednego numeru albo nazwy nadawcy — zwykle przez bramkę SMS, nie z telefonu sklepu. Sklep internetowy wysyła dwa rodzaje SMS-ów, które prawo traktuje zupełnie inaczej. SMS transakcyjny informuje o realizacji złożonego już zamówienia. SMS marketingowy to każda wiadomość z ofertą, rabatem albo zachętą do zakupu — i to on wymaga najwięcej przygotowań. Przed pierwszą kampanią potrzebujesz dwóch niezależnych podstaw prawnych, w tym osobnej zgody na sam kanał. Koszt policzysz z góry, bo trzy bramki publikują ceny za wiadomość. A ustawa o zwalczaniu nadużyć w komunikacji elektronicznej z 2023 roku reguluje głównie warstwę sieci telekomunikacyjnej i dotyczy sklepu tylko w kilku wąskich punktach. Na końcu znajdziesz e-mail — drugi kanał własny w cyklu życia klienta, z innymi wymaganiami dostawców skrzynek.

Dwie podstawy: RODO i zgoda z art. 398 PKE

Żeby legalnie wysłać SMS marketingowy, potrzebujesz dwóch niezależnych podstaw prawnych, nie jednej.

Pierwsza to podstawa z RODO (art. 6 ust. 1) do przetwarzania numeru telefonu klienta w celu marketingowym. W sklepie jest nią zwykle zgoda (lit. a) albo — wobec klientów, którzy już kupili — prawnie uzasadniony interes administratora (lit. f). RODO wymienia też m.in. wykonanie umowy (lit. b) i obowiązek prawny (lit. c), ale te podstawy obsługują realizację zamówienia, nie wysyłkę ofert.

Druga to zgoda na sam kanał komunikacji, z art. 398 Prawa komunikacji elektronicznej (Dz.U. 2024 poz. 1221). Przepis mówi wprost: „Zakazane jest używanie: 1) automatycznych systemów wywołujących, 2) telekomunikacyjnych urządzeń końcowych […] do celów przesyłania informacji handlowej […], w tym marketingu bezpośredniego, do abonenta lub użytkownika końcowego, chyba że uprzednio wyraził on na to zgodę”. SMS marketingowy wysłany bez tej zgody narusza art. 398, nawet jeśli podstawa z RODO jest w porządku. Te dwie warstwy sprawdzasz osobno: poprawna jedna nie naprawia braku drugiej.

Ustawa określa też, jak ta zgoda może wyglądać: „Zgoda […] może być wyrażona przez udostępnienie przez abonenta lub użytkownika końcowego identyfikującego go adresu elektronicznego […] w celu przesyłania informacji handlowej na podany […] adres elektroniczny”. Zgodą może więc być samo podanie numeru telefonu po to, by dostawać SMS-y marketingowe — np. zaznaczenie checkboxa przy zapisie na listę SMS — o ile odbiorca wie, na co się zgadza i w jakim celu podaje numer.

Ten sam artykuł zawiera dwa zastrzeżenia, które łatwo przeoczyć. Wysyłka „nie może odbywać się na koszt użytkownika końcowego lub abonenta” — klient nie płaci za odebranie Twojej kampanii. A złamanie zakazu „stanowi czyn nieuczciwej konkurencji w rozumieniu przepisów ustawy […] o zwalczaniu nieuczciwej konkurencji”, więc konsekwencje wykraczają poza samo RODO.

Wniosek dla Twoich formularzy: zgoda zapisana wyłącznie jako „zgoda na przetwarzanie danych osobowych”, bez wzmianki o kanale SMS, nie uprawnia do wysyłki kampanii SMS. Potrzebujesz osobnego zapisu zgody na ten konkretny kanał — najlepiej z datą, treścią zaakceptowaną przez klienta i miejscem, w którym ją wyraził.

Zgodę zbierzesz w kilku miejscach: checkbox w formularzu zamówienia (domyślnie odznaczony, niewymagany do dokończenia zakupu), osobne pole w ustawieniach konta klienta albo formularz zapisu na listę SMS na stronie sklepu. Każde z nich zadziała, jeśli klient wyraźnie widzi, że zapisuje się na SMS-y marketingowe, a nie tylko na powiadomienia o statusie zamówienia.

