Različica 1.1, 31. oktober 2026. Ta angleška različica je glavna. V primeru dvoma ima prednost.
Ta pogodba je del pogojev white label med podjetjem The CSS Partner (Gezar, danski samostojni podjetnik v lasti Magnusa Bo Nielsena, CVR št. 42476226, Lupinskrænten 58, 8500 Grenaa, Danska) in Agencijo. Velja od dneva, ko Agencija sprejme pogoje. »GDPR« pomeni Uredbo (EU) 2016/679.
1. Kdo je za kaj odgovoren
Večina osebnih podatkov v storitvi se ne obdeluje v imenu Agencije. Tabela prikazuje, kdo odloča, zakaj in kako se podatki uporabljajo.
| Podatki | Kdo je upravljavec | Vloga obdelovalca podjetja The CSS Partner? |
|---|---|---|
| Tehnični podatki o obiskovalcih spletnega mesta White Label CSS (kot so naslov IP, naprava, ogledane strani, kliki na izdelke) | The CSS Partner | Ne |
| Podatki za prijavo lastnega osebja Agencije v partnerskem portalu | The CSS Partner, za delovanje portala in pogodbe | Ne |
| Podatki za obračun same Agencije (ime, naslov, številka DDV, način plačila) | The CSS Partner | Ne |
| Pri Preprodaji: podatki o računu in plačilih strank Agencije (ime, e-pošta, podjetje, država, številka DDV, Trgovine, naročnina in plačila) | The CSS Partner, kot prodajalec | Ne |
| Pri Preprodaji: kar Agencija prejme o svojih strankah (ime, e-pošta, Trgovine, stanje, plačila) | Agencija, kot lasten upravljavec | Ne. Podatke razkrijemo Agenciji |
| Kontaktni podatki in ID-ji Merchant Center strank, ki jih Agencija vnese ali uvozi sama (popoln nadzor, brez plačila prek nas) | Agencija | Da |
| E-pošta, ki jo pošljemo tem strankam v imenu Agencije z domene e-pošte Agencije | Agencija | Da |
| Lastni odnosi Agencije s strankami, trženje in pogodbe | Agencija | Ne |
Agencija je sama upravljavec za svoje odnose s strankami. Ne odločamo, kako Agencija uporablja podatke svojih strank.
2. Kdaj podatkov ne obdelujemo v imenu Agencije
Če Agencija v portal ne vnese nobenih podatkov o strankah in prek njega ne pošilja e-pošte, osebnih podatkov ne obdelujemo v imenu Agencije. Tedaj točke od 3 do 9 ne veljajo in vsaka stranka upošteva GDPR za podatke, ki jih upravlja. Enako velja za kupce Preprodaje: njihove podatke obdelujemo kot upravljavec, ne za Agencijo.
Feedi izdelkov in podatki o izdelkih strank Agencije so poslovni podatki, ne osebni podatki. Če feed vsebuje osebne podatke, je to kršitev točke 3.6 pogojev.
3. Obdelava v imenu Agencije
Ta del velja samo za obe vrstici, označeni z »Da« v točki 1.
- Predmet in namen. Podatke obdelujemo za upravljanje White Label CSS za Agencijo: za shranjevanje evidence strank Agencije in Trgovin ter za pošiljanje e-pošte, ki jo je Agencija vklopila, v imenu Agencije.
- Narava. Shranjevanje, prikaz v portalu, prenos v Googlov CSS Center, kjer je to potrebno za povezavo Trgovine, in pošiljanje e-pošte.
- Vrste podatkov. Ime, e-poštni naslov, telefonska številka (neobvezno), podjetje, država, številka DDV, ID Merchant Center, naslov trgovine, stanje Trgovin stranke ter poslana e-pošta z datumom in stanjem dostave.
- Posamezniki, na katere se nanašajo osebni podatki. Kontaktne osebe pri strankah Agencije.
- Trajanje. Dokler pogoji veljajo, in do izbrisa po točki 8.
- Navodila. Podatke obdelujemo samo na dokumentirana navodila Agencije. Pogoji, ta pogodba in dejanja Agencije v portalu so njena navodila. Agencijo obvestimo, če menimo, da navodilo krši zakon.
