Adatfeldolgozási megállapodás

Utolsó frissítés: 2026. szeptember 4. · 1.0 verzió

Ez az Adatfeldolgozási Megállapodás (a továbbiakban: „DPA”) a Maildroppa szolgáltatásra vonatkozó Szerződés részét képezi. Alkalmazandó minden esetben, amikor a Maildroppa a Megrendelő nevében személyes adatokat kezel.

Felek

Adatkezelő („Megrendelő”): az a természetes vagy jogi személy, akit Megrendelőként a Megrendelésben vagy a Maildroppa-fiókban megjelöltek, ideértve a megfelelően bevont Megrendelő-kapcsolt vállalkozást, amennyiben az az érintett személyes adatok tekintetében adatkezelő.

Adatfeldolgozó („Maildroppa”):

Marcus Biel, „Maildroppa” egyéni vállalkozóként
Dr.-Peter-Hecker-Str. 4b
82031 Grünwald
Németország
Kapcsolat: kapcsolatfelvételi űrlap

A Megrendelő és a Maildroppa együttesen: „Felek”.

1. Hatály, időtartam és elsőbbség

1.1 Jelen DPA szabályozza a Maildroppa személyes adatok Megrendelő nevében történő kezelését (a továbbiakban: „Megrendelői személyes adatok”) a szolgáltatással összefüggésben. A tárgy, jelleg, cél, érintetti kör és adattípusok az 1. Mellékletben találhatók.

1.2 A DPA akkor lép hatályba, amikor a Megrendelő elfogadja a Feltételeket, egy azt magában foglaló Megrendelést, vagy külön elektronikus visszaigazolást. Hatályban marad a Szerződés időtartama alatt, illetve mindaddig, amíg a Maildroppa Megrendelői személyes adatokat kezel.

1.3 A jelen DPA elsőbbséget élvez a fő Szerződéssel szemben a Megrendelő nevében végzett adatkezelés tekintetében. Minden esetben elsőbbséget élveznek a kötelező adatvédelmi jogszabályok.

1.4 Saját céljaira — ideértve a szerződéskötést és számlázást, a Maildroppa fiókbiztonságát, a platform és az e-mail-küldési infrastruktúra védelmét, a visszaélések megelőzését és a jogi kötelezettségeket — a Maildroppa külön adatkezelő lehet. Ezt a Adatvédelmi tájékoztató szabályozza, nem a jelen DPA. A Maildroppa nem használja fel adatfeldolgozói szerepét Megrendelői személyes adatok Maildroppa-reklámcélú felhasználására.

2. Fogalommeghatározások és alkalmazandó jog

2.1 A „személyes adat”, „adatkezelés”, „adatkezelő”, „adatfeldolgozó”, „érintett”, „adatvédelmi incidens” és „felügyeleti hatóság” kifejezések a GDPR szerinti jelentéssel bírnak.

2.2 „Adatvédelmi jog” alatt a GDPR, a német Szövetségi Adatvédelmi Törvény és az adott adatkezelésre alkalmazandó egyéb adatvédelmi jogszabályok értendők.

2.3 Ha a Megrendelő maga is egy másik adatkezelő adatfeldolgozója, a Maildroppa további adatfeldolgozónak minősül. A Megrendelő szavatolja, hogy jogosult a Maildroppa utasítására és megbízására, és az adatkezelő információit és jogait a jelen DPA teljesítéséhez szükséges mértékben a Maildroppa rendelkezésére bocsátja.

3. Megrendelői felelősség és utasítások

3.1 A Megrendelő felel az adatkezelés jogszerűségéért, az érintetti jogokért, az adatok pontosságáért és szükségességéért, valamint az általa adott utasításokért. Különösen gondoskodik a jogalapról, a tájékoztatásról, szükség esetén a hozzájárulásról, a megőrzésről és törlésről, valamint a címzettek jogszerűségéről.

