Personuppgiftsbiträdesavtal för Competely
Senast uppdaterad: [18-06-26]
Version: 1.0
Detta personuppgiftsbiträdesavtal utgör en bilaga till användarvillkoren för Competely och gäller när en kund
använder Competely för att behandla personuppgifter för vilka kunden är personuppgiftsansvarig.

1. Parter
   Detta personuppgiftsbiträdesavtal gäller mellan:
   Personuppgiftsansvarig:
   Den kund, arrangör, organisation eller juridiska person som använder Competely för att skapa, administrera eller
   genomföra tävlingar, event, deltagarregistreringar, leadinsamling eller resultathantering.
   Personuppgiftsbiträde:
   Didgeridoo Event & Aktivitet AB, org.nr 556875-2231, Elverslösavägen 29, 395 90 Kalmar, som tillhandahåller
   tjänsten Competely.
   I detta avtal benämns den personuppgiftsansvarige även som “kunden” och personuppgiftsbiträdet även som
   “Didgeridoo”, “Competely”, “vi” eller “oss”.
2. Bakgrund och syfte
   Kunden använder Competely för att skapa och administrera tävlingar, event, deltagarregistreringar, resultat,
   leaderboards och eventuell export av eventdata eller leads.
   När kunden samlar in eller behandlar personuppgifter om deltagare, lag, kontaktpersoner eller andra personer via
   Competely är kunden normalt personuppgiftsansvarig för behandlingen. Didgeridoo Event & Aktivitet AB behandlar
   då personuppgifterna som personuppgiftsbiträde för kundens räkning.
   Syftet med detta avtal är att reglera hur Didgeridoo Event & Aktivitet AB får behandla personuppgifter för kundens
   räkning i enlighet med dataskyddsförordningen, GDPR.
3. Avtalets omfattning
   Detta avtal gäller för all behandling av personuppgifter som Didgeridoo Event & Aktivitet AB utför för kundens
   räkning inom ramen för Competely.
   Avtalet omfattar inte personuppgifter där Didgeridoo Event & Aktivitet AB själv är personuppgiftsansvarig,
   exempelvis behandling av kundens kontouppgifter, fakturering, betalningshantering, supportärenden,
   driftkommunikation och administration av kundrelationen. Sådan behandling beskrivs i Competelys
   integritetspolicy.
4. Kundens ansvar
   Kunden ansvarar för att:
    ha laglig grund för den behandling av personuppgifter som sker via Competely,
    informera deltagare och andra registrerade om behandlingen,
    endast samla in personuppgifter som är nödvändiga för det aktuella eventet eller tävlingen,
    säkerställa att personuppgifter som läggs in i Competely är korrekta och relevanta,
    inte samla in känsliga personuppgifter om det inte finns tydlig laglig grund och särskilda skyddsåtgärder,
    hantera exporterad data från Competely på ett lagligt och säkert sätt,
    lämna dokumenterade instruktioner till Didgeridoo Event & Aktivitet AB för behandlingen.
   Kundens instruktioner utgörs av detta avtal, användarvillkoren, kundens inställningar i Competely samt eventuella
   skriftliga instruktioner som parterna särskilt kommer överens om.
5. Personuppgiftsbiträdets ansvar
   Didgeridoo Event & Aktivitet AB får endast behandla personuppgifter enligt kundens dokumenterade instruktioner,
   om inte behandling krävs enligt lag.
   Didgeridoo Event & Aktivitet AB ska:
    behandla personuppgifter endast för att tillhandahålla Competely,
    inte använda personuppgifter för egna ändamål,
    vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder,
    säkerställa att personer som har åtkomst till personuppgifter omfattas av sekretess,
    bistå kunden vid hantering av registrerades rättigheter,
    bistå kunden vid personuppgiftsincidenter,
    bistå kunden med information som krävs för att visa efterlevnad av detta avtal,
    radera eller återlämna personuppgifter enligt detta avtal när tjänsten upphör.
6. Behandlingens föremål, art och ändamål
   Behandlingen avser drift och tillhandahållande av Competely.
   Behandlingen kan omfatta:
    lagring av deltagaruppgifter,
    registrering och visning av tävlingsresultat,
    skapande och visning av leaderboards,
    hantering av tävlingar, aktiviteter, lag och deltagare,
    export av eventdata, resultat eller leads,
    autentisering och åtkomstkontroll,
    teknisk drift, säkerhet, felsökning och support,
    säkerhetskopiering och loggning.
   Ändamålet är att kunden ska kunna skapa, administrera och genomföra tävlingar och event via Competely.
7. Kategorier av registrerade
   De registrerade kan vara:
    deltagare i tävlingar eller event,
    lagmedlemmar eller lagledare,
    kontaktpersoner hos kunden,
    administratörer hos kunden,
    personer som förekommer i uppladdade bilder eller annat eventmaterial,
    personer vars uppgifter anges i anpassade frågor eller fria textfält.
8. Kategorier av personuppgifter
   De personuppgifter som behandlas kan omfatta:
    namn,
    lagnamn eller lagnummer,
    företag eller organisation,
    e-postadress,
    telefonnummer,
    nationalitet,
    svar på anpassade frågor,

