Andmetöötlusleping

Viimati uuendatud: 4. september 2026 · Versioon 1.0

Käesolev andmetöötlusleping ("ATL") on Maildroppa lepingu lahutamatu osa. Seda kohaldatakse alati, kui Maildroppa töötleb isikuandmeid Kliendi nimel.

Pooled

Vastutav töötleja ("Klient"): füüsiline või juriidiline isik, kes on Kliendina nimetatud Tellimuses või Maildroppa kontol, sh kehtivalt hõlmatud Kliendi Sidusettevõte, kui see Sidusettevõte on Kliendi isikuandmete vastutav töötleja.

Volitatud töötleja ("Maildroppa"):

Marcus Biel, tegutseb ärinimega „Maildroppa“
Dr.-Peter-Hecker-Str. 4b
82031 Grünwald
Saksamaa
Kontakt: kontaktivorm

Klient ja Maildroppa on koos "Pooled".

1. Reguleerimisala, kehtivus ja prioriteet

1.1 Käesolev ATL reguleerib Maildroppa isikuandmete töötlemist Kliendi nimel seoses teenusega ("Kliendi isikuandmed"). Tegevuse ese, laad, eesmärk, andmesubjektide kategooriad ja andmetüübid on kirjeldatud Lisa 1-s.

1.2 ATL jõustub, kui Klient nõustub Tingimustega, Tellimusega, mis selle hõlmab, või eraldi elektroonilise kinnitusega. See kehtib Lepingu kehtivusaja jooksul ja seni, kuni Maildroppa töötleb Kliendi isikuandmeid.

1.3 Käesolev ATL on Kliendi nimel toimuva töötlemise suhtes ülimuslik põhilepingu ees. Kohustuslik andmekaitseõigus on igal juhul ülimuslik.

1.4 Maildroppa võib oma eesmärkidel – sh lepingu ja arveldamine, Maildroppa konto turvalisus, platvormi ja saatetaristu kaitse, väärkasutuse ennetus ja õiguslikud kohustused – olla eraldiseisev vastutav töötleja. Sellist töötlemist reguleerib privaatsusteade, mitte käesolev ATL. Maildroppa ei kasuta volitatud töötleja rolli Kliendi isikuandmete kasutamiseks Maildroppa reklaamiks.

2. Mõisted ja kohaldatav õigus

2.1 Mõistetel "isikuandmed", "töötlemine", "vastutav töötleja", "volitatud töötleja", "andmesubjekt", "isikuandmetega seotud rikkumine" ja "järelevalveasutus" on IKÜM-is (GDPR-is) sätestatud tähendus.

2.2 "Andmekaitse õigus" tähendab IKÜM-i, Saksamaa föderaalset andmekaitseseadust ja muud töötlemisele kohaldatavat andmekaitseõigust.

2.3 Kui Klient ise on teise vastutava töötleja volitatud töötleja, tegutseb Maildroppa järgmise volitatud töötlejana. Klient kinnitab, et tal on õigus Maildroppa juhendada ja kaasata ning ta teeb Maildroppale kättesaadavaks vastutava töötleja teabe ja õigused ulatuses, mis on vajalik käesoleva ATL-i täitmiseks.

3. Kliendi vastutus ja juhised

3.1 Klient vastutab töötlemise seaduslikkuse, andmesubjektide õiguste, andmete täpsuse ja vajalikkuse ning oma juhiste eest. Eelkõige tagab Klient õigusliku aluse, teavitused, vajadusel nõusoleku, säilitamise ja kustutamise otsused ning seaduslikud saajad.

3.2 Dokumenteeritud juhised koosnevad põhilepingust, käesolevast ATL-ist, Kliendi teenuse seadistusest ja kasutusest ning täiendavatest tekstilises vormis juhistest. Juhis ei tohi põhimõtteliselt muuta kokkulepitud teenuse laadi, eesmärki ega ulatust. Täiendavad juhised võivad nõuda eraldi kokkulepet ja mõistlikku tasu.

