ClubFlow sätter bara de cookies som behövs: inloggning, språk, det här valet. Med ditt OK räknar vi också sidvisningar, utan cookies, för att se vilka delar av produkten som används. Ingen annonsering, någonsin.
Personuppgiftsbiträdesavtalet som reglerar hur ClubFlow behandlar personuppgifter för klubbens räkning enligt artikel 28 GDPR.
1.1Klubben använder ClubFlows plattform för att hantera trupper, matcher, spelarutveckling, scouting och närliggande verksamhet enligt ett separat avtal mellan parterna, till exempel ett pilotavtal eller ett abonnemangsavtal (”Huvudavtalet”). När ClubFlow tillhandahåller plattformen behandlar ClubFlow personuppgifter för Klubbens räkning. Detta avtal (”Avtalet”) reglerar den behandlingen i enlighet med artikel 28 i Dataskyddsförordningen (EU) 2016/679 (”GDPR”).
1.2Avtalet kan ingås fristående eller biläggas Huvudavtalet. När Avtalet är bilaga till Huvudavtalet anses det ingånget när parterna har undertecknat eller på annat sätt skriftligen godkänt Huvudavtalet, och behöver då inte undertecknas separat.
1.3Avtalet fortsätter att gälla om Huvudavtalet ersätts av ett nytt avtal om samma tjänst, till exempel när en pilot övergår i ett betalt abonnemang, om inte parterna skriftligen avtalar annat.
1.4Vid motstrid mellan Avtalet och Huvudavtalet gäller Avtalet i frågor som rör behandling av personuppgifter.
1.5Begrepp som används i Avtalet, till exempel personuppgifter, behandling, registrerad, personuppgiftsincident och underbiträde, har samma betydelse som i GDPR.
2.1ClubFlow behandlar personuppgifter endast i syfte att tillhandahålla plattformen till Klubben enligt Huvudavtalet. Behandlingens art och ändamål, kategorierna av registrerade och personuppgifter samt var uppgifterna lagras framgår av Bilaga A.
2.2ClubFlow får inte behandla Klubbens personuppgifter för egna ändamål, till exempel marknadsföring, försäljning till tredje part eller träning av AI-modeller. ClubFlow får ta fram statistik om hur plattformen används förutsatt att statistiken inte innehåller personuppgifter från Klubbens data och inte kan kopplas till enskilda registrerade.
3.1ClubFlow behandlar personuppgifter endast enligt Klubbens dokumenterade instruktioner. Huvudavtalet, Avtalet och de inställningar Klubben gör i plattformen (till exempel roller och behörigheter, aktiverade funktioner och gallringsinställningar) utgör Klubbens instruktioner.
3.2Om ClubFlow är skyldigt enligt unionsrätten eller svensk rätt att behandla uppgifterna på annat sätt ska ClubFlow informera Klubben om det rättsliga kravet innan behandlingen påbörjas, om inte lagen förbjuder sådan information.
3.3ClubFlow ska omedelbart informera Klubben om ClubFlow anser att en instruktion strider mot GDPR eller annan dataskyddslagstiftning.
4.1Klubben är personuppgiftsansvarig och ansvarar för att behandlingen har en rättslig grund, att de registrerade får den information de har rätt till enligt artiklarna 13 och 14 GDPR, och att endast personuppgifter som behövs för ändamålet förs in i plattformen.
4.2Många av Klubbens spelare är under 18 år. Klubben ansvarar för att behandlingen av deras uppgifter är förenlig med GDPR och att vårdnadshavare informeras eller ger samtycke där det krävs.
4.3Om Klubben aktiverar välmåenderapportering (wellness check-ins) behandlas uppgifter om hälsa, som är en särskild kategori av personuppgifter enligt artikel 9 GDPR. Klubben ansvarar för att det finns ett uttryckligt samtycke från spelaren, och för spelare under 18 år från vårdnadshavare där det krävs, innan funktionen används. Klubbens bekräftelse i plattformen av att sådant samtycke finns (version, tidpunkt och vem som bekräftade) sparas av ClubFlow.
