Umowa powierzenia przetwarzania danych dla agencji

Wersja 1.1, 31 października 2026. Wersja angielska jest wersją wiodącą. W razie wątpliwości ma pierwszeństwo.

Niniejsza umowa stanowi część warunków white label między The CSS Partner (Gezar, duńska jednoosobowa działalność gospodarcza należąca do Magnusa Bo Nielsena, CVR nr 42476226, Lupinskrænten 58, 8500 Grenaa, Dania) a Agencją. Obowiązuje od dnia, w którym Agencja akceptuje warunki. „RODO” oznacza rozporządzenie (UE) 2016/679.

1. Kto za co odpowiada

Większość danych osobowych w ramach usługi nie jest przetwarzana w imieniu Agencji. Tabela wskazuje, kto decyduje o celach i sposobach wykorzystania danych.

Dane	Kto jest administratorem	Czy The CSS Partner jest podmiotem przetwarzającym?
Dane techniczne o odwiedzających stronę White Label CSS (takie jak adres IP, urządzenie, wyświetlone strony, kliknięcia produktów)	The CSS Partner	Nie
Dane logowania własnych pracowników Agencji w portalu partnerskim	The CSS Partner, w celu prowadzenia portalu i wykonania umowy	Nie
Dane rozliczeniowe samej Agencji (nazwa, adres, numer VAT, metoda płatności)	The CSS Partner	Nie
Przy Odsprzedaży: dane konta i dane płatnicze klientów Agencji (nazwa, e-mail, firma, kraj, numer VAT, Sklepy, abonament i płatności)	The CSS Partner, jako sprzedawca	Nie
Przy Odsprzedaży: to, co Agencja otrzymuje o swoich klientach (nazwa, e-mail, Sklepy, status, płatności)	Agencja, jako samodzielny administrator	Nie. Ujawniamy dane Agencji
Dane kontaktowe i identyfikatory Merchant Center klientów, które Agencja sama wprowadza lub importuje (pełna kontrola, bez płatności za naszym pośrednictwem)	Agencja	Tak
Wiadomości e-mail, które wysyłamy do tych klientów w imieniu Agencji z domeny pocztowej Agencji	Agencja	Tak
Własne relacje Agencji z klientami, jej marketing i umowy	Agencja	Nie

Agencja jest samodzielnym administratorem w zakresie swoich relacji z klientami. Nie decydujemy, w jaki sposób Agencja wykorzystuje dane swoich klientów.

2. Kiedy nie przetwarzamy danych w imieniu Agencji

Jeśli Agencja nie wprowadza w portalu żadnych danych klientów i nie wysyła przez niego wiadomości e-mail, nie przetwarzamy danych osobowych w imieniu Agencji. Wówczas punkty od 3 do 9 nie mają zastosowania, a każda ze stron przestrzega RODO w odniesieniu do danych, którymi administruje. To samo dotyczy klientów Odsprzedaży: przetwarzamy ich dane jako administrator, a nie na rzecz Agencji.

Pliki danych produktów i dane produktowe klientów Agencji są danymi biznesowymi, a nie danymi osobowymi. Jeśli plik danych zawiera dane osobowe, stanowi to naruszenie punktu 3.6 warunków.

3. Przetwarzanie w imieniu Agencji

Ta część dotyczy wyłącznie dwóch wierszy oznaczonych „Tak” w punkcie 1.

