Databehandleraftale

Senest opdateret: 4 september 2026 · Version 1.0

Denne databehandleraftale (»DPA«) udgør en del af Aftalen om Maildroppa. Den gælder, når Maildroppa behandler personoplysninger på vegne af en Kunde.

Parter

Dataansvarlig (»Kunden«): den fysiske eller juridiske person, der er angivet som Kunde i Ordren eller på Maildroppa-kontoen, herunder en af Kundens Tilknyttede Virksomheder, som gyldigt er omfattet af Aftalen, når den pågældende Tilknyttede Virksomhed er dataansvarlig for Kundens Personoplysninger.

Databehandler (»Maildroppa«):

Marcus Biel, der driver virksomhed under navnet »Maildroppa«
Dr.-Peter-Hecker-Str. 4b
82031 Grünwald
Germany
Kontakt: kontaktformular

Kunden og Maildroppa benævnes tilsammen »Parterne«.

1. Anvendelsesområde, varighed og forrang

1.1 Denne DPA regulerer Maildroppas behandling af personoplysninger på vegne af Kunden i forbindelse med tjenesten (»Kundens Personoplysninger«). Genstanden for behandlingen, dens karakter og formål, kategorierne af registrerede og typerne af oplysninger er beskrevet i Bilag 1.

1.2 DPA'en træder i kraft, når Kunden accepterer Vilkårene, en Ordre, der indarbejder den, eller en særskilt elektronisk bekræftelse. Den forbliver i kraft i Aftalens løbetid og så længe Maildroppa behandler Kundens Personoplysninger.

1.3 Denne DPA har forrang for hovedaftalen for så vidt angår behandling på vegne af Kunden. Ufravigelig databeskyttelseslovgivning har under alle omstændigheder forrang.

1.4 Til egne formål — herunder aftalehåndtering og fakturering, Maildroppas egen kontosikkerhed, beskyttelse af platformen og afsendelsesinfrastrukturen, forebyggelse af misbrug og retlige forpligtelser — kan Maildroppa være selvstændig dataansvarlig. Sådan behandling reguleres af Privatlivsmeddelelsen, ikke af denne DPA. Maildroppa vil ikke benytte rollen som databehandler til at anvende Kundens Personoplysninger til markedsføring af Maildroppa.

2. Definitioner og gældende lovgivning

2.1 »Personoplysninger«, »behandling«, »dataansvarlig«, »databehandler«, »registreret«, »brud på persondatasikkerheden« og »tilsynsmyndighed« har den betydning, der er fastsat i GDPR.

2.2 »Databeskyttelseslovgivning« betyder GDPR, den tyske forbundslov om databeskyttelse og anden databeskyttelseslovgivning, der finder anvendelse på den konkrete behandling.

2.3 Hvis Kunden selv er databehandler for en anden dataansvarlig, fungerer Maildroppa som underdatabehandler. Kunden indestår for, at Kunden er bemyndiget til at instruere og antage Maildroppa, og vil stille den dataansvarliges oplysninger og rettigheder til rådighed for Maildroppa i det omfang, det er nødvendigt for at opfylde denne DPA.

3. Kundens ansvar og instrukser

3.1 Kunden er ansvarlig for behandlingens lovlighed, de registreredes rettigheder, oplysningernes rigtighed og nødvendighed samt sine instrukser. Kunden sikrer navnlig retsgrundlag, meddelelser, samtykke, hvor det kræves, beslutninger om opbevaring og sletning samt lovlige modtagere.

3.2 Dokumenterede instrukser består af hovedaftalen, denne DPA, Kundens konfiguration og brug af tjenesten samt supplerende instrukser i tekstform. En instruks må ikke grundlæggende ændre den aftalte tjenestes karakter, formål eller omfang. Yderligere instrukser kan kræve en særskilt aftale og rimelig betaling.

