Personuppgiftsbiträdesavtal

Senast uppdaterad: 28/09/2026

Detta personuppgiftsbiträdesavtal (”DPA”) ingås mellan den klubb som prenumererar på CtrlCourt (”Klubben”, som agerar som personuppgiftsansvarig) och DEVBOX (”Biträdet”), i enlighet med artikel 28 i dataskyddsförordningen (GDPR).

1. Parter och godkännande

Biträdet är:

Denna DPA utgör en integrerad del av Användarvillkoren. Den godkänns elektroniskt av Klubben när dess konto skapas, tillsammans med Villkoren, och gäller så länge Biträdet behandlar personuppgifter för Klubbens räkning.

2. Föremål

Denna DPA fastställer de villkor enligt vilka Biträdet behandlar personuppgifter för Klubbens räkning för att tillhandahålla tjänsten CtrlCourt (”Tjänsten”). Den omfattar inte uppgifter för vilka Biträdet agerar som personuppgiftsansvarig (Klubbens konto, prenumeration och fakturering), vilka regleras av Integritetspolicyn.

3. Löptid

Denna DPA gäller under hela den tid Klubben använder Tjänsten (provperiod och prenumeration) och tills uppgifterna har raderats eller återlämnats i enlighet med artikel 11.

4. Behandlingens art och ändamål

Behandlingen består i att lagra, ordna, söka fram, ändra, visa och radera uppgifter via Tjänsten, samt att skicka transaktionsmejl, för följande ändamål:

• administration av konton för spelare, tränare och personal;
• bokningar av banor, träningspass och kurser med tränare, evenemang och turneringar;
• hantering av förbetalda krediter (tokens) och registrering av de betalningssätt som Klubben har valt;
• utskick av servicemejl (bokningsbekräftelser och påminnelser, återställning av lösenord);
• statistik för Klubbens eget bruk;
• support, underhåll och säkerhet för Tjänsten.

5. Kategorier av registrerade och uppgifter

Registrerade: Klubbens spelare och medlemmar, tränare, personal och administratörer som använder Klubbens utrymme.

Kategorier av uppgifter:

• identifierings- och kontaktuppgifter: namn, e-postadress, telefonnummer;
• kontouppgifter: lösenord (hashat), roll, språk, eventuell spelnivå;
• aktivitetsuppgifter: bokningar, närvaro, kursanmälningar, anmälningar till evenemang;
• finansiella uppgifter som rör klubben: kreditsaldo och transaktioner, belopp och betalningssätt som registrerats av Klubben (inga betalkortsuppgifter);
• för tränare: tillgänglighet, presentation, timpris;
• tekniska uppgifter: IP-adress, anslutnings- och säkerhetsloggar.

Tjänsten är inte utformad för att behandla särskilda kategorier av personuppgifter (hälsa osv.). Klubben förbinder sig att inte ange sådana uppgifter i den.

6. Klubbens skyldigheter

Klubben, som personuppgiftsansvarig, ansvarar för: behandlingens lagenlighet och dess rättsliga grund; information till de registrerade; riktigheten hos de uppgifter den anger; besvarande av de registrerades förfrågningar; samt de instruktioner den ger Biträdet. Dess instruktioner dokumenteras genom dessa Villkor, denna DPA och de inställningar den tillämpar i Tjänsten.

7. Biträdets skyldigheter

Biträdet förbinder sig att:

• Instruktioner: behandla uppgifterna endast enligt Klubbens dokumenterade instruktioner, även vad gäller överföringar, om det inte krävs enligt lag; i så fall informerar det Klubben i förväg, om inte lagen förbjuder det. Det informerar Klubben om det anser att en instruktion strider mot dataskyddsregler.
• Sekretess: se till att de personer som är behöriga att behandla uppgifterna är bundna av sekretess och endast får åtkomst till dem när det är nödvändigt.
• Säkerhet: genomföra de tekniska och organisatoriska åtgärder som krävs enligt artikel 32 GDPR, vilka beskrivs i artikel 8.
• Underbiträden: följa villkoren i artikel 9.
• De registrerades rättigheter: bistå Klubben, i möjligaste mån, med att besvara begäranden om utövande av rättigheter (tillgång, rättelse, radering, begränsning, portabilitet, invändning), särskilt genom Tjänstens funktioner eller genom att tillhandahålla en export på begäran. Om en registrerad kontaktar Biträdet direkt vidarebefordrar det begäran till Klubben utan dröjsmål och besvarar den inte själv, om inte Klubben instruerar det.
• Bistånd: bistå Klubben, med beaktande av den information som är tillgänglig för det, med dess säkerhetsskyldigheter, konsekvensbedömningar och förhandssamråd med tillsynsmyndigheten när det krävs.
• Incidenter: underrätta Klubben om varje personuppgiftsincident inom 48 timmar efter att ha fått kännedom om den, och lämna tillgänglig information (incidentens art, kategorier av och ungefärligt antal berörda personer, sannolika konsekvenser, vidtagna eller föreslagna åtgärder), samt komplettera den allteftersom information blir tillgänglig.
• Register: föra ett register över de behandlingar som utförs för Klubbens räkning.
• Öppenhet: ge Klubben tillgång till den information som är nödvändig för att visa att denna DPA följs (artikel 10).

