Verzija 1.1, 31. oktobar 2026. Ova engleska verzija je mjerodavna. U slučaju sumnje ona ima prednost.
Ovaj sporazum čini dio white label uslova između The CSS Partner (Gezar, danski samostalni preduzetnik u vlasništvu Magnusa Boa Nielsena, CVR br. 42476226, Lupinskrænten 58, 8500 Grenaa, Danska) i Agencije. Primjenjuje se od dana kada Agencija prihvati uslove. „GDPR“ označava Uredbu (EU) 2016/679.
1. Ko je za šta odgovoran
Većina ličnih podataka u usluzi ne obrađuje se u ime Agencije. Tabela pokazuje ko odlučuje zašto i kako se podaci koriste.
| Podaci | Ko je rukovalac | Da li The CSS Partner ima ulogu obrađivača? |
|---|---|---|
| Tehnički podaci o posjetiocima sajta White Label CSS-a (kao što su IP adresa, uređaj, pregledane stranice, klikovi na proizvode) | The CSS Partner | Ne |
| Podaci za prijavu zaposlenih same Agencije u partnerskom portalu | The CSS Partner, radi vođenja portala i ugovora | Ne |
| Podaci o fakturisanju same Agencije (ime, adresa, PDV broj, način plaćanja) | The CSS Partner | Ne |
| U okviru Preprodaje: podaci o nalogu i plaćanju klijenata Agencije (ime, e-pošta, kompanija, zemlja, PDV broj, Prodavnice, pretplata i plaćanja) | The CSS Partner, kao prodavac | Ne |
| U okviru Preprodaje: ono što Agencija prima o svojim klijentima (ime, e-pošta, Prodavnice, status, plaćanja) | Agencija, kao sopstveni rukovalac | Ne. Mi dostavljamo podatke Agenciji |
| Kontakt podaci i Merchant Center ID-jevi klijenata koje Agencija sama unese ili uveze (puna kontrola, bez plaćanja preko nas) | Agencija | Da |
| E-poruke koje šaljemo tim klijentima u ime Agencije sa domena e-pošte Agencije | Agencija | Da |
| Sopstveni odnosi Agencije sa klijentima, marketing i ugovori | Agencija | Ne |
Agencija je sama rukovalac za svoje odnose s klijentima. Mi ne odlučujemo kako Agencija koristi podatke svojih klijenata.
2. Kada ne obrađujemo podatke u ime Agencije
Ako Agencija ne unese podatke o klijentima u portal i ne šalje e-poruke preko njega, mi ne obrađujemo lične podatke u ime Agencije. Tada se tačke 3 do 9 ne primjenjuju, a svaka strana poštuje GDPR za podatke kojima rukuje. Isto važi za kupce u Preprodaji: njihove podatke obrađujemo kao rukovalac, a ne za Agenciju.
Feedovi proizvoda i podaci o proizvodima klijenata Agencije su poslovni podaci, a ne lični podaci. Ako feed sadrži lične podatke, to je povreda tačke 3.6 uslova.
3. Obrada u ime Agencije
Ovaj dio se primjenjuje samo na dva reda označena sa „Da“ u tački 1.
- Predmet i svrha. Podatke obrađujemo radi vođenja White Label CSS-a za Agenciju: radi čuvanja evidencije klijenata i Prodavnica Agencije te slanja e-poruka koje je Agencija uključila, u ime Agencije.
- Priroda. Čuvanje, prikaz u portalu, prenos u Googleov CSS Center kada je potrebno za povezivanje Prodavnice, i slanje e-pošte.
- Vrste podataka. Ime, adresa e-pošte, broj telefona (opciono), kompanija, zemlja, PDV broj, Merchant Center ID, adresa prodavnice, status Prodavnica klijenta, te poslate e-poruke sa datumom i statusom isporuke.
- Lica na koja se podaci odnose. Kontakt osobe kod klijenata Agencije.
- Trajanje. Dok uslovi traju i do brisanja prema tački 8.
