Datu apstrādes līgums

Pēdējās izmaiņas: 2026. gada 4. septembrī · Versija 1.0

Šis Datu apstrādes līgums ("DPA") ir Maildroppa līguma neatņemama sastāvdaļa. Tas ir piemērojams ikreiz, kad Maildroppa apstrādā personas datus Klienta uzdevumā.

Puses

Pārzinis ("Klients"): fiziskā vai juridiskā persona, kas norādīta kā Klients Pasūtījumā vai Maildroppa kontā, tostarp juridiski spēkā esošā veidā iekļauts Klienta saistītais uzņēmums, ja šis saistītais uzņēmums ir Klienta Personas datu pārzinis.

Apstrādātājs ("Maildroppa"):

Marcus Biel, darbojas ar nosaukumu “Maildroppa”
Dr.-Peter-Hecker-Str. 4b
82031 Grünwald
Vācija
Kontakts: kontakta veidlapa

Klients un Maildroppa kopā ir "Puses".

1. Piemērojamība, termiņš un prioritāte

1.1 Šis DPA reglamentē Maildroppa personas datu apstrādi Klienta uzdevumā saistībā ar pakalpojumu ("Klienta Personas dati"). Priekšmets, raksturs, nolūks, datu subjektu kategorijas un datu tipi aprakstīti 1. pielikumā.

1.2 DPA stājas spēkā, kad Klients pieņem Noteikumus, Pasūtījumu, kurā tas ir iekļauts, vai sniedz atsevišķu elektronisku apstiprinājumu. Tas paliek spēkā visā Līguma termiņā un tik ilgi, kamēr Maildroppa apstrādā Klienta Personas datus.

1.3 Šim DPA ir virsroka pār galveno Līgumu, ciktāl tas attiecas uz apstrādi Klienta uzdevumā. Katrā gadījumā augstāks spēks ir obligātajām datu aizsardzības tiesību normām.

1.4 Savām vajadzībām — tostarp līgumu un rēķinu administrēšanai, Maildroppa paša konta drošībai, platformas un sūtīšanas infrastruktūras aizsardzībai, ļaunprātīgas izmantošanas novēršanai un juridisko pienākumu izpildei — Maildroppa var darboties kā atsevišķs pārzinis. Šāda apstrāde tiek reglamentēta Privātuma paziņojumā, nevis šajā DPA. Maildroppa neizmantos apstrādātāja lomu, lai izmantotu Klienta Personas datus Maildroppa reklāmai.

2. Definīcijas un piemērojamās tiesības

2.1 "Personas dati", "apstrāde", "pārzinis", "apstrādātājs", "datu subjekts", "personas datu aizsardzības pārkāpums" un "uzraudzības iestāde" ir tiem pašiem jēdzieniem atbilstošās nozīmes GDPR.

2.2 "Datu aizsardzības tiesību akti" nozīmē GDPR, Vācijas Federālo datu aizsardzības likumu un citus datu aizsardzības aktus, kas piemērojami konkrētajai apstrādei.

2.3 Ja Klients pats ir cita pārziņa apstrādātājs, Maildroppa darbojas kā turpmākais apstrādātājs. Klients apliecina, ka tam ir tiesības dot norādījumus un iesaistīt Maildroppa un ka tas nodrošinās pārziņa informāciju un tiesības Maildroppa apjomā, kas nepieciešams šī DPA izpildei.

3. Klienta atbildība un norādījumi

3.1 Klients ir atbildīgs par apstrādes likumību, datu subjekta tiesībām, datu precizitāti un nepieciešamību, kā arī par saviem norādījumiem. Klients jo īpaši nodrošina tiesisko pamatu, paziņojumus, piekrišanu (ja nepieciešams), saglabāšanas un dzēšanas lēmumus un likumīgu saņēmēju loku.

3.2 Dokumentētus norādījumus veido galvenais Līgums, šis DPA, Klienta konfigurācija un pakalpojuma izmantošana un papildu norādījumi teksta formā. Norādījums nedrīkst būtiski mainīt nolīgtā pakalpojuma raksturu, nolūku vai apjomu. Papildu norādījumiem var būt nepieciešama atsevišķa vienošanās un pamatota maksa.

