Acord privind prelucrarea datelor pentru agenții

Versiunea 1.1, 31 octombrie 2026. Această versiune în limba engleză este versiunea de referință. În caz de îndoială, aceasta prevalează.

Acest acord face parte din termenii white label dintre The CSS Partner (Gezar, o întreprindere individuală daneză deținută de Magnus Bo Nielsen, CVR nr. 42476226, Lupinskrænten 58, 8500 Grenaa, Danemarca) și Agenție. Se aplică din ziua în care Agenția acceptă termenii. „GDPR” înseamnă Regulamentul (UE) 2016/679.

1. Cine răspunde de ce

Cea mai mare parte a datelor cu caracter personal din cadrul serviciului nu este prelucrată în numele Agenției. Tabelul arată cine decide de ce și cum sunt folosite datele.

Date	Cine este operator	The CSS Partner are rol de persoană împuternicită?
Date tehnice despre vizitatorii site-ului White Label CSS (cum ar fi adresa IP, dispozitivul, paginile văzute, clicurile pe produse)	The CSS Partner	Nu
Date de autentificare ale personalului propriu al Agenției în portalul de parteneri	The CSS Partner, pentru a opera portalul și contractul	Nu
Date de facturare ale Agenției însăși (nume, adresă, cod de TVA, metodă de plată)	The CSS Partner	Nu
În cadrul Revânzării: date de cont și de plată ale clienților Agenției (nume, e-mail, societate, țară, cod de TVA, Magazine, abonament și plăți)	The CSS Partner, în calitate de vânzător	Nu
În cadrul Revânzării: ce primește Agenția despre clienții săi (nume, e-mail, Magazine, stare, plăți)	Agenția, în calitate de propriul operator	Nu. Dezvăluim datele Agenției
Date de contact și ID-uri Merchant Center ale clienților pe care Agenția le introduce sau le importă singură (control deplin, fără plată prin noi)	Agenția	Da
E-mailurile pe care le trimitem acestor clienți în numele Agenției, de pe domeniul de e-mail al Agenției	Agenția	Da
Relațiile proprii ale Agenției cu clienții, marketingul și contractele sale	Agenția	Nu

Agenția este propriul operator pentru relațiile sale cu clienții. Noi nu decidem cum folosește Agenția datele clienților săi.

2. Când nu prelucrăm date în numele Agenției

Dacă Agenția nu introduce date ale clienților în portal și nu trimite e-mailuri prin acesta, nu prelucrăm date cu caracter personal în numele Agenției. În acest caz, clauzele de la 3 la 9 nu se aplică, iar fiecare parte respectă GDPR pentru datele pe care le controlează. Același lucru este valabil pentru clienții Revânzare: le prelucrăm datele în calitate de operator, nu pentru Agenție.

Fluxurile de produse și datele despre produse ale clienților Agenției sunt date comerciale, nu date cu caracter personal. Dacă un flux conține date cu caracter personal, aceasta este o încălcare a clauzei 3.6 din termeni.

3. Prelucrarea în numele Agenției

Această parte se aplică numai celor două rânduri marcate cu „Da” în clauza 1.

