Veri İşleme Sözleşmesi

Son güncelleme: 4 Eylül 2026 · Sürüm 1.0

Bu Veri İşleme Sözleşmesi (“VİS”), Maildroppa’ya ilişkin Sözleşmenin bir parçasını oluşturur. Maildroppa, Müşteri adına kişisel verileri işlediğinde her zaman uygulanır.

Taraflar

Veri Sorumlusu (“Müşteri”): Siparişte veya Maildroppa hesabında Müşteri olarak tanımlanan gerçek veya tüzel kişi; Müşteri Kişisel Verilerinin veri sorumlusu olduğu ölçüde fiilen dâhil edilen Müşteri Bağlı Şirketi de buna dâhildir.

Veri İşleyen (“Maildroppa”):

Marcus Biel, “Maildroppa” unvanıyla faaliyet göstermektedir
Dr.-Peter-Hecker-Str. 4b
82031 Grünwald
Almanya
İletişim: iletişim formu

Müşteri ve Maildroppa birlikte “Taraflar”dır.

1. Kapsam, süre ve öncelik

1.1 Bu VİS, hizmetle bağlantılı olarak Maildroppa’nın Müşteri adına işlediği kişisel verileri (“Müşteri Kişisel Verileri”) düzenler. Konu, mahiyet, amaç, ilgili kişi kategorileri ve veri tipleri Ek 1’de açıklanmıştır.

1.2 Müşteri, Şartları, bunu içeren bir Siparişi veya ayrı bir elektronik onayı kabul ettiğinde VİS yürürlüğe girer. Ana Sözleşme süresi boyunca ve Maildroppa Müşteri Kişisel Verilerini işlediği sürece yürürlükte kalır.

1.3 Bu VİS, Müşteri adına yapılan işleme bakımından Ana Sözleşmeye üstün gelir. Zorunlu veri koruma hukuku her durumda önceliklidir.

1.4 Maildroppa, kendi amaçları — sözleşme ve faturalama, kendi hesap güvenliği, platform ve gönderim altyapısının korunması, suistimali önleme ve yasal yükümlülükler dâhil — için ayrı bir veri sorumlusu olabilir. Bu tür işlemler Gizlilik Bildirimi hükümlerine tabidir, bu VİS’e değil. Maildroppa, veri işleyen rolünü kullanarak Müşteri Kişisel Verilerini Maildroppa reklamı için kullanmayacaktır.

2. Tanımlar ve uygulanacak hukuk

2.1 “Kişisel veri”, “işleme”, “veri sorumlusu”, “veri işleyen”, “ilgili kişi”, “kişisel veri ihlali” ve “denetim makamı” GDPR’da verilen anlamları taşır.

2.2 “Veri Koruma Hukuku”, GDPR, Alman Federal Veri Koruma Yasası ve ilgili işlemlere uygulanabilir diğer veri koruma hukukunu ifade eder.

2.3 Müşteri, başka bir veri sorumlusu adına veri işleyense, Maildroppa alt işleyendir. Müşteri, Maildroppa’yı talimatlandırmaya ve görevlendirmeye yetkili olduğunu garanti eder; bu VİS’i yerine getirmek için gerekli ölçüde veri sorumlusunun bilgilerini ve haklarını Maildroppa’ya sunar.

3. Müşteri sorumluluğu ve talimatlar

3.1 İşlemenin hukuka uygunluğu, ilgili kişi hakları, veri doğruluğu ve gerekliliği ile talimatlardan Müşteri sorumludur. Özellikle hukuki dayanak, aydınlatma, gerekli olduğunda rıza, saklama ve silme kararları ile yasal alıcıları sağlar.

3.2 Belgelendirilmiş talimatlar; Ana Sözleşme, bu VİS, Müşteri’nin hizmet yapılandırması ve kullanımı ile metin biçimindeki ek talimatlardan oluşur. Bir talimat, kararlaştırılan hizmetin niteliğini, amacını veya kapsamını esaslı biçimde değiştirmemelidir. Ek talimatlar ayrı sözleşme ve makul bir ücret gerektirebilir.