4.4Klubben ansvarar för vilka personer i Klubben som får konton och vilka behörigheter de får, och för att ta bort åtkomst för personer som inte längre ska ha den.
5.1ClubFlow ska säkerställa att de personer som har behörighet att behandla Klubbens personuppgifter har åtagit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt.
5.2ClubFlow får inte lämna ut Klubbens personuppgifter till tredje part utöver vad som följer av Avtalet eller tvingande lag. Om en myndighet eller annan begär att få ta del av uppgifterna ska ClubFlow hänvisa begäran till Klubben och informera Klubben, om inte lagen förbjuder det.
6.1ClubFlow vidtar tekniska och organisatoriska åtgärder för att uppnå en säkerhetsnivå som är lämplig i förhållande till risken, enligt artikel 32 GDPR. Åtgärderna beskrivs i Bilaga C.
6.2ClubFlow får ändra säkerhetsåtgärderna över tid förutsatt att den samlade skyddsnivån inte sänks.
7.1ClubFlows personal har inte åtkomst till Klubbens personuppgifter i det löpande arbetet. Åtkomst sker endast (a) när Klubben i plattformen har gett en namngiven person på ClubFlow tidsbegränsad supportåtkomst, som längst 30 dagar och med möjlighet för Klubben att avsluta den när som helst, (b) när det är nödvändigt för att hantera en personuppgiftsincident eller ett allvarligt driftfel, eller (c) när det krävs enligt lag.
7.2Supportåtkomst loggas och Klubben kan se vem som haft åtkomst och under vilken period.
8.1Klubben ger ClubFlow ett allmänt förhandstillstånd att anlita underbiträden. De underbiträden som anlitas när Avtalet ingås framgår av Bilaga B och godkänns genom Avtalet.
8.2ClubFlow ska informera Klubben skriftligen, till exempel via e-post till Klubbens kontaktperson, minst 30 dagar innan ett nytt underbiträde anlitas eller ett befintligt byts ut. Klubben får invända mot ändringen på sakliga dataskyddsgrunder. Om parterna inte kan enas får Klubben säga upp Huvudavtalet och Avtalet med verkan från den dag ändringen träder i kraft.
8.3ClubFlow ska genom skriftligt avtal ålägga varje underbiträde minst samma skyldigheter i fråga om dataskydd som gäller för ClubFlow enligt Avtalet. ClubFlow ansvarar fullt ut gentemot Klubben för underbiträdets fullgörande av sina skyldigheter.
9.1Klubbens personuppgifter lagras inom EU/EES. ClubFlow får överföra personuppgifter till ett land utanför EU/EES endast om överföringen uppfyller kraven i kapitel V GDPR, till exempel genom ett beslut om adekvat skyddsnivå (inklusive EU-US Data Privacy Framework) eller EU-kommissionens standardavtalsklausuler. Förekommande överföringar och den skyddsmekanism som används framgår av Bilaga B.
10.1ClubFlow ska bistå Klubben med att fullgöra dess skyldighet att besvara begäranden från registrerade enligt kapitel III GDPR. Plattformen innehåller verktyg för att Klubben själv ska kunna lämna ut (registerutdrag i maskinläsbart format), rätta, anonymisera och radera uppgifter om spelare och scoutade spelare. Om Klubben inte kan hantera en begäran med dessa verktyg kan Klubben vända sig till privacy@theclubflow.com, och ClubFlow ska då svara inom fem arbetsdagar.
10.2Om en registrerad vänder sig direkt till ClubFlow med en begäran som gäller Klubbens uppgifter ska ClubFlow utan onödigt dröjsmål hänvisa den registrerade till Klubben och informera Klubben, och inte själv besvara begäran utan Klubbens instruktion.
10.3ClubFlow ska, med beaktande av behandlingens art och den information ClubFlow har tillgång till, bistå Klubben med att fullgöra skyldigheterna enligt artiklarna 32–36 GDPR, till exempel vid konsekvensbedömningar och förhandssamråd med Integritetsskyddsmyndigheten (IMY).
