Tietojenkäsittelysopimus toimistoille

Versio 1.1, 31. lokakuuta 2026. Tämä englanninkielinen versio on pääversio. Epäselvässä tapauksessa se on ensisijainen.

Tämä sopimus on osa white label -ehtoja The CSS Partnerin (Gezar, tanskalainen yksityisyrittäjä, jonka omistaa Magnus Bo Nielsen, CVR-numero 42476226, Lupinskrænten 58, 8500 Grenaa, Tanska) ja Toimiston välillä. Sitä sovelletaan siitä päivästä, jona Toimisto hyväksyy ehdot. “GDPR” tarkoittaa asetusta (EU) 2016/679.

1. Kuka vastaa mistäkin

Suurinta osaa palvelun henkilötiedoista ei käsitellä Toimiston puolesta. Taulukosta ilmenee, kuka päättää, miksi ja miten tietoja käytetään.

Tiedot	Kuka on rekisterinpitäjä	The CSS Partnerin rooli henkilötietojen käsittelijänä?
Tekniset tiedot White Label CSS -sivuston kävijöistä (kuten IP-osoite, laite, katsotut sivut, tuotteiden klikkaukset)	The CSS Partner	Ei
Toimiston oman henkilöstön kirjautumistiedot kumppaniportaalissa	The CSS Partner, portaalin ja sopimuksen hoitamiseksi	Ei
Toimiston oman laskutuksen tiedot (nimi, osoite, arvonlisäverotunniste, maksutapa)	The CSS Partner	Ei
Jälleenmyynnissä: Toimiston asiakkaiden tili- ja maksutiedot (nimi, sähköposti, yritys, maa, arvonlisäverotunniste, Kaupat, tilaus ja maksut)	The CSS Partner myyjänä	Ei
Jälleenmyynnissä: se, mitä Toimisto saa asiakkaistaan (nimi, sähköposti, Kaupat, tila, maksut)	Toimisto omana rekisterinpitäjänään	Ei. Luovutamme tiedot Toimistolle
Toimiston itse syöttämien tai tuomien asiakkaiden yhteystiedot ja Merchant Center -tunnukset (täysi hallinta, ilman maksua meidän kauttamme)	Toimisto	Kyllä
Sähköpostit, joita lähetämme näille asiakkaille Toimiston nimissä Toimiston sähköpostiverkkotunnuksesta	Toimisto	Kyllä
Toimiston omat asiakassuhteet, markkinointi ja sopimukset	Toimisto	Ei

Toimisto on oma rekisterinpitäjänsä asiakassuhteidensa osalta. Emme päätä, miten Toimisto käyttää asiakkaidensa tietoja.

2. Kun emme käsittele tietoja Toimiston puolesta

Jos Toimisto ei syötä portaaliin asiakastietoja eikä lähetä sen kautta sähköposteja, emme käsittele henkilötietoja Toimiston puolesta. Silloin kohtia 3 ja 9 sekä niiden välisiä kohtia ei sovelleta, ja kumpikin osapuoli noudattaa GDPR:ää niiden tietojen osalta, joita se hallitsee. Sama koskee Jälleenmyyntiasiakkaita: käsittelemme heidän tietojaan rekisterinpitäjänä, emme Toimiston puolesta.

Toimiston asiakkaiden tuotesyötteet ja tuotetiedot ovat yritystietoja, eivät henkilötietoja. Jos syöte sisältää henkilötietoja, se on ehtojen kohdan 3.6 rikkomus.

3. Käsittely Toimiston puolesta

Tätä osaa sovelletaan vain kohdan 1 kahteen riviin, jotka on merkitty sanalla ”Kyllä”.

