Accord de traitement des données

Dernière mise à jour : 4 septembre 2026 · Version 1.0

Le présent accord de traitement des données (« DPA ») fait partie du contrat relatif à Maildroppa. Il s’applique lorsque Maildroppa traite des données à caractère personnel pour le compte d’un Client.

Parties

Responsable du traitement (« Client ») : la personne physique ou morale désignée comme Client dans la commande ou le compte Maildroppa, y compris une société affiliée du Client valablement incluse lorsque celle-ci est responsable du traitement des Données personnelles du Client.

Sous-traitant (« Maildroppa ») :

Marcus Biel, exerçant sous le nom « Maildroppa »
Dr.-Peter-Hecker-Str. 4b
82031 Grünwald
Allemagne
Contact : formulaire de contact

Le Client et Maildroppa sont ensemble les « Parties ».

1. Champ d’application, durée et priorité

1.1 Le présent DPA régit le traitement par Maildroppa de données à caractère personnel pour le compte du Client dans le cadre du service (« Données personnelles du Client »). L’objet, la nature, les finalités, les catégories de personnes concernées et les types de données sont décrits à l’Annexe 1.

1.2 Le DPA prend effet lorsque le Client accepte les Conditions, une commande l’incorporant ou une confirmation électronique distincte. Il reste en vigueur pendant la durée du contrat et aussi longtemps que Maildroppa traite des Données personnelles du Client.

1.3 Le présent DPA prévaut sur le contrat principal pour le traitement effectué pour le compte du Client. Les dispositions impératives du droit de la protection des données prévalent dans tous les cas.

1.4 Pour ses propres finalités — notamment la gestion contractuelle et la facturation, la sécurité de ses propres comptes, la protection de la plateforme et de l’infrastructure d’envoi, la prévention des abus et les obligations légales — Maildroppa peut agir en qualité de responsable du traitement distinct. Ces traitements sont régis par la Politique de confidentialité, et non par le présent DPA. Maildroppa n’utilisera pas son rôle de sous-traitant pour exploiter les Données personnelles du Client à des fins publicitaires pour Maildroppa.

2. Définitions et droit applicable

2.1 Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens qui leur est donné par le RGPD.

2.2 Le « Droit de la protection des données » désigne le RGPD, la loi fédérale allemande sur la protection des données et les autres dispositions de protection des données applicables au traitement concerné.

2.3 Si le Client est lui-même sous-traitant pour un autre responsable du traitement, Maildroppa agit en qualité de sous-traitant ultérieur. Le Client garantit qu’il est autorisé à donner des instructions à Maildroppa et à l’engager, et met à sa disposition les informations et droits du responsable du traitement dans la mesure nécessaire à l’exécution du présent DPA.

3. Responsabilité et instructions du Client

3.1 Le Client est responsable de la licéité du traitement, des droits des personnes concernées, de l’exactitude et de la nécessité des données, ainsi que de ses instructions. Il assure notamment la base juridique, les informations à fournir, le consentement lorsque requis, les décisions de conservation et d’effacement et la licéité des destinataires.

3.2 Les instructions documentées comprennent le contrat principal, le présent DPA, la configuration et l’utilisation du service par le Client ainsi que les instructions complémentaires sous forme textuelle. Une instruction ne doit pas modifier fondamentalement la nature, les finalités ou l’étendue du service convenu. Des instructions supplémentaires peuvent nécessiter un accord distinct et une rémunération raisonnable.

3.3 Le Client ne doit pas traiter dans Maildroppa les catégories particulières visées à l’article 9 du RGPD, les données relatives aux condamnations pénales et aux infractions visées à l’article 10 du RGPD, les données complètes d’instruments de paiement, les secrets officiels ou d’autres informations spécialement protégées, sauf si Maildroppa approuve expressément à l’avance, sous forme textuelle, la finalité précise et les garanties.

