Version 1.1, 31 octobre 2026. Cette version anglaise fait foi. En cas de doute, elle prévaut.
Cet accord fait partie des conditions white label entre The CSS Partner (Gezar, une entreprise individuelle danoise détenue par Magnus Bo Nielsen, CVR n° 42476226, Lupinskrænten 58, 8500 Grenaa, Danemark) et l’Agence. Il s’applique à partir du jour où l’Agence accepte les conditions. « RGPD » désigne le règlement (UE) 2016/679.
1. Qui est responsable de quoi
La plupart des données personnelles du service ne sont pas traitées pour le compte de l’Agence. Le tableau indique qui décide pourquoi et comment les données sont utilisées.
| Données | Qui est responsable du traitement | Rôle de sous-traitant de The CSS Partner ? |
|---|---|---|
| Données techniques sur les visiteurs du site du White Label CSS (telles que l’adresse IP, l’appareil, les pages vues, les clics sur les produits) | The CSS Partner | Non |
| Données de connexion du personnel de l’Agence dans le portail partenaire | The CSS Partner, pour exploiter le portail et le contrat | Non |
| Données de facturation de l’Agence elle-même (nom, adresse, numéro de TVA, moyen de paiement) | The CSS Partner | Non |
| En cas de Revente : données de compte et de paiement des clients de l’Agence (nom, e-mail, société, pays, numéro de TVA, Boutiques, abonnement et paiements) | The CSS Partner, en tant que vendeur | Non |
| En cas de Revente : ce que l’Agence reçoit sur ses clients (nom, e-mail, Boutiques, statut, paiements) | L’Agence, en tant que responsable du traitement pour son propre compte | Non. Nous communiquons les données à l’Agence |
| Coordonnées et identifiants Merchant Center des clients que l’Agence saisit ou importe elle-même (contrôle total, sans paiement via nous) | L’Agence | Oui |
| E-mails que nous envoyons à ces clients au nom de l’Agence depuis le domaine de messagerie de l’Agence | L’Agence | Oui |
| Les relations clients, le marketing et les contrats propres de l’Agence | L’Agence | Non |
L’Agence est son propre responsable du traitement pour ses relations clients. Nous ne décidons pas de la manière dont l’Agence utilise les données de ses clients.
2. Quand nous ne traitons pas de données pour le compte de l’Agence
Si l’Agence ne saisit aucune donnée client dans le portail et n’y envoie aucun e-mail, nous ne traitons pas de données personnelles pour le compte de l’Agence. Les clauses 3 à 9 ne s’appliquent alors pas, et chaque partie respecte le RGPD pour les données qu’elle contrôle. Il en va de même pour les clients en Revente : nous traitons leurs données en tant que responsable du traitement, et non pour l’Agence.
Les sources de données produit et les données produit des clients de l’Agence sont des données d’entreprise, et non des données personnelles. Si une source de données produit contient des données personnelles, cela constitue une violation de la clause 3.6 des conditions.
3. Traitement pour le compte de l’Agence
Cette partie s’applique uniquement aux deux lignes marquées « Oui » à la clause 1.
- Objet et finalité. Nous traitons les données pour exploiter le White Label CSS pour l’Agence : pour stocker les fiches clients et les Boutiques de l’Agence, et pour envoyer, au nom de l’Agence, les e-mails que l’Agence a activés.
- Nature. Stockage, affichage dans le portail, transfert vers le CSS Center de Google lorsque nécessaire pour relier une Boutique, et envoi d’e-mails.
- Types de données. Nom, adresse e-mail, numéro de téléphone (facultatif), société, pays, numéro de TVA, identifiant Merchant Center, adresse de la boutique, statut des Boutiques du client, et e-mails envoyés avec la date et l’état de distribution.
- Personnes concernées. Les personnes de contact chez les clients de l’Agence.
- Durée. Pendant la durée des conditions, et jusqu’à la suppression en vertu de la clause 8.