3.3 Müşteri; Maildroppa, belirli amaç ve önlemleri önceden metin biçiminde açıkça onaylamadıkça, GDPR Madde 9 kapsamındaki özel nitelikli verileri, Madde 10 kapsamındaki ceza mahkûmiyeti ve suç verilerini, tam ödeme aracı verilerini, resmî sırları veya diğer özel korumalı bilgileri Maildroppa’da işlememelidir.

3.4 Müşteri; rol, dışa aktarma, silme, rıza, izleme ve entegrasyon işlevlerini riske uygun olarak yapılandırır ve hesapları, alan adlarını, API anahtarlarını ve kimlik bilgilerini korur.

4. Yalnızca belgelendirilmiş talimatlara göre işleme

4.1 Maildroppa, üçüncü bir ülkeye aktarım dâhil, yalnızca Müşteri’nin belgelendirilmiş talimatlarına göre Müşteri Kişisel Verilerini işler; Birlik veya Üye Devlet hukuku işlemi gerektiriyorsa durum farklıdır. Böyle bir durumda Maildroppa, ilgili hukuk önemli kamu yararı gerekçeleriyle bu bilgiyi vermeyi yasaklamadıkça Müşteri’yi işleme öncesinde bu yasal gereklilik hakkında bilgilendirir.

4.2 Maildroppa, Müşteri Kişisel Verilerini yalnızca kararlaştırılan hizmeti sunmak, güvenceye almak, desteklemek ve sonlandırmak ile yasal talimatları yerine getirmek için kullanır. Satış, üçüncü taraf reklamcılığı ve başka bir tarafın alıcı listesini oluşturmak yasaktır.

4.3 Maildroppa, bir talimatın Veri Koruma Hukukunu ihlal ettiğini düşünürse gecikmeksizin Müşteri’yi bilgilendirir ve yetkili merci tarafından onaylanana, değiştirilene veya açıklığa kavuşturulana kadar ilgili talimatı askıya alabilir. Taraflar, yasal bir alternatifi iyi niyetle iş birliği içinde arar.

4.4 Görevleri için erişime ihtiyaç duyan personel dışında kimse Müşteri Kişisel Verilerine erişemez. Erişimden önce bu kişiler gizlilik veya uygun bir yasal yükümlülükle bağlı kılınır ve gizlilik ile güvenlik talimatları alır.

5. Teknik ve organizasyonel önlemler

5.1 Maildroppa, GDPR Madde 28(3)(c) ve 32 kapsamında Ek 2’deki önlemleri uygular. Önlemler; teknolojik seviye, uygulama maliyetleri, işleme niteliği, kapsamı, bağlamı ve amaçları ile riskin olasılığı ve ağırlığını dikkate alır.

5.2 Maildroppa, tek tek önlemleri eşdeğer veya daha etkili kontrollerle geliştirebilir veya değiştirebilir. Genel koruma seviyesi maddi olarak düşürülemez. Maddi olumsuz değişiklikler, akut bir riski gidermek için derhâl eylem gerekmedikçe önceden bildirilir.

5.3 Güvenlik ortak bir sorumluluktur. Yalnızca hukuka aykırı Müşteri İçeriği, güvensiz Müşteri cihazları, paylaşılan kimlik bilgileri, yanlış yapılandırılmış Müşteri entegrasyonları veya Müşteri talimatlarından kaynaklanan risklerden Maildroppa sorumlu değildir. Maildroppa’nın kendi yasal ve sözleşmesel yükümlülükleri etkilenmez.

6. İlgili kişi haklarına yardım

6.1 Maildroppa, işleme niteliğini dikkate alarak, GDPR Bölüm III kapsamındaki taleplerde (erişim, düzeltme, silme, kısıtlama, taşınabilirlik, itiraz ve otomatik kararlar hakkında bilgi) uygun teknik ve organizasyonel önlemlerle Müşteri’ye yardımcı olur.

