Personuppgiftsbiträdesavtal

1. Roller

Klubben är personuppgiftsansvarig och bestämmer ändamål och medel för behandlingen. Vi är personuppgiftsbiträde och behandlar personuppgifter endast för Klubbens räkning.

2. Behandlingens art och ändamål

Lagring av kunskapsbas, AI-baserad generering av svar på besökares frågor, lagring av chattkonversationer och inkorgsmeddelanden, statistik samt import av information från Klubbens hemsida.

Ändamålet är att tillhandahålla ClubIQ till Klubben under avtalstiden.

3. Kategorier av registrerade och uppgifter

Registrerade: Klubbens administratörer, medlemmar, föräldrar, ledare och besökare i chatten.

Uppgifter: namn, e-post, chattinnehåll, frivilligt lämnade kontaktuppgifter och teknisk information. Känsliga personuppgifter, personnummer och uppgifter om barn ska inte behandlas i tjänsten – Klubben ansvarar för att sådana uppgifter inte laddas upp.

4. Instruktioner

Vi behandlar personuppgifter endast enligt Klubbens dokumenterade instruktioner, som utgörs av detta Avtal, Användarvillkoren och Klubbens inställningar i tjänsten. Om en instruktion strider mot dataskyddsreglerna informerar vi Klubben.

5. Sekretess

Personer som behandlar uppgifterna hos oss omfattas av tystnadsplikt. Systemets ägare kan inte läsa klubbars kunskapsbas eller konversationer via administrationsverktygen.

6. Säkerhetsåtgärder

Vi vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32, bl.a. strikt åtskillnad mellan klubbar med behörighetsregler i databasen, krypterad överföring, behörighetsstyrd åtkomst, missbruksskydd och säkerhetskopiering.

7. Underbiträden

Klubben ger ett allmänt förhandsgodkännande till att vi anlitar underbiträden. Nuvarande underbiträden: Supabase (databas och inloggning), Cloudflare (drift och nätverk), Lovable med anslutna AI-modellleverantörer (drift och AI-behandling). Vi informerar om planerade ändringar och Klubben har rätt att invända.

Vi ålägger underbiträden motsvarande skyldigheter. Överföring utanför EU/EES sker endast med lämpliga skyddsåtgärder enligt kapitel V i GDPR.

8. Bistånd och personuppgiftsincidenter

Vi bistår Klubben med att besvara begäranden från registrerade och med konsekvensbedömningar i den mån det är rimligt.

Vi underrättar Klubben utan onödigt dröjsmål efter att vi fått kännedom om en personuppgiftsincident.

9. Revision

Klubben har rätt att, efter skriftlig begäran med rimligt varsel, kontrollera att vi följer Avtalet genom att ta del av relevant dokumentation eller genom revision av en oberoende granskare. Klubben står för sina egna kostnader.

10. Radering och återlämnande

När avtalet upphör raderar vi Klubbens personuppgifter inom 30 dagar, eller återlämnar dem på Klubbens begäran, om inte lag kräver fortsatt lagring.

11. Ansvar

Ansvar för skada till följd av behandlingen fördelas enligt artikel 82 i GDPR. I övrigt gäller ansvarsbegränsningen i Användarvillkoren.

12. Giltighet

Avtalet gäller så länge vi behandlar personuppgifter för Klubbens räkning.