Уговор о обради података

Последње ажурирање: 4. септембар 2026 · Верзија 1.0

Овај Уговор о обради података ("DPA") чини део Уговора за Maildroppa. Примењује се када год Maildroppa обрађује личне податке у име Купца.

Стране

Контролор ("Купац"): физичко или правно лице наведено као Купац у Наруџбини или Maildroppa налогу, укључујући ваљано обухваћено придружено друштво Купца уколико је то друштво контролор личних података Купца.

Обрађивач ("Maildroppa"):

Marcus Biel, послује под именом „Maildroppa“
Dr.-Peter-Hecker-Str. 4b
82031 Grünwald
Немачка
Контакт: контакт формулар

Купац и Maildroppa заједно се називају „Стране“.

1. Обухват, трајање и приоритет

1.1 Овај DPA уређује обраду личних података од стране Maildroppa у име Купца у вези са услугом ("Лични подаци Купца"). Предмет, природа, сврха, категорије субјеката података и врсте података описани су у Прилогу 1.

1.2 DPA ступа на снагу када Купац прихвати Услове, Наруџбину која га укључује или посебну електронску потврду. Остаје на снази током трајања Уговора и све док Maildroppa обрађује Личне податке Купца.

1.3 Овај DPA има првенство у односу на главни Уговор у погледу обраде у име Купца. Императивно право о заштити података има првенство у сваком случају.

1.4 За сопствене сврхе — укључујући уговор и обрачун, безбедност сопственог налога Maildroppa-е, заштиту платформе и инфраструктуре слања, спречавање злоупотреба и законске обавезе — Maildroppa може бити посебан контролор. Таква обрада уређена је Политиком приватности, а не овим DPA-ом. Maildroppa неће користити улогу обрађивача да би користила Личне податке Купца за рекламирање Maildroppa-е.

2. Дефиниције и примењиво право

2.1 „Лични подаци“, „обрада“, „контролор“, „обрађивач“, „субјект података“, „повреда личних података“ и „надзорни орган“ имају значења дата у GDPR-у.

2.2 „Право о заштити података“ значи GDPR, немачки Савезни закон о заштити података и друго право о заштити података које се примењује на конкретну обраду.

2.3 Ако је Купац сам обрађивач за другог контролора, Maildroppa делује као даљи обрађивач. Купац гарантује да је овлашћен да упути и ангажује Maildroppa-у и стави на располагање информације и права контролора у мери потребној за извршење овог DPA-а.

3. Одговорност Купца и инструкције

3.1 Купац је одговоран за законитост обраде, права субјеката података, тачност и нужност података и своја упутства. Купац посебно обезбеђује правни основ, обавештења, сагласност где је потребна, одлуке о чувању и брисању и законите примаоце.

3.2 Документована упутства обухватају главни Уговор, овај DPA, Конфигурацију и коришћење услуге од стране Купца и допунска упутства у текстуалном облику. Упутство не сме фундаментално да измени природу, сврху или обим договорене услуге. Додатна упутства могу захтевати посебан споразум и разумну накнаду.

3.3 Купац не сме да обрађује посебне категорије из члана 9 GDPR-а, податке о кривичним осудама и кривичним делима из члана 10 GDPR-а, потпуне податке о платним инструментима, службене тајне или друге посебно заштићене информације у Maildroppa-и, осим ако Maildroppa изричито одобри конкретну сврху и мере заштите унапред у текстуалном облику.

3.4 Купац одговарајуће конфигурише расположиве функције улога, извоза, брисања, сагласности, праћења и интеграција у складу са ризиком и штити налоге, домене, API кључеве и акредитиве.

4. Обрада искључиво по документованим упутствима

4.1 Maildroppa обрађује Личне податке Купца само по документованим упутствима Купца, укључујући пренос у трећу земљу, осим ако право Уније или државе чланице захтева обраду. У том случају Maildroppa обавештава Купца о правном захтеву пре обраде, осим ако је такво обавештење законом забрањено из важних разлога јавног интереса.