6.2 Talep edilen veriler ürün işlevselliği ile erişilebiliyorsa Müşteri talebi kendisi yerine getirir. Ek, orantılı destek için Maildroppa, kullanılabilir bilgileri sağlar veya belgelendirilmiş talimatla verileri düzeltir, dışa aktarır, kısıtlar ya da siler.

6.3 Maildroppa, görünür şekilde Müşteri Kişisel Verilerine ilişkin bir ilgili kişi talebi aldığında gecikmeksizin Müşteri’yi bilgilendirir ve Müşteri talimatı ya da hukuki zorunluluk olmadıkça esaslı cevap vermez. Maildroppa, talebin veri sorumlusuna iletildiğini ilgili kişiye bildirebilir.

6.4 Müşteri, talebi güvenli şekilde bulmak ve yerine getirmek için yalnızca gerekli bilgileri gönderir. GDPR Madde 28’in izin verdiği ölçüde, bariz şekilde aşırı, tekrarlanan veya standart dışı yardımlar için Maildroppa makul, önceden bildirilen maliyet talep edebilir.

7. Uyumluluk, etki değerlendirmeleri ve makamlar

7.1 Maildroppa, işleme niteliği ve mevcut bilgiler ışığında, GDPR Madde 32-36 kapsamındaki güvenlik, ihlal bildirimi ve iletişim, veri koruma etki değerlendirmeleri ve ön danışma dâhil konularda Müşteri’ye yardımcı olur.

7.2 Makul talep üzerine Maildroppa, Müşteri’nin etki değerlendirmesi için gerekli hizmet, veri akışı, önlem, alt işleyici ve bilinen risk bilgilerini — belgelerde veya hesapta zaten bulunmayanları — sağlar.

7.3 Maildroppa, Müşteri Kişisel Verilerine ilişkin bağlayıcı bir makam veya mahkeme talebi aldığında hukuken izin verildiği sürece ifşadan önce Müşteri’yi bilgilendirir. Yetki ve kapsamı değerlendirir, yalnızca yasal olarak zorunlu olanı açıklar ve konuyu kayda geçirir.

8. Kişisel veri ihlalleri

8.1 Maildroppa, Müşteri Kişisel Verilerini etkileyen bir Kişisel Veri İhlalini öğrendikten gecikmeksizin sonra Müşteri’yi bilgilendirir. İlk bilgiler aşamalı verilebilir ve soruşturma tamamlanana kadar bekletilmez.

8.2 Bildirim, eldeki ölçüde aşağıdakileri içerir:

• ihlalin niteliği, etkilenen kişi ve kayıt kategorileri ile yaklaşık sayı;
• muhtemel sonuçlar;
• sınırlama ve giderme için alınan veya önerilen önlemler;
• zamanlama veya dönem ve mevcut soruşturma durumu;
• sorular için bir irtibat noktası.

8.3 Maildroppa, makul sınırlama, delil koruma, kök neden analizi ve düzeltme adımlarını hızla atar, ihlali belgeler ve Müşteri’nin GDPR Madde 33-34 yükümlülükleri için mevcut bilgileri sağlar.

8.4 Müşteri, değerlendirmeden, kendisinin ihlalden haberdar olmasını izleyen 72 saat içinde denetim makamına yapılması gereken herhangi bir bildirimden ve ilgili kişilere yapılması gereken herhangi bir iletişimden sorumlu olmaya devam eder. Maildroppa bildirimi, bir yükümlülük ihlali veya sorumluluk kabulü değildir.

8.5 Müşteri, kendi ortamındaki ve Müşteri Kişisel Verilerini veya hizmeti etkileyebilecek güvenlik olaylarını Maildroppa’ya derhâl bildirir ve azaltma çalışmalarında iş birliği yapar.

