Accordo sul trattamento dei dati per le agenzie

Versione 1.1, 31 ottobre 2026. La versione inglese è quella principale. In caso di dubbio prevale.

Questo accordo fa parte dei termini white label tra The CSS Partner (Gezar, una ditta individuale danese di proprietà di Magnus Bo Nielsen, CVR n. 42476226, Lupinskrænten 58, 8500 Grenaa, Danimarca) e l’Agenzia. Si applica dal giorno in cui l’Agenzia accetta i termini. “GDPR” indica il Regolamento (UE) 2016/679.

1. Chi è responsabile di cosa

La maggior parte dei dati personali nel servizio non è trattata per conto dell’Agenzia. La tabella indica chi decide perché e come i dati sono usati.

Dati	Chi è titolare del trattamento	The CSS Partner ha il ruolo di responsabile del trattamento?
Dati tecnici sui visitatori del sito White Label CSS (come indirizzo IP, dispositivo, pagine viste, clic sui prodotti)	The CSS Partner	No
Dati di accesso del personale dell’Agenzia nel portale partner	The CSS Partner, per gestire il portale e il contratto	No
Dati di fatturazione dell’Agenzia stessa (nome, indirizzo, partita IVA, metodo di pagamento)	The CSS Partner	No
Con la Rivendita: dati dell’account e di pagamento dei clienti dell’Agenzia (nome, email, azienda, paese, partita IVA, Shop, abbonamento e pagamenti)	The CSS Partner, come venditore	No
Con la Rivendita: ciò che l’Agenzia riceve sui propri clienti (nome, email, Shop, stato, pagamenti)	L’Agenzia, come titolare autonomo	No. Comunichiamo i dati all’Agenzia
Dati di contatto e ID Merchant Center dei clienti che l’Agenzia inserisce o importa da sola (pieno controllo, senza pagamento tramite noi)	L’Agenzia	Sì
Email che inviamo a quei clienti a nome dell’Agenzia dal dominio email dell’Agenzia	L’Agenzia	Sì
I rapporti con i clienti, il marketing e i contratti propri dell’Agenzia	L’Agenzia	No

L’Agenzia è titolare autonomo del trattamento per i propri rapporti con i clienti. Non decidiamo come l’Agenzia usa i dati dei propri clienti.

2. Quando non trattiamo dati per conto dell’Agenzia

Se l’Agenzia non inserisce dati dei clienti nel portale e non invia email tramite esso, non trattiamo dati personali per conto dell’Agenzia. In tal caso le clausole da 3 a 9 non si applicano, e ciascuna parte rispetta il GDPR per i dati che controlla. Lo stesso vale per i clienti in Rivendita: trattiamo i loro dati come titolare del trattamento, non per l’Agenzia.

I feed di prodotto e i dati di prodotto dei clienti dell’Agenzia sono dati aziendali, non dati personali. Se un feed contiene dati personali, ciò costituisce una violazione della clausola 3.6 dei termini.

3. Trattamento per conto dell’Agenzia

Questa parte si applica solo alle due righe contrassegnate con “Sì” nella clausola 1.