3.4 Le Client configure les fonctions disponibles de rôles, d’exportation, d’effacement, de consentement, de suivi et d’intégration de manière adaptée aux risques et protège les comptes, domaines, clés API et identifiants d’accès.

4. Traitement uniquement sur instructions documentées

4.1 Maildroppa traite les Données personnelles du Client uniquement sur instructions documentées du Client, y compris pour un transfert vers un pays tiers, sauf si le droit de l’Union ou d’un État membre exige le traitement. Dans ce cas, Maildroppa informe le Client de cette obligation légale avant le traitement, sauf si la loi interdit cette information pour des motifs importants d’intérêt public.

4.2 Maildroppa utilise les Données personnelles du Client uniquement pour fournir, sécuriser, assister et mettre fin au service convenu et pour exécuter des instructions licites. La vente, la publicité pour des tiers et la constitution d’une liste de destinataires pour un tiers sont interdites.

4.3 Si Maildroppa estime qu’une instruction enfreint le Droit de la protection des données, elle en informe le Client sans retard injustifié et peut suspendre l’instruction concernée jusqu’à sa confirmation, sa modification ou sa clarification par l’organisme compétent. Les Parties coopèrent de bonne foi pour trouver une solution licite.

4.4 Seul le personnel ayant besoin d’un accès pour accomplir ses fonctions peut accéder aux Données personnelles du Client. Avant tout accès, ces personnes sont soumises à une obligation de confidentialité ou à une obligation légale appropriée et reçoivent des instructions en matière de confidentialité et de sécurité.

5. Mesures techniques et organisationnelles

5.1 Maildroppa met en œuvre les mesures de l’Annexe 2 conformément aux articles 28, paragraphe 3, point c), et 32 du RGPD. Ces mesures tiennent compte de l’état des connaissances, des coûts de mise en œuvre, de la nature, de l’étendue, du contexte et des finalités du traitement, ainsi que de la probabilité et de la gravité des risques.

5.2 Maildroppa peut faire évoluer ou remplacer certaines mesures par des contrôles équivalents ou plus efficaces. Le niveau global de protection convenu ne doit pas être réduit de manière substantielle. Les modifications défavorables importantes sont annoncées à l’avance, sauf si une action immédiate est nécessaire pour faire face à un risque aigu.

5.3 La sécurité est une responsabilité partagée. Maildroppa n’est pas responsable des risques causés exclusivement par des contenus illicites du Client, des appareils du Client non sécurisés, des identifiants partagés, des intégrations du Client mal configurées ou des instructions du Client. Les propres obligations légales et contractuelles de Maildroppa demeurent inchangées.

6. Assistance relative aux droits des personnes concernées

6.1 Compte tenu de la nature du traitement, Maildroppa aide le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes relevant du chapitre III du RGPD, notamment l’accès, la rectification, l’effacement, la limitation, la portabilité, l’opposition et les informations concernant les décisions automatisées.

6.2 Lorsque les données demandées sont accessibles au moyen des fonctionnalités du produit, le Client traite lui-même la demande. Pour une assistance supplémentaire proportionnée, Maildroppa fournit les informations disponibles ou rectifie, exporte, limite ou efface les données sur instruction documentée.

6.3 Si Maildroppa reçoit une demande d’une personne concernée portant de façon identifiable sur les Données personnelles du Client, elle en informe le Client sans retard injustifié et ne répond pas sur le fond, sauf instruction du Client ou obligation légale. Maildroppa peut indiquer à la personne concernée que la demande a été transmise au responsable du traitement.

6.4 Le Client transmet uniquement les informations nécessaires pour localiser et satisfaire la demande de façon sécurisée. Maildroppa peut facturer des frais raisonnables, annoncés à l’avance, pour une assistance manifestement excessive, répétée ou non standard, dans la mesure permise par l’article 28 du RGPD.

7. Conformité, analyses d’impact et autorités

7.1 Compte tenu de la nature du traitement et des informations disponibles, Maildroppa aide le Client à respecter les articles 32 à 36 du RGPD, notamment en matière de sécurité, de notification et de communication des violations, d’analyses d’impact relatives à la protection des données et de consultation préalable.

