Personuppgifts­biträdesavtal

Avtalet gäller mellan föreningen som använder KLUBB|hantering och Klubbförsäljning Sverige AB, org.nr 559551-5205, som driver tjänsten. Föreningen är personuppgiftsansvarig för uppgifterna om sina medlemmar. Vi är personuppgiftsbiträde och behandlar uppgifterna för föreningens räkning. Med ”vi” menas i avtalet Klubbförsäljning Sverige AB.

Avtalet ingås när någon skapar en förening i tjänsten och då godkänner användarvillkoren för föreningens räkning. Avtalet är en del av villkoren. Säger avtalet och villkoren olika saker om personuppgifter gäller avtalet.

Läs användarvillkoren

Vi behandlar personuppgifterna bara för att leverera tjänsten till föreningen: medlemsregister, lag och grupper, kallelser och närvaro, meddelanden och utskick, fakturor och betalningar, föreningens hemsida och underlag för bidrag som LOK-stöd. Behandlingen omfattar att lagra, visa, söka i, skicka, exportera och radera uppgifterna. Vi säljer inte uppgifterna och använder dem inte för reklam.

De registrerade är föreningens medlemmar, vårdnadshavare, ledare, tränare, styrelseledamöter, administratörer och andra kontaktpersoner som föreningen lägger in. Uppgifterna är namn, kontaktuppgifter och adress, födelsedatum, personnummer när föreningen behöver det, roller och lagtillhörighet, svar på kallelser, närvaro, meddelanden, fakturor och betalningar, filer som föreningen laddar upp och de egna fält som föreningen lägger till. Föreningen bestämmer vilka uppgifter som läggs in och ansvarar för att det finns en laglig grund för dem. Det gäller särskilt känsliga uppgifter, till exempel om hälsa.

Vi behandlar uppgifterna bara enligt föreningens dokumenterade instruktioner. Instruktionerna är det här avtalet, villkoren och det som föreningen gör och ställer in i tjänsten. Tycker vi att en instruktion strider mot dataskyddsförordningen säger vi det till föreningen direkt. Kräver en lag att vi lämnar ut uppgifter, till exempel till en myndighet, berättar vi det för föreningen innan, om lagen inte förbjuder det.

Bara de personer hos oss som behöver uppgifterna för att sköta tjänsten får tillgång till dem, och de har tystnadsplikt genom avtal eller lag.

Vi skyddar uppgifterna med tekniska och organisatoriska åtgärder enligt artikel 32 i dataskyddsförordningen. Det gäller bland annat krypterad trafik, behörighetsregler för varje tabell i databasen, tvåfaktorsautentisering för administratörer, krypterade och maskerade personnummer och loggning av känsliga åtgärder.

Så skyddar vi uppgifterna

Föreningen svarar på de registrerades begäran om att få se, rätta, flytta eller radera sina uppgifter, och tjänsten har funktioner för det. Var och en kan också själv ladda ned sina uppgifter och radera sitt konto. Kommer en begäran som gäller föreningens register till oss skickar vi den vidare till föreningen utan onödigt dröjsmål. Vi hjälper också föreningen med konsekvensbedömningar och samråd med IMY, när det gäller vår del av behandlingen.

Upptäcker vi en personuppgiftsincident som rör föreningens uppgifter meddelar vi föreningens administratörer senast 48 timmar efter att vi fick kännedom om den. Vi beskriver vad som har hänt, vilka uppgifter och ungefär hur många personer som berörs, troliga följder och vad vi gör åt det. Föreningen anmäler incidenten till IMY när det krävs, inom 72 timmar, och vi lämnar det underlag som behövs.

Föreningen godkänner att vi anlitar underbiträden. De vi anlitar i dag står med syfte och land i integritetspolicyn. Vi anlitar bara underbiträden som har ett skriftligt avtal med oss med samma skyldigheter som i det här avtalet, och vi ansvarar mot föreningen för deras arbete. Innan vi lägger till eller byter ett underbiträde uppdaterar vi listan och meddelar föreningens administratörer minst 30 dagar i förväg. Föreningen kan invända genom att skriva till support@klubbhantering.se. Hittar vi ingen lösning får föreningen säga upp avtalet innan ändringen börjar gälla.

Listan över underbiträden

Databasen och filerna ligger i Stockholm. Några underbiträden kan behandla uppgifter utanför EU och EES, främst i USA. Det sker bara med stöd av kapitel V i dataskyddsförordningen: antingen är mottagaren ansluten till ramverket för dataskydd mellan EU och USA (Data Privacy Framework), eller så gäller EU-kommissionens standardavtalsklausuler, med de extra skyddsåtgärder som behövs.

Föreningen har rätt att få den information som behövs för att visa att vi följer avtalet. I första hand svarar vi på frågor skriftligt. Föreningen, eller en oberoende granskare med tystnadsplikt som föreningen anlitar, får också göra en revision hos oss efter överenskommelse och med minst 30 dagars varsel. Var och en står för sina egna kostnader.

Föreningens administratörer kan när som helst exportera medlemsregistret. Vill föreningen sluta använda tjänsten skriver den till support@klubbhantering.se. Vi lämnar då ut föreningens uppgifter i en fil om föreningen vill det och raderar dem sedan inom 30 dagar. Fakturor och närvaro i underlaget för LOK-stöd sparas så länge integritetspolicyn anger och gallras sedan. Uppgifter i säkerhetskopior försvinner när kopiorna skrivs över.

Avtalet gäller så länge vi behandlar personuppgifter för föreningens räkning. Ändrar vi avtalet meddelar vi föreningens administratörer minst 30 dagar innan ändringen gäller, utom när en lag eller ett myndighetsbeslut kräver en snabbare ändring. Svensk lag gäller, och tvister prövas av svensk domstol.