Ugovor o obradi podataka za agencije

Verzija 1.1, 31. listopada 2026. Engleska verzija je glavna verzija. U slučaju sumnje ona ima prednost.

Ovaj ugovor dio je white label uvjeta između The CSS Partner (Gezar, danski samostalni obrt u vlasništvu Magnusa Boa Nielsena, CVR br. 42476226, Lupinskrænten 58, 8500 Grenaa, Danska) i Agencije. Primjenjuje se od dana kada Agencija prihvati uvjete. „GDPR” znači Uredbu (EU) 2016/679.

1. Tko je za što odgovoran

Većina osobnih podataka u usluzi ne obrađuje se u ime Agencije. Tablica prikazuje tko odlučuje zašto i kako se podaci koriste.

Podaci	Tko je voditelj obrade	Uloga izvršitelja obrade za The CSS Partner?
Tehnički podaci o posjetiteljima stranice White Label CSS-a (primjerice IP adresa, uređaj, pregledane stranice, klikovi na proizvode)	The CSS Partner	Ne
Podaci za prijavu zaposlenika same Agencije u partnerskom portalu	The CSS Partner, radi vođenja portala i ugovora	Ne
Podaci o naplati same Agencije (naziv, adresa, PDV broj, način plaćanja)	The CSS Partner	Ne
U okviru Preprodaje: podaci o računu i plaćanju klijenata Agencije (naziv, e-pošta, tvrtka, država, PDV broj, Shopovi, pretplata i plaćanja)	The CSS Partner, kao prodavatelj	Ne
U okviru Preprodaje: ono što Agencija prima o svojim klijentima (naziv, e-pošta, Shopovi, status, plaćanja)	Agencija, kao vlastiti voditelj obrade	Ne. Podatke otkrivamo Agenciji
Kontaktni podaci i Merchant Center ID-ovi klijenata koje Agencija sama unese ili uveze (potpuna kontrola, bez plaćanja putem nas)	Agencija	Da
E-poruke koje tim klijentima šaljemo u ime Agencije s domene e-pošte Agencije	Agencija	Da
Vlastiti odnosi Agencije s klijentima, marketing i ugovori	Agencija	Ne

Agencija je sama voditelj obrade za svoje odnose s klijentima. Ne odlučujemo kako Agencija koristi podatke svojih klijenata.

2. Kada ne obrađujemo podatke u ime Agencije

Ako Agencija u portal ne unese podatke o klijentima i putem njega ne šalje e-poruke, ne obrađujemo osobne podatke u ime Agencije. Tada se točke 3 do 9 ne primjenjuju, a svaka stranka poštuje GDPR za podatke kojima upravlja. Isto vrijedi za kupce Preprodaje: njihove podatke obrađujemo kao voditelj obrade, a ne za Agenciju.

Feedovi proizvoda i podaci o proizvodima klijenata Agencije poslovni su podaci, a ne osobni podaci. Ako feed sadrži osobne podatke, to je povreda točke 3.6 uvjeta.

3. Obrada u ime Agencije

Ovaj dio primjenjuje se samo na dva retka označena s „Da” u točki 1.