7.2 Sur demande raisonnable, Maildroppa fournit les informations sur le service, les flux de données, les mesures, les sous-traitants ultérieurs et les risques connus nécessaires à l’analyse d’impact du Client, lorsqu’elles ne sont pas déjà disponibles dans la documentation ou le compte.

7.3 Si Maildroppa reçoit une demande contraignante d’une autorité ou d’un tribunal concernant les Données personnelles du Client, elle informe le Client avant toute divulgation, lorsque la loi le permet. Maildroppa évalue la compétence et la portée de la demande, ne divulgue que ce qui est légalement requis et documente le dossier.

8. Violations de données à caractère personnel

8.1 Maildroppa informe le Client sans retard injustifié après avoir pris connaissance d’une violation de données à caractère personnel affectant les Données personnelles du Client. Les premières informations peuvent être fournies par étapes et ne sont pas différées jusqu’à la fin de l’enquête.

8.2 Dans la mesure où les informations sont disponibles, la notification comprend :

• la nature de la violation, y compris les catégories et les nombres approximatifs de personnes et d’enregistrements concernés ;
• les conséquences probables ;
• les mesures prises ou proposées pour la contenir et y remédier ;
• le moment ou la période et l’état actuel de l’enquête ;
• un point de contact pour les questions.

8.3 Maildroppa prend rapidement des mesures raisonnables de confinement, de préservation des preuves, d’analyse des causes et de remédiation, documente la violation et fournit les informations disponibles pour les obligations du Client au titre des articles 33 et 34 du RGPD.

8.4 Le Client reste responsable de l’évaluation et de toute notification à l’autorité de contrôle dans les 72 heures suivant sa propre prise de connaissance, ainsi que de toute communication aux personnes concernées. Une notification de Maildroppa ne constitue pas une reconnaissance de manquement ou de responsabilité.

8.5 Le Client informe rapidement Maildroppa des incidents de sécurité dans son environnement susceptibles d’affecter les Données personnelles du Client ou le service et coopère à leur atténuation.

9. Sous-traitants ultérieurs

9.1 Le Client donne une autorisation écrite générale pour les sous-traitants ultérieurs figurant à l’Annexe 3. Maildroppa reste responsable envers le Client de l’exécution par un sous-traitant ultérieur de ses obligations au titre de l’article 28, paragraphe 4, du RGPD.

9.2 Maildroppa impose contractuellement à chaque sous-traitant ultérieur un niveau de protection des données substantiellement identique pour le service concerné, notamment en matière d’instructions, de confidentialité, de sécurité, d’assistance, d’effacement et de droits d’audit.

9.3 Maildroppa adresse normalement un préavis d’au moins 30 jours avant l’ajout ou le remplacement d’un sous-traitant ultérieur à l’adresse électronique professionnelle enregistrée dans le compte et publie la modification datée dans la liste des sous-traitants ultérieurs. Un délai plus court peut s’appliquer en cas de besoins urgents de sécurité ou de disponibilité ; Maildroppa en explique le motif et informe le plus tôt possible.

9.4 Le Client peut s’opposer pendant le délai de préavis pour des motifs précis et étayés liés à la protection des données. Les Parties recherchent une solution raisonnable, telle qu’une modification de configuration. Si aucune solution n’est possible et que l’opposition est justifiée, le Client peut résilier le contrat principal pour motif légitime, sans frais supplémentaires, avant le recours au nouveau sous-traitant ultérieur. Des objections purement commerciales ou concurrentielles ne suffisent pas.

9.5 Les services qui ne traitent pas de Données personnelles du Client, ainsi que les destinataires ou intégrations connectés par le Client sur ses instructions, ne sont pas des sous-traitants ultérieurs de Maildroppa. Cela inclut un service que le Client connecte et contractualise au moyen de son propre compte auprès d’un tiers.