1. Oggetto e finalità. Trattiamo i dati per gestire il White Label CSS per l’Agenzia: per conservare le schede dei clienti e gli Shop dell’Agenzia, e per inviare le email che l’Agenzia ha attivato, a nome dell’Agenzia.
2. Natura. Conservazione, visualizzazione nel portale, trasferimento al CSS Center di Google ove necessario per collegare uno Shop, e invio di email.
3. Tipi di dati. Nome, indirizzo email, numero di telefono (facoltativo), azienda, paese, partita IVA, ID Merchant Center, indirizzo dello shop, lo stato degli Shop del cliente, e le email inviate con data e stato di consegna.
4. Interessati. Le persone di contatto presso i clienti dell’Agenzia.
5. Durata. Finché i termini restano in vigore, e fino alla cancellazione ai sensi della clausola 8.
6. Istruzioni. Trattiamo i dati solo su istruzioni documentate dell’Agenzia. I termini, questo accordo e ciò che l’Agenzia fa nel portale sono le sue istruzioni. Informiamo l’Agenzia se riteniamo che un’istruzione violi la legge.
7. Riservatezza. Chiunque presso di noi abbia accesso ai dati è vincolato da un obbligo di riservatezza.
8. Sicurezza. Applichiamo le misure della clausola 6.
9. Assistenza. Assistiamo l’Agenzia nel rispondere alle richieste degli interessati, e nei suoi obblighi in materia di sicurezza, violazioni, valutazioni d’impatto e consultazione dell’autorità di controllo, nei limiti consentiti dal trattamento. Informiamo l’Agenzia senza ingiustificato ritardo se un interessato ci contatta in merito a dati che trattiamo per l’Agenzia.
10. Dimostrazione della conformità. Forniamo all’Agenzia le informazioni di cui ha bisogno per dimostrare che rispettiamo questo accordo. L’Agenzia può sottoporci ad audit una volta all’anno, con un preavviso di 30 giorni, durante l’orario di lavoro e a proprie spese, con un revisore vincolato da riservatezza. Possiamo invece fornire una risposta scritta alle domande dell’Agenzia, se copre gli stessi aspetti.
11. Obblighi dell’Agenzia. L’Agenzia dispone di una base giuridica per i dati che inserisce, e informa i propri clienti e il loro personale che i dati sono trattati da noi per suo conto. Non inserisce dati che non ha il diritto di inserire.

4. Sub-responsabili

L’Agenzia ci dà un’autorizzazione generale a usare i sub-responsabili indicati di seguito. Informiamo l’Agenzia via email di un sub-responsabile nuovo o sostituito almeno 30 giorni prima che inizi. L’Agenzia può opporsi per motivi ragionevoli entro quel termine. Se non possiamo accogliere l’opposizione, l’Agenzia può recedere dai termini con effetto dal giorno in cui la modifica ha inizio. Ogni sub-responsabile è vincolato da un contratto con gli stessi obblighi di protezione dei dati di questo accordo. Rispondiamo noi del loro operato.

Sub-responsabile	Cosa fa	Dove
Server propri di The CSS Partner	Ospitano il portale, il database e il sito di comparazione	Danimarca (raggiunti tramite Cloudflare)
Resend	Invia email a nome dell’Agenzia	Regione eu-west-1 (Irlanda)
Cloudflare	DNS, sicurezza e certificati per il dominio dell’Agenzia, e distribuzione del sito	Rete globale
Cloudflare R2	Conserva backup cifrati del database. La chiave che li apre è detenuta solo da noi	UE
Google Drive	Conserva backup cifrati di file e dump del database. La chiave è detenuta solo da noi	Ubicazione non fissata nell’UE. Il trasferimento si basa sulle condizioni di protezione dei dati di Google e sulle clausole contrattuali tipo
Stripe	Pagamenti e fatture per il canone white label dell’Agenzia e, con la Rivendita, per i clienti in Rivendita	UE e USA

A parte Google Drive, Google non è un nostro sub-responsabile. Quando colleghiamo uno Shop nel CSS Center di Google, Google tratta i dati del Merchant Center secondo le proprie condizioni con il cliente dell’Agenzia e con noi in qualità di CSS. Stripe tratta i dati di pagamento come titolare autonomo per alcune finalità, come la prevenzione delle frodi e i propri obblighi di legge.

