הסכם עיבוד מידע

עדכון אחרון: 4 בספטמבר 2026 · גרסה 1.0

הסכם עיבוד מידע זה (״DPA״) מהווה חלק מההסכם לשימוש ב-Maildroppa. הוא חל בכל מקרה שבו Maildroppa מעבדת מידע אישי מטעם לקוח.

הצדדים

בעל השליטה במידע (״הלקוח״): האדם או הישות המשפטית המזוהים כלקוח בהזמנה או בחשבון Maildroppa, לרבות ישות קשורה ללקוח שנכללה כדין בהסכם, ככל שאותה ישות קשורה היא בעלת השליטה במידע האישי של הלקוח.

מעבדת המידע (״Maildroppa״):

Marcus Biel, הפועל בשם המסחרי ״Maildroppa״
Dr.-Peter-Hecker-Str. 4b
82031 Grünwald
Germany
יצירת קשר: טופס יצירת קשר

הלקוח ו-Maildroppa ייקראו יחד ״הצדדים״.

1. תחולה, תקופה ועדיפות

1.1 הסכם עיבוד מידע זה מסדיר את עיבוד המידע האישי בידי Maildroppa מטעם הלקוח בקשר לשירות (״המידע האישי של הלקוח״). נושא העיבוד, אופיו, מטרתו, קטגוריות נושאי המידע וסוגי המידע מתוארים בנספח 1.

1.2 הסכם עיבוד המידע נכנס לתוקף כאשר הלקוח מקבל את התנאים, הזמנה הכוללת אותו או אישור אלקטרוני נפרד. הוא נותר בתוקף במשך תקופת ההסכם וכל עוד Maildroppa מעבדת את המידע האישי של הלקוח.

1.3 הסכם עיבוד מידע זה גובר על ההסכם הראשי בכל הנוגע לעיבוד מטעם הלקוח. הוראות דין קוגנטיות בתחום הגנת המידע גוברות בכל מקרה.

1.4 למטרותיה שלה — לרבות התקשרות חוזית וחיוב, אבטחת החשבונות של Maildroppa עצמה, הגנה על הפלטפורמה ועל תשתית השליחה, מניעת שימוש לרעה ועמידה בחובות חוקיות — Maildroppa עשויה להיות בעלת שליטה נפרדת במידע. עיבוד זה כפוף להודעת הפרטיות, ולא להסכם עיבוד מידע זה. Maildroppa לא תנצל את תפקידה כמעבדת מידע כדי להשתמש במידע האישי של הלקוח לצורכי פרסום של Maildroppa.

2. הגדרות והדין החל

2.1 למונחים ״מידע אישי״, ״עיבוד״, ״בעל שליטה במידע״, ״מעבד מידע״, ״נושא מידע״, ״הפרת אבטחת מידע אישי״ ו״רשות פיקוח״ תהיה המשמעות שניתנה להם ב-GDPR.

2.2 ״דיני הגנת המידע״ משמעם ה-GDPR, החוק הפדרלי הגרמני להגנת מידע ודינים אחרים בתחום הגנת המידע החלים על העיבוד המסוים.

2.3 אם הלקוח עצמו הוא מעבד מידע עבור בעל שליטה אחר במידע, Maildroppa פועלת כמעבדת משנה. הלקוח מתחייב כי הוא מוסמך לתת הוראות ל-Maildroppa ולהתקשר עמה, ויעמיד לרשות Maildroppa את המידע והזכויות של בעל השליטה במידע, ככל שנדרש לצורך ביצוע הסכם עיבוד מידע זה.

3. אחריות הלקוח והוראותיו

3.1 הלקוח אחראי לחוקיות העיבוד, לזכויות נושאי המידע, לדיוק המידע ולנחיצותו, וכן להוראותיו. בפרט, הלקוח מבטיח את קיומם של בסיס משפטי, הודעות, הסכמה ככל שנדרשת, החלטות בדבר שמירה ומחיקה ונמעני מידע הרשאים לקבלו כדין.

3.2 ההוראות המתועדות כוללות את ההסכם הראשי, הסכם עיבוד מידע זה, ההגדרות שקבע הלקוח והשימוש שלו בשירות, וכן הוראות משלימות בצורה טקסטואלית. הוראה אינה רשאית לשנות מן היסוד את אופיו, מטרתו או היקפו של השירות המוסכם. הוראות נוספות עשויות לחייב הסכם נפרד ותשלום סביר.