10. Transferts internationaux

10.1 Maildroppa transfère les Données personnelles du Client hors de l’Espace économique européen uniquement sur instructions documentées et conformément au chapitre V du RGPD.

10.2 En l’absence de décision d’adéquation applicable, Maildroppa conclut avec l’importateur les clauses contractuelles types de la Commission européenne en vigueur à ce moment. Le module 2 s’applique généralement lorsque le Client est responsable du traitement, et le module 3 lorsqu’il est sous-traitant. Le présent DPA et ses annexes complètent les annexes correspondantes des CCT.

10.3 Lorsqu’un fournisseur dispose d’une certification valide au titre du cadre de protection des données UE–États-Unis pour les données concernées, la décision d’adéquation peut être utilisée. Maildroppa vérifie la certification concernée à intervalles raisonnables et maintient un mécanisme de remplacement lorsque nécessaire pour poursuivre le transfert.

10.4 Maildroppa documente une analyse d’impact du transfert lorsque requise et utilise des mesures techniques, contractuelles ou organisationnelles supplémentaires adaptées au droit concerné, aux possibilités d’accès et aux risques pour les données. Le Client fournit les informations nécessaires à l’évaluation de ses propres instructions.

11. Restitution et effacement

11.1 Pendant le contrat, le Client peut utiliser les fonctions d’exportation et d’effacement disponibles. Avant la fin du contrat, il peut demander la restitution des Données personnelles du Client opérationnelles dans un format disponible, couramment utilisé et lisible par machine.

11.2 Après la fin des services, Maildroppa efface sans retard injustifié toutes les Données personnelles du Client et leurs copies, sauf si le Client a préalablement demandé leur restitution ou si le droit de l’Union ou d’un État membre exige leur conservation. L’effacement commence après toute restitution convenue. Sur demande, Maildroppa confirme l’effacement sous forme textuelle.

11.3 Les données restant dans des sauvegardes à accès restreint ne sont pas utilisées pour de nouvelles finalités de production et sont écrasées selon le cycle régulier documenté des sauvegardes. Jusqu’alors, elles restent bloquées à l’accès ordinaire. Lorsqu’une sauvegarde est utilisée pour une restauration, Maildroppa réapplique rapidement les enregistrements d’effacement, d’opposition et de limitation en attente.

11.4 Les données conservées en vertu de la loi et les informations minimales strictement nécessaires à la sécurité, à la prévention des abus ou au respect permanent des désinscriptions sont isolées, soumises à un accès restreint et utilisées uniquement à cette fin, puis effacées lorsqu’elles ne sont plus nécessaires. Maildroppa indique au Client la catégorie et la base juridique lorsqu’elles ne sont pas déjà documentées.

12. Informations et audits

12.1 Maildroppa fournit les informations nécessaires pour démontrer le respect de l’article 28 du RGPD et du présent DPA. Elles peuvent comprendre les mesures techniques et organisationnelles actuelles, les informations relatives aux sous-traitants ultérieurs et aux transferts, les certifications appropriées, les rapports d’audit, les questionnaires et les confirmations d’effacement.

12.2 Si ces éléments ne permettent pas de dissiper un risque étayé, le Client ou un auditeur indépendant compétent tenu à la confidentialité peut réaliser un audit. Les audits ont normalement lieu au plus une fois tous les douze mois, avec un préavis d’au moins 30 jours, pendant les heures ouvrables habituelles et sans perturbation évitable des autres clients ou de la sécurité.

12.3 Un audit supplémentaire ou avec un préavis plus court est autorisé lorsqu’il est justifié par une violation de données à caractère personnel, une préoccupation précise et importante ou une instruction de l’autorité de contrôle. Maildroppa peut rendre accessibles des éléments de sécurité hautement sensibles au moyen d’un rapport tiers approprié et limiter l’accès aux données des autres clients, au code source, aux vulnérabilités ou aux secrets d’affaires si l’objectif de l’audit peut néanmoins être atteint.