11.1ClubFlow ska underrätta Klubben utan onödigt dröjsmål, och om möjligt inom 24 timmar, efter att ha fått kännedom om en personuppgiftsincident som rör Klubbens uppgifter. Syftet är att Klubben ska kunna anmäla incidenten till IMY inom 72 timmar enligt artikel 33 GDPR.
11.2Underrättelsen ska, i den mån uppgifterna finns tillgängliga, beskriva incidentens art, vilka kategorier och ungefär hur många registrerade och poster som berörs, sannolika konsekvenser, vilka åtgärder som vidtagits eller föreslås samt en kontaktperson hos ClubFlow. Uppgifter som inte finns tillgängliga direkt får lämnas i omgångar.
11.3ClubFlow ska vidta de åtgärder som rimligen krävs för att begränsa incidentens effekter och bistå Klubben i dess utredning och eventuella information till de registrerade.
12.1ClubFlow ska ge Klubben tillgång till den information som behövs för att visa att skyldigheterna i Avtalet och artikel 28 GDPR fullgörs, bland annat aktuell beskrivning av säkerhetsåtgärder, förteckning över underbiträden och Klubbens egen granskningslogg i plattformen.
12.2Klubben har rätt att en gång per kalenderår begära ett skriftligt svar på frågor om ClubFlows behandling. Klubben har även rätt att, med minst 30 dagars skriftligt varsel, låta en oberoende granskare som är bunden av tystnadsplikt genomföra en granskning under normal kontorstid. Klubben står för sina egna kostnader för granskningen. Vid konstaterade brister eller efter en personuppgiftsincident gäller inte begränsningen till en gång per år.
12.3Avtalet begränsar inte IMY:s eller annan tillsynsmyndighets befogenheter.
13.1När Huvudavtalet upphör kan Klubben under 30 dagar exportera sina uppgifter i ett strukturerat, maskinläsbart format. ClubFlow bistår med export på begäran.
13.2Efter exportperioden raderar ClubFlow Klubbens personuppgifter, om inte lagen kräver fortsatt lagring. Uppgifter i säkerhetskopior raderas när kopiorna skrivs över i ordinarie rotation, dock senast 90 dagar efter exportperiodens slut. Fram till dess får uppgifterna i säkerhetskopior inte användas för något annat ändamål.
13.3Klubben kan när som helst under avtalstiden begära tidigare radering. ClubFlow ska på begäran skriftligen bekräfta att raderingen är genomförd.
14.1Parternas ansvar gentemot varandra regleras i Huvudavtalet. Ansvarsbegränsningar i Huvudavtalet gäller dock inte om ClubFlow behandlar personuppgifter i strid med Klubbens instruktioner eller uppsåtligen eller av grov vårdslöshet bryter mot Avtalet.
14.2Avtalet påverkar inte parternas ansvar gentemot registrerade enligt artikel 82 GDPR.
15.1Avtalet gäller från att det ingås och så länge ClubFlow behandlar personuppgifter för Klubbens räkning, inklusive under perioden i avsnitt 13.
15.2Åtaganden som enligt sin natur ska gälla efter att Avtalet upphört, till exempel sekretess och radering, fortsätter att gälla.
16.1Ändringar och tillägg till Avtalet ska vara skriftliga och godkända av båda parter. ClubFlow får dock uppdatera Bilaga A enligt avsnitt 16.2, Bilaga B enligt avsnitt 8 och Bilaga C enligt avsnitt 6.2.
16.2När ClubFlow lägger till nya funktioner får ClubFlow uppdatera Bilaga A och ska informera Klubben skriftligen minst 30 dagar i förväg. En funktion som innebär nya kategorier av registrerade eller särskilda kategorier av personuppgifter (till exempel uppgifter om skador eller annan hälsoinformation) får användas endast om Klubben själv aktiverar den i plattformen.
16.3Om ändrad dataskyddslagstiftning eller vägledning från IMY eller Europeiska dataskyddsstyrelsen kräver det ska parterna i god tro komma överens om nödvändiga ändringar.