4.2 Maildroppa користи Личне податке Купца једино за пружање, обезбеђивање, подршку и окончање договорене услуге и за извршавање законитих упутстава. Продаја, реклама трећих лица и креирање списка прималаца друге странке су забрањени.

4.3 Ако Maildroppa сматра да упутство крши Право о заштити података, без неоправданог одлагања обавештава Купца и може суспендовати спорно упутство док га надлежно тело не потврди, измени или појасни. Стране у доброј вери сарађују на законитој алтернативи.

4.4 Приступ Личним подацима Купца имају само лица којима је то потребно за обављање дужности. Пре приступа та лица су обавезана поверљивошћу или одговарајућом законском обавезом и добијају упутства о приватности и безбедности.

5. Техничке и организационе мере

5.1 Maildroppa примењује мере у Прилогу 2 према члановима 28(3)(c) и 32 GDPR-а. Мере узимају у обзир достигнути ниво технике, трошкове имплементације, природу, обим, контекст и сврху, као и вероватноћу и озбиљност ризика.

5.2 Maildroppa може развити или заменити појединачне мере еквивалентним или ефикаснијим контролама. Укупни договорени ниво заштите не сме се материјално смањити. О материјалним штетним променама Купац се обавештава унапред, осим ако је хитна акција неопходна ради отклањања акутног ризика.

5.3 Безбедност је заједничка одговорност. Maildroppa није одговорна за ризике изазване искључиво незаконитим садржајем Купца, небезбедним уређајима Купца, заједничким акредитивима, погрешно конфигурисаним интеграцијама Купца или упутствима Купца. Законске и уговорне обавезе Maildroppa-е остају непромењене.

6. Помоћ у погледу права субјеката података

6.1 Сагледавајући природу обраде, Maildroppa помаже Купцу одговарајућим техничким и организационим мерама при захтевима према Поглављу III GDPR-а, укључујући приступ, исправку, брисање, ограничење, преносивост, приговор и информације о аутоматизованим одлукама.

6.2 Када су тражени подаци доступни путем функционалности производа, Купац сам обрађује захтев. За додатну, сразмерну подршку Maildroppa пружа расположиве информације или исправља, извози, ограничава или брише податке по документованом упутству.

6.3 Ако Maildroppa прими захтев субјекта података који се препознатљиво односи на Личне податке Купца, обавештава Купца без неоправданог одлагања и не даје суштински одговор, осим ако то Купац нареди или закон захтева. Maildroppa може обавестити субјекта података да је захтев прослеђен контролору.

6.4 Купац шаље само информације потребне за безбедно проналажење и испуњавање захтева. Maildroppa може наплатити разумне, претходно најављене трошкове за очигледно прекомерну, поновљену или нестандардну помоћ у мери дозвољеној чланом 28 GDPR-а.

7. Усклађеност, процене утицаја и органи

7.1 Сагледавајући природу обраде и расположиве информације, Maildroppa помаже Купцу у члановима 32–36 GDPR-а, укључујући безбедност, пријаву повреде и комуникацију, процене утицаја на заштиту података и претходно саветовање.

7.2 На разуман захтев Maildroppa доставља информације о услузи, токовима података, мерама, подпроцесорима и познатим ризицима потребним за процену утицаја Купца, ако те информације већ нису доступне у документацији или налогу.

7.3 Ако Maildroppa прими обавезујући захтев органа или суда за Личне податке Купца, обавештава Купца пре откривања када је то законом дозвољено. Maildroppa оцењује надлежност и обим, открива само оно што је законски обавезна и бележи предмет.

8. Повреде личних података

8.1 Maildroppa обавештава Купца без неоправданог одлагања након сазнања за Повреду личних података која се односи на Личне податке Купца. Почетне информације могу бити достављене фазно и неће бити одлагане до завршетка истраге.

8.2 У мери доступној, обавештење укључује:

• природу повреде, укључујући категорије и приближне бројеве погођених лица и записа;
• вероватне последице;
• мере предузете или предложене ради ограничавања и отклањања;
• време или период и тренутни статус истраге;
• контакт тачку за питања.