- Zaupnost. Vsi, ki imajo na naši strani dostop do podatkov, so zavezani k varovanju zaupnosti.
- Varnost. Uporabljamo ukrepe iz točke 6.
- Pomoč. Agenciji pomagamo odgovarjati na zahteve posameznikov, na katere se nanašajo osebni podatki, ter pri njenih obveznostih glede varnosti, kršitev, ocen učinka in posvetovanja z organom, kolikor to omogoča obdelava. Agencijo brez nepotrebnega odlašanja obvestimo, če nas posameznik, na katerega se nanašajo osebni podatki, kontaktira glede podatkov, ki jih obdelujemo za Agencijo.
- Dokazila. Agenciji posredujemo informacije, ki jih potrebuje za dokaz, da izpolnjujemo to pogodbo. Agencija nas lahko revidira enkrat na leto, s 30-dnevnim obvestilom, med delovnim časom in na lastne stroške, z revizorjem, zavezanim k zaupnosti. Namesto tega lahko podamo pisne odgovore na vprašanja Agencije, če ti zajemajo isto področje.
- Obveznosti Agencije. Agencija ima pravno podlago za podatke, ki jih vnese, in svoje stranke ter njihovo osebje obvesti, da podatke v njenem imenu obravnavamo mi. Ne vnaša podatkov, do katerih nima pravice.
4. Podobdelovalci
Agencija nam daje splošno dovoljenje za uporabo spodnjih podobdelovalcev. O novem ali zamenjanem podobdelovalcu Agencijo obvestimo po e-pošti vsaj 30 dni, preden začne delovati. Agencija lahko v tem roku iz utemeljenih razlogov ugovarja. Če ugovoru ne moremo ugoditi, lahko Agencija pogoje odpove z učinkom od dneva, ko se sprememba začne. Vsak podobdelovalec je zavezan s pogodbo z enakimi obveznostmi varstva podatkov kot ta pogodba. Mi smo zanje odgovorni.
| Podobdelovalec | Kaj počne | Kje |
|---|---|---|
| Lastni strežniki podjetja The CSS Partner | Gostujejo portal, zbirko podatkov in primerjalno spletno mesto | Danska (dostop prek Cloudflare) |
| Resend | Pošilja e-pošto v imenu Agencije | Regija eu-west-1 (Irska) |
| Cloudflare | DNS, varnost in certifikati za domeno Agencije ter dostava spletnega mesta | Globalno omrežje |
| Cloudflare R2 | Shranjuje šifrirane varnostne kopije zbirke podatkov. Ključ, s katerim se odprejo, hranimo samo mi | EU |
| Google Drive | Shranjuje šifrirane varnostne kopije datotek in izvozov zbirke podatkov. Ključ hranimo samo mi | Lokacija ni omejena na EU. Prenos temelji na Googlovih pogojih varstva podatkov in standardnih pogodbenih klavzulah |
| Stripe | Plačila in računi za znesek za white label Agencije ter pri Preprodaji za kupce Preprodaje | EU in ZDA |
Razen storitve Google Drive Google ni naš podobdelovalec. Ko v Googlovem CSS Center povežemo Trgovino, Google podatke Merchant Center obdeluje po lastnih pogojih s stranko Agencije in z nami kot CSS. Stripe podatke o plačilih obravnava kot samostojni upravljavec za nekatere namene, kot sta preprečevanje goljufij in njegove zakonske obveznosti.
5. Prenosi zunaj EU in EGP
- Naš lastni strežnik je na Danskem. Resend shranjuje na Irskem. Varnostne kopije v R2 se hranijo v EU. Šifrirane kopije v Google Drive se lahko hranijo zunaj EU in jih zajemajo instrumenti za prenos iz točke 5.1. Cloudflare in Stripe sta ameriški družbi s prisotnostjo v EU. Kjer podobdelovalec prenaša podatke v državo brez sklepa o ustreznosti, prenos temelji na standardnih pogodbenih klavzulah Evropske komisije (Sklep (EU) 2021/914) ali drugem instrumentu za prenos iz GDPR.
