Ugovor o obradi podataka za agencije

Verzija 1.1, 31. oktobar 2026. Ova verzija na engleskom jeziku je mjerodavna. U slučaju sumnje ona ima prednost.

Ovaj ugovor je dio uslova White Label usluge između The CSS Partner (Gezar, danski samostalni poduzetnik u vlasništvu Magnusa Boa Nielsena, CVR br. 42476226, Lupinskrænten 58, 8500 Grenaa, Danska) i Agencije. Primjenjuje se od dana kada Agencija prihvati uslove. „GDPR“ znači Uredbu (EU) 2016/679.

1. Ko za šta odgovara

Većina ličnih podataka u usluzi ne obrađuje se u ime Agencije. Tabela pokazuje ko odlučuje zašto i kako se podaci koriste.

Podaci	Ko je kontrolor	Uloga obrađivača za The CSS Partner?
Tehnički podaci o posjetiocima sajta White Label CSS-a (kao što su IP adresa, uređaj, pregledane stranice, klikovi na proizvode)	The CSS Partner	Ne
Podaci za prijavu osoblja same Agencije u partnerskom portalu	The CSS Partner, radi vođenja portala i ugovora	Ne
Podaci za fakturisanje same Agencije (naziv, adresa, PDV broj, način plaćanja)	The CSS Partner	Ne
Kod Preprodaje: podaci o računu i plaćanju klijenata Agencije (naziv, e-pošta, firma, zemlja, PDV broj, Shopovi, pretplata i plaćanja)	The CSS Partner, kao prodavač	Ne
Kod Preprodaje: ono što Agencija prima o svojim klijentima (naziv, e-pošta, Shopovi, status, plaćanja)	Agencija, kao vlastiti kontrolor	Ne. Podatke otkrivamo Agenciji
Kontakt podaci i Merchant Center ID-evi klijenata koje Agencija sama unese ili uveze (puna kontrola, bez plaćanja preko nas)	Agencija	Da
E-poruke koje šaljemo tim klijentima u ime Agencije s domene e-pošte Agencije	Agencija	Da
Vlastiti odnosi Agencije s klijentima, marketing i ugovori	Agencija	Ne

Agencija je vlastiti kontrolor za svoje odnose s klijentima. Ne odlučujemo kako Agencija koristi podatke svojih klijenata.

2. Kada ne obrađujemo podatke u ime Agencije

Ako Agencija u portal ne unese podatke o klijentima i preko njega ne šalje e-poruke, ne obrađujemo lične podatke u ime Agencije. Tada tačke 3 do 9 ne važe, a svaka strana poštuje GDPR za podatke koje kontroliše. Isto važi za kupce Preprodaje: njihove podatke obrađujemo kao kontrolor, a ne za Agenciju.

Feedovi proizvoda i podaci o proizvodima klijenata Agencije su poslovni podaci, a ne lični podaci. Ako feed sadrži lične podatke, to je povreda tačke 3.6 uslova.

3. Obrada u ime Agencije

Ovaj dio se primjenjuje samo na dva reda označena s „Da“ u tački 1.

