Databehandleravtale

1Bakgrunn og formål

Denne databehandleravtalen («DPA») er inngått i henhold til personvernforordningen (GDPR) artikkel 28, og regulerer Samspills behandling av personopplysninger på vegne av klubben.

Avtalen supplerer bruksvilkårene mellom partene og gjelder så lenge klubben benytter Samspill-plattformen.

2Behandlingens omfang

Formål med behandlingen

Samspill behandler personopplysninger utelukkende for å levere og drifte plattformens tjenester på vegne av klubben, herunder:

• Administrasjon av klubbmedlemmer, spillere, trenere og frivillige
• Kommunikasjon mellom brukere (meldinger, push-varsler, e-post)
• Koordinering av kamper, treninger og arrangementer
• Dugnadsstyring og vaktfordeling
• Betalingsoversikt og innkreving av treningsavgifter
• B2B-nettverket og sponsoradministrasjon (der aktivert)
• Statistikk og kamprapporter
• Styrerommet og årsmøtet (der aktivert): møter, saker, protokoller, vedtak, verv, valgkomiteens arbeid, digital innsjekk og hemmelig avstemning
• Support: saker brukerne sender Samspill, med skjermbilder, og AI-assistenten

Instruksgrunnlag

Samspill behandler kun personopplysninger etter dokumentert instruks fra klubben. Denne avtalen, sammen med bruksvilkårene og klubbens konfigurasjon i portalen, utgjør den samlede instruksen.

3Personopplysninger som behandles

Kategorier av registrerte

• Spillere og utøvere (inkl. mindreårige)
• Foresatte og foreldre
• Trenere, lagledere og frivillige
• Styremedlemmer og administrativt ansatte
• Sponsorer og B2B-kontakter

Kategorier av personopplysninger

• Identifikasjonsdata: Navn, e-postadresse, telefonnummer
• Demografiske data: Fødselsdato, alder, kjønn (der oppgitt)
• Klubbdata: Lag, roller, treningshistorikk, kampdata
• Kommunikasjonsdata: Meldinger sendt via plattformen
• Betalingsdata: Betalingsstatus og transaksjonshistorikk (ikke kortdata — håndteres av Stripe)
• Styre og årsmøte: Verv og valgperioder, saker, protokoller og vedtak, stemmer i styret, valgkomiteens notater om kandidater, stemmerett (regnet ut fra alder, medlemstid, betalt kontingent og ansettelse). Stemmer i hemmelige valg lagres uten navn
• Support: Saker brukerne sender Samspill (tekst, opptil tre skjermbilder som kan vise andre personer, side, appversjon og enhet) og svarene
• Dokumentasjon: Hvilken versjon av bruksvilkår og databehandleravtale som er godtatt, av hvem og når, og logg over Samspills tilgang til klubben
• Tekniske data: Push-token for varsler, når kontoen ble laget og sist ble brukt, enhetstype
• Bilder og filer: Profilbilder og opplastede filer der dette er i bruk

Mindreårige

Mange klubbmedlemmer er under 18 år. Klubben er ansvarlig for å ha nødvendig samtykke fra foresatte der dette kreves etter norsk lov og GDPR. Samspill tilbyr funksjonalitet for foresatt-administrasjon for å støtte dette.

4Databehandlerens forpliktelser

Samspill forplikter seg til å:

• Kun behandle personopplysninger etter dokumentert instruks fra klubben
• Sikre at autorisert personell som behandler opplysningene er underlagt konfidensialitetsplikt
• Treffe alle påkrevde sikkerhetstiltak etter GDPR artikkel 32
• Bistå klubben med å oppfylle de registrertes rettigheter (innsyn, retting, sletting, dataportabilitet)
• Varsle klubben uten ugrunnet opphold ved brudd på personopplysningssikkerheten
• Slette eller tilbakelevere alle personopplysninger etter avtaleperiodens slutt
• Gjøre all nødvendig informasjon tilgjengelig slik at klubben kan dokumentere etterlevelse
• Ikke engasjere nye underdatabehandlere uten forhåndsgodkjenning fra klubben

