Vinnslusamningur

Síðast uppfært: 4 september 2026 · Útgáfa 1.0

Þessi vinnslusamningur („DPA“) er hluti af Samningnum um Maildroppa. Hann gildir þegar Maildroppa vinnur persónuupplýsingar fyrir hönd Viðskiptavinar.

Aðilar

Ábyrgðaraðili („Viðskiptavinur“): sá einstaklingur eða lögaðili sem tilgreindur er sem Viðskiptavinur í Pöntuninni eða á Maildroppa-reikningnum, þar á meðal Tengdur aðili Viðskiptavinar sem hefur með gildum hætti verið felldur undir Samninginn, þegar sá aðili er ábyrgðaraðili Persónuupplýsinga Viðskiptavinar.

Vinnsluaðili („Maildroppa“):

Marcus Biel, sem stundar rekstur undir heitinu „Maildroppa“
Dr.-Peter-Hecker-Str. 4b
82031 Grünwald
Germany
Samskipti: samskiptaeyðublað

Viðskiptavinur og Maildroppa nefnast sameiginlega „Aðilarnir“.

1. Gildissvið, gildistími og forgangur

1.1 Þessi DPA gildir um vinnslu Maildroppa á persónuupplýsingum fyrir hönd Viðskiptavinar í tengslum við þjónustuna („Persónuupplýsingar Viðskiptavinar“). Viðfangsefni, eðli, tilgangi, flokkum skráðra einstaklinga og tegundum upplýsinga er lýst í Viðauka 1.

1.2 DPA tekur gildi þegar Viðskiptavinur samþykkir Skilmálana, Pöntun sem felur hann í sér eða sérstaka rafræna staðfestingu. Hann gildir út gildistíma Samningsins og svo lengi sem Maildroppa vinnur Persónuupplýsingar Viðskiptavinar.

1.3 Þessi DPA hefur forgang gagnvart aðal-Samningnum að því er varðar vinnslu fyrir hönd Viðskiptavinar. Ófrávíkjanleg ákvæði persónuverndarlöggjafar hafa ávallt forgang.

1.4 Þegar Maildroppa vinnur upplýsingar í eigin tilgangi — meðal annars vegna samninga og reikningagerðar, eigin öryggisráðstafana fyrir notandareikninga, verndar vettvangsins og sendingarinnviða, varna gegn misnotkun og lagaskyldna — kann Maildroppa að vera sjálfstæður ábyrgðaraðili. Um slíka vinnslu gildir Persónuverndaryfirlýsingin, en ekki þessi DPA. Maildroppa mun ekki nýta hlutverk sitt sem vinnsluaðili til að nota Persónuupplýsingar Viðskiptavinar í auglýsingaskyni fyrir Maildroppa.

2. Skilgreiningar og gildandi lög

2.1 „Persónuupplýsingar“, „vinnsla“, „ábyrgðaraðili“, „vinnsluaðili“, „skráður einstaklingur“, „öryggisbrestur við meðferð persónuupplýsinga“ og „eftirlitsyfirvald“ hafa þá merkingu sem þeim er gefin í almennu persónuverndarreglugerðinni (GDPR).

2.2 „Persónuverndarlöggjöf“ merkir GDPR, þýsku alríkislögin um persónuvernd og aðra persónuverndarlöggjöf sem gildir um viðkomandi vinnslu.

2.3 Ef Viðskiptavinur er sjálfur vinnsluaðili fyrir annan ábyrgðaraðila gegnir Maildroppa hlutverki undirvinnsluaðila. Viðskiptavinur ábyrgist að hann hafi heimild til að gefa Maildroppa fyrirmæli og fela því vinnslu og mun veita Maildroppa aðgang að upplýsingum og réttindum ábyrgðaraðilans að því marki sem nauðsynlegt er til að efna þennan DPA.

3. Ábyrgð Viðskiptavinar og fyrirmæli

3.1 Viðskiptavinur ber ábyrgð á lögmæti vinnslunnar, réttindum skráðra einstaklinga, áreiðanleika og nauðsyn upplýsinganna og fyrirmælum sínum. Viðskiptavinur tryggir einkum viðeigandi lagagrundvöll, upplýsingagjöf, samþykki þar sem þess er krafist, ákvarðanir um varðveislu og eyðingu og að viðtakendur hafi lögmæta heimild til móttöku.

3.2 Skjalfest fyrirmæli felast í aðal-Samningnum, þessum DPA, stillingum Viðskiptavinar og notkun hans á þjónustunni og viðbótarfyrirmælum á textaformi. Fyrirmæli mega ekki breyta í grundvallaratriðum eðli, tilgangi eða umfangi hinnar umsömdu þjónustu. Viðbótarfyrirmæli kunna að krefjast sérstaks samnings og sanngjarns gjalds.