3.3 Kunden må ikke behandle særlige kategorier af personoplysninger efter artikel 9 i GDPR, oplysninger om straffedomme og lovovertrædelser efter artikel 10 i GDPR, fuldstændige oplysninger om betalingsinstrumenter, tjenestehemmeligheder eller andre særligt beskyttede oplysninger i Maildroppa, medmindre Maildroppa på forhånd udtrykkeligt godkender det konkrete formål og beskyttelsesforanstaltningerne i tekstform.

3.4 Kunden konfigurerer tilgængelige funktioner til roller, eksport, sletning, samtykke, sporing og integration på en måde, der er passende i forhold til risikoen, og beskytter konti, domæner, API-nøgler og loginoplysninger.

4. Behandling kun efter dokumenteret instruks

4.1 Maildroppa behandler kun Kundens Personoplysninger efter Kundens dokumenterede instruks, herunder ved overførsel til et tredjeland, medmindre EU-retten eller en medlemsstats nationale ret kræver behandling. I så fald underretter Maildroppa Kunden om dette retlige krav inden behandlingen, medmindre den pågældende ret forbyder en sådan underretning af hensyn til vigtige samfundsmæssige interesser.

4.2 Maildroppa anvender kun Kundens Personoplysninger til at levere, sikre, understøtte og afslutte den aftalte tjeneste samt til at udføre lovlige instrukser. Salg, tredjepartsannoncering og oprettelse af en anden parts modtagerliste er forbudt.

4.3 Hvis Maildroppa mener, at en instruks er i strid med Databeskyttelseslovgivningen, underretter Maildroppa Kunden uden unødig forsinkelse og kan suspendere udførelsen af den berørte instruks, indtil den er bekræftet, ændret eller afklaret af den kompetente instans. Parterne samarbejder loyalt om et lovligt alternativ.

4.4 Kun medarbejdere, der har behov for adgang for at udføre deres opgaver, må få adgang til Kundens Personoplysninger. Inden de får adgang, skal de være underlagt en fortrolighedsforpligtelse eller en passende lovbestemt tavshedspligt og modtage instruktion om databeskyttelse og sikkerhed.

5. Tekniske og organisatoriske foranstaltninger

5.1 Maildroppa gennemfører foranstaltningerne i Bilag 2 i henhold til artikel 28(3)(c) og 32 i GDPR. Foranstaltningerne tager hensyn til det aktuelle tekniske niveau, implementeringsomkostningerne, behandlingens karakter, omfang, sammenhæng og formål samt risikoens sandsynlighed og alvor.

5.2 Maildroppa kan videreudvikle eller erstatte enkelte foranstaltninger med tilsvarende eller mere effektive kontrolforanstaltninger. Det samlede aftalte beskyttelsesniveau må ikke forringes væsentligt. Der gives forhåndsmeddelelse om væsentlige forringelser, medmindre øjeblikkelig handling er nødvendig for at håndtere en akut risiko.

5.3 Sikkerhed er et fælles ansvar. Maildroppa er ikke ansvarlig for risici, der udelukkende skyldes ulovligt Kundeindhold, usikre enheder hos Kunden, delte loginoplysninger, fejlkonfigurerede integrationer hos Kunden eller Kundens instrukser. Maildroppas egne lovbestemte og kontraktlige forpligtelser berøres ikke heraf.

6. Bistand vedrørende registreredes rettigheder

6.1 Under hensyntagen til behandlingens karakter bistår Maildroppa Kunden gennem passende tekniske og organisatoriske foranstaltninger med anmodninger efter kapitel III i GDPR, herunder om indsigt, berigtigelse, sletning, begrænsning, dataportabilitet, indsigelse og oplysninger om automatiske afgørelser.

6.2 Hvis de ønskede oplysninger er tilgængelige via produktets funktioner, håndterer Kunden selv anmodningen. Som yderligere forholdsmæssig bistand stiller Maildroppa tilgængelige oplysninger til rådighed eller berigtiger, eksporterer, begrænser behandlingen af eller sletter oplysninger efter dokumenteret instruks.