1. Obiect și scop. Prelucrăm datele pentru a opera White Label CSS pentru Agenție: pentru a stoca evidențele clienților Agenției și Magazinele acestora și pentru a trimite, în numele Agenției, e-mailurile pe care Agenția le-a activat.
2. Natura prelucrării. Stocare, afișare în portal, transfer către Google CSS Center acolo unde este necesar pentru legarea unui Magazin, precum și trimiterea de e-mailuri.
3. Tipuri de date. Nume, adresă de e-mail, număr de telefon (opțional), societate, țară, cod de TVA, ID Merchant Center, adresa magazinului, starea Magazinelor clientului și e-mailurile trimise, cu data și starea livrării.
4. Persoane vizate. Persoanele de contact de la clienții Agenției.
5. Durata. Cât timp termenii sunt în vigoare și până la ștergere conform clauzei 8.
6. Instrucțiuni. Prelucrăm datele numai pe baza instrucțiunilor documentate ale Agenției. Termenii, acest acord și ceea ce face Agenția în portal sunt instrucțiunile sale. Informăm Agenția dacă considerăm că o instrucțiune încalcă legea.
7. Confidențialitate. Toate persoanele care au acces la date din partea noastră sunt ținute de o obligație de confidențialitate.
8. Securitate. Aplicăm măsurile din clauza 6.
9. Asistență. Ajutăm Agenția să răspundă cererilor persoanelor vizate și în îndeplinirea obligațiilor sale privind securitatea, încălcările securității datelor, evaluările de impact și consultarea autorității de supraveghere, în măsura în care prelucrarea o permite. Informăm Agenția fără întârzieri nejustificate dacă o persoană vizată ne contactează cu privire la date pe care le prelucrăm pentru Agenție.
10. Dovada. Punem la dispoziția Agenției informațiile de care are nevoie pentru a demonstra că respectăm acest acord. Agenția ne poate audita o dată pe an, cu un preaviz de 30 de zile, în timpul programului de lucru și pe cheltuiala sa, printr-un auditor obligat la confidențialitate. În loc de aceasta, putem da un răspuns scris la întrebările Agenției, dacă acesta acoperă aceleași aspecte.
11. Obligațiile Agenției. Agenția are un temei juridic pentru datele pe care le introduce și își informează clienții și personalul acestora că datele sunt tratate de noi în numele ei. Nu introduce date pe care nu are dreptul să le introducă.

4. Sub-împuterniciți

Agenția ne dă o autorizare generală de a folosi sub-împuterniciții de mai jos. Informăm Agenția prin e-mail despre un sub-împuternicit nou sau înlocuit cu cel puțin 30 de zile înainte ca acesta să înceapă. Agenția se poate opune din motive întemeiate în acest termen. Dacă nu putem satisface opoziția, Agenția poate înceta termenii cu efect din ziua în care modificarea începe. Fiecare sub-împuternicit este obligat printr-un contract care conține aceleași obligații de protecție a datelor ca acest acord. Noi răspundem pentru ei.

Sub-împuternicit	Ce face	Unde
Serverele proprii ale The CSS Partner	Găzduiesc portalul, baza de date și site-ul de comparare	Danemarca (accesate prin Cloudflare)
Resend	Trimite e-mailuri în numele Agenției	Regiunea eu-west-1 (Irlanda)
Cloudflare	DNS, securitate și certificate pentru domeniul Agenției și livrarea site-ului	Rețea globală
Cloudflare R2	Stochează copii de siguranță criptate ale bazei de date. Cheia care le deschide este deținută numai de noi	UE
Google Drive	Stochează copii de siguranță criptate ale fișierelor și ale exporturilor bazei de date. Cheia este deținută numai de noi	Locație care nu este fixată în UE. Transferul se întemeiază pe termenii Google privind protecția datelor și pe clauzele contractuale standard
Stripe	Plăți și facturi pentru taxa white label a Agenției și, în cadrul Revânzării, pentru clienții Revânzare	UE și SUA

Cu excepția Google Drive, Google nu este sub-împuternicitul nostru. Când legăm un Magazin în Google CSS Center, Google prelucrează datele Merchant Center conform propriilor termeni cu clientul Agenției și cu noi, în calitate de CSS. Stripe tratează datele de plată în calitate de operator independent pentru anumite scopuri, cum ar fi prevenirea fraudei și obligațiile sale legale.

