Versión 1.1, 31 de octubre de 2026. La versión en inglés es la versión de referencia. En caso de duda, prevalece.
Este acuerdo forma parte de las condiciones de marca blanca entre The CSS Partner (Gezar, una empresa individual danesa propiedad de Magnus Bo Nielsen, CVR n.º 42476226, Lupinskrænten 58, 8500 Grenaa, Dinamarca) y la Agencia. Se aplica desde el día en que la Agencia acepta las condiciones. «RGPD» significa el Reglamento (UE) 2016/679.
1. Quién es responsable de qué
La mayor parte de los datos personales del servicio no se tratan por cuenta de la Agencia. La tabla indica quién decide por qué y cómo se usan los datos.
| Datos | Quién es responsable del tratamiento | ¿Función de encargado de The CSS Partner? |
|---|---|---|
| Datos técnicos sobre los visitantes del sitio del CSS de marca blanca (como la dirección IP, el dispositivo, las páginas vistas, los clics en productos) | The CSS Partner | No |
| Datos de inicio de sesión del personal propio de la Agencia en el portal de socios | The CSS Partner, para gestionar el portal y el contrato | No |
| Datos de facturación de la propia Agencia (nombre, dirección, número de IVA, método de pago) | The CSS Partner | No |
| En la Reventa: datos de cuenta y de pago de los clientes de la Agencia (nombre, correo electrónico, empresa, país, número de IVA, Tiendas, suscripción y pagos) | The CSS Partner, como vendedor | No |
| En la Reventa: lo que la Agencia recibe sobre sus clientes (nombre, correo electrónico, Tiendas, estado, pagos) | La Agencia, como responsable del tratamiento por derecho propio | No. Comunicamos los datos a la Agencia |
| Datos de contacto e ID de Merchant Center de clientes que la Agencia introduce o importa por sí misma (control total, sin pago a través de nosotros) | La Agencia | Sí |
| Correos que enviamos a esos clientes en nombre de la Agencia desde el dominio de correo de la Agencia | La Agencia | Sí |
| Las relaciones con clientes, el marketing y los contratos propios de la Agencia | La Agencia | No |
La Agencia es responsable del tratamiento por derecho propio en sus relaciones con sus clientes. No decidimos cómo usa la Agencia los datos de sus clientes.
2. Cuándo no tratamos datos por cuenta de la Agencia
Si la Agencia no introduce datos de clientes en el portal y no envía correos a través de él, no tratamos datos personales por cuenta de la Agencia. En ese caso, las cláusulas 3 a 9 no se aplican, y cada parte cumple el RGPD respecto de los datos que controla. Lo mismo ocurre con los clientes de Reventa: tratamos sus datos como responsable del tratamiento, no por cuenta de la Agencia.
Las fuentes de datos de producto y los datos de producto de los clientes de la Agencia son datos empresariales, no datos personales. Si una fuente de datos contiene datos personales, ello constituye un incumplimiento de la cláusula 3.6 de las condiciones.
3. Tratamiento por cuenta de la Agencia
Esta parte se aplica únicamente a las dos filas marcadas «Sí» en la cláusula 1.
- Objeto y finalidad. Tratamos los datos para gestionar el CSS de marca blanca para la Agencia: para almacenar los registros de clientes y las Tiendas de la Agencia, y para enviar los correos que la Agencia ha activado, en nombre de la Agencia.
- Naturaleza. Almacenamiento, visualización en el portal, transferencia al CSS Center de Google cuando sea necesario para vincular una Tienda, y envío de correo.
- Tipos de datos. Nombre, dirección de correo electrónico, número de teléfono (opcional), empresa, país, número de IVA, ID de Merchant Center, dirección de la tienda, el estado de las Tiendas del cliente, y los correos enviados con su fecha y estado de entrega.
- Interesados. Personas de contacto de los clientes de la Agencia.
- Duración. Mientras las condiciones estén vigentes y hasta la supresión conforme a la cláusula 8.