6.3 Hvis Maildroppa modtager en anmodning fra en registreret, som tydeligt vedrører Kundens Personoplysninger, underretter Maildroppa Kunden uden unødig forsinkelse og besvarer ikke anmodningen indholdsmæssigt, medmindre Kunden giver instruks herom, eller lovgivningen kræver det. Maildroppa kan oplyse den registrerede om, at anmodningen er videresendt til den dataansvarlige.

6.4 Kunden sender kun de oplysninger, der er nødvendige for at finde de relevante data og imødekomme anmodningen på sikker vis. Maildroppa kan opkræve rimelige, på forhånd oplyste omkostninger for åbenbart overdreven, gentagen eller ikke-standardmæssig bistand i det omfang, artikel 28 i GDPR tillader det.

7. Regeloverholdelse, konsekvensanalyser og myndigheder

7.1 Under hensyntagen til behandlingens karakter og de tilgængelige oplysninger bistår Maildroppa Kunden med artikel 32 til 36 i GDPR, herunder sikkerhed, anmeldelse og underretning om brud, konsekvensanalyser vedrørende databeskyttelse og forudgående høring.

7.2 Efter rimelig anmodning leverer Maildroppa oplysninger om tjenesten, datastrømme, foranstaltninger, underdatabehandlere og kendte risici, som er nødvendige for Kundens konsekvensanalyse, hvis de ikke allerede er tilgængelige i dokumentationen eller på kontoen.

7.3 Hvis Maildroppa modtager en bindende anmodning fra en myndighed eller domstol om Kundens Personoplysninger, underretter Maildroppa Kunden inden videregivelsen, hvor dette er tilladt ved lov. Maildroppa vurderer beføjelsen og omfanget, videregiver kun det, der er retligt påkrævet, og dokumenterer sagen.

8. Brud på persondatasikkerheden

8.1 Maildroppa underretter Kunden uden unødig forsinkelse efter at være blevet bekendt med et Brud på Persondatasikkerheden, der berører Kundens Personoplysninger. De indledende oplysninger kan gives trinvist og vil ikke blive tilbageholdt, indtil en undersøgelse er afsluttet.

8.2 I det omfang oplysningerne er tilgængelige, omfatter underretningen:

• bruddets karakter, herunder kategorier og omtrentligt antal berørte personer og registreringer;
• sandsynlige konsekvenser;
• trufne eller foreslåede foranstaltninger til at begrænse og afhjælpe bruddet;
• tidspunkt eller periode samt undersøgelsens aktuelle status;
• et kontaktpunkt for spørgsmål.

8.3 Maildroppa træffer hurtigt rimelige foranstaltninger til at begrænse bruddet, sikre beviser, fastslå den grundlæggende årsag og afhjælpe bruddet, dokumenterer bruddet og stiller tilgængelige oplysninger til rådighed med henblik på Kundens forpligtelser efter artikel 33 og 34 i GDPR.

8.4 Kunden er fortsat ansvarlig for vurderingen og enhver påkrævet anmeldelse til tilsynsmyndigheden inden for 72 timer efter selv at være blevet bekendt med bruddet samt for enhver påkrævet underretning af de registrerede. En underretning fra Maildroppa udgør ikke en anerkendelse af tilsidesættelse af forpligtelser eller ansvar.

8.5 Kunden underretter hurtigt Maildroppa om sikkerhedshændelser i Kundens miljø, der kan påvirke Kundens Personoplysninger eller tjenesten, og samarbejder om at begrænse virkningerne.

9. Underdatabehandlere

9.1 Kunden giver generel skriftlig godkendelse til anvendelsen af underdatabehandlerne i Bilag 3. Maildroppa er fortsat ansvarlig over for Kunden for en underdatabehandlers opfyldelse af sine forpligtelser efter artikel 28(4) i GDPR.