1. Predmet i svrha. Podatke obrađujemo radi vođenja White Label CSS-a za Agenciju: radi pohrane zapisa o klijentima Agencije i Shopova te radi slanja e-poruka koje je Agencija uključila, u ime Agencije.
2. Priroda. Pohrana, prikaz u portalu, prijenos u Googleov CSS Center gdje je potreban za povezivanje Shopa te slanje e-pošte.
3. Vrste podataka. Ime, adresa e-pošte, broj telefona (neobavezno), firma, zemlja, PDV broj, Merchant Center ID, adresa trgovine, status Shopova klijenta te poslane e-poruke s datumom i statusom isporuke.
4. Ispitanici. Kontakt osobe kod klijenata Agencije.
5. Trajanje. Dok uslovi traju i do brisanja prema tački 8.
6. Uputstva. Podatke obrađujemo samo prema dokumentiranim uputstvima Agencije. Uslovi, ovaj ugovor i ono što Agencija radi u portalu su njena uputstva. Obavještavamo Agenciju ako smatramo da uputstvo krši zakon.
7. Povjerljivost. Svako ko na našoj strani ima pristup podacima vezan je obavezom povjerljivosti.
8. Sigurnost. Primjenjujemo mjere iz tačke 6.
9. Pomoć. Pomažemo Agenciji da odgovori na zahtjeve ispitanika te u njenim obavezama u vezi sa sigurnošću, povredama, procjenama učinka i savjetovanjem s nadzornim tijelom, u mjeri u kojoj obrada to dopušta. Bez nepotrebnog odlaganja obavještavamo Agenciju ako nas ispitanik kontaktira u vezi s podacima koje obrađujemo za Agenciju.
10. Dokaz. Agenciji dajemo informacije koje su joj potrebne da pokaže da ispunjavamo ovaj ugovor. Agencija nas može revidirati jednom godišnje, uz obavještenje 30 dana unaprijed, tokom radnog vremena i o svom trošku, s revizorom koji je vezan povjerljivošću. Umjesto toga možemo dati pisani odgovor na pitanja Agencije, ako on obuhvata isto područje.
11. Obaveze Agencije. Agencija ima pravni osnov za podatke koje unosi i obavještava svoje klijente i njihovo osoblje da te podatke za nju obrađujemo mi. Ne unosi podatke koje nema pravo unositi.

4. Podobrađivači

Agencija nam daje opću dozvolu da koristimo podobrađivače navedene u nastavku. Agenciju obavještavamo e-poštom o novom ili zamijenjenom podobrađivaču najmanje 30 dana prije nego što počne. Agencija može uložiti prigovor iz opravdanih razloga u tom roku. Ako ne možemo udovoljiti prigovoru, Agencija može raskinuti uslove s učinkom od dana kada promjena počinje. Svaki podobrađivač vezan je ugovorom s istim obavezama zaštite podataka kao ovaj ugovor. Mi odgovaramo za njih.

Podobrađivač	Šta radi	Gdje
Vlastiti serveri The CSS Partner	Na njima su smješteni portal, baza podataka i sajt za poređenje	Danska (dostupno preko Cloudflarea)
Resend	Šalje e-poruke u ime Agencije	Regija eu-west-1 (Irska)
Cloudflare	DNS, sigurnost i certifikati za domenu Agencije te isporuka sajta	Globalna mreža
Cloudflare R2	Pohranjuje šifrirane sigurnosne kopije baze podataka. Ključ kojim se otvaraju držimo samo mi	EU
Google Drive	Pohranjuje šifrirane sigurnosne kopije datoteka i izvoza baze podataka. Ključ držimo samo mi	Lokacija nije vezana za EU. Prijenos se temelji na Googleovim uslovima zaštite podataka i standardnim ugovornim klauzulama
Stripe	Plaćanja i računi za White Label naknadu Agencije i, kod Preprodaje, za kupce Preprodaje	EU i SAD

Osim Google Drivea, Google nije naš podobrađivač. Kada povezujemo Shop u Googleovom CSS Centeru, Google obrađuje podatke iz Merchant Centera prema vlastitim uslovima s klijentom Agencije i s nama kao CSS-om. Stripe obrađuje podatke o plaćanju kao samostalni kontrolor u neke svrhe, kao što su sprečavanje prevara i njegove zakonske obaveze.

