Personuppgiftsbiträdesavtal

1.1 Parterna har ett avtal om Playsas tjänst enligt Villkor för anordnare ("huvudavtalet").

1.2 När Playsa levererar tjänsten behandlar Playsa personuppgifter för den ansvariges räkning. Det här avtalet reglerar den behandlingen.

1.3 Avtalet ingås elektroniskt när en administratör hos den ansvarige godkänner det i anspråket eller i portalen. Det gäller från att Playsa har godkänt anspråket, eller från godkännandet om anspråket redan är godkänt. Playsa sparar vem som godkände, när och vilken version som gällde.

1.4 Avtalet bygger på EU-kommissionens standardavtalsklausuler mellan personuppgiftsansvariga och personuppgiftsbiträden (genomförandebeslut (EU) 2021/915), förkortade och anpassade.

Begreppen personuppgifter, behandling, personuppgiftsansvarig, personuppgiftsbiträde, registrerad, personuppgiftsincident och tillsynsmyndighet har samma betydelse som i GDPR. Dessutom:

• Tjänsten: Playsas söksida och portal för anordnare, och de delar som läggs till enligt huvudavtalet.
• Underbiträde: den som Playsa anlitar och som behandlar personuppgifter som omfattas av avtalet.
• Instruktion: den ansvariges dokumenterade instruktion enligt punkt 5.1.
• Dataskyddsreglerna: GDPR, lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och annan tillämplig dataskyddslagstiftning.

3.1 För de personuppgifter den ansvarige lägger in eller tar emot i tjänsten är den ansvarige personuppgiftsansvarig och Playsa biträde. I dag gäller det bokningar av prova-på och köanmälningar som har skickats till den ansvarige, köns poster, erbjudanden och avsteg, och den ansvariges foton. Behandlingen beskrivs i bilaga 1 och 2.

3.2 Playsa är själv personuppgiftsansvarig för söksidan, föräldrarnas familjekonton och de bokningar och köanmälningar som föräldrar gör, fram till att bokningen eller köanmälan har skickats till den ansvarige. Från den stunden är den ansvarige ansvarig för sin hantering av den, till exempel vem som får plats, och Playsa behandlar den som biträde enligt det här avtalet.

3.3 Playsa är också själv ansvarig för:

• a) den ansvariges användare och kontaktpersoner, deras inloggningar och faktureringen av abonnemanget,
• b) säkerhetsloggar och drift av plattformen, i den mån det krävs för att skydda tjänsten som helhet,
• c) rapporter om foton som lämnas med knappen vid fotot.

3.4 Playsa använder inte den ansvariges uppgifter för egna ändamål, till exempel marknadsföring eller profilering.

Den ansvarige ska:

• ha rättslig grund för varje behandling och informera de registrerade, också om att Playsa används,
• bara lägga in de personuppgifter som behövs,
• inte lägga in personnummer, hälsouppgifter eller andra känsliga uppgifter, inte heller i fritext,
• ge personer åtkomst med minsta möjliga behörighet och be Playsa ta bort den som inte längre ska ha åtkomst,
• skydda sina inloggningar och meddela Playsa direkt vid misstanke om obehörig åtkomst,
• för foton följa huvudavtalet punkt 10 a,
• göra en egen konsekvensbedömning när det krävs,
• se till att instruktionerna till Playsa följer dataskyddsreglerna.

5.1 Instruktioner

• Playsa behandlar personuppgifterna bara enligt den ansvariges dokumenterade instruktioner.
• Instruktionerna är det här avtalet med bilagor, huvudavtalet och de funktioner och inställningar den ansvarige väljer i tjänsten.
• Playsa får behandla uppgifterna utan instruktion bara när unionsrätt eller svensk rätt kräver det. Då informerar Playsa den ansvarige först, om lagen inte förbjuder det.
• Anser Playsa att en instruktion strider mot dataskyddsreglerna informerar Playsa den ansvarige omedelbart.

5.2 Sekretess

Playsa ser till att alla som behandlar uppgifterna har åtagit sig sekretess eller omfattas av lagstadgad tystnadsplikt, och att de bara får tillgång till det de behöver för sin uppgift.