3.3 הלקוח אינו רשאי לעבד ב-Maildroppa קטגוריות מיוחדות של מידע לפי סעיף 9 ל-GDPR, מידע על הרשעות פליליות ועבירות לפי סעיף 10 ל-GDPR, פרטים מלאים של אמצעי תשלום, סודות רשמיים או מידע אחר הזוכה להגנה מיוחדת, אלא אם Maildroppa אישרה במפורש, מראש ובצורה טקסטואלית, את המטרה המסוימת ואת אמצעי ההגנה.

3.4 הלקוח מגדיר את הפונקציות הזמינות לניהול תפקידים, ייצוא, מחיקה, הסכמה, מעקב ואינטגרציה באופן המותאם לסיכון, ומגן על חשבונות, דומיינים, מפתחות API ופרטי הזדהות.

4. עיבוד לפי הוראות מתועדות בלבד

4.1 Maildroppa מעבדת את המידע האישי של הלקוח רק לפי הוראותיו המתועדות של הלקוח, לרבות בכל הנוגע להעברה למדינה שלישית, אלא אם דין האיחוד האירופי או דין של מדינה חברה מחייב את העיבוד. במקרה כזה, Maildroppa מודיעה ללקוח על הדרישה החוקית לפני העיבוד, אלא אם הדין אוסר על מסירת הודעה זו מטעמים חשובים של אינטרס ציבורי.

4.2 Maildroppa משתמשת במידע האישי של הלקוח רק כדי לספק את השירות המוסכם, לאבטח אותו, לתמוך בו ולהביאו לסיום, וכדי לבצע הוראות חוקיות. מכירה, פרסום עבור צדדים שלישיים ויצירת רשימת נמענים של צד אחר אסורים.

4.3 אם Maildroppa סבורה שהוראה מפרה את דיני הגנת המידע, היא מודיעה ללקוח ללא דיחוי בלתי מוצדק ורשאית להשעות את ביצוע ההוראה הנוגעת בדבר עד לאישורה, לשינויה או להבהרתה בידי הגוף המוסמך. הצדדים משתפים פעולה בתום לב למציאת חלופה חוקית.

4.4 רק אנשי צוות הזקוקים לגישה לצורך מילוי תפקידם רשאים לגשת למידע האישי של הלקוח. לפני מתן הגישה, אנשים אלה מחויבים בסודיות או בחובה מתאימה על פי דין ומקבלים הנחיות בנושאי פרטיות ואבטחה.

5. אמצעים טכניים וארגוניים

5.1 Maildroppa מיישמת את האמצעים המפורטים בנספח 2 בהתאם לסעיפים 28(3)(c) ו-32 ל-GDPR. אמצעים אלה מביאים בחשבון את מצב הטכנולוגיה, עלויות היישום, האופי, ההיקף, ההקשר והמטרות של העיבוד, וכן את הסתברות הסיכון וחומרתו.

5.2 Maildroppa רשאית לפתח אמצעים מסוימים או להחליפם באמצעי בקרה שווי ערך או יעילים יותר. אין להפחית באופן מהותי את רמת ההגנה הכוללת המוסכמת. הודעה על שינויים מהותיים לרעה תימסר מראש, אלא אם נדרשת פעולה מיידית כדי להתמודד עם סיכון חמור ודחוף.

5.3 אבטחה היא אחריות משותפת. Maildroppa אינה אחראית לסיכונים הנובעים אך ורק מתוכן לקוח בלתי חוקי, ממכשירי לקוח שאינם מאובטחים, משיתוף פרטי הזדהות, מהגדרה שגויה של אינטגרציות הלקוח או מהוראות הלקוח. אין בכך כדי לגרוע מחובותיה של Maildroppa עצמה על פי דין ועל פי חוזה.

6. סיוע במימוש זכויות נושאי מידע

6.1 בהתחשב באופי העיבוד, Maildroppa מסייעת ללקוח באמצעות אמצעים טכניים וארגוניים מתאימים בטיפול בבקשות לפי פרק III ל-GDPR, לרבות גישה, תיקון, מחיקה, הגבלת עיבוד, ניידות מידע, התנגדות לעיבוד ומידע בנוגע להחלטות אוטומטיות.

