Угода про обробку даних

Останнє оновлення: 4 вересня 2026 · Версія 1.0

Ця Угода про обробку даних («DPA») є частиною Договору щодо Maildroppa. Вона застосовується щоразу, коли Maildroppa обробляє персональні дані від імені Клієнта.

Сторони

Контролер («Клієнт»): фізична або юридична особа, зазначена як Клієнт у Замовленні або обліковому записі Maildroppa, зокрема Афілійована особа Клієнта, на яку належним чином поширено дію Договору, якщо така Афілійована особа є контролером Персональних даних Клієнта.

Оператор («Maildroppa»):

Marcus Biel, який здійснює діяльність під комерційним найменуванням «Maildroppa»
Dr.-Peter-Hecker-Str. 4b
82031 Grünwald
Germany
Зв’язок: контактна форма

Клієнт і Maildroppa разом іменуються «Сторони».

1. Сфера застосування, строк дії та пріоритет

1.1 Ця DPA регулює обробку Maildroppa персональних даних від імені Клієнта у зв’язку з наданням сервісу («Персональні дані Клієнта»). Предмет, характер, мету, категорії суб’єктів даних і типи даних описано в Додатку 1.

1.2 DPA набирає чинності, коли Клієнт приймає Умови, Замовлення, до якого її включено, або надає окреме електронне підтвердження. Вона залишається чинною протягом строку дії Договору та доти, доки Maildroppa обробляє Персональні дані Клієнта.

1.3 Ця DPA має переважну силу перед основним Договором щодо обробки даних від імені Клієнта. Імперативні норми законодавства про захист даних мають переважну силу в усіх випадках.

1.4 Для власних цілей — зокрема виконання договорів і виставлення рахунків, забезпечення безпеки власних облікових записів Maildroppa, захисту платформи та інфраструктури надсилання, запобігання зловживанням і виконання правових обов’язків — Maildroppa може бути окремим контролером. Така обробка регулюється Повідомленням про конфіденційність, а не цією DPA. Maildroppa не використовуватиме роль оператора для використання Персональних даних Клієнта з метою реклами Maildroppa.

2. Визначення та застосовне законодавство

2.1 Терміни «персональні дані», «обробка», «контролер», «оператор», «суб’єкт даних», «порушення захисту персональних даних» і «наглядовий орган» мають значення, визначені в Загальному регламенті про захист даних (GDPR).

2.2 «Законодавство про захист даних» означає GDPR, Федеральний закон Німеччини про захист даних та інше законодавство про захист даних, застосовне до відповідної обробки.

2.3 Якщо Клієнт сам є оператором для іншого контролера, Maildroppa діє як субоператор. Клієнт гарантує, що має повноваження надавати інструкції Maildroppa та залучати її, і надаватиме Maildroppa інформацію контролера та забезпечуватиме можливість реалізації його прав тією мірою, якою це необхідно для виконання цієї DPA.

3. Відповідальність та інструкції Клієнта

3.1 Клієнт відповідає за законність обробки, дотримання прав суб’єктів даних, точність і необхідність даних, а також за свої інструкції. Зокрема, Клієнт забезпечує наявність правової підстави, надання повідомлень, отримання згоди, якщо вона потрібна, ухвалення рішень щодо зберігання та стирання даних і законність передавання даних одержувачам.

3.2 Документовані інструкції складаються з основного Договору, цієї DPA, налаштувань і використання сервісу Клієнтом та додаткових інструкцій у текстовій формі. Інструкція не повинна докорінно змінювати характер, мету або обсяг погодженого сервісу. Додаткові інструкції можуть потребувати окремої угоди та обґрунтованої плати.

3.3 Клієнту заборонено обробляти в Maildroppa особливі категорії даних за статтею 9 GDPR, дані про судимості та кримінальні правопорушення за статтею 10 GDPR, повні дані платіжних інструментів, службові таємниці або іншу інформацію, що підлягає особливому захисту, якщо Maildroppa заздалегідь прямо не погодить конкретну мету та гарантії захисту в текстовій формі.