- Uputstva. Podatke obrađujemo samo na osnovu dokumentovanih uputstava Agencije. Uslovi, ovaj sporazum i ono što Agencija radi u portalu su njena uputstva. Obavještavamo Agenciju ako smatramo da uputstvo krši zakon.
- Povjerljivost. Svako ko na našoj strani ima pristup podacima vezan je obavezom povjerljivosti.
- Sigurnost. Primjenjujemo mjere iz tačke 6.
- Pomoć. Pomažemo Agenciji da odgovori na zahtjeve lica na koja se podaci odnose, te u njenim obavezama u vezi sa sigurnošću, povredama, procjenama uticaja i konsultovanjem nadzornog organa, u mjeri u kojoj to obrada dozvoljava. Bez nepotrebnog odlaganja obavještavamo Agenciju ako nam se obrati lice na koje se odnose podaci koje obrađujemo za Agenciju.
- Dokazi. Agenciji dajemo informacije koje su joj potrebne da dokaže da ispunjavamo ovaj sporazum. Agencija može jednom godišnje izvršiti reviziju kod nas, uz najavu 30 dana unaprijed, u radno vrijeme i o sopstvenom trošku, sa revizorom vezanim obavezom povjerljivosti. Umjesto toga možemo dati pisani odgovor na pitanja Agencije, ako on obuhvata isto.
- Obaveze Agencije. Agencija ima pravni osnov za podatke koje unosi i obavještava svoje klijente i njihove zaposlene da te podatke u njeno ime obrađujemo mi. Ne unosi podatke koje nema pravo da unese.
4. Podobrađivači
Agencija nam daje opšte odobrenje da koristimo podobrađivače navedene ispod. O novom ili zamijenjenom podobrađivaču obavještavamo Agenciju e-poštom najmanje 30 dana prije početka rada. Agencija može uložiti prigovor iz opravdanih razloga u tom roku. Ako ne možemo ispuniti prigovor, Agencija može raskinuti uslove sa dejstvom od dana kada izmjena počne. Svaki podobrađivač vezan je ugovorom sa istim obavezama zaštite podataka kao ovaj sporazum. Mi smo odgovorni za njih.
| Podobrađivač | Šta radi | Gdje |
|---|---|---|
| Sopstveni serveri The CSS Partner | Na njima se nalaze portal, baza podataka i sajt za poređenje | Danska (pristup preko Cloudflare) |
| Resend | Šalje e-poruke u ime Agencije | Region eu-west-1 (Irska) |
| Cloudflare | DNS, sigurnost i sertifikati za domen Agencije, te isporuka sajta | Globalna mreža |
| Cloudflare R2 | Čuva šifrovane rezervne kopije baze podataka. Ključ kojim se otvaraju držimo samo mi | EU |
| Google Drive | Čuva šifrovane rezervne kopije fajlova i izvoza baze podataka. Ključ držimo samo mi | Lokacija nije vezana za EU. Prenos se zasniva na Googleovim uslovima zaštite podataka i standardnim ugovornim klauzulama |
| Stripe | Plaćanja i fakture za white label naknadu Agencije i, u okviru Preprodaje, za kupce u Preprodaji | EU i SAD |
Osim usluge Google Drive, Google nije naš podobrađivač. Kada povezujemo Prodavnicu u Googleovom CSS Centeru, Google obrađuje podatke iz Merchant Centera prema sopstvenim uslovima sa klijentom Agencije i sa nama kao CSS-om. Stripe obrađuje podatke o plaćanju kao nezavisni rukovalac u neke svrhe, kao što su sprječavanje prevara i njegove zakonske obaveze.
5. Prenos izvan EU i EEA
- Naš server je u Danskoj. Resend čuva podatke u Irskoj. Rezervne kopije u R2 čuvaju se u EU. Šifrovane kopije u usluzi Google Drive mogu se čuvati izvan EU i obuhvaćene su instrumentima prenosa iz tačke 5.1. Cloudflare i Stripe su američke kompanije sa prisustvom u EU. Kada podobrađivač prenosi podatke u zemlju bez odluke o adekvatnosti, prenos se zasniva na standardnim ugovornim klauzulama Evropske komisije (Odluka (EU) 2021/914) ili drugom instrumentu prenosa iz GDPR.