3.3 Viðskiptavini er óheimilt að vinna í Maildroppa sérstaka flokka persónuupplýsinga samkvæmt 9. gr. GDPR, upplýsingar um sakfellingar í refsimálum og refsiverð brot samkvæmt 10. gr. GDPR, fullnaðarupplýsingar um greiðslumiðla, opinber leyndarmál eða aðrar upplýsingar sem njóta sérstakrar verndar, nema Maildroppa samþykki sérstaklega fyrirfram á textaformi hinn tiltekna tilgang og verndarráðstafanir.

3.4 Viðskiptavinur stillir tiltækar aðgerðir fyrir hlutverk, útflutning, eyðingu, samþykki, rakningu og samþættingar með viðeigandi hætti miðað við áhættu og verndar notandareikninga, lén, API-lykla og aðgangsupplýsingar.

4. Vinnsla aðeins samkvæmt skjalfestum fyrirmælum

4.1 Maildroppa vinnur Persónuupplýsingar Viðskiptavinar aðeins samkvæmt skjalfestum fyrirmælum Viðskiptavinar, einnig þegar um er að ræða flutning til þriðja lands, nema lög Sambandsins eða aðildarríkis krefjist vinnslunnar. Í því tilviki upplýsir Maildroppa Viðskiptavin um lagaskylduna áður en vinnsla hefst, nema lögin banni slíka upplýsingagjöf vegna mikilvægra almannahagsmuna.

4.2 Maildroppa notar Persónuupplýsingar Viðskiptavinar eingöngu til að veita, tryggja öryggi, styðja við og ljúka hinni umsömdu þjónustu og framfylgja lögmætum fyrirmælum. Sala, auglýsingar fyrir þriðja aðila og gerð viðtakendalista annars aðila eru bönnuð.

4.3 Telji Maildroppa að fyrirmæli brjóti gegn Persónuverndarlöggjöf upplýsir það Viðskiptavin án ótilhlýðilegrar tafar og getur frestað framkvæmd viðkomandi fyrirmæla þar til þar til bær aðili hefur staðfest þau, breytt þeim eða skýrt þau. Aðilarnir vinna saman í góðri trú að lögmætum valkosti.

4.4 Aðeins starfsfólk sem þarf aðgang vegna starfa sinna má fá aðgang að Persónuupplýsingum Viðskiptavinar. Áður en aðgangur er veittur er þetta starfsfólk bundið trúnaðarskyldu eða viðeigandi lögbundinni þagnarskyldu og fær fyrirmæli um persónuvernd og öryggi.

5. Tæknilegar og skipulagslegar ráðstafanir

5.1 Maildroppa framkvæmir ráðstafanirnar í Viðauka 2 samkvæmt 28(3)(c) og 32. gr. GDPR. Ráðstafanirnar taka mið af nýjustu tækni, kostnaði við framkvæmd, eðli, umfangi, samhengi og tilgangi vinnslunnar, svo og líkum á áhættu og alvarleika hennar.

5.2 Maildroppa getur þróað einstakar ráðstafanir eða skipt þeim út fyrir jafngild eða skilvirkari úrræði. Ekki má draga verulega úr heildarverndarstigi sem samið hefur verið um. Tilkynnt er fyrirfram um verulegar breytingar til hins verra, nema tafarlausar aðgerðir séu nauðsynlegar til að bregðast við bráðri áhættu.

5.3 Öryggi er sameiginleg ábyrgð. Maildroppa ber ekki ábyrgð á áhættu sem stafar eingöngu af ólögmætu Efni Viðskiptavinar, óöruggum tækjum Viðskiptavinar, samnýttum aðgangsupplýsingum, rangt stilltum samþættingum Viðskiptavinar eða fyrirmælum Viðskiptavinar. Þetta hefur ekki áhrif á eigin laga- og samningsskyldur Maildroppa.

6. Aðstoð við að framfylgja réttindum skráðra einstaklinga

6.1 Að teknu tilliti til eðlis vinnslunnar aðstoðar Maildroppa Viðskiptavin með viðeigandi tæknilegum og skipulagslegum ráðstöfunum við beiðnir samkvæmt III. kafla GDPR, þar á meðal um aðgang, leiðréttingu, eyðingu, takmörkun vinnslu, flutning eigin gagna, andmæli og upplýsingar um sjálfvirkar ákvarðanir.