8.3 Maildroppa одмах предузима разумне мере ограничења, чувања доказа, утврђивања узрока и санације, документује повреду и пружа доступне информације за обавезе Купца по члановима 33 и 34 GDPR-а.

8.4 Купац остаје одговоран за процену и евентуалну пријаву надзорном органу у року од 72 сата од сопственог сазнања и за евентуалну комуникацију субјектима података. Обавештење Maildroppa-е није признање кршења обавезе нити одговорности.

8.5 Купац без одлагања обавештава Maildroppa-у о инцидентима безбедности у свом окружењу који могу утицати на Личне податке Купца или услугу и сарађује у ублажавању.

9. Подпроцесори

9.1 Купац даје опште писмено одобрење за подпроцесоре у Прилогу 3. Maildroppa остаје одговорна Купцу за испуњавање обавеза подпроцесора по члану 28(4) GDPR-а.

9.2 Maildroppa уговорно обавезује сваког подпроцесора на суштински исти ниво заштите података за релевантну услугу, укључујући упутства, поверљивост, безбедност, помоћ, брисање и ревизиона права.

9.3 Maildroppa обично доставља најмање 30 дана пре додавања или замене подпроцесора обавештење на пословну адресу е-поште у налогу и објављује датумску измену у листи подпроцесора. Краћи рок може важити за хитне потребе безбедности или доступности; Maildroppa образлаже разлог и даје обавештење што је раније могуће.

9.4 Купац може уложити приговор у року за обавештење на конкретним, образложеним основама заштите података. Стране траже разумно решење, као што је промена конфигурације. Ако није могуће и приговор је оправдан, Купац може раскинути главни Уговор из важних разлога без додатне накнаде пре него што нови подпроцесор почне са обрадом. Пуко комерцијално или конкурентско противљење није довољно.

9.5 Услуге које не обрађују Личне податке Купца и примаоци или интеграције које Купац повезује по сопственом упутству нису подпроцесори Maildroppa-е. То укључује услугу коју Купац повезује и уговори преко сопственог рачуна трећег лица.

10. Међународни преноси

10.1 Maildroppa преноси Личне податке Купца изван Европског економског простора само по документованом упутству и у складу с Поглављем V GDPR-а.

10.2 Када не постоји применљива одлука о адекватности, Maildroppa склапа актуелне Стандардне уговорне клаузуле Европске комисије са увозником. Модул 2 се обично примењује када је Купац контролор, а Модул 3 када је Купац обрађивач. Овај DPA и његови Прилози попуњавају одговарајуће Анексе SCC-а.

10.3 Када је пружалац важеће сертификован под Оквиром приватности података ЕУ–САД за релевантне податке, може се користити одлука о адекватности. Maildroppa у разумним интервалима прати релевантну сертификацију и одржава алтернативни механизам кад је потребно ради континуитета преноса.

10.4 Maildroppa документује процену утицаја преноса где је потребно и користи допунске техничке, уговорне или организационе мере одговарајуће релевантном праву, могућности приступа и ризику података. Купац доставља информације потребне за процену сопствених упутстава.

11. Враћање и брисање

11.1 Током Уговора Купац може користити расположиве функције извоза и брисања. Пре истека уговора Купац може захтевати враћање оперативних Личних података Купца у доступном, широко коришћеном машински читљивом формату.

11.2 Након престанка услуга Maildroppa брише све Личне податке Купца и копије без неоправданог одлагања, осим ако Купац претходно затражи враћање или право Уније/државе чланице захтева чување. Брисање почиње по завршетку сваког договореног враћања. На захтев Maildroppa потврђује брисање у текстуалном облику.

11.3 Подаци који остају у резервним копијама с ограниченим приступом не користе се за нове продукционе сврхе и преписују се у складу с документованим редовним циклусом резервних копија. До тада су блокирани од редовног приступа. Ако се резервна копија користи за опоравак, Maildroppa без одлагања поново примењује нерешена брисања, приговоре и ограничења.

