Personuppgiftsbiträdesavtal för byråer

Version 1.1, 31 oktober 2026. Den engelska versionen är huvudversionen. Vid tvekan gäller den.

Detta avtal är en del av white label-villkoren mellan The CSS Partner (Gezar, ett danskt enskilt företag som ägs av Magnus Bo Nielsen, CVR-nr 42476226, Lupinskrænten 58, 8500 Grenaa, Danmark) och Byrån. Det gäller från den dag Byrån godkänner villkoren. “GDPR” avser förordning (EU) 2016/679.

1. Vem som ansvarar för vad

Merparten av personuppgifterna i tjänsten behandlas inte för Byråns räkning. Tabellen visar vem som bestämmer ändamålen och medlen för behandlingen av uppgifterna.

Uppgifter	Personuppgiftsansvarig	The CSS Partner som personuppgiftsbiträde?
Tekniska uppgifter om besökare på White Label CSS-sajten (till exempel IP-adress, enhet, sidor som visats, klick på produkter)	The CSS Partner	Nej
Inloggningsuppgifter för Byråns egen personal i partnerportalen	The CSS Partner, för att driva portalen och avtalet	Nej
Byråns egna faktureringsuppgifter (namn, adress, momsnummer, betalningsmetod)	The CSS Partner	Nej
Vid Återförsäljning: konto- och betalningsuppgifter om Byråns kunder (namn, e-post, företag, land, momsnummer, Butiker, prenumeration och betalningar)	The CSS Partner, som säljare	Nej
Vid Återförsäljning: det Byrån får om sina kunder (namn, e-post, Butiker, status, betalningar)	Byrån, som egen personuppgiftsansvarig	Nej. Vi lämnar ut uppgifterna till Byrån
Kontaktuppgifter och Merchant Center-ID:n för kunder som Byrån själv lägger in eller importerar (full kontroll, utan betalning via oss)	Byrån	Ja
E-postmeddelanden som vi skickar till dessa kunder i Byråns namn från Byråns e-postdomän	Byrån	Ja
Byråns egna kundrelationer, marknadsföring och avtal	Byrån	Nej

Byrån är själv personuppgiftsansvarig för sina kundrelationer. Vi bestämmer inte hur Byrån använder sina kunders uppgifter.

2. När vi inte behandlar uppgifter för Byråns räkning

Om Byrån inte lägger in några kunduppgifter i portalen och inte skickar några e-postmeddelanden via den, behandlar vi inga personuppgifter för Byråns räkning. Då gäller inte punkterna 3 till 9, och vardera parten följer GDPR för de uppgifter den ansvarar för. Detsamma gäller Återförsäljningskunder: vi behandlar deras uppgifter som personuppgiftsansvariga, inte för Byråns räkning.

Produktflöden och produktdata från Byråns kunder är företagsdata, inte personuppgifter. Om ett flöde innehåller personuppgifter är det ett brott mot punkt 3.6 i villkoren.

3. Behandling för Byråns räkning

Denna del gäller endast de två rader som är markerade “Ja” i punkt 1.

