Databehandleraftale

Senest opdateret: 4. september 2026 · Version 1.0

Denne databehandleraftale ("DPA") udgør en del af aftalen om Maildroppa-tjenesten. Den finder anvendelse, når Maildroppa behandler personoplysninger på vegne af en Kunde.

Parter

Dataansvarlig ("Kunde"): Den fysiske eller juridiske person, som er identificeret som Kunde i ordren eller Maildroppa-kontoen, inklusive et gyldigt inddraget koncernforbundet selskab, hvis dette selskab er dataansvarlig for Kundens personoplysninger.

Databehandler ("Maildroppa"):

Marcus Biel, der driver virksomhed under navnet “Maildroppa”
Dr.-Peter-Hecker-Str. 4b
82031 Grünwald
Tyskland
Kontakt: kontaktformular

Kunde og Maildroppa benævnes samlet "Parterne".

1. Anvendelsesområde, løbetid og prioritet

1.1 Denne DPA regulerer Maildroppas behandling af personoplysninger på vegne af Kunden i forbindelse med tjenesten ("Kundens personoplysninger"). Emne, karakter, formål, kategorier af registrerede og typer af data er beskrevet i Bilag 1.

1.2 DPA’en træder i kraft, når Kunden accepterer Vilkårene, en ordre der inkorporerer den eller en særskilt elektronisk bekræftelse. Den forbliver i kraft i hele Aftalens løbetid og så længe Maildroppa behandler Kundens personoplysninger.

1.3 Denne DPA har forrang frem for hovedaftalen for så vidt angår behandling på vegne af Kunden. Ufravigelig databeskyttelseslovgivning har under alle omstændigheder forrang.

1.4 Til egne formål – herunder kontrakt og fakturering, Maildroppas egen kontosikkerhed, beskyttelse af platformen og afsendelses-infrastrukturen, misbrugsforebyggelse og juridiske forpligtelser – kan Maildroppa være selvstændigt dataansvarlig. Sådan behandling er reguleret af privatlivsmeddelelsen, ikke denne DPA. Maildroppa vil ikke anvende rollen som databehandler til at bruge Kundens personoplysninger til Maildroppa-reklame.

2. Definitioner og gældende ret

2.1 "Personoplysninger", "behandling", "dataansvarlig", "databehandler", "registreret", "brud på persondatasikkerheden" og "tilsynsmyndighed" har de betydninger, der følger af GDPR.

2.2 "Databeskyttelseslovgivning" betyder GDPR, den tyske føderale databeskyttelseslov (BDSG) og anden databeskyttelsesret, der er anvendelig på den konkrete behandling.

2.3 Hvis Kunden selv er databehandler for en anden dataansvarlig, fungerer Maildroppa som yderligere databehandler. Kunden garanterer, at den er bemyndiget til at instruere og engagere Maildroppa og vil stille den dataansvarliges oplysninger og rettigheder til rådighed for Maildroppa i det omfang, det er nødvendigt for at opfylde denne DPA.

3. Kundens ansvar og instrukser

3.1 Kunden er ansvarlig for lovligheden af behandlingen, registreredes rettigheder, datanøjagtighed og nødvendighed samt sine instrukser. Kunden sikrer især retsgrundlag, meddelelser, samtykke hvor påkrævet, opbevaring og slettebeslutninger samt lovlige modtagere.

3.2 Dokumenterede instrukser består af hovedaftalen, denne DPA, Kundens konfiguration og brug af tjenesten samt supplerende instrukser i tekstform. En instruks må ikke grundlæggende ændre den aftalte tjenestes art, formål eller omfang. Yderligere instrukser kan kræve særskilt aftale og rimeligt vederlag.

3.3 Kunden må ikke behandle særlige kategorier efter artikel 9 GDPR, oplysninger om straffedomme og lovovertrædelser efter artikel 10 GDPR, fuldstændige betalings-instrumentdata, tjenstlige hemmeligheder eller andre særligt beskyttede oplysninger i Maildroppa, medmindre Maildroppa udtrykkeligt godkender det specifikke formål og de beskyttelsesforanstaltninger i tekstform på forhånd.