9.2 Maildroppa pålægger ved aftale hver underdatabehandler i det væsentlige samme databeskyttelsesniveau for den relevante tjeneste, herunder med hensyn til instrukser, fortrolighed, sikkerhed, bistand, sletning og revisionsrettigheder.

9.3 Maildroppa giver som udgangspunkt mindst 30 dages varsel til den erhvervsmæssige e-mailadresse, der er gemt på kontoen, inden en underdatabehandler tilføjes eller udskiftes, og offentliggør ændringen med dato i listen over underdatabehandlere. Et kortere varsel kan anvendes ved presserende behov vedrørende sikkerhed eller tilgængelighed; Maildroppa begrunder dette og giver besked så tidligt som muligt.

9.4 Kunden kan gøre indsigelse inden for varslingsperioden af konkrete, underbyggede databeskyttelsesmæssige grunde. Parterne søger en rimelig løsning, f.eks. en konfigurationsændring. Hvis ingen løsning er mulig, og indsigelsen er berettiget, kan Kunden bringe Hovedaftalen til ophør af væsentlig grund uden yderligere betaling, inden den nye underdatabehandler tages i brug. Rent kommercielle eller konkurrencemæssige indsigelser er ikke tilstrækkelige.

9.5 Tjenester, der ikke behandler Kundens Personoplysninger, samt modtagere eller integrationer, som Kunden tilslutter efter egen instruks, er ikke Maildroppas underdatabehandlere. Dette omfatter en tjeneste, som Kunden tilslutter og indgår aftale om via sin egen konto hos en tredjepart.

10. Internationale overførsler

10.1 Maildroppa overfører kun Kundens Personoplysninger til lande uden for Det Europæiske Økonomiske Samarbejdsområde efter dokumenteret instruks og i overensstemmelse med kapitel V i GDPR.

10.2 Hvis der ikke foreligger en relevant afgørelse om tilstrækkeligheden af beskyttelsesniveauet, indgår Maildroppa Europa-Kommissionens til enhver tid gældende standardkontraktbestemmelser med dataimportøren. Modul 2 anvendes som udgangspunkt, når Kunden er dataansvarlig, og modul 3, når Kunden er databehandler. Denne Databehandleraftale og dens bilag udfylder de tilsvarende SCC-bilag.

10.3 Hvis en udbyder har en gyldig certificering under EU-US Data Privacy Framework for de relevante oplysninger, kan afgørelsen om tilstrækkeligheden af beskyttelsesniveauet anvendes. Maildroppa kontrollerer den relevante certificering med rimelige mellemrum og opretholder om nødvendigt en alternativ mekanisme, så overførslen kan fortsætte.

10.4 Maildroppa dokumenterer en konsekvensanalyse vedrørende overførslen, hvor det er påkrævet, og anvender supplerende tekniske, kontraktlige eller organisatoriske foranstaltninger, som er passende i forhold til den relevante lovgivning, muligheden for adgang og risikoen for oplysningerne. Kunden leverer de oplysninger, der er nødvendige for at vurdere Kundens egne instrukser.

11. Tilbagelevering og sletning

11.1 I Aftalens løbetid kan Kunden anvende de tilgængelige eksport- og slettefunktioner. Inden aftalens ophør kan Kunden anmode om at få tilbageleveret Kundens Personoplysninger fra driftsmiljøet i et tilgængeligt, almindeligt anvendt maskinlæsbart format.

11.2 Efter tjenesternes ophør sletter Maildroppa alle Kundens Personoplysninger og kopier heraf uden unødig forsinkelse, medmindre Kunden forinden anmoder om tilbagelevering, eller EU-retten eller en medlemsstats nationale ret kræver opbevaring. Sletning påbegyndes, når en eventuel aftalt tilbagelevering er gennemført. Maildroppa bekræfter på anmodning sletningen i tekstform.