- Instructions. Nous traitons les données uniquement sur instructions documentées de l’Agence. Les conditions, le présent accord et ce que l’Agence fait dans le portail constituent ses instructions. Nous informons l’Agence si nous estimons qu’une instruction enfreint la loi.
- Confidentialité. Toute personne ayant accès aux données de notre côté est tenue à une obligation de confidentialité.
- Sécurité. Nous appliquons les mesures de la clause 6.
- Assistance. Nous aidons l’Agence à répondre aux demandes des personnes concernées, ainsi que dans ses obligations en matière de sécurité, de violations, d’analyses d’impact et de consultation de l’autorité de contrôle, dans la mesure permise par le traitement. Nous informons l’Agence dans les meilleurs délais si une personne concernée nous contacte au sujet de données que nous traitons pour l’Agence.
- Preuve. Nous fournissons à l’Agence les informations dont elle a besoin pour démontrer que nous respectons le présent accord. L’Agence peut nous auditer une fois par an, moyennant un préavis de 30 jours, pendant les heures de travail et à ses propres frais, par un auditeur tenu à la confidentialité. Nous pouvons à la place répondre par écrit aux questions de l’Agence, si cela couvre les mêmes points.
- Obligations de l’Agence. L’Agence dispose d’une base juridique pour les données qu’elle saisit, et informe ses clients et leur personnel que les données sont traitées par nous pour son compte. Elle ne saisit pas de données qu’elle n’a pas le droit de saisir.
4. Sous-traitants ultérieurs
L’Agence nous donne une autorisation générale d’avoir recours aux sous-traitants ultérieurs ci-dessous. Nous informons l’Agence par e-mail de tout sous-traitant ultérieur nouveau ou remplacé au moins 30 jours avant son entrée en fonction. L’Agence peut s’y opposer pour des motifs raisonnables pendant ce délai. Si nous ne pouvons pas donner suite à l’objection, l’Agence peut résilier les conditions avec effet à compter du jour où le changement commence. Chaque sous-traitant ultérieur est lié par un contrat comportant les mêmes obligations de protection des données que le présent accord. Nous en sommes responsables.
| Sous-traitant ultérieur | Ce qu’il fait | Où |
|---|---|---|
| Les propres serveurs de The CSS Partner | Hébergent le portail, la base de données et le site de comparaison | Danemark (accessibles via Cloudflare) |
| Resend | Envoie des e-mails au nom de l’Agence | Région eu-west-1 (Irlande) |
| Cloudflare | DNS, sécurité et certificats pour le domaine de l’Agence, et diffusion du site | Réseau mondial |
| Cloudflare R2 | Stocke des sauvegardes chiffrées de la base de données. La clé qui les ouvre est détenue uniquement par nous | UE |
| Google Drive | Stocke des sauvegardes chiffrées de fichiers et d’exports de base de données. La clé est détenue uniquement par nous | Emplacement non fixé à l’UE. Le transfert repose sur les conditions de protection des données de Google et sur les clauses contractuelles types |
| Stripe | Paiements et factures pour les frais white label de l’Agence et, en cas de Revente, pour les clients en Revente | UE et États-Unis |
À l’exception de Google Drive, Google n’est pas notre sous-traitant ultérieur. Lorsque nous relions une Boutique dans le CSS Center de Google, Google traite les données Merchant Center selon ses propres conditions avec le client de l’Agence et avec nous en tant que CSS. Stripe traite les données de paiement en tant que responsable du traitement indépendant pour certaines finalités, telles que la prévention de la fraude et ses obligations légales.
5. Transferts en dehors de l’UE et de l’EEE
- Notre propre serveur se trouve au Danemark. Resend stocke en Irlande. Les sauvegardes dans R2 sont conservées dans l’UE. Les copies chiffrées dans Google Drive peuvent être conservées en dehors de l’UE et sont couvertes par les outils de transfert de la clause 5.1. Cloudflare et Stripe sont des sociétés américaines présentes dans l’UE. Lorsqu’un sous-traitant ultérieur transfère des données vers un pays ne bénéficiant pas d’une décision d’adéquation, le transfert repose sur les clauses contractuelles types de la Commission européenne (décision (UE) 2021/914) ou sur un autre outil de transfert prévu par le RGPD.
