Versão 1.1, 31 de outubro de 2026. A versão em inglês é a versão de referência. Em caso de dúvida, prevalece.
Este acordo faz parte dos termos white label entre a The CSS Partner (Gezar, uma empresa em nome individual dinamarquesa, propriedade de Magnus Bo Nielsen, n.º CVR 42476226, Lupinskrænten 58, 8500 Grenaa, Dinamarca) e a Agência. Aplica-se a partir do dia em que a Agência aceita os termos. «RGPD» designa o Regulamento (UE) 2016/679.
1. Quem é responsável pelo quê
A maior parte dos dados pessoais no serviço não é tratada por conta da Agência. A tabela indica quem decide porquê e como os dados são utilizados.
| Dados | Quem é o responsável pelo tratamento | Função de subcontratante da The CSS Partner? |
|---|---|---|
| Dados técnicos sobre os visitantes do site do White Label CSS (como endereço IP, dispositivo, páginas vistas, cliques em produtos) | A The CSS Partner | Não |
| Dados de início de sessão do pessoal da própria Agência no portal de parceiros | A The CSS Partner, para gerir o portal e o contrato | Não |
| Dados de faturação da própria Agência (nome, morada, número de IVA, método de pagamento) | A The CSS Partner | Não |
| Na Revenda: dados de conta e de pagamento dos clientes da Agência (nome, email, empresa, país, número de IVA, Lojas, subscrição e pagamentos) | A The CSS Partner, como vendedor | Não |
| Na Revenda: o que a Agência recebe sobre os seus clientes (nome, email, Lojas, estado, pagamentos) | A Agência, como responsável pelo tratamento por direito próprio | Não. Divulgamos os dados à Agência |
| Dados de contacto e IDs do Merchant Center de clientes que a Agência introduz ou importa por si própria (controlo total, sem pagamento através de nós) | A Agência | Sim |
| Emails que enviamos a esses clientes em nome da Agência a partir do domínio de email da Agência | A Agência | Sim |
| As relações com clientes, o marketing e os contratos da própria Agência | A Agência | Não |
A Agência é a responsável pelo tratamento por direito próprio quanto às suas relações com clientes. Não decidimos como a Agência utiliza os dados dos seus clientes.
2. Quando não tratamos dados por conta da Agência
Se a Agência não introduzir dados de clientes no portal e não enviar emails através dele, não tratamos dados pessoais por conta da Agência. Nesse caso, as cláusulas 3 a 9 não se aplicam, e cada parte cumpre o RGPD quanto aos dados que controla. O mesmo se aplica aos clientes de Revenda: tratamos os seus dados como responsável pelo tratamento, não por conta da Agência.
Os feeds de produtos e os dados de produtos dos clientes da Agência são dados comerciais, não dados pessoais. Se um feed contiver dados pessoais, isso constitui uma violação da cláusula 3.6 dos termos.
3. Tratamento por conta da Agência
Esta parte aplica-se apenas às duas linhas marcadas «Sim» na cláusula 1.
- Objeto e finalidade. Tratamos os dados para gerir o White Label CSS da Agência: para armazenar os registos de clientes e as Lojas da Agência, e para enviar os emails que a Agência ativou, em nome da Agência.
- Natureza. Armazenamento, apresentação no portal, transferência para o CSS Center da Google quando necessário para associar uma Loja, e envio de emails.
- Tipos de dados. Nome, endereço de email, número de telefone (opcional), empresa, país, número de IVA, ID do Merchant Center, morada da loja, o estado das Lojas do cliente, e os emails enviados com data e estado de entrega.
- Titulares dos dados. Pessoas de contacto dos clientes da Agência.
- Duração. Enquanto os termos vigorarem, e até à eliminação nos termos da cláusula 8.
- Instruções. Tratamos os dados apenas mediante instruções documentadas da Agência. Os termos, este acordo e o que a Agência faz no portal são as suas instruções. Informamos a Agência se considerarmos que uma instrução viola a lei.
- Confidencialidade. Todas as pessoas que têm acesso aos dados do nosso lado estão vinculadas por um dever de confidencialidade.
- Segurança. Aplicamos as medidas da cláusula 6.
- Assistência. Ajudamos a Agência a responder a pedidos dos titulares dos dados, e nas suas obrigações relativas a segurança, violações, avaliações de impacto e consulta da autoridade, na medida em que o tratamento o permita. Informamos a Agência sem demora injustificada se um titular de dados nos contactar sobre dados que tratamos por conta da Agência.
- Prova. Fornecemos à Agência as informações de que necessita para demonstrar que cumprimos este acordo. A Agência pode auditar-nos uma vez por ano, mediante aviso prévio de 30 dias, durante o horário de trabalho e a suas expensas, com um auditor vinculado por confidencialidade. Podemos, em alternativa, dar uma resposta escrita às perguntas da Agência, se esta abranger o mesmo âmbito.
- Obrigações da Agência. A Agência tem um fundamento jurídico para os dados que introduz e informa os seus clientes e o respetivo pessoal de que os dados são tratados por nós por sua conta. Não introduz dados que não tenha o direito de introduzir.