9. Alt işleyiciler

9.1 Müşteri, Ek 3’teki alt işleyiciler için genel yazılı yetki verir. Maildroppa, GDPR Madde 28(4) yükümlülüklerinin alt işleyici tarafından yerine getirilmesinden Müşteri’ye karşı sorumlu olmaya devam eder.

9.2 Maildroppa, her alt işleyiciyi ilgili hizmet için talimatlar, gizlilik, güvenlik, yardım, silme ve denetim hakları dâhil olmak üzere esasen aynı veri koruma seviyesine sözleşmeyle bağlar.

9.3 Maildroppa, bir alt işleyiciyi eklemeden veya değiştirmeden genellikle en az 30 gün önce hesapta kayıtlı ticari e-posta adresine bildirim gönderir ve alt işleyici listesinde tarihli değişiklik yayımlar. Acil güvenlik veya erişilebilirlik ihtiyacı hâlinde süre kısalabilir; Maildroppa nedeni açıklar ve mümkün olduğunca erken bilgilendirir.

9.4 Müşteri, bildirim süresi içinde belirli, gerekçeli veri koruma temelli itirazda bulunabilir. Taraflar, yapılandırma değişikliği gibi makul bir çözüm arar. Çözüm mümkün değilse ve itiraz haklıysa, yeni alt işleyici kullanılmadan önce Müşteri, Ana Sözleşmeyi ek ücret olmaksızın haklı nedenle feshedebilir. Sırf ticari veya rekabete dayalı itirazlar yeterli değildir.

9.5 Müşteri Kişisel Verilerini işlemeyen hizmetler ile Müşteri’nin talimatıyla bağlanan alıcılar veya entegrasyonlar Maildroppa alt işleyicisi değildir. Buna, Müşteri’nin kendi üçüncü taraf hesabı üzerinden bağlandığı ve sözleşme yaptığı hizmet dâhildir.

10. Uluslararası aktarımlar

10.1 Maildroppa, Müşteri Kişisel Verilerini Avrupa Ekonomik Alanı dışına yalnızca belgelendirilmiş talimatlara ve GDPR Bölüm V’e uygun olarak aktarır.

10.2 Uygulanabilir bir yeterlilik kararı bulunmadığında Maildroppa, ithalatçı ile güncel Avrupa Komisyonu Standart Sözleşme Maddelerini (SCC) akdeder. Müşteri veri sorumlusuysa genellikle Modül 2, veri işleyiciyse Modül 3 uygulanır. Bu VİS ve Ek’leri, ilgili SCC Eklerini tamamlar.

10.3 Bir sağlayıcı, ilgili veriler için AB-ABD Veri Gizliliği Çerçevesi kapsamında geçerli şekilde sertifikalıysa yeterlilik kararı kullanılabilir. Maildroppa sertifikayı makul aralıklarla izler ve aktarımı sürdürmek için gerektiğinde alternatif bir mekanizmayı muhafaza eder.

10.4 Maildroppa, gerektiğinde aktarım etki değerlendirmesini belgeler ve ilgili hukuk, erişim olasılığı ve veri riskine uygun tamamlayıcı teknik, sözleşmesel veya organizasyonel önlemler kullanır. Müşteri, kendi talimatlarını değerlendirmek için gerekli bilgileri sağlar.

11. İade ve silme

11.1 Sözleşme süresince Müşteri, mevcut dışa aktarma ve silme işlevlerini kullanabilir. Sözleşme bitmeden önce, faal Müşteri Kişisel Verilerinin mevcut, yaygın kullanılan, makine tarafından okunabilir bir formatta iadesini talep edebilir.

11.2 Hizmetler sona erdikten sonra Maildroppa, Müşteri önceden iade talep etmiş olmadıkça veya Birlik ya da Üye Devlet hukuku saklamayı gerektirmedikçe tüm Müşteri Kişisel Verilerini ve kopyalarını gereksiz gecikme olmaksızın siler. Mutabık kalınan bir iade tamamlandıktan sonra silme başlar. Talep üzerine Maildroppa silmeyi metin biçiminde teyit eder.

