Verze 1.1, 31. října 2026. Rozhodující je anglická verze. V případě pochybností má přednost.
Tato smlouva je součástí podmínek white label mezi The CSS Partner (Gezar, dánský podnik fyzické osoby ve vlastnictví Magnuse Bo Nielsena, CVR č. 42476226, Lupinskrænten 58, 8500 Grenaa, Dánsko) a Agenturou. Platí ode dne, kdy Agentura přijme podmínky. „GDPR“ znamená nařízení (EU) 2016/679.
1. Kdo za co odpovídá
Většina osobních údajů ve službě se nezpracovává jménem Agentury. Tabulka uvádí, kdo rozhoduje o tom, proč a jak se údaje používají.
| Údaje | Kdo je správce | Role zpracovatele u The CSS Partner? |
|---|---|---|
| Technické údaje o návštěvnících webu White Label CSS (například IP adresa, zařízení, zobrazené stránky, kliknutí na produkty) | The CSS Partner | Ne |
| Přihlašovací údaje vlastních zaměstnanců Agentury v partnerském portálu | The CSS Partner, k provozu portálu a plnění smlouvy | Ne |
| Fakturační údaje samotné Agentury (jméno, adresa, DIČ k DPH, platební metoda) | The CSS Partner | Ne |
| U Přeprodeje: údaje o účtu a platbách klientů Agentury (jméno, e-mail, firma, země, DIČ k DPH, Obchody, předplatné a platby) | The CSS Partner, jako prodejce | Ne |
| U Přeprodeje: co Agentura obdrží o svých klientech (jméno, e-mail, Obchody, stav, platby) | Agentura, jako samostatný správce | Ne. Údaje Agentuře poskytujeme |
| Kontaktní údaje a ID Merchant Center klientů, které Agentura zadá nebo importuje sama (plná kontrola, bez platby přes nás) | Agentura | Ano |
| E-maily, které těmto klientům posíláme jménem Agentury z e-mailové domény Agentury | Agentura | Ano |
| Vlastní vztahy Agentury s klienty, její marketing a smlouvy | Agentura | Ne |
Agentura je pro své vztahy s klienty samostatným správcem. Nerozhodujeme o tom, jak Agentura údaje svých klientů používá.
2. Kdy údaje nezpracováváme jménem Agentury
Pokud Agentura v portálu nezadá žádné údaje o klientech a nepošle přes něj žádné e-maily, nezpracováváme osobní údaje jménem Agentury. Pak se články 3 až 9 nepoužijí a každá strana dodržuje GDPR pro údaje, za které odpovídá jako správce. Totéž platí pro zákazníky Přeprodeje: jejich údaje zpracováváme jako správce, nikoli pro Agenturu.
Zdroje produktových dat a produktová data klientů Agentury jsou obchodní údaje, nikoli osobní údaje. Pokud zdroj produktových dat obsahuje osobní údaje, jde o porušení článku 3.6 podmínek.
3. Zpracování jménem Agentury
Tato část platí pouze pro dva řádky označené „Ano“ v článku 1.
- Předmět a účel. Údaje zpracováváme, abychom pro Agenturu provozovali White Label CSS: abychom ukládali záznamy klientů a Obchody Agentury a odesílali e-maily, které Agentura zapnula, jejím jménem.
- Povaha. Ukládání, zobrazení v portálu, předání do Google CSS Center, kde je to potřeba k propojení Obchodu, a odesílání e-mailů.
- Druhy údajů. Jméno, e-mailová adresa, telefonní číslo (nepovinné), firma, země, DIČ k DPH, ID Merchant Center, adresa obchodu, stav Obchodů klienta a odeslané e-maily s datem a stavem doručení.
- Subjekty údajů. Kontaktní osoby u klientů Agentury.
- Doba trvání. Po dobu platnosti podmínek a do výmazu podle článku 8.