6.2 Þegar umbeðnar upplýsingar eru aðgengilegar með aðgerðum þjónustunnar afgreiðir Viðskiptavinur beiðnina sjálfur. Til að veita frekari aðstoð sem samræmist meðalhófi veitir Maildroppa tiltækar upplýsingar eða leiðréttir, flytur út, takmarkar vinnslu eða eyðir upplýsingum samkvæmt skjalfestum fyrirmælum.

6.3 Berist Maildroppa beiðni frá skráðum einstaklingi sem sjáanlega varðar Persónuupplýsingar Viðskiptavinar upplýsir það Viðskiptavin án ótilhlýðilegrar tafar og svarar ekki efnislega nema samkvæmt fyrirmælum Viðskiptavinar eða ef lög krefjast þess. Maildroppa má upplýsa hinn skráða um að beiðnin hafi verið áframsend ábyrgðaraðilanum.

6.4 Viðskiptavinur sendir aðeins þær upplýsingar sem þarf til að finna viðkomandi gögn og verða við beiðninni með öruggum hætti. Maildroppa getur innheimt sanngjarnan kostnað, sem tilkynnt hefur verið um fyrirfram, vegna aðstoðar sem er augljóslega óhófleg, endurtekin eða utan hefðbundins umfangs, að því marki sem 28. gr. GDPR heimilar.

7. Reglufylgni, mat á áhrifum og yfirvöld

7.1 Að teknu tilliti til eðlis vinnslunnar og tiltækra upplýsinga aðstoðar Maildroppa Viðskiptavin við að uppfylla ákvæði 32. til 36. gr. GDPR, þar á meðal um öryggi, tilkynningar og upplýsingagjöf um öryggisbresti, mat á áhrifum á persónuvernd og fyrirframsamráð.

7.2 Að fenginni sanngjarnri beiðni veitir Maildroppa upplýsingar um þjónustuna, gagnaflæði, ráðstafanir, undirvinnsluaðila og þekkta áhættu sem þörf er á vegna mats Viðskiptavinar á áhrifum, ef þær eru ekki þegar aðgengilegar í fylgigögnum eða á notandareikningnum.

7.3 Berist Maildroppa bindandi beiðni frá stjórnvaldi eða dómstóli um Persónuupplýsingar Viðskiptavinar upplýsir það Viðskiptavin áður en upplýsingarnar eru afhentar, að því marki sem lög heimila. Maildroppa metur valdheimildir og umfang, afhendir aðeins það sem lög krefjast og skráir málið.

8. Öryggisbrestir við meðferð persónuupplýsinga

8.1 Maildroppa tilkynnir Viðskiptavini án ótilhlýðilegrar tafar eftir að það verður vart við Öryggisbrest við meðferð persónuupplýsinga sem hefur áhrif á Persónuupplýsingar Viðskiptavinar. Upplýsingar kunna að vera veittar í áföngum og fyrstu upplýsingagjöf verður ekki frestað þar til rannsókn er lokið.

8.2 Að því marki sem upplýsingar liggja fyrir felur tilkynning í sér:

• eðli öryggisbrestsins, þar á meðal flokka og áætlaðan fjölda einstaklinga og færslna sem hann hefur áhrif á;
• líklegar afleiðingar;
• ráðstafanir sem hafa verið gerðar eða eru fyrirhugaðar til að takmarka brestinn og bæta úr honum;
• tímasetningu eða tímabil og núverandi stöðu rannsóknar;
• samskiptaleið fyrir fyrirspurnir.

8.3 Maildroppa gerir tafarlaust sanngjarnar ráðstafanir til að takmarka öryggisbrestinn, varðveita sönnunargögn, greina rót orsaka og bæta úr, skjalfestir brestinn og veitir tiltækar upplýsingar vegna skyldna Viðskiptavinar samkvæmt 33. og 34. gr. GDPR.

8.4 Viðskiptavinur ber áfram ábyrgð á mati og, eftir atvikum, tilkynningu til eftirlitsyfirvalds innan 72 klukkustunda frá því að hann sjálfur verður var við brestinn, svo og upplýsingagjöf til skráðra einstaklinga eftir því sem við á. Tilkynning frá Maildroppa felur ekki í sér viðurkenningu á vanrækslu skyldu eða bótaábyrgð.

8.5 Viðskiptavinur upplýsir Maildroppa tafarlaust um öryggisatvik í umhverfi Viðskiptavinar sem kunna að hafa áhrif á Persónuupplýsingar Viðskiptavinar eða þjónustuna og tekur þátt í samstarfi um að draga úr afleiðingum þeirra.