6.2 כאשר המידע המבוקש זמין באמצעות פונקציות המוצר, הלקוח מטפל בבקשה בעצמו. לצורך סיוע נוסף ומידתי, Maildroppa מספקת מידע זמין או מתקנת, מייצאת, מגבילה עיבוד או מוחקת מידע בהתאם להוראה מתועדת.

6.3 אם Maildroppa מקבלת בקשה של נושא מידע שניתן לזהות כי היא נוגעת למידע האישי של הלקוח, היא מודיעה ללקוח ללא דיחוי בלתי מוצדק ואינה משיבה לגופה של הבקשה, אלא לפי הוראת הלקוח או כנדרש על פי דין. Maildroppa רשאית להודיע לנושא המידע כי הבקשה הועברה לבעל השליטה במידע.

6.4 הלקוח שולח רק מידע הנחוץ לאיתור המידע הנוגע לבקשה ולמילויה באופן מאובטח. Maildroppa רשאית לגבות עלויות סבירות, שעליהן נמסרה הודעה מראש, עבור סיוע מופרז בעליל, חוזר או לא שגרתי, ככל שסעיף 28 ל-GDPR מתיר זאת.

7. עמידה בדרישות הדין, תסקירי השפעה ורשויות

7.1 בהתחשב באופי העיבוד ובמידע הזמין, Maildroppa מסייעת ללקוח בקיום סעיפים 32 עד 36 ל-GDPR, לרבות אבטחה, דיווח על הפרת אבטחת מידע ומסירת הודעות עליה, תסקירי השפעה על הגנת המידע והתייעצות מוקדמת.

7.2 לפי בקשה סבירה, Maildroppa מספקת מידע על השירות, זרימות המידע, האמצעים, מעבדי המשנה והסיכונים הידועים, הדרוש לתסקיר ההשפעה של הלקוח, ככל שמידע זה אינו זמין כבר במסמכים או בחשבון.

7.3 אם Maildroppa מקבלת דרישה מחייבת מרשות או מבית משפט למסירת המידע האישי של הלקוח, היא מודיעה ללקוח לפני הגילוי, ככל שהדין מתיר זאת. Maildroppa בוחנת את הסמכות ואת היקף הדרישה, מגלה רק את הנדרש על פי דין ומתעדת את העניין.

8. הפרות אבטחת מידע אישי

8.1 Maildroppa מודיעה ללקוח ללא דיחוי בלתי מוצדק לאחר שנודע לה על הפרת אבטחת מידע אישי המשפיעה על המידע האישי של הלקוח. מידע ראשוני עשוי להימסר בשלבים, ומסירתו לא תעוכב עד להשלמת החקירה.

8.2 ככל שהמידע זמין, ההודעה כוללת:

• אופי ההפרה, לרבות קטגוריות ומספרים משוערים של האנשים והרשומות שנפגעו;
• השלכות צפויות;
• אמצעים שננקטו או הוצעו לבלימת ההפרה ולתיקונה;
• מועד ההפרה או התקופה שבה התרחשה ומצב החקירה העדכני;
• גורם לפנייה בשאלות.

8.3 Maildroppa נוקטת בהקדם צעדים סבירים לבלימה, לשימור ראיות, לבירור סיבת השורש ולתיקון, מתעדת את ההפרה ומספקת מידע זמין לצורך קיום חובות הלקוח לפי סעיפים 33 ו-34 ל-GDPR.

8.4 הלקוח נותר אחראי להערכה ולכל דיווח לרשות הפיקוח בתוך 72 שעות מהמועד שבו נודע לו עצמו על ההפרה, וכן לכל הודעה לנושאי המידע. הודעה מטעם Maildroppa אינה מהווה הודאה בהפרת חובה או בחבות.

8.5 הלקוח מודיע ל-Maildroppa בהקדם על אירועי אבטחה בסביבתו העלולים להשפיע על המידע האישי של הלקוח או על השירות, ומשתף פעולה בצמצום השפעותיהם.

9. מעבדי משנה

9.1 הלקוח מעניק הרשאה כללית בכתב לשימוש במעבדי המשנה המפורטים בנספח 3. Maildroppa נותרת אחראית כלפי הלקוח לקיום חובותיו של מעבד משנה לפי סעיף 28(4) ל-GDPR.

9.2 Maildroppa מחייבת כל מעבד משנה בחוזה לרמת הגנת מידע זהה בעיקרה ביחס לשירות הרלוונטי, לרבות הוראות, סודיות, אבטחה, סיוע, מחיקה וזכויות ביקורת.