1. Predmet i svrha. Obrađujemo podatke kako bismo vodili White Label CSS za Agenciju: radi pohrane zapisa o klijentima Agencije i Shopova te slanja e-poruka koje je Agencija uključila, u ime Agencije.
2. Priroda. Pohrana, prikaz u portalu, prijenos u Googleov CSS Center gdje je potrebno za povezivanje Shopa i slanje e-pošte.
3. Vrste podataka. Ime, adresa e-pošte, telefonski broj (neobavezno), tvrtka, država, PDV broj, Merchant Center ID, adresa trgovine, status Shopova klijenta te poslane e-poruke s datumom i statusom isporuke.
4. Ispitanici. Kontakt osobe kod klijenata Agencije.
5. Trajanje. Dok uvjeti traju i do brisanja prema točki 8.
6. Upute. Podatke obrađujemo samo na temelju dokumentiranih uputa Agencije. Uvjeti, ovaj ugovor i ono što Agencija radi u portalu čine njezine upute. Obavještavamo Agenciju ako smatramo da neka uputa krši zakon.
7. Povjerljivost. Svatko tko na našoj strani ima pristup podacima obvezan je na povjerljivost.
8. Sigurnost. Primjenjujemo mjere iz točke 6.
9. Pomoć. Pomažemo Agenciji odgovoriti na zahtjeve ispitanika te u njezinim obvezama u pogledu sigurnosti, povreda, procjena učinka i savjetovanja s nadzornim tijelom, u mjeri u kojoj obrada to omogućuje. Bez nepotrebnog odgađanja obavještavamo Agenciju ako nam se ispitanik obrati u vezi s podacima koje obrađujemo za Agenciju.
10. Dokazivanje sukladnosti. Agenciji dajemo informacije koje su joj potrebne kako bi dokazala da ispunjavamo ovaj ugovor. Agencija nas može revidirati jednom godišnje, uz obavijest 30 dana unaprijed, tijekom radnog vremena i o vlastitom trošku, s revizorom koji je obvezan na povjerljivost. Umjesto toga možemo dati pisani odgovor na pitanja Agencije, ako pokriva isto područje.
11. Obveze Agencije. Agencija ima pravnu osnovu za podatke koje unosi te obavještava svoje klijente i njihove zaposlenike da te podatke u njezino ime obrađujemo mi. Ne unosi podatke koje nema pravo unijeti.

4. Podizvršitelji obrade

Agencija nam daje opće odobrenje za korištenje podizvršitelja obrade navedenih u nastavku. Agenciju e-poštom obavještavamo o novom ili zamijenjenom podizvršitelju obrade najmanje 30 dana prije početka. Agencija u tom roku može uložiti prigovor iz opravdanih razloga. Ako ne možemo udovoljiti prigovoru, Agencija može otkazati uvjete s učinkom od dana početka promjene. Svaki podizvršitelj obrade vezan je ugovorom s istim obvezama zaštite podataka kao ovaj ugovor. Mi odgovaramo za njih.

Podizvršitelj obrade	Što radi	Gdje
Vlastiti poslužitelji The CSS Partner	Smještaju portal, bazu podataka i stranicu za usporedbu	Danska (dostupni putem Cloudflarea)
Resend	Šalje e-poruke u ime Agencije	Regija eu-west-1 (Irska)
Cloudflare	DNS, sigurnost i certifikati za domenu Agencije te isporuka stranice	Globalna mreža
Cloudflare R2	Pohranjuje šifrirane sigurnosne kopije baze podataka. Ključ koji ih otvara čuvamo samo mi	EU
Google Drive	Pohranjuje šifrirane sigurnosne kopije datoteka i izvoza baze podataka. Ključ čuvamo samo mi	Lokacija nije ograničena na EU. Prijenos se temelji na Googleovim uvjetima zaštite podataka i standardnim ugovornim klauzulama
Stripe	Plaćanja i računi za white label naknadu Agencije i, u okviru Preprodaje, za kupce Preprodaje	EU i SAD

Osim Google Drivea, Google nije naš podizvršitelj obrade. Kada povezujemo Shop u Googleovu CSS Centru, Google obrađuje podatke iz Merchant Centera prema vlastitim uvjetima s klijentom Agencije i s nama kao CSS-om. Stripe obrađuje podatke o plaćanju kao neovisni voditelj obrade za neke svrhe, primjerice sprječavanje prijevara i svoje zakonske obveze.