3.4 Kunden konfigurerer tilgængelige rolle-, eksport-, slette-, samtykke-, tracking- og integrationsfunktioner passende til risikoen og beskytter konti, domæner, API-nøgler og legitimationsoplysninger.

4. Behandling kun efter dokumenterede instrukser

4.1 Maildroppa behandler Kundens personoplysninger udelukkende efter Kundens dokumenterede instrukser, herunder ved overførsel til tredjeland, medmindre EU- eller medlemsstatslov kræver behandling. I så fald underretter Maildroppa Kunden om det juridiske krav før behandlingen, medmindre loven forbyder sådan information af væsentlige samfundsinteresser.

4.2 Maildroppa anvender Kundens personoplysninger kun til at levere, sikre, supportere og afslutte den aftalte tjeneste og til at udføre lovlige instrukser. Salg, tredjepartsreklame og oprettelse af en anden parts modtagerliste er forbudt.

4.3 Finder Maildroppa, at en instruks overtræder databeskyttelseslovgivningen, informerer den Kunden uden unødig forsinkelse og kan suspendere den berørte instruks, indtil den bekræftes, ændres eller præciseres af den kompetente instans. Parterne samarbejder i god tro om et lovligt alternativ.

4.4 Kun personale, der behøver adgang for at udføre deres opgaver, må få adgang til Kundens personoplysninger. Inden adgang forpligtes disse personer til fortrolighed eller en passende lovbestemt tavshedspligt og modtager instruktioner om privatliv og sikkerhed.

5. Tekniske og organisatoriske foranstaltninger

5.1 Maildroppa implementerer foranstaltningerne i Bilag 2 i henhold til artikel 28, stk. 3, litra c) og artikel 32 GDPR. Foranstaltningerne tager hensyn til den teknologiske udvikling, implementeringsomkostninger, art, omfang, kontekst og formål samt sandsynlighed og alvor af risiko.

5.2 Maildroppa kan udvikle eller erstatte enkelte foranstaltninger med tilsvarende eller mere effektive kontroller. Det samlede aftalte beskyttelsesniveau må ikke reduceres væsentligt. Væsentlige ugunstige ændringer meddeles på forhånd, medmindre øjeblikkelig handling er nødvendig for at håndtere en akut risiko.

5.3 Sikkerhed er et delt ansvar. Maildroppa er ikke ansvarlig for risici, der udelukkende skyldes ulovligt indhold fra Kunden, usikre Kundeenheder, delte legitimationsoplysninger, fejlkonfigurerede Kunde-integrationer eller Kundens instrukser. Maildroppas egne lovbestemte og kontraktmæssige pligter berøres ikke.

6. Bistand ved registreredes rettigheder

6.1 Under hensyntagen til behandlingens karakter bistår Maildroppa Kunden med passende tekniske og organisatoriske foranstaltninger ved anmodninger efter kapitel III GDPR, herunder indsigt, berigtigelse, sletning, begrænsning, dataportabilitet, indsigelse og oplysninger om automatiske afgørelser.

6.2 Når ønskede data er tilgængelige via produktfunktionalitet, håndterer Kunden selv anmodningen. For yderligere forholdsmæssig støtte leverer Maildroppa tilgængelige oplysninger eller berigtiger, eksporterer, begrænser eller sletter data efter dokumenteret instruks.

6.3 Modtager Maildroppa en registreredes anmodning, der genkendeligt vedrører Kundens personoplysninger, informerer den Kunden uden unødig forsinkelse og besvarer ikke anmodningen materielt, medmindre Kunden instruerer det eller loven kræver det. Maildroppa kan oplyse den registrerede om, at anmodningen er videresendt til den dataansvarlige.

6.4 Kunden sender kun oplysninger, der er nødvendige for at lokalisere og efterkomme anmodningen sikkert. Maildroppa kan opkræve rimelige, forudvarslede omkostninger for åbenbart overdreven, gentagen eller ikke-standardiseret bistand, i det omfang artikel 28 GDPR tillader det.