9. Undirvinnsluaðilar

9.1 Viðskiptavinur veitir almenna skriflega heimild fyrir notkun þeirra undirvinnsluaðila sem tilgreindir eru í Viðauka 3. Maildroppa ber áfram ábyrgð gagnvart Viðskiptavini á því að undirvinnsluaðili uppfylli skyldur sínar samkvæmt 28(4). gr. GDPR.

9.2 Maildroppa skuldbindur sérhvern undirvinnsluaðila með samningi til að tryggja í meginatriðum sama stig persónuverndar fyrir viðkomandi þjónustu, þar á meðal að því er varðar fyrirmæli, trúnað, öryggi, aðstoð, eyðingu og úttektarréttindi.

9.3 Maildroppa tilkynnir almennt um viðbót eða skipti á undirvinnsluaðila með að minnsta kosti 30 daga fyrirvara á það netfang fyrirtækisins sem skráð er á reikningnum og birtir dagsetta breytinguna í skránni yfir undirvinnsluaðila. Styttri fyrirvari kann að eiga við vegna brýnna öryggisþarfa eða þarfa til að tryggja aðgengi að þjónustunni; Maildroppa útskýrir ástæðuna og tilkynnir breytinguna eins fljótt og unnt er.

9.4 Viðskiptavinur má andmæla innan tilkynningarfrestsins á tilteknum, rökstuddum persónuverndarforsendum. Aðilar leitast við að finna sanngjarna lausn, svo sem breytingu á stillingum. Ef engin slík lausn er möguleg og andmælin eru réttmæt má viðskiptavinur rifta aðalsamningnum án viðbótargjalds áður en nýi undirvinnsluaðilinn er tekinn í notkun. Andmæli sem byggjast eingöngu á viðskiptalegum sjónarmiðum eða samkeppnissjónarmiðum nægja ekki.

9.5 Þjónustur sem vinna ekki persónuupplýsingar viðskiptavinar, svo og viðtakendur eða samþættingar sem viðskiptavinur tengir samkvæmt eigin fyrirmælum, eru ekki undirvinnsluaðilar Maildroppa. Þetta á meðal annars við um þjónustu sem viðskiptavinur tengir og gerir samning um í gegnum eigin reikning hjá þriðja aðila.

10. Flutningur milli landa

10.1 Maildroppa flytur persónuupplýsingar viðskiptavinar aðeins út fyrir Evrópska efnahagssvæðið samkvæmt skjalfestum fyrirmælum og í samræmi við V. kafla almennu persónuverndarreglugerðarinnar (GDPR).

10.2 Þegar engin viðeigandi ákvörðun um fullnægjandi vernd liggur fyrir gerir Maildroppa samning við innflytjanda upplýsinganna á grundvelli þeirra stöðluðu samningsákvæða framkvæmdastjórnar Evrópusambandsins sem þá eru í gildi. Eining 2 á almennt við þegar viðskiptavinur er ábyrgðaraðili og eining 3 þegar viðskiptavinur er vinnsluaðili. Þessi vinnslusamningur (DPA) og viðaukar hans fylla út samsvarandi viðauka stöðluðu samningsákvæðanna (SCC).

10.3 Ef þjónustuveitandi hefur gilda vottun samkvæmt persónuverndarrammanum milli ESB og Bandaríkjanna fyrir viðkomandi upplýsingar má byggja á ákvörðuninni um fullnægjandi vernd. Maildroppa fylgist með viðkomandi vottun með hæfilegu millibili og viðheldur öðrum flutningsgrundvelli þegar þess er þörf til að halda flutningnum áfram.

10.4 Maildroppa skjalfestir mat á áhrifum flutnings þegar þess er krafist og beitir viðbótarráðstöfunum af tæknilegum, samningsbundnum eða skipulagslegum toga sem hæfa viðeigandi lögum, möguleikum á aðgangi og áhættu sem tengist upplýsingunum. Viðskiptavinur veitir þær upplýsingar sem þarf til að meta eigin fyrirmæli hans.

11. Skil og eyðing

11.1 Á gildistíma samningsins má viðskiptavinur nota þá útflutnings- og eyðingaraðgerðir sem eru tiltækar. Áður en samningnum lýkur má viðskiptavinur óska eftir að fá persónuupplýsingar sínar sem eru í virkri notkun afhentar á tiltæku, algengu og tölvulesanlegu sniði.

11.2 Eftir að þjónustu lýkur eyðir Maildroppa öllum persónuupplýsingum viðskiptavinar og afritum þeirra án ótilhlýðilegrar tafar, nema viðskiptavinur hafi áður óskað eftir skilum eða lög Sambandsins eða aðildarríkis krefjist varðveislu. Eyðing hefst þegar umsömdum skilum er lokið. Að beiðni staðfestir Maildroppa eyðinguna á textaformi.

