Duomenų tvarkymo sutartis

Paskutinį kartą atnaujinta: 2026 m. rugsėjo 4 d. · Versija 1.0

Ši Duomenų tvarkymo sutartis (toliau – „Sutartis“ arba „DPA“) yra neatskiriama Maildroppa Sutarties dalis. Ji taikoma kaskart, kai Maildroppa Kliento vardu tvarko asmens duomenis.

Šalys

Duomenų valdytojas (toliau – „Klientas“): fizinis arba juridinis asmuo, nurodytas kaip Klientas Užsakyme arba Maildroppa paskyroje, taip pat tinkamai įtraukta Kliento susijusi įmonė, jei ta susijusi įmonė yra Kliento Asmens duomenų valdytoja.

Duomenų tvarkytojas (toliau – „Maildroppa“):

Marcus Biel, vykdantis veiklą pavadinimu „Maildroppa“
Dr.-Peter-Hecker-Str. 4b
82031 Grünwald
Vokietija
Kontaktai: kontaktinė forma

Klientas ir Maildroppa kartu vadinami „Šalimis“.

1. Apimtis, galiojimas ir prioritetas

1.1 Ši Sutartis reglamentuoja Maildroppa tvarkomus Kliento asmens duomenis, susijusius su paslauga (toliau – „Kliento asmens duomenys“). Tvarkymo objektas, pobūdis, tikslas, duomenų subjektų kategorijos ir duomenų tipai aprašyti 1 priede.

1.2 Sutartis įsigalioja, kai Klientas priima Taisykles, Užsakymą, kuriame ji įtraukta, arba pateikia atskirą elektroninį patvirtinimą. Ji galioja visą pagrindinės Sutarties laiką ir tol, kol Maildroppa tvarko Kliento asmens duomenis.

1.3 Ši Sutartis turi viršenybę prieš pagrindinę Sutartį tiek, kiek tai susiję su tvarkymu Kliento vardu. Bet kuriuo atveju viršenybę turi privalomi duomenų apsaugos teisės aktai.

1.4 Savo tikslais – įskaitant sutartį ir atsiskaitymą, Maildroppa paskyros saugumą, platformos ir siuntimo infrastruktūros apsaugą, piktnaudžiavimo prevenciją ir teisines pareigas – Maildroppa gali veikti kaip atskiras valdytojas. Tokį tvarkymą reglamentuoja Privatumo pranešimas, o ne ši Sutartis. Maildroppa nesinaudos tvarkytojo statusu tam, kad naudotų Kliento asmens duomenis savo reklamai.

2. Apibrėžimai ir taikytina teisė

2.1 „Asmens duomenys“, „tvarkymas“, „duomenų valdytojas“, „duomenų tvarkytojas“, „duomenų subjektas“, „asmens duomenų saugumo pažeidimas“ ir „priežiūros institucija“ turi BDAR suteiktas reikšmes.

2.2 „Duomenų apsaugos teisė“ reiškia BDAR, Vokietijos Federalinį duomenų apsaugos įstatymą bei kitus konkrečiam tvarkymui taikomus duomenų apsaugos teisės aktus.

2.3 Jeigu pats Klientas yra kito valdytojo duomenų tvarkytojas, Maildroppa tampa tolimesniu tvarkytoju. Klientas patvirtina, kad turi teisę duoti Maildroppa nurodymus ir pasitelkti ją ir pateiks valdytojo informaciją bei teises Maildroppa tiek, kiek būtina šiai Sutarčiai vykdyti.

3. Kliento atsakomybė ir nurodymai

3.1 Klientas atsako už tvarkymo teisėtumą, duomenų subjektų teises, duomenų tikslumą ir būtinumą bei už savo nurodymus. Visų pirma Klientas užtikrina teisinį pagrindą, pranešimus, sutikimą (kai reikalinga), saugojimo ir ištrynimo sprendimus bei teisėtus gavėjus.