12.4 Chaque Partie supporte ses propres coûts. Lorsqu’un audit occasionne un travail substantiel au-delà des obligations légales ou ne révèle aucun manquement important de Maildroppa, Maildroppa peut facturer des coûts raisonnables convenus à l’avance. S’il révèle un manquement important de Maildroppa, celle-ci supporte les coûts raisonnables de l’audit et y remédie sans retard injustifié.

12.5 Maildroppa tient un registre des catégories de traitement au titre de l’article 30, paragraphe 2, du RGPD et coopère sur demande avec l’autorité de contrôle compétente.

13. Responsabilité

13.1 La responsabilité entre les Parties est régie par l’article 82 du RGPD, les autres dispositions impératives du Droit de la protection des données et les dispositions valables du contrat principal relatives à la responsabilité. Aucune disposition du présent DPA ne limite les droits des personnes concernées ni les pouvoirs des autorités de contrôle.

13.2 Dans leurs rapports mutuels, chaque Partie est responsable des pertes et coûts dans la mesure où ils résultent de son manquement fautif au présent DPA, à une obligation légale ou à une responsabilité licite. Les droits de recours prévus par la loi demeurent inchangés.

14. Résiliation pour manquement à la protection des données

14.1 Si Maildroppa manque substantiellement au présent DPA, le Client peut suspendre le traitement concerné jusqu’à ce qu’il y soit remédié. Si Maildroppa ne remédie pas à un manquement important dans un délai raisonnable, ou si cela est impossible, le Client peut résilier le service concerné pour motif légitime.

14.2 Maildroppa peut suspendre une instruction illicite conformément à la clause 4.3. Si aucune solution licite ne peut être trouvée et que la poursuite enfreindrait le Droit de la protection des données, Maildroppa peut mettre fin au traitement concerné. Les obligations de restitution, d’effacement et de preuve demeurent.

15. Dispositions finales

15.1 Les modifications sont convenues sous forme textuelle ou incorporées au moyen d’un processus électronique démontrable. Les annexes peuvent être mises à jour pour refléter le traitement effectif, à condition que la protection globale ne soit pas substantiellement réduite et que les droits de notification et d’opposition du DPA soient respectés.

15.2 Si une disposition est invalide, les autres dispositions restent applicables et les règles légales la remplacent.

15.3 Le droit allemand et la clause de compétence du contrat principal s’appliquent dans la mesure où le Droit impératif de la protection des données n’exige pas autre chose.

15.4 La présente version française est fournie à titre de commodité. En cas de conflit avec la version allemande, la version allemande prévaut, sauf disposition impérative contraire.

Annexe 1 – Description du traitement

1. Objet et finalité

Fourniture du service cloud Maildroppa pour le marketing par courriel fondé sur l’autorisation, notamment la gestion des contacts et des listes, les formulaires et Signup Flows, les campagnes, les modèles, les automatisations, l’envoi, les rapports de livraison et d’interaction, les fichiers, les intégrations, les exportations, l’assistance, la sécurité, les sauvegardes et l’effacement contractuel.

2. Durée

La durée du contrat principal, augmentée de la période de restitution, d’effacement et d’expiration des sauvegardes prévue à la clause 11.

3. Nature du traitement

Collecte au moyen des formulaires du Client, enregistrement, organisation, structuration, conservation, adaptation, segmentation, rapprochement, extraction, affichage, importation, exportation, transmission, envoi, journalisation, analyse, limitation, sauvegarde et effacement sur instruction du Client.

4. Catégories de personnes concernées

• abonnés, prospects, contacts commerciaux potentiels, clients et autres contacts professionnels du Client ;
• visiteurs des formulaires et pages de destination du Client et personnes qui les soumettent ;
• destinataires des campagnes, automatisations et messages transactionnels du Client ;
• autres personnes dont le Client transmet licitement les données au service.