3.3 Klients nedrīkst apstrādāt GDPR 9. pantā minēto īpašo kategoriju datus un GDPR 10. pantā minētos datus par sodāmību un pārkāpumiem, pilnīgus maksājumu instrumentu datus, valsts noslēpumus vai citus īpaši aizsargājamos datus Maildroppa, ja vien Maildroppa iepriekš teksta formā nav skaidri apstiprinājusi konkrēto nolūku un aizsardzības pasākumus.

3.4 Klients pienācīgi konfigurē pieejamās lomas, eksportēšanas, dzēšanas, piekrišanas, izsekošanas un integrācijas funkcijas atbilstoši riskam un aizsargā kontus, domēnus, API atslēgas un akreditācijas datus.

4. Apstrāde tikai pēc dokumentētiem norādījumiem

4.1 Maildroppa apstrādā Klienta Personas datus tikai pēc Klienta dokumentētiem norādījumiem, tostarp pārnesei uz trešo valsti, ja vien Savienības vai Dalībvalsts tiesības neprasa citādi. Šādā gadījumā Maildroppa pirms apstrādes informē Klientu par tiesisko prasību, ja vien tiesību akti neaizliedz šādu informēšanu svarīgu sabiedrības interešu dēļ.

4.2 Maildroppa izmanto Klienta Personas datus tikai, lai nodrošinātu, aizsargātu, atbalstītu un izbeigtu nolīgto pakalpojumu un izpildītu likumīgus norādījumus. Pārdošana, trešo personu reklāma un citas puses adresātu saraksta izveide ir aizliegta.

4.3 Ja Maildroppa uzskata, ka norādījums pārkāpj Datu aizsardzības tiesību aktus, tā bez nepamatotas kavēšanās informē Klientu un var apturēt skarto norādījumu, līdz kompetentā institūcija to apstiprina, maina vai precizē. Puses labā ticībā sadarbojas, lai atrastu likumīgu alternatīvu.

4.4 Piekļuve Klienta Personas datiem ir atļauta tikai tiem darbiniekiem, kam tā nepieciešama pienākumu izpildei. Pirms piekļuves šīs personas saista konfidencialitātes pienākums vai atbilstošs likumā noteikts pienākums un tās saņem privātuma un drošības norādījumus.

5. Tehniskie un organizatoriskie pasākumi

5.1 Maildroppa ievieš 2. pielikumā aprakstītos pasākumus saskaņā ar GDPR 28. panta 3. punkta c) apakšpunktu un 32. pantu. Pasākumi ņem vērā tehnoloģiju līmeni, ieviešanas izmaksas, raksturu, apjomu, kontekstu un nolūkus, kā arī risku iespējamību un būtiskumu.

5.2 Maildroppa var attīstīt vai aizstāt atsevišķus pasākumus ar līdzvērtīgu vai efektīvāku kontroli. Kopējais aizsardzības līmenis nedrīkst būtiski pazemināties. Par būtiskām nelabvēlīgām izmaiņām iepriekš paziņo, izņemot gadījumus, kad akūts risks prasa tūlītēju rīcību.

5.3 Drošība ir kopīga atbildība. Maildroppa neatbild par riskiem, ko izraisījis tikai nelikumīgs Klienta saturs, nedrošas Klienta ierīces, kopīga akreditācija, nepareizi konfigurētas Klienta integrācijas vai Klienta norādījumi. Maildroppa paša likumiskie un līgumiskie pienākumi paliek negrozīti.

6. Palīdzība datu subjektu tiesību īstenošanā

6.1 Ņemot vērā apstrādes raksturu, Maildroppa ar atbilstošiem tehniskiem un organizatoriskiem pasākumiem palīdz Klientam ar GDPR III nodaļas pieprasījumiem, tostarp piekļuvi, labošanu, dzēšanu, ierobežošanu, pārnesamību, iebildumiem un informāciju par automatizētiem lēmumiem.