3.2 Dokumentuoto nurodymo sudedamosios dalys yra pagrindinė Sutartis, ši Sutartis, Kliento paslaugos konfigūracija ir naudojimas bei papildomi nurodymai tekstine forma. Nurodymas negali iš esmės pakeisti sutartos paslaugos pobūdžio, tikslo ar apimties. Papildomi nurodymai gali reikalauti atskiro susitarimo ir pagrįsto mokesčio.

3.3 Klientas negali tvarkyti 9 straipsnio BDAR specialiųjų kategorijų, 10 straipsnio duomenų apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas, visų mokėjimo priemonės duomenų, valstybės paslapčių ar kitos ypatingai saugomos informacijos Maildroppa sistemoje, nebent Maildroppa iš anksto aiškiai tekstine forma patvirtina konkrečią paskirtį ir apsaugos priemones.

3.4 Klientas tinkamai sukonfigūruoja prieinamų vaidmenų, eksporto, ištrynimo, sutikimo, sekimo ir integracijų funkcijas atsižvelgdamas į riziką ir saugo paskyras, domenus, API raktus bei prisijungimo duomenis.

4. Tvarkymas tik pagal dokumentuotus nurodymus

4.1 Maildroppa tvarko Kliento asmens duomenis tik pagal Kliento dokumentuotus nurodymus, įskaitant perdavimą į trečiąją šalį, išskyrus atvejus, kai to reikalauja Sąjungos ar valstybės narės teisė. Tokiu atveju Maildroppa prieš tvarkymą informuoja Klientą apie teisinį reikalavimą, nebent įstatymas draudžia tokį informavimą dėl svarbių viešojo intereso priežasčių.

4.2 Maildroppa naudoja Kliento asmens duomenis tik tam, kad teiktų, apsaugotų, palaikytų ir užbaigtų sutartą paslaugą bei vykdytų teisėtus nurodymus. Pardavimas, trečiųjų šalių reklama ir kitos šalies gavėjų sąrašo sudarymas draudžiami.

4.3 Jei Maildroppa mano, kad nurodymas pažeidžia Duomenų apsaugos teisę, ji nedelsdama informuoja Klientą ir gali sustabdyti atitinkamą nurodymą, kol kompetentingas organas jį patvirtins, pakeis arba paaiškins. Šalys sąžiningai bendradarbiauja siekdamos teisėtos alternatyvos.

4.4 Prieigą prie Kliento asmens duomenų turi tik tie darbuotojai, kuriems to reikia pareigoms atlikti. Prieš suteikiant prieigą šie asmenys įpareigojami konfidencialumo arba jiems taikoma tinkama įstatyminė pareiga ir jie gauna privatumo bei saugumo instrukcijas.

5. Techninės ir organizacinės priemonės

5.1 Maildroppa įgyvendina 2 priede nurodytas priemones pagal BDAR 28(3)(c) ir 32 straipsnius. Priemonės atsižvelgia į mokslo ir technikos lygį, įgyvendinimo kaštus, pobūdį, apimtį, kontekstą ir tikslus bei rizikos tikimybę ir sunkumą.

5.2 Maildroppa gali tobulinti ar pakeisti atskiras priemones lygiavertėmis ar veiksmingesnėmis. Bendras sutartas apsaugos lygis negali būti iš esmės sumažintas. Apie esminius nepalankius pakeitimus pranešama iš anksto, nebent reikia nedelsiant imtis veiksmų siekiant pašalinti ūmią riziką.

5.3 Saugumas yra bendra atsakomybė. Maildroppa neatsako už riziką, kurią sukelia vien tik neteisėtas Kliento turinys, nesaugūs Kliento įrenginiai, bendri prisijungimo duomenys, neteisinga Kliento integracijų konfigūracija ar Kliento nurodymai. Pačios Maildroppa įstatyminės ir sutartinės pareigos lieka nepakeistos.

6. Pagalba įgyvendinant duomenų subjektų teises

6.1 Atsižvelgdama į tvarkymo pobūdį, Maildroppa tinkamomis techninėmis ir organizacinėmis priemonėmis padeda Klientui dėl III skyriaus BDAR prašymų: prieigos, tikslinimo, ištrynimo, apribojimo, perkeliamumo, prieštaravimo ir informacijos apie automatizuotą sprendimų priėmimą.

