Personuppgiftsbiträdesavtal

Senast uppdaterad 2026-11-13

Detta personuppgiftsbiträdesavtal ("Avtal") ingås mellan:

Personuppgiftsansvarig: Föreningen ("Kunden") och
Personuppgiftsbiträde: Svenskalag AB, 556818-8287 ("Svenskalag")

1. Allmänt

Svenskalag tillhandahåller ett föreningssystem ("Tjänsten"), vars funktioner finns specificerade på www.svenskalag.se. I Tjänsten upprätthåller Kunden sitt medlemsregister för att nyttja dessa funktioner. Detta medför att Kunden behandlar personuppgifter genom Svenskalag. Personuppgifterna avser exempelvis utövare, ledare, målsmän, styrelse, personal, volontärer, stödmedlemmar, supportrar samt kontaktpersoner hos föreningens partners, kunder och/eller sponsorer (nedan gemensamt kallade "Personer").

2. Syfte

Avtalet syftar till att reglera ansvaret för behandling av personuppgifter mellan Kunden och Svenskalag i enlighet med de bestämmelser som följer av EU:s dataskyddsförordning (GDPR) och eventuell senare lagstiftning som ersätter eller kompletterar dessa. Avtalet är ett tilläggsavtal till de allmänna villkor som reglerar Svenskalags tillhandahållande av Tjänsten.

3. Behandling av personuppgifter

3.1 Kundens ansvar

Kunden är personuppgiftsansvarig för de personuppgifter som behandlas i Tjänsten. Kunden ansvarar för att den egna behandlingen är laglig och sker enligt gällande dataskyddsregler. Det innebär bland annat att det finns en rättslig grund för behandlingen och att uppgifterna är korrekta.

3.2 Instruktioner och ändamål

Svenskalag behandlar personuppgifterna endast enligt Kundens dokumenterade instruktioner. Instruktionerna utgörs av detta Avtal, de allmänna villkoren, de inställningar Kunden gör i Tjänsten och de skriftliga instruktioner Kunden i övrigt lämnar till Svenskalag.

Svenskalag behandlar personuppgifterna för att:

tillhandahålla, drifta, säkerhetskopiera och felsöka Tjänsten
ge support till Kundens administratörer och till Personer
importera, rätta och komplettera Kundens uppgifter enligt punkt 3.4
utföra annan behandling som Kunden skriftligen instruerar om.

Svenskalags medarbetare får tillgång till personuppgifterna endast i den omfattning som krävs för dessa ändamål. Svenskalag behandlar inte personuppgifterna för egna ändamål, med undantag för det som anges i punkt 3.6.

Om Svenskalag anser att en instruktion strider mot dataskyddsförordningen eller annan dataskyddslagstiftning informerar Svenskalag Kunden omedelbart.

3.3 Kategorier av personuppgifter

Vilka personuppgifter som behandlas i Tjänsten beror på Kundens verksamhet och vad Kunden väljer att registrera. Generellt behandlas följande uppgifter inom föreningar:

Medlemsinformation: namn, personnummer, kön, längd, vikt och medlemskap
Kontaktuppgifter: bostadsadress, telefonnummer och e-postadress
Hälsoinformation: funktionsnedsättningar, skador, allergier och specialkost
Ekonomisk information: fakturor och betalningshistorik
Aktivitetsinformation: närvaro vid Kundens aktiviteter

Hälsoinformation är känsliga personuppgifter. Syftet med att behandla dem är att Kunden ska kunna säkerställa Personers säkerhet och förebygga skador och olycksfall.

En stor andel av personuppgifterna avser barn, vanligtvis utövare. Båda parter ska behandla dessa med särskild varsamhet. I Tjänsten finns sekretessinställningar där Kunden och Personer styr vad som visas publikt.

3.4 Import, rättelse och komplettering av uppgifter

Kunden kan när som helst under avtalstiden lämna över personuppgifter till Svenskalag för import till Tjänsten, till exempel vid uppstart eller när Kunden vill föra över uppgifter från ett annat system eller register.

I samband med en import får Svenskalag kontrollera, rätta och komplettera alla typer av personuppgifter. Det kan till exempel gälla namn, personnummer, födelsedatum, adresser och kontaktuppgifter. Rättelser och kompletteringar görs utifrån det underlag Kunden har lämnat, uppgifter som redan finns i Tjänsten eller andra källor som Kunden har godkänt. När det är oklart vilket värde som är rätt stämmer Svenskalag av med Kunden innan ändringen görs.

Svenskalag redovisar på Kundens begäran vilka ändringar som gjorts.

Filer som Kunden lämnat för import sparas i högst 6 månader efter att importen är klar, så att Svenskalag kan stämma av och rätta fel som upptäcks när Kunden börjat använda uppgifterna, till exempel vid fakturering eller närvarorapportering. Kunden kan begära att filerna raderas tidigare. Därefter raderas filerna.