4. Subcontratantes ulteriores
A Agência dá-nos uma autorização geral para utilizar os subcontratantes ulteriores abaixo indicados. Informamos a Agência por email de um subcontratante ulterior novo ou substituído pelo menos 30 dias antes de este começar. A Agência pode opor-se com fundamento razoável dentro desse prazo. Se não pudermos satisfazer a objeção, a Agência pode fazer cessar os termos com efeitos a partir do dia em que a alteração começa. Cada subcontratante ulterior está vinculado por um contrato com as mesmas obrigações de proteção de dados que este acordo. Somos responsáveis por eles.
| Subcontratante ulterior | O que faz | Onde |
|---|---|---|
| Os servidores próprios da The CSS Partner | Alojam o portal, a base de dados e o site de comparação | Dinamarca (acedidos através da Cloudflare) |
| Resend | Envia emails em nome da Agência | Região eu-west-1 (Irlanda) |
| Cloudflare | DNS, segurança e certificados para o domínio da Agência, e entrega do site | Rede global |
| Cloudflare R2 | Armazena cópias de segurança encriptadas da base de dados. A chave que as abre é detida apenas por nós | UE |
| Google Drive | Armazena cópias de segurança encriptadas de ficheiros e de exportações da base de dados. A chave é detida apenas por nós | Localização não fixada na UE. A transferência assenta nos termos de proteção de dados da Google e nas cláusulas contratuais-tipo |
| Stripe | Pagamentos e faturas da taxa de white label da Agência e, na Revenda, dos clientes de Revenda | UE e EUA |
À exceção do Google Drive, a Google não é nosso subcontratante ulterior. Quando associamos uma Loja no CSS Center da Google, a Google trata os dados do Merchant Center nos termos próprios que tem com o cliente da Agência e connosco como CSS. A Stripe trata os dados de pagamento como responsável pelo tratamento independente para certas finalidades, como a prevenção de fraude e as suas obrigações legais.
5. Transferências para fora da UE e do EEE
- O nosso próprio servidor está na Dinamarca. A Resend armazena na Irlanda. As cópias de segurança no R2 são mantidas na UE. As cópias encriptadas no Google Drive podem ser mantidas fora da UE e estão abrangidas pelos instrumentos de transferência da cláusula 5.1. A Cloudflare e a Stripe são empresas dos EUA com presença na UE. Quando um subcontratante ulterior transfere dados para um país sem decisão de adequação, a transferência assenta nas cláusulas contratuais-tipo da Comissão Europeia (Decisão (UE) 2021/914) ou noutro instrumento de transferência previsto no RGPD.
- Se a Agência estiver estabelecida fora da UE e do EEE, e o seu país não tiver decisão de adequação, as cláusulas contratuais-tipo da Comissão fazem parte deste acordo quanto aos dados que enviamos à Agência. Para os dados que divulgamos como responsável pelo tratamento, aplica-se o Módulo 1. Para os dados que enviamos de volta como subcontratante, aplica-se o Módulo 4. As informações dos anexos resultam deste acordo e da cláusula 1. Aplica-se a lei dinamarquesa quando as cláusulas deixam a escolha em aberto, e o tribunal competente é o Retten i Randers.
6. Segurança
Protegemos os dados com estas medidas:
- ligações encriptadas (TLS) entre o navegador, o site e o portal,
- inícios de sessão por ligação de utilização única, cookies de sessão assinados e uma função para cada utilizador (proprietário, administrador, colaborador, leitor), em que um utilizador desativado perde o acesso de imediato,
- o portal, o site e o backend são separados, e o navegador comunica apenas com o endereço do site da própria Agência,
- as chaves e os segredos são mantidos apenas no servidor, nunca no navegador,
- uma proteção de emails que bloqueia qualquer email não ativado pela Agência e qualquer email de um remetente não verificado,
- registos dos emails enviados,
- acesso aos dados dos clientes apenas para as pessoas que deles necessitam para gerir o serviço.
Revemos as medidas quando o serviço ou os riscos se alteram. Não reduzimos o nível de proteção durante a vigência.
7. Violação de dados pessoais
Informamos a Agência sem demora injustificada quando tomamos conhecimento de uma violação dos dados que tratamos por sua conta. A mensagem indica o que aconteceu, que dados e quantas pessoas podem ser afetados, quais pensamos ser as consequências e o que fizemos. Enviamos mais informações à medida que as obtemos. A Agência decide se notifica a autoridade de controlo e os titulares dos dados.
8. Eliminação e devolução no final
- Quando os termos cessarem, deixamos de tratar os registos de clientes e os emails da Agência.
- A pedido feito antes do fim, ou nos 30 dias seguintes, damos à Agência uma exportação dos registos de clientes num formato comum (CSV).
- Eliminamos os registos de clientes e os registos de emails que tratamos por conta da Agência no prazo de 30 dias após a cessação dos termos, ou no prazo de 30 dias após o período de transição ao abrigo da cláusula 5.5 dos termos, se este for posterior. Os dados que constam de cópias de segurança são eliminados automaticamente o mais tardar 35 dias após a criação dessas cópias, no R2, e o mais tardar 190 dias depois, no Google Drive.
- Conservamos o que a lei nos obriga a conservar como responsável pelo tratamento, como faturas e registos contabilísticos durante 5 anos nos termos das regras dinamarquesas de contabilidade. Esses dados não são tratados por conta da Agência.
- Confirmamos a eliminação por email, a pedido.
9. Responsabilidade, lei e alterações
- A responsabilidade segue a cláusula 8 dos termos. Uma reclamação de proteção de dados de um titular de dados não altera isso entre as partes, salvo quando a lei dispuser em contrário.
- Aplica-se a lei dinamarquesa. Os litígios são submetidos ao Retten i Randers (Tribunal de Primeira Instância de Randers), como nos termos.
- Podemos alterar este acordo para o futuro mediante aviso prévio escrito de 60 dias, se a lei, um subcontratante ulterior ou o serviço se alterarem. A Agência pode fazer cessar os termos antes de a alteração produzir efeitos.
- Se este acordo e os termos entrarem em conflito quanto a dados pessoais, este acordo prevalece.
- As questões sobre dados pessoais devem ser dirigidas a kontakt@gezar.dk.