3.2 A dokumentált utasítások a fő Szerződésből, a jelen DPA-ból, a Megrendelő szolgáltatás-konfigurációjából és használatából, valamint írásos (szöveges) kiegészítő utasításokból állnak. Az utasítás nem változtathatja meg alapvetően a szolgáltatás jellegét, célját vagy terjedelmét. További utasítás külön megállapodást és ésszerű díjat igényelhet.

3.3 A Megrendelő nem kezelhet a Maildroppában különleges adatokat (GDPR 9. cikk), büntetőítéletekre és bűncselekményekre vonatkozó adatokat (GDPR 10. cikk), teljes fizetési eszköz adatokat, államtitkot vagy egyéb különösen védett információt, kivéve, ha a Maildroppa előzetesen, szöveges formában, kifejezetten jóváhagyta a konkrét célt és garanciákat.

3.4 A Megrendelő a rendelkezésre álló szerepkör-, export-, törlési, hozzájárulás-, nyomkövetési és integrációs funkciókat a kockázatnak megfelelően konfigurálja, és védi a fiókokat, domaineket, API-kulcsokat és hitelesítő adatokat.

4. Adatkezelés kizárólag dokumentált utasítás alapján

4.1 A Maildroppa csak a Megrendelő dokumentált utasításai alapján kezeli a Megrendelői személyes adatokat, ideértve a harmadik országba történő továbbítást is, kivéve, ha uniós vagy tagállami jog eltérő feldolgozást ír elő. Ez esetben a Maildroppa a feldolgozás előtt tájékoztatja a Megrendelőt a jogalapról, kivéve, ha ezt a jog fontos közérdekből tiltja.

4.2 A Maildroppa a Megrendelői személyes adatokat kizárólag a szolgáltatás nyújtására, biztosítására, támogatására, lezárására és a jogszerű utasítások végrehajtására használja fel. Tilos az értékesítés, harmadik fél általi reklám, illetve más személy címlistájának létrehozása.

4.3 Ha a Maildroppa úgy ítéli meg, hogy egy utasítás sérti az Adatvédelmi jogot, indokolatlan késedelem nélkül tájékoztatja a Megrendelőt, és felfüggesztheti az érintett utasítás végrehajtását, amíg az illetékes szerv megerősíti, módosítja vagy tisztázza azt. A Felek jóhiszeműen együttműködnek jogszerű alternatíva megtalálásában.

4.4 Csak azok a munkatársak férhetnek hozzá a Megrendelői személyes adatokhoz, akiknek feladataikhoz ez szükséges. Hozzáférés előtt titoktartási vagy megfelelő jogszabályi kötelezettség terheli őket, továbbá adatvédelmi és biztonsági oktatásban részesülnek.

5. Technikai és szervezési intézkedések

5.1 A Maildroppa a 2. Mellékletben meghatározott intézkedéseket valósítja meg a GDPR 28. cikk (3) bekezdés c) pontja és 32. cikke szerint. Az intézkedések figyelembe veszik a technika állását, a megvalósítás költségeit, a kezelés jellegét, terjedelmét, kontextusát és céljait, valamint a kockázat valószínűségét és súlyosságát.

5.2 A Maildroppa fejlesztheti vagy lecserélheti az egyes intézkedéseket egyenértékű vagy hatékonyabb kontrollokra. Az általános védelmi szint nem csökkenhet érdemben. Hátrányos lényegi változásról előzetes értesítést küld, kivéve, ha azonnali intézkedés szükséges akut kockázat elhárításához.

5.3 A biztonság közös felelősség. A Maildroppa nem felel az olyan kockázatokért, amelyeket kizárólag jogellenes Megrendelői tartalom, nem biztonságos Megrendelői eszköz, megosztott hitelesítő adatok, hibásan konfigurált integrációk vagy Megrendelői utasítások okoznak. A Maildroppa saját jogszabályi és szerződéses kötelezettségei változatlanok.

6. Segítség az érintetti jogok gyakorlásában

6.1 A kezelés jellegét figyelembe véve a Maildroppa megfelelő technikai és szervezési intézkedésekkel támogatja a Megrendelőt a GDPR III. fejezete szerinti kérelmekben, többek között hozzáférés, helyesbítés, törlés, korlátozás, hordozhatóság, tiltakozás és automatizált döntéshozatalról szóló tájékoztatás esetén.