11.4 Правно задржани подаци и минималне информације неопходне за безбедност, спречавање злоупотреба или трајно поштовање одјава изоловане су, ограничене приступом и користе се само у ту сврху, а затим се бришу када више нису потребне. Maildroppa идентификује категорију и правни основ Купцу када то већ није документовано.

12. Информације и ревизије

12.1 Maildroppa пружа информације неопходне за доказивање усклађености с чланом 28 GDPR-а и овим DPA-ом. То може обухватити актуелне ТОМ-ове, информације о подпроцесорима и преносима, одговарајуће сертификате, извештаје о ревизији, упитнике и потврде брисања.

12.2 Ако ти материјали не реше образложени ризик, Купац или независни компетентни ревизор обавезан поверљивошћу може спровести ревизију. Ревизије се обично спроводе највише једном у дванаест месеци, са најмање 30 дана најаве, у редовно радно време и без непотребног ометања других клијената или безбедности.

12.3 Додатна ревизија или ревизија са краћим роком најаве допуштена је када је оправдана Повредом личних података, конкретном материјалном бригом или налогом надзорног органа. Maildroppa може учинити високо осетљив безбедносни материјал доступним путем одговарајућег извештаја треће стране и ограничити приступ подацима других клијената, изворном коду, рањивостима или пословним тајнама ако се сврха ревизије и даље може остварити.

12.4 Свака Страна сноси сопствене трошкове. Ако ревизија ствара значајан рад изван законских дужности или не утврди материјалну неусклађеност Maildroppa-е, Maildroppa може наплатити разумне трошкове договорене унапред. Ако се идентификује материјална неусклађеност Maildroppa-е, Maildroppa сноси разумне трошкове ревизије и отклања проблем без неоправданог одлагања.

12.5 Maildroppa води евиденције категорија обраде по члану 30(2) GDPR-а и сарађује с надлежним надзорним органом на захтев.

13. Одговорност

13.1 Одговорност између Страна регулисана је чланом 82 GDPR-а, другим императивним правом о заштити података и важећим одредбама о одговорности главног Уговора. Ништа у овом DPA-у не ограничава права субјеката података или овлашћења надзорних органа.

13.2 Између Страна, свака је одговорна за губитак и трошкове у мери у којој су проузроковани њеним скривљеним кршењем овог DPA-а, законске дужности или законите одговорности. Законска права регреса остају непромењена.

14. Раскид због кршења заштите података

14.1 Ако Maildroppa материјално прекрши овај DPA, Купац може суспендовати спорну обраду док се не отклони. Ако Maildroppa не отклони материјално кршење у разумном року, или отклањање није могуће, Купац може раскинути погођену услугу из важних разлога.

14.2 Maildroppa може суспендовати незаконито упутство по клаузи 4.3. Ако се не може наћи законита алтернатива и наставак би кршио Право о заштити података, Maildroppa може раскинути погођену обраду. Обавезе враћања, брисања и чувања доказа остају.

15. Завршне одредбе

15.1 Измене се уговарају у текстуалном облику или се укључују путем доказивог електронског поступка. Прилози се могу ажурирати ради одражавања стварне обраде ако се укупна заштита битно не смањи и ако се поштују права обавештења и приговора из DPA-а.

15.2 Ако је одредба неважећа, преостале одредбе остају на снази, а законске норме је замењују.

15.3 Примењује се немачко право и одредба о месту надлежности из главног Уговора у мери у којој императивно Право о заштити података не захтева друкчије.

15.4 Ова верзија на српском језику дата је ради погодности. Ако је у супротности са немачком верзијом, немачка верзија има предност, осим ако обавезно право не захтева друкчије.

Прилог 1 – Опис обраде

1. Предмет и сврха

Обезбеђивање Maildroppa услуге засноване на облаку за имејл маркетинг заснован на сагласности, укључујући управљање контактима и листама, обрасце и Signup Flows, кампање, шаблоне, аутоматизације, слање, извештаје о испоруци и интеракцији, датотеке, интеграције, извоз, подршку, безбедност, резервне копије и уговорно брисање.