3.5 Bistånd till Kunden

Svenskalag bistår Kunden genom lämpliga tekniska och organisatoriska åtgärder, så att Kunden kan besvara begäranden från registrerade som utövar sina rättigheter enligt kapitel III i dataskyddsförordningen. Det gäller till exempel rätt till tillgång, rättelse, radering och dataportabilitet.

Svenskalag bistår även Kunden med att fullgöra skyldigheterna enligt artiklarna 32–36 i dataskyddsförordningen. Biståndet sker med hänsyn till behandlingens art och den information Svenskalag har tillgång till.

3.6 Svenskalags behandling av administratörers kontaktuppgifter

Svenskalag behandlar namn, e-postadress, telefonnummer och föreningstillhörighet för Kundens administratörer som självständigt personuppgiftsansvarig. Syftet är att administrera kundrelationen och skicka information och nyhetsbrev om Tjänsten. Behandlingen omfattas inte av detta Avtal och beskrivs i Svenskalags integritetspolicy. En administratör kan när som helst tacka nej till sådana utskick.

4. Tredjelandsöverföring

Tjänstens servrar, där personuppgifterna lagras och behandlas, finns i Sverige. Underbiträden behandlar personuppgifter i Sverige, i andra länder inom EU/EES och i vissa fall utanför EU/EES. Överföring utanför EU/EES sker endast med stöd av EU-kommissionens beslut om adekvat skyddsnivå, till exempel EU–US Data Privacy Framework, eller EU-kommissionens standardavtalsklausuler. Var varje underbiträde behandlar personuppgifter och vilket skydd som tillämpas framgår av förteckningen över underbiträden (punkt 7).

5. Kontakter gällande personuppgiftsbehandling

I det fall att Person, Integritetsskyddsmyndigheten eller annan tredje man begär information från Svenskalag som rör behandling av personuppgifter ska denne hänvisas till Kunden. Svenskalag har inte rätt att lämna ut personuppgifter eller information om behandlingen utan instruktion från Kunden, om inte gällande lagstiftning säger annat. Svenskalag har inte rätt att företräda Kunden gentemot Integritetsskyddsmyndigheten, annan myndighet eller tredje man.

Svenskalag ska utan dröjsmål informera Kunden om kontakter från Integritetsskyddsmyndigheten eller annan myndighet som rör behandlingen av personuppgifter. Svenskalag ska vara Kunden behjälplig med att ta fram information som begärts av Integritetsskyddsmyndigheten, annan myndighet eller Person.

6. Säkerhet, incidenter och kontroll

6.1 Säkerhetsåtgärder

Svenskalag vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 i dataskyddsförordningen för att skydda personuppgifterna. Åtgärderna anpassas efter behandlingens art och de risker den innebär, med särskild hänsyn till att personuppgifterna ofta avser barn och kan innehålla känsliga uppgifter. Svenskalag beaktar även Integritetsskyddsmyndighetens vägledning.

Åtgärderna omfattar bland annat:

drift av Tjänstens servrar i Sverige, med underbiträden enligt punkt 4 och 7
kryptering av personuppgifter vid överföring
löpande övervakning av driften
daglig säkerhetskopiering, där kopiorna sparas i 7 dagar.

6.2 Sekretess

Svenskalags medarbetare och underbiträden omfattas av sekretess för de personuppgifter de behandlar. Sekretessen gäller även efter att Avtalet har upphört och i förhållande till myndigheter, om inte gällande lagstiftning säger annat.

6.3 Personuppgiftsincidenter

Med personuppgiftsincident avses en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats (artikel 4.12 i dataskyddsförordningen).

Svenskalag underrättar Kunden (styrelse och huvudadministratörer) utan onödigt dröjsmål efter att ha fått vetskap om en personuppgiftsincident. Underrättelsen innehåller, i den mån informationen finns tillgänglig:

en beskrivning av incidentens art
kategorier och ungefärligt antal registrerade och personuppgifter som berörs
kontaktuppgifter till en kontaktperson hos Svenskalag
sannolika konsekvenser av incidenten
vilka åtgärder Svenskalag har vidtagit eller föreslår för att åtgärda incidenten och begränsa dess följder.

Om all information inte finns tillgänglig samtidigt lämnar Svenskalag den i omgångar, så snart den finns.

Svenskalag dokumenterar alla personuppgiftsincidenter och överlämnar dokumentationen till Kunden på begäran. Svenskalag bistår Kunden när en incident ska anmälas till Integritetsskyddsmyndigheten (artikel 33) och när de registrerade ska informeras (artikel 34).

