Personuppgiftsbiträdesavtal

1. Parter och avtalets syfte

Detta personuppgiftsbiträdesavtal ("Avtalet") ingås mellan den förening som anges i Lagio när Avtalet godkänns ("Föreningen") och Axel Ingo AB, org.nr 559392-0761, som tillhandahåller tjänsten Lagio ("Lagio").

Föreningen är personuppgiftsansvarig för de personuppgifter som Föreningen och dess medlemmar för in i Lagio. Lagio är personuppgiftsbiträde och behandlar uppgifterna för Föreningens räkning.

Avtalet uppfyller kraven i artikel 28.3 i dataskyddsförordningen (EU) 2016/679 ("GDPR") och kompletterar Lagios användarvillkor.

Avtalet ingås digitalt när en person med ägarroll för Föreningen i Lagio godkänner det. Personen intygar då att hen har behörighet att ingå avtal för Föreningens räkning. Lagio sparar vilken version som godkändes och när, och vilket konto som godkände den så länge kontot finns kvar.

2. Definitioner

Begrepp som personuppgifter, behandling, personuppgiftsansvarig, personuppgiftsbiträde, registrerad och personuppgiftsincident har samma betydelse som i GDPR.

• "Tjänsten": Lagio, med app, webbplats och den e-post som skickas från Lagio.
• "Underbiträde": ett företag som Lagio anlitar och som behandlar personuppgifter för Föreningens räkning.

3. Behandlingens föremål, art, ändamål och varaktighet

Lagio behandlar personuppgifter för att tillhandahålla Tjänsten till Föreningen. Vilka registrerade, vilka uppgifter och vilka behandlingar det gäller framgår av Bilaga 1.

Lagio behandlar inte uppgifterna för egna ändamål, utöver det som anges i punkt 14.

Behandlingen pågår så länge Föreningen använder Tjänsten och därefter till dess att uppgifterna har raderats enligt punkt 12.

4. Föreningens ansvar

• Föreningen ansvarar för att behandlingen har en rättslig grund och för att de registrerade, till exempel medlemmar och vårdnadshavare, får information om den.
• Föreningen ser till att uppgifter om barn under 13 år förs in av en vuxen, i enlighet med Lagios användarvillkor.
• Föreningen för inte in känsliga personuppgifter (artikel 9 GDPR), till exempel uppgifter om hälsa, i fritextfält i Tjänsten.
• Föreningen bestämmer vilka personer som får roller och behörigheter i Tjänsten och ansvarar för att de används rätt.
• Föreningens instruktioner till Lagio ska vara förenliga med GDPR.

5. Instruktioner

Lagio behandlar personuppgifterna endast enligt Föreningens dokumenterade instruktioner. Avtalet, användarvillkoren och de val Föreningen gör i Tjänsten utgör Föreningens instruktioner.

Lagio informerar Föreningen utan dröjsmål om Lagio anser att en instruktion strider mot GDPR eller annan dataskyddslagstiftning.

Om lag kräver att Lagio behandlar uppgifterna på annat sätt informerar Lagio Föreningen om det innan behandlingen, om inte lagen förbjuder det.

6. Sekretess

Lagio ser till att de personer som har behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt.

Åtkomst till personuppgifterna ges bara i den utsträckning som behövs för drift, support och felsökning.

7. Säkerhet

Lagio vidtar de tekniska och organisatoriska åtgärder som krävs enligt artikel 32 GDPR. Åtgärderna beskrivs i Bilaga 2.

Lagio ser regelbundet över åtgärderna och får förbättra dem, men inte sänka skyddsnivån.

8. Underbiträden

Föreningen ger Lagio ett allmänt förhandstillstånd att anlita Underbiträden. De Underbiträden som används när Avtalet ingås anges i Bilaga 3.

Lagio meddelar Föreningens ägare och administratörer via e-post minst 30 dagar innan ett Underbiträde läggs till eller byts ut. Föreningen kan invända inom den tiden. Kommer parterna inte överens får Föreningen säga upp Avtalet och avsluta användningen av Tjänsten.

Lagio ålägger genom avtal varje Underbiträde samma skyldigheter i fråga om dataskydd som gäller för Lagio enligt detta Avtal. Lagio ansvarar gentemot Föreningen för Underbiträdets behandling.

9. Överföring till tredje land

Föreningens uppgifter lagras i databasen inom EU (Irland).

Överföring till ett land utanför EU/EES sker endast om det finns skyddsåtgärder enligt kapitel V GDPR, till exempel EU-kommissionens standardavtalsklausuler eller ett beslut om adekvat skyddsnivå. Bilaga 3 anger vilka Underbiträden detta gäller.

10. Bistånd till Föreningen

• Lagio hjälper Föreningen att besvara begäranden från registrerade, till exempel om tillgång, rättelse och radering. Tjänsten har funktioner för detta, bland annat dataexport och radering av konto och medlemskap.
• Om en registrerad vänder sig direkt till Lagio hänvisar Lagio personen till Föreningen, om inte begäran gäller Lagios egen behandling enligt punkt 14.
• Lagio hjälper Föreningen med säkerhet, incidenthantering, konsekvensbedömningar och förhandssamråd (artiklarna 32 till 36 GDPR), med hänsyn till behandlingens art och den information Lagio har tillgång till.

11. Personuppgiftsincidenter

Lagio underrättar Föreningens ägare och administratörer via e-post utan onödigt dröjsmål, och senast 48 timmar efter att Lagio fått kännedom om en personuppgiftsincident som rör Föreningens uppgifter.

