Databehandleraftale for bureauer

Version 1.1, 31. oktober 2026. Den engelske udgave er hovedudgaven. Ved tvivl gælder den.

Aftalen er en del af white label-vilkårene mellem The CSS Partner (Gezar, en dansk enkeltmandsvirksomhed ejet af Magnus Bo Nielsen, CVR-nr. 42476226, Lupinskrænten 58, 8500 Grenaa) og Bureauet. Den gælder fra den dag, bureauet accepterer vilkårene. “GDPR” er forordning (EU) 2016/679.

1. Hvem er ansvarlig for hvad

Det meste af persondata i tjenesten behandles ikke på bureauets vegne. Tabellen viser, hvem der bestemmer formål og midler.

Data	Dataansvarlig	Er The CSS Partner databehandler?
Tekniske data om besøgende på White Label CSS-sitet (fx IP-adresse, enhed, besøgte sider, klik på produkter)	The CSS Partner	Nej
Logindata for bureauets egne medarbejdere i partnerportalen	The CSS Partner, for at drive portalen og aftalen	Nej
Bureauets egne faktureringsdata (navn, adresse, momsnummer, betalingsmiddel)	The CSS Partner	Nej
Ved Resell: konto- og betalingsdata om bureauets kunder (navn, mail, firma, land, momsnummer, shops, abonnement og betalinger)	The CSS Partner, som sælger	Nej
Ved Resell: det bureauet modtager om sine kunder (navn, mail, shops, status, betalinger)	Bureauet, som egen dataansvarlig	Nej. Vi videregiver data til bureauet
Kontaktdata og Merchant Center-id’er på kunder, som bureauet selv indtaster eller importerer (fuld styring uden betaling gennem os)	Bureauet	Ja
Mails, vi sender til disse kunder i bureauets navn fra bureauets maildomæne	Bureauet	Ja
Bureauets egne kundeforhold, markedsføring og kontrakter	Bureauet	Nej

Bureauet er selv dataansvarligt for sine kundeforhold. Vi bestemmer ikke, hvordan bureauet bruger sine kunders data.

2. Når vi ikke behandler data på bureauets vegne

Hvis bureauet ikke indtaster kundedata i portalen og ikke sender mails gennem den, behandler vi ikke persondata på bureauets vegne. Så gælder punkt 3 til 9 ikke, og hver part følger GDPR for de data, den er ansvarlig for. Det samme gælder for Resell-kunder: Vi behandler deres data som dataansvarlig, ikke for bureauet.

Produktfeeds og produktdata hos bureauets kunder er forretningsdata, ikke persondata. Indeholder et feed persondata, er det et brud på punkt 3.6 i vilkårene.

3. Behandling på bureauets vegne

Dette afsnit gælder kun de to rækker med “Ja” i afsnit 1.

1. Genstand og formål. Vi behandler data for at drive White Label CSS’en for bureauet: at gemme bureauets kundeposter og shops og at sende de mails, bureauet har slået til, i bureauets navn.
2. Art. Opbevaring, visning i portalen, overførsel til Googles CSS Center, hvor det kræves for at koble en shop på, og afsendelse af mail.
3. Typer af data. Navn, mailadresse, telefonnummer (frivilligt), firma, land, momsnummer, Merchant Center-id, webadresse på shoppen, status på kundens shops og de afsendte mails med dato og leveringsstatus.
4. Registrerede. Kontaktpersoner hos bureauets kunder.
5. Varighed. Mens vilkårene løber, og til sletning efter punkt 8.
6. Instruks. Vi behandler kun data efter bureauets dokumenterede instruks. Vilkårene, denne aftale og det, bureauet gør i portalen, er dets instruks. Vi siger til, hvis vi mener, at en instruks strider mod loven.
7. Fortrolighed. Alle, der har adgang til data hos os, har tavshedspligt.
8. Sikkerhed. Vi bruger foranstaltningerne i punkt 6.
9. Hjælp. Vi hjælper bureauet med at svare på henvendelser fra registrerede og med bureauets pligter om sikkerhed, brud, konsekvensanalyser og høring af tilsynet, så vidt behandlingen giver mulighed for det. Vi giver straks bureauet besked, hvis en registreret kontakter os om data, vi behandler for bureauet.
10. Dokumentation. Vi giver bureauet de oplysninger, det skal bruge for at vise, at vi overholder aftalen. Bureauet kan auditere os én gang om året med 30 dages varsel, i arbejdstiden og for egen regning, med en revisor under tavshedspligt. Vi kan i stedet svare skriftligt på bureauets spørgsmål, hvis det dækker det samme.
11. Bureauets pligter. Bureauet har et retsgrundlag for de data, det indtaster, og oplyser sine kunder og deres medarbejdere om, at vi behandler data for det. Det indtaster ikke data, det ikke har ret til at indtaste.

4. Underdatabehandlere

Bureauet giver os en generel tilladelse til at bruge underdatabehandlerne nedenfor. Vi giver bureauet besked på mail om en ny eller udskiftet underdatabehandler mindst 30 dage, før den starter. Bureauet kan gøre rimelige indsigelser inden for den frist. Kan vi ikke imødekomme indsigelsen, kan bureauet opsige vilkårene med virkning fra den dag, ændringen starter. Hver underdatabehandler er bundet af en kontrakt med samme databeskyttelsespligter som denne aftale. Vi hæfter for dem.