SMS transakcyjny a marketingowy — gdzie przebiega granica

SMS transakcyjny informuje o tym, co dzieje się z zamówieniem już złożonym przez klienta: potwierdzenie przyjęcia, zmiana statusu wysyłki, kod do odbioru w paczkomacie, przypomnienie o terminie odbioru. Taka wiadomość wynika z wykonania umowy i nie potrzebuje zgody z art. 398, bo co do zasady nie jest „informacją handlową” w rozumieniu tego przepisu, tylko realizacją zawartej już transakcji.

SMS marketingowy to każda wiadomość, która zachęca do zakupu: oferta, rabat, wyprzedaż, nowość w asortymencie — bez względu na to, czy trafia do stałego klienta, czy do osoby, która tylko zapisała się na listę. Wymaga obu podstaw opisanych wyżej; art. 398 PKE nie robi wyjątku dla osób, które już u Ciebie kupiły. Prawnie uzasadniony interes może zastąpić zgodę na gruncie RODO, ale nie zastąpi zgody na kanał.

Granica rozmywa się w jednym miejscu: SMS o statusie zamówienia z linkiem do dosprzedaży („kup akcesorium do produktu, który właśnie wysłaliśmy”) w tej dodatkowej części przestaje być czysto transakcyjny. Jeśli nie masz zgody marketingowej od wszystkich odbiorców powiadomień o statusie, wyślij dwie osobne wiadomości zamiast łączyć obie treści w jedną.

Automatyczne SMS-y transakcyjne po zmianie statusu zamówienia opisujemy w automatyzacji sprzedaży — razem z triggerami przypomnień o koszyku. Jeśli wdrażasz takie wiadomości u siebie i potrzebujesz pomocy z integracją bramki SMS z systemem zamówień, zajrzyj do oferty automatyzacji procesów.

Ile kosztuje kampania SMS

Koszt kampanii SMS policzysz przed wysyłką, bez proszenia o indywidualną ofertę: trzy bramki opisane niżej publikują ceny za wiadomość w swoich cennikach. Wszystkie stawki są netto (do doliczenia VAT 23%), odczytane z cenników dostawców 1 października 2026 roku.

SMSAPI ma dwa modele. W przedpłaconym SMS kosztuje od 0,17 zł przy doładowaniu 49–499,99 zł do 0,11 zł przy doładowaniu powyżej 10 000 zł, a o stawce decyduje kwota ostatniego pojedynczego doładowania. W postpaid (na stronie oznaczonym jako „bestseller”) płacisz abonament 49 zł miesięcznie, a cena spada od 0,14 zł (1–1 000 wiadomości/mies.) do 0,08 zł (50 001–100 000 wiadomości/mies.). To stawki obniżone — obok nich strona pokazuje przekreślone ceny od 0,16 do 0,10 zł. Dostawca zaznacza wprost, że podane ceny są netto.

SerwerSMS ma cztery plany miesięczne (post-paid), każdy z abonamentem i pulą SMS-ów w cenie: Lite — 49 zł/mies., 0,19 zł za SMS, 100 SMS-ów w pakiecie, limit 3 000 odbiorców; Standard — 99 zł/mies., 0,17 zł, 400 SMS-ów, 12 000 odbiorców; Growth — 199 zł/mies., 0,15 zł, 2 000 SMS-ów, 30 000 odbiorców; Pro — 299 zł/mies., 0,10 zł, 4 000 SMS-ów, 60 000 odbiorców. Abonamenty podano po promocyjnym rabacie 60% od cen katalogowych (123–749 zł), a do wszystkich kwot doliczasz VAT 23%. Plan wybierasz więc nie tylko po stawce za SMS, ale też po limicie odbiorców: lista 10 000 numerów nie zmieści się w planie Lite.