6.2 Kai prašomi duomenys pasiekiami per produkto funkcijas, Klientas prašymą įgyvendina pats. Jei reikia papildomos proporcingos pagalbos, Maildroppa pagal dokumentuotą nurodymą pateikia turimą informaciją arba ištaiso, eksportuoja, apriboja ar ištrina duomenis.

6.3 Gavusi su Kliento asmens duomenimis susijusį duomenų subjekto prašymą, Maildroppa be nepagrįsto delsimo informuoja Klientą ir neatsako iš esmės, nebent to paprašo Klientas ar to reikalauja teisė. Maildroppa gali duomenų subjektui nurodyti, kad prašymas perduotas valdytojui.

6.4 Klientas pateikia tik informaciją, reikalingą saugiai rasti ir įvykdyti prašymą. Maildroppa gali imti pagrįstą, iš anksto praneštą mokestį už aiškiai perteklinę, pasikartojančią ar nestandartinę pagalbą tiek, kiek tai leidžia 28 straipsnis.

7. Atitiktis, poveikio vertinimai ir institucijos

7.1 Atsižvelgdama į tvarkymo pobūdį ir turimą informaciją, Maildroppa padeda Klientui dėl BDAR 32–36 straipsnių: saugumo, pažeidimų pranešimo ir komunikacijos, duomenų apsaugos poveikio vertinimų ir išankstinių konsultacijų.

7.2 Pagrįstu prašymu Maildroppa pateikia informaciją apie paslaugą, duomenų srautus, priemones, subtvarkytojus ir žinomas rizikas, reikalingas Kliento poveikio vertinimui, jei ji dar neprieinama dokumentacijoje ar paskyroje.

7.3 Gavusi privalomą institucijos ar teismo prašymą dėl Kliento asmens duomenų, Maildroppa prieš atskleidimą informuoja Klientą, jei tai leidžiama teisės aktų. Maildroppa įvertina instituciją ir apimtį, atskleidžia tik tai, ką privalo, ir dokumentuoja situaciją.

8. Asmens duomenų saugumo pažeidimai

8.1 Maildroppa praneša Klientui be nepagrįsto delsimo sužinojusi apie Kliento asmens duomenis paveikusį saugumo pažeidimą. Pirminė informacija gali būti teikiama etapais ir nebus atidėta iki tyrimo pabaigos.

8.2 Kiek įmanoma, pranešime nurodoma:

• pažeidimo pobūdis, įskaitant paveiktų asmenų ir įrašų kategorijas bei apytikrius skaičius;
• tikėtinos pasekmės;
• priemonės, kurių imtasi ar siūloma imtis siekiant suvaldyti ir pašalinti pažeidimą;
• laikas ar laikotarpis ir dabartinė tyrimo būsena;
• kontaktinis asmuo klausimams.

8.3 Maildroppa nedelsdama imasi pagrįstų suvaldymo, įrodymų išsaugojimo, pagrindinės priežasties nustatymo ir taisomųjų veiksmų, dokumentuoja pažeidimą ir pateikia turimą informaciją, reikalingą Kliento pareigoms pagal BDAR 33 ir 34 straipsnius.

8.4 Klientas išlieka atsakingas už pažeidimo įvertinimą, bet kokį pranešimą priežiūros institucijai per 72 valandas nuo savo sužinojimo ir už komunikaciją su duomenų subjektais. Maildroppa pranešimas nėra pripažinimas dėl pareigos pažeidimo ar atsakomybės.

8.5 Klientas nedelsdamas informuoja Maildroppa apie saugumo incidentus Kliento aplinkoje, kurie gali paveikti Kliento asmens duomenis ar paslaugą, ir bendradarbiauja mažindamas žalą.

9. Subtvarkytojai

9.1 Klientas suteikia bendrą rašytinį sutikimą 3 priede nurodytiems subtvarkytojams. Maildroppa išlieka atsakinga Klientui už subtvarkytojo BDAR 28(4) straipsnio pareigų vykdymą.