6.2 Ja pieprasītie dati ir pieejami produkta funkcionalitātē, Klients tos apstrādā pats. Papildu samērīgam atbalstam Maildroppa sniedz pieejamo informāciju vai labo, eksportē, ierobežo vai dzēš datus pēc dokumentēta norādījuma.

6.3 Ja Maildroppa saņem datu subjekta pieprasījumu, kas acīmredzami attiecas uz Klienta Personas datiem, tā bez nepamatotas kavēšanās informē Klientu un nesniedz atbildi pēc būtības, ja vien Klients to nav uzdevis vai likums neprasa citādi. Maildroppa var informēt datu subjektu, ka pieprasījums ir pārsūtīts pārzinim.

6.4 Klients nosūta tikai informāciju, kas nepieciešama, lai droši atrastu un izpildītu pieprasījumu. Par acīmredzami pārmērīga, atkārtota vai nestandarta atbalsta pamatotas, iepriekš paziņotas izmaksas Maildroppa var iekasēt tiktāl, ciktāl to pieļauj GDPR 28. pants.

7. Atbilstība, ietekmes novērtējumi un iestādes

7.1 Ņemot vērā apstrādes raksturu un pieejamo informāciju, Maildroppa palīdz Klientam ar GDPR 32. līdz 36. pantu izpildi, tostarp drošību, pārkāpumu paziņošanu un saziņu, datu aizsardzības ietekmes novērtējumiem un iepriekšējām konsultācijām.

7.2 Pamatotu pieprasījumu gadījumā Maildroppa sniedz informāciju par pakalpojumu, datu plūsmām, pasākumiem, apakšapstrādātājiem un zināmiem riskiem, kas nepieciešama Klienta ietekmes novērtējumam, ja tā vēl nav pieejama dokumentācijā vai kontā.

7.3 Ja Maildroppa saņem saistošu iestādes vai tiesas pieprasījumu par Klienta Personas datiem, tā informē Klientu pirms izpaušanas, ja tas ir juridiski atļauts. Maildroppa izvērtē iestādi un apjomu, izpauž tikai likumā prasīto un dokumentē lietu.

8. Personas datu aizsardzības pārkāpumi

8.1 Maildroppa paziņo Klientam bez nepamatotas kavēšanās pēc tam, kad tā uzzina par Personas datu aizsardzības pārkāpumu, kas ietekmē Klienta Personas datus. Sākotnējo informāciju var sniegt pa posmiem, un paziņojums netiks aizturēts līdz izmeklēšanas beigām.

8.2 Ciktāl pieejams, paziņojums ietver:

• pārkāpuma raksturu, tostarp ietekmēto personu un ierakstu kategorijas un aptuveno skaitu;
• iespējamo seku raksturojumu;
• veiktos vai plānotos pasākumus pārkāpuma ierobežošanai un novēršanai;
• laiku vai periodu un pašreizējo izmeklēšanas statusu;
• kontaktpunktu jautājumiem.

8.3 Maildroppa nekavējoties veic pamatotus ierobežošanas, pierādījumu saglabāšanas, cēloņu noskaidrošanas un novēršanas pasākumus, dokumentē pārkāpumu un sniedz informāciju, kas pieejama Klienta pienākumu izpildei saskaņā ar GDPR 33. un 34. pantu.

8.4 Klients paliek atbildīgs par novērtējumu un jebkuru paziņošanu uzraudzības iestādei 72 stundu laikā pēc savas informētības, kā arī par jebkuru saziņu ar datu subjektiem. Maildroppa paziņojums nenozīmē pienākuma pārkāpuma vai atbildības atzīšanu.

8.5 Klients nekavējoties informē Maildroppa par drošības incidentiem Klienta vidē, kas var ietekmēt Klienta Personas datus vai pakalpojumu, un sadarbojas risku mazināšanā.

9. Apakšapstrādātāji

9.1 Klients sniedz vispārēju rakstveida atļauju 3. pielikumā norādītajiem apakšapstrādātājiem. Maildroppa paliek atbildīga Klienta priekšā par apakšapstrādātāja GDPR 28. panta 4. punktā noteikto pienākumu izpildi.