6.2 Amennyiben a kért adat a termékfunkción keresztül elérhető, a Megrendelő saját maga intézi a kérelmet. További, arányos támogatásként a Maildroppa rendelkezésre bocsátja az elérhető információt, illetve dokumentált utasításnak megfelelően helyesbít, exportál, korlátoz vagy töröl adatot.

6.3 Ha a Maildroppa érintetti kérelmet kap, amely felismerhetően a Megrendelői személyes adatokra vonatkozik, indokolatlan késedelem nélkül értesíti a Megrendelőt, és nem válaszol érdemben, hacsak a Megrendelő nem utasítja, vagy jogszabály másként nem írja elő. A Maildroppa közölheti az érintettel, hogy a kérelmet továbbította az adatkezelőnek.

6.4 A Megrendelő csak a kérelem azonosításához és biztonságos teljesítéséhez szükséges információt továbbítja. A Maildroppa ésszerű, előre közölt díjat számíthat fel nyilvánvalóan túlzó, ismételt vagy nem szokványos segítségnyújtásért, amennyiben ezt a GDPR 28. cikke megengedi.

7. Megfelelés, hatásvizsgálatok és hatóságok

7.1 A kezelés jellegét és a rendelkezésre álló információt figyelembe véve a Maildroppa támogatja a Megrendelőt a GDPR 32–36. cikkeiben, ideértve a biztonságot, a jogsértések bejelentését és közlését, az adatvédelmi hatásvizsgálatokat és az előzetes konzultációt.

7.2 Ésszerű kérésre a Maildroppa a szolgáltatással, adatáramlással, intézkedésekkel, alfeldolgozókkal és ismert kockázatokkal kapcsolatos, a Megrendelő hatásvizsgálatához szükséges információkat bocsát rendelkezésre, amennyiben azok nem elérhetők a dokumentációban vagy a fiókban.

7.3 Ha a Maildroppa kötelező hatósági vagy bírósági adatkérést kap Megrendelői személyes adatokra vonatkozóan, jogszerű keretek között a közzététel előtt tájékoztatja a Megrendelőt. A Maildroppa felméri a hatóság illetékességét és a kérelem terjedelmét, csak a jogilag megkövetelt adatot adja ki, és az ügyet dokumentálja.

8. Adatvédelmi incidensek

8.1 A Maildroppa indokolatlan késedelem nélkül tájékoztatja a Megrendelőt, miután tudomást szerez a Megrendelői személyes adatot érintő adatvédelmi incidensről. A kezdeti információ szakaszosan nyújtható, és nem várható meg a vizsgálat lezárulta.

8.2 Az értesítés – amennyiben rendelkezésre áll – tartalmazza:

• a jogsértés jellegét, ideértve az érintettek és rekordok kategóriáit és hozzávetőleges számát;
• valószínű következményeket;
• a megtett vagy tervezett intézkedéseket a korlátozásra és helyreállításra;
• az időpontot vagy időszakot és a vizsgálat aktuális állását;
• kapcsolattartó pontot kérdések esetére.

8.3 A Maildroppa haladéktalanul megteszi az ésszerű korlátozó, bizonyíték-megőrző, ok-feltáró és helyreállító lépéseket, dokumentálja a jogsértést, és rendelkezésre bocsátja a Megrendelő GDPR 33. és 34. cikk szerinti kötelezettségeihez rendelkezésre álló információt.

8.4 A Megrendelő továbbra is felel az értékelésért, az esetlegesen szükséges felügyeleti hatósági bejelentésért a saját tudomásszerzésétől számított 72 órán belül, valamint az érintettek esetleges tájékoztatásáért. A Maildroppa értesítése nem minősül kötelezettségszegés vagy felelősség elismerésének.

8.5 A Megrendelő haladéktalanul tájékoztatja a Maildroppát a Megrendelő környezetében bekövetkezett biztonsági eseményekről, amelyek érinthetik a Megrendelői személyes adatokat vagy a szolgáltatást, és együttműködik a kár enyhítésében.