Samspills tilgang til klubbens data

Samspill ser klubbens innhold (medlemmer, meldinger, dokumenter, betalinger og avtaler) bare med klubbens godkjenning:

• Samspill ber om tilgang med en skriftlig grunn og en periode på 1, 7, 14 eller 30 dager (inntil 180 dager i pilotperioden). Klubbens administrator og daglig leder får varsel i appen og på e-post.
• Administrator eller daglig leder godkjenner, korter ned perioden eller avslår, i Portalen eller i appen. Tilgangen kan trekkes tilbake når som helst, og den utløper av seg selv.
• Alt Samspill gjør og åpner med tilgangen, logges og vises for klubben under «Tilgang for Samspill» i Portalen. Loggen kan ikke endres eller slettes.
• Nødtilgang: Ved sikkerhetsbrudd eller pålegg fra myndighetene kan Samspill åpne tilgang i 24 timer uten godkjenning. Det krever ny innlogging med to-trinns, og klubben varsles med en gang. Nødtilgangen står merket i loggen.
• Uten godkjenning ser Samspill bare det som trengs for kundeforholdet og driften: klubbens navn, abonnement og tillegg, brukerkontoene (navn og e-post), saker sendt til Samspill, rapporterte meldinger og tall uten personopplysninger regnet ut på serveren. Tall for grupper under fem personer vises ikke oppdelt.

Ordningen innføres trinnvis. Til den er håndhevet i databasereglene for alle deler av tjenesten, følger Samspill den som fast rutine.

Ansattes konfidensialitet

Alle ansatte og konsulenter hos Samspill med tilgang til personopplysninger er bundet av konfidensialitetsplikt, enten gjennom ansettelsesavtale eller separat taushetserklæring.

5Tekniske og organisatoriske sikkerhetstiltak

Samspill har implementert følgende tiltak i henhold til GDPR artikkel 32:

Tekniske tiltak

• Kryptering i transit: All kommunikasjon skjer over TLS 1.2+
• Kryptering i hvile: Firebase Firestore og Storage krypterer data på serverside (AES-256)
• Autentisering: Firebase Authentication (Google Identity Platform) med e-post og passord eller Google; passord lagres aldri i klartekst. Samspills administratorer må bruke to-trinns innlogging
• Logging: Samspills tilgang til klubben, godkjenning av avtaler og endringer i Portalen logges
• Tilgangskontroll: Firestore Security Rules begrenser tilgang per klubb og brukerrolle
• Isolasjon mellom klubber: Data er logisk separert per klubbID — ingen klubb kan lese en annen klubbs data
• Push-tokens: Lagres kryptert og brukes kun til varsler til rettmessig eier

Organisatoriske tiltak

• Prinsippet om minste privilegium: tilgang gis kun der nødvendig
• Regelmessig gjennomgang av tilganger
• Rutiner for hendelseshåndtering og avvikslogging
• Utviklingspraksis: ingen produksjonsdata brukes i testing

6Underdatabehandlere

Samspill benytter følgende underdatabehandlere. Klubben gir ved aksept av denne avtalen en generell forhåndsgodkjenning for disse. Ved endringer varsles klubben med minst 30 dagers frist, slik at klubben kan motsette seg endringen.

Alle underdatabehandlere er pålagt tilsvarende personvernforpliktelser som fremgår av denne avtalen, enten gjennom standardkontraktsvilkår (SCC) eller egne DPA-er.

7Bistand til klubben

De registrertes rettigheter

Samspill bistår klubben med å oppfylle henvendelser fra registrerte om:

• Innsyn (art. 15) og dataportabilitet (art. 20): Samspill leverer en eksport av brukerens opplysninger (JSON) på forespørsel
• Retting (art. 16): Klubbadmin kan redigere brukerdata direkte i portalen
• Sletting (art. 17): Brukeren kan slette kontoen selv i appen, og klubbadmin kan slette et medlem. Opplysningene slettes straks; felles historikk (for eksempel dugnadsvakter og fakturaer) anonymiseres
• Begrensning (art. 18): Medlemmet kan fjernes fra lag og roller uten at kontoen slettes

Henvendelser som ikke kan løses via portalen rettes til hei@samspillklubb.no og besvares innen 72 timer. Henvendelser om personvern kan også sendes til personvern@samspillklubb.no.