9.2 Maildroppa līgumiski uzliek katram apakšapstrādātājam būtībā to pašu datu aizsardzības līmeni attiecīgajam pakalpojumam, tostarp norādījumus, konfidencialitāti, drošību, palīdzību, dzēšanu un audita tiesības.

9.3 Parasti Maildroppa sniedz vismaz 30 dienu paziņojumu pirms apakšapstrādātāja pievienošanas vai nomaiņas uz kontā saglabāto uzņēmuma e-pasta adresi un publicē datētu izmaiņu apakšapstrādātāju sarakstā. Īsāks periods var būt nepieciešams steidzamu drošības vai pieejamības vajadzību dēļ; Maildroppa paskaidro iemeslu un paziņo pēc iespējas agrāk.

9.4 Klients var iebilst paziņojuma periodā, pamatojoties uz konkrētiem, pamatotiem datu aizsardzības iemesliem. Puses meklē saprātīgu risinājumu, piemēram, konfigurācijas maiņu. Ja tas nav iespējams un iebildums ir pamatots, Klients var izbeigt galveno Līgumu svarīga iemesla dēļ bez papildu maksas pirms jaunā apakšapstrādātāja izmantošanas. Tīri komerciāli vai konkurences apsvērumi nav pietiekami.

9.5 Pakalpojumi, kas neapstrādā Klienta Personas datus, un saņēmēji vai integrācijas, ko Klients pievieno pēc sava norādījuma, nav Maildroppa apakšapstrādātāji. Tas ietver pakalpojumu, kuram Klients pieslēdzas un slēdz līgumu, izmantojot savu trešās puses kontu.

10. Starptautiskā pārsūtīšana

10.1 Maildroppa pārsūta Klienta Personas datus ārpus Eiropas Ekonomikas zonas tikai pēc dokumentētiem norādījumiem un atbilstīgi GDPR V nodaļai.

10.2 Ja nav piemērojama atbilstības lēmuma, Maildroppa ar importētāju noslēdz aktuālās Eiropas Komisijas Standarta līguma klauzulas. Parasti tiek piemērots 2. modulis, ja Klients ir pārzinis, un 3. modulis, ja Klients ir apstrādātājs. Šis DPA un tā pielikumi aizpilda attiecīgos SCC pielikumus.

10.3 Ja pakalpojumu sniedzējs ir derīgi sertificēts atbilstoši ES – ASV Datu privātuma regulējumam attiecībā uz konkrētajiem datiem, var izmantot atbilstības lēmumu. Maildroppa saprātīgos intervālos uzrauga attiecīgo sertifikāciju un uztur alternatīvu mehānismu, ja nepieciešams pārsūtīšanas turpināšanai.

10.4 Maildroppa dokumentē pārsūtīšanas ietekmes novērtējumu, ja tas nepieciešams, un izmanto papildpasākumus – tehniskus, līgumiskus vai organizatoriskus – atbilstoši attiecīgajam tiesību aktam, piekļuves iespējai un datu riskam. Klients sniedz informāciju, kas nepieciešama, lai novērtētu savus norādījumus.

11. Atgriešana un dzēšana

11.1 Līguma laikā Klients var izmantot pieejamās eksportēšanas un dzēšanas funkcijas. Pirms līguma beigām Klients var pieprasīt operatīvo Klienta Personas datu atgriešanu pieejamā, bieži izmantotā mašīnlasāmā formātā.

11.2 Pēc pakalpojumu beigām Maildroppa dzēš visus Klienta Personas datus un to kopijas bez nepamatotas kavēšanās, ja vien Klients iepriekš nav pieprasījis atgriešanu vai Savienības vai Dalībvalsts tiesības neprasa saglabāšanu. Dzēšana sākas pēc jebkuras saskaņotās atgriešanas pabeigšanas. Pēc pieprasījuma Maildroppa apstiprina dzēšanu teksta formā.