5. Trasferimenti al di fuori dell’UE e del SEE

1. Il nostro server è in Danimarca. Resend conserva i dati in Irlanda. I backup in R2 sono conservati nell’UE. Le copie cifrate in Google Drive possono essere conservate fuori dall’UE e sono coperte dagli strumenti di trasferimento della clausola 5.1. Cloudflare e Stripe sono società statunitensi con una presenza nell’UE. Dove un sub-responsabile trasferisce dati verso un paese privo di decisione di adeguatezza, il trasferimento si basa sulle clausole contrattuali tipo della Commissione europea (decisione (UE) 2021/914) o su un altro strumento di trasferimento previsto dal GDPR.
2. Se l’Agenzia è stabilita fuori dall’UE e dal SEE, e il suo paese non ha una decisione di adeguatezza, le clausole contrattuali tipo della Commissione fanno parte di questo accordo per i dati che inviamo all’Agenzia. Per i dati che comunichiamo come titolare del trattamento si applica il Modulo 1. Per i dati che inviamo come responsabile del trattamento si applica il Modulo 4. Le informazioni degli allegati derivano da questo accordo e dalla clausola 1. Si applica il diritto danese dove le clausole lasciano libera la scelta, e il foro competente è la Retten i Randers.

6. Sicurezza

Proteggiamo i dati con queste misure:

• connessioni cifrate (TLS) tra browser, sito e portale,
• accessi tramite link monouso, cookie di sessione firmati e un ruolo per ogni utente (proprietario, amministratore, dipendente, lettore), dove un utente disattivato perde subito l’accesso,
• il portale, il sito e il backend sono separati, e il browser comunica solo con l’indirizzo del sito dell’Agenzia,
• chiavi e segreti sono conservati solo sul server, mai nel browser,
• una protezione per le email che blocca qualsiasi email non attivata dall’Agenzia e qualsiasi email da un mittente non verificato,
• registri delle email inviate,
• accesso ai dati dei clienti solo per le persone che ne hanno bisogno per gestire il servizio.

Riesaminiamo le misure quando cambiano il servizio o i rischi. Non riduciamo il livello di protezione per tutta la durata dei termini.

7. Violazione dei dati personali

Informiamo l’Agenzia senza ingiustificato ritardo quando veniamo a conoscenza di una violazione dei dati che trattiamo per suo conto. Il messaggio indica cosa è successo, quali dati e quante persone possono essere interessati, quali riteniamo siano le conseguenze e cosa abbiamo fatto. Inviamo ulteriori informazioni man mano che le apprendiamo. L’Agenzia decide se notificare l’autorità di controllo e gli interessati.

8. Cancellazione e restituzione alla fine

1. Quando i termini cessano, smettiamo di trattare le schede dei clienti e le email dell’Agenzia.
2. Su richiesta fatta prima della fine, o entro 30 giorni dopo, forniamo all’Agenzia un’esportazione delle schede dei clienti in un formato comune (CSV).
3. Cancelliamo le schede dei clienti e i registri delle email che trattiamo per conto dell’Agenzia entro 30 giorni dalla cessazione dei termini, o entro 30 giorni dalla fine del periodo di transizione ai sensi della clausola 5.5 dei termini, se successivo. Le copie nei backup sono cancellate automaticamente al più tardi 35 giorni dopo la loro creazione in R2, e al più tardi 190 giorni dopo in Google Drive.
4. Conserviamo ciò che la legge ci impone di conservare come titolare del trattamento, come fatture e registri contabili per 5 anni ai sensi delle norme danesi sulla contabilità. Tali dati non sono trattati per conto dell’Agenzia.
5. Confermiamo la cancellazione via email su richiesta.

9. Responsabilità, legge e modifiche

1. La responsabilità segue la clausola 8 dei termini. Una richiesta in materia di protezione dei dati da parte di un interessato non modifica quanto previsto tra le parti, salvo dove la legge disponga diversamente.
2. Si applica il diritto danese. Le controversie sono devolute alla Retten i Randers (tribunale distrettuale di Randers), come nei termini.
3. Possiamo modificare questo accordo per il futuro con un preavviso scritto di 60 giorni, se cambiano la legge, un sub-responsabile o il servizio. L’Agenzia può recedere prima che la modifica abbia effetto.
4. In caso di conflitto tra questo accordo e i termini in materia di dati personali, prevale questo accordo.
5. Le domande sui dati personali vanno indirizzate a kontakt@gezar.dk.