3.3 Klient ei tohi Maildroppas töödelda IKÜM-i artikli 9 eriliiki andmeid, artikli 10 süütegude ja karistusandmeid, täielikke maksevahendi andmeid, riigisaladusi ega muud erikaitsega teavet, välja arvatud juhul, kui Maildroppa on konkreetse eesmärgi ja kaitsemeetmed eelnevalt tekstilises vormis sõnaselgelt heaks kiitnud.

3.4 Klient seadistab rolli-, ekspordi-, kustutamis-, nõusoleku-, jälgimis- ja integratsioonifunktsioonid riskile vastavalt ning kaitseb kontosid, domeene, API võtmeid ja mandaate.

4. Töötlemine ainult dokumenteeritud juhiste alusel

4.1 Maildroppa töötleb Kliendi isikuandmeid ainult Kliendi dokumenteeritud juhiste kohaselt, sh edastamiseks kolmandasse riiki, välja arvatud juhul, kui liidu või liikmesriigi õigus nõuab töötlemist. Sellisel juhul teavitab Maildroppa Klienti õiguslikust nõudest enne töötlemist, kui selline teave ei ole seadusega avaliku huvi olulistel põhjustel keelatud.

4.2 Maildroppa kasutab Kliendi isikuandmeid üksnes kokkulepitud teenuse osutamiseks, turvamiseks, toetamiseks ja lõpetamiseks ning seaduslike juhiste täitmiseks. Müük, kolmanda isiku reklaam ja teise poole adressaadiloendi loomine on keelatud.

4.3 Kui Maildroppa leiab, et juhis rikub andmekaitseõigust, teatab ta sellest Kliendile viivituseta ja võib asjaomase juhise täitmise peatada, kuni pädev organ selle kinnitab, muudab või selgitab. Pooled teevad heas usus koostööd seadusliku alternatiivi leidmiseks.

4.4 Kliendi isikuandmetele pääsevad ligi ainult need töötajad, kellel on seda oma tööülesannete täitmiseks vaja. Enne ligipääsu seotakse nad konfidentsiaalsuskohustuse või asjakohase õigusliku kohustusega ja neile antakse privaatsuse ning turbe juhised.

5. Tehnilised ja organisatsioonilised meetmed

5.1 Maildroppa rakendab Lisa 2-s kirjeldatud meetmeid IKÜM-i artiklite 28 lõike 3 punkti c ja 32 alusel. Meetmed arvestavad teaduse ja tehnika taset, rakendamiskulusid, laadi, ulatust, konteksti ja eesmärke ning riski tõenäosust ja raskust.

5.2 Maildroppa võib arendada või asendada üksikuid meetmeid samaväärsete või tõhusamate kontrollidega. Kokkulepitud kaitsetase ei tohi oluliselt langeda. Olulistest kahjulikest muudatustest teatatakse eelnevalt, välja arvatud juhul, kui ägeda riski kõrvaldamiseks on vaja viivitamatut tegutsemist.

5.3 Turve on jagatud vastutus. Maildroppa ei vastuta riskide eest, mis on põhjustatud üksnes ebaseaduslikust Kliendi sisust, ebaturvalistest Kliendi seadmetest, jagatud mandaadist, valesti seadistatud integratsioonist või Kliendi juhistest. Maildroppa seadusest ja lepingust tulenevad kohustused jäävad kehtima.

6. Abi andmesubjekti õiguste teostamisel

6.1 Võttes arvesse töötlemise laadi, aitab Maildroppa Klienti asjakohaste tehniliste ja organisatsiooniliste meetmetega IKÜM-i III peatüki taotlustes, sh juurdepääs, parandamine, kustutamine, piiramine, ülekantavus, vastuväide ja automatiseeritud otsuste info.

