Isikuandmete töötlemise leping agentuuridele

Versioon 1.1, 31. oktoober 2026. Põhiversioon on ingliskeelne. Kahtluse korral on see ülimuslik.

See leping on osa white label tingimustest The CSS Partneri (Gezar, Taani füüsilisest isikust ettevõtja, kelle omanik on Magnus Bo Nielsen, CVR nr 42476226, Lupinskrænten 58, 8500 Grenaa, Taani) ja Agentuuri vahel. See kehtib päevast, mil Agentuur tingimustega nõustub. „GDPR“ tähendab määrust (EL) 2016/679.

1. Kes mille eest vastutab

Enamikku teenuse isikuandmetest ei töödelda Agentuuri nimel. Tabel näitab, kes otsustab, miks ja kuidas andmeid kasutatakse.

Andmed	Kes on vastutav töötleja	Kas The CSS Partner on volitatud töötleja?
Tehnilised andmed White Label CSS-i saidi külastajate kohta (näiteks IP-aadress, seade, vaadatud lehed, klikid toodetele)	The CSS Partner	Ei
Agentuuri enda töötajate sisselogimisandmed partnerportaalis	The CSS Partner, portaali ja lepingu haldamiseks	Ei
Agentuuri enda arveldusandmed (nimi, aadress, käibemaksukohustuslase number, makseviis)	The CSS Partner	Ei
Edasimüügi korral: Agentuuri klientide konto- ja maksandmed (nimi, e-post, ettevõte, riik, käibemaksukohustuslase number, Poed, tellimus ja maksed)	The CSS Partner, müüjana	Ei
Edasimüügi korral: mida Agentuur oma klientide kohta saab (nimi, e-post, Poed, staatus, maksed)	Agentuur, oma andmete vastutava töötlejana	Ei. Avaldame andmed Agentuurile
Klientide kontaktandmed ja Merchant Centeri ID-d, mille Agentuur ise sisestab või impordib (täielik kontroll, ilma makseta meie kaudu)	Agentuur	Jah
Kirjad, mille saadame nendele klientidele Agentuuri nimel Agentuuri e-posti domeenilt	Agentuur	Jah
Agentuuri enda kliendisuhted, turundus ja lepingud	Agentuur	Ei

Agentuur on oma kliendisuhete osas ise vastutav töötleja. Me ei otsusta, kuidas Agentuur oma klientide andmeid kasutab.

2. Kui me andmeid Agentuuri nimel ei töötle

Kui Agentuur ei sisesta portaali kliendiandmeid ega saada selle kaudu kirju, ei töötle me isikuandmeid Agentuuri nimel. Siis punktid 3 kuni 9 ei kehti ja kumbki pool järgib GDPR-i andmete osas, mida ta kontrollib. Sama kehtib Edasimüügi klientide kohta: töötleme nende andmeid vastutava töötlejana, mitte Agentuuri jaoks.

Agentuuri klientide tooteandmed (sööt) on äriandmed, mitte isikuandmed. Kui tooteandmed sisaldavad isikuandmeid, on see tingimuste punkti 3.6 rikkumine.

3. Töötlemine Agentuuri nimel

See osa kehtib ainult kahele reale, mis on punktis 1 märgitud „Jah“.