 tävlingsresultat,
 placeringar och poäng,
 bilder eller annat media som laddas upp,
 tekniska uppgifter såsom tidpunkt, loggar, IP-adress och enhetsinformation i den mån detta krävs för drift
och säkerhet.
Kunden ansvarar för att inte samla in känsliga personuppgifter, personnummer, uppgifter om hälsa, religiös
övertygelse, politiska åsikter, fackligt medlemskap, biometriska uppgifter eller andra särskilt skyddsvärda uppgifter
via Competely om detta inte uttryckligen har avtalats och är lagligt.

9. Behandlingens varaktighet
   Personuppgifter behandlas så länge kunden använder Competely och så länge uppgifterna behövs för att
   tillhandahålla tjänsten.
   Efter att kundens konto avslutats, eller efter att kunden begär radering, ska personuppgifter raderas eller
   anonymiseras inom skälig tid, om inte fortsatt lagring krävs enligt lag, för säkerhetskopiering, för att hantera
   rättsliga anspråk eller enligt annan överenskommelse med kunden.
   Uppgifter i säkerhetskopior kan finnas kvar under en begränsad period tills säkerhetskopior roteras eller skrivs
   över.
10. Säkerhetsåtgärder
    Didgeridoo Event & Aktivitet AB ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda
    personuppgifter mot obehörig åtkomst, förlust, förstöring, ändring eller otillåten behandling.
    Sådana åtgärder kan omfatta:
     behörighetsstyrning,
     autentisering för administratörer,
     krypterad överföring där det är tillämpligt,
     loggning av relevanta säkerhetshändelser,
     begränsad åtkomst till personuppgifter,
     säkerhetskopiering,
     rutiner för incidenthantering,
     användning av etablerade drift- och betalleverantörer,
     löpande tekniskt underhåll och säkerhetsuppdateringar.
    Säkerhetsnivån ska vara anpassad till behandlingens art, omfattning, sammanhang, ändamål och risk.
11. Sekretess
    Didgeridoo Event & Aktivitet AB ska säkerställa att anställda, konsulter och andra personer som har åtkomst till
    personuppgifter omfattas av sekretess eller motsvarande tystnadsplikt.
    Personuppgifter får inte lämnas ut till obehöriga, om inte kunden har instruerat detta eller utlämnande krävs enligt
    lag.
12. Underbiträden
    Kunden ger Didgeridoo Event & Aktivitet AB ett generellt skriftligt tillstånd att anlita underbiträden för att
    tillhandahålla Competely.
    Underbiträden kan exempelvis användas för:
     drift och databas,
     autentisering,
     betalning och fakturering,

 e-postutskick,
 support,
 loggning, säkerhet och teknisk övervakning.
Aktuella underbiträden anges i Bilaga 2 eller på en särskild sida som Didgeridoo Event & Aktivitet AB
tillhandahåller.
Didgeridoo Event & Aktivitet AB ska säkerställa att underbiträden omfattas av dataskyddsskyldigheter som i allt
väsentligt motsvarar skyldigheterna i detta avtal.
Om Didgeridoo Event & Aktivitet AB lägger till eller ersätter ett underbiträde ska kunden informeras på lämpligt sätt.
Kunden har rätt att invända mot förändringen om det finns sakliga dataskyddsskäl. Om parterna inte kan lösa
invändningen får kunden avsluta användningen av berörd tjänst.
Didgeridoo Event & Aktivitet AB ansvarar gentemot kunden för underbiträdens behandling av personuppgifter enligt
detta avtal.