- Pokyny. Údaje zpracováváme pouze na základě doložených pokynů Agentury. Podmínky, tato smlouva a to, co Agentura dělá v portálu, jsou jejími pokyny. Agentuře oznámíme, pokud se domníváme, že pokyn porušuje právní předpisy.
- Důvěrnost. Každý, kdo má na naší straně k údajům přístup, je vázán povinností mlčenlivosti.
- Zabezpečení. Uplatňujeme opatření uvedená v článku 6.
- Pomoc. Pomáháme Agentuře odpovídat na žádosti subjektů údajů a s jejími povinnostmi v oblasti zabezpečení, porušení zabezpečení, posouzení vlivu a konzultace s dozorovým úřadem, pokud to zpracování umožňuje. Agentuře bez zbytečného odkladu oznámíme, pokud nás subjekt údajů kontaktuje ohledně údajů, které pro Agenturu zpracováváme.
- Prokázání souladu. Poskytneme Agentuře informace, které potřebuje k prokázání, že tuto smlouvu plníme. Agentura nás může jednou ročně auditovat, s oznámením 30 dní předem, v pracovní době a na vlastní náklady, s auditorem vázaným mlčenlivostí. Místo toho můžeme poskytnout písemnou odpověď na otázky Agentury, pokud pokrývá stejný rozsah.
- Povinnosti Agentury. Agentura má právní základ pro údaje, které zadává, a informuje své klienty a jejich zaměstnance, že údaje zpracováváme jejím jménem. Nezadává údaje, které zadávat nemá právo.
4. Další zpracovatelé
Agentura nám uděluje obecné povolení využívat níže uvedené další zpracovatele. O novém nebo vyměněném dalším zpracovateli informujeme Agenturu e-mailem nejméně 30 dní před zahájením jeho činnosti. Agentura může v této lhůtě vznést námitku z oprávněných důvodů. Pokud námitce nemůžeme vyhovět, může Agentura podmínky vypovědět s účinností ode dne, kdy změna začne. Každý další zpracovatel je vázán smlouvou se stejnými povinnostmi v oblasti ochrany údajů jako tato smlouva. Neseme za ně odpovědnost.
| Další zpracovatel | Co dělá | Kde |
|---|---|---|
| Vlastní servery The CSS Partner | Hostují portál, databázi a srovnávací web | Dánsko (přístup přes Cloudflare) |
| Resend | Odesílá e-maily jménem Agentury | Region eu-west-1 (Irsko) |
| Cloudflare | DNS, zabezpečení a certifikáty pro doménu Agentury a doručování webu | Globální síť |
| Cloudflare R2 | Ukládá šifrované zálohy databáze. Klíč, který je otevírá, držíme pouze my | EU |
| Google Drive | Ukládá šifrované zálohy souborů a výpisů databáze. Klíč držíme pouze my | Umístění není vázáno na EU. Předání se opírá o podmínky ochrany údajů společnosti Google a standardní smluvní doložky |
| Stripe | Platby a faktury za poplatek Agentury za white label a u Přeprodeje platby a faktury zákazníků Přeprodeje | EU a USA |
Kromě Google Drive není Google naším dalším zpracovatelem. Když propojíme Obchod v Google CSS Center, Google zpracovává data z Merchant Center podle vlastních podmínek s klientem Agentury a s námi jako CSS. Stripe zpracovává platební údaje jako nezávislý správce pro některé účely, například prevenci podvodů a plnění svých zákonných povinností.
5. Předání mimo EU a EHP
- Náš vlastní server je v Dánsku. Resend ukládá v Irsku. Zálohy v R2 jsou uchovávány v EU. Šifrované kopie v Google Drive mohou být uchovávány mimo EU a vztahují se na ně nástroje pro předání podle článku 5.1. Cloudflare a Stripe jsou americké společnosti s přítomností v EU. Pokud další zpracovatel předává údaje do země bez rozhodnutí o odpovídající ochraně, opírá se předání o standardní smluvní doložky Evropské komise (rozhodnutí (EU) 2021/914) nebo jiný nástroj pro předání podle GDPR.