11.3 Erişimi kısıtlı yedeklerde kalan veriler yeni üretim amaçları için kullanılmaz ve belgelenmiş düzenli yedekleme döngüsü kapsamında üzerine yazılır. O zamana kadar olağan erişime kapalı tutulur. Kurtarma amaçlı geri yükleme yapılırsa Maildroppa, bekleyen silme, itiraz ve kısıtlama kayıtlarını derhâl yeniden uygular.

11.4 Yasal olarak saklanan veriler ile güvenlik, suistimal önleme veya kalıcı abonelikten çıkma gözetimi için kesinlikle gerekli asgari bilgiler izole edilir, erişim kısıtlanır ve yalnızca bu amaç için kullanılır; artık gerekmediğinde silinir. Maildroppa, belgelenmemişse kategori ve hukuki dayanağı Müşteri’ye bildirir.

12. Bilgi ve denetimler

12.1 Maildroppa, GDPR Madde 28’e ve bu VİS’e uyumun kanıtlanması için gerekli bilgileri sağlar. Buna güncel TOM’lar, alt işleyici ve aktarım bilgileri, uygun sertifikalar, denetim raporları, anketler ve silme teyitleri dâhil olabilir.

12.2 Bu materyaller kanıtlanmış bir riski çözmezse Müşteri veya gizliliğe bağlı bağımsız yetkin bir denetçi denetim gerçekleştirebilir. Denetimler genellikle 12 ayda birden sık olmaz, en az 30 gün önceden bildirilir, normal çalışma saatlerinde ve diğer müşteriler ile güvenliğe gereksiz kesinti yaratmadan yapılır.

12.3 Kişisel Veri İhlali, özel bir önemli endişe veya denetim makamı talimatı hâlinde ek veya kısa bildirimli denetim mümkündür. Maildroppa, son derece hassas güvenlik materyallerini uygun bir üçüncü taraf raporuyla sunabilir ve denetim amacı korunabildiği sürece diğer müşteri verileri, kaynak kodu, açıklar veya ticari sırlarla erişimi sınırlayabilir.

12.4 Her Taraf kendi masraflarını karşılar. Denetim, yasal görevler dışında önemli ek iş yaratırsa veya Maildroppa’da maddi bir uyumsuzluk bulunmazsa Maildroppa önceden mutabık kalınan makul maliyet talep edebilir. Maddi bir Maildroppa uyumsuzluğu tespit edilirse Maildroppa makul denetim masraflarını üstlenir ve sorunu gecikmeksizin giderir.

12.5 Maildroppa, GDPR Madde 30(2) uyarınca işleme kategorileri kayıtlarını tutar ve talep üzerine yetkili denetim makamıyla iş birliği yapar.

13. Sorumluluk

13.1 Taraflar arasındaki sorumluluk, GDPR Madde 82, diğer zorunlu Veri Koruma Hukuku ve Ana Sözleşmenin yürürlükteki sorumluluk hükümleri ile düzenlenir. Bu VİS, ilgili kişi haklarını veya denetim makamı yetkilerini sınırlamaz.

13.2 Taraflar arasında, her biri kusurlu ihlal ettiği bu VİS, yasal yükümlülük veya meşru sorumluluktan kaynaklanan kayıp ve masraflardan kendi payı oranında sorumludur. Yasal rücu hakları saklıdır.

14. Veri koruma ihlali nedeniyle fesih

14.1 Maildroppa bu VİS’i esaslı şekilde ihlal ederse Müşteri, ihlal giderilene kadar ilgili işlemi askıya alabilir. Maildroppa makul sürede ihlali gidermezse veya giderim imkânsızsa Müşteri, ilgili hizmeti haklı nedenle feshedebilir.

14.2 Maildroppa, Madde 4.3 uyarınca hukuka aykırı bir talimatı askıya alabilir. Yasal bir alternatif bulunamaz ve devam etmek Veri Koruma Hukukunu ihlal edecekse Maildroppa ilgili işlemi feshedebilir. İade, silme ve delil yükümlülükleri devam eder.