- Če ima Agencija sedež zunaj EU in EGP, njena država pa nima sklepa o ustreznosti, so standardne pogodbene klavzule Komisije del te pogodbe za podatke, ki jih pošiljamo Agenciji. Za podatke, ki jih razkrijemo kot upravljavec, velja modul 1. Za podatke, ki jih pošljemo nazaj kot obdelovalec, velja modul 4. Informacije v prilogah izhajajo iz te pogodbe in iz točke 1. Velja dansko pravo, kjer klavzule puščajo izbiro odprto, pristojno sodišče pa je Retten i Randers.
6. Varnost
Podatke varujemo z naslednjimi ukrepi:
- šifrirane povezave (TLS) med brskalnikom, spletnim mestom in portalom,
- prijave z enkratno povezavo, podpisani sejni piškotki in vloga za vsakega uporabnika (lastnik, skrbnik, zaposleni, bralec), pri čemer deaktiviran uporabnik takoj izgubi dostop,
- portal, spletno mesto in zaledje so ločeni, brskalnik pa komunicira samo z naslovom lastnega spletnega mesta Agencije,
- ključi in skrivnosti se hranijo samo na strežniku, nikoli v brskalniku,
- varovalo e-pošte, ki ustavi vsako e-pošto, ki je Agencija ni vklopila, in vsako e-pošto nepreverjenega pošiljatelja,
- dnevniki poslane e-pošte,
- dostop do podatkov o strankah samo za osebe, ki ga potrebujejo za izvajanje storitve.
Ukrepe pregledamo, ko se spremenita storitev ali tveganja. Med trajanjem pogodbe ravni zaščite ne znižujemo.
7. Kršitev varstva osebnih podatkov
Agencijo brez nepotrebnega odlašanja obvestimo, ko izvemo za kršitev podatkov, ki jih obdelujemo v njenem imenu. Sporočilo navaja, kaj se je zgodilo, kateri podatki in koliko oseb je lahko prizadetih, kakšne so po naši oceni posledice in kaj smo storili. Nadaljnje informacije pošljemo, ko jih izvemo. Agencija odloči, ali bo obvestila nadzorni organ in posameznike, na katere se nanašajo osebni podatki.
8. Izbris in vrnitev ob koncu
- Ko pogoji prenehajo, nehamo obdelovati evidenco strank in e-pošto Agencije.
- Na zahtevo, podano pred koncem ali v 30 dneh po njem, Agenciji predamo izvoz evidence strank v običajni obliki (CSV).
- Evidenco strank in dnevnike e-pošte, ki jih obdelujemo v imenu Agencije, izbrišemo v 30 dneh po prenehanju pogojev ali v 30 dneh po obdobju postopnega zaključevanja po točki 5.5 pogojev, če je to pozneje. Kopije v varnostnih kopijah se samodejno izbrišejo najpozneje 35 dni po nastanku v R2 in najpozneje 190 dni po nastanku v Google Drive.
- Hranimo, kar nam zakon nalaga hraniti kot upravljavcu, na primer račune in računovodske evidence 5 let po danskih računovodskih pravilih. Teh podatkov ne obdelujemo v imenu Agencije.
- Izbris na zahtevo potrdimo po e-pošti.
9. Odgovornost, pravo in spremembe
- Odgovornost se ravna po točki 8 pogojev. Zahtevek posameznika, na katerega se nanašajo osebni podatki, v zvezi z varstvom podatkov tega med strankama ne spreminja, razen kjer zakon določa drugače.
- Velja dansko pravo. Spori gredo pred Retten i Randers (okrožno sodišče v Randersu), kot v pogojih.
- To pogodbo lahko za naprej spremenimo z 60-dnevnim pisnim obvestilom, če se spremeni zakon, podobdelovalec ali storitev. Agencija lahko pogodbo odpove, preden sprememba začne veljati.
- Če sta ta pogodba in pogoji v nasprotju glede osebnih podatkov, ima prednost ta pogodba.
- Vprašanja o osebnih podatkih pošljite na kontakt@gezar.dk.