Споразумение за обработване на данни

Последна актуализация: 4 септември 2026 г. · Версия 1.0

Настоящото Споразумение за обработка на данни ("СОД") е неразделна част от Договора за Maildroppa. То се прилага винаги когато Maildroppa обработва лични данни от името на Клиента.

Страни

Администратор ("Клиент"): физическото или юридическото лице, посочено като Клиент в Поръчката или акаунта в Maildroppa, включително валидно включено свързано лице на Клиента, когато то е администратор на Лични данни на Клиента.

Обработващ ("Maildroppa"):

Marcus Biel, действащ под търговското наименование „Maildroppa“
Dr.-Peter-Hecker-Str. 4b
82031 Grünwald
Германия
Контакт: форма за контакт

Клиентът и Maildroppa заедно са „Страните“.

1. Обхват, срок и приоритет

1.1 Настоящото СОД урежда обработването от Maildroppa на лични данни от името на Клиента във връзка с услугата ("Лични данни на Клиента"). Предметът, естеството, целта, категориите субекти на данни и видовете данни са описани в Приложение 1.

1.2 СОД влиза в сила, когато Клиентът приеме Общите условия, Поръчка, която го включва, или отделно електронно потвърждение. Остава в сила за срока на Договора и докато Maildroppa обработва Лични данни на Клиента.

1.3 Това СОД има предимство пред основния Договор по отношение на обработката от името на Клиента. Императивното законодателство за защита на данните има предимство във всички случаи.

1.4 За собствени цели — включително договор и фактуриране, собствена сигурност на акаунта на Maildroppa, защита на платформата и инфраструктурата за изпращане, предотвратяване на злоупотреби и правни задължения — Maildroppa може да бъде отделен администратор. Такова обработване се урежда от Политиката за поверителност, а не от това СОД. Maildroppa няма да използва ролята си на обработващ, за да използва Лични данни на Клиента за реклама на Maildroppa.

2. Определения и приложимо право

2.1 „Лични данни“, „обработване“, „администратор“, „обработващ“, „субект на данни“, „нарушение на сигурността на лични данни“ и „надзорен орган“ имат значението, дадено им в ОРЗД.

2.2 „Законодателство за защита на данните“ означава ОРЗД, Федералния закон за защита на данните на Германия и друго приложимо към конкретната обработка законодателство за защита на данните.

2.3 Ако Клиентът сам е обработващ за друг администратор, Maildroppa действа като по-нататъшен обработващ. Клиентът гарантира, че е упълномощен да инструктира и възлага на Maildroppa и ще предостави на Maildroppa информацията и правата на администратора в степента, необходима за изпълнението на това СОД.

3. Отговорност на Клиента и инструкции

3.1 Клиентът носи отговорност за законосъобразността на обработването, правата на субектите на данни, точността и необходимостта от данните и своите инструкции. Клиентът осигурява по-специално правното основание, уведомленията, съгласието, когато е необходимо, решенията за съхранение и изтриване и законосъобразните получатели.

3.2 Документираните инструкции се състоят от основния Договор, това СОД, конфигурацията и използването на услугата от Клиента и допълнителни инструкции в текстова форма. Инструкцията не трябва фундаментално да променя естеството, целта или обхвата на договорената услуга. Допълнителни инструкции могат да изискват отделно споразумение и разумна такса.

3.3 Клиентът не трябва да обработва специални категории данни по чл. 9 ОРЗД, данни за присъди и нарушения по чл. 10 ОРЗД, пълни данни за платежни инструменти, служебни тайни или друга специално защитена информация в Maildroppa, освен ако Maildroppa изрично не одобри предварително конкретната цел и мерките в текстова форма.

3.4 Клиентът конфигурира наличните функции за роли, експортиране, изтриване, съгласие, проследяване и интеграции в съответствие с риска и защитава акаунти, домейни, API ключове и идентификационни данни.

4. Обработване само по документирани инструкции

4.1 Maildroppa обработва Лични данни на Клиента само по документирани инструкции на Клиента, включително за трансфер към трета държава, освен ако правото на Съюза или на държава-членка не изисква обработване. В такъв случай Maildroppa информира Клиента за правното изискване преди обработването, освен ако законът забранява това по важни съображения от обществен интерес.