9.3 ככלל, Maildroppa שולחת הודעה מוקדמת של לפחות 30 ימים לפני הוספה או החלפה של מעבד משנה לכתובת הדוא״ל העסקית השמורה בחשבון, ומפרסמת את השינוי בציון תאריך ברשימת מעבדי המשנה. תקופה קצרה יותר עשויה לחול בשל צורכי אבטחה או זמינות דחופים; Maildroppa מסבירה את הסיבה ומוסרת הודעה מוקדם ככל האפשר.

9.4 הלקוח רשאי להתנגד במהלך תקופת ההודעה המוקדמת מטעמים מסוימים ומבוססים הנוגעים להגנה על מידע. הצדדים פועלים למציאת פתרון סביר, כגון שינוי תצורה. אם אין פתרון אפשרי וההתנגדות מוצדקת, הלקוח רשאי לסיים את ההסכם הראשי מטעם מוצדק, ללא חיוב נוסף, לפני תחילת השימוש במעבד המשנה החדש. התנגדויות מטעמים מסחריים או תחרותיים בלבד אינן מספיקות.

9.5 שירותים שאינם מעבדים מידע אישי של הלקוח, וכן נמעני מידע או אינטגרציות שהלקוח מחבר לפי הוראותיו, אינם מעבדי משנה של Maildroppa. בכלל זה נכלל שירות שהלקוח מתחבר אליו ומתקשר עמו באמצעות חשבון צד שלישי משלו.

10. העברות בינלאומיות

10.1 Maildroppa מעבירה מידע אישי של הלקוח אל מחוץ לאזור הכלכלי האירופי רק על פי הוראות מתועדות ובהתאם לפרק V לתקנה הכללית להגנה על מידע (GDPR).

10.2 כאשר אין החלטת נאותות חלה, Maildroppa מתקשרת עם יבואן המידע על בסיס הסעיפים החוזיים הסטנדרטיים של הנציבות האירופית בנוסחם העדכני באותה עת. ככלל, מודול 2 חל כאשר הלקוח הוא בעל שליטה במידע, ומודול 3 חל כאשר הלקוח הוא מעבד מידע. הסכם עיבוד מידע זה (DPA) ונספחיו משלימים את נספחי ה-SCC המתאימים.

10.3 כאשר לספק יש הסמכה תקפה במסגרת הגנת פרטיות המידע בין האיחוד האירופי לארצות הברית (EU-US Data Privacy Framework) ביחס למידע הרלוונטי, ניתן להסתמך על החלטת הנאותות. Maildroppa בודקת את ההסמכה הרלוונטית במרווחי זמן סבירים ומקיימת מנגנון חלופי כאשר הדבר נדרש להמשך ההעברה.

10.4 Maildroppa מתעדת הערכת השפעה של ההעברה כאשר הדבר נדרש, ונוקטת אמצעים טכניים, חוזיים או ארגוניים משלימים, המתאימים לדין הרלוונטי, לאפשרות הגישה ולסיכון למידע. הלקוח מספק את המידע הדרוש להערכת הוראותיו שלו.

11. השבה ומחיקה

11.1 במהלך תקופת ההסכם, הלקוח רשאי להשתמש בפונקציות הייצוא והמחיקה הזמינות. לפני סיום החוזה, הלקוח רשאי לבקש את השבת המידע האישי של הלקוח המשמש לתפעול, בפורמט זמין, מקובל וקריא למכונה.

11.2 לאחר סיום השירותים, Maildroppa מוחקת את כל המידע האישי של הלקוח ואת עותקיו ללא דיחוי בלתי מוצדק, אלא אם הלקוח ביקש קודם לכן את השבתו או שדין האיחוד האירופי או דין של מדינה חברה מחייב את שמירתו. המחיקה מתחילה לאחר השלמת כל השבה שהוסכם עליה. לפי בקשה, Maildroppa מאשרת את המחיקה בצורה טקסטואלית.

11.3 מידע שנותר בגיבויים שהגישה אליהם מוגבלת אינו משמש למטרות חדשות בסביבת הייצור, והוא נדרס בהתאם למחזור הגיבוי השגרתי המתועד. עד אז, הגישה השגרתית אליו נותרת חסומה. אם נעשה שימוש בגיבוי לצורך שחזור, Maildroppa מחילה מחדש בהקדם את הרשומות בדבר מחיקה, התנגדות והגבלה שטרם יושמו.