7. Overholdelse, konsekvensanalyser og myndigheder

7.1 Under hensyntagen til behandlingens karakter og tilgængelige oplysninger bistår Maildroppa Kunden med artikel 32-36 GDPR, herunder sikkerhed, brudsmelding og kommunikation, konsekvensanalyser og forudgående høring.

7.2 Efter rimelig anmodning leverer Maildroppa oplysninger om tjenesten, dataflows, foranstaltninger, underdatabehandlere og kendte risici, som Kunden behøver til sin konsekvensanalyse, når de ikke allerede fremgår af dokumentationen eller kontoen.

7.3 Modtager Maildroppa en bindende anmodning fra myndighed eller domstol om Kundens personoplysninger, informerer den Kunden inden udlevering, hvor det er lovligt tilladt. Maildroppa vurderer myndighed og omfang, udleverer kun det lovpligtige og journaliserer sagen.

8. Brud på persondatasikkerheden

8.1 Maildroppa meddeler Kunden uden unødig forsinkelse, efter at den er blevet bekendt med et brud på persondatasikkerheden, som påvirker Kundens personoplysninger. Indledende oplysninger kan leveres i faser og vil ikke blive forsinket, indtil en undersøgelse er afsluttet.

8.2 Meddelelsen indeholder, i det omfang de foreligger:

• bruddets karakter, herunder kategorier og omtrentligt antal berørte personer og poster;
• sandsynlige konsekvenser;
• trufne eller foreslåede foranstaltninger til inddæmning og afhjælpning;
• tidspunkt eller periode og aktuel undersøgelsesstatus;
• et kontaktpunkt for spørgsmål.

8.3 Maildroppa iværksætter straks rimelige inddæmnings-, bevis-, grundårsags- og afhjælpningsskridt, dokumenterer bruddet og stiller tilgængelige oplysninger til rådighed for Kundens forpligtelser efter artikel 33 og 34 GDPR.

8.4 Kunden forbliver ansvarlig for vurdering og eventuel anmeldelse til tilsynsmyndighed inden 72 timer fra eget kendskab samt for eventuel kommunikation til registrerede. En Maildroppa-meddelelse er ikke en indrømmelse af pligtbrud eller erstatningsansvar.

8.5 Kunden informerer straks Maildroppa om sikkerhedshændelser i Kundens miljø, der kan påvirke Kundens personoplysninger eller tjenesten, og samarbejder om afhjælpning.

9. Underdatabehandlere

9.1 Kunden giver generel skriftlig godkendelse af underdatabehandlerne i Bilag 3. Maildroppa forbliver ansvarlig over for Kunden for en underdatabehandlers opfyldelse af sine forpligtelser efter artikel 28, stk. 4 GDPR.

9.2 Maildroppa pålægger hver underdatabehandler kontraktligt et væsentligt tilsvarende databeskyttelsesniveau for den relevante tjeneste, herunder instrukser, fortrolighed, sikkerhed, bistand, sletning og revisionsrettigheder.

9.3 Maildroppa giver som udgangspunkt mindst 30 dages varsel, før den tilføjer eller udskifter en underdatabehandler, til den forretnings-e-mail, der er gemt i kontoen, og offentliggør ændringen med dato i listen. En kortere frist kan gælde ved presserende sikkerheds- eller tilgængelighedsbehov; Maildroppa forklarer grunden og giver varsel så tidligt som muligt.

9.4 Kunden kan gøre indsigelse inden for varslingsperioden på specifikke, begrundede databeskyttelseshensyn. Parterne søger en rimelig løsning, f.eks. ændret konfiguration. Hvis ingen er mulig, og indsigelsen er berettiget, kan Kunden opsige hovedaftalen for årsag uden ekstra omkostning, før den nye underdatabehandler tages i brug. Rent kommercielle eller konkurrencebaserede indsigelser er utilstrækkelige.

9.5 Tjenester, der ikke behandler Kundens personoplysninger, samt modtagere eller integrationer, som Kunden forbinder efter egen instruks, er ikke Maildroppa-underdatabehandlere. Dette omfatter en tjeneste, som Kunden forbinder og kontraherer via sin egen tredjepartskonto.