4.2 Maildroppa използва Лични данни на Клиента само за предоставяне, защита, поддръжка и прекратяване на договорената услуга и за изпълнение на законосъобразни инструкции. Продажбата, реклама на трети страни и създаването на списък на получатели за друго лице са забранени.

4.3 Ако Maildroppa счете, че дадена инструкция нарушава Законодателството за защита на данните, уведомява Клиента без неоправдано забавяне и може да спре засегнатата инструкция, докато тя бъде потвърдена, променена или изяснена от компетентния орган. Страните си сътрудничат добросъвестно за намиране на законосъобразна алтернатива.

4.4 Само лица, които се нуждаят от достъп за изпълнение на задълженията си, могат да имат достъп до Лични данни на Клиента. Преди достъпа тези лица са обвързани с поверителност или подходящо законово задължение и получават указания относно поверителността и сигурността.

5. Технически и организационни мерки

5.1 Maildroppa прилага мерките в Приложение 2 съгласно чл. 28, ал. 3, б. „в“ и чл. 32 ОРЗД. Мерките отчитат развитието на техниката, разходите за внедряване, естеството, обхвата, контекста и целите, както и вероятността и тежестта на риска.

5.2 Maildroppa може да развива или заменя отделни мерки с равностойни или по-ефективни контроли. Общото ниво на защита не трябва да бъде съществено намалено. Съществени негативни промени се съобщават предварително, освен ако не е необходимо незабавно действие за отстраняване на остър риск.

5.3 Сигурността е споделена отговорност. Maildroppa не отговаря за рискове, причинени единствено от незаконно Съдържание на Клиента, небезопасни устройства на Клиента, споделени идентификационни данни, неправилно конфигурирани интеграции на Клиента или инструкции на Клиента. Собствените законови и договорни задължения на Maildroppa остават непроменени.

6. Съдействие за правата на субектите на данни

6.1 С оглед на естеството на обработването Maildroppa подпомага Клиента чрез подходящи технически и организационни мерки при искания по Глава III ОРЗД, включително достъп, коригиране, изтриване, ограничаване, преносимост, възражение и информация за автоматизирани решения.

6.2 Когато исканите данни са налични чрез функционалност на продукта, Клиентът обработва искането сам. За допълнителна пропорционална подкрепа Maildroppa предоставя наличната информация или коригира, експортира, ограничава или изтрива данни по документирана инструкция.

6.3 Ако Maildroppa получи искане от субект на данни, което видимо засяга Лични данни на Клиента, уведомява Клиента без неоправдано забавяне и не отговаря по същество, освен ако не е инструктирано от Клиента или изисквано по закон. Maildroppa може да информира субекта на данни, че искането е препратено към администратора.

6.4 Клиентът изпраща само информация, необходима за намиране и сигурно изпълнение на искането. Maildroppa може да начисли разумни, предварително съобщени разходи за явно прекомерна, повтаряща се или нестандартна помощ в степента, позволена от чл. 28 ОРЗД.

7. Съответствие, оценки на въздействието и органи

7.1 С оглед на естеството на обработването и наличната информация Maildroppa подпомага Клиента относно чл. 32–36 ОРЗД, включително сигурност, уведомяване и съобщаване за нарушения, оценки на въздействието върху защитата на данните и предварителни консултации.

7.2 По разумно искане Maildroppa предоставя информация за услугата, потоците данни, мерките, подобработващите и известните рискове, необходима за оценката на въздействието на Клиента, когато не е налична в документацията или акаунта.

7.3 Ако Maildroppa получи обвързващо искане от орган или съд за Лични данни на Клиента, уведомява Клиента преди разкриване, когато това е законово позволено. Maildroppa оценява компетентността и обхвата, разкрива само законово изискваното и документира случая.

8. Нарушения на сигурността на личните данни

8.1 Maildroppa уведомява Клиента без неоправдано забавяне след узнаване за Нарушение на сигурността на лични данни, засягащо Лични данни на Клиента. Първоначална информация може да бъде предоставена поетапно и няма да се чака окончателно разследване.