5. Prijenos izvan EU i EEA

1. Naš vlastiti server je u Danskoj. Resend pohranjuje u Irskoj. Sigurnosne kopije u R2 čuvaju se u EU. Šifrirane kopije u Google Driveu mogu se čuvati izvan EU i obuhvaćene su instrumentima prijenosa iz tačke 5.1. Cloudflare i Stripe su američke kompanije s prisustvom u EU. Kada podobrađivač prenosi podatke u zemlju bez odluke o primjerenosti, prijenos se temelji na standardnim ugovornim klauzulama Evropske komisije (Odluka (EU) 2021/914) ili drugom instrumentu prijenosa iz GDPR-a.
2. Ako je Agencija osnovana izvan EU i EEA i njena zemlja nema odluku o primjerenosti, standardne ugovorne klauzule Komisije su dio ovog ugovora za podatke koje šaljemo Agenciji. Za podatke koje otkrivamo kao kontrolor primjenjuje se Modul 1. Za podatke koje šaljemo nazad kao obrađivač primjenjuje se Modul 4. Informacije iz priloga proizlaze iz ovog ugovora i iz tačke 1. Primjenjuje se dansko pravo gdje klauzule ostavljaju izbor otvorenim, a nadležan sud je Retten i Randers.

6. Sigurnost

Podatke štitimo ovim mjerama:

• šifrirane veze (TLS) između preglednika, sajta i portala,
• prijave jednokratnom poveznicom, potpisani kolačići sesije i uloga za svakog korisnika (vlasnik, administrator, zaposlenik, čitalac), pri čemu deaktivirani korisnik odmah gubi pristup,
• portal, sajt i backend su odvojeni, a preglednik komunicira samo s vlastitom adresom sajta Agencije,
• ključevi i tajne čuvaju se samo na serveru, nikada u pregledniku,
• zaštita e-pošte koja zaustavlja svaku poruku koju Agencija nije uključila i svaku poruku od neprovjerenog pošiljaoca,
• evidencije poslanih e-poruka,
• pristup podacima klijenata samo za osobe kojima je potreban radi vođenja usluge.

Mjere preispitujemo kada se promijene usluga ili rizici. Tokom trajanja ne snižavamo nivo zaštite.

7. Povreda ličnih podataka

Bez nepotrebnog odlaganja obavještavamo Agenciju kada saznamo za povredu podataka koje obrađujemo u njeno ime. Poruka navodi šta se dogodilo, koji podaci i koliko osoba mogu biti pogođeni, koje posljedice očekujemo i šta smo učinili. Dodatne informacije šaljemo kako ih saznamo. Agencija odlučuje hoće li obavijestiti nadzorno tijelo i ispitanike.

8. Brisanje i povrat na kraju

1. Kada uslovi završe, prestajemo obrađivati zapise o klijentima Agencije i e-poruke.
2. Na zahtjev podnesen prije kraja ili u roku od 30 dana nakon njega, Agenciji dajemo izvoz zapisa o klijentima u uobičajenom formatu (CSV).
3. Zapise o klijentima i evidencije e-poruka koje obrađujemo u ime Agencije brišemo u roku od 30 dana nakon završetka uslova ili u roku od 30 dana nakon perioda postepenog gašenja prema tački 5.5 uslova, ako je to kasnije. Kopije u sigurnosnim kopijama brišu se automatski najkasnije 35 dana nakon što su napravljene u R2, a najkasnije 190 dana nakon što su napravljene u Google Driveu.
4. Čuvamo ono što zakon od nas traži kao kontrolora, kao što su računi i računovodstvene evidencije 5 godina prema danskim propisima o knjigovodstvu. Ti podaci se ne obrađuju u ime Agencije.
5. Na zahtjev potvrđujemo brisanje e-poštom.

9. Odgovornost, pravo i izmjene

1. Odgovornost se određuje prema tački 8 uslova. Zahtjev ispitanika za zaštitu podataka ne mijenja to između strana, osim gdje zakon kaže drugačije.
2. Primjenjuje se dansko pravo. Sporovi idu pred Retten i Randers (Općinski sud u Randersu), kao u uslovima.
3. Ovaj ugovor možemo mijenjati ubuduće uz pisano obavještenje 60 dana unaprijed, ako se promijene zakon, podobrađivač ili usluga. Agencija može raskinuti uslove prije nego što promjena stupi na snagu.
4. Ako su ovaj ugovor i uslovi u sukobu u pogledu ličnih podataka, ovaj ugovor ima prednost.
5. Pitanja o ličnim podacima šalju se na kontakt@gezar.dk.