Personuppgifts­biträdes­avtal

1. Parter och när avtalet ingås

Avtalet ingås mellan den personuppgiftsansvarige och Fjällklar AB ("vi") när den personuppgiftsansvarige godkänner det i Tjänsten. Det sker när en grupp skapas, eller första gången uppgifter om någon annan läggs till: en deltagare, en gruppmedlem, en person i turens personal eller en vårdnadshavare.

• Grupp: gruppen är personuppgiftsansvarig. En administratör i gruppen godkänner Avtalet för gruppens räkning och intygar att hen har rätt att göra det. Gruppens övriga medlemmar lägger sedan till uppgifter under det godkännandet.
• Personlig tur: turens ansvariga ledare är personuppgiftsansvarig och godkänner Avtalet för egen del.

Vi sparar vem som godkände avtalet, när det godkändes och vilken version som godkändes. Behöver ni ett undertecknat exemplar av Avtalet, kontakta oss på dataskydd@fjallklar.se.

Planerar du en tur helt privat, till exempel med vänner, omfattas behandlingen normalt inte av dataskyddsförordningen. Avtalet gäller ändå mellan oss, så att uppgifterna skyddas på samma sätt.

2. Vad Avtalet omfattar

2.1 Ändamål

Vi behandlar personuppgifterna för att tillhandahålla Tjänsten åt den personuppgiftsansvarige: att planera, genomföra och följa upp turer, hantera deltagare, kommunicera med dem och ha en säkerhets- och krisberedskap under turen.

2.2 Registrerade

Deltagare (även minderåriga), deras vårdnadshavare och anhöriga, gruppens medlemmar och turens personal.

2.3 Kategorier av personuppgifter

• Kontaktuppgifter: namn, e-postadress och telefonnummer.
• Uppgifter om deltagandet: roll på turen, samtycken och kvitteringar av dokument, packlistor, kostbehov och allergier som påverkar måltiderna, erfarenhetsprofiler och svar på utvärderingar.
• Uppgifter om vårdnadshavare och anhöriga: namn, kontaktuppgifter och relation till deltagaren.
• Hälsouppgifter i hälsodeklarationer och incidentrapporter. Det är känsliga personuppgifter enligt artikel 9 i dataskyddsförordningen.
• Positioner när livespårning används under en tur.

2.4 Vad Avtalet inte omfattar

Avtalet omfattar inte de uppgifter vi behandlar som personuppgiftsansvarig för egen räkning, till exempel kontouppgifter, betalningar och säkerhetsloggar. Den behandlingen beskrivs i integritetspolicyn.

3. Instruktioner

Vi behandlar personuppgifterna endast enligt den personuppgiftsansvariges dokumenterade instruktioner, om inte lagstiftning inom EU eller Sverige kräver något annat. I så fall informerar vi den personuppgiftsansvarige innan behandlingen sker, om lagen inte förbjuder det. Instruktionerna är detta Avtal, användarvillkoren och de val den personuppgiftsansvarige gör i Tjänsten. Om en instruktion enligt vår bedömning strider mot dataskyddsförordningen säger vi till direkt.

4. Våra skyldigheter

4.1 Sekretess

Den som arbetar med Tjänsten hos oss har tystnadsplikt och får bara ta del av personuppgifterna i den utsträckning arbetet kräver.

4.2 Säkerhet

Vi vidtar tekniska och organisatoriska åtgärder enligt artikel 32 i dataskyddsförordningen. Bland annat:

• All trafik till och från Tjänsten är krypterad.
• Behörigheter styrs per roll, så att den som saknar en roll på turen eller i gruppen inte kommer åt uppgifterna.
• Hälsouppgifter lagras krypterade och kan bara läsas av turens ansvariga ledare och säkerhetsansvariga. Varje läsning av dem loggas.
• Hälsodeklarationer raderas automatiskt 10 dagar efter turens avslut.

4.3 Registrerades rättigheter

Vi hjälper den personuppgiftsansvarige att besvara begäranden från registrerade, i första hand genom funktionerna i Tjänsten för att ändra och ta bort uppgifter. En begäran som kommer direkt till oss lämnar vi vidare till den personuppgiftsansvarige.

4.4 Personuppgiftsincidenter

Vi underrättar den personuppgiftsansvarige utan onödigt dröjsmål efter att vi fått kännedom om en personuppgiftsincident som rör den personuppgiftsansvariges uppgifter, med den information som behövs för att den personuppgiftsansvarige ska kunna anmäla incidenten och informera de registrerade.

4.5 Övrig hjälp

Vi hjälper den personuppgiftsansvarige med konsekvensbedömningar och förhandssamråd enligt artikel 35 och 36, utifrån den information vi har.

5. Underbiträden

Den personuppgiftsansvarige ger genom Avtalet ett allmänt förhandstillstånd till att vi anlitar underbiträden. Kategorierna finns på förteckningen över underbiträden. Varje underbiträde är bundet av samma skyldigheter som vi enligt detta Avtal. Vi meddelar i förväg, via e-post till gruppens ägare eller kontoinnehavaren, innan vi lägger till eller byter ett underbiträde, så att den personuppgiftsansvarige kan invända. Går invändningen inte att lösa får den personuppgiftsansvarige säga upp Avtalet.

6. Var uppgifterna behandlas

Personuppgifterna behandlas inom EU/EES. Om de någon gång behöver föras över utanför EU/EES sker det bara med stöd av kapitel V i dataskyddsförordningen och efter förhandsbesked enligt avsnitt 5.

7. Granskning

Vi ger den personuppgiftsansvarige den information som behövs för att visa att skyldigheterna i artikel 28 fullgörs, och möjliggör granskningar. En granskning aviseras skriftligen i rimlig tid i förväg, genomförs så att den inte stör driften eller röjer andra kunders uppgifter och bekostas av den personuppgiftsansvarige.

8. När Avtalet upphör

Avtalet gäller så länge den personuppgiftsansvarige har uppgifter om andra i Tjänsten. När en grupp raderas, eller när kontot bakom en personlig tur raderas, raderas uppgifterna på det sätt som beskrivs i integritetspolicyn. En arkiverad grupp sparas i sex månader innan den raderas permanent. Innan dess kan den personuppgiftsansvarige själv ta bort uppgifterna i Tjänsten eller begära ut dem från oss. Uppgifter som lag kräver att vi sparar raderas när den skyldigheten upphör.

9. Ansvar

Vardera parten ansvarar för sina egna skyldigheter enligt dataskyddsförordningen. I övrigt gäller ansvarsreglerna i användarvillkoren. Om Avtalet och användarvillkoren säger olika saker om behandlingen av personuppgifter gäller Avtalet.

10. Ändringar

Vi kan uppdatera Avtalet. En ny version gäller när den har godkänts: nästa gång den personuppgiftsansvarige lägger till uppgifter om någon annan visas den nya versionen, och den behöver godkännas innan uppgifterna kan läggas till.

11. Tillämplig lag och tvister

Avtalet regleras av svensk lag. Tvister som inte kan lösas i samförstånd ska avgöras av svensk allmän domstol.

12. Kontakt

Fjällklar AB (org.nr 559588-8065)
Solna
Frågor om Avtalet: dataskydd@fjallklar.se