11.4 מידע הנשמר מכוח דין, וכן מידע מזערי הנחוץ באופן הכרחי לאבטחה, למניעת שימוש לרעה או לכיבוד קבוע של הסרות מרשימת התפוצה, מופרדים מיתר המידע, הגישה אליהם מוגבלת והם משמשים אך ורק לאותה מטרה, ולאחר מכן נמחקים כשאין בהם עוד צורך. Maildroppa מציינת בפני הלקוח את קטגוריית המידע ואת הבסיס המשפטי, ככל שאלה טרם תועדו.

12. מידע וביקורות

12.1 Maildroppa מספקת את המידע הנחוץ להוכחת עמידה בסעיף 28 ל-GDPR ובהסכם עיבוד מידע זה (DPA). מידע זה עשוי לכלול אמצעים טכניים וארגוניים עדכניים (TOMs), מידע על מעבדי משנה והעברות, הסמכות מתאימות, דוחות ביקורת, שאלונים ואישורי מחיקה.

12.2 אם אין בחומרים אלה כדי לתת מענה לסיכון מבוסס, הלקוח או מבקר עצמאי בעל הכישורים המתאימים, המחויב לסודיות, רשאים לערוך ביקורת. ככלל, ביקורות נערכות לא יותר מפעם אחת בשנים עשר חודשים, בהודעה מוקדמת של לפחות 30 ימים, בשעות העבודה הרגילות וללא הפרעה שניתן למנוע ללקוחות אחרים או לאבטחה.

12.3 ניתן לערוך ביקורת נוספת או ביקורת בהודעה מוקדמת קצרה יותר כאשר הדבר מוצדק בשל הפרת אבטחת מידע אישי, חשש מהותי מסוים או הנחיה של רשות פיקוח. Maildroppa רשאית להעמיד חומר אבטחה רגיש במיוחד לעיון באמצעות דוח מתאים של צד שלישי, ולהגביל גישה למידע של לקוחות אחרים, לקוד מקור, לחולשות אבטחה או לסודות מסחריים, אם עדיין ניתן להשיג את מטרת הביקורת.

12.4 כל צד נושא בעלויותיו שלו. כאשר ביקורת כרוכה בעבודה משמעותית מעבר לחובות על פי דין, או שאינה מגלה אי-עמידה מהותית מצד Maildroppa, Maildroppa רשאית לגבות עלויות סבירות שהוסכם עליהן מראש. אם הביקורת מגלה אי-עמידה מהותית מצד Maildroppa, Maildroppa נושאת בעלויות הביקורת הסבירות ומתקנת את הליקוי ללא דיחוי בלתי מוצדק.

12.5 Maildroppa מנהלת רשומות של קטגוריות פעולות העיבוד לפי סעיף 30(2) ל-GDPR ומשתפת פעולה עם רשות הפיקוח המוסמכת לפי בקשתה.

13. אחריות

13.1 האחריות בין הצדדים כפופה לסעיף 82 ל-GDPR, להוראות קוגנטיות אחרות של דיני הגנת המידע ולהוראות האחריות התקפות של ההסכם הראשי. אין בהסכם עיבוד מידע זה (DPA) כדי להגביל את זכויות נושאי המידע או את סמכויות רשויות הפיקוח.

13.2 ביחסים שבין הצדדים, כל צד אחראי לנזק ולעלות במידה שנגרמו עקב הפרה באשמתו של הסכם עיבוד מידע זה (DPA), של חובה על פי דין או של אחריות המוטלת עליו כדין. זכויות החזרה על פי דין נותרות ללא פגיעה.

14. סיום עקב הפרה בתחום הגנת המידע

14.1 אם Maildroppa מפרה הפרה מהותית את הסכם עיבוד מידע זה (DPA), הלקוח רשאי להשעות את העיבוד המושפע עד לתיקון ההפרה. אם Maildroppa אינה מתקנת הפרה מהותית בתוך פרק זמן סביר, או שלא ניתן לתקנה, הלקוח רשאי לסיים את השירות המושפע מטעם מוצדק.