8.2 Доколкото е налично, известието включва:

• естеството на нарушението, включително категориите и приблизителния брой засегнати лица и записи;
• вероятните последици;
• мерките, предприети или предложени за ограничаване и отстраняване;
• време или период и текущ статус на разследването;
• лице за контакт за въпроси.

8.3 Maildroppa незабавно предприема разумни мерки за ограничаване, запазване на доказателства, установяване на първопричина и отстраняване, документира нарушението и предоставя наличната информация за задълженията на Клиента по чл. 33 и 34 ОРЗД.

8.4 Клиентът остава отговорен за оценката и евентуално уведомяване на надзорен орган в рамките на 72 часа от собственото си узнаване и за евентуално съобщаване на субектите на данни. Известието на Maildroppa не е признание за нарушение на задължение или отговорност.

8.5 Клиентът незабавно информира Maildroppa за инциденти в своята среда, които могат да засегнат Лични данни на Клиента или услугата, и съдейства за смекчаването им.

9. Подобработващи

9.1 Клиентът дава общо писмено разрешение за подобработващите в Приложение 3. Maildroppa остава отговорна пред Клиента за изпълнението от подобработващия на задълженията му по чл. 28, ал. 4 ОРЗД.

9.2 Maildroppa обвързва договорно всеки подобработващ със съществено същото ниво на защита на данните за съответната услуга, включително инструкции, поверителност, сигурност, съдействие, изтриване и одитни права.

9.3 Maildroppa по принцип дава най-малко 30 дни предизвестие преди добавяне или замяна на подобработващ на бизнес имейл адреса, съхранен в акаунта, и публикува датирана промяна в списъка на подобработващите. По-кратък срок може да се приложи при спешни нужди от сигурност или наличност; Maildroppa обяснява причината и дава известие възможно най-рано.

9.4 Клиентът може да възрази в срока на предизвестието на конкретни, обосновани основания, свързани със защитата на данните. Страните търсят разумно решение, напр. промяна в конфигурацията. Ако такова не е възможно и възражението е основателно, Клиентът може да прекрати основния Договор поради причина без допълнителна такса преди новият подобработващ да започне обработване. Чисто търговски или конкурентни възражения са недостатъчни.

9.5 Услуги, които не обработват Лични данни на Клиента, и получатели или интеграции, свързани от Клиента по негова инструкция, не са подобработващи на Maildroppa. Това включва услуга, за която Клиентът се свързва и сключва договор чрез собствен акаунт при трета страна.

10. Международни трансфери

10.1 Maildroppa предава Лични данни на Клиента извън Европейското икономическо пространство само по документирани инструкции и в съответствие с Глава V ОРЗД.

10.2 Когато няма приложимо решение за адекватност, Maildroppa сключва действащите Стандартни договорни клаузи на Европейската комисия с вносителя. Обикновено се прилага Модул 2, когато Клиентът е администратор, и Модул 3, когато Клиентът е обработващ. Това СОД и приложенията му попълват съответните Анекси към СДК.

10.3 Когато доставчик е валидно сертифициран по Рамката за поверителност на данните ЕС-САЩ за съответните данни, може да се използва решението за адекватност. Maildroppa наблюдава съответната сертификация на разумни интервали и поддържа алтернативен механизъм, когато е необходимо, за да продължи трансфера.

10.4 Maildroppa документира оценка на въздействието на трансфера, когато това се изисква, и използва допълнителни технически, договорни или организационни мерки, подходящи за съответното право, възможността за достъп и риска за данните. Клиентът предоставя информацията, необходима за оценка на собствените му инструкции.

11. Връщане и изтриване

11.1 По време на Договора Клиентът може да използва наличните функции за експортиране и изтриване. Преди края на договора Клиентът може да поиска връщане на оперативните Лични данни на Клиента в наличен, широко използван машинночетим формат.

11.2 След края на услугите Maildroppa изтрива всички Лични данни на Клиента и копията им без неоправдано забавяне, освен ако Клиентът преди това не е поискал връщане или правото на Съюза или държава-членка изисква съхранение. Изтриването започва след завършване на всяко договорено връщане. По искане Maildroppa потвърждава изтриването в текстова форма.