9. Alfeldolgozók

9.1 A Megrendelő általános írásbeli felhatalmazást ad a 3. Mellékletben felsorolt alfeldolgozókra. A Maildroppa továbbra is felel az alfeldolgozó GDPR 28. cikk (4) bekezdése szerinti kötelezettségeinek teljesítéséért.

9.2 A Maildroppa minden alfeldolgozót szerződésben kötelez a vonatkozó szolgáltatásra lényegében azonos szintű adatvédelemre, ideértve az utasításokat, titoktartást, biztonságot, segítségnyújtást, törlést és audit jogokat.

9.3 A Maildroppa általában legalább 30 napos előzetes értesítést küld, mielőtt új alfeldolgozót von be vagy cserél le, a fiókban tárolt üzleti e-mail-címre, és közzéteszi a dátummal ellátott módosítást az alfeldolgozói listában. Rövidebb határidő alkalmazható sürgős biztonsági vagy rendelkezésre állási okból; a Maildroppa megindokolja, és a lehető leghamarabb értesít.

9.4 A Megrendelő a határidőn belül, konkrét és alátámasztott adatvédelmi okból tiltakozhat. A Felek ésszerű megoldást keresnek, például konfigurációs változtatást. Ha nem lehetséges, és a tiltakozás megalapozott, a Megrendelő az új alfeldolgozó használata előtt alapos okból, további díj nélkül felmondhatja a fő Szerződést. Pusztán kereskedelmi vagy versenyérdekű tiltakozás nem elegendő.

9.5 Azok a szolgáltatások, amelyek nem kezelnek Megrendelői személyes adatokat, valamint a Megrendelő által csatlakoztatott címzettek vagy integrációk nem minősülnek a Maildroppa alfeldolgozójának. Ide tartozik az a szolgáltatás is, amelyhez a Megrendelő saját harmadik fél fiókján keresztül kapcsolódik és szerződik.

10. Nemzetközi adattovábbítások

10.1 A Maildroppa a Megrendelői személyes adatokat az Európai Gazdasági Térségen kívülre csak dokumentált utasítás alapján és a GDPR V. fejezetének megfelelően továbbítja.

10.2 Ha nincs megfelelőségi határozat, a Maildroppa az Európai Bizottság mindenkor hatályos Standard Szerződési Klauzuláit köti a címzettel. Általában a 2. modul alkalmazandó, ha a Megrendelő adatkezelő, és a 3. modul, ha a Megrendelő adatfeldolgozó. Jelen DPA és Mellékletei egészítik ki a megfelelő SCC mellékleteket.

10.3 Ha egy szolgáltató érvényes tanúsítvánnyal rendelkezik az EU–US Data Privacy Framework szerint a releváns adatokra, a megfelelőségi határozat alkalmazható. A Maildroppa ésszerű időközönként ellenőrzi a tanúsítványt, és szükség esetén fenntart alternatív mechanizmust a továbbítás fenntartásához.

10.4 A Maildroppa az adattovábbítási hatásvizsgálatot dokumentálja, ha szükséges, és kiegészítő technikai, szerződéses vagy szervezési intézkedéseket alkalmaz az adott jog, hozzáférési lehetőség és kockázat függvényében. A Megrendelő megadja az utasításai értékeléséhez szükséges információkat.

11. Visszaadás és törlés

11.1 A Szerződés során a Megrendelő használhatja a rendelkezésre álló export- és törlési funkciókat. A szerződéses időszak vége előtt a Megrendelő kérheti az operatív Megrendelői személyes adatok visszaadását elérhető, széles körben használt gépileg olvasható formátumban.

11.2 A szolgáltatás megszűnése után a Maildroppa indokolatlan késedelem nélkül törli az összes Megrendelői személyes adatot és másolatot, kivéve, ha a Megrendelő korábban visszakérést kért, vagy uniós/tagállami jog megőrzést ír elő. A törlés az esetlegesen megállapodott visszaadás befejezése után kezdődik. Kérésre a Maildroppa írásban (szöveges formában) igazolja a törlést.