11.3 Upplýsingar sem enn eru í öryggisafritum með takmörkuðum aðgangi eru ekki notaðar í nýjum tilgangi í rekstrarumhverfinu og er skrifað yfir þær samkvæmt skjalfestri reglubundinni afritunarlotu. Þangað til er lokað fyrir almennan aðgang að þeim. Ef öryggisafrit er notað til endurheimtar beitir Maildroppa þegar í stað aftur þeim skráðu fyrirmælum um eyðingu, andmæli og takmörkun sem enn á eftir að framfylgja.

11.4 Upplýsingar sem varðveittar eru samkvæmt lögum og þær lágmarksupplýsingar sem eru stranglega nauðsynlegar vegna öryggis, varna gegn misnotkun eða til að virða afskráningar til frambúðar eru aðskildar, aðgangur að þeim takmarkaður og þær aðeins notaðar í þeim tilgangi. Þeim er síðan eytt þegar þeirra er ekki lengur þörf. Maildroppa upplýsir viðskiptavin um flokk upplýsinganna og lagagrundvöllinn ef það hefur ekki þegar verið skjalfest.

12. Upplýsingar og úttektir

12.1 Maildroppa veitir þær upplýsingar sem nauðsynlegar eru til að sýna fram á að farið sé að 28. gr. almennu persónuverndarreglugerðarinnar (GDPR) og þessum vinnslusamningi (DPA). Þar geta meðal annars verið upplýsingar um gildandi tæknilegar og skipulagslegar ráðstafanir (TOMs), undirvinnsluaðila og flutning, viðeigandi vottanir, úttektarskýrslur, spurningalistar og staðfestingar á eyðingu.

12.2 Ef þessi gögn nægja ekki til að leysa úr rökstuddum áhyggjum af áhættu má viðskiptavinur eða óháður, hæfur úttektaraðili sem er bundinn þagnarskyldu framkvæma úttekt. Úttektir fara að jafnaði ekki fram oftar en einu sinni á tólf mánuðum, með að minnsta kosti 30 daga fyrirvara, á venjulegum afgreiðslutíma og án ónauðsynlegrar röskunar á þjónustu við aðra viðskiptavini eða öryggi.

12.3 Viðbótarúttekt eða úttekt með skemmri fyrirvara er heimil ef hún er réttlætanleg vegna öryggisbrests við meðferð persónuupplýsinga, tiltekinna verulegra áhyggna eða fyrirmæla eftirlitsyfirvalds. Maildroppa má veita aðgang að mjög viðkvæmum öryggisgögnum með viðeigandi skýrslu þriðja aðila og takmarka aðgang að gögnum annarra viðskiptavina, frumkóða, veikleikum eða viðskiptaleyndarmálum, enda sé enn unnt að ná tilgangi úttektarinnar.

12.4 Hvor aðili ber sinn kostnað. Ef úttekt hefur í för með sér umtalsverða vinnu umfram lögbundnar skyldur eða leiðir ekki í ljós veruleg frávik hjá Maildroppa má Maildroppa innheimta sanngjarnan kostnað sem samið hefur verið um fyrir fram. Ef úttekt leiðir í ljós veruleg frávik hjá Maildroppa ber Maildroppa sanngjarnan úttektarkostnað og bætir úr málinu án ótilhlýðilegrar tafar.

12.5 Maildroppa heldur skrá yfir flokka vinnslu samkvæmt 30(2). gr. almennu persónuverndarreglugerðarinnar (GDPR) og vinnur með lögbæru eftirlitsyfirvaldi að beiðni þess.

13. Ábyrgð

13.1 Um ábyrgð milli aðila fer samkvæmt 82. gr. almennu persónuverndarreglugerðarinnar (GDPR), öðrum ófrávíkjanlegum persónuverndarlögum og gildum ábyrgðarákvæðum aðalsamningsins. Ekkert í þessum vinnslusamningi (DPA) takmarkar réttindi skráðra einstaklinga eða valdheimildir eftirlitsyfirvalda.

13.2 Í samskiptum aðilanna ber hvor þeirra ábyrgð á tjóni og kostnaði að því marki sem það stafar af saknæmu broti hans gegn þessum vinnslusamningi (DPA), lögbundinni skyldu eða ábyrgð sem á honum hvílir að lögum. Lögbundinn endurkröfuréttur helst óbreyttur.