15. Son hükümler

15.1 Değişiklikler metin biçiminde kabul edilir veya kanıtlanabilir bir elektronik süreçle dâhil edilir. Ek’ler, genel koruma maddi olarak azaltılmadığı ve VİS bildirim ve itiraz haklarına uyulduğu sürece fiili işlemleri yansıtacak şekilde güncellenebilir.

15.2 Bir hüküm geçersizse kalan hükümler yürürlükte kalır ve yasal kurallar onun yerine geçer.

15.3 Zorunlu Veri Koruma Hukukunun aksi gerekmediği sürece Alman hukuku ve Ana Sözleşmenin yetki yeri hükmü uygulanır.

15.4 Bu Türkçe sürüm yalnızca kolaylık sağlamak için sunulmuştur. Almanca sürümle çelişmesi hâlinde, zorunlu hukuk aksini gerektirmedikçe Almanca sürüm üstün gelir.

Ek 1 – İşlemenin tanımı

1. Konu ve amaç

İzin esaslı e-posta pazarlaması için bulut tabanlı Maildroppa hizmetinin sağlanması; iletişim ve liste yönetimi, formlar ve Kayıt Akışları, kampanyalar, şablonlar, otomasyonlar, gönderim, teslimat ve etkileşim raporları, dosyalar, entegrasyonlar, dışa aktarma, destek, güvenlik, yedekleme ve sözleşmesel silme dâhil.

2. Süre

Ana Sözleşme süresi artı Madde 11’deki iade, silme ve yedek sona erme süresi.

3. İşlemenin mahiyeti

Müşteri formları aracılığıyla toplama, kaydetme, düzenleme, yapılandırma, saklama, uyarlama, segmentasyon, eşleştirme, alma, görüntüleme, içe/dışa aktarma, iletim, gönderim, günlükleme, analiz, kısıtlama, yedekleme ve Müşteri talimatıyla silme.

4. İlgili kişi kategorileri

• Müşteri aboneleri, potansiyel müşteriler, adaylar, müşteriler ve diğer iş bağlantıları;
• Müşteri formları ve açılış sayfalarını ziyaret eden ve gönderen kişiler;
• Müşteri kampanya, otomasyon ve işlem mesajı alıcıları;
• Müşteri’nin hizmete hukuka uygun şekilde sunduğu diğer gerçek kişiler.

5. Kişisel veri kategorileri

• kimlik ve iletişim verileri: ad, e-posta adresi ve Müşteri tarafından girilen iş iletişim bilgileri;
• Müşteri tanımlı profil alanları, etiketler, segmentler, listeler ve hedef kitle atamaları;
• rıza, kaynak ve kanıt verileri: kayıt kaynağı, form, rıza metni, zaman damgaları, onay ve abonelikten çıkma durumu ile etkin ve yasal olduğunda IP/tarayıcı meta verisi;
• teknik form ve suistimal verileri: ekran boyutları, tarayıcı ve işletim sistemi sürümü, türetilmiş cihaz tanımlayıcısı, IP/istek verisi ve Müşteri form yükleyiciyi buna göre gömdüyse tarayıcıda saklanan son açılır pencere görüntüleme zamanı;
• kampanya, form, otomasyon, şablon ve mesaj içeriği;
• teslimat ve etkileşim verileri: teslimat durumu, etkinleştirildiğinde ve hukuka uygun olduğunda açılma ve tıklama olayları, geri dönmeler, şikâyetler, abonelikten çıkmalar ve baskılamalar;
• teknik veriler: IP adresi, cihaz, tarayıcı, istek, güvenlik, günlük ve hata bilgisi;
• Müşteri tarafından yüklenen dosyalar, ekler ve içerik;
• entegrasyon, içe/dışa aktarma ve destek bilgileri, Müşteri’nin sunduğu üçüncü taraf tanımlayıcılar dâhil.