11.3 Dati, kas paliek piekļuvei slēgtās dublējuma kopijās, netiek izmantoti jauniem produkcijas nolūkiem un tiek pārrakstīti atbilstoši dokumentētajam regulāro dublējumu ciklam. Līdz tam tie ir bloķēti no regulāras piekļuves. Ja dublējums tiek izmantots atjaunošanai, Maildroppa nekavējoties atkārtoti piemēro neizpildītus dzēšanas, iebilduma un ierobežošanas ierakstus.

11.4 Juridiski saglabāti dati un minimālā informācija, kas stingri nepieciešama drošībai, ļaunprātīgas izmantošanas novēršanai vai pastāvīgai atteikšanās no saziņas ievērošanai, tiek izolēta, ierobežota piekļuve un izmantota tikai šim nolūkam, pēc tam dzēsta, kad vairs nav nepieciešama. Maildroppa identificē kategoriju un juridisko pamatu Klientam, ja tas nav jau dokumentēts.

12. Informācija un auditi

12.1 Maildroppa sniedz informāciju, kas nepieciešama, lai demonstrētu atbilstību GDPR 28. pantam un šim DPA. Tas var ietvert aktuālos TOM, apakšapstrādātāju un pārsūtīšanas informāciju, atbilstošus sertifikātus, audita ziņojumus, anketas un dzēšanas apstiprinājumus.

12.2 Ja šie materiāli neatrisina pamatotu risku, Klients vai neatkarīgs kompetents auditors, kuram saistoša konfidencialitāte, var veikt auditu. Auditi parasti notiek ne biežāk kā reizi divpadsmit mēnešos, ar vismaz 30 dienu paziņojumu, parastā darba laikā un neradot lieku traucējumu citiem klientiem vai drošībai.

12.3 Papildu vai īsāka termiņa audits ir pieļaujams, ja to pamatoti prasa Personas datu aizsardzības pārkāpums, konkrētas būtiskas bažas vai uzraudzības iestādes norādījums. Maildroppa var padarīt īpaši sensitīvu drošības materiālu pieejamu, izmantojot piemērotu trešās puses ziņojumu, un ierobežot piekļuvi citu klientu datiem, pirmkoda, ievainojamību vai komercnoslēpumu informācijai, ja audita mērķi joprojām var sasniegt.

12.4 Katra Puse sedz savas izmaksas. Ja audits rada būtisku darbu ārpus likumā noteiktajiem pienākumiem vai neatklāj materiālu Maildroppa neatbilstību, Maildroppa var iekasēt saprātīgas, iepriekš saskaņotas izmaksas. Ja tiek konstatēta būtiska Maildroppa neatbilstība, Maildroppa sedz pamatotās audita izmaksas un novērš problēmu bez nepamatotas kavēšanās.

12.5 Maildroppa uztur GDPR 30. panta 2. punktā paredzētos apstrādes darbību ierakstus un sadarbojas ar kompetento uzraudzības iestādi pēc pieprasījuma.

13. Atbildība

13.1 Puses atbildību regulē GDPR 82. pants, citi obligātie Datu aizsardzības tiesību akti un galvenā Līguma spēkā esošie atbildības noteikumi. Nekas šajā DPA neierobežo datu subjektu tiesības vai uzraudzības iestāžu pilnvaras.

13.2 Puse ir atbildīga par zaudējumiem un izmaksām, ciktāl tie radušies tās vainojama šī DPA, likumā noteikta pienākuma vai likumīgas atbildības pārkāpuma rezultātā. Likumiskās regresa tiesības paliek spēkā.

14. Izbeigšana datu aizsardzības pārkāpuma dēļ

14.1 Ja Maildroppa būtiski pārkāpj šo DPA, Klients var apturēt skarto apstrādi, līdz pārkāpums ir novērsts. Ja Maildroppa saprātīgā termiņā nepielabo būtisku pārkāpumu vai tas nav iespējams, Klients var izbeigt skarto pakalpojumu svarīga iemesla dēļ.

14.2 Maildroppa var apturēt nelikumīgu norādījumu saskaņā ar 4.3. klauzulu. Ja nevar atrast likumīgu alternatīvu un turpināšana pārkāptu Datu aizsardzības tiesību aktus, Maildroppa var izbeigt skarto apstrādi. Paliek spēkā atgriešanas, dzēšanas un pierādījumu pienākumi.