2. Трајање

Трајање главног Уговора плус период враћања, брисања и истека резервних копија из клаузе 11.

3. Природа обраде

Прикупљање путем образаца Купца, евидентирање, организација, структурирање, складиштење, прилагођавање, сегментирање, усклађивање, преузимање, приказ, увоз, извоз, пренос, слање, логовање, анализа, ограничење, резервне копије и брисање по упутству Купца.

4. Категорије субјеката података

• претплатници, потенцијални клијенти, заинтересовани контакти (leads), купци и други пословни контакти Купца;
• посетиоци образаца и одредишних страница Купца и лица која путем њих достављају податке;
• примаоци кампања, аутоматизација и трансакционих порука Купца;
• друга лица чије податке Купац законито достави услузи.

5. Категорије личних података

• подаци о идентитету и контакту: име, адреса е-поште и пословни контакт подаци које унесе Купац;
• поља профила, тагови, сегменти, листе и доделе публици које дефинише Купац;
• подаци о сагласности, извору и доказу: извор пријаве, образац, текст сагласности, временске ознаке, статус потврде и одјаве и IP/прегледач метаподаци када је омогућено и законито;
• технички подаци образаца и злоупотребе: димензије екрана, верзија прегледача и оперативног система, изведени идентификатор уређаја, IP/захтев подаци и време последњег приказа искачућег прозора сачувано у прегледачу када Купац на одговарајући начин угради учитавач обрасца;
• садржај кампања, образаца, аутоматизација, шаблона и порука;
• подаци о испоруци и интеракцији: статус испоруке, догађаји отварања и клика када су омогућени и законити, баунси, притужбе, одјаве и супресије;
• технички подаци: IP адреса, уређај, прегледач, захтев, безбедносне, информације из евиденција и о грешкама;
• датотеке, прилози и садржај који отпреми Купац;
• информације о интеграцијама, увозу, извозу и подршци, укључујући идентификаторе трећих страна које унесе Купац.

6. Посебни подаци

Обрада посебних категорија из члана 9 и података о кривичним осудама из члана 10 GDPR-а није део услуге и забрањена је осим ако се изричито унапред не уговори у текстуалном облику за конкретну сврху са додатним мерама заштите.

7. Учесталост и обим

Континуирана, у обиму који одређују коришћење, конфигурација, примаоци, план и упутства Купца.

8. Права и дужности Купца

Права и дужности Купца проистичу из овог DPA-а, главног Уговора и Права о заштити података. Купац посебно одлучује о сврхама, правним основима, категоријама података, примаоцима, конфигурацији, чувању и одговору на права субјеката података.

Прилог 2 – Техничке и организационе мере

Maildroppa одржава следеће мере за Личне податке Купца. Имплементација може еволуирати с нивоом технике без материјалног смањења укупне заштите.

1. Организација и управљање

• документоване одговорности за приватност, безбедност и инциденте;
• обавезе поверљивости за овлашћено особље;
• упутства о приватности и безбедности према улози и задатку;
• контролисано додељивање, промена и опозив унутрашњег приступа;
• документован преглед пружалаца и потребни уговори о обради података;
• процедуре за захтеве субјеката података, упутства, брисање и захтеве органа.

2. Аутентикација и контрола приступа

• аутентификовани налози преко Auth0/Okta и улогама ограничени интерфејси производа и администрације;
• појединачни унутрашњи приступ заснован на потреби и начелу најмањих привилегија;
• заштита привилегованог приступа и техничких тајни; Maildroppa не складишти лозинке у обичном тексту;
• логовање безбедносно релевантних догађаја налога и администрације;
• преглед догађаја и ризика и брз опозив приступа који више није потребан.