1. Ese ja eesmärk. Töötleme andmeid, et hallata Agentuurile White Label CSS-i: salvestada Agentuuri klientide kirjeid ja Poode ning saata kirju, mille Agentuur on sisse lülitanud, Agentuuri nimel.
2. Laad. Salvestamine, kuvamine portaalis, edastamine Google’i CSS Centerisse, kui see on Poe sidumiseks vajalik, ning kirjade saatmine.
3. Andmete liigid. Nimi, e-posti aadress, telefoninumber (valikuline), ettevõte, riik, käibemaksukohustuslase number, Merchant Centeri ID, poe aadress, kliendi Poodide staatus ning saadetud kirjad koos kuupäeva ja kohaletoimetamise staatusega.
4. Andmesubjektid. Agentuuri klientide kontaktisikud.
5. Kestus. Kuni tingimused kehtivad ja kuni kustutamiseni punkti 8 alusel.
6. Juhised. Töötleme andmeid ainult Agentuuri dokumenteeritud juhiste alusel. Tingimused, see leping ja see, mida Agentuur portaalis teeb, on tema juhised. Teavitame Agentuuri, kui arvame, et juhis rikub seadust.
7. Konfidentsiaalsus. Kõik, kellel on meie poolel andmetele juurdepääs, on seotud konfidentsiaalsuskohustusega.
8. Turvalisus. Rakendame punktis 6 nimetatud meetmeid.
9. Abi. Aitame Agentuuril vastata andmesubjektide taotlustele ning täita oma kohustusi seoses turvalisuse, rikkumiste, mõjuhinnangute ja järelevalveasutusega konsulteerimisega, niivõrd kui töötlemine seda võimaldab. Teavitame Agentuuri põhjendamatu viivituseta, kui andmesubjekt pöördub meie poole andmete osas, mida töötleme Agentuuri nimel.
10. Tõendamine. Anname Agentuurile teabe, mida ta vajab, et näidata meie vastavust sellele lepingule. Agentuur võib meid kord aastas auditeerida, teatades sellest 30 päeva ette, tööajal ja omal kulul, konfidentsiaalsuskohustusega seotud audiitoriga. Võime selle asemel anda kirjaliku vastuse Agentuuri küsimustele, kui see katab sama sisu.
11. Agentuuri kohustused. Agentuuril on õiguslik alus sisestatavate andmete töötlemiseks ning ta teavitab oma kliente ja nende töötajaid, et me töötleme nende andmeid tema nimel. Ta ei sisesta andmeid, mille sisestamiseks tal õigust ei ole.

4. Alltöötlejad

Agentuur annab meile üldise loa kasutada allpool nimetatud alltöötlejaid. Teavitame Agentuuri uuest või asendatud alltöötlejast e-kirjaga vähemalt 30 päeva enne selle tööle asumist. Agentuur võib sellel ajal põhjendatud vastuväite esitada. Kui me vastuväitele vastata ei saa, võib Agentuur tingimused lõpetada muudatuse jõustumise päevast. Iga alltöötleja on seotud lepinguga, millel on samad andmekaitsekohustused nagu sellel lepingul. Vastutame nende eest.

Alltöötleja	Mida teeb	Kus
The CSS Partneri enda serverid	Majutavad portaali, andmebaasi ja võrdlussaiti	Taani (ligipääs Cloudflare’i kaudu)
Resend	Saadab kirju Agentuuri nimel	Piirkond eu-west-1 (Iirimaa)
Cloudflare	DNS, turvalisus ja sertifikaadid Agentuuri domeenile ning saidi edastamine	Ülemaailmne võrk
Cloudflare R2	Hoiab andmebaasi krüpteeritud varukoopiaid. Neid avavat võtit hoiame ainult meie	EL
Google Drive	Hoiab failide ja andmebaasi tõmmiste krüpteeritud varukoopiaid. Võtit hoiame ainult meie	Asukoht ei ole piiratud EL-iga. Edastamine tugineb Google’i andmekaitsetingimustele ja standardsetele lepingutingimustele
Stripe	Maksed ja arved Agentuuri white label tasu eest ning Edasimüügi korral Edasimüügi klientide eest	EL ja USA

Välja arvatud Google Drive, ei ole Google meie alltöötleja. Kui seome Poe Google’i CSS Centeris, töötleb Google Merchant Centeri andmeid oma tingimuste alusel Agentuuri kliendiga ja meiega kui CSS-iga. Stripe käsitleb maksandmeid sõltumatu vastutava töötlejana teatud eesmärkidel, näiteks pettuse tõrjeks ja oma õiguslike kohustuste täitmiseks.