6.2 Kui taotletavad andmed on saadaval toote funktsionaalsuse kaudu, lahendab Klient taotluse ise. Täiendava proportsionaalse toe korral esitab Maildroppa olemasoleva info või parandab, ekspordib, piirab või kustutab andmeid dokumenteeritud juhise alusel.

6.3 Kui Maildroppa saab andmesubjekti taotluse, mis selgelt puudutab Kliendi isikuandmeid, teatab ta sellest Kliendile viivituseta ega vasta sisuliselt enne, kui Klient on juhendanud või seadus seda nõuab. Maildroppa võib andmesubjektile öelda, et taotlus on edastatud vastutavale töötlejale.

6.4 Klient edastab ainult teabe, mis on vajalik taotluse turvaliseks leidmiseks ja täitmiseks. Maildroppa võib võtta mõistlikku, eelnevalt teatatud tasu ilmselgelt liigsete, korduvate või mittestandardsete abitoimingute eest ulatuses, milles IKÜM artikli 28 kohaselt lubatud.

7. Vastavus, mõjuhinnangud ja ametiasutused

7.1 Võttes arvesse töötlemise laadi ja kättesaadavat teavet, aitab Maildroppa Klienti IKÜM-i artiklite 32–36 täitmisel, sh turve, rikkumisteatised, teadete edastamine, andmekaitse mõjuhinnangud ja eelnev konsulteerimine.

7.2 Mõistliku taotluse korral esitab Maildroppa teabe teenuse, andmevoogude, meetmete, alamvolitatud töötlejate ja teadaolevate riskide kohta, mis on vajalikud Kliendi mõjuhinnangu jaoks ning mida dokumentatsioonis või kontol veel ei ole.

7.3 Kui Maildroppa saab siduva ametiasutuse või kohtu nõude Kliendi isikuandmete avaldamiseks, teavitab ta Klienti enne avaldamist, kui see on seadusega lubatud. Maildroppa hindab pädevust ja ulatust, avaldab ainult õiguslikult nõutava ning dokumenteerib juhtumi.

8. Isikuandmetega seotud rikkumised

8.1 Maildroppa teatab Kliendile ilma põhjendamatu viivituseta pärast temale teatavaks saamist Kliendi isikuandmeid mõjutavast rikkumisest. Esmane info võib olla osaline ja teavitust ei lükata edasi uurimise lõpuni.

8.2 Võimalusel sisaldab teavitus:

• rikkumise laad, sh mõjutatud isikute ja kirjete kategooriad ning ligikaudsed arvud;
• tõenäolised tagajärjed;
• võetud või kavandatavad meetmed rikkumise piiramiseks ja heastamiseks;
• aeg või periood ja praegune uurimise staatus;
• kontaktpunkt küsimuste jaoks.

8.3 Maildroppa võtab viivitamata mõistlikke piiramis-, tõendite säilitamise, algpõhjuse ja parandusmeetmeid, dokumenteerib rikkumise ja edastab kättesaadava info Kliendi IKÜM-i artiklite 33 ja 34 kohustuste täitmiseks.

8.4 Klient vastutab jätkuvalt hindamise ja vajaduse korral 72 tunni jooksul pärast enda teadlikuks saamist järelevalveasutusele teatamise ning vajaduse korral andmesubjektide teavitamise eest. Maildroppa teavitus ei tähenda kohustuse rikkumise ega vastutuse tunnistamist.

8.5 Klient teatab Maildroppale viivitamata oma keskkonnas toimunud turvaintsidentidest, mis võivad mõjutada Kliendi isikuandmeid või teenust, ja teeb koostööd leevendamisel.

9. Alamvolitatud töötlejad

9.1 Klient annab üldise kirjaliku loa Lisa 3 alamvolitatud töötlejatele. Maildroppa vastutab Kliendi ees alamvolitatud töötleja IKÜM artikli 28 lõike 4 kohustuste täitmise eest.