15. Noslēguma noteikumi

15.1 Grozījumi tiek saskaņoti teksta formā vai iekļauti, izmantojot pierādāmu elektronisku procesu. Pielikumus var atjaunināt, lai atspoguļotu faktisko apstrādi, ja kopējais aizsardzības līmenis netiek būtiski samazināts un tiek ievērotas DPA paziņošanas un iebildumu tiesības.

15.2 Ja kāds noteikums ir spēkā neesošs, pārējie noteikumi paliek spēkā, un to aizstāj attiecīgās obligātās tiesību normas.

15.3 Piemēro Vācijas tiesības un galvenā Līguma kompetences noteikums, ciktāl obligātie Datu aizsardzības tiesību akti nenosaka citādi.

15.4 Šī latviešu valodas versija tiek sniegta ērtībai. Ja tā ir pretrunā ar vācu valodas versiju, noteicošā ir vācu valodas versija, ja vien obligātās tiesību normas neparedz citādi.

1. pielikums – Apstrādes apraksts

1. Priekšmets un nolūks

Mākoņpakalpojuma Maildroppa nodrošināšana atļautam e-pasta mārketingam, tostarp kontaktu un sarakstu pārvaldība, veidlapas un reģistrēšanās plūsmas, kampaņas, veidnes, automatizācija, sūtīšana, piegādes un mijiedarbības atskaites, faili, integrācijas, eksports, atbalsts, drošība, dublējumi un līgumiska dzēšana.

2. Ilgums

Galvenā Līguma termiņš plus atgriešanas, dzēšanas un dublējuma derīguma periods, kā norādīts 11. klauzulā.

3. Apstrādes raksturs

Vākšana, izmantojot Klienta veidlapas, reģistrēšana, organizēšana, strukturēšana, glabāšana, pielāgošana, segmentēšana, saskaņošana, izgūšana, attēlošana, importēšana, eksportēšana, pārsūtīšana, sūtīšana, reģistrēšana, analīze, ierobežošana, dublēšana un dzēšana pēc Klienta norādījuma.

4. Datu subjektu kategorijas

• Klienta abonenti, potenciālie klienti, pārdošanas kontaktpersonas, klienti un citi biznesa kontakti;
• Klienta veidlapu un galvenlapu apmeklētāji un iesniedzēji;
• Klienta kampaņu, automatizāciju un transakciju ziņojumu saņēmēji;
• citas personas, kuru datus Klients likumīgi iesniedz pakalpojumā.

5. Personas datu kategorijas

• identitātes un kontaktinformācija: vārds, e-pasta adrese un biznesa kontaktinformācija, ko ievada Klients;
• Klienta definēti profila lauki, birkas, segmenti, saraksti un auditorijas piešķīrumi;
• piekrišanas, avota un pierādījumu dati: reģistrēšanās avots, veidlapa, piekrišanas teksts, laikzīmes, apstiprinājuma un atteikšanās statuss, kā arī IP/pārlūkprogrammas metadati, ja tie ir iespējoti un likumīgi;
• tehniskie veidlapas un ļaunprātības dati: ekrāna izmēri, pārlūkprogrammas un operētājsistēmas versija, atvasināts ierīces identifikators, IP/pieprasījuma dati un pēdējais uznirstošā loga rādīšanas laiks pārlūkā, ja Klients attiecīgi iegulda veidlapas ielādētāju;
• kampaņu, veidlapu, automatizāciju, veidņu un ziņojumu saturs;
• piegādes un mijiedarbības dati: piegādes statuss, atvēršanas un klikšķu notikumi, ja iespējoti un likumīgi, atteikumi, sūdzības, atteikšanās un bloķējumi;
• tehniskie dati: IP adrese, ierīce, pārlūks, pieprasījums, drošības, žurnālu un kļūdu informācija;
• faili, pielikumi un saturs, ko augšupielādē Klients;
• integrācijas, importa, eksporta un atbalsta informācija, tostarp trešo pušu identifikatori, ko iesniedz Klients.