5. Catégories de données à caractère personnel

• données d’identité et de contact : nom, adresse électronique et coordonnées professionnelles saisies par le Client ;
• champs de profil, étiquettes, segments, listes et affectations à des audiences définis par le Client ;
• données de consentement, de source et de preuve : source d’inscription, formulaire, texte du consentement, horodatages, état de confirmation et de désinscription, et métadonnées IP/navigateur lorsqu’elles sont activées et licites ;
• données techniques des formulaires et relatives aux abus : dimensions de l’écran, version du navigateur et du système d’exploitation, identifiant dérivé de l’appareil, données IP/de requête et date du dernier affichage d’une fenêtre contextuelle conservée dans le navigateur lorsque le Client intègre le chargeur de formulaire en conséquence ;
• contenu des campagnes, formulaires, automatisations, modèles et messages ;
• données de livraison et d’interaction : état de livraison, événements d’ouverture et de clic lorsqu’ils sont activés et licites, rebonds, plaintes, désinscriptions et exclusions d’envoi ;
• données techniques : adresse IP, appareil, navigateur, requêtes, sécurité, journaux et informations d’erreur ;
• fichiers, pièces jointes et contenus téléversés par le Client ;
• informations d’intégration, d’importation, d’exportation et d’assistance, y compris les identifiants tiers transmis par le Client.

6. Données particulières

Le traitement des catégories particulières visées à l’article 9 et des données relatives aux condamnations pénales visées à l’article 10 ne fait pas partie du service et est interdit, sauf accord préalable exprès sous forme textuelle pour une finalité déterminée assortie de garanties supplémentaires.

7. Fréquence et volume

En continu, au volume déterminé par l’utilisation, la configuration, les destinataires, le forfait et les instructions du Client.

8. Droits et obligations du Client

Les droits et obligations du Client résultent du présent DPA, du contrat principal et du Droit de la protection des données. Le Client décide notamment des finalités, bases juridiques, catégories de données, destinataires, configuration, conservation et réponses aux droits des personnes concernées.

Annexe 2 – Mesures techniques et organisationnelles

Maildroppa maintient les mesures suivantes pour les Données personnelles du Client. Leur mise en œuvre peut évoluer avec l’état des connaissances sans réduire substantiellement la protection globale.

1. Organisation et gouvernance

• responsabilités documentées en matière de confidentialité, de sécurité et d’incidents ;
• obligations de confidentialité pour le personnel autorisé ;
• instructions de confidentialité et de sécurité adaptées aux rôles et aux tâches ;
• octroi, modification et révocation contrôlés des accès internes ;
• examen documenté des fournisseurs et contrats de traitement des données requis ;
• procédures pour les demandes des personnes concernées, les instructions, l’effacement et les demandes des autorités.

2. Authentification et contrôle d’accès

• comptes authentifiés via Auth0/Okta et interfaces produit et d’administration limitées selon les rôles ;
• accès internes individuels fondés sur le besoin et le moindre privilège ;
• protection des accès privilégiés et des secrets techniques ; aucune conservation de mots de passe en clair par Maildroppa ;
• journalisation des événements de compte et d’administration pertinents pour la sécurité ;
• examen fondé sur les événements et les risques et révocation rapide des accès devenus inutiles.

3. Sécurité des transmissions et des communications

• transmission chiffrée au moyen de connexions HTTPS/TLS actuelles ;
• API et webhooks protégés au moyen de méthodes d’authentification ou de signature/secret lorsqu’elles sont fournies ;
• vérification des domaines et des expéditeurs et prise en charge des méthodes courantes d’authentification des courriels ;
• protection contre les requêtes abusives par des contrôles de proxy, de réseau, de limitation de débit et de sécurité.

4. Séparation des clients et des finalités

• attribution logique des données et des accès aux comptes des Clients ;
• autorisation côté serveur pour les ressources des comptes ;
• séparation des rôles et des finalités pour l’exploitation, l’assistance, la facturation et le traitement du Client ;
• aucune utilisation des Données personnelles du Client pour la publicité de tiers ou le commerce de listes.