11.3 A hozzáférés-korlátozott biztonsági mentésekben maradó adatokat nem használják új produkciós célra, és a dokumentált rendszeres biztonságimentési ciklus szerint felülíródnak. Addig a szokásos hozzáférés elől elzárva maradnak. Ha biztonsági mentést használnak helyreállításhoz, a Maildroppa haladéktalanul újraalkalmazza a függőben lévő törlési, tiltakozási és korlátozási bejegyzéseket.

11.4 A jogilag megőrzendő adatok, valamint a biztonsághoz, visszaélés-megelőzéshez vagy az örökös leiratkozási listák betartásához minimálisan szükséges információk elkülönítve, hozzáférés-korlátozottan kerülnek tárolásra, csak e célra használhatók, majd szükségtelenné válásuk esetén törlésre kerülnek. A Maildroppa a kategóriát és jogalapot a Megrendelő rendelkezésére bocsátja, ha az még nem került dokumentálásra.

12. Információ és audit

12.1 A Maildroppa megad minden szükséges információt a GDPR 28. cikk és a jelen DPA megfelelőségének igazolásához. Ez magában foglalhatja az aktuális TOM-okat, alfeldolgozói és adattovábbítási információkat, megfelelő tanúsítványokat, auditjelentéseket, kérdőíveket és törlési igazolásokat.

12.2 Ha ezek az anyagok nem szüntetnek meg egy megalapozott kockázatot, a Megrendelő vagy egy független, hozzáértő, titoktartásra kötelezett auditor auditot végezhet. Audit rendszerint tizenkét havonta legfeljebb egyszer tartható, legalább 30 napos előzetes értesítéssel, rendes munkaidőben, más ügyfelek vagy a biztonság indokolatlan zavarása nélkül.

12.3 További vagy rövidebb határidejű audit engedélyezett adatvédelmi incidens, konkrét lényeges aggály vagy felügyeleti hatósági utasítás esetén. A Maildroppa a különösen érzékeny biztonsági anyagot megfelelő harmadik fél jelentésén keresztül bocsáthatja rendelkezésre, és korlátozhatja a hozzáférést más ügyfelek adataihoz, forráskódhoz, sebezhetőségekhez vagy üzleti titkokhoz, amennyiben az audit célja így is elérhető.

12.4 Mindkét Fél viseli saját költségeit. Ha az audit a törvényes kötelezettségeken túl jelentős többletmunkát okoz, vagy nem állapít meg lényeges Maildroppa-nem megfelelést, a Maildroppa előre egyeztetett, ésszerű költséget számíthat fel. Lényeges Maildroppa-nem megfelelés esetén a Maildroppa viseli az ésszerű auditköltséget, és indokolatlan késedelem nélkül orvosolja a hiányosságot.

12.5 A Maildroppa a GDPR 30. cikk (2) bekezdése szerinti feldolgozási kategória-nyilvántartást vezeti, és kérésre együttműködik az illetékes felügyeleti hatósággal.

13. Felelősség

13.1 A Felek közötti felelősséget a GDPR 82. cikke, az egyéb kötelező adatvédelmi jog és a fő Szerződés hatályos felelősségi rendelkezései szabályozzák. A DPA semmilyen pontja nem korlátozza az érintetti jogokat vagy a felügyeleti hatóságok hatáskörét.

13.2 A Felek egymás között olyan mértékben felelnek a veszteségért és költségért, amilyen mértékben azt a jelen DPA, jogszabályi kötelezettség vagy jogszerű felelősségük felróható megszegése okozta. A törvényes megtérítési jogok érintetlenek.

14. Felmondás adatvédelmi megszegés miatt

14.1 Ha a Maildroppa súlyosan megszegi a DPA-t, a Megrendelő felfüggesztheti az érintett adatkezelést a hiba kijavításáig. Ha a Maildroppa ésszerű határidőn belül nem orvosolja a súlyos megszegést, vagy az nem orvosolható, a Megrendelő alapos okból felmondhatja az érintett szolgáltatást.