9.2 Maildroppa kiekvieną subtvarkytoją sutartimi įpareigoja užtikrinti iš esmės tokį pat duomenų apsaugos lygį konkrečiai paslaugai, įskaitant nurodymus, konfidencialumą, saugumą, pagalbą, ištrynimą ir audito teises.

9.3 Apie subtvarkytojo pridėjimą ar pakeitimą Maildroppa paprastai praneša ne vėliau kaip prieš 30 dienų Kliento paskyroje nurodytu verslo el. pašto adresu ir paskelbia datuotą pakeitimą subtvarkytojų sąraše. Dėl skubių saugumo ar pasiekiamumo poreikių gali būti taikomas trumpesnis terminas; Maildroppa paaiškina priežastį ir praneša kuo anksčiau.

9.4 Klientas per pranešimo laikotarpį gali pateikti prieštaravimą dėl konkrečių ir pagrįstų duomenų apsaugos priežasčių. Šalys ieško pagrįsto sprendimo, pvz., konfigūracijos pakeitimo. Jei sprendimo nėra ir prieštaravimas pagrįstas, Klientas gali nutraukti pagrindinę Sutartį dėl svarbios priežasties be papildomo mokesčio iki naujo subtvarkytojo naudojimo pradžios. Vien komerciniai ar konkurenciniai prieštaravimai nelaikomi pakankamais.

9.5 Paslaugos, kurios netvarko Kliento asmens duomenų, ir gavėjai ar integracijos, kuriuos Klientas prijungia pagal savo nurodymą, nėra Maildroppa subtvarkytojai. Tai apima paslaugą, kuriai Klientas prisijungia ir sudaro sutartį per savo trečiosios šalies paskyrą.

10. Tarptautiniai perdavimai

10.1 Maildroppa perduoda Kliento asmens duomenis už Europos ekonominės erdvės ribų tik pagal dokumentuotus nurodymus ir laikydamasi BDAR V skyriaus.

10.2 Jei nėra taikytino sprendimo dėl tinkamumo, Maildroppa su importuotoju sudaro tuo metu galiojančias Europos Komisijos standartines sutarčių sąlygas. Paprastai taikomas 2 modulis, kai Klientas yra valdytojas, ir 3 modulis, kai Klientas yra tvarkytojas. Ši Sutartis ir jos Priedai užpildo atitinkamus SCC priedus.

10.3 Kai paslaugų teikėjas yra galiojančiai sertifikuotas pagal ES–JAV duomenų privatumo programą dėl atitinkamų duomenų, gali būti naudojamas tinkamumo sprendimas. Maildroppa pagrįstais intervalais stebi sertifikavimą ir palaiko alternatyvų mechanizmą, jei prireiktų tęsti perdavimą.

10.4 Maildroppa dokumentuoja perdavimo poveikio vertinimą, kai to reikia, ir taiko papildomas technines, sutartines ar organizacines priemones, atsižvelgdama į atitinkamą teisę, prieigos galimybę ir duomenų riziką. Klientas pateikia informaciją, reikalingą jo paties nurodymų vertinimui.

11. Grąžinimas ir ištrynimas

11.1 Sutarties galiojimo metu Klientas gali naudotis prieinamomis eksporto ir ištrynimo funkcijomis. Iki sutarties pabaigos Klientas gali paprašyti grąžinti veiklos Kliento asmens duomenis prieinamu, įprastu, mašininiu būdu skaitomu formatu.

11.2 Paslaugoms pasibaigus, Maildroppa be nepagrįsto delsimo ištrina visus Kliento asmens duomenis ir jų kopijas, nebent Klientas anksčiau paprašo grąžinimo arba Sąjungos ar valstybės narės teisė reikalauja saugojimo. Ištrynimas pradedamas po bet kokio sutarto grąžinimo užbaigimo. Paprašius Maildroppa patvirtina ištrynimą tekstine forma.