14. Riftun vegna brota á persónuvernd

14.1 Ef Maildroppa brýtur verulega gegn þessum vinnslusamningi (DPA) má viðskiptavinur stöðva viðkomandi vinnslu þar til úr hefur verið bætt. Ef Maildroppa bætir ekki úr verulegu broti innan hæfilegs frests, eða úrbætur eru ómögulegar, má viðskiptavinur rifta samningi um viðkomandi þjónustu.

14.2 Maildroppa má fresta framkvæmd ólögmætra fyrirmæla samkvæmt ákvæði 4.3. Ef enginn lögmætur valkostur finnst og áframhaldandi vinnsla myndi brjóta gegn persónuverndarlögum má Maildroppa hætta viðkomandi vinnslu. Skyldur um skil, eyðingu og framlagningu sönnunargagna haldast.

15. Lokaákvæði

15.1 Samið er um breytingar á textaformi eða þær teknar upp með rafrænu ferli sem hægt er að sýna fram á. Uppfæra má viðauka til að endurspegla raunverulega vinnslu, enda dragi það ekki verulega úr heildarvernd og réttur til tilkynningar og andmæla samkvæmt vinnslusamningnum (DPA) sé virtur.

15.2 Ef ákvæði er ógilt halda önnur ákvæði gildi sínu og lagareglur koma í stað þess.

15.3 Þýsk lög og varnarþingsákvæði aðalsamningsins gilda að því marki sem ófrávíkjanleg persónuverndarlög krefjast ekki annars.

15.4 Þessi enska útgáfa er veitt til hægðarauka. Ef hún stangast á við þýsku útgáfuna gengur þýska útgáfan framar, nema ófrávíkjanleg lög krefjist annars.

Viðauki 1 – Lýsing á vinnslu

1. Efni og tilgangur

Veiting skýjaþjónustunnar Maildroppa fyrir tölvupóstmarkaðssetningu sem byggist á leyfi viðtakenda, þar á meðal umsjón með tengiliðum og listum, eyðublöð og Signup Flows, herferðir, sniðmát, sjálfvirkniferli, sendingar, skýrslur um afhendingu og samskipti, skrár, samþættingar, útflutningur, aðstoð, öryggi, öryggisafritun og eyðing samkvæmt samningi.

2. Gildistími

Gildistími aðalsamningsins að viðbættum þeim tíma sem fer í skil, eyðingu og að öryggisafrit falli úr varðveislu samkvæmt ákvæði 11.

3. Eðli vinnslu

Söfnun í gegnum eyðublöð viðskiptavinar, skráning, flokkun, kerfisbinding, varðveisla, aðlögun, skipting í hópa, samkeyrsla, heimt, birting, innflutningur, útflutningur, miðlun, sending, færsluskráning, greining, takmörkun, öryggisafritun og eyðing samkvæmt fyrirmælum viðskiptavinar.

4. Flokkar skráðra einstaklinga

• áskrifendur viðskiptavinar, mögulegir kaupendur, sölutengiliðir, viðskiptamenn og aðrir viðskiptatengiliðir;
• gestir á eyðublöðum og lendingarsíðum viðskiptavinar og þeir sem senda inn upplýsingar þar;
• viðtakendur herferða, sjálfvirkniferla og færslutengdra skilaboða viðskiptavinar;
• aðrir einstaklingar sem viðskiptavinur sendir löglega upplýsingar um til þjónustunnar.

5. Flokkar persónuupplýsinga

• auðkennis- og samskiptaupplýsingar: nafn, netfang og viðskiptatengdar samskiptaupplýsingar sem viðskiptavinur færir inn;
• reitir á notandasniðum, merki, hópar, listar og úthlutun til markhópa sem viðskiptavinur skilgreinir;
• upplýsingar um samþykki, uppruna og sönnun: uppruni skráningar, eyðublað, orðalag samþykkis, tímastimplar, staða staðfestingar og afskráningar og lýsigögn um IP/vafra þar sem það er virkjað og lögmætt;
• tæknileg gögn um eyðublöð og misnotkun: skjástærð, útgáfa vafra og stýrikerfis, afleitt auðkenni tækis, gögn um IP/beiðnir og tími síðustu birtingar sprettiglugga sem er vistaður í vafranum þegar viðskiptavinur fellir hleðslukóða eyðublaðsins inn með þeim hætti;
• efni herferða, eyðublaða, sjálfvirkniferla, sniðmáta og skilaboða;
• afhendingar- og samskiptagögn: afhendingarstaða, opnanir og smellir þar sem það er virkjað og lögmætt, endursendingar, kvartanir, afskráningar og útilokanir frá sendingum;
• tæknileg gögn: IP-tala, upplýsingar um tæki, vafra, beiðnir, öryggi, færsluskrár og villur;
• skrár, viðhengi og efni sem viðskiptavinur hleður upp;
• upplýsingar um samþættingar, innflutning, útflutning og aðstoð, þar á meðal auðkenni frá þriðju aðilum sem viðskiptavinur sendir inn.