14.2 A Maildroppa a 4.3. pont szerint felfüggesztheti a jogellenes utasítást. Ha nem található jogszerű alternatíva, és a folytatás sértené az Adatvédelmi jogot, a Maildroppa felmondhatja az érintett adatkezelést. A visszaadási, törlési és bizonyíték-megőrzési kötelezettségek fennmaradnak.

15. Záró rendelkezések

15.1 Módosítások írásban (szöveges formában) vagy bizonyítható elektronikus folyamat útján fogadhatók el. A Mellékletek frissíthetők a tényleges adatkezelés tükrözése érdekében, feltéve hogy az általános védelem nem csökken lényegesen, és a DPA-ban előírt értesítési és tiltakozási jogok érvényesülnek.

15.2 Ha a megállapodás valamely rendelkezése érvénytelen, a többi rendelkezés hatályban marad, és a helyére a vonatkozó jogszabályi rendelkezés lép.

15.3 A német jog és a fő Szerződés illetékességi kikötése alkalmazandó, amennyiben a kötelező adatvédelmi jog eltérően nem rendelkezik.

15.4 Ez a magyar nyelvű változat kizárólag tájékoztatásul szolgál. Eltérés esetén a német nyelvű változat irányadó, hacsak a kötelező jogszabály másként nem rendelkezik.

1. Melléklet – Az adatkezelés leírása

1. Tárgy és cél

A Maildroppa felhőalapú szolgáltatás nyújtása engedélyalapú e-mail-marketinghez, ideértve a kapcsolat- és listakezelést, űrlapokat és Signup Flow-kat, kampányokat, sablonokat, automatizmusokat, küldést, kézbesítési és interakciós jelentéseket, fájlokat, integrációkat, exportot, támogatást, biztonságot, biztonsági mentést és szerződés szerinti törlést.

2. Időtartam

A fő Szerződés időtartama, valamint a 11. pont szerinti visszaadási, törlési és biztonsági mentés-lejárati időszak.

3. Az adatkezelés jellege

Gyűjtés a Megrendelő űrlapjain keresztül, rögzítés, rendszerezés, strukturálás, tárolás, adaptálás, szegmentálás, illesztés, visszakeresés, megjelenítés, import, export, továbbítás, küldés, naplózás, elemzés, korlátozás, biztonsági mentés és törlés a Megrendelő utasítása alapján.

4. Érintetti kategóriák

• a Megrendelő feliratkozói, érdeklődői, potenciális ügyfelei, ügyfelei és egyéb üzleti kapcsolatai;
• a Megrendelő űrlapjait és landing page-eit látogatók és beküldők;
• a Megrendelő kampányainak, automatizmusainak és tranzakciós üzeneteinek címzettjei;
• egyéb személyek, akiknek adatait a Megrendelő jogszerűen továbbítja a szolgáltatásba.

5. Személyes adatok kategóriái

• azonosítási és kapcsolati adatok: név, e-mail-cím és a Megrendelő által bevitt üzleti elérhetőségek;
• Megrendelő által definiált profilmezők, tagek, szegmensek, listák és közönség-hozzárendelések;
• hozzájárulási, forrás- és bizonyítékadatok: feliratkozás forrása, űrlap, hozzájárulási szöveg, időbélyegek, megerősítés és leiratkozási státusz, valamint IP/böngésző metaadatok, ha engedélyezett és jogszerű;
• technikai űrlap- és visszaélésadatok: képernyőméret, böngésző- és operációs rendszerverzió, származtatott eszközazonosító, IP/kérésadat, valamint a felugró ablak utolsó megjelenítésének böngészőben tárolt időpontja, ha a Megrendelő ennek megfelelően beágyazza az űrlap-betöltőt;
• kampány-, űrlap-, automatizmus-, sablon- és üzenettartalom;
• kézbesítési és interakciós adatok: kézbesítési státusz, megnyitás- és kattintási események, ha engedélyezett és jogszerű, visszapattanások, panaszok, leiratkozások és tiltások;
• technikai adatok: IP-cím, eszköz, böngésző, kérés, biztonsági, napló- és hibainformációk;
• a Megrendelő által feltöltött fájlok, mellékletek és tartalom;
• integrációs, import-, export- és támogatási információk, beleértve a Megrendelő által átadott harmadik fél azonosítókat.