11.3 Atsarginėse, su prieigos apribojimais, kopijose likę duomenys nenaudojami naujiems gamybos tikslams ir perrašomi pagal dokumentuotą atsarginių kopijų ciklą. Iki tol jie lieka užblokuoti nuo įprastos prieigos. Jei atsarginė kopija naudojama atkūrimui, Maildroppa nedelsdama vėl pritaiko dar neįvykdytus ištrynimo, prieštaravimo ir apribojimo įrašus.

11.4 Teisiškai saugomi duomenys ir minimalūs duomenys, būtini saugumui, piktnaudžiavimo prevencijai ar nuolatiniam atsisakymų laikymuisi, izoliuojami, apribojama prieiga ir naudojami tik šiuo tikslu, o vėliau ištrinami, kai nebereikalingi. Maildroppa nurodo kategoriją ir teisinį pagrindą Klientui, jei tai dar nėra dokumentuota.

12. Informacija ir auditai

12.1 Maildroppa pateikia informaciją, reikalingą atitikčiai BDAR 28 straipsniui ir šiai Sutarčiai įrodyti. Tai gali apimti galiojančias TOM, subtvarkytojų ir perdavimo informaciją, tinkamus sertifikatus, audito ataskaitas, klausimynus ir ištrynimo patvirtinimus.

12.2 Jei ši medžiaga neišsprendžia pagrįstos rizikos, Klientas arba nepriklausomas kompetentingas auditorius, įpareigotas konfidencialumo, gali atlikti auditą. Auditai paprastai vykdomi ne dažniau kaip kartą per 12 mėnesių, pranešus bent prieš 30 dienų, įprastomis darbo valandomis ir nesukeliant išvengiamų trikdžių kitiems klientams ar saugumui.

12.3 Papildomas arba trumpesnio termino auditas leidžiamas, jei to pagrįstai reikia dėl saugumo pažeidimo, konkrečios svarbios rizikos ar priežiūros institucijos nurodymo. Maildroppa gali pateikti labai jautrią saugumo medžiagą per tinkamą trečiosios šalies ataskaitą ir apriboti prieigą prie kitų klientų duomenų, kodo, pažeidžiamumų ar komercinių paslapčių, jei audito tikslas vis tiek gali būti pasiektas.

12.4 Kiekviena Šalis padengia savo išlaidas. Jei auditas sukuria didelį papildomą darbą, viršijantį įstatymines pareigas, arba nenustato esminio Maildroppa neatitikimo, Maildroppa gali taikyti iš anksto suderintas pagrįstas išlaidas. Jei nustatomas esminis Maildroppa neatitikimas, Maildroppa padengia pagrįstas audito išlaidas ir nedelsdama ištaiso neatitikimą.

12.5 Maildroppa saugo tvarkymo kategorijų įrašus pagal BDAR 30(2) straipsnį ir bendradarbiauja su kompetentinga priežiūros institucija jos prašymu.

13. Atsakomybė

13.1 Atsakomybę tarp Šalių reglamentuoja BDAR 82 straipsnis, kiti privalomi duomenų apsaugos teisės aktai ir galiojančios pagrindinės Sutarties atsakomybės nuostatos. Niekas šioje Sutartyje neriboja duomenų subjektų teisių ar priežiūros institucijų įgaliojimų.

13.2 Tarp Šalių kiekviena yra atsakinga už nuostolius ir išlaidas tiek, kiek jos kaltai pažeidė šią Sutartį, įstatymus ar teisėtą pareigą. Įstatyminės regreso teisės lieka nepakeistos.

14. Nutraukimas dėl duomenų apsaugos pažeidimo

14.1 Jei Maildroppa iš esmės pažeidžia šią Sutartį, Klientas gali sustabdyti atitinkamą tvarkymą, kol pažeidimas bus ištaisytas. Jei Maildroppa neištaiso esminio pažeidimo per pagrįstą laikotarpį arba tai neįmanoma, Klientas gali nutraukti atitinkamą paslaugą dėl svarbios priežasties.

14.2 Maildroppa gali sustabdyti neteisėtą nurodymą pagal 4.3 punktą. Jei nerandama teisėtos alternatyvos ir tęsti reikštų Duomenų apsaugos teisės pažeidimą, Maildroppa gali nutraukti atitinkamą tvarkymą. Grąžinimo, ištrynimo ir įrodymų pareigos lieka.