6. Sérstakir flokkar upplýsinga

Vinnsla sérstakra flokka persónuupplýsinga samkvæmt 9. gr. og upplýsinga um sakfellingar í refsimálum samkvæmt 10. gr. er ekki hluti af þjónustunni og er óheimil nema sérstaklega hafi verið samið um hana fyrir fram á textaformi í tilteknum tilgangi og með viðbótarverndarráðstöfunum.

7. Tíðni og umfang

Samfelld vinnsla, í því umfangi sem ræðst af notkun viðskiptavinar, stillingum hans, viðtakendum, áskriftarleið og fyrirmælum.

8. Réttindi og skyldur viðskiptavinar

Réttindi og skyldur viðskiptavinar leiða af þessum vinnslusamningi (DPA), aðalsamningnum og persónuverndarlögum. Viðskiptavinur ákveður einkum tilgang, lagagrundvöll, flokka upplýsinga, viðtakendur, stillingar, varðveislu og viðbrögð við því þegar skráðir einstaklingar neyta réttinda sinna.

Viðauki 2 – Tæknilegar og skipulagslegar ráðstafanir

Maildroppa viðheldur eftirfarandi ráðstöfunum til verndar persónuupplýsingum viðskiptavinar. Framkvæmd þeirra getur þróast í takt við tækniframfarir án þess að heildarvernd minnki verulega.

1. Skipulag og stjórnun

• skjalfest ábyrgð á persónuvernd, öryggi og meðhöndlun atvika;
• þagnarskylda starfsfólks sem hefur heimild til vinnslu;
• fyrirmæli um persónuvernd og öryggi sem hæfa hlutverkum og verkefnum;
• stýrð veiting, breyting og afturköllun innri aðgangsheimilda;
• skjalfest mat á þjónustuveitendum og áskildir vinnslusamningar;
• verklag um beiðnir skráðra einstaklinga, fyrirmæli, eyðingu og kröfur yfirvalda.

2. Auðkenning og aðgangsstýring

• auðkenndir reikningar í gegnum Auth0/Okta og aðgangur að notenda- og stjórnunarviðmótum takmarkaður eftir hlutverkum;
• einstaklingsbundinn innri aðgangur byggður á þörf og lágmarksheimildum;
• vernd aðgangs með víðtækum heimildum og tæknilegra leynigagna; Maildroppa geymir ekki lykilorð í ódulkóðuðu formi;
• skráning atvika á reikningum og í stjórnun sem skipta máli fyrir öryggi;
• endurskoðun aðgangs byggð á atvikum og áhættu og tafarlaus afturköllun aðgangs sem ekki er lengur þörf á.

3. Öryggi við sendingu og í samskiptum

• dulkóðaðar sendingar með nútímalegum HTTPS/TLS-tengingum;
• varin API og vefkrókar með auðkenningu eða aðferðum sem byggjast á undirskriftum/leynigögnum þar sem slíkt er í boði;
• athuganir á lénum og sendendum og stuðningur við algengar auðkenningaraðferðir fyrir tölvupóst;
• vernd gegn misnotkun með beiðnum með stýringum á milliþjónum, neti, tíðnitakmörkunum og öryggi.

4. Aðskilnaður viðskiptavina og tilgangs

• rökræn aðgreining gagna og aðgangs eftir reikningum viðskiptavina;
• heimildarstýring á þjóni fyrir tilföng reikninga;
• aðskilin hlutverk og tilgangur fyrir rekstur, aðstoð, reikningagerð og vinnslu fyrir viðskiptavin;
• persónuupplýsingar viðskiptavinar eru ekki notaðar í auglýsingar þriðju aðila eða viðskipti með tengiliðalista.

5. Aðgengi, viðnámsþróttur og endurheimt

• rekstur kjarnakerfis á innviðum undir stýringu í Þýskalandi og aðalgeymsla hlutagagna innan ESB;
• varnir gegn netárásum og álagi vegna misnotkunar;
• vöktun þjónustu, villuskráning og stýrð tilvísun mála á hærra ábyrgðarstig;
• öryggisafrit með takmörkuðum aðgangi samkvæmt skjalfestri áætlun;
• stýrt verklag við endurheimt;
• endurbeiting skráðra fyrirmæla um eyðingu og takmörkun sem enn á eftir að framfylgja eftir endurheimt.