JustSend nie pobiera abonamentu (minimalne doładowanie to 50 zł) i różnicuje cenę według typu wiadomości: Basic 0,07 zł — wysyłka z nadawcy numerycznego, Unique 0,08 zł — jeden z 10 gotowych nadpisów, Dynamic 0,09 zł — własna nazwa nadawcy do 11 znaków, Voice 0,15 zł, International, czyli UE i UK, 0,35 zł. Porównując stawki, pilnuj tego rozróżnienia: najtańszy wariant nie wyśle SMS-a z nazwą Twojego sklepu.

Policzmy kampanię do 10 000 odbiorców. W SMSAPI prepaid stawka 0,11 zł wymaga doładowania powyżej 10 000 zł, więc przy jednorazowej kampanii obowiązuje próg 500–1 999,99 zł i 0,16 zł za SMS: 10 000 × 0,16 zł = 1 600 zł netto, plus VAT 23% = 1 968 zł brutto. W postpaid SMSAPI 10 000 wiadomości w miesiącu mieści się w progu 5 001–10 000 po 0,12 zł: 1 200 zł plus 49 zł abonamentu daje 1 249 zł netto, 1 536,27 zł brutto. JustSend z własną nazwą nadawcy (Dynamic, 0,09 zł) to 10 000 × 0,09 zł = 900 zł netto, 1 107 zł brutto, a wariant Basic (0,07 zł, nadawca numeryczny) — 700 zł netto, 861 zł brutto. Ta sama lista kosztuje więc od 861 do 1 968 zł brutto, zależnie od bramki i modelu rozliczenia. Przelicz to przed wyborem dostawcy, a nie dopiero przy pierwszej fakturze.

Drugi koszt to abonament. W postpaid SMSAPI płacisz 49 zł miesięcznie bez względu na to, czy wysyłasz 10, czy 10 000 wiadomości, a w SerwerSMS od 49 do 299 zł miesięcznie (z pulą SMS-ów w cenie). Przy niskim wolumenie model przedpłacony bez abonamentu może wyjść taniej mimo wyższej stawki za SMS. Żaden z trzech dostawców nie podaje okresu ważności cennika poza bieżącą wersją strony — traktuj te liczby jako ceny z 1.10.2026, nie jako stałą wartość.

Ten sam rachunek przeprowadź dla wysyłek zagranicznych. 1 000 wiadomości w cenie międzynarodowej JustSend dla odbiorców z UE i UK (0,35 zł/SMS) to 350 zł netto, czyli 430,50 zł brutto — przy liście dziesięciokrotnie krótszej niż w przykładzie krajowym. Zanim wyślesz kampanię na zagraniczne numery, sprawdź stawkę dla tej kategorii, nie tylko krajową.

Nadawca, smishing i ustawa o nadużyciach — czego to prawo nie reguluje

Ustawa z dnia 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej (Dz.U. 2023 poz. 1703) weszła w życie 25 września 2023 roku, 30 dni po ogłoszeniu. To inna ustawa niż opisane wyżej Prawo komunikacji elektronicznej i dotyczy innego problemu: nie zgody marketingowej, lecz nadużyć w samej sieci telekomunikacyjnej.

Smishing ustawa definiuje (art. 3 ust. 1 pkt 2) jako „wysłanie krótkiej wiadomości tekstowej (SMS), w której nadawca podszywa się pod inny podmiot w celu nakłonienia odbiorcy tej wiadomości do określonego zachowania, w szczególności przekazania danych osobowych, niekorzystnego rozporządzenia mieniem, otwarcia strony internetowej, inicjowania połączenia głosowego lub instalacji oprogramowania”. Chodzi więc o podszywanie się pod inny podmiot, np. bank albo kuriera, a nie o legalną wysyłkę marketingową pod własną, prawdziwą nazwą sklepu.

Art. 16 nakazuje operatorom telekomunikacyjnym blokować połączenie głosowe albo ukrywać numer wywołujący przed użytkownikiem końcowym, gdy wykryją CLI spoofing, czyli podszycie się pod inny numer. To obowiązek operatora, nie sklepu. Art. 17 wprowadza jawny wykaz numerów służących wyłącznie do odbierania połączeń głosowych, prowadzony przez Prezesa UKE, z wnioskodawcami takimi jak banki i SKOK-i. Ten przepis działa od 25 marca 2024 roku, pół roku po wejściu w życie reszty ustawy.