5. Prijenosi izvan EU i EGP-a

1. Naš vlastiti poslužitelj nalazi se u Danskoj. Resend pohranjuje u Irskoj. Sigurnosne kopije u R2 čuvaju se u EU. Šifrirane kopije u Google Driveu mogu se čuvati izvan EU i obuhvaćene su instrumentima prijenosa iz točke 5.1. Cloudflare i Stripe su američke tvrtke s prisutnošću u EU. Kada podizvršitelj obrade prenosi podatke u državu bez odluke o primjerenosti, prijenos se temelji na standardnim ugovornim klauzulama Europske komisije (Odluka (EU) 2021/914) ili drugom instrumentu prijenosa iz GDPR-a.
2. Ako je Agencija osnovana izvan EU i EGP-a, a njezina država nema odluku o primjerenosti, standardne ugovorne klauzule Komisije dio su ovog ugovora za podatke koje šaljemo Agenciji. Za podatke koje otkrivamo kao voditelj obrade primjenjuje se Modul 1. Za podatke koje šaljemo natrag kao izvršitelj obrade primjenjuje se Modul 4. Informacije iz priloga proizlaze iz ovog ugovora i iz točke 1. Primjenjuje se dansko pravo gdje klauzule ostavljaju izbor otvorenim, a nadležan je sud Retten i Randers.

6. Sigurnost

Podatke štitimo sljedećim mjerama:

• šifrirane veze (TLS) između preglednika, stranice i portala,
• prijave jednokratnom poveznicom, potpisani kolačići sesije i uloga za svakog korisnika (vlasnik, administrator, zaposlenik, čitatelj), pri čemu deaktivirani korisnik odmah gubi pristup,
• portal, stranica i pozadinski sustav su odvojeni, a preglednik komunicira samo s adresom stranice same Agencije,
• ključevi i tajne čuvaju se samo na poslužitelju, nikada u pregledniku,
• zaštita e-pošte koja zaustavlja svaku poruku koju Agencija nije uključila i svaku poruku od neprovjerenog pošiljatelja,
• zapisi o poslanim e-porukama,
• pristup podacima klijenata samo osobama kojima je potreban za vođenje usluge.

Mjere preispitujemo kada se promijene usluga ili rizici. Tijekom trajanja ne snižavamo razinu zaštite.

7. Povreda osobnih podataka

Bez nepotrebnog odgađanja obavještavamo Agenciju kada saznamo za povredu podataka koje obrađujemo u njezino ime. Obavijest navodi što se dogodilo, koji podaci i koliko osoba može biti zahvaćeno, što smatramo posljedicama i što smo poduzeli. Dodatne informacije šaljemo čim ih saznamo. Agencija odlučuje hoće li obavijestiti nadzorno tijelo i ispitanike.

8. Brisanje i povrat na kraju

1. Kada uvjeti prestanu, prestajemo obrađivati zapise o klijentima Agencije i e-poruke.
2. Na zahtjev podnesen prije kraja ili unutar 30 dana nakon njega, Agenciji dajemo izvoz zapisa o klijentima u uobičajenom formatu (CSV).
3. Zapise o klijentima i zapise o e-porukama koje obrađujemo u ime Agencije brišemo unutar 30 dana nakon prestanka uvjeta ili unutar 30 dana nakon razdoblja postupnog gašenja prema točki 5.5 uvjeta, ako je ono kasnije. Kopije u sigurnosnim kopijama brišu se automatski najkasnije 35 dana nakon izrade u R2 i najkasnije 190 dana nakon izrade u Google Driveu.
4. Zadržavamo ono što zakon od nas zahtijeva kao voditelja obrade, primjerice račune i računovodstvene zapise 5 godina prema danskim propisima o knjigovodstvu. Ti podaci ne obrađuju se u ime Agencije.
5. Brisanje na zahtjev potvrđujemo e-poštom.

9. Odgovornost, pravo i izmjene

1. Odgovornost slijedi točku 8 uvjeta. Zahtjev ispitanika za zaštitu podataka ne mijenja to među strankama, osim ako zakon određuje drukčije.
2. Primjenjuje se dansko pravo. Sporovi idu pred Retten i Randers (Općinski sud u Randersu), kao u uvjetima.
3. Ovaj ugovor možemo mijenjati za ubuduće uz pisanu obavijest 60 dana unaprijed, ako se promijene zakon, podizvršitelj obrade ili usluga. Agencija može otkazati prije nego što promjena stupi na snagu.
4. Ako su ovaj ugovor i uvjeti u sukobu u pogledu osobnih podataka, ovaj ugovor ima prednost.
5. Pitanja o osobnim podacima upućuju se na kontakt@gezar.dk.