13. Överföring utanför EU/EES
    Personuppgifter ska i första hand behandlas inom EU/EES när detta är möjligt.
    Om personuppgifter överförs till eller behandlas i ett land utanför EU/EES ska Didgeridoo Event & Aktivitet AB
    säkerställa att det finns en giltig överföringsmekanism enligt GDPR, exempelvis beslut om adekvat skyddsnivå,
    EU-kommissionens standardavtalsklausuler eller annan tillåten skyddsåtgärd.
    Kunden godkänner att sådana överföringar får ske i den mån det krävs för att tillhandahålla Competely och under
    förutsättning att GDPR:s krav uppfylls.
14. Registrerades rättigheter
    Didgeridoo Event & Aktivitet AB ska, med hänsyn till behandlingens art, bistå kunden med lämpliga tekniska och
    organisatoriska åtgärder för att kunden ska kunna fullgöra sina skyldigheter gentemot registrerade.
    Detta kan omfatta begäranden om:
     tillgång,
     rättelse,
     radering,
     begränsning av behandling,
     invändning,
     dataportabilitet.
    Om en registrerad kontaktar Didgeridoo Event & Aktivitet AB direkt i ett ärende där kunden är
    personuppgiftsansvarig, ska Didgeridoo Event & Aktivitet AB hänvisa personen till kunden eller vidarebefordra
    begäran till kunden, om det är lämpligt och möjligt.
15. Personuppgiftsincidenter
    Didgeridoo Event & Aktivitet AB ska utan onödigt dröjsmål informera kunden efter att ha fått kännedom om en
    personuppgiftsincident som rör personuppgifter som behandlas för kundens räkning.
    Informationen ska, i den mån den är tillgänglig, innehålla:
     incidentens art,
     vilka personuppgifter och registrerade som kan beröras,
     sannolika konsekvenser,
     åtgärder som har vidtagits eller planeras,
     kontaktpunkt för vidare information.

Kunden ansvarar för att bedöma om incidenten ska anmälas till tillsynsmyndighet eller meddelas till registrerade,
om inte annat följer av lag.

16. Revision och information
    Didgeridoo Event & Aktivitet AB ska göra tillgänglig sådan information som rimligen krävs för att visa att
    skyldigheterna enligt detta avtal följs.
    Kunden har rätt att begära information om behandlingen och säkerhetsåtgärderna. Revision eller granskning ska
    ske efter skriftlig begäran, med rimligt varsel och på ett sätt som inte äventyrar säkerheten, andra kunders uppgifter
    eller Didgeridoo Event & Aktivitet AB:s affärshemligheter.
    Om revision medför omfattande arbete för Didgeridoo Event & Aktivitet AB har Didgeridoo Event & Aktivitet AB rätt
    att ta ut skälig ersättning, om inget annat följer av tvingande lag.
17. Radering och återlämning
    När behandlingen avslutas ska Didgeridoo Event & Aktivitet AB, enligt kundens val, radera eller återlämna
    personuppgifter som behandlas för kundens räkning, om inte fortsatt lagring krävs enligt lag.
    Kunden kan själv exportera viss data från Competely enligt de funktioner som finns i tjänsten.
    Efter avslutat konto kan Didgeridoo Event & Aktivitet AB radera eller anonymisera kvarvarande personuppgifter
    efter skälig tid, med undantag för sådant som måste sparas enligt lag, säkerhetskopior under begränsad tid eller
    uppgifter som krävs för att hantera rättsliga anspråk.
18. Instruktioner som strider mot GDPR
    Om Didgeridoo Event & Aktivitet AB bedömer att en instruktion från kunden strider mot GDPR eller annan
    dataskyddslagstiftning ska Didgeridoo Event & Aktivitet AB informera kunden, om detta inte är förbjudet enligt lag.
    Didgeridoo Event & Aktivitet AB har rätt att avstå från att följa en instruktion som uppenbart strider mot
    dataskyddslagstiftning.
19. Ersättning för särskilt biträde
    Support och rimliga åtgärder som krävs för att uppfylla detta avtal ingår i tjänsten.
    Om kunden begär omfattande särskilda åtgärder, manuella exporter, specialanpassade revisioner, utredningar
    eller annat arbete utöver normal användning av Competely, har Didgeridoo Event & Aktivitet AB rätt att ta ut skälig
    ersättning, om inte annat följer av tvingande lag eller separat avtal.
20. Avtalstid
    Detta avtal gäller så länge Didgeridoo Event & Aktivitet AB behandlar personuppgifter för kundens räkning inom
    ramen för Competely.
    Avtalet upphör när all sådan behandling har avslutats och personuppgifterna har raderats, anonymiserats eller
    återlämnats enligt detta avtal.
21. Förhållande till övriga villkor
    Vid konflikt mellan detta personuppgiftsbiträdesavtal och Competelys användarvillkor ska detta
    personuppgiftsbiträdesavtal ha företräde i frågor som rör behandling av personuppgifter där kunden är
    personuppgiftsansvarig och Didgeridoo Event & Aktivitet AB är personuppgiftsbiträde.
22. Tillämplig lag
    Detta avtal ska tolkas enligt svensk rätt.
    Tvister ska hanteras enligt vad som anges i Competelys användarvillkor, om inget annat följer av tvingande lag.