Ustawa reguluje więc głównie warstwę sieci: blokowanie podszywania się przez operatorów, rejestr numerów głosowych, zgłaszanie smishingu do CSIRT NASK pod numer skrócony 8080 (art. 5). Nazwy nadawcy dotyczy tylko w wąskim zakresie. Operatorzy blokują SMS-y z nadpisami zastrzeżonymi dla podmiotów publicznych, jeśli nie wysłał ich wpisany do wykazu integrator (art. 13–14), a podmiot inny niż publiczny nie może używać nadpisu kończącego się na „#RP” (art. 12). Poza tym nazwa nadawcy Twoich kampanii to sprawa umowy z bramką SMS (SMSAPI, SerwerSMS, JustSend) i jej regulaminu, nie tej ustawy. Nie myl tych dwóch poziomów: legalna kampania pod prawdziwą nazwą sklepu, wysłana za zgodą odbiorcy, nie jest smishingiem, niezależnie od treści oferty.

Bezpośrednio dotyczy Cię jeden mechanizm. Operatorzy blokują SMS-y, których treść pasuje do wzorca wiadomości smishingowej przekazanego przez CSIRT NASK (art. 6). Jeśli zablokują Twoją legalną kampanię, jako nadawca możesz wnieść do Prezesa UKE sprzeciw z pełną treścią wiadomości, uzasadnieniem i numerem użytym do wysyłki (art. 7), a Prezes UKE rozpatruje go w 14 dni (art. 8). Zachowaj więc treść każdej wysłanej kampanii i numer, z którego poszła — bez nich sprzeciwu nie złożysz.

Lista odbiorców i wypisy

Dwie zgody nic nie dadzą, jeśli nie umiesz ich wykazać. RODO nakłada na administratora obowiązki informacyjne (art. 13): klient musi wiedzieć, kto przetwarza jego numer, w jakim celu i jak długo. Rozliczalność całego procesu opiera się na podstawie z art. 6 — dla każdego numeru musisz wskazać konkretną zgodę, która uprawnia Cię do wysyłki: datę, treść i kanał zapisu. Sam odhaczony checkbox, bez daty i treści, którą klient faktycznie zaakceptował, tego nie zapewni.

Każda kampania SMS marketingowa potrzebuje też mechanizmu wypisu. Gdy klient wycofa zgodę, przestaje ona być podstawą z art. 6 RODO — dalsza wysyłka na ten numer nie ma żadnej podstawy prawnej, choćby zgoda była na początku zebrana bez zarzutu. Forma wypisu, np. odpowiedź na numer nadawcy albo link w treści wiadomości, zależy od tego, co obsługuje wybrana bramka; sprawdź to w jej panelu przed pierwszą kampanią. Numer, który się wypisał, usuń z list marketingowych niezwłocznie.

Zgody i historię wypisów trzymaj w jednym, łatwo przeszukiwalnym miejscu: w systemie sklepu, w CRM albo w samej bramce SMS — tam, gdzie prowadzisz główny rejestr kontaktów. Dane rozrzucone między arkusz, panel bramki i bazę klientów utrudniają wykazanie zgody przy kontroli i zwiększają ryzyko wysyłki do kogoś, kto już się wypisał.

E-mail w cyklu życia klienta

E-mail działa w cyklu życia klienta obok SMS-a. Strategię newslettera opisuje osobny artykuł o e-mail marketingu; tu liczy się jedna rzecz, którą musisz znać niezależnie od strategii. Google, Yahoo i Microsoft w latach 2024–2025 wprowadziły twarde wymagania techniczne dla nadawców masowej korespondencji — bez ich spełnienia Twoje kampanie e-mailowe mogą trafić do spamu albo zostać odrzucone.