10. Internationale overførsler

10.1 Maildroppa overfører Kundens personoplysninger uden for Det Europæiske Økonomiske Samarbejdsområde kun efter dokumenterede instrukser og i overensstemmelse med kapitel V GDPR.

10.2 Hvor der ikke foreligger en gældende tilstrækkelighedsafgørelse, indgår Maildroppa de til enhver tid gældende Europa-Kommissionens standardkontraktbestemmelser (SCC’er) med importøren. Modul 2 gælder som udgangspunkt, hvor Kunden er dataansvarlig, og Modul 3, hvor Kunden er databehandler. Denne DPA og dens bilag udfylder de tilsvarende SCC-bilag.

10.3 Hvor en udbyder er gyldigt certificeret under EU-USA Data Privacy Framework for de relevante data, kan tilstrækkelighedsafgørelsen anvendes. Maildroppa overvåger relevant certificering med rimelige intervaller og opretholder en alternativ mekanisme, hvor det er nødvendigt for fortsat overførsel.

10.4 Maildroppa dokumenterer en overførselskonsekvensvurdering, hvor krævet, og anvender supplerende tekniske, kontraktuelle eller organisatoriske foranstaltninger, der passer til den relevante lovgivning, adgangsmulighed og datarisiko. Kunden leverer oplysninger, der er nødvendige for at vurdere sine egne instrukser.

11. Tilbagelevering og sletning

11.1 I aftalens løbetid kan Kunden benytte tilgængelige eksport- og slettefunktioner. Før kontraktens ophør kan Kunden anmode om tilbagelevering af operationelle personoplysninger fra Kunden i et tilgængeligt, almindeligt anvendt maskinlæsbart format.

11.2 Efter tjenestens ophør sletter Maildroppa alle Kundens personoplysninger og kopier uden unødig forsinkelse, medmindre Kunden forinden anmoder om tilbagelevering, eller EU- eller medlemsstatslov kræver opbevaring. Sletning påbegyndes, når en eventuel aftalt tilbagelevering er fuldført. Efter anmodning bekræfter Maildroppa sletning i tekstform.

11.3 Data, der forbliver i adgangsbegrænsede backups, anvendes ikke til nye produktionsformål og overskrives efter den dokumenterede regelmæssige backup-cyklus. Indtil da er de blokeret for almindelig adgang. Hvis en backup anvendes til gendannelse, genanvender Maildroppa straks udestående slette-, indsigelses- og begrænsningsregistreringer.

11.4 Lovpligtigt opbevaret data og minimale oplysninger, som strengt nødvendigt til sikkerhed, misbrugsforebyggelse eller permanent overholdelse af frameldinger, isoleres, adgangsbegrænses og anvendes kun til dette formål og slettes derefter, når de ikke længere er nødvendige. Maildroppa identificerer kategori og retsgrundlag over for Kunden, hvor det ikke allerede er dokumenteret.

12. Information og revisioner

12.1 Maildroppa stiller oplysninger til rådighed, der er nødvendige for at demonstrere overholdelse af artikel 28 GDPR og denne DPA. Dette kan omfatte aktuelle TOM’er, underdatabehandler- og overførselsoplysninger, relevante certificeringer, revisionsrapporter, spørgeskemaer og slettebekræftelser.

12.2 Hvis disse materialer ikke afhjælper en begrundet risiko, kan Kunden eller en uafhængig kompetent revisor underlagt tavshedspligt gennemføre en revision. Revisioner finder normalt sted højst én gang inden for tolv måneder, med mindst 30 dages varsel, i normal arbejdstid og uden unødigt at forstyrre andre kunder eller sikkerheden.

12.3 En ekstra eller kortere varslet revision er tilladt, når den er begrundet i et brud på persondatasikkerheden, konkret væsentlig bekymring eller pålæg fra tilsynsmyndighed. Maildroppa kan stille højfølsomt sikkerhedsmateriale til rådighed via en passende tredjepartsrapport og begrænse adgangen til andre kunders data, kildekode, sårbarheder eller forretningshemmeligheder, hvor revisionsformålet stadig kan opfyldes.

