Versie 1.1, 31 oktober 2026. De Engelse versie is leidend. Bij twijfel prevaleert deze.
Deze overeenkomst maakt deel uit van de white label-voorwaarden tussen The CSS Partner (Gezar, een Deense eenmanszaak van Magnus Bo Nielsen, CVR-nr. 42476226, Lupinskrænten 58, 8500 Grenaa, Denemarken) en het Bureau. Zij is van toepassing vanaf de dag waarop het Bureau de voorwaarden aanvaardt. “AVG” betekent Verordening (EU) 2016/679 (GDPR).
1. Wie waarvoor verantwoordelijk is
Het grootste deel van de persoonsgegevens in de dienst wordt niet verwerkt namens het Bureau. De tabel laat zien wie bepaalt waarom en hoe de gegevens worden gebruikt.
| Gegevens | Wie is verwerkingsverantwoordelijke | Rol van The CSS Partner als verwerker? |
|---|---|---|
| Technische gegevens over bezoekers van de White Label CSS-site (zoals IP-adres, apparaat, bekeken pagina’s, klikken op producten) | The CSS Partner | Nee |
| Inloggegevens van het eigen personeel van het Bureau in het partnerportaal | The CSS Partner, om het portaal en het contract uit te voeren | Nee |
| Factuurgegevens van het Bureau zelf (naam, adres, btw-nummer, betaalmethode) | The CSS Partner | Nee |
| Onder Resell: account- en betaalgegevens van de klanten van het Bureau (naam, e-mail, bedrijf, land, btw-nummer, Shops, abonnement en betalingen) | The CSS Partner, als verkoper | Nee |
| Onder Resell: wat het Bureau over zijn klanten ontvangt (naam, e-mail, Shops, status, betalingen) | Het Bureau, als eigen verwerkingsverantwoordelijke | Nee. Wij verstrekken de gegevens aan het Bureau |
| Contactgegevens en Merchant Center-ID’s van klanten die het Bureau zelf invoert of importeert (volledige controle, zonder betaling via ons) | Het Bureau | Ja |
| E-mails die wij in naam van het Bureau vanaf het maildomein van het Bureau naar die klanten sturen | Het Bureau | Ja |
| De eigen klantrelaties, marketing en contracten van het Bureau | Het Bureau | Nee |
Het Bureau is zelf verwerkingsverantwoordelijke voor zijn klantrelaties. Wij bepalen niet hoe het Bureau de gegevens van zijn klanten gebruikt.
2. Wanneer wij geen gegevens verwerken namens het Bureau
Als het Bureau geen klantgegevens invoert in het portaal en er geen e-mails via verstuurt, verwerken wij geen persoonsgegevens namens het Bureau. Dan zijn de artikelen 3 tot en met 9 niet van toepassing en volgt elke partij de AVG voor de gegevens waarvoor zij verantwoordelijk is. Hetzelfde geldt voor Resellklanten: wij verwerken hun gegevens als verwerkingsverantwoordelijke, niet voor het Bureau.
Productfeeds en productgegevens van de klanten van het Bureau zijn bedrijfsgegevens, geen persoonsgegevens. Als een feed persoonsgegevens bevat, is dat een schending van artikel 3.6 van de voorwaarden.
3. Verwerking namens het Bureau
Dit deel is alleen van toepassing op de twee rijen met “Ja” in artikel 1.
- Onderwerp en doel. Wij verwerken de gegevens om de White Label CSS voor het Bureau te beheren: om de klantgegevens en Shops van het Bureau op te slaan en om de e-mails te versturen die het Bureau heeft geactiveerd, in naam van het Bureau.
- Aard. Opslag, weergave in het portaal, doorgifte aan het CSS Center van Google waar nodig om een Shop te koppelen, en het versturen van e-mail.
- Soorten gegevens. Naam, e-mailadres, telefoonnummer (optioneel), bedrijf, land, btw-nummer, Merchant Center-ID, winkeladres, de status van de Shops van de klant, en de verstuurde e-mails met datum en bezorgstatus.
- Betrokkenen. Contactpersonen bij de klanten van het Bureau.
- Duur. Zolang de voorwaarden lopen, en tot verwijdering volgens artikel 8.
- Instructies. Wij verwerken de gegevens alleen op basis van gedocumenteerde instructies van het Bureau. De voorwaarden, deze overeenkomst en wat het Bureau in het portaal doet, vormen zijn instructies. Wij laten het Bureau weten als wij denken dat een instructie in strijd is met de wet.