14.2 Maildroppa רשאית להשעות את ביצועה של הוראה בלתי חוקית לפי סעיף 4.3. אם לא ניתן למצוא חלופה חוקית והמשך העיבוד יפר את דיני הגנת המידע, Maildroppa רשאית לסיים את העיבוד המושפע. חובות ההשבה, המחיקה וההוכחה נותרות בתוקף.

15. הוראות סופיות

15.1 שינויים מוסכמים בצורה טקסטואלית או משולבים באמצעות הליך אלקטרוני שניתן להוכיחו. ניתן לעדכן את הנספחים כדי לשקף את העיבוד בפועל, ובלבד שרמת ההגנה הכוללת אינה מופחתת באופן מהותי ונשמרות הזכויות להודעה ולהתנגדות לפי הסכם עיבוד המידע (DPA).

15.2 אם הוראה כלשהי אינה תקפה, יתר ההוראות נותרות בתוקף והוראות הדין באות במקומה.

15.3 הדין הגרמני והוראת מקום השיפוט שבהסכם הראשי חלים ככל שהוראות קוגנטיות של דיני הגנת המידע אינן מחייבות אחרת.

15.4 גרסה זו באנגלית ניתנת מטעמי נוחות. במקרה של סתירה בינה לבין הגרסה בגרמנית, הגרסה בגרמנית גוברת, אלא אם דין קוגנטי מחייב אחרת.

נספח 1 – תיאור העיבוד

1. נושא ומטרה

אספקת שירות Maildroppa מבוסס הענן לשיווק בדוא״ל המבוסס על הרשאה, לרבות ניהול אנשי קשר ורשימות, טפסים ו-Signup Flows, קמפיינים, תבניות, אוטומציות, שליחה, דוחות מסירה ואינטראקציה, קבצים, אינטגרציות, ייצוא, תמיכה, אבטחה, גיבוי ומחיקה בהתאם לחוזה.

2. משך

תקופת ההסכם הראשי בתוספת תקופת ההשבה, המחיקה ופקיעת תוקף הגיבויים שבסעיף 11.

3. אופי העיבוד

איסוף באמצעות טופסי הלקוח, רישום, ארגון, הבניה, אחסון, התאמה, פילוח, הצלבה, אחזור, הצגה, ייבוא, ייצוא, העברה, שליחה, תיעוד ביומנים, ניתוח, הגבלה, גיבוי ומחיקה לפי הוראות הלקוח.

4. קטגוריות של נושאי מידע

• מנויים, לקוחות פוטנציאליים, לידים, לקוחות ואנשי קשר עסקיים אחרים של הלקוח;
• מבקרים בטפסים ובדפי נחיתה של הלקוח ואנשים השולחים מידע באמצעותם;
• נמעני קמפיינים, אוטומציות והודעות תפעוליות של הלקוח;
• אנשים אחרים שהלקוח מוסר את המידע עליהם לשירות כדין.

5. קטגוריות של מידע אישי

• פרטי זיהוי וקשר: שם, כתובת דוא״ל ופרטי קשר עסקיים שהלקוח מזין;
• שדות פרופיל, תגיות, פלחים, רשימות ושיוכים לקהלים שהלקוח מגדיר;
• מידע על הסכמה, מקור וראיות: מקור ההרשמה, הטופס, נוסח ההסכמה, חותמות זמן, סטטוס אישור וסטטוס הסרה מרשימת התפוצה, ומטא-נתונים של IP/דפדפן כאשר האפשרות מופעלת והדבר מותר על פי דין;
• נתונים טכניים של טפסים ונתונים הנוגעים לשימוש לרעה: ממדי מסך, גרסת דפדפן ומערכת הפעלה, מזהה מכשיר נגזר, נתוני IP/בקשות ומועד ההצגה האחרונה של חלון קופץ הנשמר בדפדפן כאשר הלקוח מטמיע את רכיב טעינת הטופס בהתאם;
• תוכן של קמפיינים, טפסים, אוטומציות, תבניות והודעות;
• נתוני מסירה ואינטראקציה: סטטוס מסירה, אירועי פתיחה ולחיצה כאשר האפשרות מופעלת והדבר מותר על פי דין, הודעות שחזרו, תלונות, הסרות מרשימת התפוצה וחסימות משלוח;
• נתונים טכניים: כתובת IP, מידע על מכשיר, דפדפן, בקשות, אבטחה, יומנים ושגיאות;
• קבצים, קבצים מצורפים ותוכן שהלקוח מעלה;
• מידע על אינטגרציות, ייבוא, ייצוא ותמיכה, לרבות מזהי צד שלישי שהלקוח מוסר.