12.4 Hver Part bærer egne omkostninger. Skaber en revision væsentligt merarbejde ud over lovpligtige pligter eller påviser den ingen væsentlig Maildroppa-manglende overholdelse, kan Maildroppa kræve rimelige omkostninger aftalt på forhånd. Konstaterer den væsentlig Maildroppa-manglende overholdelse, bærer Maildroppa rimelige revisionsomkostninger og afhjælper forholdet uden unødig forsinkelse.

12.5 Maildroppa fører fortegnelser over kategorier af behandling efter artikel 30, stk. 2 GDPR og samarbejder med den kompetente tilsynsmyndighed på anmodning.

13. Ansvar

13.1 Ansvar mellem Parterne er reguleret af artikel 82 GDPR, anden ufravigelig databeskyttelseslovgivning og de gældende ansvarsbestemmelser i hovedaftalen. Intet i denne DPA begrænser registreredes rettigheder eller tilsynsmyndigheders beføjelser.

13.2 Parterne hæfter indbyrdes for tab og omkostninger i det omfang, de skyldes partens culpøse overtrædelse af denne DPA, lovpligt eller lovligt ansvar. Lovbestemte regresrettigheder berøres ikke.

14. Opsigelse ved databeskyttelsesbrud

14.1 Hvis Maildroppa væsentligt overtræder denne DPA, kan Kunden suspendere den berørte behandling, indtil den afhjælpes. Afhjælper Maildroppa ikke en væsentlig overtrædelse inden for en rimelig frist, eller er afhjælpning umulig, kan Kunden opsige den berørte tjeneste med øjeblikkelig virkning.

14.2 Maildroppa kan suspendere en ulovlig instruks efter punkt 4.3. Hvis ingen lovlig alternativ kan findes, og fortsættelse ville overtræde databeskyttelseslovgivningen, kan Maildroppa opsige den berørte behandling. Tilbageleverings-, slette- og bevispligter består.

15. Afsluttende bestemmelser

15.1 Ændringer aftales i tekstform eller inkorporeres gennem en påviselig elektronisk proces. Bilag kan opdateres for at afspejle faktisk behandling, når det samlede beskyttelsesniveau ikke reduceres væsentligt, og DPA-varsel- og indsigelsesrettigheder overholdes.

15.2 Hvis en bestemmelse er ugyldig, forbliver de øvrige bestemmelser i kraft, og lovbestemte regler træder i stedet.

15.3 Tysk ret og værnetingsbestemmelsen i hovedaftalen finder anvendelse, medmindre ufravigelig databeskyttelseslovgivning kræver andet.

15.4 Denne danske version stilles til rådighed for nemheds skyld. Hvis den er i modstrid med den tyske version, har den tyske version forrang, medmindre ufravigelig lov kræver andet.

Bilag 1 – Beskrivelse af behandlingen

1. Emne og formål

Levering af den cloud-baserede Maildroppa-tjeneste til permissionsbaseret e-mail-markedsføring, herunder kontakt- og listehåndtering, formularer og tilmeldingsflows, kampagner, skabeloner, automatiseringer, afsendelse, leverings- og interaktionsrapporter, filer, integrationer, eksport, support, sikkerhed, backup og kontraktuel sletning.

2. Varighed

Hovedaftalens løbetid plus perioden for tilbagelevering, sletning og backup-udløb i punkt 11.

3. Behandlingens karakter

Indsamling via Kundens formularer, registrering, organisering, strukturering, lagring, tilpasning, segmentering, matching, hentning, visning, import, eksport, transmission, afsendelse, logging, analyse, begrænsning, backup og sletning efter Kundens instruks.

4. Kategorier af registrerede

• Kundens abonnenter, prospects, leads, kunder og andre forretningskontakter;
• besøgende og indsendere til Kundens formularer og landing pages;
• modtagere af Kundens kampagner, automatiseringer og transaktionsmeddelelser;
• andre personer, hvis data Kunden lovligt indsender til tjenesten.