3.4 Клієнт налаштовує доступні функції ролей, експорту, стирання, згоди, відстеження й інтеграцій відповідно до ризиків та захищає облікові записи, домени, ключі API й облікові дані доступу.

4. Обробка лише за документованими інструкціями

4.1 Maildroppa обробляє Персональні дані Клієнта лише за документованими інструкціями Клієнта, зокрема щодо передавання до третьої країни, якщо тільки законодавство Союзу або держави-члена не вимагає такої обробки. У такому разі Maildroppa повідомляє Клієнта про відповідну правову вимогу до початку обробки, якщо закон не забороняє таке повідомлення з важливих міркувань суспільного інтересу.

4.2 Maildroppa використовує Персональні дані Клієнта лише для надання, захисту, підтримки та припинення погодженого сервісу й виконання законних інструкцій. Продаж, реклама третіх осіб і створення списку одержувачів іншої особи заборонені.

4.3 Якщо Maildroppa вважає, що інструкція порушує Законодавство про захист даних, вона без невиправданої затримки повідомляє Клієнта та може призупинити виконання відповідної інструкції до її підтвердження, зміни або роз’яснення компетентним органом. Сторони добросовісно співпрацюють для визначення законної альтернативи.

4.4 Доступ до Персональних даних Клієнта можуть мати лише працівники, яким він потрібен для виконання їхніх обов’язків. До надання доступу ці особи беруть на себе зобов’язання щодо конфіденційності або на них поширюється відповідний законодавчо встановлений обов’язок; вони також отримують інструкції щодо захисту персональних даних і безпеки.

5. Технічні та організаційні заходи

5.1 Maildroppa впроваджує заходи, передбачені Додатком 2, відповідно до статей 28(3)(c) і 32 GDPR. Заходи враховують сучасний рівень технічного розвитку, витрати на впровадження, характер, обсяг, контекст і цілі обробки, а також імовірність і тяжкість ризику.

5.2 Maildroppa може вдосконалювати окремі заходи або замінювати їх рівноцінними чи ефективнішими засобами контролю. Загальний погоджений рівень захисту не повинен істотно знижуватися. Про істотні несприятливі зміни повідомляється заздалегідь, якщо негайні дії не є необхідними для усунення гострого ризику.

5.3 Безпека є спільною відповідальністю. Maildroppa не відповідає за ризики, спричинені виключно незаконним Вмістом Клієнта, незахищеними пристроями Клієнта, спільним використанням облікових даних доступу, неправильно налаштованими інтеграціями Клієнта або інструкціями Клієнта. Власні законодавчі та договірні обов’язки Maildroppa залишаються незмінними.

6. Допомога в реалізації прав суб’єктів даних

6.1 З урахуванням характеру обробки Maildroppa за допомогою відповідних технічних та організаційних заходів допомагає Клієнту виконувати запити за главою III GDPR, зокрема щодо доступу, виправлення, стирання, обмеження обробки, перенесення даних, заперечення проти обробки та інформації про автоматизовані рішення.

6.2 Якщо запитувані дані доступні через функції продукту, Клієнт самостійно опрацьовує запит. Для надання додаткової пропорційної підтримки Maildroppa надає наявну інформацію або виправляє, експортує, обмежує обробку чи стирає дані за документованою інструкцією.

6.3 Якщо Maildroppa отримує запит суб’єкта даних, який явно стосується Персональних даних Клієнта, вона без невиправданої затримки повідомляє Клієнта й не надає відповіді по суті, якщо Клієнт не дав відповідної інструкції або цього не вимагає закон. Maildroppa може повідомити суб’єкта даних, що запит передано контролеру.

6.4 Клієнт надсилає лише інформацію, необхідну для пошуку відповідних даних і безпечного виконання запиту. Maildroppa може стягувати обґрунтовану плату, про яку повідомлено заздалегідь, за явно надмірну, повторювану або нестандартну допомогу тією мірою, якою це дозволяє стаття 28 GDPR.

7. Дотримання вимог, оцінювання впливу та органи влади

7.1 З урахуванням характеру обробки та наявної інформації Maildroppa допомагає Клієнту виконувати вимоги статей 32–36 GDPR, зокрема щодо безпеки, повідомлення наглядових органів і суб’єктів даних про порушення, оцінювання впливу на захист даних та попередніх консультацій.