1. Föremål och ändamål. Vi behandlar uppgifterna för att driva White Label CSS åt Byrån: för att lagra Byråns kundposter och Butiker och för att skicka de e-postmeddelanden som Byrån har aktiverat, i Byråns namn.
2. Behandlingens art. Lagring, visning i portalen, överföring till Googles CSS Center när det behövs för att länka en Butik, samt utskick av e-post.
3. Typer av personuppgifter. Namn, e-postadress, telefonnummer (valfritt), företag, land, momsnummer, Merchant Center-ID, butiksadress, status för kundens Butiker samt skickade e-postmeddelanden med datum och leveransstatus.
4. Kategorier av registrerade. Kontaktpersoner hos Byråns kunder.
5. Varaktighet. Så länge villkoren gäller och tills radering sker enligt punkt 8.
6. Instruktioner. Vi behandlar uppgifterna endast på Byråns dokumenterade instruktioner. Villkoren, detta avtal och det Byrån gör i portalen är dess instruktioner. Vi informerar Byrån om vi anser att en instruktion strider mot lag.
7. Konfidentialitet. Alla som har tillgång till uppgifterna hos oss är bundna av tystnadsplikt.
8. Säkerhet. Vi tillämpar de åtgärder som anges i punkt 6.
9. Hjälp. Vi hjälper Byrån att besvara begäranden från registrerade, och med dess skyldigheter när det gäller säkerhet, personuppgiftsincidenter, konsekvensbedömningar och samråd med tillsynsmyndigheten, i den mån behandlingen tillåter det. Vi informerar Byrån utan onödigt dröjsmål om en registrerad kontaktar oss om uppgifter som vi behandlar för Byråns räkning.
10. Uppvisande av efterlevnad. Vi ger Byrån den information som behövs för att visa att vi uppfyller detta avtal. Byrån får granska oss en gång per år, med 30 dagars varsel, under arbetstid och på egen bekostnad, med en revisor som är bunden av tystnadsplikt. Vi får i stället ge ett skriftligt svar på Byråns frågor, om det täcker samma områden.
11. Byråns skyldigheter. Byrån har rättslig grund för de uppgifter den lägger in och informerar sina kunder och deras personal om att uppgifterna hanteras av oss för Byråns räkning. Den lägger inte in uppgifter som den inte har rätt att lägga in.

4. Underbiträden

Byrån ger oss ett generellt tillstånd att använda underbiträdena nedan. Vi informerar Byrån om ett nytt eller utbytt underbiträde via e-post minst 30 dagar innan det börjar. Byrån får invända av sakliga skäl inom den tiden. Om vi inte kan tillmötesgå invändningen får Byrån säga upp villkoren med verkan från den dag ändringen börjar. Varje underbiträde är bundet av ett avtal med samma dataskyddsskyldigheter som detta avtal. Vi ansvarar för dem.

Underbiträde	Vad det gör	Var
The CSS Partners egna servrar	Drifthåller portalen, databasen och jämförelsesajten	Danmark (nås via Cloudflare)
Resend	Skickar e-post i Byråns namn	Region eu-west-1 (Irland)
Cloudflare	DNS, säkerhet och certifikat för Byråns domän samt leverans av sajten	Globalt nätverk
Cloudflare R2	Lagrar krypterade säkerhetskopior av databasen. Nyckeln som öppnar dem innehas endast av oss	EU
Google Drive	Lagrar krypterade säkerhetskopior av filer och databasdumpar. Nyckeln innehas endast av oss	Platsen är inte begränsad till EU. Överföringen vilar på Googles dataskyddsvillkor och standardavtalsklausuler
Stripe	Betalningar och fakturor för Byråns white label-avgift och, vid Återförsäljning, för Återförsäljningskunderna	EU och USA

Bortsett från Google Drive är Google inte vårt underbiträde. När vi länkar en Butik i Googles CSS Center behandlar Google Merchant Center-uppgifterna enligt sina egna villkor med Byråns kund och med oss som CSS. Stripe hanterar betalningsuppgifter som självständigt personuppgiftsansvarig för vissa ändamål, till exempel bedrägeribekämpning och sina rättsliga skyldigheter.