Underrättelsen beskriver i den mån det är möjligt vad som har hänt, vilka kategorier och ungefär hur många registrerade och uppgifter som berörs, de troliga konsekvenserna och vilka åtgärder som vidtagits eller föreslås. Information som inte finns tillgänglig direkt lämnas så snart den finns.

12. När Föreningen slutar använda Tjänsten

Föreningen kan när som helst exportera medlemslistan i Tjänsten och begära en fullständig export av sina uppgifter från Lagio.

När Föreningen avslutar sin användning raderar eller anonymiserar Lagio Föreningens personuppgifter inom 90 dagar, om inte lag kräver att de sparas längre, till exempel bokföringsunderlag. Uppgifter i databasleverantörens säkerhetskopior skrivs över enligt leverantörens rutin.

Lagio bekräftar raderingen skriftligt om Föreningen begär det.

13. Information och granskning

Lagio ger Föreningen den information som behövs för att visa att skyldigheterna i Avtalet och i artikel 28 GDPR uppfylls.

Föreningen får granska Lagios efterlevnad, i första hand genom att begära skriftlig dokumentation. En granskning på plats får göras högst en gång per år, med minst 30 dagars varsel, under kontorstid och på Föreningens bekostnad, utan att andra kunders uppgifter röjs. Granskningen får också göras av en oberoende granskare som är bunden av tystnadsplikt.

14. Lagios egen behandling

För följande behandlingar är Lagio själv personuppgiftsansvarig och inte biträde. De styrs av Lagios integritetspolicy och inte av detta Avtal:

• Användarkonton (inloggning, e-post och säkerhet) för användarnas egen räkning.
• Fakturering och kundrelationen med Föreningen.
• Säkerhet och skydd mot missbruk av Tjänsten.
• Anonym användningsstatistik, enligt nedan.

Anonym användningsstatistik

Föreningen godkänner att Lagio tar fram anonym statistik över hur Tjänsten används, för att förbättra Tjänsten och ge support. Statistiken saknar koppling till förening, lag, roll eller person och kan inte användas för att identifiera någon. Varje användare kan stänga av den i sin profil.

15. Ansvar

Parternas ansvar gentemot registrerade följer av artikel 82 GDPR.

I övrigt gäller ansvarsbegränsningen i Lagios användarvillkor, punkt 12, även för detta Avtal, utom vid grov vårdslöshet, uppsåt eller där tvingande lag inte tillåter en begränsning.

16. Avtalstid, ändringar och företräde

Avtalet gäller från godkännandet och så länge Lagio behandlar personuppgifter för Föreningens räkning.

Lagio får uppdatera Avtalet, till exempel när lagstiftningen eller Tjänsten ändras. Lagio meddelar en ny version till Föreningens ägare via e-post minst 30 dagar i förväg och visar den för godkännande i Tjänsten.

En ny version gäller från det att Föreningen har godkänt den. Till dess gäller den tidigare versionen, i den mån den är förenlig med lag.

Bilagorna är en del av Avtalet. Om Avtalet och användarvillkoren skiljer sig åt i frågor om personuppgifter gäller Avtalet.

17. Tillämplig lag och tvister

Svensk lag gäller för Avtalet. Tvister löses enligt Lagios användarvillkor, punkt 14.

Bilaga 1. Beskrivning av behandlingen

Ändamål

Att tillhandahålla Tjänsten till Föreningen: medlems- och lagregister, kallelser och svar, närvaro, kommunikation och avgifter.

Kategorier av registrerade

• Föreningens medlemmar och spelare, även barn
• Vårdnadshavare
• Tränare, ledare, administratörer och ägare i Föreningen
• Personer som bjuds in till Föreningen men ännu inte har gått med

Kategorier av personuppgifter

• Kontaktuppgifter: namn, e-postadress och telefonnummer
• Profilbild, om användaren laddar upp en
• Föreningsuppgifter: roller och medlemskap i lag och förening
• Aktiviteter: kallelser, svar, närvaro och kommentarer
• Avgifter: belopp, betalningsstatus och betalsätt (kortuppgifter hanteras av betalleverantören, aldrig av Lagio)
• Kommunikation: inbjudningar, nyheter, notiser och e-postloggar
• Teknisk data: inloggningstider och felloggar

Känsliga personuppgifter

Inga. Tjänsten är inte avsedd för känsliga personuppgifter enligt artikel 9 GDPR.

Behandlingar

Lagring, strukturering, visning, sändning av kallelser, påminnelser och e-post, sammanställning av närvaro och statistik för Föreningen, export och radering.

Varaktighet och lagringstid

Under avtalstiden enligt punkt 16 och därefter till radering enligt punkt 12. Lagringstider för enskilda uppgifter framgår av Lagios integritetspolicy, punkt 6.

Bilaga 2. Säkerhetsåtgärder

• Kryptering på kolumnnivå av känsliga personuppgifter (namn, telefonnummer och e-post i inbjudningar), med nycklar åtskilda från datan, utöver leverantörens volymkryptering
• Åtkomststyrning på radnivå i databasen, så att varje användare bara ser det hen har behörighet till
• HTTPS/TLS för all trafik
• Lösenord hashade enligt branschstandard
• Databasen ligger inom EU (Irland)
• Begränsad och loggad åtkomst för drift

Bilaga 3. Underbiträden

Underbiträdena när Avtalet ingås listas nedan. Den aktuella listan finns alltid i Lagios integritetspolicy, punkt 5.