9.2 Maildroppa kohustab iga alamvolitatud töötlejat lepinguliselt tagama asjaomase teenuse jaoks sisuliselt samal tasemel andmekaitse, sh juhised, konfidentsiaalsus, turve, abi, kustutamine ja auditiõigus.

9.3 Maildroppa annab tavaliselt vähemalt 30 päeva ette teada enne alamvolitatud töötleja lisamist või asendamist Kliendi kontole salvestatud äri e-posti aadressil ning avaldab kuupäevaga muudatuse alamvolitatud töötlejate nimekirjas. Kiirem tähtaeg võib kehtida kiireloomuliste turbe- või kättesaadavusvajaduste tõttu; Maildroppa selgitab põhjuse ja teatab esimesel võimalusel.

9.4 Klient võib esitada põhjendatud, konkreetse andmekaitselise vastuväite teatamisperioodi jooksul. Pooled otsivad mõistlikku lahendust, nt seadistuse muutus. Kui lahendust ei ole võimalik leida ja vastuväide on õigustatud, võib Klient enne uue alamvolitatud töötleja kasutuselevõttu põhilepingu mõjuval põhjusel lisatasuta lõpetada. Puhtalt ärilised või konkurentsipõhised vastuväited ei ole piisavad.

9.5 Teenused, mis ei töötle Kliendi isikuandmeid, ning saajad või integratsioonid, mille Klient oma juhisel ühendab, ei ole Maildroppa alamvolitatud töötlejad. See hõlmab teenust, mille jaoks Klient loob ühenduse ja lepingu oma kolmanda osapoole kontol.

10. Rahvusvahelised edastused

10.1 Maildroppa edastab Kliendi isikuandmeid Euroopa Majanduspiirkonnast väljapoole ainult dokumenteeritud juhiste kohaselt ja kooskõlas IKÜM V peatükiga.

10.2 Kui puudub asjakohane piisavusotsus, sõlmib Maildroppa importijaga Euroopa Komisjoni kehtivad standardsed andmekaitseklauslid. Tavaliselt kohaldub moodul 2, kui Klient on vastutav töötleja, ja moodul 3, kui Klient on volitatud töötleja. Käesolev ATL ja selle Lisad täidavad vastavad SCC lisad.

10.3 Kui teenusepakkuja on asjakohaste andmete osas kehtivalt sertifitseeritud EL-USA andmekaitseraamistiku alusel, võib kasutada piisavusotsust. Maildroppa jälgib sertifikaadi kehtivust mõistlike intervallidega ja säilitab vajaduse korral alternatiivse mehhanismi andmeedastuse jätkamiseks.

10.4 Maildroppa dokumenteerib edastuse mõju hinnangu, kui see on nõutav, ja kasutab täiendavaid tehnilisi, lepingulisi või organisatsioonilisi meetmeid vastavalt kohaldatavale õigusele, ligipääsuvõimalusele ja andmeriskile. Klient esitab vajalikku teavet oma juhiste hindamiseks.

11. Tagastamine ja kustutamine

11.1 Lepingu kehtivuse ajal võib Klient kasutada saadaval olevaid ekspordi ja kustutamise funktsioone. Enne lepingu lõppu võib Klient taotleda teenuse igapäevases toimimises kasutatavate Kliendi isikuandmete tagastamist saadaolevas, üldkasutatavas masinloetavas vormingus.

11.2 Pärast teenuste lõppu kustutab Maildroppa kõik Kliendi isikuandmed ja koopiad ilma põhjendamatu viivituseta, välja arvatud juhul, kui Klient on eelnevalt taotlenud tagastamist või liidu või liikmesriigi õigus nõuab säilitamist. Kustutamine algab pärast kokkulepitud tagastuse lõpetamist. Taotluse korral kinnitab Maildroppa kustutamise tekstilises vormis.