1. Przedmiot i cel. Przetwarzamy dane w celu prowadzenia White Label CSS dla Agencji: aby przechowywać rejestry klientów Agencji i Sklepy oraz wysyłać wiadomości e-mail włączone przez Agencję, w imieniu Agencji.
2. Charakter. Przechowywanie, wyświetlanie w portalu, przekazywanie do Google CSS Center, gdy jest to potrzebne do połączenia Sklepu, oraz wysyłanie wiadomości e-mail.
3. Rodzaje danych. Imię i nazwisko, adres e-mail, numer telefonu (opcjonalnie), firma, kraj, numer VAT, identyfikator Merchant Center, adres sklepu, status Sklepów klienta oraz wysłane wiadomości e-mail wraz z datą i statusem doręczenia.
4. Osoby, których dane dotyczą. Osoby kontaktowe u klientów Agencji.
5. Czas trwania. Przez czas obowiązywania warunków oraz do usunięcia danych na podstawie punktu 8.
6. Polecenia. Przetwarzamy dane wyłącznie na udokumentowane polecenie Agencji. Warunki, niniejsza umowa oraz działania Agencji w portalu stanowią jej polecenia. Informujemy Agencję, jeśli uznamy, że polecenie narusza prawo.
7. Poufność. Każda osoba mająca dostęp do danych po naszej stronie jest związana obowiązkiem zachowania poufności.
8. Bezpieczeństwo. Stosujemy środki opisane w punkcie 6.
9. Pomoc. Pomagamy Agencji w odpowiadaniu na żądania osób, których dane dotyczą, oraz w wypełnianiu jej obowiązków dotyczących bezpieczeństwa, naruszeń, ocen skutków i konsultacji z organem nadzorczym, w zakresie, w jakim pozwala na to przetwarzanie. Bez zbędnej zwłoki informujemy Agencję, jeśli osoba, której dane dotyczą, skontaktuje się z nami w sprawie danych, które przetwarzamy na rzecz Agencji.
10. Wykazanie zgodności. Przekazujemy Agencji informacje potrzebne do wykazania, że wypełniamy niniejszą umowę. Agencja może przeprowadzić u nas audyt raz w roku, z 30-dniowym wyprzedzeniem, w godzinach pracy i na własny koszt, przez audytora związanego obowiązkiem poufności. Zamiast tego możemy udzielić pisemnej odpowiedzi na pytania Agencji, jeśli obejmuje ona ten sam zakres.
11. Obowiązki Agencji. Agencja ma podstawę prawną dla wprowadzanych danych i informuje swoich klientów oraz ich pracowników, że dane są przetwarzane przez nas w jej imieniu. Nie wprowadza danych, do których nie ma prawa.

4. Kolejne podmioty przetwarzające

Agencja udziela nam ogólnej zgody na korzystanie z poniższych kolejnych podmiotów przetwarzających. O nowym lub zastąpionym kolejnym podmiocie przetwarzającym informujemy Agencję e-mailem co najmniej 30 dni przed rozpoczęciem jego działania. W tym terminie Agencja może zgłosić sprzeciw z uzasadnionych powodów. Jeśli nie możemy uwzględnić sprzeciwu, Agencja może wypowiedzieć warunki ze skutkiem od dnia rozpoczęcia zmiany. Każdy kolejny podmiot przetwarzający jest związany umową nakładającą takie same obowiązki w zakresie ochrony danych jak niniejsza umowa. Odpowiadamy za nie.

Kolejny podmiot przetwarzający	Co robi	Gdzie
Własne serwery The CSS Partner	Hostują portal, bazę danych i porównywarkę	Dania (dostęp przez Cloudflare)
Resend	Wysyła wiadomości e-mail w imieniu Agencji	Region eu-west-1 (Irlandia)
Cloudflare	DNS, bezpieczeństwo i certyfikaty dla domeny Agencji oraz dostarczanie strony	Sieć globalna
Cloudflare R2	Przechowuje zaszyfrowane kopie zapasowe bazy danych. Klucz do ich otwarcia posiadamy wyłącznie my	UE
Google Drive	Przechowuje zaszyfrowane kopie zapasowe plików i zrzutów bazy danych. Klucz posiadamy wyłącznie my	Lokalizacja nie jest ograniczona do UE. Przekazanie opiera się na warunkach ochrony danych Google i standardowych klauzulach umownych
Stripe	Płatności i faktury za opłatę white label Agencji oraz, przy Odsprzedaży, za klientów Odsprzedaży	UE i USA

Poza Google Drive, Google nie jest naszym kolejnym podmiotem przetwarzającym. Gdy łączymy Sklep w Google CSS Center, Google przetwarza dane Merchant Center na podstawie własnych warunków zawartych z klientem Agencji oraz z nami jako CSS. Stripe przetwarza dane płatnicze jako niezależny administrator w niektórych celach, takich jak zapobieganie nadużyciom i wypełnianie jego obowiązków prawnych.

5. Przekazywanie poza UE i EOG

1. Nasz własny serwer znajduje się w Danii. Resend przechowuje dane w Irlandii. Kopie zapasowe w R2 są przechowywane w UE. Zaszyfrowane kopie w Google Drive mogą być przechowywane poza UE i są objęte instrumentami przekazywania z punktu 5.1. Cloudflare i Stripe to amerykańskie spółki z obecnością w UE. Gdy kolejny podmiot przetwarzający przekazuje dane do kraju bez decyzji stwierdzającej odpowiedni stopień ochrony, przekazanie opiera się na standardowych klauzulach umownych Komisji Europejskiej (decyzja (UE) 2021/914) lub innym instrumencie przekazywania przewidzianym w RODO.
2. Jeśli Agencja ma siedzibę poza UE i EOG, a jej kraj nie ma decyzji stwierdzającej odpowiedni stopień ochrony, standardowe klauzule umowne Komisji stanowią część niniejszej umowy w odniesieniu do danych, które przekazujemy Agencji. W przypadku danych ujawnianych przez nas jako administratora stosuje się Moduł 1. W przypadku danych odsyłanych przez nas jako podmiot przetwarzający stosuje się Moduł 4. Informacje do załączników wynikają z niniejszej umowy i z punktu 1. Stosuje się prawo duńskie tam, gdzie klauzule pozostawiają wybór otwarty, a sądem właściwym jest Retten i Randers.