6. Özel veriler

GDPR Madde 9 kapsamındaki özel nitelikli verilerin ve Madde 10 kapsamındaki ceza mahkûmiyeti verilerinin işlenmesi hizmetin parçası değildir ve ek koruma önlemleriyle belirli bir amaç için önceden metin biçiminde açıkça mutabık kalınmadıkça yasaktır.

7. Sıklık ve hacim

Sürekli; hacim, Müşteri’nin kullanımına, yapılandırmasına, alıcılarına, planına ve talimatlarına bağlıdır.

8. Müşteri hak ve yükümlülükleri

Müşteri’nin hak ve yükümlülükleri bu VİS, Ana Sözleşme ve Veri Koruma Hukukundan doğar. Özellikle amaçlar, hukuki dayanaklar, veri kategorileri, alıcılar, yapılandırma, saklama ve ilgili kişi haklarına yanıt konusunda karar verir.

Ek 2 – Teknik ve organizasyonel önlemler

Maildroppa, Müşteri Kişisel Verileri için aşağıdaki önlemleri uygular. Uygulama, genel koruma seviyesi maddi olarak azaltılmadan, teknolojik gelişime paralel olarak evrilebilir.

1. Organizasyon ve yönetişim

• belgelenmiş gizlilik, güvenlik ve olay sorumlulukları;
• yetkilendirilmiş personel için gizlilik yükümlülükleri;
• role ve göreve uygun gizlilik ve güvenlik talimatları;
• dahili erişimin kontrollü verilmesi, değiştirilmesi ve iptali;
• sağlayıcı incelemesi ve zorunlu veri işleme sözleşmelerinin belgelenmesi;
• ilgili kişi talepleri, talimatlar, silme ve makam talepleri için prosedürler.

2. Kimlik doğrulama ve erişim kontrolü

• Auth0/Okta üzerinden kimlik doğrulanmış hesaplar ve rol kısıtlı ürün ile yönetim arayüzleri;
• ihtiyaç ve en az ayrıcalık esaslı bireysel dahili erişim;
• ayrıcalıklı erişim ve teknik sırların korunması; Maildroppa tarafından şifrelerin düz metin saklanmaması;
• güvenlik ile ilgili hesap ve yönetim olaylarının günlüklenmesi;
• olay ve risk bazlı inceleme ile artık gerekli olmayan erişimin hızla iptali.

3. İletim ve haberleşme güvenliği

• güncel HTTPS/TLS bağlantılarıyla şifreli iletim;
• sağlanan noktalarda kimlik doğrulama veya imza/gizli anahtar yöntemi kullanan korumalı API ve web kancaları;
• alan adı ve gönderici kontrolleri ile yaygın e-posta kimlik doğrulama yöntemlerinin desteklenmesi;
• vekil, ağ, oran sınırlama ve güvenlik kontrolleriyle kötüye kullanım isteklerine karşı koruma.

4. Kiracı ve amaç ayrımı

• Müşteri hesaplarına veri ve erişimin mantıksal tahsisi;
• hesap kaynakları için sunucu tarafı yetkilendirme;
• operasyon, destek, faturalama ve Müşteri işleme için ayrılmış roller ve amaçlar;
• Müşteri Kişisel Verilerinin üçüncü taraf reklamı veya liste ticareti için kullanılmaması.

5. Erişilebilirlik, dayanıklılık ve kurtarma

• Almanya’daki kontrol edilen altyapıda çekirdek uygulama işletimi ve AB’de birincil nesne verisi depolaması;
• ağ saldırıları ve kötüye kullanım yüküne karşı önlemler;
• hizmet izleme, hata yakalama ve kontrollü tırmanma;
• belgelenmiş takvimde erişimi kısıtlı yedeklemeler;
• kontrollü kurtarma prosedürleri;
• geri yüklemeden sonra bekleyen silme ve kısıtlama kayıtlarının yeniden uygulanması.