11.3 Данни, останали в резервни копия с ограничен достъп, не се използват за нови производствени цели и се презаписват по документирания редовен цикъл на архивиране. До тогава те остават блокирани от редовен достъп. Ако резервно копие се използва за възстановяване, Maildroppa незабавно прилага отново чакащи изтривания, възражения и ограничения.

11.4 Данни, запазени по законово изискване, и минимална информация, строго необходима за сигурност, предотвратяване на злоупотреби или постоянно спазване на отписвания, се изолират, ограничават достъпа и се използват само за тази цел, след което се изтриват, когато вече не са необходими. Maildroppa идентифицира категорията и правното основание пред Клиента, когато не е вече документирано.

12. Информация и одити

12.1 Maildroppa предоставя информация, необходима за доказване на съответствие с чл. 28 ОРЗД и това СОД. Това може да включва текущи ТОМ, информация за подобработващи и трансфери, подходящи сертификати, одитни доклади, въпросници и потвърждения за изтриване.

12.2 Ако тези материали не отстранят обоснован риск, Клиентът или независим компетентен одитор, обвързан с поверителност, може да проведе одит. Одитите обикновено се провеждат не повече от веднъж на дванадесет месеца, с най-малко 30 дни предизвестие, в рамките на нормалното работно време и без излишно смущаване на други клиенти или сигурността.

12.3 Допълнителен одит или одит с по-кратко предизвестие е позволен, когато е оправдан от Нарушение на сигурността на лични данни, конкретна съществена загриженост или указание на надзорен орган. Maildroppa може да предостави силно чувствителна информация чрез подходящ доклад от трета страна и да ограничи достъпа до данни на други клиенти, изходен код, уязвимости или търговски тайни, когато целта на одита все още може да бъде постигната.

12.4 Всяка Страна понася собствените си разходи. Когато одитът създава съществена работа извън законовите задължения или не открие съществено несъответствие на Maildroppa, Maildroppa може да начисли разумни разходи, договорени предварително. Ако се идентифицира съществено несъответствие на Maildroppa, Maildroppa понася разумните разходи за одита и отстранява въпроса без неоправдано забавяне.

12.5 Maildroppa поддържа записи на категориите обработване по чл. 30, ал. 2 ОРЗД и сътрудничи с компетентния надзорен орган при поискване.

13. Отговорност

13.1 Отговорността между Страните се урежда от чл. 82 ОРЗД, друго императивно Законодателство за защита на данните и действащите разпоредби за отговорност в основния Договор. Нищо в това СОД не ограничава правата на субектите на данни или правомощията на надзорните органи.

13.2 Между Страните всяка отговаря за загуби и разходи в степента, в която са причинени от нейно виновно нарушение на това СОД, законово задължение или законосъобразна отговорност. Запазват се законовите права на суброгация.

14. Прекратяване при нарушение на защитата на данните

14.1 Ако Maildroppa съществено наруши това СОД, Клиентът може да спре засегнатото обработване, докато то бъде отстранено. Ако Maildroppa не отстрани същественото нарушение в разумен срок или отстраняването е невъзможно, Клиентът може да прекрати засегнатата услуга поради причина.

14.2 Maildroppa може да спре незаконосъобразна инструкция по клауза 4.3. Ако не може да се намери законосъобразна алтернатива и продължаването би нарушило Законодателството за защита на данните, Maildroppa може да прекрати засегнатото обработване. Задълженията за връщане, изтриване и доказателства остават.

15. Заключителни разпоредби

15.1 Измененията се договарят в текстова форма или се включват чрез доказуем електронен процес. Приложенията могат да бъдат актуализирани, за да отразят действителната обработка, когато общата защита не е съществено намалена и са спазени уведомленията и правата за възражение по СОД.

15.2 Ако дадена разпоредба е недействителна, останалите разпоредби остават в сила, а на нейно място се прилагат законовите правила.

15.3 Приложимо е германското право и клаузата за юрисдикция в основния Договор, доколкото императивното Законодателство за защита на данните не изисква друго.

15.4 Настоящата българска версия се предоставя за улеснение. В случай на противоречие с немската версия, предимство има немската версия, освен ако императивното право не изисква друго.