6. Bezpieczeństwo

Chronimy dane za pomocą następujących środków:

• szyfrowane połączenia (TLS) między przeglądarką, stroną i portalem,
• logowanie jednorazowym linkiem, podpisane pliki cookie sesji i rola dla każdego użytkownika (właściciel, administrator, pracownik, czytelnik), przy czym dezaktywowany użytkownik natychmiast traci dostęp,
• portal, strona i zaplecze serwerowe (backend) są od siebie oddzielone, a przeglądarka komunikuje się wyłącznie z własnym adresem strony Agencji,
• klucze i inne dane uwierzytelniające są przechowywane wyłącznie na serwerze, nigdy w przeglądarce,
• zabezpieczenie poczty, które blokuje każdą wiadomość niewłączoną przez Agencję oraz każdą wiadomość od niezweryfikowanego nadawcy,
• dzienniki wysłanych wiadomości e-mail,
• dostęp do danych klientów wyłącznie dla osób, które potrzebują go do prowadzenia usługi.

Przeglądamy te środki, gdy zmienia się usługa lub ryzyka. W okresie obowiązywania nie obniżamy poziomu ochrony.

7. Naruszenie ochrony danych osobowych

Bez zbędnej zwłoki informujemy Agencję, gdy dowiemy się o naruszeniu dotyczącym danych, które przetwarzamy w jej imieniu. Wiadomość zawiera informację o tym, co się stało, jakie dane i ile osób może dotyczyć naruszenie, jakie według nas mogą być jego skutki oraz co zrobiliśmy. Kolejne informacje przekazujemy w miarę ich uzyskiwania. To Agencja decyduje, czy zgłosić naruszenie organowi nadzorczemu i osobom, których dane dotyczą.

8. Usunięcie i zwrot danych po zakończeniu

1. Gdy warunki wygasają, przestajemy przetwarzać rejestry klientów Agencji i wiadomości e-mail.
2. Na żądanie złożone przed zakończeniem lub w ciągu 30 dni po nim przekazujemy Agencji eksport rejestrów klientów w powszechnym formacie (CSV).
3. Usuwamy rejestry klientów i dzienniki wiadomości e-mail, które przetwarzamy w imieniu Agencji, w ciągu 30 dni po zakończeniu warunków lub w ciągu 30 dni po okresie przejściowym na podstawie punktu 5.5 warunków, jeśli jest on późniejszy. Egzemplarze danych w kopiach zapasowych są usuwane automatycznie nie później niż 35 dni po ich utworzeniu w R2 oraz nie później niż 190 dni po utworzeniu w Google Drive.
4. Zachowujemy to, co prawo zobowiązuje nas przechowywać jako administratora, takie jak faktury i dokumentacja księgowa przez 5 lat na podstawie duńskich przepisów o rachunkowości. Dane te nie są przetwarzane w imieniu Agencji.
5. Na żądanie potwierdzamy usunięcie e-mailem.

9. Odpowiedzialność, prawo i zmiany

1. Odpowiedzialność określa punkt 8 warunków. Roszczenie osoby, której dane dotyczą, w sprawie ochrony danych nie zmienia tego w relacji między stronami, chyba że prawo stanowi inaczej.
2. Stosuje się prawo duńskie. Spory trafiają do Retten i Randers (Sąd Rejonowy w Randers), tak jak w warunkach.
3. Możemy zmienić niniejszą umowę na przyszłość z 60-dniowym pisemnym wyprzedzeniem, jeśli zmieni się prawo, kolejny podmiot przetwarzający lub usługa. Agencja może wypowiedzieć warunki przed wejściem zmiany w życie.
4. Jeśli niniejsza umowa i warunki są ze sobą sprzeczne w kwestii danych osobowych, pierwszeństwo ma niniejsza umowa.
5. Pytania dotyczące danych osobowych należy kierować na adres kontakt@gezar.dk.