5. Edastamine väljapoole EL-i ja EMP-d

1. Meie enda server asub Taanis. Resend salvestab Iirimaal. R2 varukoopiaid hoitakse EL-is. Krüpteeritud koopiaid Google Drive’is võidakse hoida väljaspool EL-i ning neile kehtivad punktis 5.1 nimetatud edastamisvahendid. Cloudflare ja Stripe on USA ettevõtted, kellel on EL-is kohalolek. Kui alltöötleja edastab andmeid riiki, mille kohta ei ole piisavuse otsust, tugineb edastamine Euroopa Komisjoni standardsetele lepingutingimustele (otsus (EL) 2021/914) või muule GDPR-is nimetatud edastamisvahendile.
2. Kui Agentuur on asutatud väljaspool EL-i ja EMP-d ning tema riigi kohta ei ole piisavuse otsust, on Komisjoni standardsed lepingutingimused selle lepingu osa andmete suhtes, mida me Agentuurile saadame. Andmete puhul, mida avaldame vastutava töötlejana, kohaldatakse moodulit 1. Andmete puhul, mida saadame tagasi volitatud töötlejana, kohaldatakse moodulit 4. Lisade teave tuleneb sellest lepingust ja punktist 1. Kohaldatakse Taani õigust, kui standardsed lepingutingimused jätavad valiku lahtiseks, ja kohtuks on Retten i Randers.

6. Turvalisus

Kaitseme andmeid nende meetmetega:

• krüpteeritud ühendused (TLS) brauseri, saidi ja portaali vahel,
• sisselogimine ühekordse lingiga, allkirjastatud sessiooniküpsised ja iga kasutaja roll (omanik, administraator, töötaja, lugeja), kusjuures deaktiveeritud kasutaja kaotab juurdepääsu kohe,
• portaal, sait ja taustasüsteem on eraldatud ning brauser suhtleb ainult Agentuuri enda saidi aadressiga,
• võtmeid ja saladusi hoitakse ainult serveris, mitte kunagi brauseris,
• e-kirjade kaitsemehhanism, mis peatab iga kirja, mida Agentuur ei ole sisse lülitanud, ja iga kirja kinnitamata saatjalt,
• saadetud kirjade logid,
• juurdepääs kliendiandmetele ainult neile, kes seda teenuse haldamiseks vajavad.

Vaatame meetmed üle, kui teenus või riskid muutuvad. Me ei vähenda kaitse taset lepingu kehtivusajal.

7. Isikuandmetega seotud rikkumine

Teavitame Agentuuri põhjendamatu viivituseta, kui saame teada rikkumisest andmetes, mida töötleme tema nimel. Teates on kirjas, mis juhtus, milliseid andmeid ja kui mitut inimest see võib mõjutada, millised on meie hinnangul tagajärjed ja mida oleme teinud. Saadame lisateavet, kui seda saame. Agentuur otsustab, kas teavitada järelevalveasutust ja andmesubjekte.

8. Kustutamine ja tagastamine lõpus

1. Kui tingimused lõppevad, lõpetame Agentuuri kliendikirjete ja kirjade töötlemise.
2. Taotluse korral, mis on esitatud enne lõppu või 30 päeva jooksul pärast seda, anname Agentuurile kliendikirjete ekspordi üldlevinud vormingus (CSV).
3. Kustutame kliendikirjed ja kirjade logid, mida töötleme Agentuuri nimel, 30 päeva jooksul pärast tingimuste lõppemist või 30 päeva jooksul pärast tingimuste punkti 5.5 kohast üleminekuperioodi, kui see on hilisem. Varukoopiates olevad koopiad kustutatakse automaatselt hiljemalt 35 päeva pärast nende tegemist R2-s ja hiljemalt 190 päeva pärast Google Drive’is.
4. Säilitame selle, mida seadus meilt vastutava töötlejana säilitada nõuab, näiteks arved ja raamatupidamisandmed 5 aastat Taani raamatupidamisreeglite järgi. Neid andmeid ei töödelda Agentuuri nimel.
5. Kinnitame kustutamise taotluse korral e-kirjaga.

9. Vastutus, õigus ja muudatused

1. Vastutus järgib tingimuste punkti 8. Andmesubjekti andmekaitsenõue ei muuda seda poolte vahel, välja arvatud juhul, kui seadus ütleb teisiti.
2. Kohaldatakse Taani õigust. Vaidlused lähevad Retten i Randersi (Randersi esimese astme kohus) lahendada, nagu tingimustes.
3. Meil on õigus seda lepingut tulevikuks muuta, teatades sellest kirjalikult 60 päeva ette, kui seadus, alltöötleja või teenus muutub. Agentuur võib tingimused lõpetada enne muudatuse jõustumist.
4. Kui see leping ja tingimused on isikuandmete osas vastuolus, on see leping ülimuslik.
5. Küsimused isikuandmete kohta saata aadressile kontakt@gezar.dk.