- Instrucciones. Tratamos los datos únicamente siguiendo instrucciones documentadas de la Agencia. Las condiciones, este acuerdo y lo que la Agencia hace en el portal son sus instrucciones. Informamos a la Agencia si consideramos que una instrucción infringe la ley.
- Confidencialidad. Todas las personas que tienen acceso a los datos de nuestro lado están sujetas a un deber de confidencialidad.
- Seguridad. Aplicamos las medidas de la cláusula 6.
- Asistencia. Ayudamos a la Agencia a atender las solicitudes de los interesados, y en sus obligaciones en materia de seguridad, violaciones de la seguridad, evaluaciones de impacto y consulta a la autoridad, en la medida en que lo permita el tratamiento. Informamos a la Agencia sin demora indebida si un interesado se dirige a nosotros respecto de datos que tratamos por cuenta de la Agencia.
- Acreditación. Facilitamos a la Agencia la información que necesite para demostrar que cumplimos este acuerdo. La Agencia puede auditarnos una vez al año, con un preaviso de 30 días, en horario laboral y a su propio coste, con un auditor sujeto a confidencialidad. Podemos, en su lugar, dar una respuesta escrita a las preguntas de la Agencia, si con ello se cubre lo mismo.
- Obligaciones de la Agencia. La Agencia dispone de una base jurídica para los datos que introduce e informa a sus clientes y a su personal de que nosotros tratamos los datos por cuenta de ella. No introduce datos que no tenga derecho a introducir.
4. Subencargados del tratamiento
La Agencia nos otorga una autorización general para utilizar los subencargados que figuran a continuación. Informamos a la Agencia por correo electrónico de un subencargado nuevo o sustituido al menos 30 días antes de que comience. La Agencia puede oponerse por motivos razonables dentro de ese plazo. Si no podemos atender la objeción, la Agencia puede resolver las condiciones con efecto desde el día en que comience el cambio. Cada subencargado queda obligado por un contrato con las mismas obligaciones de protección de datos que este acuerdo. Somos responsables de ellos.
| Subencargado | Qué hace | Dónde |
|---|---|---|
| Los servidores propios de The CSS Partner | Alojan el portal, la base de datos y el sitio comparador | Dinamarca (a los que se accede a través de Cloudflare) |
| Resend | Envía correos en nombre de la Agencia | Región eu-west-1 (Irlanda) |
| Cloudflare | DNS, seguridad y certificados del dominio de la Agencia, y entrega del sitio | Red global |
| Cloudflare R2 | Almacena copias de seguridad cifradas de la base de datos. La clave que las abre la conservamos únicamente nosotros | UE |
| Google Drive | Almacena copias de seguridad cifradas de archivos y volcados de la base de datos. La clave la conservamos únicamente nosotros | Ubicación no limitada a la UE. La transferencia se basa en las condiciones de protección de datos de Google y en cláusulas contractuales tipo |
| Stripe | Pagos y facturas de la tarifa de marca blanca de la Agencia y, en la Reventa, de los clientes de Reventa | UE y EE. UU. |
Aparte de Google Drive, Google no es nuestro subencargado. Cuando vinculamos una Tienda en el CSS Center de Google, Google trata los datos de Merchant Center conforme a sus propias condiciones con el cliente de la Agencia y con nosotros como CSS. Stripe trata los datos de pago como responsable del tratamiento independiente para algunas finalidades, como la prevención del fraude y sus obligaciones legales.
5. Transferencias fuera de la UE y del EEE
- Nuestro propio servidor está en Dinamarca. Resend almacena en Irlanda. Las copias de seguridad en R2 se conservan en la UE. Las copias cifradas en Google Drive pueden conservarse fuera de la UE y están cubiertas por los instrumentos de transferencia de la cláusula 5.1. Cloudflare y Stripe son empresas estadounidenses con presencia en la UE. Cuando un subencargado transfiere datos a un país sin decisión de adecuación, la transferencia se basa en las cláusulas contractuales tipo de la Comisión Europea (Decisión (UE) 2021/914) o en otro instrumento de transferencia del RGPD.