Gmail stawia wymagania od 1 lutego 2024 roku. Każdy nadawca musi mieć SPF lub DKIM, poprawne rekordy DNS (w tym odwrotny), szyfrowanie TLS przy transmisji i formatowanie zgodne z RFC 5322, a współczynnik spamu w Postmaster Tools ma pozostać poniżej 0,3% (Google zaleca poniżej 0,1%). Nadawcy wysyłający ponad 5000 wiadomości dziennie muszą dodatkowo mieć jednocześnie SPF, DKIM (klucz co najmniej 1024-bitowy, Google zaleca 2048) i DMARC, z domeną „From” zgodną z domeną SPF lub DKIM. Ich wiadomości marketingowe i subskrypcyjne muszą obsługiwać wypis jednym kliknięciem (nagłówki List-Unsubscribe i List-Unsubscribe-Post) i mieć widoczny link do wypisu w treści.

Yahoo egzekwuje analogiczne wymagania od lutego 2024 roku. Masowi nadawcy muszą mieć SPF i DKIM, publiczną politykę DMARC (minimum „p=none”), zgodność domeny „From” z domeną SPF lub DKIM oraz działający nagłówek wypisu jednym kliknięciem (zalecana metoda POST według RFC 8058, mailto też akceptowalne). Wypisy trzeba honorować w ciągu 2 dni, a współczynnik spamu ma być niższy niż 0,3% — liczony względem maili dostarczonych do skrzynki odbiorczej, nie względem wszystkich wysłanych.

Microsoft od 5 maja 2025 roku stawia własne wymagania domenom wysyłającym ponad 5000 wiadomości dziennie do Outlook.com (adresy hotmail.com, live.com i outlook.com): SPF i DKIM muszą przechodzić, a DMARC musi mieć politykę co najmniej „p=none” i zgodność z SPF lub DKIM. Według strony Microsoftu dla nadawców poczta niespełniająca wymagań trafia do folderu wiadomości-śmieci, a docelowo ma być odrzucana; w aktualizacji wpisu z 29 kwietnia 2025 roku Microsoft podał już kod odrzucenia: „550; 5.7.515 Access denied, sending domain [SendingDomain] does not meet the required authentication level”. Działający link do wypisu i higienę listy traktuje jako zalecenia, nie wymagania, i nie podaje liczbowego progu współczynnika spamu.

Dla obu kanałów wniosek jest ten sam: zgodność techniczna (SPF/DKIM/DMARC dla e-maila) i prawna (podstawa z RODO i zgoda z art. 398 PKE dla SMS-a i e-maila) to warunek wysyłki, nie dodatek. Bez niej kampania nie dotrze do odbiorcy albo w ogóle nie powinna wyjść. Przypomnienia o porzuconym koszyku, wysyłane e-mailem albo SMS-em, mają własną logikę i triggery — opisujemy je w tekście o porzuconych koszykach.

Jak mierzyć kampanię SMS

Sam SMS nie raportuje kliknięć — o tym, czy je policzysz, decyduje link. Niektóre bramki mają własne skracacze (SerwerSMS wymienia w funkcjach planów zarządzanie skróconymi linkami), ale ruch trafi do Google Analytics 4 z właściwym źródłem tylko wtedy, gdy link do oferty ma parametry UTM. Dodaj je, skróć link i dopiero wtedy wysyłaj. Kliknięcie z kampanii pojawi się w GA4 z własnym źródłem i medium, jak każdy inny ruch kampanijny; bez UTM-ów nie odróżnisz ruchu z SMS-a od organicznego ani od innych kanałów.

Kliknięcie to jednak tylko połowa pomiaru. Druga połowa to zamówienie. Podziel koszt kampanii, policzony jak w sekcji o cenach, przez liczbę zamówień, które z niej realnie przyszły — dostaniesz koszt zamówienia z tego kanału. Ten sam wskaźnik dla wszystkich kanałów opisujemy w artykule o KPI e-commerce. Nie porównuj SMS-a z e-mailem po samym współczynniku kliknięć: koszt wysyłki na odbiorcę jest w obu kanałach inny, więc o skuteczności decyduje koszt na zamówienie, nie sam ruch.