6. Heilleiki og örugg vinnsla

• tæknileg sannprófun á gerð, stærð og aðgangi við studda upphleðslu;
• stýrð útgáfa hugbúnaðar og meðhöndlun hugbúnaðarsafna sem hann er háður og veikleika;
• skráning villna og öryggisatvika með lágmörkun gagna;
• varnir gegn óheimilum breytingum með aðgangsstýringu;
• rekjanleg meðhöndlun endursendinga, kvartana, afskráninga og útilokana frá sendingum.

7. Innbyggð persónuvernd

• skyldureitir og vinnsla takmarkast við tilganginn; viðskiptavinur getur stillt viðbótarreiti;
• aðgerðir til útflutnings, leiðréttingar, eyðingar og útilokunar frá sendingum styðja ferli vegna skráðra einstaklinga;
• samþykkis- og skráningarferli geta skráð texta, uppruna og viðeigandi tímastimpla;
• mælingar á opnunum og smellum eru settar fram sem gagnsær stillingarvalkostur þar sem aðgerðin á við;
• greiningar- og tölfræðigögn eru færð undir gerviauðkenni eða lágmörkuð þar sem því verður við komið.

8. Eyðing og varðveisla

• eyðingarferli í rekstrarumhverfinu fyrir tengiliði, herferðir, sjálfvirkniferli, eyðublöð, skrár og tengd gögn viðskiptavinar;
• aðskilnaður lögbundinna reikningsgagna frá gögnum viðskiptavinar í virkri notkun;
• takmarkaðar upplýsingar um útilokun frá sendingum og öryggi eru aðeins notaðar í viðkomandi verndartilgangi;
• eyðing í rekstrarumhverfinu án ótilhlýðilegrar tafar eftir að þjónustu lýkur og umsömdum skilum er lokið; öryggisafrit falla úr varðveislu samkvæmt skjalfestri afritunarlotu;
• skil eða eyðing skjalfest að beiðni.

9. Atvikastjórnun og endurskoðun

• skjalfest ferli við greiningu, flokkun, afmörkun, rannsókn, úrbætur og endurskoðun atvika;
• tilkynning til viðskiptavinar án ótilhlýðilegrar tafar eftir að vitneskja fæst um öryggisbrest sem hefur áhrif á persónuupplýsingar viðskiptavinar;
• skráning tímalínu, kerfa og gagna sem verða fyrir áhrifum, ráðstafana og fyrirliggjandi upplýsinga um áhrif;
• varðveisla sönnunargagna með takmörkuðum aðgangi;
• reglubundið mat á árangri og aðlögun ráðstafana á grundvelli áhættu.

Viðauki 3 – Samþykktir undirvinnsluaðilar og flutningur

Eftirfarandi skrá gildir um viðkomandi aðgerðir; ekki vinna allir þjónustuveitendur sömu gögn fyrir alla viðskiptavini. Maildroppa sannreynir lögaðila, svæði og flutningsgrundvöll með hliðsjón af hinum raunverulega samningi áður en þjónustuveitandi er fyrst tekinn í notkun og eftir verulega breytingu.

Auth0/Okta fellur aðeins undir þennan viðauka að því marki sem það vinnur Persónuupplýsingar Viðskiptavinar sem undirvinnsluaðili í tilteknu gagnaflæði. Um vinnslu Maildroppa sem ábyrgðaraðila á gögnum um notendur reikninga í eigin þágu vegna samninga, reikninga og auðkenningar gildir persónuverndartilkynningin og fellur sú vinnsla utan þessa vinnslusamnings (DPA).

Tilkynningar um breytingar

Maildroppa upplýsir Viðskiptavini með tilkynningu á starfsnetfangið sem skráð er á reikningnum og birtir dagsetta útgáfu af þessum lista. Í tilkynningunni er tilgreint hver þjónustuveitandinn er, tilgangur, staðsetning, heimild til flutnings og fyrirhugaður upphafsdagur. Um málsmeðferð vegna andmæla gildir ákvæði 9.

Samþættingar að fyrirmælum Viðskiptavinar

Zapier, Make og önnur þjónusta sem Viðskiptavinur tengir eru ekki sjálfkrafa undirvinnsluaðilar Maildroppa. Þegar Maildroppa sendir gögn til slíkrar samþættingar samkvæmt fyrirmælum Viðskiptavinar ber Viðskiptavinur ábyrgð á vali viðtakanda, heimildum, persónuverndartilkynningum, samningum og heimildum til flutnings milli landa.