1. Kohde ja tarkoitus. Käsittelemme tietoja White Label CSS:n ylläpitämiseksi Toimistolle: Toimiston asiakastietojen ja Kauppojen tallentamiseksi sekä Toimiston käyttöön ottamien sähköpostien lähettämiseksi Toimiston nimissä.
2. Luonne. Tallennus, näyttäminen portaalissa, siirto Googlen CSS Centeriin siltä osin kuin se on tarpeen Kaupan liittämiseksi, ja sähköpostin lähettäminen.
3. Tietotyypit. Nimi, sähköpostiosoite, puhelinnumero (valinnainen), yritys, maa, arvonlisäverotunniste, Merchant Center -tunnus, kaupan osoite, asiakkaan Kauppojen tila sekä lähetetyt sähköpostit päivämäärineen ja toimitustilanteineen.
4. Rekisteröidyt. Toimiston asiakkaiden yhteyshenkilöt.
5. Kesto. Ehtojen voimassaolon ajan ja kohdan 8 mukaiseen poistoon asti.
6. Ohjeet. Käsittelemme tietoja vain Toimiston dokumentoitujen ohjeiden mukaisesti. Ehdot, tämä sopimus ja se, mitä Toimisto tekee portaalissa, ovat sen ohjeita. Kerromme Toimistolle, jos katsomme ohjeen rikkovan lakia.
7. Luottamuksellisuus. Jokainen, jolla on pääsy tietoihin meidän puolellamme, on sidottu vaitiolovelvollisuuteen.
8. Tietoturva. Sovellamme kohdan 6 toimenpiteitä.
9. Apu. Autamme Toimistoa vastaamaan rekisteröityjen pyyntöihin sekä tietoturvaa, tietoturvaloukkauksia, vaikutustenarviointeja ja valvontaviranomaisen kuulemista koskevissa velvoitteissa siltä osin kuin käsittely sen sallii. Kerromme Toimistolle ilman aiheetonta viivytystä, jos rekisteröity ottaa meihin yhteyttä tiedoista, joita käsittelemme Toimiston puolesta.
10. Todisteet. Annamme Toimistolle tiedot, joita se tarvitsee osoittaakseen, että täytämme tämän sopimuksen. Toimisto voi tarkastaa toimintamme kerran vuodessa 30 päivän ilmoituksella, työaikana ja omalla kustannuksellaan vaitiolovelvollisuuden alaisen tarkastajan avulla. Voimme sen sijaan antaa kirjallisen vastauksen Toimiston kysymyksiin, jos se kattaa saman alueen.
11. Toimiston velvollisuudet. Toimistolla on oikeusperuste syöttämilleen tiedoille, ja se kertoo asiakkailleen ja näiden henkilöstölle, että me käsittelemme tietoja sen puolesta. Se ei syötä tietoja, joita sillä ei ole oikeutta syöttää.

4. Alikäsittelijät

Toimisto antaa meille yleisen luvan käyttää alla lueteltuja alikäsittelijöitä. Ilmoitamme Toimistolle uudesta tai korvatusta alikäsittelijästä sähköpostilla vähintään 30 päivää ennen sen aloittamista. Toimisto voi vastustaa perustellusta syystä tämän ajan kuluessa. Jos emme voi ottaa vastalausetta huomioon, Toimisto voi irtisanoa ehdot muutoksen alkamispäivästä lukien. Jokainen alikäsittelijä on sidottu sopimuksella, jossa on samat tietosuojavelvoitteet kuin tässä sopimuksessa. Vastaamme niistä.

Alikäsittelijä	Mitä se tekee	Sijainti
The CSS Partnerin omat palvelimet	Isännöivät portaalin, tietokannan ja vertailusivuston	Tanska (tavoitetaan Cloudflaren kautta)
Resend	Lähettää sähköposteja Toimiston nimissä	Alue eu-west-1 (Irlanti)
Cloudflare	DNS, tietoturva ja varmenteet Toimiston verkkotunnukselle sekä sivuston toimitus	Maailmanlaajuinen verkko
Cloudflare R2	Tallentaa tietokannan salatut varmuuskopiot. Avain, jolla ne avataan, on vain meidän hallussamme	EU
Google Drive	Tallentaa tiedostojen ja tietokantavedosten salatut varmuuskopiot. Avain on vain meidän hallussamme	Sijaintia ei ole rajattu EU:hun. Siirto perustuu Googlen tietosuojaehtoihin ja vakiosopimuslausekkeisiin
Stripe	Maksut ja laskut Toimiston white label -maksusta ja Jälleenmyynnissä Jälleenmyyntiasiakkaille	EU ja USA

Google Drivea lukuun ottamatta Google ei ole alikäsittelijämme. Kun liitämme Kaupan Googlen CSS Centeriin, Google käsittelee Merchant Center -tietoja omien ehtojensa mukaisesti Toimiston asiakkaan kanssa ja meidän kanssamme CSS:nä. Stripe käsittelee maksutietoja itsenäisenä rekisterinpitäjänä joihinkin tarkoituksiin, kuten petosten estämiseen ja lakisääteisiin velvoitteisiinsa.