5.3 Säkerhet

Playsa vidtar de tekniska och organisatoriska åtgärder som artikel 32 kräver. Åtgärderna står i bilaga 4. Playsa får ändra åtgärderna om skyddsnivån inte sänks.

5.4 Underbiträden

• Den ansvarige ger Playsa ett allmänt tillstånd att anlita underbiträden. De som anlitas i dag står i bilaga 3.
• Playsa informerar den ansvariges administratörer via e-post minst 30 dagar innan Playsa lägger till eller byter ut ett underbiträde.
• Den ansvarige kan invända inom 30 dagar med sakliga skäl. Hittar parterna ingen lösning kan den ansvarige säga upp huvudavtalet utan kostnad innan ändringen gäller.
• Playsa ingår skriftliga avtal med underbiträdena med samma skyldigheter som i det här avtalet.
• Playsa ansvarar mot den ansvarige för underbiträdenas arbete.

5.5 Överföring till tredje land

• Playsa för bara över personuppgifter till ett land utanför EU och EES med stöd av kapitel V i GDPR.
• Överföringarna och grunderna för dem står i bilaga 3. Grunderna är EU-kommissionens beslut (EU) 2023/1795 om EU-U.S. Data Privacy Framework för certifierade amerikanska mottagare, och standardavtalsklausuler enligt genomförandebeslut (EU) 2021/914.
• Playsa har bedömt överföringarnas konsekvenser för Supabase, Vercel och Sentry och visar bedömningarna för den ansvarige på begäran.
• Underkänns Data Privacy Framework, eller ändras förutsättningarna på annat sätt, informerar Playsa den ansvarige och vidtar åtgärder.

5.6 Hjälp med de registrerades rättigheter

• Playsa hjälper den ansvarige att visa, rätta, lämna ut och radera uppgifter om en registrerad, på begäran och utan kostnad.
• Får Playsa en begäran från en registrerad som gäller den ansvariges uppgifter skickar Playsa den vidare inom fem arbetsdagar. Playsa svarar inte själv om inte den ansvarige instruerat det.
• Playsa hjälper den ansvarige att svara inom den tid GDPR kräver.

5.7 Annan hjälp

Playsa hjälper den ansvarige med säkerhet, personuppgiftsincidenter, konsekvensbedömningar och förhandssamråd enligt artikel 32 till 36, med hänsyn till behandlingens art och den information Playsa har. Playsas konsekvensbedömning får användas som underlag och lämnas på begäran.

5.8 Personuppgiftsincidenter

Playsa underrättar den ansvarige utan onödigt dröjsmål och senast 24 timmar efter att Playsa fått kännedom om en personuppgiftsincident som rör uppgifter Playsa behandlar åt den ansvarige. Tider och innehåll står i bilaga 6. Den ansvarige bedömer om incidenten ska anmälas till IMY och om de registrerade ska informeras. Playsa hjälper till.

5.9 Radering och återlämnande

När huvudavtalet upphör lämnar Playsa ut och raderar uppgifterna enligt bilaga 8.

5.10 Granskning

Playsa ger den ansvarige den information som behövs för att visa att artikel 28 följs, och möjliggör granskningar enligt bilaga 7.

5.11 Register och kontakt med IMY

• Playsa för register över behandlingar enligt artikel 30.2.
• Playsa samarbetar med IMY på begäran.
• Kontaktar IMY Playsa om den ansvariges behandling informerar Playsa den ansvarige, om det är tillåtet.

5.12 Begäran från myndigheter

Begär en myndighet, också i ett land utanför EU, att få ut uppgifter hänvisar Playsa till den ansvarige om det går. Playsa prövar begäran, lämnar bara ut det som lagen kräver och informerar den ansvarige om det inte är förbjudet.

5.13 Offentliga anordnare

Är den ansvarige en kommun eller en annan myndighet gäller också:

• Playsa hjälper till när den ansvarige ska lämna ut allmänna handlingar, bevara uppgifter enligt arkivregler eller pröva sekretess.
• Playsa behandlar uppgifterna bara för teknisk bearbetning och lagring enligt avtalet.

Playsas arbete enligt avtalet ingår i priset enligt huvudavtalet. Granskningar på plats enligt bilaga 7 ersätts efter överenskommelse.