6. Īpašie dati

9. panta īpašo kategoriju un 10. panta sodāmības datu apstrāde nav pakalpojuma sastāvdaļa un ir aizliegta, ja vien iepriekš teksta formā nav īpaši saskaņots konkrētam nolūkam ar papildu aizsardzības pasākumiem.

7. Biežums un apjoms

Nepārtraukts, apjomā, ko nosaka Klienta izmantošana, konfigurācija, saņēmēji, plāns un norādījumi.

8. Klienta tiesības un pienākumi

Klienta tiesības un pienākumi izriet no šī DPA, galvenā Līguma un Datu aizsardzības tiesību aktiem. Klients jo īpaši nosaka nolūkus, tiesiskos pamatus, datu kategorijas, saņēmējus, konfigurāciju, glabāšanu un reakciju uz datu subjektu tiesībām.

2. pielikums – Tehniskie un organizatoriskie pasākumi

Maildroppa uztur šādus pasākumus Klienta Personas datiem. Ieviešana var attīstīties līdz ar tehnoloģiju līmeni, būtiski nesamazinot kopējo aizsardzību.

1. Organizācija un pārvaldība

• dokumentēti privātuma, drošības un incidentu pienākumi;
• konfidencialitātes saistības pilnvarotajam personālam;
• atbilstošas privātuma un drošības instrukcijas, ņemot vērā lomu un uzdevumu;
• kontrolēta iekšējās piekļuves piešķiršana, maiņa un atsaukšana;
• dokumentēta pakalpojumu sniedzēju pārbaude un nepieciešami datu apstrādes līgumi;
• procedūras datu subjektu pieprasījumiem, norādījumiem, dzēšanai un iestāžu pieprasījumiem.

2. Autentifikācija un piekļuves kontrole

• autentificēti konti caur Auth0/Okta un ar lomu ierobežotas produktu un administrācijas saskarnes;
• individuāla iekšējā piekļuve, balstoties uz nepieciešamību un minimālo privilēģiju principu;
• privileģētas piekļuves un tehnisko slepeno datu aizsardzība; Maildroppa neglabā paroles atklātā tekstā;
• drošības nozīmes kontu un administratīvo notikumu žurnālu veidošana;
• notikumu un riska balstīta pārskatīšana un ātra piekļuves atsaukšana, kad tā vairs nav nepieciešama.

3. Pārsūtīšanas un saziņas drošība

• šifrēta pārsūtīšana, izmantojot aktuālus HTTPS/TLS savienojumus;
• aizsargāti API un tīmekļa āķi, izmantojot autentifikācijas vai paraksta/slepenas atslēgas metodes, kur tie ir nodrošināti;
• domēna un sūtītāja pārbaudes un atbalsts izplatītām e-pasta autentifikācijas metodēm;
• aizsardzība pret ļaunprātīgiem pieprasījumiem ar starpniekserveru, tīkla, ātruma ierobežojumu un drošības kontrolēm.

4. Klientu atdalīšana un nolūka ierobežošana

• loģiska datu un piekļuves nodalīšana Klienta kontiem;
• servera puses autorizācija konta resursiem;
• atsevišķas lomas un nolūki darbībām, atbalstam, norēķiniem un Klienta apstrādei;
• Klienta Personas datu neizmantošana trešo personu reklāmai vai sarakstu tirdzniecībai.

5. Pieejamība, noturība un atjaunošana

• pamatlietojuma darbināšana kontrolētā infrastruktūrā Vācijā un primārā objektu datu glabāšana ES;
• aizsardzība pret tīkla uzbrukumiem un ļaunprātīgu slodzi;
• pakalpojuma uzraudzība, kļūdu uztveršana un kontrolēta eskalācija;
• piekļuves ierobežoti dublējumi pēc dokumentēta grafika;
• kontrolētas atjaunošanas procedūras;
• neizpildīto dzēšanas un ierobežošanas ierakstu atkārtota piemērošana pēc atjaunošanas.