11.3 Oplysninger, der fortsat findes i sikkerhedskopier med begrænset adgang, anvendes ikke til nye produktionsformål og overskrives som led i den dokumenterede, regelmæssige sikkerhedskopieringscyklus. Indtil da er de spærret for almindelig adgang. Hvis en sikkerhedskopi anvendes til gendannelse, gennemfører Maildroppa straks de udestående sletninger, indsigelser og begrænsninger i overensstemmelse med registreringerne heraf.

11.4 Oplysninger, der opbevares i henhold til lovgivningen, og de minimale oplysninger, som er strengt nødvendige af hensyn til sikkerhed, forebyggelse af misbrug eller varig overholdelse af afmeldinger, isoleres, underlægges adgangsbegrænsning og anvendes kun til det pågældende formål. De slettes, når de ikke længere er nødvendige. Maildroppa oplyser Kunden om kategorien og retsgrundlaget, hvis dette ikke allerede er dokumenteret.

12. Oplysninger og revisioner

12.1 Maildroppa stiller de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af artikel 28 i GDPR og denne Databehandleraftale. Dette kan omfatte aktuelle tekniske og organisatoriske foranstaltninger (TOMs), oplysninger om underdatabehandlere og overførsler, relevante certificeringer, revisionsrapporter, spørgeskemaer og slettebekræftelser.

12.2 Hvis dette materiale ikke afklarer en underbygget risiko, kan Kunden eller en uafhængig, kompetent revisor, der er underlagt tavshedspligt, foretage en revision. Revisioner finder normalt højst sted én gang inden for tolv måneder med mindst 30 dages varsel, i almindelig arbejdstid og uden forstyrrelser af andre kunder eller sikkerheden, som kan undgås.

12.3 En yderligere revision eller en revision med kortere varsel er tilladt, hvis den er begrundet i et Brud på Persondatasikkerheden, et konkret væsentligt betænkeligt forhold eller et påbud fra en tilsynsmyndighed. Maildroppa kan stille særligt følsomt sikkerhedsmateriale til rådighed gennem en egnet tredjepartsrapport og begrænse adgangen til andre kunders oplysninger, kildekode, sårbarheder eller forretningshemmeligheder, hvis revisionens formål fortsat kan opfyldes.

12.4 Hver Part afholder sine egne omkostninger. Hvis en revision medfører et betydeligt arbejde ud over de lovbestemte forpligtelser eller ikke påviser væsentlig manglende overholdelse fra Maildroppas side, kan Maildroppa kræve rimelige omkostninger dækket efter forudgående aftale. Hvis revisionen påviser væsentlig manglende overholdelse fra Maildroppas side, afholder Maildroppa de rimelige revisionsomkostninger og afhjælper forholdet uden unødig forsinkelse.

12.5 Maildroppa fører fortegnelser over kategorier af behandlingsaktiviteter i henhold til artikel 30(2) i GDPR og samarbejder på anmodning med den kompetente tilsynsmyndighed.

13. Ansvar

13.1 Ansvaret mellem Parterne reguleres af artikel 82 i GDPR, anden ufravigelig Databeskyttelseslovgivning og Hovedaftalens gyldige ansvarsbestemmelser. Intet i denne Databehandleraftale begrænser de registreredes rettigheder eller tilsynsmyndighedernes beføjelser.

13.2 I forholdet mellem Parterne er hver Part ansvarlig for tab og omkostninger, i det omfang de skyldes Partens culpøse tilsidesættelse af denne Databehandleraftale, en lovbestemt pligt eller et retligt ansvar. Lovbestemte regresrettigheder berøres ikke.

14. Ophør som følge af overtrædelse af databeskyttelsesforpligtelser

14.1 Hvis Maildroppa væsentligt misligholder denne Databehandleraftale, kan Kunden suspendere den berørte behandling, indtil misligholdelsen er afhjulpet. Hvis Maildroppa ikke afhjælper en væsentlig misligholdelse inden for en rimelig frist, eller afhjælpning er umulig, kan Kunden bringe den berørte tjeneste til ophør af væsentlig grund.