Bilaga 1 – Instruktion för behandling

1. Ändamål
   Personuppgifter får behandlas för att tillhandahålla Competely och möjliggöra för kunden att skapa, administrera
   och genomföra tävlingar, event, deltagarregistreringar, resultatrapportering, leaderboards, export av eventdata och
   support.
2. Behandlingar
   Didgeridoo Event & Aktivitet AB får utföra följande behandlingar:
    samla in uppgifter genom kundens användning av tjänsten,
    lagra personuppgifter,
    visa personuppgifter i adminvyer, deltagarvyer och leaderboards enligt kundens inställningar,
    strukturera och sammanställa resultat,
    möjliggöra export av uppgifter,
    radera eller anonymisera uppgifter,
    säkerhetskopiera uppgifter,
    logga tekniska händelser för drift och säkerhet,
    felsöka och ge support.
3. Personuppgifter
   Behandlingen kan omfatta:
    namn,
    lagnamn,
    företag,
    e-postadress,
    telefonnummer,
    nationalitet,
    svar på frågor,
    resultat,
    placeringar,
    poäng,
    bilder eller media,
    tekniska loggar.
4. Registrerade
   Behandlingen kan omfatta:
    eventdeltagare,
    tävlingsdeltagare,
    lagledare,
    lagmedlemmar,
    administratörer,
    kontaktpersoner,
    personer som förekommer i uppladdat material.
5. Varaktighet

Behandlingen pågår så länge kunden använder Competely och så länge uppgifterna behövs för tjänsten, om inte
kunden begär radering tidigare eller fortsatt lagring krävs enligt lag.
Bilaga 2 – Underbiträden
Följande underbiträden kan användas för att tillhandahålla Competely:
Supabase
Ändamål: Drift, databas, autentisering, lagring och realtidsfunktioner.
Plats för behandling: [bekräfta region, exempelvis EU/EES om tillämpligt].
Kommentar: Används för teknisk drift av tjänsten.
Stripe
Ändamål: Betalningar, fakturering och abonnemangshantering.
Plats för behandling: [bekräfta].
Kommentar: Stripe behandlar normalt betalningsuppgifter och viss kund-/faktureringsinformation. Fullständiga
kortuppgifter lagras inte av Didgeridoo Event & Aktivitet AB.
Övriga leverantörer
Didgeridoo Event & Aktivitet AB kan använda ytterligare leverantörer för exempelvis e-post, support,
felrapportering, analys av teknisk drift, säkerhetsloggning eller hosting, under förutsättning att dessa omfattas av
lämpliga dataskyddsåtaganden.
En aktuell lista över underbiträden ska hållas tillgänglig för kunden.
Bilaga 3 – Säkerhetsåtgärder
Didgeridoo Event & Aktivitet AB ska tillämpa lämpliga säkerhetsåtgärder, exempelvis:
 begränsad åtkomst till personuppgifter,
 behörighetsstyrning,
 autentisering för administratörer,
 krypterad kommunikation där det är tillämpligt,
 rutiner för säker utveckling,
 rutiner för incidenthantering,
 säkerhetskopiering,
 användning av etablerade leverantörer,
 loggning av relevanta tekniska händelser,
 radering eller anonymisering när uppgifter inte längre behövs,
 interna rutiner för åtkomst, sekretess och support.
Säkerhetsåtgärderna kan utvecklas över tid i takt med att Competely utvecklas, under förutsättning att skyddsnivån
inte väsentligen försämras.