6. מידע מיוחד

עיבוד קטגוריות מיוחדות של מידע לפי סעיף 9 ומידע על הרשעות פליליות לפי סעיף 10 אינו חלק מהשירות, והוא אסור אלא אם הוסכם עליו במפורש מראש בצורה טקסטואלית, למטרה מסוימת ותוך נקיטת אמצעי הגנה נוספים.

7. תדירות והיקף

באופן רציף, בהיקף הנקבע לפי השימוש, התצורה, הנמענים, תוכנית המנוי וההוראות של הלקוח.

8. זכויות הלקוח וחובותיו

זכויות הלקוח וחובותיו נובעות מהסכם עיבוד מידע זה (DPA), מההסכם הראשי ומדיני הגנת המידע. הלקוח קובע, בפרט, את המטרות, הבסיסים המשפטיים, קטגוריות המידע, נמעני המידע, התצורה, תקופות השמירה והמענה למימוש זכויות נושאי המידע.

נספח 2 – אמצעים טכניים וארגוניים

Maildroppa מקיימת את האמצעים הבאים ביחס למידע האישי של הלקוח. אופן יישומם עשוי להתפתח בהתאם לרמת הטכנולוגיה העדכנית, מבלי להפחית באופן מהותי את רמת ההגנה הכוללת.

1. ארגון וממשל

• תחומי אחריות מתועדים בנושאי פרטיות, אבטחה ואירועים;
• חובות סודיות לאנשי צוות מורשים;
• הנחיות פרטיות ואבטחה המותאמות לתפקיד ולמשימה;
• הענקה, שינוי וביטול מבוקרים של הרשאות גישה פנימיות;
• בדיקה מתועדת של ספקים וחוזי עיבוד מידע נדרשים;
• נהלים לבקשות של נושאי מידע, להוראות, למחיקה ולדרישות של רשויות.

2. אימות ובקרת גישה

• חשבונות מאומתים באמצעות Auth0/Okta וממשקי מוצר וניהול שהגישה אליהם מוגבלת לפי תפקיד;
• הרשאות גישה פנימיות אישיות על בסיס צורך ועקרון ההרשאה המזערית;
• הגנה על גישה בעלת הרשאות מיוחדות ועל סודות טכניים; Maildroppa אינה שומרת סיסמאות בטקסט גלוי;
• תיעוד ביומנים של אירועי חשבון וניהול הרלוונטיים לאבטחה;
• בחינת הרשאות גישה על בסיס אירועים וסיכונים וביטול מהיר של הרשאות שאינן נדרשות עוד.

3. אבטחת העברה ותקשורת

• העברה מוצפנת באמצעות חיבורי HTTPS/TLS עדכניים;
• ממשקי API ו-webhooks מוגנים באמצעות אימות או שיטות חתימה/סוד, כאשר מנגנונים אלה מסופקים;
• בדיקות דומיין ושולח ותמיכה בשיטות מקובלות לאימות דוא״ל;
• הגנה מפני בקשות המהוות שימוש לרעה באמצעות בקרות פרוקסי, רשת, הגבלת קצב ואבטחה.

4. הפרדה בין לקוחות ובין מטרות

• שיוך לוגי של מידע והרשאות גישה לחשבונות הלקוח;
• בדיקת הרשאות בצד השרת למשאבי החשבון;
• הפרדת תפקידים ומטרות בין תפעול, תמיכה, חיוב ועיבוד עבור הלקוח;
• אי-שימוש במידע אישי של הלקוח לצורכי פרסום של צדדים שלישיים או מסחר ברשימות.

5. זמינות, חוסן והתאוששות

• הפעלת יישום הליבה על גבי תשתית מבוקרת בגרמניה ואחסון ראשי של נתונים באחסון אובייקטים באיחוד האירופי;
• אמצעי הגנה מפני מתקפות רשת ועומס שמקורו בשימוש לרעה;
• ניטור השירות, איסוף נתוני שגיאות והסלמה מבוקרת של הטיפול;
• גיבויים שהגישה אליהם מוגבלת, לפי לוח זמנים מתועד;
• נהלי התאוששות מבוקרים;
• החלה מחדש לאחר שחזור של הרשומות בדבר מחיקה והגבלה שטרם יושמו.