5. Disponibilité, résilience et restauration

• exploitation de l’application principale sur une infrastructure contrôlée en Allemagne et stockage principal des données objet dans l’UE ;
• protections contre les attaques réseau et les charges abusives ;
• surveillance du service, collecte des erreurs et escalade contrôlée ;
• sauvegardes à accès restreint selon un calendrier documenté ;
• procédures de restauration contrôlées ;
• réapplication des enregistrements d’effacement et de limitation en attente après restauration.

6. Intégrité et sécurité du traitement

• validation technique du type, de la taille et de l’accès pour les téléversements pris en charge ;
• déploiement logiciel contrôlé et gestion des dépendances et des vulnérabilités ;
• journalisation des erreurs et de la sécurité avec minimisation des données ;
• protection contre les modifications non autorisées au moyen du contrôle d’accès ;
• traitement traçable des rebonds, plaintes, désinscriptions et exclusions d’envoi.

7. Protection des données dès la conception

• champs obligatoires et traitement limités à la finalité ; les champs supplémentaires du Client sont configurables ;
• fonctions d’exportation, de rectification, d’effacement et d’exclusion d’envoi soutenant les procédures relatives aux personnes concernées ;
• les parcours de consentement et d’inscription peuvent enregistrer le texte, la source et les horodatages pertinents ;
• la mesure des ouvertures et des clics est présentée comme une configuration transparente lorsque la fonction s’applique ;
• les données de diagnostic et d’analyse sont pseudonymisées ou minimisées lorsque possible.

8. Effacement et conservation

• processus d’effacement opérationnel des contacts, campagnes, automatisations, formulaires, fichiers et données connexes du Client ;
• séparation des documents de facturation légaux et des données opérationnelles du Client ;
• informations limitées d’exclusion d’envoi et de sécurité utilisées uniquement à leur fin protectrice ;
• effacement opérationnel sans retard injustifié après la fin du service et l’achèvement de toute restitution convenue ; expiration des sauvegardes selon le cycle documenté ;
• restitution ou effacement documentés sur demande.

9. Gestion des incidents et contrôle

• processus documenté de détection, de classification, de confinement, d’enquête, de remédiation et de contrôle ;
• notification au Client sans retard injustifié après la prise de connaissance d’une violation affectant les Données personnelles du Client ;
• enregistrement de la chronologie, des systèmes et données concernés, des mesures et des impacts connus ;
• préservation des preuves avec restrictions d’accès ;
• contrôle périodique de l’efficacité et adaptation des mesures en fonction des risques.

Annexe 3 – Sous-traitants ultérieurs autorisés et transferts

La liste suivante s’applique aux fonctions concernées ; tous les fournisseurs ne traitent pas les mêmes données pour chaque Client. Maildroppa vérifie l’entité juridique, la région et le mécanisme de transfert par rapport au contrat effectif avant la première utilisation et après toute modification importante.

Auth0/Okta figure dans cette annexe uniquement dans la mesure où il traite les Données personnelles du Client en qualité de sous-traitant ultérieur dans un flux de données particulier. Le traitement par Maildroppa des données des utilisateurs de comptes en qualité de responsable du traitement pour ses propres finalités contractuelles, de compte et d’authentification est régi par la Politique de confidentialité et ne relève pas du présent DPA.

Avis de modification

Maildroppa informe les Clients à l’adresse électronique professionnelle enregistrée dans le compte et publie une version datée de cette liste. L’avis identifie le fournisseur, la finalité, le lieu, le mécanisme et la date de début prévue. La procédure d’opposition est régie par la clause 9.

Intégrations choisies par le Client

Zapier, Make et les autres services connectés par le Client ne sont pas automatiquement des sous-traitants ultérieurs de Maildroppa. Lorsque Maildroppa transmet des données à une telle intégration sur instruction du Client, celui-ci est responsable du choix du destinataire, de l’autorisation, des informations de confidentialité, des contrats et des mécanismes de transfert international.