7.2 На обґрунтований запит Maildroppa надає інформацію про сервіс, потоки даних, заходи, субоператорів і відомі ризики, необхідну Клієнту для оцінювання впливу, якщо вона ще не доступна в документації або обліковому записі.

7.3 Якщо Maildroppa отримує обов’язковий до виконання запит органу влади або суду щодо Персональних даних Клієнта, вона повідомляє Клієнта до розкриття даних, якщо це дозволено законом. Maildroppa перевіряє повноваження та обсяг запиту, розкриває лише те, що вимагається законом, і документує відповідний випадок.

8. Порушення захисту персональних даних

8.1 Maildroppa повідомляє Клієнта без невиправданої затримки після того, як їй стає відомо про Порушення захисту персональних даних, що стосується Персональних даних Клієнта. Первинна інформація може надаватися поетапно, і її надання не відкладатиметься до завершення розслідування.

8.2 За наявності відповідної інформації повідомлення містить:

• характер порушення, зокрема категорії та приблизну кількість осіб і записів, яких воно стосується;
• імовірні наслідки;
• вжиті або запропоновані заходи для локалізації порушення й усунення його наслідків;
• час або період порушення та поточний стан розслідування;
• контактну особу або канал зв’язку для запитань.

8.3 Maildroppa оперативно вживає обґрунтованих заходів для локалізації порушення, збереження доказів, встановлення першопричини й усунення наслідків, документує порушення та надає наявну інформацію для виконання Клієнтом обов’язків за статтями 33 і 34 GDPR.

8.4 Клієнт залишається відповідальним за оцінювання та будь-яке повідомлення наглядового органу протягом 72 годин із моменту, коли йому самому стало відомо про порушення, а також за будь-яке повідомлення суб’єктів даних. Повідомлення Maildroppa не є визнанням порушення обов’язків або відповідальності.

8.5 Клієнт оперативно повідомляє Maildroppa про інциденти безпеки у своєму середовищі, які можуть вплинути на Персональні дані Клієнта або сервіс, і співпрацює для зменшення їхніх наслідків.

9. Субоператори

9.1 Клієнт надає загальний письмовий дозвіл на залучення субоператорів, зазначених у Додатку 3. Maildroppa залишається відповідальною перед Клієнтом за виконання субоператором його обов’язків за статтею 28(4) GDPR.

9.2 Maildroppa договірно зобов’язує кожного субоператора забезпечувати по суті той самий рівень захисту даних для відповідної послуги, зокрема щодо інструкцій, конфіденційності, безпеки, допомоги, стирання даних і прав на аудит.

9.3 Maildroppa зазвичай повідомляє про залучення або заміну субоператора щонайменше за 30 днів, надсилаючи повідомлення на робочу адресу електронної пошти, збережену в обліковому записі, та публікує зміну із зазначенням дати в переліку субоператорів. У разі нагальних потреб, пов’язаних із безпекою або доступністю, цей строк може бути коротшим; Maildroppa пояснює причину та повідомляє про зміну якомога раніше.

9.4 Клієнт може заперечити протягом строку попереднього повідомлення на конкретних, обґрунтованих підставах, пов’язаних із захистом даних. Сторони шукають розумне рішення, наприклад зміну конфігурації. Якщо такого рішення немає, а заперечення є обґрунтованим, Клієнт може розірвати основний Договір з поважної причини без додаткової плати до початку залучення нового субоператора. Суто комерційні або конкурентні заперечення не є достатніми.

9.5 Сервіси, що не обробляють Персональні дані Клієнта, а також одержувачі чи інтеграції, підключені Клієнтом за його вказівкою, не є субоператорами Maildroppa. Це стосується, зокрема, сервісу, який Клієнт підключає та щодо якого укладає договір через власний обліковий запис у стороннього постачальника.

10. Міжнародне передавання даних

10.1 Maildroppa передає Персональні дані Клієнта за межі Європейської економічної зони лише на підставі документально оформлених вказівок і з дотриманням глави V Загального регламенту про захист даних (GDPR).