6. שלמות המידע ועיבוד מאובטח

• בדיקות טכניות של סוג, גודל והרשאות גישה לקבצים מועלים מהסוגים הנתמכים;
• פריסה מבוקרת של תוכנה וטיפול בתלויות ובחולשות אבטחה;
• תיעוד שגיאות ואירועי אבטחה ביומנים תוך צמצום מידע;
• אמצעי הגנה מפני שינוי בלתי מורשה באמצעות בקרת גישה;
• עיבוד של הודעות שחזרו, תלונות, הסרות מרשימת התפוצה וחסימות משלוח תוך קיום אחריותיות.

7. הגנה על מידע כבר משלב התכנון

• שדות החובה והעיבוד מוגבלים לנדרש למטרה; ניתן להגדיר שדות נוספים של הלקוח;
• פונקציות ייצוא, תיקון, מחיקה וחסימת משלוח תומכות בתהליכים הנוגעים לנושאי מידע;
• תהליכי הסכמה והרשמה יכולים לתעד טקסט, מקור וחותמות זמן רלוונטיות;
• מדידת פתיחות ולחיצות מוצגת כאפשרות הגדרה שקופה במקומות שבהם הפונקציה חלה;
• נתוני אבחון וניתוח עוברים פסאודונימיזציה או צמצום ככל האפשר.

8. מחיקה ושמירה

• תהליכי מחיקה במערכות התפעוליות עבור אנשי קשר, קמפיינים, אוטומציות, טפסים, קבצים ומידע נלווה של הלקוח;
• הפרדת רשומות חיוב הנדרשות על פי דין ממידע הלקוח המשמש לתפעול;
• מידע מצומצם לצורכי חסימת משלוח ואבטחה המשמש אך ורק למטרת ההגנה שלשמה הוא מוחזק;
• מחיקה מהמערכות התפעוליות ללא דיחוי בלתי מוצדק לאחר סיום השירות והשלמת כל השבה שהוסכם עליה; פקיעת תוקף הגיבויים בהתאם למחזור הגיבוי המתועד;
• תיעוד השבה או מחיקה לפי בקשה.

9. ניהול אירועים ובחינה

• תהליך מתועד של גילוי, סיווג, הכלה, חקירה, תיקון ובחינה;
• הודעה ללקוח ללא דיחוי בלתי מוצדק לאחר שנודע על הפרת אבטחה המשפיעה על מידע אישי של הלקוח;
• תיעוד ציר הזמן, המערכות והמידע שהושפעו, האמצעים שננקטו והמידע הזמין על ההשפעות;
• שימור ראיות תוך הגבלת גישה;
• בחינה תקופתית של יעילות האמצעים והתאמתם על בסיס סיכון.

נספח 3 – מעבדי משנה מורשים והעברות

הרשימה הבאה חלה על הפונקציות הרלוונטיות; לא כל ספק מעבד את אותו מידע עבור כל לקוח. Maildroppa מאמתת את הישות המשפטית, האזור ומנגנון ההעברה מול החוזה בפועל לפני השימוש הראשון ולאחר שינוי מהותי.

Auth0/Okta נכללת בנספח זה רק במידה שהיא מעבדת את המידע האישי של הלקוח כמעבד משנה בזרימת מידע מסוימת. עיבוד נתוני משתמשי החשבון בידי Maildroppa כבעלת השליטה במידע לצרכיה שלה בנוגע לחוזה, לחשבון ולאימות כפוף להודעת הפרטיות ואינו נכלל בהסכם עיבוד מידע זה (DPA).

הודעות על שינויים

Maildroppa מודיעה ללקוחות באמצעות כתובת הדוא״ל העסקית השמורה בחשבון ומפרסמת גרסה מתוארכת של רשימה זו. ההודעה מציינת את הספק, המטרה, המיקום, המנגנון ומועד ההתחלה המתוכנן. הליך ההתנגדות כפוף לסעיף 9.

אינטגרציות לפי הנחיית הלקוח

Zapier, Make ושירותים אחרים שהלקוח מחבר אינם נחשבים אוטומטית למעבדי משנה של Maildroppa. כאשר Maildroppa מעבירה מידע לאינטגרציה כזו לפי הוראת הלקוח, הלקוח אחראי לבחירת הנמען, להרשאה, להודעות הפרטיות, לחוזים ולמנגנוני ההעברה הבינלאומית.