Duomenų tvarkymo sutartis agentūroms

1.1 versija, 2026 m. spalio 31 d. Pagrindinė yra versija anglų kalba. Kilus abejonių, ji turi viršenybę.

Ši sutartis yra white label sąlygų tarp The CSS Partner (Gezar, Danijos individuali įmonė, kurios savininkas yra Magnus Bo Nielsen, CVR nr. 42476226, Lupinskrænten 58, 8500 Grenaa, Danija) ir Agentūros dalis. Ji taikoma nuo dienos, kai Agentūra sutinka su sąlygomis. „BDAR“ (GDPR) reiškia Reglamentą (ES) 2016/679.

1. Kas už ką atsakingas

Didžioji dalis paslaugoje esančių asmens duomenų netvarkoma Agentūros vardu. Lentelėje nurodyta, kas sprendžia, kodėl ir kaip duomenys naudojami.

Duomenys	Kas yra duomenų valdytojas	The CSS Partner kaip duomenų tvarkytojo vaidmuo?
Techniniai duomenys apie White Label CSS svetainės lankytojus (pavyzdžiui, IP adresas, įrenginys, peržiūrėti puslapiai, produktų paspaudimai)	The CSS Partner	Ne
Pačios Agentūros darbuotojų prisijungimo duomenys partnerių portale	The CSS Partner, portalui ir sutarčiai vykdyti	Ne
Pačios Agentūros atsiskaitymo duomenys (vardas, adresas, PVM mokėtojo kodas, mokėjimo būdas)	The CSS Partner	Ne
Pagal Perpardavimą: Agentūros klientų paskyros ir mokėjimo duomenys (vardas, el. paštas, įmonė, šalis, PVM mokėtojo kodas, Parduotuvės, prenumerata ir mokėjimai)	The CSS Partner, kaip pardavėjas	Ne
Pagal Perpardavimą: tai, ką Agentūra gauna apie savo klientus (vardas, el. paštas, Parduotuvės, būsena, mokėjimai)	Agentūra, kaip savo paties valdytojas	Ne. Duomenis atskleidžiame Agentūrai
Klientų kontaktiniai duomenys ir Merchant Center ID, kuriuos Agentūra įveda ar importuoja pati (visiška kontrolė, be mokėjimo per mus)	Agentūra	Taip
Laiškai, kuriuos Agentūros vardu siunčiame šiems klientams iš Agentūros pašto domeno	Agentūra	Taip
Pačios Agentūros santykiai su klientais, rinkodara ir sutartys	Agentūra	Ne

Agentūra yra savo paties valdytojas savo santykiuose su klientais. Mes nesprendžiame, kaip Agentūra naudoja savo klientų duomenis.

2. Kai Agentūros vardu duomenų netvarkome

Jei Agentūra portale neįveda jokių klientų duomenų ir per jį nesiunčia laiškų, mes asmens duomenų Agentūros vardu netvarkome. Tuomet nuo 3 iki 9 punkto nuostatos netaikomos, o kiekviena šalis laikosi BDAR dėl duomenų, kuriuos valdo. Tas pats galioja Perpardavimo klientams: jų duomenis tvarkome kaip valdytojas, o ne Agentūrai.

Agentūros klientų produktų tiekimo kanalai (feed) ir produktų duomenys yra verslo duomenys, o ne asmens duomenys. Jei tiekimo kanale yra asmens duomenų, tai yra sąlygų 3.6 punkto pažeidimas.

3. Tvarkymas Agentūros vardu

Ši dalis taikoma tik dviem 1 punkte eilutėms, pažymėtoms „Taip“.