11.3 Juurdepääsupiiranguga varukoopiatesse jäänud andmeid ei kasutata uutes tootmisprotsessides ja need kirjutatakse üle dokumenteeritud regulaarse varundustsükli käigus. Senikaua on need tavapärasest juurdepääsust blokeeritud. Kui varukoopia taastamiseks kasutatakse, rakendab Maildroppa viivitamata uuesti kõik kustutamise, vastuväidete ja piirangute kirjed.

11.4 Õiguslikult säilitatavad andmed ja minimaalne teave, mis on rangelt vajalik turbe, väärkasutuse ennetuse või püsiva loobumisnimekirja järgimiseks, eraldatakse, piiratakse juurdepääs ja kasutatakse ainult sel eesmärgil, seejärel kustutatakse, kui see ei ole enam vajalik. Maildroppa täpsustab kategooria ja õigusliku aluse Kliendile, kui see ei ole juba dokumenteeritud.

12. Teave ja auditid

12.1 Maildroppa esitab teabe, mis on vajalik IKÜM artikli 28 ja käesoleva ATL-i täitmise tõendamiseks. See võib hõlmata kehtivaid TOM-e, alamvolitatud töötlejate ja edastuse teavet, sobivaid sertifikaate, auditiraporteid, küsimustikke ja kustutamise kinnitusi.

12.2 Kui need materjalid ei kõrvalda põhjendatud riski, võib Klient või sõltumatu pädev audiitor, keda seob konfidentsiaalsus, läbi viia auditi. Auditid toimuvad tavaliselt mitte sagedamini kui kord kaheteistkümne kuu jooksul, vähemalt 30-päevase etteteatamisega, tavapärastel tööaegadel ja ilma välditava häireta teistele klientidele või turbele.

12.3 Lisa- või lühiajalise etteteatamisega audit on lubatud, kui selle õigustab isikuandmetega seotud rikkumine, konkreetne oluline mure või järelevalveasutuse korraldus. Maildroppa võib teha väga tundliku turvateabe kättesaadavaks sobiva kolmanda osapoole aruande kaudu ja piirata juurdepääsu teiste klientide andmetele, lähtekoodile, haavatavustele või ärisaladustele, kui auditi eesmärki saab siiski saavutada.

12.4 Kumbki Pool kannab oma kulud. Kui audit tekitab Maildroppale olulist lisatööd, mis ületab seaduslikke kohustusi, või ei tuvastata Maildroppa olulist mittenõuetekohasust, võib Maildroppa võtta ette kokku lepitud mõistlikud kulud. Kui tuvastatakse Maildroppa oluline mittenõuetekohasus, kannab Maildroppa mõistlikud auditi kulud ja parandab rikkumise viivitamata.

12.5 Maildroppa peab IKÜM artikli 30 lõike 2 kohaseid töötlemiskategooriate registripidamist ja teeb koostööd pädeva järelevalveasutusega selle taotlusel.

13. Vastutus

13.1 Poolte vastutus on reguleeritud IKÜM artikliga 82, muu kohustusliku andmekaitseõigusega ja põhilepingu kehtivate vastutussätetega. Miski käesolevas ATL-is ei piira andmesubjektide õigusi ega järelevalveasutuste volitusi.

13.2 Poolte vahel vastutab kumbki kahju ja kulude eest ulatuses, mille on põhjustanud tema süülise käitumisega käesoleva ATL-i, seadusliku kohustuse või õiguspärase vastutuse rikkumine. Seadusest tulenevad regressiõigused jäävad kehtima.

14. Lõpetamine andmekaitsealase rikkumise tõttu

14.1 Kui Maildroppa rikub oluliselt käesolevat ATL-i, võib Klient peatada mõjutatud töötlemise, kuni rikkumine on kõrvaldatud. Kui Maildroppa ei kõrvalda olulist rikkumist mõistliku aja jooksul või kõrvaldamine on võimatu, võib Klient mõjutatud teenuse mõjuval põhjusel lõpetada.