- Si la Agencia está establecida fuera de la UE y del EEE, y su país no tiene decisión de adecuación, las cláusulas contractuales tipo de la Comisión forman parte de este acuerdo para los datos que enviamos a la Agencia. Para los datos que comunicamos como responsable del tratamiento, se aplica el Módulo 1. Para los datos que devolvemos como encargado, se aplica el Módulo 4. La información de los anexos se desprende de este acuerdo y de la cláusula 1. Se aplica el derecho danés cuando las cláusulas dejan abierta la elección, y el tribunal competente es Retten i Randers.
6. Seguridad
Protegemos los datos con estas medidas:
- conexiones cifradas (TLS) entre el navegador, el sitio y el portal,
- inicios de sesión mediante enlace de un solo uso, cookies de sesión firmadas y un rol para cada usuario (propietario, administrador, empleado, lector), de modo que un usuario desactivado pierde el acceso de inmediato,
- el portal, el sitio y el backend están separados, y el navegador solo se comunica con la dirección del sitio propio de la Agencia,
- las claves y los secretos se conservan únicamente en el servidor, nunca en el navegador,
- una protección de correo que detiene cualquier correo no activado por la Agencia y cualquier correo de un remitente no verificado,
- registros de los correos enviados,
- acceso a los datos de clientes únicamente para las personas que lo necesitan para gestionar el servicio.
Revisamos las medidas cuando cambian el servicio o los riesgos. No reducimos el nivel de protección durante la vigencia.
7. Violación de la seguridad de los datos personales
Informamos a la Agencia sin demora indebida cuando tenemos conocimiento de una violación de los datos que tratamos por cuenta de ella. El mensaje indica qué ocurrió, qué datos y cuántas personas pueden verse afectados, qué consecuencias consideramos que tiene y qué hemos hecho. Enviamos más información a medida que la obtengamos. La Agencia decide si notifica a la autoridad de control y a los interesados.
8. Supresión y devolución al final
- Cuando terminen las condiciones, dejamos de tratar los registros de clientes y los correos de la Agencia.
- A petición realizada antes del final, o dentro de los 30 días posteriores, entregamos a la Agencia una exportación de los registros de clientes en un formato común (CSV).
- Suprimimos los registros de clientes y los registros de correo que tratamos por cuenta de la Agencia dentro de los 30 días posteriores a la terminación de las condiciones, o dentro de los 30 días posteriores al periodo de transición conforme a la cláusula 5.5 de las condiciones, si este es posterior. Las copias contenidas en copias de seguridad se suprimen automáticamente como máximo 35 días después de su creación, en R2, y como máximo 190 días después, en Google Drive.
- Conservamos lo que la ley nos obliga a conservar como responsables del tratamiento, como las facturas y los registros contables durante 5 años conforme a las normas contables danesas. Esos datos no se tratan por cuenta de la Agencia.
- Confirmamos la supresión por correo electrónico a petición.
9. Responsabilidad, ley aplicable y modificaciones
- La responsabilidad se rige por la cláusula 8 de las condiciones. Una reclamación de protección de datos de un interesado no cambia eso entre las partes, salvo que la ley disponga otra cosa.
- Se aplica el derecho danés. Las controversias se someten a Retten i Randers (Tribunal de Distrito de Randers), como en las condiciones.
- Podemos modificar este acuerdo para el futuro con un preaviso escrito de 60 días, si cambian la ley, un subencargado o el servicio. La Agencia puede resolver las condiciones antes de que el cambio surta efecto.
- Si este acuerdo y las condiciones entran en conflicto respecto de los datos personales, prevalece este acuerdo.
- Las preguntas sobre datos personales se dirigen a kontakt@gezar.dk.