- Ako je Agencija osnovana izvan EU i EEA, a njena zemlja nema odluku o adekvatnosti, standardne ugovorne klauzule Komisije čine dio ovog sporazuma za podatke koje šaljemo Agenciji. Za podatke koje dostavljamo kao rukovalac primjenjuje se Modul 1. Za podatke koje šaljemo nazad kao obrađivač primjenjuje se Modul 4. Informacije iz priloga proizlaze iz ovog sporazuma i iz tačke 1. Primjenjuje se dansko pravo tamo gdje klauzule ostavljaju izbor otvorenim, a nadležan sud je Retten i Randers.
6. Sigurnost
Podatke štitimo sljedećim mjerama:
- šifrovane veze (TLS) između pregledača, sajta i portala,
- prijave jednokratnom vezom, potpisani kolačići sesije i uloga za svakog korisnika (vlasnik, administrator, zaposleni, čitalac), pri čemu deaktivirani korisnik odmah gubi pristup,
- portal, sajt i pozadinski sistem su odvojeni, a pregledač komunicira samo sa adresom sajta same Agencije,
- ključevi i tajne čuvaju se samo na serveru, nikada u pregledaču,
- zaštita e-pošte koja zaustavlja svaku poruku koju Agencija nije uključila i svaku poruku sa neverifikovanog pošiljaoca,
- evidencija poslatih e-poruka,
- pristup podacima klijenata samo za lica kojima je potreban radi vođenja usluge.
Mjere preispitujemo kada se promijene usluga ili rizici. Ne snižavamo nivo zaštite tokom trajanja uslova.
7. Povreda ličnih podataka
Bez nepotrebnog odlaganja obavještavamo Agenciju kada saznamo za povredu podataka koje obrađujemo u njeno ime. Poruka navodi šta se desilo, koji podaci i koliko lica mogu biti pogođeni, kakve posljedice očekujemo i šta smo preduzeli. Dodatne informacije šaljemo kako ih saznajemo. Agencija odlučuje da li će obavijestiti nadzorni organ i lica na koja se podaci odnose.
8. Brisanje i vraćanje na kraju
- Kada uslovi prestanu, prestajemo da obrađujemo evidenciju klijenata i e-poruke Agencije.
- Na zahtjev podnijet prije kraja ili u roku od 30 dana nakon njega, Agenciji dajemo izvoz evidencije klijenata u uobičajenom formatu (CSV).
- Evidenciju klijenata i evidenciju e-poruka koje obrađujemo u ime Agencije brišemo u roku od 30 dana nakon prestanka uslova, ili u roku od 30 dana nakon perioda postepenog gašenja prema tački 5.5 uslova, ako je to kasnije. Kopije u rezervnim kopijama brišu se automatski najkasnije 35 dana nakon nastanka u R2, a najkasnije 190 dana nakon nastanka u usluzi Google Drive.
- Čuvamo ono što zakon zahtijeva da čuvamo kao rukovalac, kao što su fakture i računovodstvena evidencija 5 godina prema danskim pravilima o knjigovodstvu. Ti podaci se ne obrađuju u ime Agencije.
- Na zahtjev potvrđujemo brisanje e-poštom.
9. Odgovornost, pravo i izmjene
- Odgovornost slijedi tačku 8 uslova. Zahtjev za zaštitu podataka lica na koje se podaci odnose ne mijenja to između strana, osim ako zakon drugačije propisuje.
- Primjenjuje se dansko pravo. Sporovi idu pred Retten i Randers (Okružni sud u Randersu), kao u uslovima.
- Ovaj sporazum možemo mijenjati za ubuduće uz pisano obavještenje 60 dana unaprijed, ako se promijene zakon, podobrađivač ili usluga. Agencija može raskinuti uslove prije nego što izmjena stupi na snagu.
- Ako su ovaj sporazum i uslovi u sukobu u pogledu ličnih podataka, ovaj sporazum ima prednost.
- Pitanja o ličnim podacima šalju se na kontakt@gezar.dk.