5. Kategorier af personoplysninger

• identitets- og kontaktdata: navn, e-mailadresse og forretningskontaktoplysninger indtastet af Kunden;
• Kunde-definerede profilfelter, tags, segmenter, lister og målgruppe-tildelinger;
• samtykke-, kilde- og evidensdata: tilmeldingskilde, formular, samtykketekst, tidsstempler, bekræftelse og afmeldingsstatus samt IP/​browser-metadata, hvor aktiveret og lovligt;
• tekniske formular- og misbrugsdata: skærmdimensioner, browser- og OS-version, afledt enheds-identifikator, IP/​anmodningsdata og tidspunkt for seneste popup-visning gemt i browseren, hvor Kunden indlejrer form-loaderen tilsvarende;
• kampagne-, formular-, automatiserings-, skabelon- og meddelelsesindhold;
• leverings- og interaktionsdata: leveringsstatus, åbne- og klik-hændelser, hvor aktiveret og lovligt, bounces, klager, afmeldinger og undertrykkelser;
• tekniske data: IP-adresse, enhed, browser, anmodning, sikkerheds-, log- og fejlinformation;
• filer, vedhæftninger og indhold uploadet af Kunden;
• integrations-, import-, eksport- og supportoplysninger, herunder tredjeparts-identifikatorer indsendt af Kunden.

6. Særlige data

Behandling af særlige kategorier efter artikel 9 og oplysninger om straffedomme efter artikel 10 GDPR er ikke en del af tjenesten og er forbudt, medmindre udtrykkeligt aftalt på forhånd i tekstform til et specifikt formål med yderligere værn.

7. Hyppighed og omfang

Kontinuerligt, i det omfang Kunden bestemmer gennem brug, konfiguration, modtagere, plan og instrukser.

8. Kundens rettigheder og pligter

Kundens rettigheder og pligter følger af denne DPA, hovedaftalen og databeskyttelseslovgivningen. Kunden beslutter især formål, retsgrundlag, datakategorier, modtagere, konfiguration, opbevaring og håndtering af registreredes rettigheder.

Bilag 2 – Tekniske og organisatoriske foranstaltninger

Maildroppa opretholder følgende foranstaltninger for Kundens personoplysninger. Implementeringen kan udvikle sig med den teknologiske udvikling uden væsentligt at reducere den samlede beskyttelse.

1. Organisation og styring

• dokumenterede ansvarsområder for privatliv, sikkerhed og hændelser;
• fortrolighedsforpligtelser for autoriseret personale;
• rolle- og opgavepassende privatlivs- og sikkerhedsinstruktioner;
• kontrolleret tildeling, ændring og tilbagekaldelse af intern adgang;
• dokumenteret leverandørgennemgang og krævede databehandleraftaler;
• procedurer for registreredes anmodninger, instrukser, sletning og myndighedskrav.

2. Godkendelse og adgangskontrol

• godkendte konti via Auth0/Okta og rollebårne produkt- og administrationsgrænseflader;
• individuel intern adgang efter behov og mindst muligt privilegium;
• beskyttelse af privilegeret adgang og tekniske hemmeligheder; ingen lagring af adgangskoder i klartekst af Maildroppa;
• logning af sikkerhedsrelevante konto- og administrationshændelser;
• hændelses- og risikobaseret gennemgang og hurtig tilbagekaldelse af adgang, der ikke længere kræves.

3. Transmission og kommunikationssikkerhed

• krypteret transmission via aktuelle HTTPS/TLS-forbindelser;
• beskyttede API’er og webhooks med godkendelse eller signatur/​hemmeligheds-metoder, hvor de tilbydes;
• domæne- og afsenderkontrol samt understøttelse af almindelige e-mail-autentificeringsmetoder;
• beskyttelse mod misbrugte anmodninger gennem proxy-, netværks-, ratelimit- og sikkerhedskontroller.

4. Lejer- og formålsadskillelse

• logisk allokering af data og adgang til Kundekonti;
• server-side-autorisation til kontoresurser;
• adskilte roller og formål for drift, support, fakturering og Kunde-behandling;
• ingen anvendelse af Kundens personoplysninger til tredjepartsreklame eller handel med lister.

