Версия 1.1, 31 октомври 2026 г. Тази версия на английски е основната. При съмнение тя има предимство.
Това споразумение е част от условията за white label между The CSS Partner (Gezar, датско еднолично предприятие, собственост на Magnus Bo Nielsen, CVR № 42476226, Lupinskrænten 58, 8500 Grenaa, Дания) и Агенцията. То се прилага от деня, в който Агенцията приеме условията. „GDPR“ означава Регламент (ЕС) 2016/679.
1. Кой за какво отговаря
По-голямата част от личните данни в услугата не се обработват от името на Агенцията. Таблицата показва кой решава защо и как се използват данните.
| Данни | Кой е администратор | Има ли The CSS Partner роля на обработващ лични данни? |
|---|---|---|
| Технически данни за посетителите на сайта на White Label CSS (като IP адрес, устройство, разгледани страници, кликвания върху продукти) | The CSS Partner | Не |
| Данни за вход на собствените служители на Агенцията в партньорския портал | The CSS Partner, за управление на портала и договора | Не |
| Данни за фактуриране на самата Агенция (име, адрес, ДДС номер, начин на плащане) | The CSS Partner | Не |
| При Препродажба: данни за акаунта и плащанията на клиентите на Агенцията (име, имейл, фирма, държава, ДДС номер, Магазини, абонамент и плащания) | The CSS Partner, като продавач | Не |
| При Препродажба: това, което Агенцията получава за своите клиенти (име, имейл, Магазини, статус, плащания) | Агенцията, като самостоятелен администратор | Не. Разкриваме данните на Агенцията |
| Данни за контакт и Merchant Center ID на клиенти, които Агенцията сама въвежда или импортира (пълен контрол, без плащане чрез нас) | Агенцията | Да |
| Имейли, които изпращаме до тези клиенти от името на Агенцията от имейл домейна на Агенцията | Агенцията | Да |
| Собствените отношения на Агенцията с клиенти, маркетинг и договори | Агенцията | Не |
Агенцията е самостоятелен администратор за своите отношения с клиентите. Ние не решаваме как Агенцията използва данните на своите клиенти.
2. Кога не обработваме данни от името на Агенцията
Ако Агенцията не въвежда клиентски данни в портала и не изпраща имейли чрез него, ние не обработваме лични данни от името на Агенцията. Тогава клаузи 3 до 9 не се прилагат и всяка страна спазва GDPR за данните, за които е администратор. Същото важи за клиентите по препродажба: обработваме техните данни като администратор, не за Агенцията.
Продуктовите фийдове и продуктовите данни на клиентите на Агенцията са бизнес данни, не лични данни. Ако даден фийд съдържа лични данни, това е нарушение на клауза 3.6 от условията.
3. Обработване от името на Агенцията
Тази част се прилага само за двата реда, отбелязани с „Да“ в клауза 1.
- Предмет и цел. Обработваме данните, за да управляваме White Label CSS за Агенцията: да съхраняваме клиентските записи и Магазините на Агенцията и да изпращаме имейлите, които Агенцията е включила, от името на Агенцията.
- Естество. Съхранение, показване в портала, предаване към CSS Center на Google, когато е необходимо за свързване на Магазин, и изпращане на имейли.
- Видове данни. Име, имейл адрес, телефонен номер (по избор), фирма, държава, ДДС номер, Merchant Center ID, адрес на магазина, статусът на Магазините на клиента, както и изпратените имейли с дата и статус на доставка.
- Субекти на данните. Лица за контакт при клиентите на Агенцията.
- Продължителност. Докато условията действат и до изтриването по клауза 8.
- Инструкции. Обработваме данните само по документирани инструкции на Агенцията. Условията, това споразумение и действията на Агенцията в портала са нейните инструкции. Уведомяваме Агенцията, ако смятаме, че дадена инструкция нарушава закона.
- Поверителност. Всеки, който има достъп до данните от наша страна, е обвързан със задължение за поверителност.
- Сигурност. Прилагаме мерките по клауза 6.
- Съдействие. Съдействаме на Агенцията да отговаря на искания на субекти на данните, както и при нейните задължения във връзка със сигурността, нарушенията, оценките на въздействието върху защитата на данните и предварителната консултация с надзорния орган, доколкото обработването го позволява. Уведомяваме Агенцията без ненужно забавяне, ако субект на данните се обърне към нас във връзка с данни, които обработваме за Агенцията.
- Доказателства. Предоставяме на Агенцията информацията, от която се нуждае, за да докаже, че спазваме това споразумение. Агенцията може да извършва одит при нас веднъж годишно, с 30 дни предизвестие, в работно време и за своя сметка, с одитор, обвързан с поверителност. Вместо това можем да дадем писмен отговор на въпросите на Агенцията, ако той обхваща същото.
- Задълженията на Агенцията. Агенцията има правно основание за данните, които въвежда, и информира своите клиенти и техните служители, че данните се обработват от нас от нейно име. Тя не въвежда данни, които няма право да въвежда.