5. Siirrot EU:n ja ETA:n ulkopuolelle

1. Oma palvelimemme sijaitsee Tanskassa. Resend tallentaa tiedot Irlantiin. R2:n varmuuskopiot säilytetään EU:ssa. Google Driven salattuja kopioita voidaan säilyttää EU:n ulkopuolella, ja niihin sovelletaan kohdan 5.1 siirtomekanismeja. Cloudflare ja Stripe ovat yhdysvaltalaisia yrityksiä, joilla on toimintaa EU:ssa. Kun alikäsittelijä siirtää tietoja maahan, jolla ei ole riittävyyspäätöstä, siirto perustuu Euroopan komission vakiosopimuslausekkeisiin (päätös (EU) 2021/914) tai muuhun GDPR:n mukaiseen siirtomekanismiin.
2. Jos Toimisto on sijoittautunut EU:n ja ETA:n ulkopuolelle ja sen maalla ei ole riittävyyspäätöstä, komission vakiosopimuslausekkeet ovat osa tätä sopimusta niiden tietojen osalta, jotka lähetämme Toimistolle. Rekisterinpitäjänä luovuttamiimme tietoihin sovelletaan moduulia 1. Käsittelijänä takaisin lähettämiimme tietoihin sovelletaan moduulia 4. Liitetiedot ilmenevät tästä sopimuksesta ja kohdasta 1. Sovelletaan Tanskan lakia, kun lausekkeet jättävät valinnan avoimeksi, ja tuomioistuin on Retten i Randers.

6. Tietoturva

Suojaamme tiedot seuraavilla toimenpiteillä:

• salatut yhteydet (TLS) selaimen, sivuston ja portaalin välillä,
• kirjautuminen kertakäyttölinkillä, allekirjoitetut istuntoevästeet ja rooli jokaiselle käyttäjälle (omistaja, ylläpitäjä, työntekijä, lukija), jolloin käytöstä poistettu käyttäjä menettää pääsynsä heti,
• portaali, sivusto ja taustajärjestelmä ovat erillisiä, ja selain puhuu vain Toimiston oman sivuston osoitteen kanssa,
• avaimet ja salaisuudet säilytetään vain palvelimella, ei koskaan selaimessa,
• sähköpostisuoja, joka pysäyttää kaikki sähköpostit, joita Toimisto ei ole ottanut käyttöön, ja kaikki vahvistamattomalta lähettäjältä tulevat sähköpostit,
• lokit lähetetyistä sähköposteista,
• pääsy asiakastietoihin vain niille, jotka tarvitsevat sitä palvelun ylläpitämiseen.

Tarkistamme toimenpiteet, kun palvelu tai riskit muuttuvat. Emme alenna suojauksen tasoa sopimuskauden aikana.

7. Henkilötietojen tietoturvaloukkaus

Ilmoitamme Toimistolle ilman aiheetonta viivytystä, kun saamme tiedon sellaisten tietojen loukkauksesta, joita käsittelemme sen puolesta. Ilmoituksessa kerrotaan, mitä tapahtui, mitä tietoja ja kuinka montaa henkilöä asia voi koskea, mitkä seuraukset arvioimme olevan ja mitä olemme tehneet. Lähetämme lisätietoja sitä mukaa kuin saamme niitä. Toimisto päättää, ilmoittaako se valvontaviranomaiselle ja rekisteröidyille.

8. Poisto ja palautus lopuksi

1. Kun ehdot päättyvät, lopetamme Toimiston asiakastietojen ja sähköpostien käsittelyn.
2. Pyynnöstä, joka tehdään ennen päättymistä tai 30 päivän kuluessa sen jälkeen, annamme Toimistolle asiakastietojen viennin yleisessä muodossa (CSV).
3. Poistamme asiakastiedot ja sähköpostilokit, joita käsittelemme Toimiston puolesta, 30 päivän kuluessa ehtojen päättymisestä tai 30 päivän kuluessa ehtojen kohdan 5.5 mukaisen siirtymäjakson päättymisestä, jos se on myöhemmin. Varmuuskopioissa olevat kopiot poistetaan automaattisesti viimeistään 35 päivää niiden luomisen jälkeen R2:ssa ja viimeistään 190 päivää niiden luomisen jälkeen Google Drivessa.
4. Säilytämme sen, mitä laki velvoittaa meidät säilyttämään rekisterinpitäjänä, kuten laskut ja kirjanpitoaineisto 5 vuotta Tanskan kirjanpitosääntöjen mukaisesti. Näitä tietoja ei käsitellä Toimiston puolesta.
5. Vahvistamme poiston sähköpostilla pyynnöstä.

9. Vastuu, laki ja muutokset

1. Vastuu määräytyy ehtojen kohdan 8 mukaan. Rekisteröidyn tietosuojavaatimus ei muuta sitä osapuolten välillä, paitsi jos laki toisin säätää.
2. Sovelletaan Tanskan lakia. Riidat menevät Retten i Randersiin (Randersin käräjäoikeus), kuten ehdoissa.
3. Voimme muuttaa tätä sopimusta tulevaisuutta varten 60 päivän kirjallisella ilmoituksella, jos laki, alikäsittelijä tai palvelu muuttuu. Toimisto voi irtisanoa ehdot ennen kuin muutos tulee voimaan.
4. Jos tämä sopimus ja ehdot ovat ristiriidassa henkilötietojen osalta, tämä sopimus on ensisijainen.
5. Henkilötietoja koskevat kysymykset osoitetaan osoitteeseen kontakt@gezar.dk.