6. Bütünlük ve güvenli işleme

• desteklenen yüklemeler için teknik tür, boyut ve erişim doğrulaması;
• kontrollü yazılım dağıtımı ve bağımlılık/açık yönetimi;
• veri minimizasyonu ile hata ve güvenlik günlüklemesi;
• erişim kontrolüyle yetkisiz değişikliğe karşı önlemler;
• sorumlu geri dönme, şikâyet, abonelikten çıkma ve baskılama işleme.

7. Tasarımda veri koruması

• amaçla sınırlı zorunlu alanlar ve işleme; ek Müşteri alanları yapılandırılabilir;
• dışa aktarma, düzeltme, silme ve baskılama işlevleri ilgili kişi süreçlerini destekler;
• rıza ve kayıt akışları metin, kaynak ve ilgili zaman damgalarını kaydedebilir;
• açılma ve tıklama ölçümü, işlev uygulandığında şeffaf bir yapılandırma olarak sunulur;
• tanılama ve analiz verileri mümkün olduğunda takma adlandırılır veya minimize edilir.

8. Silme ve saklama

• kişiler, kampanyalar, otomasyonlar, formlar, dosyalar ve ilgili Müşteri verileri için operasyonel silme akışları;
• yasal faturalama kayıtlarının operasyonel Müşteri verilerinden ayrılması;
• yalnızca koruyucu amacı için kullanılan sınırlı baskılama ve güvenlik bilgisi;
• hizmet bitiminden ve mutabık kalınan iade tamamlandıktan sonra gecikmeksizin operasyonel silme; belgelenen yedek döngüsünde yedek silinmesi;
• talep üzerine iade veya silmenin belgelenmesi.

9. Olay yönetimi ve gözden geçirme

• belgelenmiş tespit, sınıflandırma, sınırlama, araştırma, düzeltme ve gözden geçirme süreci;
• Müşteri Kişisel Verilerini etkileyen ihlalin farkına varıldıktan sonra gecikmeksizin Müşteri’ye bildirim;
• zaman çizelgesi, etkilenen sistem ve veriler, önlemler ve mevcut etki kayıtları;
• erişim kısıtlaması altında kanıt koruma;
• önlemlerin periyodik etkinlik incelemesi ve risk bazlı ayarlanması.

Ek 3 – Yetkilendirilmiş alt işleyiciler ve aktarımlar

Aşağıdaki liste ilgili işlevler için geçerlidir; her sağlayıcı her Müşteri için aynı verileri işlemez. Maildroppa, ilk kullanım öncesi ve maddi bir değişiklik sonrasında hukuki kişiliği, bölgeyi ve aktarım mekanizmasını fiili sözleşmeye göre doğrular.

Auth0/Okta, yalnızca belirli bir veri akışında alt işleyici olarak Müşteri Kişisel Verilerini işlediği ölçüde bu Ek’e dâhildir. Maildroppa’nın kendi sözleşme, hesap ve kimlik doğrulama amaçları için hesap kullanıcı verilerini veri sorumlusu olarak işlemesi Gizlilik Bildirimine tabidir ve bu VİS kapsamı dışındadır.

Değişiklik bildirimleri

Maildroppa, hesapta kayıtlı ticari e-posta adresine bildirim gönderir ve bu listenin tarihli bir sürümünü yayımlar. Bildirim; sağlayıcı, amaç, konum, mekanizma ve planlanan başlangıç tarihini belirtir. İtiraz süreci Madde 9 tarafından düzenlenir.

Müşteri yönlendirmeli entegrasyonlar

Zapier, Make ve Müşteri tarafından bağlanan diğer hizmetler otomatik olarak Maildroppa alt işleyicisi değildir. Maildroppa, Müşteri talimatıyla bu tür bir entegrasyona veri ilettiğinde, alıcı seçimi, yetki, gizlilik bildirimleri, sözleşmeler ve uluslararası aktarım mekanizmalarından Müşteri sorumludur.