14.2 Maildroppa kan suspendere gennemførelsen af en ulovlig instruks i henhold til punkt 4.3. Hvis der ikke kan findes et lovligt alternativ, og en fortsættelse ville være i strid med Databeskyttelseslovgivningen, kan Maildroppa bringe den berørte behandling til ophør. Forpligtelserne vedrørende tilbagelevering, sletning og dokumentation består.

15. Afsluttende bestemmelser

15.1 Ændringer aftales i tekstform eller indarbejdes gennem en dokumenterbar elektronisk proces. Bilag kan opdateres, så de afspejler den faktiske behandling, hvis den samlede beskyttelse ikke forringes væsentligt, og Databehandleraftalens rettigheder til varsling og indsigelse overholdes.

15.2 Hvis en bestemmelse er ugyldig, forbliver de øvrige bestemmelser gyldige, og lovgivningens regler træder i stedet for den ugyldige bestemmelse.

15.3 Tysk ret og Hovedaftalens værnetingsbestemmelse finder anvendelse, i det omfang ufravigelig Databeskyttelseslovgivning ikke kræver andet.

15.4 Denne engelske version stilles til rådighed som en hjælp. Hvis den er i strid med den tyske version, har den tyske version forrang, medmindre ufravigelig lovgivning kræver andet.

Bilag 1 – Beskrivelse af behandlingen

1. Genstand og formål

Levering af den cloudbaserede Maildroppa-tjeneste til tilladelsesbaseret e-mailmarkedsføring, herunder kontakt- og listeadministration, formularer og Signup Flows, kampagner, skabeloner, automatiseringer, afsendelse, leverings- og interaktionsrapporter, filer, integrationer, eksport, support, sikkerhed, sikkerhedskopiering og sletning i henhold til aftalen.

2. Varighed

Hovedaftalens løbetid samt perioden for tilbagelevering, sletning og udløb af sikkerhedskopier i punkt 11.

3. Behandlingens karakter

Indsamling via Kundens formularer, registrering, organisering, strukturering, opbevaring, tilpasning, segmentering, sammenstilling, søgning, visning, import, eksport, overførsel, afsendelse, logning, analyse, begrænsning, sikkerhedskopiering og sletning efter Kundens instruks.

4. Kategorier af registrerede

• Kundens abonnenter, potentielle kunder, leads, kunder og andre forretningskontakter;
• personer, der besøger eller indsender oplysninger via Kundens formularer og landingssider;
• modtagere af Kundens kampagner, automatiseringer og transaktionsmeddelelser;
• andre personer, hvis oplysninger Kunden lovligt indsender til tjenesten.

5. Kategorier af personoplysninger

• identitets- og kontaktoplysninger: navn, e-mailadresse og erhvervsmæssige kontaktoplysninger indtastet af Kunden;
• profilfelter, tags, segmenter, lister og målgruppetilknytninger defineret af Kunden;
• samtykke-, kilde- og dokumentationsoplysninger: tilmeldingskilde, formular, samtykkeordlyd, tidsstempler, bekræftelses- og afmeldingsstatus samt IP-/browsermetadata, hvor dette er aktiveret og lovligt;
• tekniske formular- og misbrugsoplysninger: skærmdimensioner, browser- og operativsystemversion, en afledt enhedsidentifikator, IP-/anmodningsdata og tidspunktet for seneste popupvisning, som gemmes i browseren, hvis Kunden indlejrer formularindlæseren på denne måde;
• indhold i kampagner, formularer, automatiseringer, skabeloner og meddelelser;
• leverings- og interaktionsoplysninger: leveringsstatus, åbnings- og klikhændelser, hvor dette er aktiveret og lovligt, afviste e-mails, klager, afmeldinger og udelukkelser fra udsendelse;
• tekniske oplysninger: IP-adresse samt oplysninger om enhed, browser, anmodninger, sikkerhed, logfiler og fejl;
• filer, vedhæftede filer og indhold uploadet af Kunden;
• integrations-, import-, eksport- og supportoplysninger, herunder tredjepartsidentifikatorer indsendt af Kunden.