- Vertrouwelijkheid. Iedereen aan onze zijde die toegang heeft tot de gegevens, is gebonden aan een geheimhoudingsplicht.
- Beveiliging. Wij passen de maatregelen in artikel 6 toe.
- Bijstand. Wij helpen het Bureau bij het beantwoorden van verzoeken van betrokkenen, en bij zijn verplichtingen inzake beveiliging, inbreuken, gegevensbeschermingseffectbeoordelingen en raadpleging van de toezichthoudende autoriteit, voor zover de verwerking dit toelaat. Wij laten het Bureau zonder onredelijke vertraging weten als een betrokkene contact met ons opneemt over gegevens die wij voor het Bureau verwerken.
- Bewijs. Wij verstrekken het Bureau de informatie die het nodig heeft om aan te tonen dat wij aan deze overeenkomst voldoen. Het Bureau mag ons eenmaal per jaar controleren, met een aankondiging 30 dagen van tevoren, tijdens werktijd en op eigen kosten, met een auditor die gebonden is aan geheimhouding. Wij mogen in plaats daarvan schriftelijk antwoorden op de vragen van het Bureau, als dat hetzelfde terrein bestrijkt.
- Plichten van het Bureau. Het Bureau heeft een rechtsgrond voor de gegevens die het invoert en informeert zijn klanten en hun personeel dat de gegevens namens het Bureau door ons worden verwerkt. Het voert geen gegevens in waartoe het geen recht heeft.
4. Subverwerkers
Het Bureau geeft ons algemene toestemming om de onderstaande subverwerkers te gebruiken. Wij informeren het Bureau per e-mail over een nieuwe of vervangende subverwerker, ten minste 30 dagen voordat die begint. Het Bureau mag binnen die termijn op redelijke gronden bezwaar maken. Als wij niet aan het bezwaar tegemoet kunnen komen, mag het Bureau de voorwaarden opzeggen met ingang van de dag waarop de wijziging begint. Elke subverwerker is gebonden door een contract met dezelfde gegevensbeschermingsverplichtingen als deze overeenkomst. Wij zijn verantwoordelijk voor hen.
| Subverwerker | Wat zij doet | Waar |
|---|---|---|
| De eigen servers van The CSS Partner | Hosten het portaal, de database en de vergelijkingssite | Denemarken (bereikt via Cloudflare) |
| Resend | Verstuurt e-mails in naam van het Bureau | Regio eu-west-1 (Ierland) |
| Cloudflare | DNS, beveiliging en certificaten voor het domein van het Bureau, en levering van de site | Wereldwijd netwerk |
| Cloudflare R2 | Slaat versleutelde back-ups van de database op. De sleutel waarmee ze worden geopend, wordt alleen door ons bewaard | EU |
| Google Drive | Slaat versleutelde back-ups van bestanden en databasedumps op. De sleutel wordt alleen door ons bewaard | Locatie niet vastgelegd in de EU. De doorgifte berust op de gegevensbeschermingsvoorwaarden van Google en standaardcontractbepalingen |
| Stripe | Betalingen en facturen voor het white label-bedrag van het Bureau en, onder Resell, voor de Resellklanten | EU en VS |
Afgezien van Google Drive is Google niet onze subverwerker. Wanneer wij een Shop koppelen in het CSS Center van Google, verwerkt Google de Merchant Center-gegevens onder zijn eigen voorwaarden met de klant van het Bureau en met ons als CSS. Stripe verwerkt betaalgegevens als zelfstandig verwerkingsverantwoordelijke voor bepaalde doeleinden, zoals fraudepreventie en zijn wettelijke verplichtingen.
5. Doorgifte buiten de EU en de EER
- Onze eigen server staat in Denemarken. Resend slaat op in Ierland. Back-ups in R2 worden in de EU bewaard. Versleutelde kopieën in Google Drive kunnen buiten de EU worden bewaard en vallen onder de doorgifte-instrumenten in artikel 5.1. Cloudflare en Stripe zijn Amerikaanse bedrijven met een aanwezigheid in de EU. Wanneer een subverwerker gegevens doorgeeft aan een land zonder adequaatheidsbesluit, berust de doorgifte op de standaardcontractbepalingen van de Europese Commissie (Besluit (EU) 2021/914) of op een ander doorgifte-instrument in de AVG.