• Parternas ansvar mot de registrerade följer artikel 82 GDPR.
• Mellan parterna ansvarar var och en för skada som beror på egna brott mot avtalet eller mot dataskyddsreglerna.
• En sanktionsavgift bärs av den part som avgiften riktas mot.
• Ansvarsbegränsningen i huvudavtalet punkt 15 gäller också det här avtalet.

Avtalet gäller så länge huvudavtalet gäller och därefter så länge Playsa behandlar uppgifter för den ansvariges räkning.

• Playsa meddelar ändringar via e-post till den ansvariges administratörer minst 30 dagar innan de gäller. En ändring godkänns i portalen.
• Bilaga 3 ändras enligt punkt 5.4.
• Kräver ändrad lag eller ett myndighetsbeslut en ändring ska parterna förhandla i god tro.

Vid motstrid gäller det här avtalet före huvudavtalet i frågor om personuppgifter. Standardavtalsklausuler som parterna ingår gäller före båda.

Svensk lag gäller. Tvister prövas av allmän domstol med Malmö tingsrätt som första instans.

Bilagor:

1. Behandlingen
2. Kategorier av registrerade och personuppgifter
3. Underbiträden och överföringar
4. Säkerhetsåtgärder
5. Lagring och gallring
6. Incidenthantering med tidsfrister
7. Granskning och revision
8. Upphörande och kopia av uppgifterna
9. Kontaktpersoner

Tjänstens delar och vad Playsa gör i dem:

• Prova-på: tar emot bokningar på den ansvariges tillfällen, räknar platserna och visar bokningarna för den ansvariges administratörer och kansli.
• Kö: håller köns poster i ordning efter tidpunkten och gruppens förtursregler, skickar erbjudanden och påminnelser, för avsteg med skäl och visar kön för den ansvariges administratörer och kansli.
• Larm och påminnelser: mejlar den ansvariges administratörer och kansli när kö och ledig plats finns samtidigt, när ett ja väntar på besked och när platsstatusen är gammal. Larmen innehåller antal, aldrig namn.
• Foton, när funktionen öppnar: lagrar, kodar om och visar den ansvariges foton på söksidan och i Playsas appar, döljer foton efter en rapport och tar bort dem, enligt huvudavtalet punkt 10 a.
• Support och felsökning: på den ansvariges begäran enligt bilaga 4, O6.

Nya delar läggs till enligt punkt 9.

Registrerade:

• barn som har bokats på prova-på eller står i kö hos den ansvarige,
• vårdnadshavare som har bokat prova-på eller ställt barnet i kö,
• personer som syns på den ansvariges foton.

Personuppgifter:

Tjänsten behandlar inga personnummer, hälsouppgifter eller andra känsliga uppgifter åt den ansvarige.

Underbiträden i bruk:

Planerade underbiträden, som inte används i dag och läggs till enligt punkt 5.4:

• GatewayAPI, ONLINECITY.IO ApS, Danmark: SMS. Uppgifterna i Tyskland med reserv i Finland. Ingen överföring utanför EU och EES.
• Expo, 650 Industries, Inc., USA: notiser i Playsas appar, levererade via Apple och Google.
• Stripe, Stripe Payments Europe, Limited, Irland: betalningar.
• Idura, Idura ApS, Danmark: BankID.

Tekniska åtgärder:

• T1 Isolering. Behörighet prövas i tjänstelagret vid varje anrop. Row Level Security i Postgres på varje tabell med den ansvariges uppgifter är andra försvarslinjen. En tabell utan policy är stängd.
• T2 Isoleringstester. En testsvit försöker läsa andra organisationers och andra familjers uppgifter. Ändringar förs inte in med röda tester.
• T3 Kryptering i vila och under överföring. Supabase krypterar databasen och säkerhetskopiorna med AES-256. Anslutningarna använder TLS, och databasen nekar anslutningar utan TLS.
• T4 Tvåfaktor. Alla som använder portalen loggar in med tvåfaktor. Det gör också Playsas personal i de system där uppgifterna finns.
• T5 Ändringslogg. Administrativa handlingar skrivs i en logg som inte kan ändras genom tjänsten: vem, vad och när. Den ansvarige får sin egen logg på begäran.
• T6 Loggning utan persondata. Playsas loggar maskar e-postadresser, telefonnummer och personnummer. Felrapporter rensas från IP-adresser, kakor och frågesträngar.
• T7 Applikationsskydd. Validering på varje gräns, CSP, HSTS, säkra kakor, CSRF-skydd och hastighetsgränser.
• T8 Region. Databasen och serverfunktionerna ligger i Stockholm.
• T9 Säkerhetskopior. Dagliga säkerhetskopior.
• T10 Minimalt innehåll i utskick. E-post innehåller högst barnets förnamn. Larm till den ansvarige innehåller bara antal.
• T11 Foton, när funktionen öppnar. Fotona kodas om, all metadata tas bort och originalet sparas inte. Fotona levereras bara från playsa.se, och sökmotorer ombeds att inte visa dem i bildsökningen.
• T12 Känsliga uppgifter, innan de lagras. Personnummer och hälsouppgifter krypteras per fält med AES-256-GCM och en nyckel per organisation, och huvudnyckeln förvaras skild från databasen.

Organisatoriska åtgärder:

• O1 Sekretess. Den som arbetar för Playsa och får åtkomst till personuppgifter har åtagit sig sekretess.
• O2 Minsta behörighet. Bara de hos Playsa som behöver åtkomst till produktionen har det. Hemligheter finns bara i miljövariabler, aldrig i koden.
• O3 Prövade ändringar. Ändringar prövas med automatiska tester, också isoleringstesterna, innan de förs in.
• O4 Penetrationstest. En extern penetrationstest görs innan tjänsten lagrar personnummer eller hälsouppgifter.
• O5 Incidentrutin. Playsa har en skriven incidentplan som övas. Tiderna mot den ansvarige står i bilaga 6.
• O6 Supportåtkomst. Playsa läser den ansvariges uppgifter bara när det behövs för support som den ansvarige bett om, för att rätta ett fel, för att hantera en incident eller när lag kräver det.
• O7 Utbildning. Den som får åtkomst till personuppgifter går igenom rutinerna för dataskydd och säkerhet.

Tjänstens tider gäller för alla anordnare. Vill den ansvarige att något raderas tidigare hör den ansvarige av sig, så raderar Playsa det. Gallringen körs varje natt.

• Den ansvarige bedömer om incidenten ska anmälas till IMY och om de registrerade ska informeras.
• Berör incidenten flera anordnare får var och en en egen underrättelse.
• Underbiträdena meddelar Playsa enligt bilaga 3. Playsas frist räknas från att Playsa fått kännedom, också när incidenten började hos ett underbiträde.

• Playsa besvarar ett frågeformulär om säkerhet och dataskydd per år utan kostnad.
• Playsa lämnar underbiträdenas granskningsrapporter, till exempel SOC 2, när underbiträdet tillåter det.
• Playsa lämnar på begäran en sammanfattning av penetrationstesten i bilaga 4, O4, när den är gjord.
• Den ansvarige, eller en oberoende granskare med sekretessåtagande, får granska Playsa på plats eller på distans en gång per år, med 30 dagars varsel. Oftare efter en incident eller när IMY kräver det.
• Den ansvarige betalar sina egna kostnader för granskningen. Kräver granskningen mer än en arbetsdag av Playsa ersätts Playsa efter överenskommelse.
• IMY:s rätt att granska påverkas inte.

• Den ansvarige kan när som helst få en kopia av sina uppgifter. Playsa lämnar den i CSV eller JSON inom 30 dagar, utan kostnad.
• Efter att huvudavtalet upphört kan den ansvarige få en kopia i 60 dagar.
• Därefter raderar Playsa den ansvariges uppgifter inom 30 dagar. Raderade uppgifter finns kvar i säkerhetskopiorna högst 30 dagar till.
• Playsa bekräftar raderingen skriftligt på begäran.
• Uppgifter som Playsa själv ansvarar för, till exempel föräldrarnas familjekonton och deras bokningar och köplatser, hanteras enligt Playsas integritetspolicy.
• Kräver lag att Playsa sparar något meddelar Playsa den ansvarige vad och varför.