15. Baigiamosios nuostatos

15.1 Pakeitimai suderinami tekstine forma arba įtraukiami per įrodomą elektroninį procesą. Priedai gali būti atnaujinami atspindint faktinį tvarkymą, jei bendra apsauga iš esmės nesumažinama ir laikomasi Sutarties pranešimo bei prieštaravimo teisių.

15.2 Jei kuri nors nuostata negalioja, likusios išlieka galioti, o ją pakeičia įstatyminės taisyklės.

15.3 Taikoma Vokietijos teisė ir pagrindinės Sutarties jurisdikcijos nuostata, kiek privaloma Duomenų apsaugos teisė nereikalauja kitaip.

15.4 Ši lietuviška versija pateikiama patogumo sumetimais. Jei ji prieštarauja vokiškai versijai, pirmenybė teikiama vokiškai versijai, nebent privalomi teisės aktai nustato kitaip.

1 priedas – Tvarkymo aprašymas

1. Objektas ir tikslas

Debesijos pagrindu veikiančios Maildroppa paslaugos, skirtos leidimais pagrįstam el. pašto rinkodaros siuntimui, teikimas, įskaitant kontaktų ir sąrašų valdymą, formas ir registracijos srautus, kampanijas, šablonus, automatizavimą, siuntimą, pristatymo ir sąveikos ataskaitas, failus, integracijas, eksportą, palaikymą, saugumą, atsargines kopijas ir sutartinį ištrynimą.

2. Trukmė

Pagrindinės Sutarties galiojimo laikas ir 11 punkte nurodytas grąžinimo, ištrynimo ir atsarginių kopijų galiojimo laikotarpis.

3. Tvarkymo pobūdis

Duomenų surinkimas per Kliento formas, įrašymas, organizavimas, struktūravimas, saugojimas, pritaikymas, segmentavimas, sugretinimas, gavimas, rodymas, importas, eksportas, perdavimas, siuntimas, registravimas, analizė, apribojimas, atsarginės kopijos ir ištrynimas pagal Kliento nurodymą.

4. Duomenų subjektų kategorijos

• Kliento prenumeratoriai, potencialūs klientai, pardavimo kontaktai, klientai ir kiti verslo kontaktai;
• Kliento formų ir nukreipimo puslapių lankytojai bei pateikėjai;
• Kliento kampanijų, automatizacijų ir sandorių pranešimų gavėjai;
• kiti asmenys, kurių duomenis Klientas teisėtai pateikia paslaugai.

5. Asmens duomenų kategorijos

• tapatybės ir kontaktiniai duomenys: vardas, el. pašto adresas ir verslo kontaktinė informacija, įvesta Kliento;
• Kliento apibrėžti profilio laukai, žymos, segmentai, sąrašai ir auditorijos priskyrimai;
• sutikimo, šaltinio ir įrodymų duomenys: registracijos šaltinis, forma, sutikimo tekstas, laiko žymos, patvirtinimo ir atsisakymo būsena bei IP/naršyklės metaduomenys, jei įjungta ir teisėta;
• techniniai formos ir piktnaudžiavimo duomenys: ekrano matmenys, naršyklės ir operacinės sistemos versija, gautinis įrenginio identifikatorius, IP/užklausos duomenys ir paskutinis iššokančio lango rodymo laikas naršyklėje, kai Klientas atitinkamai įdiegia formos įkėlėją;
• kampanijų, formų, automatizacijų, šablonų ir pranešimų turinys;
• pristatymo ir sąveikos duomenys: pristatymo būsena, atidarymo ir paspaudimo įvykiai, kai įjungta ir teisėta, atšokimai, skundai, atsisakymai ir blokavimai;
• techniniai duomenys: IP adresas, įrenginys, naršyklė, užklausa, saugumo, žurnalo ir klaidų informacija;
• Kliento įkelti failai, priedai ir turinys;
• integracijų, importų, eksportų ir palaikymo informacija, įskaitant Kliento pateiktus trečiųjų šalių identifikatorius.