14.2 Maildroppa võib peatada ebaseadusliku juhise täitmise lõike 4.3 alusel. Kui seaduslikku alternatiivi ei ole võimalik leida ja jätkamine rikuks andmekaitseõigust, võib Maildroppa mõjutatud töötlemise lõpetada. Tagastamise, kustutamise ja tõendi kohustused jäävad kehtima.

15. Lõppsätted

15.1 Muudatused lepitakse kokku tekstilises vormis või integreeritakse tõendatava elektroonilise protsessi kaudu. Lisad võib ajakohastada tegelikku töötlemist kajastama, kui üldine kaitsetase ei vähene oluliselt ja ATL-is sätestatud teavitamis- ja vastuväiteõigusi järgitakse.

15.2 Kui säte on kehtetu, jäävad ülejäänud sätted jõusse ja selle asendab seaduses sätestatu.

15.3 Kohaldatakse Saksamaa õigust ja põhilepingu kohtualluvuse klauslit ulatuses, milles kohustuslik andmekaitseõigus ei nõua teisiti.

15.4 Käesolev eestikeelne versioon on esitatud mugavuse eesmärgil. Kui see on saksakeelse versiooniga vastuolus, on ülimuslik saksa versioon, välja arvatud juhul, kui kohustuslik õigus nõuab teisiti.

Lisa 1 – Töötlemise kirjeldus

1. Ese ja eesmärk

Pilvepõhise Maildroppa teenuse pakkumine nõusolekupõhiseks meiliturunduseks, sh kontakt- ja nimekirjahaldus, vormid ja liitumisvood, kampaaniad, mallid, automatiseerimine, saatmine, kohaletoimetamise ja interaktsiooni aruanded, failid, integratsioonid, eksport, tugi, turve, varundus ja lepingujärgne kustutamine.

2. Kestus

Põhilepingu kehtivusaeg pluss lõikes 11 nimetatud tagastamise, kustutamise ja varukoopia aegumisperiood.

3. Töötlemise laad

Kogumine Kliendi vormide kaudu, salvestamine, organiseerimine, struktureerimine, säilitamine, kohandamine, segmenteerimine, sobitamine, päring, kuvamine, import, eksport, edastus, saatmine, logimine, analüüs, piiramine, varundus ja kustutamine Kliendi juhiste kohaselt.

4. Andmesubjektide kategooriad

• Kliendi tellijad, potentsiaalsed kliendid, liidid, kliendid ja muud ärikontaktid;
• Kliendi vormide ja sihtlehtede külastajad ja esitajad;
• Kliendi kampaaniate, automatiseerimiste ja tehinguliste sõnumite saajad;
• muud isikud, kelle andmed Klient teenusesse seaduslikult esitab.

5. Isikuandmete kategooriad

• isiku- ja kontaktandmed: nimi, e-post ja ärikontakt, mille Klient sisestab;
• Kliendi määratud profiiliväljad, sildid, segmendid, nimekirjad ja kuuluvused;
• nõusoleku, allika ja tõendi andmed: liitumise allikas, vorm, nõusoleku tekst, ajatemplid, kinnituse ja loobumise staatus ning IP-/brauseri metaandmed, kui need on lubatud ja seaduslikud;
• tehnilised vormi ja väärkasutuse andmed: ekraani mõõtmed, brauseri ja operatsioonisüsteemi versioon, tuletatud seadme identifikaator, IP/päringu andmed ning viimase hüpik-akna kuvamise aeg brauseris, kui Klient vastavalt vormilaaduri lisab;
• kampaania, vormi, automatiseerimise, malli ja sõnumi sisu;
• kohaletoimetamise ja interaktsiooni andmed: kohaletoimetamise staatus, avamise ja klikkimise sündmused, kui need on lubatud ja seaduslikud, tagastused, kaebused, loobumised ja blokeeringud;
• tehnilised andmed: IP-aadress, seade, brauser, päringu, turbe, logi ja vea info;
• failid, manusid ja sisu, mille Klient üles laadib;
• integratsiooni, impordi, ekspordi ja toe teave, sh kolmanda osapoole identifikaatorid, mille Klient esitab.

