Personuppgiftsbiträdesavtal (DPA)

1. Bakgrund och Syfte

Detta avtal reglerar Biträdets behandling av personuppgifter för den Ansvariges räkning i samband med tillhandahållandet av boknings-, schema- och medlemshanteringssystemet ForTime.

Avtalet har upprättats för att uppfylla de lagstadgade kraven enligt Artikel 28.3 i Europaparlamentets och rådets förordning (EU) 2016/679 (GDPR).

2. Behandlingens art och ändamål

Biträdet behandlar endast personuppgifter i enlighet med den Ansvariges dokumenterade instruktioner och endast för följande ändamål:

• Administration av träningsklasser, bokningar och väntelistor.
• Medlemshantering, klippkort, passerkontroll och behörigheter.
• Generering av lagstadgade kvitton och friskvårdsunderlag för Skatteverket och förmånsportaler.
• Teknisk support, felsökning och säkerhetskopiering på uppdrag av den Ansvarige.

3. Kategorier av registrerade och personuppgifter

Kategorier av registrerade: Den Ansvariges medlemmar, kunder, tränare, administratörer och besökare.

Kategorier av personuppgifter: Namn, kontaktuppgifter (e-post, telefon), personnummer (för friskvårdskvitto och fakturering), träningsnärvaro, betalningsreferenser samt eventuella digitalt signerade ansvarsfriskrivningar (waivers).

4. Säkerhetsåtgärder och Sekretess

Biträdet vidtar alla lämpliga tekniska och organisatoriska åtgärder som krävs enligt Artikel 32 GDPR för att skydda personuppgifterna mot oavsiktlig eller olaglig förstörelse, förlust, ändring eller obehörig åtkomst:

• All dataöverföring sker krypterad via modern TLS/HTTPS.
• Databaser och säkerhetskopior är krypterade i vila (at rest).
• Strikt rollbaserad behörighetsstyrning och loggning av administrativa åtgärder.
• Automatisk daglig säkerhetskopiering till redundanta lagringsenheter inom Sverige/EU.

5. Underbiträden

Den Ansvarige ger härmed ett generellt förhandstillstånd för Biträdet att anlita följande underbiträden för drift och infrastruktur:

• Inleed (Sverige): Serverdrift och databashosting i svenska datacenter.
• Stripe / Klarna: Betalningsförmedling och transaktionshantering (endast om aktiverat av den Ansvarige).
• Resend / Mailgun: Transaktionell e-post (bokningsbekräftelser och kvitton).

Biträdet ansvarar för att underbiträden är bundna av motsvarande dataskyddsskyldigheter som i detta avtal.

6. Personuppgiftsincidenter

Vid kännedom om en personuppgiftsincident som rör den Ansvariges data ska Biträdet underrätta den Ansvarige utan onödigt dröjsmål och bistå med nödvändig information för rapportering till Integritetsskyddsmyndigheten (IMY).

7. Radering och återlämnande av data

Vid avtalets upphörande har den Ansvarige rätt att exportera all Kunddata. Därefter ska Biträdet radera samtliga befintliga personuppgifter inom sextio (60) dagar, såvida inte svensk lagstiftning (t.ex. bokföringslagen) föreskriver fortsatt lagring.