17.1Avtalet regleras av svensk lag. Tvister med anledning av Avtalet avgörs av allmän domstol i Sverige.
Avtalet har upprättats i två likalydande exemplar, eller undertecknats elektroniskt, varav parterna tagit var sitt. Om Avtalet är bilaga till ett undertecknat Huvudavtal behövs inga separata underskrifter, se avsnitt 1.2.
Att tillhandahålla ClubFlows plattform till Klubben enligt Huvudavtalet, i den omfattning Klubben använder den. Plattformen omfattar i dag bland annat truppadministration, matcher och speltid, spelarutveckling (individuella utvecklingsplaner), bedömningar, scouting och övergångar, ansökningsformulär, välmåenderapportering (om aktiverad), signaler som pekar ut vad personalen bör följa upp och synkronisering av match- och tabelldata från Svenska Fotbollförbundet (om aktiverad). Nya funktioner som Klubben väljer att använda omfattas av samma ändamål, med de begränsningar som följer av avsnitt 16.2.
Insamling via Klubbens användare och formulär, lagring, strukturering, sammanställning, regelbaserad profilering (signaler, se nedan), visning, export, anonymisering och radering.
Uppgifter om hälsa, endast om Klubben aktiverar välmåenderapportering: spelarens egen skattning av sömn, trötthet, muskelömhet, stress, humör och upplevd ansträngning, markerade kroppsområden med graden av besvär samt eventuell fritext. Uppgifterna raderas 12 månader efter rapporteringsdatum och när spelaren anonymiseras. Se avsnitt 4.3.
Plattformen tar fram signaler om spelare: korta meddelanden till Klubbens personal om något som bör följas upp, till exempel att en spelare inte har fått speltid trots att hen varit tillgänglig, att en utvecklingsplan ska följas upp eller att ett kontrakt snart går ut. En signal är en automatiserad bedömning av personliga aspekter och därmed profilering enligt artikel 4.4 GDPR.
Sverige (Stockholm). Se Bilaga B för underbiträden och eventuella överföringar.
Så länge Huvudavtalet gäller, och därefter enligt avsnitt 13.
| Underbiträde | Tjänst och uppgifter | Plats för behandling | Skyddsmekanism |
|---|---|---|---|
| Supabase, Inc. (USA) | Databas, autentisering och fillagring. Samtliga uppgifter i Bilaga A. | Sverige (AWS, Stockholm, eu-north-1) | Lagring inom EU. Supabases DPA med standardavtalsklausuler för eventuell åtkomst från USA. |
| Vercel, Inc. (USA) | Drift av webbapplikationen. Uppgifter passerar vid visning men lagras inte. Förfrågningsdata (IP-adress, webbläsare, URL) i driftloggar. | Beräkning i Sverige (Stockholm, arn1). Driftloggar i USA. | EU-US Data Privacy Framework, med standardavtalsklausuler som reserv. |
| Resend (USA) | Utskick av systemmejl: inbjudningar, verifiering och lösenordsåterställning. E-postadress, namn, klubbnamn. | EU (Irland, eu-west-1) | Resends DPA med standardavtalsklausuler / DPF. |
| Lark Technologies Pte. Ltd. (Singapore) | E-post för support. Endast de personuppgifter Klubben själv skickar till ClubFlows supportadresser. | Japan | Kommissionens beslut om adekvat skyddsnivå för Japan. Larks DPA med standardavtalsklausuler. |
Svenska Fotbollförbundet är inte underbiträde. När Klubben aktiverar synkronisering hämtar ClubFlow match-, resultat- och tabelldata från förbundets API med Klubbens egen API-nyckel. Inga personuppgifter skickas från ClubFlow till förbundet.
ClubFlows egen mätning av hur Klubbens personal använder plattformen (cookiefri, samtyckesstyrd och aldrig på sidor som spelare använder) innehåller inga uppgifter från Klubbens data. För den mätningen är ClubFlow personuppgiftsansvarig och den omfattas inte av Avtalet.