10.2 За відсутності застосовного рішення про належний рівень захисту Maildroppa укладає з імпортером чинні на той момент Стандартні договірні положення Європейської Комісії (SCC). Модуль 2 зазвичай застосовується, коли Клієнт є контролером, а Модуль 3 — коли Клієнт є оператором. Ця угода про обробку даних (DPA) та Додатки до неї заповнюють відповідні додатки до SCC.

10.3 Якщо постачальник має чинну сертифікацію за Рамковою програмою захисту даних ЄС–США щодо відповідних даних, може застосовуватися рішення про належний рівень захисту. Maildroppa перевіряє відповідну сертифікацію через розумні проміжки часу та підтримує альтернативний механізм, якщо це потрібно для продовження передавання даних.

10.4 Maildroppa документально оформлює оцінку впливу передавання даних, коли це вимагається, та застосовує додаткові технічні, договірні або організаційні заходи, що відповідають застосовному законодавству, можливості доступу та ризикам для даних. Клієнт надає інформацію, необхідну для оцінки його власних вказівок.

11. Повернення та видалення

11.1 Протягом строку дії Договору Клієнт може користуватися доступними функціями експорту та видалення. До припинення дії Договору Клієнт може вимагати повернення Персональних даних Клієнта, що використовуються в поточній роботі, у доступному, загальновживаному машиночитаному форматі.

11.2 Після припинення надання послуг Maildroppa видаляє всі Персональні дані Клієнта та їхні копії без невиправданої затримки, якщо Клієнт попередньо не попросив їх повернути або право Союзу чи держави-члена не вимагає їх зберігання. Видалення починається після завершення погодженого повернення даних. На запит Maildroppa підтверджує видалення в текстовій формі.

11.3 Дані, що залишаються в резервних копіях з обмеженим доступом, не використовуються для нових цілей у робочому середовищі та перезаписуються в межах документально визначеного регулярного циклу резервного копіювання. До цього часу звичайний доступ до них залишається заблокованим. Якщо резервна копія використовується для відновлення, Maildroppa оперативно повторно застосовує записи про видалення, заперечення та обмеження, які ще належить виконати.

11.4 Дані, що зберігаються на підставі закону, та мінімальний обсяг інформації, суворо необхідний для безпеки, запобігання зловживанням або постійного дотримання відмов від підписки, відокремлюються, доступ до них обмежується, а їх використання допускається лише з відповідною метою; після зникнення потреби в них вони видаляються. Maildroppa повідомляє Клієнту категорію таких даних і правову підставу, якщо це ще не задокументовано.

12. Інформація та аудити

12.1 Maildroppa надає інформацію, необхідну для підтвердження дотримання статті 28 GDPR та цієї угоди DPA. Вона може включати актуальні технічні та організаційні заходи (TOMs), інформацію про субоператорів і передавання даних, відповідні сертифікати, аудиторські звіти, опитувальники та підтвердження видалення.

12.2 Якщо ці матеріали не усувають обґрунтованого ризику, Клієнт або незалежний компетентний аудитор, зобов’язаний дотримуватися конфіденційності, може провести аудит. Аудити зазвичай проводяться не частіше ніж раз на дванадцять місяців, із попереднім повідомленням щонайменше за 30 днів, у звичайний робочий час і без порушень роботи інших клієнтів або безпеки, яких можна уникнути.

12.3 Додатковий аудит або аудит із коротшим строком попереднього повідомлення допускається, якщо це обґрунтовано Порушенням захисту персональних даних, конкретним суттєвим занепокоєнням або вказівкою наглядового органу. Maildroppa може надавати особливо чутливі матеріали з питань безпеки через відповідний звіт третьої сторони та обмежувати доступ до даних інших клієнтів, вихідного коду, вразливостей або комерційних таємниць, якщо при цьому мети аудиту все ще можна досягти.