6. Særlige oplysninger

Behandling af særlige kategorier af personoplysninger omfattet af artikel 9 og oplysninger om straffedomme omfattet af artikel 10 er ikke en del af tjenesten og er forbudt, medmindre det på forhånd udtrykkeligt er aftalt i tekstform til et bestemt formål med yderligere garantier.

7. Hyppighed og omfang

Løbende, i det omfang der bestemmes af Kundens brug, konfiguration, modtagere, abonnement og instrukser.

8. Kundens rettigheder og forpligtelser

Kundens rettigheder og forpligtelser følger af denne Databehandleraftale, Hovedaftalen og Databeskyttelseslovgivningen. Kunden fastlægger navnlig formål, retsgrundlag, kategorier af oplysninger, modtagere, konfiguration, opbevaring og håndtering af de registreredes rettigheder.

Bilag 2 – Tekniske og organisatoriske foranstaltninger

Maildroppa opretholder følgende foranstaltninger for Kundens Personoplysninger. Gennemførelsen kan udvikle sig i takt med det aktuelle tekniske niveau, uden at den samlede beskyttelse forringes væsentligt.

1. Organisation og styring

• dokumenteret ansvarsfordeling for databeskyttelse, sikkerhed og hændelser;
• fortrolighedsforpligtelser for autoriseret personale;
• instrukser om databeskyttelse og sikkerhed tilpasset roller og opgaver;
• kontrolleret tildeling, ændring og tilbagekaldelse af intern adgang;
• dokumenteret vurdering af udbydere og påkrævede databehandleraftaler;
• procedurer for anmodninger fra registrerede, instrukser, sletning og krav fra myndigheder.

2. Autentifikation og adgangskontrol

• konti autentificeret via Auth0/Okta og produkt- og administrationsgrænseflader med rollebaserede adgangsbegrænsninger;
• individuel intern adgang baseret på behov og princippet om færrest mulige rettigheder;
• beskyttelse af privilegeret adgang og tekniske hemmeligheder; Maildroppa opbevarer ikke adgangskoder i klartekst;
• logning af sikkerhedsrelevante kontohændelser og administrative hændelser;
• hændelses- og risikobaseret gennemgang samt hurtig tilbagekaldelse af adgang, der ikke længere er nødvendig.

3. Transmissions- og kommunikationssikkerhed

• krypteret transmission via tidssvarende HTTPS/TLS-forbindelser;
• beskyttede API'er og webhooks med autentifikation eller metoder baseret på signaturer eller hemmeligheder, hvor disse stilles til rådighed;
• domæne- og afsenderkontrol samt understøttelse af almindelige metoder til e-mailautentifikation;
• beskyttelse mod misbrug af anmodninger gennem proxy-, netværks- og sikkerhedskontroller samt begrænsning af anmodningsfrekvens.

4. Adskillelse af kunder og formål

• logisk tilknytning af oplysninger og adgang til Kundens konti;
• autorisation på serversiden for kontoressourcer;
• adskilte roller og formål for drift, support, fakturering og behandling på Kundens vegne;
• ingen anvendelse af Kundens Personoplysninger til tredjepartsannoncering eller handel med lister.

5. Tilgængelighed, robusthed og gendannelse

• drift af kerneapplikationen på kontrolleret infrastruktur i Tyskland og primær lagring af objektdata i EU;
• foranstaltninger mod netværksangreb og belastning som følge af misbrug;
• overvågning af tjenesten, fejlregistrering og kontrolleret eskalering;
• sikkerhedskopier med begrænset adgang efter en dokumenteret tidsplan;
• kontrollerede gendannelsesprocedurer;
• fornyet gennemførelse af udestående sletninger og begrænsninger efter gendannelse i overensstemmelse med registreringerne heraf.