1. Dalykas ir tikslas. Duomenis tvarkome, kad Agentūrai valdytume White Label CSS: saugotume Agentūros klientų įrašus ir Parduotuves bei Agentūros vardu siųstume laiškus, kuriuos Agentūra yra įjungusi.
2. Pobūdis. Saugojimas, rodymas portale, perdavimas į Google CSS Center, kai to reikia Parduotuvei susieti, ir laiškų siuntimas.
3. Duomenų rūšys. Vardas, el. pašto adresas, telefono numeris (neprivalomas), įmonė, šalis, PVM mokėtojo kodas, Merchant Center ID, parduotuvės adresas, kliento Parduotuvių būsena ir išsiųsti laiškai su data ir pristatymo būsena.
4. Duomenų subjektai. Agentūros klientų kontaktiniai asmenys.
5. Trukmė. Kol galioja sąlygos, ir iki ištrynimo pagal 8 punktą.
6. Nurodymai. Duomenis tvarkome tik pagal dokumentuotus Agentūros nurodymus. Sąlygos, ši sutartis ir tai, ką Agentūra daro portale, yra jos nurodymai. Jei manome, kad nurodymas pažeidžia įstatymus, apie tai pranešame Agentūrai.
7. Konfidencialumas. Visi mūsų pusėje prieigą prie duomenų turintys asmenys yra saistomi konfidencialumo pareigos.
8. Sauga. Taikome 6 punkte nurodytas priemones.
9. Pagalba. Padedame Agentūrai atsakyti į duomenų subjektų prašymus ir vykdyti jos pareigas dėl saugumo, pažeidimų, poveikio duomenų apsaugai vertinimų ir konsultacijų su priežiūros institucija, kiek tai leidžia tvarkymas. Nedelsdami pranešame Agentūrai, jei duomenų subjektas kreipiasi į mus dėl duomenų, kuriuos tvarkome Agentūrai.
10. Įrodymai. Pateikiame Agentūrai informaciją, kurios jai reikia parodyti, kad vykdome šią sutartį. Agentūra gali mus patikrinti kartą per metus, įspėjusi prieš 30 dienų, darbo valandomis ir savo lėšomis, naudodama konfidencialumo pareigos saistomą auditorių. Vietoje to galime pateikti rašytinį atsakymą į Agentūros klausimus, jei jis apima tuos pačius dalykus.
11. Agentūros pareigos. Agentūra turi teisinį pagrindą duomenims, kuriuos įveda, ir informuoja savo klientus bei jų darbuotojus, kad šiuos duomenis jos vardu tvarkome mes. Ji neįveda duomenų, kurių neturi teisės įvesti.

4. Subtvarkytojai

Agentūra suteikia mums bendrąjį leidimą naudoti toliau nurodytus kitus duomenų tvarkytojus (subtvarkytojus). Apie naują ar pakeistą subtvarkytoją el. paštu pranešame Agentūrai bent prieš 30 dienų iki jo veiklos pradžios. Per tą laiką Agentūra gali pagrįstai prieštarauti. Jei negalime patenkinti prieštaravimo, Agentūra gali nutraukti sąlygas nuo dienos, kai pakeitimas įsigalioja. Kiekvienas subtvarkytojas saistomas sutartimi su tomis pačiomis duomenų apsaugos pareigomis kaip ši sutartis. Mes už juos atsakome.

Subtvarkytojas	Ką daro	Kur
The CSS Partner nuosavi serveriai	Talpina portalą, duomenų bazę ir palyginimo svetainę	Danija (pasiekiama per Cloudflare)
Resend	Siunčia laiškus Agentūros vardu	Regionas eu-west-1 (Airija)
Cloudflare	DNS, sauga ir sertifikatai Agentūros domenui bei svetainės pristatymas	Pasaulinis tinklas
Cloudflare R2	Saugo užšifruotas duomenų bazės atsargines kopijas. Raktą, kuris jas atrakina, turime tik mes	ES
Google Drive	Saugo užšifruotas failų ir duomenų bazės eksporto failų atsargines kopijas. Raktą turime tik mes	Vieta nėra apribota ES. Perdavimas grindžiamas Google duomenų apsaugos sąlygomis ir standartinėmis sutarčių sąlygomis
Stripe	Mokėjimai ir sąskaitos už Agentūros white label mokestį ir, pagal Perpardavimą, už Perpardavimo klientus	ES ir JAV

Išskyrus Google Drive, Google nėra mūsų subtvarkytojas. Kai susiejame Parduotuvę Google CSS Center sistemoje, Google Merchant Center duomenis tvarko pagal savo sąlygas su Agentūros klientu ir su mumis kaip CSS. Stripe tvarko mokėjimo duomenis kaip nepriklausomas valdytojas kai kuriais tikslais, pavyzdžiui, sukčiavimo prevencijai ir savo teisinėms pareigoms vykdyti.