6. Különleges adatok

A GDPR 9. cikk szerinti különleges adatok és a 10. cikk szerinti bűnügyi adatok kezelése nem része a szolgáltatásnak, és tilos, kivéve, ha előzetesen, szöveges formában, konkrét célra, további garanciákkal kifejezetten megállapodtak.

7. Gyakoriság és mennyiség

Folyamatos, a Megrendelő használata, konfigurációja, címzettjei, csomagja és utasításai által meghatározott mennyiségben.

8. Megrendelő jogai és kötelezettségei

A Megrendelő jogai és kötelezettségei a jelen DPA-ból, a fő Szerződésből és az Adatvédelmi jogból erednek. A Megrendelő különösen meghatározza a célokat, jogalapokat, adattípusokat, címzetteket, konfigurációt, megőrzést és az érintetti jogok kezelését.

2. Melléklet – Technikai és szervezési intézkedések

A Maildroppa a következő intézkedéseket tartja fenn a Megrendelői személyes adatok vonatkozásában. A megvalósítás a technika állásával együtt fejlődhet anélkül, hogy az általános védelem lényegesen csökkenne.

1. Szervezet és irányítás

• dokumentált adatvédelmi, biztonsági és incidenskezelési felelősségek;
• titoktartási kötelezettségek a jogosult munkatársak számára;
• szerepkör- és feladatfüggő adatvédelmi és biztonsági oktatás;
• belső hozzáférés engedélyezése, módosítása és visszavonása kontroll alatt;
• szolgáltató-felülvizsgálat és szükséges adatfeldolgozói szerződések dokumentálása;
• eljárások az érintetti kérelmek, utasítások, törlés és hatósági megkeresések kezelésére.

2. Hitelesítés és hozzáférés-ellenőrzés

• hitelesített fiókok Auth0/Okta révén, szerepkör-korlátozott termék- és adminisztrációs felületek;
• egyéni belső hozzáférés szükségesség és legkisebb jogosultság alapján;
• privilegizált hozzáférések és műszaki titkok védelme; a Maildroppa nem tárol jelszavakat tiszta szövegben;
• biztonsági szempontból releváns fiók- és adminisztratív események naplózása;
• esemény- és kockázat-alapú felülvizsgálat és a már nem szükséges hozzáférés azonnali visszavonása.

3. Átvitel- és kommunikációbiztonság

• titkosított adatátvitel naprakész HTTPS/TLS kapcsolatokkal;
• védett API-k és webhookok hitelesítéssel vagy aláírás/secret módszerekkel, ahol rendelkezésre állnak;
• domain- és feladóellenőrzés, valamint általános e-mail-hitelesítési módszerek támogatása;
• visszaélésszerű kérések elleni védelem proxy-, hálózati, ráta-korlát- és biztonsági kontrollokkal.

4. Bérlő- és cél-szétválasztás

• adatok és hozzáférés logikai elkülönítése Megrendelői fiókok szerint;
• szerveroldali jogosultság-ellenőrzés a fiók erőforrásaira;
• elkülönített szerepek és célok az üzemeltetés, támogatás, számlázás és Megrendelői adatkezelés között;
• a Megrendelői személyes adatok nem használhatók harmadik fél reklámjához vagy címlista-kereskedelemhez.

5. Rendelkezésre állás, reziliencia és helyreállítás

• fő alkalmazás-üzemeltetés ellenőrzött infrastruktúrán Németországban, elsődleges objektum-adat-tárolás az EU-ban;
• hálózati támadások és túlterhelés elleni védelem;
• szolgáltatás-monitoring, hibarögzítés és kontrollált eszkaláció;
• hozzáférés-korlátozott biztonsági mentések dokumentált ütemezés szerint;
• kontrollált helyreállítási eljárások;
• helyreállítás után a függőben lévő törlési és korlátozási bejegyzések újraalkalmazása.