- Als het Bureau is gevestigd buiten de EU en de EER, en zijn land geen adequaatheidsbesluit heeft, maken de standaardcontractbepalingen van de Commissie deel uit van deze overeenkomst voor de gegevens die wij aan het Bureau sturen. Voor gegevens die wij als verwerkingsverantwoordelijke verstrekken, is Module 1 van toepassing. Voor gegevens die wij als verwerker terugsturen, is Module 4 van toepassing. De informatie voor de bijlagen volgt uit deze overeenkomst en uit artikel 1. Het Deense recht is van toepassing waar de bepalingen de keuze openlaten, en Retten i Randers is de bevoegde rechter.
6. Beveiliging
Wij beschermen de gegevens met deze maatregelen:
- versleutelde verbindingen (TLS) tussen de browser, de site en het portaal,
- inloggen via een eenmalige link, ondertekende sessiecookies en een rol voor elke gebruiker (eigenaar, beheerder, medewerker, lezer), waarbij een gedeactiveerde gebruiker onmiddellijk de toegang verliest,
- het portaal, de site en de backend zijn gescheiden, en de browser communiceert alleen met het eigen siteadres van het Bureau,
- sleutels en geheimen worden alleen op de server bewaard, nooit in de browser,
- een mailbewaker die elke e-mail tegenhoudt die het Bureau niet heeft geactiveerd, en elke e-mail van een niet-geverifieerde afzender,
- logboeken van verstuurde e-mails,
- toegang tot klantgegevens alleen voor de mensen die die nodig hebben om de dienst uit te voeren.
Wij evalueren de maatregelen wanneer de dienst of de risico’s veranderen. Wij verlagen het beschermingsniveau niet tijdens de looptijd.
7. Inbreuk in verband met persoonsgegevens
Wij laten het Bureau zonder onredelijke vertraging weten wanneer wij kennisnemen van een inbreuk op de gegevens die wij namens het Bureau verwerken. Het bericht vermeldt wat er is gebeurd, welke gegevens en hoeveel mensen mogelijk zijn getroffen, wat wij denken dat de gevolgen zijn en wat wij hebben gedaan. Wij sturen verdere informatie zodra wij die krijgen. Het Bureau beslist of het de toezichthoudende autoriteit en de betrokkenen op de hoogte stelt.
8. Verwijdering en teruggave aan het einde
- Wanneer de voorwaarden eindigen, stoppen wij met het verwerken van de klantgegevens en e-mails van het Bureau.
- Op verzoek, gedaan vóór het einde of binnen 30 dagen daarna, verstrekken wij het Bureau een export van de klantgegevens in een gangbaar formaat (CSV).
- Wij verwijderen de klantgegevens en de maillogboeken die wij namens het Bureau verwerken binnen 30 dagen nadat de voorwaarden zijn geëindigd, of binnen 30 dagen na de afbouwperiode volgens artikel 5.5 van de voorwaarden, als dat later is. Kopieën in back-ups worden automatisch verwijderd: in R2 uiterlijk 35 dagen nadat ze zijn gemaakt en in Google Drive uiterlijk 190 dagen daarna.
- Wij bewaren wat de wet ons als verwerkingsverantwoordelijke verplicht te bewaren, zoals facturen en boekhoudkundige gegevens gedurende 5 jaar volgens de Deense boekhoudregels. Die gegevens worden niet verwerkt namens het Bureau.
- Wij bevestigen de verwijdering op verzoek per e-mail.
9. Aansprakelijkheid, recht en wijzigingen
- De aansprakelijkheid volgt artikel 8 van de voorwaarden. Een vordering van een betrokkene op het gebied van gegevensbescherming verandert dat tussen de partijen niet, behalve waar de wet anders bepaalt.
- Het Deense recht is van toepassing. Geschillen gaan naar Retten i Randers (rechtbank van Randers), zoals in de voorwaarden.
- Wij mogen deze overeenkomst voor de toekomst wijzigen met een schriftelijke kennisgeving 60 dagen van tevoren, als de wet, een subverwerker of de dienst verandert. Het Bureau mag opzeggen voordat de wijziging ingaat.
- Als deze overeenkomst en de voorwaarden met elkaar in strijd zijn over persoonsgegevens, gaat deze overeenkomst voor.
- Vragen over persoonsgegevens gaan naar kontakt@gezar.dk.