Приложение 1 – Описание на обработването

1. Предмет и цел

Предоставяне на базираната в облак услуга Maildroppa за имейл маркетинг на база съгласие, включително управление на контакти и списъци, форми и потоци за записване, кампании, шаблони, автоматизации, изпращане, доставяне и отчети за взаимодействия, файлове, интеграции, експорти, поддръжка, сигурност, архивиране и договорно изтриване.

2. Продължителност

Срокът на основния Договор плюс периода за връщане, изтриване и изтичане на резервните копия по клауза 11.

3. Естество на обработването

Събиране чрез форми на Клиента, записване, организиране, структуриране, съхранение, адаптиране, сегментиране, съпоставяне, извличане, показване, импортиране, експортиране, предаване, изпращане, регистриране, анализ, ограничаване, архивиране и изтриване по инструкция на Клиента.

4. Категории субекти на данни

• абонати, заинтересовани лица, потенциални клиенти, клиенти и други бизнес контакти на Клиента;
• посетители и лица, подали форми и лендинг страници на Клиента;
• получатели на кампании, автоматизации и транзакционни съобщения на Клиента;
• други лица, чиито данни Клиентът законосъобразно изпраща към услугата.

5. Категории лични данни

• данни за идентичност и контакт: име, имейл адрес и бизнес контактна информация, въведена от Клиента;
• дефинирани от Клиента полета на профил, тагове, сегменти, списъци и аудитории;
• данни за съгласие, източник и доказателства: източник на записване, форма, текст на съгласието, времеви марки, статус на потвърждение и отписване и IP/браузър метаданни, когато са активирани и законосъобразни;
• технически данни от формата и злоупотреби: размер на екрана, версия на браузъра и ОС, производен идентификатор на устройство, IP/заявка и последно време на показване на изскачащ прозорец, съхранено в браузъра, когато Клиентът вгражда съответния зареждащ скрипт;
• съдържание на кампании, форми, автоматизации, шаблони и съобщения;
• данни за доставка и взаимодействие: статус на доставка, отваряния и кликвания, когато са активирани и законосъобразни, отскочили съобщения, оплаквания, отписвания и потиснати адреси;
• технически данни: IP адрес, устройство, браузър, заявка, сигурност, логове и информация за грешки;
• файлове, прикачени файлове и съдържание, качени от Клиента;
• информация за интеграции, импорти, експорти и поддръжка, включително идентификатори на трети страни, подадени от Клиента.

6. Специални данни

Обработването на специални категории данни по чл. 9 и данни за присъди по чл. 10 ОРЗД не е част от услугата и е забранено, освен ако изрично не бъде договорено предварително в текстова форма за конкретна цел с допълнителни мерки.

7. Честота и обем

Непрекъснато, в обем, определен от използването, конфигурацията, получателите, плана и инструкциите на Клиента.

8. Права и задължения на Клиента

Правата и задълженията на Клиента произтичат от това СОД, основния Договор и Законодателството за защита на данните. Клиентът определя по-специално целите, правните основания, категориите данни, получателите, конфигурацията, съхранението и отговора на правата на субектите на данни.

Приложение 2 – Технически и организационни мерки

Maildroppa поддържа следните мерки за Лични данни на Клиента. Изпълнението може да се развива с развитието на техниката, без съществено намаляване на общата защита.

1. Организация и управление

• документирани отговорности за поверителност, сигурност и инциденти;
• задължения за поверителност на упълномощения персонал;
• инструкции за поверителност и сигурност, съобразени с ролята и задачите;
• контролиран достъп, промяна и отнемане на вътрешен достъп;
• документиран преглед на доставчиците и изисквани договори за обработване на данни;
• процедури за искания на субекти на данни, инструкции, изтриване и искания от органи.

2. Удостоверяване и контрол на достъпа

• удостоверени акаунти чрез Auth0/Okta и ролево ограничени продуктови и административни интерфейси;
• индивидуален вътрешен достъп на база необходимост и най-малки привилегии;
• защита на привилегирован достъп и технически тайни; Maildroppa не съхранява пароли в открит текст;
• логване на събития, свързани със сигурността на акаунтите и администрацията;
• преглед по събитие и риск и незабавно отнемане на вече ненужен достъп.