8. Säkerhetsåtgärder

• kryptering av kommunikation (HTTPS);
• en separat databas för varje klubb, som isolerar dess data från andra klubbars;
• lösenord som lagras i hashad form, aldrig i klartext;
• regelbundna säkerhetskopior av databaserna;
• rollbaserad åtkomstkontroll i Tjänsten (administratör, tränare, spelare);
• åtkomst till produktionssystemen begränsad till behöriga personer;
• hosting i datacenter i Frankrike (OVH SAS), med fysisk säkerhet som tillhandahålls av värden;
• säkerhetsloggar och uppdateringar av programvarukomponenter.

Biträdet får ändra dessa åtgärder under förutsättning att den övergripande säkerhetsnivån inte sänks.

9. Underbiträden

Klubben ger sitt allmänna godkännande till användningen av följande underbiträden:

Paddle.com behandlar endast försäljningen och betalningen av Klubbens prenumeration, som Merchant of Record och självständigt personuppgiftsansvarig; det tar inte emot spelares uppgifter och är därför inte ett underbiträde enligt denna DPA. När Klubben aktiverar onlinebetalning av bokningar skickar CtrlCourt, enligt Klubbens instruktioner, den information som behövs för betalningen (belopp, spelarens e-postadress) till Klubbens eget Stripe-konto: Stripe agerar då för Klubbens räkning, enligt det avtal som Klubben har ingått direkt med Stripe.

Biträdet informerar Klubben om varje planerat tillägg eller byte av underbiträde, via e-post eller i administrationsområdet, minst 30 dagar i förväg. Klubben kan invända av rimliga skäl som rör dataskydd; om ingen lösning hittas kan Klubben säga upp sin prenumeration innan ändringen träder i kraft. Biträdet ålägger varje underbiträde dataskyddsskyldigheter som motsvarar dem i denna DPA och förblir ansvarigt gentemot Klubben för deras fullgörande. Varje överföring utanför Europeiska ekonomiska samarbetsområdet regleras av lämpliga skyddsåtgärder (särskilt Europeiska kommissionens standardavtalsklausuler).

10. Revisioner

Klubben kan begära den information som är nödvändig för att kontrollera att denna DPA följs. Om den informationen inte är tillräcklig kan Klubben genomföra en revision, på egen bekostnad, högst en gång per år, med minst 30 dagars skriftlig förvarning, själv eller genom en oberoende revisor som är bunden av sekretess, på ett sätt som inte stör Tjänsten eller äventyrar säkerheten eller sekretessen för andra klubbars data. Revisioner av underbiträden genomförs genom de certifieringar och rapporter som de gör tillgängliga.

11. Behandlingens upphörande

Vid prenumerationens slut kan Klubben begära en export av sina data inom den tid som anges nedan. Uppgifterna raderas därefter 30 dagar efter prenumerationens slut (eller efter slutet av en provperiod som inte har omvandlats till prenumeration), inklusive Klubbens databas, med förbehåll för den lagring som krävs enligt lag; säkerhetskopior skrivs över i deras normala rotationscykel. Biträdet bekräftar raderingen på begäran.

12. Ansvar och företräde

Varje parts ansvar regleras av Användarvillkoren, utan att det påverkar bestämmelserna i GDPR. Vid motstridighet mellan denna DPA och Villkoren avseende personuppgifter gäller denna DPA.

13. Kontakt

För alla frågor som rör denna DPA eller för att rapportera en incident: contact@ctrlcourt.com.