5. Överföringar utanför EU och EES

1. Vår egen server finns i Danmark. Resend lagrar i Irland. Säkerhetskopior i R2 lagras i EU. Krypterade kopior i Google Drive kan lagras utanför EU och omfattas av de överföringsverktyg som anges i punkt 5.1. Cloudflare och Stripe är amerikanska bolag med närvaro i EU. Där ett underbiträde överför uppgifter till ett land utan beslut om adekvat skyddsnivå vilar överföringen på Europeiska kommissionens standardavtalsklausuler (beslut (EU) 2021/914) eller ett annat överföringsverktyg enligt GDPR.
2. Om Byrån är etablerad utanför EU och EES, och dess land saknar beslut om adekvat skyddsnivå, utgör kommissionens standardavtalsklausuler en del av detta avtal för de uppgifter som vi skickar till Byrån. För uppgifter som vi lämnar ut som personuppgiftsansvariga gäller modul 1. För uppgifter som vi skickar tillbaka som personuppgiftsbiträde gäller modul 4. Uppgifterna till bilagorna framgår av detta avtal och av punkt 1. Dansk lag gäller där klausulerna lämnar valet öppet, och Retten i Randers är behörig domstol.

6. Säkerhet

Vi skyddar uppgifterna med dessa åtgärder:

• krypterade anslutningar (TLS) mellan webbläsaren, sajten och portalen,
• inloggning med engångslänk, signerade sessionscookies och en roll för varje användare (ägare, administratör, anställd, läsare), där en avaktiverad användare omedelbart förlorar åtkomst,
• portalen, sajten och backend är åtskilda, och webbläsaren kommunicerar endast med Byråns egen sajtadress,
• nycklar och andra hemliga uppgifter förvaras endast på servern, aldrig i webbläsaren,
• ett e-postskydd som stoppar all e-post som Byrån inte har aktiverat, och all e-post från en overifierad avsändare,
• loggar över skickade e-postmeddelanden,
• åtkomst till kunduppgifter endast för de personer som behöver den för att driva tjänsten.

Vi ser över åtgärderna när tjänsten eller riskerna förändras. Vi sänker inte skyddsnivån under avtalstiden.

7. Personuppgiftsincident

Vi informerar Byrån utan onödigt dröjsmål när vi får kännedom om en incident som rör de uppgifter vi behandlar för Byråns räkning. Meddelandet anger vad som har hänt, vilka uppgifter och hur många personer som kan vara berörda, vilka konsekvenser vi bedömer att det får och vad vi har gjort. Vi skickar ytterligare information i takt med att vi får den. Byrån avgör om tillsynsmyndigheten och de registrerade ska underrättas.

8. Radering och återlämnande vid avtalets slut

1. När villkoren upphör slutar vi behandla Byråns kundposter och e-postmeddelanden.
2. På begäran som görs före slutet, eller inom 30 dagar efter, lämnar vi Byrån en export av kundposterna i ett vanligt format (CSV).
3. Vi raderar de kundposter och e-postloggar som vi behandlar för Byråns räkning inom 30 dagar efter att villkoren har upphört, eller inom 30 dagar efter avvecklingsperioden enligt punkt 5.5 i villkoren, om den är senare. Kopior i säkerhetskopior raderas automatiskt senast 35 dagar efter att de har skapats i R2, och senast 190 dagar efter att de har skapats i Google Drive.
4. Vi behåller det som lagen kräver att vi behåller som personuppgiftsansvariga, till exempel fakturor och bokföringsunderlag i 5 år enligt danska bokföringsregler. Dessa uppgifter behandlas inte för Byråns räkning.
5. Vi bekräftar raderingen via e-post på begäran.

9. Ansvar, lag och ändringar

1. Ansvaret följer punkt 8 i villkoren. Ett dataskyddskrav från en registrerad ändrar inte detta mellan parterna, utom där lagen föreskriver något annat.
2. Dansk lag gäller. Tvister avgörs av Retten i Randers (Randers tingsrätt), som i villkoren.
3. Vi får ändra detta avtal för framtiden med 60 dagars skriftligt varsel, om lagen, ett underbiträde eller tjänsten ändras. Byrån får säga upp avtalet innan ändringen träder i kraft.
4. Om detta avtal och villkoren står i strid med varandra när det gäller personuppgifter, har detta avtal företräde.
5. Frågor om personuppgifter riktas till kontakt@gezar.dk.