5. Tilgængelighed, robusthed og gendannelse

• kerneapplikation på kontrolleret infrastruktur i Tyskland og primær objektdata-lagring i EU;
• værn mod netværksangreb og misbrugslast;
• tjenesteovervågning, fejlopfangning og kontrolleret eskalation;
• adgangsbegrænsede backups efter dokumenteret tidsplan;
• kontrollerede gendannelsesprocedurer;
• genanvendelse af udestående slette- og begrænsningsregistreringer efter gendannelse.

6. Integritet og sikker behandling

• teknisk type-, størrelses- og adgangsvalidering for understøttede uploads;
• kontrolleret softwareudrulning og håndtering af afhængigheder/​sårbarheder;
• fejl- og sikkerhedslogning med dataminimering;
• værn mod uautoriseret ændring via adgangskontrol;
• ansvarlig håndtering af bounces, klager, afmeldinger og undertrykkelser.

7. Databeskyttelse gennem design

• påkrævede felter og behandling begrænset til formål; yderligere Kunde-felter er konfigurerbare;
• eksport-, berigtigelses-, slette- og undertrykkelsesfunktioner understøtter registreredes processer;
• samtykke- og tilmeldingsflows kan registrere tekst, kilde og relevante tidsstempler;
• åbne- og klik-måling præsenteres som en gennemsigtig konfiguration, hvor funktionen anvendes;
• diagnosticerings- og analysedata pseudonymiseres eller minimeres, hvor det er muligt.

8. Sletning og opbevaring

• operationelle sletteflows for kontakter, kampagner, automatiseringer, formularer, filer og relaterede Kundedata;
• adskillelse af lovpligtige faktureringsoptegnelser fra operationelle Kundedata;
• begrænsede undertrykkelses- og sikkerhedsoplysninger anvendes kun til beskyttelsesformålet;
• operationel sletning uden unødig forsinkelse efter tjenestens ophør og fuldførelse af eventuel aftalt tilbagelevering; backup-udløb efter dokumenteret cyklus;
• tilbagelevering eller sletning dokumenteres på anmodning.

9. Hændelsesstyring og gennemgang

• dokumenteret proces for detektion, klassificering, inddæmning, undersøgelse, afhjælpning og evaluering;
• meddelelse til Kunden uden unødig forsinkelse efter kendskab til brud, der berører Kundens personoplysninger;
• registrering af tidslinje, berørte systemer og data, foranstaltninger og tilgængelig impact;
• bevaring af beviser under adgangsbegrænsninger;
• periodisk effektivitetsgennemgang og risikobaseret justering af foranstaltninger.

Bilag 3 – Autoriserede underdatabehandlere og overførsler

Følgende liste gælder for de relevante funktioner; ikke hver udbyder behandler de samme data for hver Kunde. Maildroppa verificerer den juridiske enhed, region og overførselsmekanisme mod den faktiske kontrakt før første brug og efter en væsentlig ændring.

Auth0/Okta er kun medtaget i dette bilag, i det omfang den behandler Kundens personoplysninger som underdatabehandler i et bestemt dataflow. Maildroppas behandling som dataansvarlig af konto-brugerdata til egne kontrakt-, konto- og godkendelsesformål er reguleret af privatlivsmeddelelsen og er uden for denne DPA.

Ændringsmeddelelser

Maildroppa informerer Kunder på den forretnings-e-mail, der er gemt i kontoen, og offentliggør en dateret version af denne liste. Meddelelsen identificerer udbyder, formål, placering, mekanisme og planlagt startdato. Indsigelsesprocessen er reguleret af punkt 9.

Kunde-styrede integrationer

Zapier, Make og andre tjenester, som Kunden forbinder, er ikke automatisk Maildroppa-underdatabehandlere. Når Maildroppa transmitterer data til en sådan integration efter Kundens instruks, er Kunden ansvarlig for valg af modtager, hjemmel, privatlivsmeddelelser, kontrakter og internationale overførselsmekanismer.