6. Eriliiki andmed

IKÜM artikli 9 eriliiki andmete ja artikli 10 süüteoandmete töötlemine ei kuulu teenuse juurde ja on keelatud, välja arvatud juhul, kui konkreetse eesmärgi jaoks on eelnevalt tekstilises vormis sõnaselgelt kokku lepitud täiendavad kaitsemeetmed.

7. Sagedus ja maht

Pidev, ulatuses, mille määravad Klient oma kasutuse, seadistuse, saajate, paketi ja juhistega.

8. Kliendi õigused ja kohustused

Kliendi õigused ja kohustused tulenevad käesolevast ATL-ist, põhilepingust ja andmekaitseõigusest. Klient otsustab eelkõige eesmärgid, õiguslikud alused, andmekategooriad, saajad, seadistuse, säilitusaja ja andmesubjekti taotlustele reageerimise.

Lisa 2 – Tehnilised ja organisatsioonilised meetmed

Maildroppa rakendab järgmisi meetmeid Kliendi isikuandmete kaitseks. Rakendus võib areneda vastavalt teaduse ja tehnika tasemele, ilma et üldine kaitsetase oluliselt langeks.

1. Organisatsioon ja juhtimine

• dokumenteeritud privaatsuse, turbe ja intsidentide vastutus;
• konfidentsiaalsuskohustused volitatud töötajatele;
• rolli- ja ülesandepõhised privaatsuse ja turbe juhised;
• sisemise juurdepääsu andmise, muutmise ja tühistamise kontroll;
• dokumenteeritud teenusepakkujate ülevaade ja nõutavad andmetöötluslepingud;
• protseduurid andmesubjekti taotluste, juhiste, kustutamise ja ametiasutuse nõuete jaoks.

2. Autentimine ja juurdepääsukontroll

• autentitud kontod Auth0/Okta kaudu ning rollipiiranguga toote- ja haldusliidesed;
• individuaalne sisemine juurdepääs vajaduspõhiselt ja vähima privileegiga;
• privilegeeritud juurdepääsu ja tehniliste saladuste kaitse; Maildroppa ei talleta paroole selgelt loetaval kujul;
• turbeoluliste konto ja haldussündmuste logimine;
• sündmus- ja riskipõhine ülevaatus ning juurdepääsu kiire tühistamine, kui see pole enam vajalik.

3. Edastus- ja sideturve

• krüpteeritud edastus kaasaegse HTTPS/TLS-iga;
• kaitstud API-d ja veebikonksud autentimise või allkirja/salajase võtme meetodiga, kui pakutakse;
• domeeni ja saatja kontroll ning levinud meiliautentimise meetodite tugi;
• kaitse väärkasutava liikluse eest puhverserveri, võrgu, kiirusepiirangu ja turbekontrollidega.

4. Rentniku ja eesmärgi eraldatus

• andmete ja juurdepääsu loogiline eraldamine Kliendi kontodele;
• serveripoolne autoriseerimine kontoresurssidele;
• eraldatud rollid ja eesmärgid operatsioonides, toes, arveldamises ja Kliendi töötlemises;
• Kliendi isikuandmete mitte kasutamine kolmanda osapoole reklaamiks ega nimekirjakaubanduseks.

5. Saadavus, vastupidavus ja taastamine

• põhiäpi töö kontrollitud taristul Saksamaal ja põhiobjektandmete talletus EL-is;
• kaitse võrgu- ja koormusrünnete vastu;
• teenuse seire, vea jäädvustus ja kontrollitud eskalatsioon;
• juurdepääsupiiranguga varukoopiad dokumenteeritud graafikuga;
• kontrollitud taastamisprotseduurid;
• kustutamise ja piirangute kirjete uuesti rakendamine pärast taastamist.