- Si l’Agence est établie en dehors de l’UE et de l’EEE, et que son pays ne bénéficie pas d’une décision d’adéquation, les clauses contractuelles types de la Commission font partie du présent accord pour les données que nous envoyons à l’Agence. Pour les données que nous communiquons en tant que responsable du traitement, le module 1 s’applique. Pour les données que nous renvoyons en tant que sous-traitant, le module 4 s’applique. Les informations des annexes découlent du présent accord et de la clause 1. Le droit danois s’applique lorsque les clauses laissent le choix ouvert, et Retten i Randers est la juridiction compétente.
6. Sécurité
Nous protégeons les données par les mesures suivantes :
- des connexions chiffrées (TLS) entre le navigateur, le site et le portail,
- des connexions par lien à usage unique, des cookies de session signés et un rôle pour chaque utilisateur (propriétaire, administrateur, employé, lecteur), un utilisateur désactivé perdant immédiatement l’accès,
- le portail, le site et le backend sont séparés, et le navigateur ne communique qu’avec l’adresse du site propre de l’Agence,
- les clés et les secrets sont conservés uniquement sur le serveur, jamais dans le navigateur,
- une protection de messagerie qui bloque tout e-mail non activé par l’Agence, ainsi que tout e-mail provenant d’un expéditeur non vérifié,
- des journaux des e-mails envoyés,
- un accès aux données clients réservé aux personnes qui en ont besoin pour exploiter le service.
Nous réexaminons les mesures lorsque le service ou les risques changent. Nous ne diminuons pas le niveau de protection pendant la durée de l’accord.
7. Violation de données à caractère personnel
Nous informons l’Agence dans les meilleurs délais lorsque nous avons connaissance d’une violation des données que nous traitons pour son compte. Le message indique ce qui s’est passé, quelles données et combien de personnes peuvent être concernées, quelles conséquences nous envisageons et ce que nous avons fait. Nous transmettons des informations complémentaires au fur et à mesure que nous en avons connaissance. L’Agence décide si elle notifie l’autorité de contrôle et les personnes concernées.
8. Suppression et restitution à la fin
- Lorsque les conditions prennent fin, nous cessons de traiter les fiches clients et les e-mails de l’Agence.
- Sur demande faite avant la fin, ou dans les 30 jours qui suivent, nous remettons à l’Agence un export des fiches clients dans un format courant (CSV).
- Nous supprimons les fiches clients et les journaux d’e-mails que nous traitons pour le compte de l’Agence dans les 30 jours suivant la fin des conditions, ou dans les 30 jours suivant la période de transition prévue à la clause 5.5 des conditions, si celle-ci est postérieure. Les copies figurant dans les sauvegardes sont supprimées automatiquement au plus tard 35 jours après leur création dans R2, et au plus tard 190 jours après dans Google Drive.
- Nous conservons ce que la loi nous oblige à conserver en tant que responsable du traitement, comme les factures et les écritures comptables pendant 5 ans en vertu des règles comptables danoises. Ces données ne sont pas traitées pour le compte de l’Agence.
- Nous confirmons la suppression par e-mail sur demande.
9. Responsabilité, droit applicable et modifications
- La responsabilité suit la clause 8 des conditions. Une réclamation d’une personne concernée en matière de protection des données ne modifie pas cela entre les parties, sauf disposition contraire de la loi.
- Le droit danois s’applique. Les litiges relèvent de Retten i Randers (tribunal de district de Randers), comme dans les conditions.
- Nous pouvons modifier le présent accord pour l’avenir moyennant un préavis écrit de 60 jours, si la loi, un sous-traitant ultérieur ou le service change. L’Agence peut résilier avant que la modification ne prenne effet.
- En cas de conflit entre le présent accord et les conditions au sujet des données personnelles, le présent accord prévaut.
- Les questions relatives aux données personnelles sont à adresser à kontakt@gezar.dk.