6. Specialūs duomenys

9 straipsnio specialiųjų kategorijų ir 10 straipsnio duomenų apie apkaltinamuosius nuosprendžius tvarkymas nėra paslaugos dalis ir draudžiamas, nebent dėl konkretaus tikslo iš anksto aiškiai tekstine forma sutariama dėl papildomų apsaugos priemonių.

7. Dažnumas ir apimtis

Nuolatinis, tokios apimties, kokią lemia Kliento naudojimas, konfigūracija, gavėjai, planas ir nurodymai.

8. Kliento teisės ir pareigos

Kliento teisės ir pareigos kyla iš šios Sutarties, pagrindinės Sutarties ir Duomenų apsaugos teisės. Klientas, be kita ko, sprendžia tikslus, teisinius pagrindus, duomenų kategorijas, gavėjus, konfigūraciją, saugojimą ir duomenų subjektų teisių įgyvendinimą.

2 priedas – Techninės ir organizacinės priemonės

Maildroppa palaiko šias priemones Kliento asmens duomenims. Įgyvendinimas gali vystytis kartu su mokslo ir technikos pažanga iš esmės nesumažinant bendros apsaugos.

1. Organizavimas ir valdymas

• dokumentuotos privatumo, saugumo ir incidentų atsakomybės;
• konfidencialumo įsipareigojimai įgaliotiems darbuotojams;
• vaidmeniui ir užduočiai tinkamos privatumo ir saugumo instrukcijos;
• kontroliuojamas vidinės prieigos suteikimas, keitimas ir atšaukimas;
• dokumentuota tiekėjų peržiūra ir reikalaujamos duomenų tvarkymo sutartys;
• procedūros duomenų subjektų prašymams, nurodymams, ištrynimui ir institucijų užklausoms.

2. Autentifikavimas ir prieigos kontrolė

• autentifikuotos paskyros per Auth0/Okta ir vaidmenimis apribotos produkto bei administravimo sąsajos;
• individuali vidinė prieiga pagal būtinybę ir mažiausios privilegijos principą;
• privilegijuotos prieigos ir techninių paslapčių apsauga; Maildroppa nesaugo slaptažodžių atviru tekstu;
• saugumo svarbių paskyros ir administravimo įvykių registravimas;
• įvykių ir rizikos pagrindu atliekama peržiūra ir greitas nereikalingos prieigos atšaukimas.

3. Perdavimo ir komunikacijos saugumas

• šifruotas perdavimas naudojant dabartinius HTTPS/TLS ryšius;
• apsaugotos API ir žiniatinklio kabliukai naudojant autentifikavimą ar parašo/slapto metodo būdus, kai jie teikiami;
• domeno ir siuntėjo patikros bei el. pašto autentifikavimo metodų palaikymas;
• apsauga nuo piktavališkų užklausų per tarpinį serverį, tinklo, greičio ribojimo ir saugumo valdiklius.

4. Nuomininko ir tikslo atskyrimas

• logiškas duomenų ir prieigos paskirstymas Kliento paskyroms;
• serverio pusės autorizacija paskyros ištekliams;
• atskirti vaidmenys ir tikslai operacijoms, palaikymui, atsiskaitymui ir Kliento tvarkymui;
• Kliento asmens duomenys nenaudojami trečiųjų šalių reklamai ar sąrašų prekybai.

5. Pasiekiamumas, atsparumas ir atkūrimas

• pagrindinės programos veikimas kontroliuojamoje infrastruktūroje Vokietijoje ir pirminis objektų duomenų saugojimas ES;
• apsauga nuo tinklo atakų ir piktybinio apkrovimo;
• paslaugų stebėjimas, klaidų fiksavimas ir kontroliuojama eskalacija;
• prieigos apribotos atsarginės kopijos pagal dokumentuotą grafiką;
• kontroliuojamos atkūrimo procedūros;
• po atkūrimo pakartotinai taikomi dar neįvykdyti ištrynimo ir apribojimo įrašai.