- Pokud je Agentura usazena mimo EU a EHP a její země nemá rozhodnutí o odpovídající ochraně, jsou standardní smluvní doložky Komise součástí této smlouvy pro údaje, které Agentuře posíláme. Pro údaje, které poskytujeme jako správce, se použije modul 1. Pro údaje, které posíláme zpět jako zpracovatel, se použije modul 4. Informace v přílohách vyplývají z této smlouvy a z článku 1. Použije se dánské právo tam, kde doložky ponechávají volbu otevřenou, a soudem je Retten i Randers.
6. Zabezpečení
Údaje chráníme těmito opatřeními:
- šifrovaná spojení (TLS) mezi prohlížečem, webem a portálem,
- přihlášení jednorázovým odkazem, podepsané relační cookies a role pro každého uživatele (vlastník, správce, zaměstnanec, čtenář), přičemž deaktivovaný uživatel ztrácí přístup okamžitě,
- portál, web a serverová část jsou odděleny a prohlížeč komunikuje pouze s adresou webu samotné Agentury,
- klíče a tajné údaje jsou uloženy pouze na serveru, nikdy v prohlížeči,
- pojistka odesílání e-mailů, která zastaví každý e-mail, který Agentura nezapnula, i každý e-mail z neověřeného odesílatele,
- protokoly odeslaných e-mailů,
- přístup k údajům klientů pouze pro osoby, které je potřebují k provozu služby.
Opatření přezkoumáváme, když se změní služba nebo rizika. Úroveň ochrany během doby trvání nesnižujeme.
7. Porušení zabezpečení osobních údajů
Agentuře bez zbytečného odkladu oznámíme, když se dozvíme o porušení zabezpečení údajů, které zpracováváme jejím jménem. Zpráva uvádí, co se stalo, jaké údaje a kolika osob se to může týkat, jaké důsledky předpokládáme a co jsme udělali. Další informace zasíláme, jakmile je zjistíme. Agentura rozhoduje, zda oznámí porušení dozorovému úřadu a subjektům údajů.
8. Výmaz a vrácení po skončení
- Když podmínky skončí, přestaneme zpracovávat záznamy klientů a e-maily Agentury.
- Na žádost podanou před skončením nebo do 30 dní po něm poskytneme Agentuře export záznamů klientů v běžném formátu (CSV).
- Záznamy klientů a protokoly e-mailů, které zpracováváme jménem Agentury, vymažeme do 30 dní po skončení podmínek nebo do 30 dní po období postupného ukončení podle článku 5.5 podmínek, pokud je to později. Kopie v zálohách se mažou automaticky nejpozději 35 dní po jejich vytvoření v R2 a nejpozději 190 dní po jejich vytvoření v Google Drive.
- Uchováváme to, co nám právo ukládá uchovávat jako správci, například faktury a účetní záznamy po dobu 5 let podle dánských pravidel o účetnictví. Tyto údaje se nezpracovávají jménem Agentury.
- Výmaz na žádost potvrdíme e-mailem.
9. Odpovědnost, právo a změny
- Odpovědnost se řídí článkem 8 podmínek. Nárok subjektu údajů z titulu ochrany osobních údajů na tom mezi stranami nic nemění, pokud právo nestanoví jinak.
- Použije se dánské právo. Spory rozhoduje Retten i Randers (okresní soud v Randers), jako v podmínkách.
- Tuto smlouvu můžeme do budoucna změnit s písemným oznámením 60 dní předem, pokud se změní právo, další zpracovatel nebo služba. Agentura může podmínky vypovědět dříve, než změna nabude účinnosti.
- Pokud je mezi touto smlouvou a podmínkami rozpor ohledně osobních údajů, má přednost tato smlouva.
- Dotazy k osobním údajům zasílejte na kontakt@gezar.dk.