6. Integritás és biztonságos feldolgozás

• feltöltések technikai típus-, méret- és hozzáférés-ellenőrzése;
• kontrollált szoftver-telepítés és függőség/sebezhetőség-kezelés;
• hiba- és biztonsági naplózás adatminimalizálással;
• jogosultság-ellenőrzés az illetéktelen módosítás megelőzésére;
• felelősségteljes visszapattanás-, panasz-, leiratkozás- és tiltás-kezelés.

7. Beépített adatvédelem

• csak a célhoz szükséges kötelező mezők és feldolgozás; további mezők szabadon konfigurálhatók;
• export-, helyesbítés-, törlés- és tiltás-funkciók támogatják az érintetti folyamatokat;
• hozzájárulás- és feliratkozási folyamatok rögzíthetik a szöveget, forrást és releváns időbélyegeket;
• megnyitás- és kattintás-mérés átlátható konfigurációként jelenik meg, ahol a funkció alkalmazható;
• diagnosztikai és analitikai adatok pszeudonimizáltak vagy minimalizáltak, ahol lehetséges.

8. Törlés és megőrzés

• operatív törlési folyamatok a kapcsolatok, kampányok, automatizmusok, űrlapok, fájlok és kapcsolódó Megrendelői adatok számára;
• jogszabályi számlázási rekordok elkülönítése az operatív Megrendelői adatoktól;
• korlátozott tiltási és biztonsági információ kizárólag védelmi célra használható;
• operatív törlés indokolatlan késedelem nélkül a szolgáltatás megszűnése és az esetleges visszaadás befejezése után; biztonsági mentés lejárata a dokumentált ciklus szerint;
• visszaadás vagy törlés kérésre dokumentálva.

9. Incidenskezelés és felülvizsgálat

• dokumentált észlelési, osztályozási, korlátozási, vizsgálati, helyreállítási és felülvizsgálati folyamat;
• értesítés a Megrendelő felé indokolatlan késedelem nélkül a Megrendelői személyes adatot érintő jogsértés tudomásra jutása után;
• az idővonal, érintett rendszerek és adatok, intézkedések és elérhető hatás rögzítése;
• bizonyíték-megőrzés hozzáférés-korlátozással;
• intézkedések hatékonyságának időszakos felülvizsgálata és kockázat-alapú kiigazítása.

3. Melléklet – Engedélyezett alfeldolgozók és adattovábbítások

Az alábbi lista a releváns funkciókra vonatkozik; nem minden szolgáltató kezel azonos adatot minden Megrendelő számára. A Maildroppa az első használat előtt és minden lényeges változás után a tényleges szerződés alapján ellenőrzi a jogi személyt, a régiót és az adattovábbítási mechanizmust.

Az Auth0/Okta csak annyiban szerepel e Mellékletben, amennyiben egy adott adatáramban a Megrendelői személyes adatokat alfeldolgozóként kezeli. A Maildroppa saját adatkezelői feldolgozása a fiókhasználók adataira – szerződés, fiók és hitelesítés céljából – a Adatvédelmi tájékoztató hatálya alá tartozik, és kívül esik ezen DPA-n.

Változás-értesítések

A Maildroppa a fiókban tárolt üzleti e-mail-címre értesíti a Megrendelőket, és egy dátummal ellátott verziót közzétesz ezen listáról. Az értesítés tartalmazza a szolgáltatót, a célt, a helyszínt, a mechanizmust és a tervezett kezdő dátumot. A tiltakozási eljárást a 9. pont szabályozza.

Megrendelő által irányított integrációk

A Zapier, Make és más, a Megrendelő által csatlakoztatott szolgáltatások nem minősülnek automatikusan a Maildroppa alfeldolgozójának. Amennyiben a Maildroppa Megrendelői utasítás alapján adatot továbbít ilyen integrációhoz, a Megrendelő felel a címzett kiválasztásáért, jogosultságáért, adatvédelmi tájékoztatókért, szerződésekért és nemzetközi adattovábbítási mechanizmusokért.