3. Пренос и комуникациона безбедност

• шифрован пренос употребом актуелних HTTPS/TLS веза;
• заштићени API-ји и webhook-ови путем аутентикације или метода потписа/тајног кључа где су обезбеђени;
• провере домена и пошиљаоца и подршка за уобичајене методе аутентикације имејла;
• заштита од злоупотребних захтева кроз proxy, мрежне, ограничавање учесталости захтева и безбедносне контроле.

4. Одвајање станара и сврхе

• логичка додела података и приступа налозима Купца;
• серверска ауторизација за ресурсе налога;
• одвојене улоге и сврхе за операције, подршку, обрачун и обраду Купца;
• нема коришћења Личних података Купца за рекламу трећих страна нити трговање листама.

5. Доступност, отпорност и опоравак

• основно функционисање апликације на контролисаној инфраструктури у Немачкој и примарно складиштење објект-података у ЕУ;
• заштита од мрежних напада и злоупотребног оптерећења;
• надзор услуге, хватање грешака и контролисана ескалација;
• резервне копије с ограниченим приступом по документованом распореду;
• контролисане процедуре опоравка;
• поновна примена нерешених записа брисања и ограничења после враћања.

6. Интегритет и сигурна обрада

• техничка валидација типа, величине и приступа за подржане отпреме;
• контролисано распоређивање софтвера и управљање зависностима/рањивостима;
• логовање грешака и безбедности с минимизацијом података;
• заштита од неовлашћене измене кроз контролу приступа;
• одговорна обрада баунса, притужби, одјава и супресија.

7. Заштита података већ у дизајну

• обавезна поља и обрада ограничена на сврху; додатна поља Купца су конфигурибилна;
• функције извоза, исправке, брисања и супресије подржавају процесе субјеката података;
• токови сагласности и пријаве могу бележити текст, извор и релевантне временске ознаке;
• мерење отварања и клика представљено је као транспарентна конфигурација где се функција примењује;
• дијагностички и аналитички подаци су псеудонимизовани или минимизовани кад год је могуће.

8. Брисање и чување

• оперативни токови брисања за контакте, кампање, аутоматизације, обрасце, датотеке и повезане податке Купца;
• одвајање законски обавезних обрачунских евиденција од оперативних података Купца;
• ограничене информације о супресији и безбедности користе се само у заштитну сврху;
• оперативно брисање без неоправданог одлагања по престанку услуге и завршетку сваког договореног враћања; истек резервних копија по документованом циклусу;
• враћање или брисање документовано на захтев.

9. Управљање инцидентима и преглед

• документован процес детекције, класификације, ограничења, истраге, санације и прегледа;
• обавештење Купца без неоправданог одлагања након сазнања за повреду која погађа Личне податке Купца;
• евидентирање временске линије, погођених система и података, мера и доступног утицаја;
• чување доказа под ограниченим приступом;
• периодични преглед ефикасности и прилагођавање мера засновано на ризику.

Прилог 3 – Овлашћени подпроцесори и преноси

Следећа листа се примењује на релевантне функције; не обрађује сваки пружалац исте податке за сваког Купца. Maildroppa проверава правно лице, регион и механизам преноса према стварном уговору пре прве употребе и после материјалне промене.

Auth0/Okta је укључен у овај Прилог само у мери у којој обрађује Личне податке Купца као подпроцесор у одређеном току података. Контролорска обрада Maildroppa-е података корисника налога за сопствене уговорне, рачунске и аутентикационе сврхе регулисана је Политиком приватности и изван је овог DPA-а.

Обавештења о променама

Maildroppa обавештава Купце на пословну адресу е-поште у налогу и објављује датирану верзију ове листе. Обавештење садржи пружаоца, сврху, локацију, механизам и планирани датум почетка. Поступак приговора регулисан је клаузом 9.

Интеграције под управом Купца

Zapier, Make и друге услуге које Купац повезује нису аутоматски подпроцесори Maildroppa-е. Када Maildroppa преноси податке таквој интеграцији по упутству Купца, Купац је одговоран за избор примаоца, овлашћење, обавештења о приватности, уговоре и механизме међународног преноса.