6. Integralumas ir saugi tvarkyba

• techninis tipo, dydžio ir prieigos patikrinimas palaikomiems įkėlimams;
• kontroliuojamas programinės įrangos diegimas ir priklausomybių/pažeidžiamumų valdymas;
• klaidų ir saugumo registravimas, taikant duomenų minimizavimą;
• apsauga nuo neteisėto keitimo per prieigos kontrolę;
• atsakingas atšokimų, skundų, atsisakymų ir blokavimų tvarkymas.

7. Duomenų apsauga pagal projektavimą

• privalomi laukai ir tvarkymas ribojami tikslui; papildomus laukus konfigūruoja Klientas;
• eksporto, taisymo, ištrynimo ir blokavimo funkcijos palaiko duomenų subjektų procesus;
• sutikimai ir registracijos srautai gali įrašyti tekstą, šaltinį ir atitinkamas laiko žymas;
• atidarymų ir paspaudimų matavimas pateikiamas kaip skaidri konfigūracija, kai funkcija taikoma;
• diagnostiniai ir analizės duomenys, kiek įmanoma, pseudonimizuojami arba minimizuojami.

8. Ištrynimas ir saugojimas

• operatyviniai ištrynimo srautai kontaktams, kampanijoms, automatizacijoms, formoms, failams ir susijusiems Kliento duomenims;
• atskirtos įstatyminės atsiskaitymo įrašų saugojimo vietos nuo operatyvinių Kliento duomenų;
• ribota blokavimo ir saugumo informacija naudojama tik apsauginiam tikslui;
• operatyvinis ištrynimas be nepagrįsto delsimo po paslaugos pabaigos ir bet kokio sutarto grąžinimo užbaigimo; atsarginių kopijų galiojimas pagal dokumentuotą ciklą;
• grąžinimas arba ištrynimas dokumentuojamas pareikalavus.

9. Incidentų valdymas ir peržiūra

• dokumentuotas aptikimo, klasifikavimo, suvaldymo, tyrimo, taisymo ir peržiūros procesas;
• pranešimas Klientui be nepagrįsto delsimo Maildroppa sužinojus apie Kliento asmens duomenis paveikusį pažeidimą;
• laiko plano, paveiktų sistemų ir duomenų, priemonių ir turimo poveikio registravimas;
• įrodymų išsaugojimas taikant prieigos apribojimus;
• periodinė priemonių veiksmingumo peržiūra ir rizikos pagrindu atliekami pakeitimai.

3 priedas – Įgalioti subtvarkytojai ir perdavimai

Toliau pateiktas sąrašas taikomas atitinkamoms funkcijoms; ne kiekvienas tiekėjas visiems Klientams tvarko tuos pačius duomenis. Maildroppa prieš pirmą naudojimą ir po esminio pakeitimo patikrina teisinį subjektą, regioną ir perdavimo mechanizmą pagal faktinę sutartį.

Auth0/Okta į šį Priedą įtraukiamas tik tiek, kiek jis konkrečiame duomenų sraute tvarko Kliento asmens duomenis kaip subtvarkytojas. Maildroppa valdytojo atliekamas paskyros naudotojų duomenų tvarkymas savo sutarties, paskyros ir autentifikavimo tikslais reglamentuojamas Privatumo pranešimu ir nepatenka į šią Sutartį.

Pranešimai apie pakeitimus

Maildroppa informuoja Klientus paskyroje nurodytu verslo el. pašto adresu ir paskelbia datuotą šio sąrašo versiją. Pranešime nurodomas tiekėjas, paskirtis, vieta, mechanizmas ir numatyta pradžios data. Prieštaravimo procesą reglamentuoja 9 punktas.

Kliento inicijuotos integracijos

Zapier, Make ir kitos paslaugos, kurias prijungia Klientas, automatiškai netampa Maildroppa subtvarkytojais. Kai Maildroppa Kliento nurodymu perduoda duomenis tokiai integracijai, Klientas atsako už gavėjo pasirinkimą, įgaliojimus, privatumo pranešimus, sutartis ir tarptautinio perdavimo mechanizmus.