6. Terviklus ja turvaline töötlemine

• toetatud üleslaadimiste tehniline tüübi, suuruse ja juurdepääsu valideerimine;
• kontrollitud tarkvara väljastus ja sõltuvuste/haavatavuste käsitlemine;
• viga- ja turbelogimine andmeminimeerimisega;
• loata muutmise ärahoidmine juurdepääsukontrolli kaudu;
• vastutus bouncide, kaebuste, loobumiste ja blokeeringute töötlemisel.

7. Andmekaitse vaikimisi ja kavandatult

• kohustuslikud väljad ja töötlemine piiratud eesmärgiga; täiendavad Kliendi väljad on seadistatavad;
• ekspordi, paranduse, kustutamise ja blokeeringu funktsioonid toetavad andmesubjekti protsesse;
• nõusoleku ja liitumisvood võivad salvestada teksti, allika ja asjakohased ajatemplid;
• avamise ja klikkimise mõõtmine on esitatud läbipaistva seadistusena, kui funktsioon rakendub;
• diagnostika- ja analüütikaandmed on võimalusel pseudonüümsed või minimeeritud.

8. Kustutamine ja säilitamine

• operatiivsed kustutamisvood kontaktidele, kampaaniatele, automatiseerimistele, vormidele, failidele ja seotud Kliendi andmetele;
• raamatupidamisdokumentide eraldamine operatiivsetest Kliendi andmetest;
• piiratud blokeering ja turbeinfo, mida kasutatakse ainult kaitseesmärgil;
• operatiivne kustutamine ilma põhjendamatu viivituseta pärast teenuse lõppu ja kokkulepitud tagastuse lõpuleviimist; varukoopia aegumine dokumenteeritud tsükli alusel;
• tagastuse või kustutamise dokumenteerimine taotlusel.

9. Intsidendihaldus ja ülevaatus

• dokumenteeritud avastamise, klassifitseerimise, piirangu, uurimise, parandusmeetme ja ülevaatuse protsess;
• teavitus Kliendile ilma põhjendamatu viivituseta pärast Kliendi isikuandmeid mõjutava rikkumise teadasaamist;
• ajajoone, mõjutatud süsteemide ja andmete, meetmete ja mõju dokumenteerimine;
• tõendite säilitamine juurdepääsupiiranguga;
• perioodiline tõhususe ülevaatus ja riskipõhine meetmete kohandamine.

Lisa 3 – Volitatud alamvolitatud töötlejad ja edastused

Järgmine nimekiri kehtib vastavatele funktsioonidele; iga pakkuja ei töötle samu andmeid iga Kliendi jaoks. Maildroppa kontrollib enne esmakordset kasutust ja pärast sisulist muutust juriidilist isikut, piirkonda ja edastusmehhanismi tegeliku lepingu suhtes.

Auth0/Okta on selles Lisas loetletud ainult ulatuses, milles ta töötleb Kliendi isikuandmeid alamvolitatud töötlejana konkreetses andmevoos. Maildroppa enda vastutav töötlemine kontokasutaja andmetele lepingu, konto ja autentimise eesmärgil on reguleeritud privaatsusteatega ja jääb käesolevast ATL-ist välja.

Muudatusteavitused

Maildroppa teavitab Kliente kontole salvestatud äri e-posti aadressil ja avaldab selle nimekirja kuupäevaga versiooni. Teavitus nimetab teenusepakkuja, eesmärgi, asukoha, mehhanismi ja kavandatud alguskuupäeva. Vastuväite protseduuri reguleerib lõige 9.

Kliendi juhitud integratsioonid

Zapier, Make ja muud Kliendi ühendatud teenused ei ole automaatselt Maildroppa alamvolitatud töötlejad. Kui Maildroppa edastab andmeid sellisele integratsioonile Kliendi juhisel, vastutab Klient saaja valiku, volituse, privaatsusteavituste, lepingute ja rahvusvaheliste edastusmehhanismide eest.