Personuppgiftsbiträdesavtal (mall)

Den ansvarige använder tjänsten FairRideGo för att samordna aktiviteter, närvaro och samåkning. Biträdet behandlar personuppgifter för den ansvariges räkning. Avtalet reglerar behandlingen enligt artikel 28 GDPR och gäller så länge tjänsten används.

Behandlingen omfattar lagring, strukturering, visning och radering av uppgifter i tjänsten. Kategorier av registrerade: vårdnadshavare, barn/spelare, lagledare och administratörer. Kategorier av uppgifter: namn, e-post, roll, telefonnummer, adress, lagtillhörighet, närvaro, resesätt, samåkningar, bokningar och betalningsmarkeringar.

Biträdet behandlar uppgifter endast enligt dokumenterade instruktioner från den ansvarige. Detta avtal och tjänstens funktioner utgör de fullständiga instruktionerna. Biträdet meddelar om en instruktion bedöms strida mot dataskyddslagstiftningen.

• Krypterad överföring (TLS) och krypterad lagring.
• Radnivåsäkerhet så att varje användare bara når sina egna och lagets uppgifter.
• Känsliga kontaktuppgifter i separat tabell med endast ägaråtkomst.
• Rollbaserad behörighet och loggning av administrativa åtgärder.
• Regelbundna säkerhetsgenomgångar och automatiska säkerhetskopior.

Biträdet säkerställer att personer med åtkomst till uppgifterna har åtagit sig tystnadsplikt och endast ges den åtkomst som krävs för arbetsuppgiften.

Den ansvarige ger generellt godkännande till underbiträden. Biträdet anlitar databashotell, e-postutskick och hostingleverantör inom EU/EES och ålägger dem samma skyldigheter. Vid byte av underbiträde informeras den ansvarige minst 30 dagar i förväg och har rätt att invända.

Personuppgifter behandlas inom EU/EES. Överföring till tredjeland sker inte utan att lagliga skyddsåtgärder finns på plats och den ansvarige informerats.

Tjänsten innehåller självbetjäning för utdrag och radering. Biträdet bistår i övrigt den ansvarige med lämpliga åtgärder vid begäran om registerutdrag, rättelse, radering, begränsning eller invändning, och vidarebefordrar begäran som kommer direkt till biträdet.

Biträdet informerar den ansvarige utan onödigt dröjsmål, och senast inom 24 timmar från upptäckt, om en personuppgiftsincident samt bistår med information för anmälan enligt biträdets incidentrutin.

Biträdet tillhandahåller den information som krävs för att visa efterlevnad och medverkar vid revision, högst en gång per år eller efter en incident, med skälig framförhållning.

Resor, bokningar, aktiviteter, närvaro och notiser gallras automatiskt efter 24 månader. När avtalet upphör raderas eller återlämnas kvarvarande uppgifter inom 90 dagar, om inte lag kräver fortsatt lagring. Aggregerad, avidentifierad statistik får fortsatt användas.

Ansvar följer artikel 82 GDPR. Ändringar ska vara skriftliga och undertecknade av båda parter. Vid konflikt med huvudavtalet gäller detta avtal i frågor om personuppgifter.