12.4 Кожна Сторона несе власні витрати. Якщо аудит потребує значного обсягу роботи понад установлені законом обов’язки або не виявляє суттєвих порушень з боку Maildroppa, Maildroppa може стягувати розумні, заздалегідь погоджені витрати. Якщо аудит виявляє суттєве порушення з боку Maildroppa, Maildroppa несе розумні витрати на аудит та усуває порушення без невиправданої затримки.

12.5 Maildroppa веде облік категорій діяльності з обробки відповідно до статті 30(2) GDPR та на запит співпрацює з компетентним наглядовим органом.

13. Відповідальність

13.1 Відповідальність у відносинах між Сторонами регулюється статтею 82 GDPR, іншими імперативними нормами Законодавства про захист даних та чинними положеннями основного Договору про відповідальність. Жодне положення цієї угоди DPA не обмежує прав суб’єктів даних або повноважень наглядових органів.

13.2 У відносинах між Сторонами кожна з них відповідає за збитки та витрати тією мірою, якою вони спричинені її винним порушенням цієї угоди DPA, установленого законом обов’язку або покладених на неї правомірних обов’язків. Передбачені законом права регресної вимоги залишаються незмінними.

14. Розірвання через порушення вимог щодо захисту даних

14.1 Якщо Maildroppa суттєво порушує цю угоду DPA, Клієнт може призупинити відповідну обробку до усунення порушення. Якщо Maildroppa не усуває суттєвого порушення протягом розумного строку або його усунення неможливе, Клієнт може розірвати договір щодо відповідної послуги з поважної причини.

14.2 Maildroppa може призупинити виконання незаконної вказівки відповідно до пункту 4.3. Якщо законної альтернативи знайти неможливо, а продовження обробки порушуватиме Законодавство про захист даних, Maildroppa може припинити відповідну обробку. Обов’язки щодо повернення, видалення та надання доказів залишаються чинними.

15. Прикінцеві положення

15.1 Зміни погоджуються в текстовій формі або вносяться за допомогою електронної процедури, здійснення якої можна підтвердити. Додатки можуть оновлюватися для відображення фактичної обробки за умови, що загальний рівень захисту суттєво не знижується та дотримуються передбачені угодою DPA права на повідомлення й заперечення.

15.2 Якщо будь-яке положення є недійсним, решта положень залишаються чинними, а замість недійсного положення застосовуються норми закону.

15.3 Застосовуються право Німеччини та положення основного Договору щодо територіальної підсудності, якщо імперативні норми Законодавства про захист даних не вимагають іншого.

15.4 Цю англійську версію надано для зручності. У разі розбіжностей із німецькою версією переважну силу має німецька версія, якщо імперативні норми законодавства не вимагають іншого.

Додаток 1 – Опис обробки

1. Предмет і мета

Надання хмарного сервісу Maildroppa для маркетингу електронною поштою на основі дозволу одержувачів, включно з керуванням контактами та списками, формами й Signup Flows, кампаніями, шаблонами, автоматизаціями, надсиланням, звітами про доставлення та взаємодії, файлами, інтеграціями, експортом, підтримкою, безпекою, резервним копіюванням і видаленням відповідно до договору.

2. Тривалість

Строк дії основного Договору, а також період повернення, видалення та завершення строку зберігання резервних копій, передбачений пунктом 11.

3. Характер обробки

Збирання через форми Клієнта, запис, організація, структурування, зберігання, адаптація, сегментація, зіставлення, пошук і отримання, відображення, імпорт, експорт, передавання, надсилання, журналювання, аналіз, обмеження, резервне копіювання та видалення за вказівкою Клієнта.

4. Категорії суб’єктів даних

• підписники, потенційні клієнти, ліди, клієнти та інші ділові контакти Клієнта;
• відвідувачі форм і цільових сторінок Клієнта та особи, які надсилають через них дані;
• одержувачі кампаній, автоматизацій і транзакційних повідомлень Клієнта;
• інші фізичні особи, дані яких Клієнт правомірно передає до сервісу.