Underdatabehandler	Hvad den gør	Hvor
The CSS Partners egne servere	Hoster portalen, databasen og sammenligningssiden	Danmark (nås gennem Cloudflare)
Resend	Sender mails i bureauets navn	Region eu-west-1 (Irland)
Cloudflare	DNS, sikkerhed og certifikater for bureauets domæne og levering af sitet	Globalt netværk
Cloudflare R2	Opbevarer krypterede sikkerhedskopier af databasen. Nøglen til at åbne dem ligger kun hos os	EU
Google Drive	Opbevarer krypterede sikkerhedskopier af filer og databasedumps. Nøglen ligger kun hos os	Placering ikke fastlagt til EU. Overførslen hviler på Googles databeskyttelsesvilkår og standardkontraktbestemmelser
Stripe	Betaling og fakturaer for bureauets white label-gebyr og ved Resell for Resell-kunderne	EU og USA

Ud over Google Drive er Google ikke vores underdatabehandler. Når vi kobler en shop i Googles CSS Center, behandler Google Merchant Center-data efter sine egne vilkår med bureauets kunde og med os som CSS. Stripe behandler betalingsdata som selvstændig dataansvarlig til nogle formål, fx svindelforebyggelse og sine lovpligter.

5. Overførsel uden for EU og EØS

1. Vores egen server står i Danmark. Resend opbevarer i Irland. Sikkerhedskopier i R2 opbevares i EU. Krypterede kopier i Google Drive kan opbevares uden for EU og er dækket af punkt 5.1’s overførselsgrundlag. Cloudflare og Stripe er amerikanske selskaber med tilstedeværelse i EU. Hvor en underdatabehandler overfører data til et land uden en tilstrækkelighedsafgørelse, hviler overførslen på Kommissionens standardkontraktbestemmelser (afgørelse (EU) 2021/914) eller et andet overførselsgrundlag i GDPR.
2. Er bureauet etableret uden for EU og EØS, og har dets land ingen tilstrækkelighedsafgørelse, er Kommissionens standardkontraktbestemmelser en del af denne aftale for de data, vi sender til bureauet. For data, vi videregiver som dataansvarlig, gælder modul 1. For data, vi sender tilbage som databehandler, gælder modul 4. Bilagsoplysningerne følger af denne aftale og af punkt 1. Dansk ret gælder, hvor bestemmelserne lader valget stå åbent, og Retten i Randers er domstol.

6. Sikkerhed

Vi beskytter data med disse foranstaltninger:

• krypterede forbindelser (TLS) mellem browser, site og portal,
• login med engangslink, signerede sessionscookies og en rolle for hver bruger (ejer, admin, medarbejder, læser), hvor en deaktiveret bruger straks mister adgang,
• portal, site og backend er adskilt, og browseren taler kun med bureauets egen sideadresse,
• nøgler og hemmeligheder ligger kun på serveren, aldrig i browseren,
• en mailvagt, der stopper enhver mail, bureauet ikke har slået til, og enhver mail fra en afsender, der ikke er verificeret,
• log over afsendte mails,
• adgang til kundedata kun for de personer, der skal bruge den for at drive tjenesten.

Vi gennemgår foranstaltningerne, når tjenesten eller risiciene ændrer sig. Vi sænker ikke beskyttelsesniveauet i aftalens løbetid.

7. Brud på persondatasikkerheden

Vi giver bureauet besked uden unødig forsinkelse, når vi bliver opmærksomme på et brud på de data, vi behandler på dets vegne. Beskeden siger, hvad der skete, hvilke data og hvor mange personer der kan være berørt, hvilke følger vi venter, og hvad vi har gjort. Vi sender flere oplysninger, efterhånden som vi får dem. Bureauet afgør, om tilsynet og de registrerede skal underrettes.

8. Sletning og tilbagelevering ved ophør

1. Når vilkårene ophører, stopper vi behandlingen af bureauets kundeposter og mails.
2. På anmodning før ophøret eller inden for 30 dage efter giver vi bureauet et udtræk af kundeposterne i et gængs format (CSV).
3. Vi sletter de kundeposter og mail-logs, vi behandler på bureauets vegne, inden for 30 dage efter ophøret, eller 30 dage efter en afviklingsperiode efter punkt 5.5 i vilkårene, hvis den er senere. Kopier i sikkerhedskopier slettes automatisk senest 35 dage efter, at de er taget, i R2, og senest 190 dage efter i Google Drive.
4. Vi beholder det, loven kræver, at vi beholder som dataansvarlig, fx fakturaer og regnskabsmateriale i 5 år efter den danske bogføringslov. Disse data behandles ikke på bureauets vegne.
5. Vi bekræfter sletningen på mail, hvis bureauet beder om det.

9. Ansvar, lovvalg og ændringer

1. Ansvaret følger afsnit 8 i vilkårene. Et databeskyttelseskrav fra en registreret ændrer ikke det mellem parterne, medmindre loven siger andet.
2. Dansk ret gælder. Tvister afgøres af Retten i Randers, som i vilkårene.
3. Vi kan ændre aftalen for fremtiden med 60 dages skriftligt varsel, hvis loven, en underdatabehandler eller tjenesten ændrer sig. Bureauet kan opsige, før ændringen træder i kraft.
4. Hvis aftalen og vilkårene strider mod hinanden om persondata, går denne aftale forud.
5. Spørgsmål om persondata går til kontakt@gezar.dk.