5. Perdavimas už ES ir EEE ribų

1. Mūsų serveris yra Danijoje. Resend saugo Airijoje. Atsarginės kopijos R2 saugomos ES. Užšifruotos kopijos Google Drive gali būti saugomos už ES ribų ir joms taikomos 5.1 punkte nurodytos perdavimo priemonės. Cloudflare ir Stripe yra JAV bendrovės, veikiančios ES. Kai subtvarkytojas perduoda duomenis į šalį, kuriai nėra priimtas sprendimas dėl tinkamumo, perdavimas grindžiamas Europos Komisijos standartinėmis sutarčių sąlygomis (Sprendimas (ES) 2021/914) arba kita BDAR numatyta perdavimo priemone.
2. Jei Agentūros buveinė yra už ES ir EEE ribų, o jos šaliai nėra priimtas sprendimas dėl tinkamumo, Komisijos standartinės sutarčių sąlygos yra šios sutarties dalis dėl duomenų, kuriuos siunčiame Agentūrai. Duomenims, kuriuos atskleidžiame kaip valdytojas, taikomas 1 modulis. Duomenims, kuriuos siunčiame atgal kaip tvarkytojas, taikomas 4 modulis. Priedų informacija išplaukia iš šios sutarties ir iš 1 punkto. Kai sąlygos palieka pasirinkimą atvirą, taikoma Danijos teisė, o teismas yra Retten i Randers.

6. Sauga

Duomenis saugome šiomis priemonėmis:

• užšifruoti ryšiai (TLS) tarp naršyklės, svetainės ir portalo,
• prisijungimas vienkartine nuoroda, pasirašyti sesijos slapukai ir kiekvieno naudotojo vaidmuo (savininkas, administratorius, darbuotojas, skaitytojas), o išjungtas naudotojas iškart netenka prieigos,
• portalas, svetainė ir užpakalinė sistema yra atskirti, o naršyklė bendrauja tik su pačios Agentūros svetainės adresu,
• raktai ir slaptos reikšmės laikomi tik serveryje, niekada naršyklėje,
• pašto apsauga, kuri sustabdo bet kokį laišką, kurio Agentūra neįjungė, ir bet kokį laišką iš nepatvirtinto siuntėjo,
• išsiųstų laiškų žurnalai,
• prieiga prie klientų duomenų tik tiems, kam jos reikia paslaugai teikti.

Priemones peržiūrime, kai keičiasi paslauga ar rizikos. Galiojimo laikotarpiu apsaugos lygio nemažiname.

7. Asmens duomenų saugumo pažeidimas

Nedelsdami pranešame Agentūrai, kai sužinome apie pažeidimą, susijusį su duomenimis, kuriuos tvarkome jos vardu. Pranešime nurodoma, kas įvyko, kokie duomenys ir kiek asmenų gali būti paveikta, kokios, mūsų nuomone, pasekmės ir ką esame padarę. Papildomą informaciją siunčiame, kai ją sužinome. Agentūra sprendžia, ar pranešti priežiūros institucijai ir duomenų subjektams.

8. Ištrynimas ir grąžinimas pabaigoje

1. Kai sąlygos baigiasi, nustojame tvarkyti Agentūros klientų įrašus ir laiškus.
2. Gavę prašymą prieš pabaigą arba per 30 dienų po jos, pateikiame Agentūrai klientų įrašų eksportą įprastu formatu (CSV).
3. Klientų įrašus ir laiškų žurnalus, kuriuos tvarkome Agentūros vardu, ištriname per 30 dienų po sąlygų pasibaigimo arba per 30 dienų po sąlygų 5.5 punkte numatyto užbaigimo laikotarpio, jei jis vėlesnis. Kopijos atsarginėse kopijose ištrinamos automatiškai: R2 ne vėliau kaip per 35 dienas nuo jų sukūrimo, o Google Drive ne vėliau kaip per 190 dienų nuo jų sukūrimo.
4. Saugome tai, ką įstatymai įpareigoja mus saugoti kaip valdytoją, pavyzdžiui, sąskaitas ir apskaitos įrašus 5 metus pagal Danijos apskaitos taisykles. Šie duomenys netvarkomi Agentūros vardu.
5. Ištrynimą patvirtiname el. paštu paprašius.

9. Atsakomybė, teisė ir pakeitimai

1. Atsakomybei taikomas sąlygų 8 punktas. Duomenų subjekto pretenzija dėl duomenų apsaugos šalių tarpusavio santykių nekeičia, nebent įstatymai numato kitaip.
2. Taikoma Danijos teisė. Ginčai perduodami Retten i Randers (Randerso apylinkės teismui), kaip nurodyta sąlygose.
3. Šią sutartį galime keisti ateičiai, raštu įspėję prieš 60 dienų, jei keičiasi teisė, subtvarkytojas ar paslauga. Agentūra gali nutraukti sąlygas prieš pakeitimui įsigaliojant.
4. Jei ši sutartis ir sąlygos prieštarauja dėl asmens duomenų, pirmenybė teikiama šiai sutarčiai.
5. Klausimai dėl asmens duomenų siunčiami adresu kontakt@gezar.dk.