6. Integritet og sikker behandling

• teknisk validering af type, størrelse og adgang for understøttede uploads;
• kontrolleret idriftsættelse af software og håndtering af afhængigheder og sårbarheder;
• fejl- og sikkerhedslogning med dataminimering;
• beskyttelse mod uautoriserede ændringer gennem adgangskontrol;
• ansvarlig og dokumenterbar håndtering af afviste e-mails, klager, afmeldinger og udelukkelser fra udsendelse.

7. Databeskyttelse gennem design

• obligatoriske felter og behandling begrænset til formålet; yderligere kundefelter kan konfigureres;
• funktioner til eksport, berigtigelse, sletning og udelukkelse fra udsendelse understøtter processer vedrørende registrerede;
• samtykke- og tilmeldingsforløb kan registrere tekst, kilde og relevante tidsstempler;
• måling af åbninger og klik præsenteres som en gennemsigtig konfigurationsmulighed, hvor funktionen er relevant;
• diagnosticerings- og analysedata pseudonymiseres eller minimeres, hvor det er muligt.

8. Sletning og opbevaring

• sletteprocedurer i driftsmiljøet for kontakter, kampagner, automatiseringer, formularer, filer og tilknyttede kundeoplysninger;
• adskillelse af lovpligtige faktureringsbilag fra kundeoplysninger i driftsmiljøet;
• begrænsede oplysninger om udelukkelse fra udsendelse og sikkerhed, som kun anvendes til deres beskyttelsesformål;
• sletning i driftsmiljøet uden unødig forsinkelse efter tjenestens ophør og gennemførelse af en eventuel aftalt tilbagelevering; udløb af sikkerhedskopier i henhold til den dokumenterede sikkerhedskopieringscyklus;
• dokumentation af tilbagelevering eller sletning på anmodning.

9. Hændelseshåndtering og gennemgang

• dokumenteret proces for opdagelse, klassificering, inddæmning, undersøgelse, afhjælpning og gennemgang;
• underretning af Kunden uden unødig forsinkelse efter, at Maildroppa er blevet bekendt med et brud, der berører Kundens Personoplysninger;
• registrering af tidsforløb, berørte systemer og oplysninger, foranstaltninger samt tilgængelige oplysninger om konsekvenser;
• bevissikring under adgangsbegrænsning;
• periodisk gennemgang af effektiviteten og risikobaseret tilpasning af foranstaltninger.

Bilag 3 – Godkendte underdatabehandlere og overførsler

Følgende liste gælder for de relevante funktioner; ikke alle udbydere behandler de samme oplysninger for alle Kunder. Maildroppa kontrollerer den juridiske enhed, regionen og overførselsmekanismen i forhold til den faktiske kontrakt inden første ibrugtagning og efter en væsentlig ændring.

Auth0/Okta er kun omfattet af dette Bilag, i det omfang det behandler Kundens Personoplysninger som underdatabehandler i en bestemt datastrøm. Maildroppas behandling som dataansvarlig af oplysninger om kontobrugere til egne aftale-, konto- og autentifikationsformål er reguleret af Privatlivsmeddelelsen og falder uden for denne Databehandleraftale.

Meddelelser om ændringer

Maildroppa underretter Kunderne via den erhvervsmæssige e-mailadresse, der er registreret på kontoen, og offentliggør en dateret version af denne liste. Meddelelsen angiver udbyder, formål, lokation, overførselsgrundlag og planlagt startdato. Proceduren for indsigelser er reguleret i punkt 9.

Integrationer efter Kundens instruks

Zapier, Make og andre tjenester, som Kunden tilslutter, er ikke automatisk Maildroppas underdatabehandlere. Når Maildroppa overfører oplysninger til en sådan integration efter Kundens instruks, er Kunden ansvarlig for valg af modtager, fornøden bemyndigelse, privatlivsmeddelelser, aftaler og grundlag for internationale overførsler.