5. Категорії персональних даних

• ідентифікаційні та контактні дані: ім’я, адреса електронної пошти та ділова контактна інформація, внесені Клієнтом;
• визначені Клієнтом поля профілю, теги, сегменти, списки та належність до аудиторій;
• дані про згоду, джерело та підтвердження: джерело підписки, форма, формулювання згоди, часові мітки, статус підтвердження та відмови від підписки, а також метадані IP/браузера, якщо цю функцію ввімкнено та її використання є правомірним;
• технічні дані форм і дані про зловживання: розміри екрана, версія браузера й операційної системи, похідний ідентифікатор пристрою, дані IP/запиту та час останнього показу спливного вікна, що зберігається в браузері, якщо Клієнт відповідним чином вбудовує завантажувач форм;
• вміст кампаній, форм, автоматизацій, шаблонів і повідомлень;
• дані про доставлення та взаємодії: статус доставлення, події відкриття й переходу за посиланнями, якщо відповідні функції ввімкнено та їх використання є правомірним, повернення листів, скарги, відмови від підписки та блокування надсилання;
• технічні дані: IP-адреса, відомості про пристрій, браузер, запити, безпеку, журнали та помилки;
• файли, вкладення та вміст, завантажені Клієнтом;
• інформація щодо інтеграцій, імпорту, експорту та підтримки, зокрема ідентифікатори третіх сторін, надані Клієнтом.

6. Особливі дані

Обробка особливих категорій даних за статтею 9 та даних про судимості за статтею 10 не входить до складу послуги та забороняється, якщо її прямо не погоджено заздалегідь у текстовій формі для конкретної мети з додатковими гарантіями захисту.

7. Частота та обсяг

Безперервно, в обсязі, що визначається використанням сервісу Клієнтом, конфігурацією, одержувачами, тарифним планом і вказівками Клієнта.

8. Права та обов’язки Клієнта

Права та обов’язки Клієнта випливають із цієї угоди DPA, основного Договору та Законодавства про захист даних. Клієнт визначає, зокрема, цілі, правові підстави, категорії даних, одержувачів, конфігурацію, строки зберігання та порядок реагування на реалізацію прав суб’єктів даних.

Додаток 2 – Технічні та організаційні заходи

Maildroppa підтримує наведені нижче заходи щодо Персональних даних Клієнта. Спосіб їх реалізації може змінюватися відповідно до сучасного рівня розвитку технологій без суттєвого зниження загального рівня захисту.

1. Організація та управління

• документально визначені обов’язки щодо захисту приватності, безпеки та реагування на інциденти;
• зобов’язання уповноваженого персоналу щодо конфіденційності;
• інструкції із захисту приватності та безпеки відповідно до ролей і завдань;
• контрольоване надання, зміна та скасування внутрішнього доступу;
• документально оформлена перевірка постачальників і необхідні договори про обробку даних;
• процедури опрацювання запитів суб’єктів даних, вказівок, видалення та вимог органів влади.

2. Автентифікація та контроль доступу

• автентифікація облікових записів через Auth0/Okta та обмеження доступу до інтерфейсів продукту й адміністрування за ролями;
• індивідуальний внутрішній доступ за принципами необхідності та найменших привілеїв;
• захист привілейованого доступу та технічних секретів; Maildroppa не зберігає паролі у відкритому вигляді;
• журналювання подій облікових записів та адміністративних подій, що мають значення для безпеки;
• перегляд доступу з урахуванням подій і ризиків та оперативне скасування доступу, який більше не потрібний.

3. Безпека передавання даних і комунікацій

• шифроване передавання через сучасні з’єднання HTTPS/TLS;
• захист API та вебхуків із використанням автентифікації або методів підпису/секретів, якщо вони передбачені;
• перевірки доменів і відправників та підтримка поширених методів автентифікації електронної пошти;
• захист від зловмисних запитів за допомогою проксі, мережевих засобів контролю, обмеження частоти запитів і засобів безпеки.

4. Розмежування клієнтів і цілей

• логічне закріплення даних і доступу за обліковими записами Клієнтів;
• авторизація доступу до ресурсів облікових записів на стороні сервера;
• розмежування ролей і цілей для експлуатації, підтримки, виставлення рахунків та обробки даних Клієнта;
• невикористання Персональних даних Клієнта для реклами третіх сторін або торгівлі списками.