Konsekvensutredning (DPIA)

Dersom klubbens behandling krever en personvernkonsekvensvurdering (DPIA) etter GDPR artikkel 35, stiller Samspill relevant teknisk dokumentasjon til rådighet.

8Avvik og brudd på personopplysningssikkerheten

Samspill har etablerte rutiner for håndtering av sikkerhetsavvik:

• Avvik logges og vurderes etter alvorlighetsgrad umiddelbart ved oppdagelse
• Klubben varsles uten ugrunnet opphold, og senest innen 36 timer etter at et brudd er bekreftet
• Varselet inneholder: type brudd, berørte data, berørte registrerte (estimat), sannsynlige konsekvenser og tiltak iverksatt
• Samspill bistår klubben med den videre rapporteringen til Datatilsynet dersom dette er nødvendig

9Sletting og retur av data

Ved opphør av avtalen

Når klubbens abonnement avsluttes eller avtalen på annen måte opphører, skal Samspill:

1. Gi klubben tilgang til dataeksport i 30 dager etter opphørstidspunktet
2. Deretter slette alle klubbens personopplysninger fra aktive systemer innen 60 dager
3. Data i sikkerhetskopier forsvinner når kopiene går ut, innen 14 uker
4. På forespørsel skriftlig bekrefte at sletting er gjennomført

Løpende sletting

Brukere som slettes av klubbadmin fjernes fra aktive databaser umiddelbart. Når en bruker sletter kontoen, slettes også sakene brukeren har sendt Samspill, med skjermbilder. Serverlogger slettes etter 30 dager, varsler i appen etter 90 dager, og sikkerhetskopier går ut etter 14 uker.

10Revisjon og etterlevelse

Klubben har rett til å kontrollere at Samspill etterlever denne avtalen. Samspill vil:

• På forespørsel stille relevant dokumentasjon til rådighet (sikkerhetstiltak, rutiner, loggfiler)
• Gi innsyn i systemer med rimelig varsel (minimum 14 dager) og etter avtale om taushetsplikt
• Besvare revisjonsspørsmål skriftlig innen 10 virkedager

Kostnader forbundet med revisjon bæres av klubben, med mindre revisjonen avdekker vesentlige brudd på avtalen.

11Overføringer utenfor EØS

Database, filer, serverfunksjoner og sikkerhetskopier ligger i EU (Google Firebase, Belgia og Nederland). Innlogging (Firebase Authentication), push-varsler (Expo, Apple, Google), e-post (Resend), betaling (Stripe) og AI-assistenten (Anthropic) innebærer overføringer til USA.

Slike overføringer er sikret gjennom:

• EUs standardkontraktsvilkår (SCC): Inngått med alle relevante leverandører
• EU–US Data Privacy Framework: Der leverandøren er sertifisert under dette
• Tilleggstiltak: Kryptering og tilgangsbegrensning som reduserer risiko ved overføring

12Varighet og opphør

Denne avtalen gjelder fra klubbens akseptdato og løper så lenge klubben benytter Samspill-plattformen.

Avtalen opphører automatisk når abonnementet avsluttes. Sletteplikten i punkt 9 gjelder uavhengig av opphørsgrunn.

Samspill kan si opp avtalen med 30 dagers skriftlig varsel dersom klubben vesentlig misligholder avtalen og ikke retter forholdet innen varselsfristen.

13Aksept og signatur

Avtalen kan aksepteres digitalt ved klikk-aksept i portalen (se banner øverst), eller signeres fysisk av begge parter. Klikk-aksept registrerer dato, klokkeslett og e-postadresse til den som aksepterer, og anses som juridisk bindende.