5. Transferuri în afara UE și SEE

1. Propriul nostru server se află în Danemarca. Resend stochează în Irlanda. Copiile de siguranță din R2 sunt păstrate în UE. Copiile criptate din Google Drive pot fi păstrate în afara UE și sunt acoperite de instrumentele de transfer din clauza 5.1. Cloudflare și Stripe sunt societăți americane cu prezență în UE. Acolo unde un sub-împuternicit transferă date către o țară fără decizie de adecvare, transferul se întemeiază pe clauzele contractuale standard ale Comisiei Europene (Decizia (UE) 2021/914) sau pe un alt instrument de transfer din GDPR.
2. Dacă Agenția este stabilită în afara UE și SEE, iar țara sa nu are decizie de adecvare, clauzele contractuale standard ale Comisiei fac parte din acest acord pentru datele pe care le trimitem Agenției. Pentru datele pe care le dezvăluim în calitate de operator se aplică Modulul 1. Pentru datele pe care le trimitem înapoi în calitate de persoană împuternicită se aplică Modulul 4. Informațiile din anexe rezultă din acest acord și din clauza 1. Se aplică legea daneză acolo unde clauzele lasă alegerea deschisă, iar Retten i Randers este instanța competentă.

6. Securitate

Protejăm datele prin aceste măsuri:

• conexiuni criptate (TLS) între browser, site și portal,
• autentificări prin link unic, cookie-uri de sesiune semnate și un rol pentru fiecare utilizator (proprietar, administrator, angajat, cititor), unde un utilizator dezactivat pierde imediat accesul,
• portalul, site-ul și backendul sunt separate, iar browserul comunică numai cu adresa proprie a site-ului Agenției,
• cheile și secretele sunt păstrate numai pe server, niciodată în browser,
• un mecanism de control al e-mailurilor, care oprește orice e-mail neactivat de Agenție și orice e-mail de la un expeditor neverificat,
• jurnale ale e-mailurilor trimise,
• acces la datele clienților numai pentru persoanele care au nevoie de ele pentru a opera serviciul.

Revizuim măsurile când serviciul sau riscurile se schimbă. Nu reducem nivelul de protecție pe durata termenilor.

7. Încălcarea securității datelor cu caracter personal

Informăm Agenția fără întârzieri nejustificate când luăm cunoștință de o încălcare a datelor pe care le prelucrăm în numele ei. Mesajul spune ce s-a întâmplat, ce date și câte persoane pot fi afectate, care considerăm că sunt consecințele și ce am făcut. Trimitem informații suplimentare pe măsură ce le aflăm. Agenția decide dacă notifică autoritatea de supraveghere și persoanele vizate.

8. Ștergerea și returnarea la sfârșit

1. Când termenii încetează, încetăm să prelucrăm evidențele clienților Agenției și e-mailurile.
2. La cererea făcută înainte de încetare sau în termen de 30 de zile după aceasta, oferim Agenției un export al evidențelor clienților într-un format uzual (CSV).
3. Ștergem evidențele clienților și jurnalele de e-mail pe care le prelucrăm în numele Agenției în termen de 30 de zile după încetarea termenilor sau în termen de 30 de zile după perioada de tranziție conform clauzei 5.5 din termeni, dacă aceasta este ulterioară. Copiile aflate în copiile de siguranță sunt șterse automat cel târziu la 35 de zile după crearea lor, în R2, și cel târziu la 190 de zile după crearea lor, în Google Drive.
4. Păstrăm ceea ce legea ne impune să păstrăm în calitate de operator, cum ar fi facturile și evidențele contabile timp de 5 ani conform normelor daneze de contabilitate. Aceste date nu sunt prelucrate în numele Agenției.
5. Confirmăm ștergerea prin e-mail, la cerere.

9. Răspunderea, legea aplicabilă și modificări

1. Răspunderea urmează clauza 8 din termeni. O pretenție privind protecția datelor din partea unei persoane vizate nu modifică aceasta între părți, cu excepția cazului în care legea prevede altfel.
2. Se aplică legea daneză. Litigiile sunt de competența instanței Retten i Randers (Tribunalul din Randers), ca în termeni.
3. Putem modifica acest acord pentru viitor, cu un preaviz scris de 60 de zile, dacă se schimbă legea, un sub-împuternicit sau serviciul. Agenția poate înceta termenii înainte ca modificarea să intre în vigoare.
4. Dacă acest acord și termenii sunt în conflict cu privire la datele cu caracter personal, acest acord prevalează.
5. Întrebările privind datele cu caracter personal se trimit la kontakt@gezar.dk.