5. Доступність, стійкість і відновлення

• робота основного застосунку на контрольованій інфраструктурі в Німеччині та основне зберігання об’єктних даних у ЄС;
• заходи захисту від мережевих атак і зловмисного навантаження;
• моніторинг сервісу, фіксація помилок і контрольоване передавання проблем на вищий рівень реагування;
• резервні копії з обмеженим доступом за документально визначеним графіком;
• контрольовані процедури відновлення;
• повторне застосування після відновлення записів про видалення та обмеження, які ще належить виконати.

6. Цілісність і безпечна обробка

• технічна перевірка типу, розміру та прав доступу для підтримуваних завантажень;
• контрольоване розгортання програмного забезпечення та керування залежностями й вразливостями;
• журналювання помилок і подій безпеки з мінімізацією даних;
• захист від несанкціонованих змін за допомогою контролю доступу;
• підзвітне опрацювання повернень листів, скарг, відмов від підписки та блокувань надсилання.

7. Захист даних на етапі проєктування

• обов’язкові поля та обробка обмежуються метою; додаткові поля Клієнта можна налаштовувати;
• функції експорту, виправлення, видалення та блокування надсилання підтримують процедури реалізації прав суб’єктів даних;
• процеси надання згоди та підписки дають змогу фіксувати текст, джерело та відповідні часові мітки;
• вимірювання відкриттів і переходів за посиланнями подається як прозоре налаштування там, де ця функція застосовується;
• діагностичні та аналітичні дані за можливості псевдонімізуються або мінімізуються.

8. Видалення та зберігання

• робочі процедури видалення контактів, кампаній, автоматизацій, форм, файлів і пов’язаних даних Клієнта;
• відокремлення документів щодо виставлення рахунків, зберігання яких вимагається законом, від даних Клієнта, що використовуються в поточній роботі;
• обмежений обсяг інформації про блокування надсилання та безпеку, що використовується лише з відповідною захисною метою;
• видалення даних із робочих систем без невиправданої затримки після припинення надання послуг і завершення погодженого повернення даних; завершення строку зберігання резервних копій відповідно до документально визначеного циклу резервного копіювання;
• документальне підтвердження повернення або видалення на запит.

9. Управління інцидентами та перевірка

• документально оформлений процес виявлення, класифікації, локалізації, розслідування, усунення та аналізу інцидентів;
• повідомлення Клієнта без невиправданої затримки після того, як стало відомо про порушення, що стосується Персональних даних Клієнта;
• фіксація хронології, постраждалих систем і даних, заходів та наявної інформації про наслідки;
• збереження доказів з обмеженням доступу;
• періодична перевірка ефективності та коригування заходів з урахуванням ризиків.

Додаток 3 – Уповноважені субоператори та передавання даних

Наведений нижче перелік застосовується до відповідних функцій; не кожен постачальник обробляє однакові дані для кожного Клієнта. Maildroppa перевіряє юридичну особу, регіон і механізм передавання даних на відповідність фактично укладеному договору перед першим використанням і після суттєвої зміни.

Auth0/Okta включено до цього Додатка лише тією мірою, якою він обробляє Персональні дані Клієнта як субобробник у межах конкретного потоку даних. Обробка компанією Maildroppa як контролером даних користувачів облікових записів для власних цілей, пов’язаних із договором, обліковими записами та автентифікацією, регулюється Повідомленням про конфіденційність і не входить до сфери дії цієї DPA.

Повідомлення про зміни

Maildroppa інформує Клієнтів за робочою електронною адресою, збереженою в обліковому записі, та публікує версію цього переліку із зазначенням дати. У повідомленні зазначаються постачальник, мета, місце обробки, механізм передавання та запланована дата початку. Порядок подання заперечень регулюється пунктом 9.

Інтеграції за вказівкою Клієнта

Zapier, Make та інші сервіси, підключені Клієнтом, не стають автоматично субобробниками Maildroppa. Якщо Maildroppa передає дані до такої інтеграції за вказівкою Клієнта, Клієнт відповідає за вибір одержувача, наявність повноважень, повідомлення про конфіденційність, договори та механізми міжнародного передавання даних.