6.4 Kontroll och revision

Svenskalag ger Kunden tillgång till den information som krävs för att visa att skyldigheterna enligt artikel 28 i dataskyddsförordningen och detta Avtal har fullgjorts. Kunden har rätt att på egen bekostnad kontrollera att Svenskalag följer Avtalet, själv eller genom en oberoende granskare som omfattas av sekretess. Kunden meddelar Svenskalag skriftligen i rimlig tid före en sådan kontroll, och Svenskalag bistår vid kontrollen.

Om Kunden finner väsentliga brister i Svenskalags behandling av personuppgifter ska Svenskalag åtgärda bristerna inom rimlig tid. Om bristerna inte åtgärdas har Kunden rätt att säga upp Tjänsten och Avtalet med omedelbar verkan.

7. Underbiträden

Kunden ger genom detta Avtal ett allmänt förhandsgodkännande till att Svenskalag anlitar underbiträden. En aktuell förteckning över underbiträden, med uppgift om vad de gör och var de behandlar personuppgifter, finns på svenskalag.se/underbitraden.

Svenskalag informerar Kundens huvudadministratörer senast 30 dagar innan ett nytt underbiträde anlitas eller ett befintligt byts ut. Kunden kan inom denna tid skriftligen invända mot ändringen. Om parterna inte kan enas har Kunden rätt att säga upp Avtalet och Tjänsten så att de upphör när ändringen börjar gälla.

Svenskalag tecknar underbiträdesavtal som ålägger underbiträdet samma skyldigheter som Svenskalag har enligt detta Avtal. Svenskalag ansvarar fullt ut gentemot Kunden för underbiträdets behandling.

8. Export, återlämning och radering av uppgifter

8.1 Export under avtalstiden

Kunden kan när som helst under avtalstiden själv ladda ner sina uppgifter från Tjänsten, till exempel medlemsregister, fakturor och betalningshistorik. All information som Kunden kan se i Tjänsten kan Kunden själv kopiera. Om Kunden vill få uppgifter i ett särskilt format kan Svenskalag bistå med det mot en skälig kostnad.

8.2 När avtalet upphör

När Kundens avtal om Tjänsten upphör väljer Kunden om personuppgifterna ska återlämnas eller raderas. Återlämning sker genom att Kunden laddar ner sina uppgifter enligt punkt 8.1 innan avtalet upphör. Efter att avtalet har upphört kan Kunden under arkivtiden begära en export av sina uppgifter, som Svenskalag levererar mot en skälig kostnad.

8.3 Arkivering

Om Kunden inte meddelar annat arkiveras personuppgifterna i 24 månader efter att avtalet har upphört, så att de kan återställas om Kunden åter börjar använda Tjänsten. Arkivet visas inte publikt och används inte för något annat ändamål. Om Kunden vill att arkivet raderas tidigare meddelar Kunden Svenskalag skriftligen, och Svenskalag raderar det inom 30 dagar.

8.4 Radering

När arkivtiden har gått, eller när Kunden har begärt radering, raderar Svenskalag och dess underbiträden personuppgifterna eller avidentifierar dem så att de inte kan kopplas till en person eller återskapas. Kopior i säkerhetskopior skrivs över inom 7 dagar. Svenskalag bekräftar raderingen skriftligen på Kundens begäran.

Undantaget är uppgifter som Svenskalag enligt lag måste spara, till exempel bokföringsunderlag från faktura- och betaltjänsten. Sådana uppgifter behandlas endast för det ändamålet och raderas när lagkravet upphör.

9. Ansvar

Om anspråk riktas mot Kunden på ersättning för skada eller om en behörig myndighet utfärdar vite eller andra administrativa påföljder och om detta har orsakats av att Svenskalag har behandlat personuppgifter i strid med Kundens instruktioner, detta Avtal eller gällande dataskyddsregler ska Svenskalag hållas ansvarig.

Om anspråk riktas mot Svenskalag på ersättning för skada eller om behörig myndighet utfärdar vite eller andra administrativa påföljder med anledning av Kundens behandling av personuppgifter i strid med detta Avtal eller gällande dataskyddsregler ska Kunden hållas ansvarig.

10. Avtalstid

Avtalet gäller så länge som Svenskalag behandlar personuppgifter för Kundens räkning eller tills det att det ersätts av ett nytt personuppgiftsbiträdesavtal.

11. Tvist och lag

Detta personuppgiftsbiträdesavtal ska tolkas enligt svensk lagstiftning. Tvister enligt detta avtal ska avgöras av svensk allmän domstol om inte parterna kommer överens om annat.

12. Dataskyddsförordningen (GDPR)

Avtalet kan komma att ändras för att vara förenligt med dataskyddsförordningen (General Data Protection Regulation) med hänsyn till kommande praxis.

Svenskalag meddelar Kundens huvudadministratörer om ändringar senast 30 dagar innan de börjar gälla. Denna version gäller från 2026-11-13.