Personuppgiftsbiträdesavtal för klubbar

1. Behandlingen

• Ändamål: att tillhandahålla Sport Tracking – lagra och visa idrottares resultat, tester, träning och mål för klubben.
• Kategorier av registrerade: klubbens idrottare (ofta barn), deras vårdnadshavare, ledare och tränare, resultatrapportörer.
• Personuppgifter: namn, födelsedatum/-år, klubb, idrott, resultat, tester, träning, mål, kommentarer, foto (frivilligt), inloggningsmejl. Hälsouppgifter (smärta ja/nej, kroppsvikt) endast med uttryckligt samtycke som samlas in i tjänsten.
• Varaktighet: så länge klubben använder tjänsten, därefter radering enligt punkt 7.

2. Instruktioner

Biträdet behandlar uppgifterna endast enligt klubbens dokumenterade instruktioner. Detta avtal, tjänstens funktioner och de inställningar klubben gör utgör instruktionerna. Anser biträdet att en instruktion strider mot GDPR meddelas klubben direkt.

3. Sekretess och säkerhet (art. 32)

• Endast behörig personal (i dag plattformsadministratören) har åtkomst, med tystnadsplikt. Åtkomst ”som användare” för support loggas.
• HTTPS för all trafik, behörighetsregler per rad i databasen (row-level security), privat fillagring för foton, lösenord som hash.
• Data lagras i EU (Supabase, Irland; serverfunktioner i Vercel Dublin).

4. Underbiträden

Klubben godkänner följande underbiträden:

• Supabase Inc. – databas, inloggning, fillagring (EU, Irland).
• Vercel Inc. – drift (serverfunktioner i Dublin; amerikanskt bolag, EU–US Data Privacy Framework/standardavtalsklausuler).
• Resend Inc. – e-post, när det aktiveras (standardavtalsklausuler).
• Google – endast om en användare själv väljer Google-inloggning.

Biträdet meddelar klubben minst 30 dagar innan ett nytt underbiträde anlitas, via e-post till klubbens ägare eller i tjänsten. Klubben kan invända och har då rätt att avsluta tjänsten. Biträdet ansvarar för att underbiträden har motsvarande skyldigheter.

5. Hjälp till klubben

• Registrerades rättigheter: tjänsten har export, rättelse och radering. Biträdet hjälper i övrigt klubben att besvara begäran och vidarebefordrar begäran som kommer direkt till biträdet.
• Biträdet hjälper klubben med konsekvensbedömning och förhandssamråd vid behov.

6. Personuppgiftsincidenter

Biträdet underrättar klubben utan onödigt dröjsmål, och senast inom 48 timmar efter att ha upptäckt en incident som rör klubbens uppgifter, med den information klubben behöver för att kunna anmäla till IMY inom 72 timmar.

7. När avtalet upphör

Klubben kan när som helst exportera sina uppgifter. När klubben avslutar tjänsten (raderar klubben eller sina idrottare) raderas uppgifterna direkt ur databasen och foton inom ett dygn. Säkerhetskopior finns inte i dag; om de införs försvinner uppgifterna ur dem inom 7 dagar.

8. Granskning

Biträdet ger klubben den information som behövs för att visa att skyldigheterna i art. 28 följs, bl.a. denna sida, registerförteckning över behandlingarna och säkerhetsåtgärderna, och medverkar vid rimliga granskningar efter förvarning.

9. Klubbens ansvar

• Klubben ansvarar för att ha rätt att lägga in idrottarna (t.ex. medlemskap) och för att informera idrottare och vårdnadshavare. Bekräftelsen när en idrottare läggs till sparas.
• Klubben ger behörighet bara till de ledare som behöver den.