3. Сигурност на предаването и комуникацията

• криптирано предаване чрез актуални HTTPS/TLS връзки;
• защитени API и уебхукове чрез методи за удостоверяване или подпис/тайна, когато са предоставени;
• проверки на домейни и податели и поддръжка на общи методи за удостоверяване на имейл;
• защита срещу злоупотреби чрез прокси, мрежови, лимитиращи и други контроли за сигурност.

4. Разграничаване на наематели и цели

• логическо отделяне на данните и достъпа до акаунтите на Клиента;
• сървърна авторизация за ресурсите на акаунта;
• разделени роли и цели за операции, поддръжка, фактуриране и обработване на Клиента;
• без използване на Лични данни на Клиента за реклама на трети страни или търговия със списъци.

5. Наличност, устойчивост и възстановяване

• основна работа на приложението върху контролирана инфраструктура в Германия и първично съхранение на обектни данни в ЕС;
• защити срещу мрежови атаки и злонамерен трафик;
• мониторинг на услугата, улавяне на грешки и контролиран ескалационен процес;
• резервни копия с ограничен достъп по документиран график;
• контролирани процедури за възстановяване;
• повторно прилагане на чакащи изтривания и ограничения след възстановяване.

6. Цялостност и сигурна обработка

• техническа проверка на тип, размер и достъп за поддържани качвания;
• контролиран софтуерен деплой и управление на зависимости/уязвимости;
• логиране на грешки и сигурност с минимизиране на данните;
• защити срещу неоторизирано изменение чрез контрол на достъпа;
• отговорна обработка на отскочили съобщения, оплаквания, отписвания и потиснати адреси.

7. Защита на данните по дизайн

• задължителни полета и обработване, ограничено до целта; допълнителните полета са конфигурируеми;
• функции за експортиране, коригиране, изтриване и потискане в подкрепа на процесите на субектите на данни;
• потоковете за съгласие и записване могат да съхраняват текст, източник и релевантни времеви марки;
• измерването на отваряния и кликвания е представено като прозрачна конфигурация, когато функцията се прилага;
• диагностичните и аналитични данни са псевдонимизирани или минимизирани, когато е възможно.

8. Изтриване и съхранение

• оперативни потоци за изтриване на контакти, кампании, автоматизации, форми, файлове и свързани данни на Клиента;
• отделяне на законовите счетоводни записи от оперативните данни на Клиента;
• ограничена информация за потискане и сигурност, използвана само за защитната си цел;
• оперативно изтриване без неоправдано забавяне след край на услугата и завършване на всяко договорено връщане; изтичане на резервните копия по документирания цикъл;
• връщането или изтриването се документира при поискване.

9. Управление на инциденти и преглед

• документиран процес за откриване, класифициране, ограничаване, разследване, отстраняване и преглед;
• уведомление до Клиента без неоправдано забавяне след узнаване за нарушение, засягащо Лични данни на Клиента;
• записване на времева линия, засегнати системи и данни, мерки и налично въздействие;
• запазване на доказателства при ограничен достъп;
• периодичен преглед на ефективността и коригиране на мерките на база риск.

Приложение 3 – Одобрени подобработващи и трансфери

Следният списък се отнася до съответните функции; не всеки доставчик обработва едни и същи данни за всеки Клиент. Maildroppa проверява юридическото лице, региона и механизма за трансфер спрямо действителния договор преди първа употреба и след съществена промяна.

Auth0/Okta е включена в това Приложение само доколкото обработва Лични данни на Клиента като подобработващ в конкретния поток данни. Обработването от Maildroppa като администратор на данни за потребителя на акаунта за собствени договорни, акаунтни и удостоверителни цели се урежда от Политиката за поверителност и е извън обхвата на това СОД.

Уведомления за промени

Maildroppa информира Клиентите на бизнес имейл адреса, съхранен в акаунта, и публикува датирана версия на този списък. Известието посочва доставчика, целта, местоположението, механизма и планираната начална дата. Процедурата за възражения се урежда от клауза 9.

Интеграции по указание на Клиента

Zapier, Make и други услуги, свързани от Клиента, не са автоматично подобработващи на Maildroppa. Когато Maildroppa предава данни към такава интеграция по инструкция на Клиента, Клиентът е отговорен за избора на получателя, основанието, уведомленията, договорите и механизмите за международен трансфер.