6. Integritāte un droša apstrāde

• tehniska tipu, izmēra un piekļuves validācija atbalstītiem augšupielādēm;
• kontrolēta programmatūras izvēršana un atkarību/ievainojamību pārvaldība;
• kļūdu un drošības žurnāli ar datu minimizāciju;
• aizsardzība pret neatļautu izmaiņu veikšanu, izmantojot piekļuves kontroli;
• atbildīga atteikumu, sūdzību, atteikšanās un bloķēšanas apstrāde.

7. Datu aizsardzība pēc konstrukcijas

• obligātie lauki un apstrāde ierobežota nolūkam; papildu Klienta lauki ir konfigurējami;
• eksporta, labošanas, dzēšanas un bloķēšanas funkcijas atbalsta datu subjektu procesus;
• piekrišanas un reģistrēšanās plūsmas var saglabāt tekstu, avotu un attiecīgās laikzīmes;
• atvēršanas un klikšķu mērīšana tiek piedāvāta kā caurspīdīga konfigurācija, ja funkcija ir piemērojama;
• diagnostikas un analītikas dati ir pseidonimizēti vai minimizēti, kur vien iespējams.

8. Dzēšana un glabāšana

• operatīvās dzēšanas plūsmas kontaktiem, kampaņām, automatizācijām, veidlapām, failiem un ar Klientu saistītiem datiem;
• likumā noteikto rēķinu uzskaites ierakstu nodalīšana no operatīvajiem Klienta datiem;
• ierobežota bloķēšanas un drošības informācija, ko izmanto tikai aizsardzības nolūkam;
• operatīvā dzēšana bez nepamatotas kavēšanās pēc pakalpojuma beigām un jebkuras saskaņotās atgriešanas pabeigšanas; dublējumu derīguma termiņš saskaņā ar dokumentēto ciklu;
• atgriešana vai dzēšana dokumentēta pēc pieprasījuma.

9. Incidentu pārvaldība un pārskatīšana

• dokumentēts atklāšanas, klasifikācijas, ierobežošanas, izmeklēšanas, novēršanas un pārskatīšanas process;
• paziņojums Klientam bez nepamatotas kavēšanās pēc informētības par pārkāpumu, kas ietekmē Klienta Personas datus;
• laika skalas, skarto sistēmu un datu, pasākumu un pieejamās ietekmes fiksācija;
• pierādījumu saglabāšana ar piekļuves ierobežojumiem;
• periodiska pasākumu efektivitātes pārskatīšana un riska balstīta pielāgošana.

3. pielikums – Atļautie apakšapstrādātāji un pārsūtīšanas

Turpmāk norādītais saraksts attiecas uz attiecīgajām funkcijām; ne katrs pakalpojumu sniedzējs apstrādā vienus un tos pašus datus visiem Klientiem. Maildroppa pārbauda juridisko personu, reģionu un pārsūtīšanas mehānismu pret faktisko līgumu pirms pirmās izmantošanas un pēc būtiskām izmaiņām.

Auth0/Okta ir iekļauts šajā pielikumā tikai tiktāl, ciktāl tas apstrādā Klienta Personas datus kā apakšapstrādātājs konkrētā datu plūsmā. Maildroppa pārziņa apstrāde konta lietotāja datiem saviem līgumu, konta un autentifikācijas nolūkiem ir reglamentēta Privātuma paziņojumā un nav iekļauta šajā DPA.

Izmaiņu paziņojumi

Maildroppa informē Klientus uz kontā saglabāto biznesa e-pasta adresi un publicē datētu šā saraksta versiju. Paziņojumā identificē pakalpojumu sniedzēju, nolūku, atrašanās vietu, mehānismu un paredzēto sākuma datumu. Iebildumu procesu reglamentē 9. klauzula.

Klienta virzītas integrācijas

Zapier, Make un citi pakalpojumi, ko Klients pievieno, nav automātiski Maildroppa apakšapstrādātāji. Ja Maildroppa pārsūta datus šādai integrācijai pēc Klienta norādījuma, Klients ir atbildīgs par saņēmēja izvēli, pilnvarām, privātuma paziņojumiem, līgumiem un starptautiskās pārsūtīšanas mehānismiem.