4. Други обработващи лични данни
Агенцията ни дава общо разрешение да използваме другите обработващи лични данни по-долу. Уведомяваме Агенцията по имейл за нов или заменен друг обработващ най-малко 30 дни, преди той да започне работа. Агенцията може да възрази по основателни причини в рамките на този срок. Ако не можем да удовлетворим възражението, Агенцията може да прекрати условията с действие от деня, в който промяната започва. Всеки друг обработващ е обвързан с договор със същите задължения за защита на данните като това споразумение. Ние отговаряме за тях.
| Друг обработващ лични данни | Какво прави | Къде |
|---|---|---|
| Собствените сървъри на The CSS Partner | Хостват портала, базата данни и сайта за сравнение | Дания (достъп чрез Cloudflare) |
| Resend | Изпраща имейли от името на Агенцията | Регион eu-west-1 (Ирландия) |
| Cloudflare | DNS, сигурност и сертификати за домейна на Агенцията и доставка на сайта | Глобална мрежа |
| Cloudflare R2 | Съхранява криптирани резервни копия на базата данни. Ключът, който ги отключва, се държи само от нас | ЕС |
| Google Drive | Съхранява криптирани резервни копия на файлове и дъмпове на базата данни. Ключът се държи само от нас | Местоположението не е фиксирано в ЕС. Предаването се основава на условията на Google за защита на данните и стандартните договорни клаузи |
| Stripe | Плащания и фактури за таксата за white label на Агенцията и, при Препродажба, за клиентите по препродажба | ЕС и САЩ |
С изключение на Google Drive, Google не е наш друг обработващ лични данни. Когато свързваме Магазин в CSS Center на Google, Google обработва данните от Merchant Center според собствените си условия с клиента на Агенцията и с нас като CSS. Stripe обработва данни за плащания като самостоятелен администратор за някои цели, например предотвратяване на измами и правните си задължения.
5. Предаване извън ЕС и ЕИП
- Нашият собствен сървър е в Дания. Resend съхранява в Ирландия. Резервните копия в R2 се съхраняват в ЕС. Криптирани копия в Google Drive могат да се съхраняват извън ЕС и са обхванати от инструментите за предаване по клауза 5.1. Cloudflare и Stripe са американски дружества с присъствие в ЕС. Когато друг обработващ предава данни към държава без решение относно адекватното ниво на защита, предаването се основава на стандартните договорни клаузи на Европейската комисия (Решение (ЕС) 2021/914) или друг инструмент за предаване съгласно GDPR.
- Ако Агенцията е установена извън ЕС и ЕИП и нейната държава няма решение относно адекватното ниво на защита, стандартните договорни клаузи на Комисията са част от това споразумение за данните, които изпращаме на Агенцията. За данни, които разкриваме като администратор, се прилага Модул 1. За данни, които изпращаме обратно като обработващ лични данни, се прилага Модул 4. Информацията за приложенията следва от това споразумение и от клауза 1. Прилага се датското право там, където клаузите оставят избора открит, а съдът е Retten i Randers.
6. Сигурност
Защитаваме данните със следните мерки:
- криптирани връзки (TLS) между браузъра, сайта и портала,
- вход чрез еднократна връзка, подписани сесийни бисквитки и роля за всеки потребител (собственик, администратор, служител, читател), като деактивиран потребител губи достъп веднага,
- порталът, сайтът и бекендът са отделени, а браузърът комуникира само с адреса на собствения сайт на Агенцията,
- ключовете и тайните се съхраняват само на сървъра, никога в браузъра,
- защитен механизъм за имейли, който спира всеки имейл, който не е включен от Агенцията, и всеки имейл от непотвърден подател,
- дневници на изпратените имейли,
- достъп до клиентски данни само за хората, които се нуждаят от него, за да управляват услугата.
Преглеждаме мерките, когато услугата или рисковете се променят. Не понижаваме нивото на защита по време на срока.
7. Нарушение на сигурността на личните данни
Уведомяваме Агенцията без ненужно забавяне, когато узнаем за нарушение на данните, които обработваме от нейно име. Съобщението посочва какво се е случило, какви данни и колко лица може да са засегнати, какви според нас са последиците и какво сме направили. Изпращаме допълнителна информация, когато я научим. Агенцията решава дали да уведоми надзорния орган и субектите на данни.
8. Изтриване и връщане при приключване
- Когато условията приключат, спираме обработването на клиентските записи и имейлите на Агенцията.
- При искане, направено преди края или в рамките на 30 дни след него, предоставяме на Агенцията експорт на клиентските записи в обичаен формат (CSV).
- Изтриваме клиентските записи и дневниците на имейлите, които обработваме от името на Агенцията, в рамките на 30 дни след приключване на условията или в рамките на 30 дни след периода на постепенно прекратяване по клауза 5.5 от условията, ако той е по-късен. Копията в резервните копия се изтриват автоматично не по-късно от 35 дни след създаването им в R2 и не по-късно от 190 дни след създаването им в Google Drive.
- Запазваме това, което законът изисква да запазим като администратор, например фактури и счетоводни записи за 5 години съгласно датските правила за счетоводство. Тези данни не се обработват от името на Агенцията.
- Потвърждаваме изтриването по имейл при поискване.
9. Отговорност, право и промени
- Отговорността следва клауза 8 от условията. Иск на субект на данните във връзка със защитата на данните не променя това между страните, освен когато законът предвижда друго.
- Прилага се датското право. Споровете се отнасят към Retten i Randers (Районен съд в Randers), както в условията.
- Можем да променяме това споразумение занапред с 60 дни писмено предизвестие, ако законът, друг обработващ или услугата се променят. Агенцията може да прекрати условията, преди промяната да влезе в сила.
- Ако това споразумение и условията си противоречат по отношение на личните данни, това споразумение има предимство.
- Въпроси относно личните данни се изпращат на kontakt@gezar.dk.