Personuppgiftsbiträdesavtal

1. Parterna

• Personuppgiftsansvarig, gymmetDet gym som godkänner avtalet, med det juridiska namn och organisationsnummer som står på gymmets konto i Riggd.
• Personuppgiftsbiträde, RiggdAlistra AB, organisationsnummer 559600-4241, Utsädesgränd 14, 175 52 Järfälla. E-post info@riggd.se.

Avtalet hör till villkoren för gym på riggd.fit/villkor-gym. Säger villkoren något annat i en fråga om personuppgifter gäller det här avtalet.

2. Vad avtalet gäller

Riggd tillhandahåller en plattform för gymdrift: medlemsapp, webbapp och kundsida med bokning, kö, incheckning, dörröppning, schema, medlemskap och betalningar via gymmets eget Stripe-konto, gruppchatt och Flöde, ärenden, notiser och push-notiser, träningsloggning, leads och utskick.

Behandlingens föremål, art och ändamål, typerna av personuppgifter, kategorierna av registrerade och lagringstiderna står i Bilaga 1. Underbiträdena står i Bilaga 2 och skyddsåtgärderna i Bilaga 3. Bilagorna är en del av avtalet.

Riggd är självt personuppgiftsansvarigt för användarkontot och inloggningen, som en person kan använda i flera gym, för ärenden som skickas till Riggd, för säkerheten i plattformen och för det som lämnas på riggd.fit. Den behandlingen omfattas inte av avtalet och beskrivs i integritetspolicyn på riggd.fit/integritetspolicy.

3. Gymmets ansvar

Gymmet ansvarar som personuppgiftsansvarigt för att:

• Rättslig grundbehandlingen som gymmet ger Riggd i uppdrag har en rättslig grund, och att uppgifter gymmet själv lägger in eller importerar får läggas in.
• Informationmedlemmarna och personalen får information om behandlingen enligt artikel 13 och 14. Gymmet får hänvisa till Riggds integritetspolicy för det som gäller plattformen.
• Instruktionerinstruktionerna till Riggd följer dataskyddsreglerna.
• Behörigheterrätt personer har rätt roll i gymmet, och att behörigheter tas bort när någon slutar.

4. Instruktioner

Riggd behandlar personuppgifterna bara enligt gymmets dokumenterade instruktioner, också när det gäller överföring till ett land utanför EU/EES. Instruktionerna är det här avtalet och de val gymmet gör i plattformen: schema, regler, medlemskap, grupper, utskick, integrationer och behörigheter. Nya instruktioner ges skriftligt, till exempel med e-post till info@riggd.se.

Riggd använder aldrig uppgifterna för egna ändamål, för reklam eller för att sälja dem.

Är Riggd skyldigt enligt unionsrätten eller svensk rätt att behandla uppgifterna på annat sätt, informerar Riggd gymmet om det innan behandlingen, om inte lagen förbjuder det.

Anser Riggd att en instruktion strider mot dataskyddsförordningen eller annan dataskyddslag informerar Riggd gymmet om det utan dröjsmål.

5. Sekretess

Riggd ser till att alla som behandlar uppgifterna för Riggds räkning, anställda, konsulter och andra, har förbundit sig att iaktta konfidentialitet eller omfattas av lagstadgad tystnadsplikt, och bara når det som behövs för uppgiften.

Riggd lämnar inte ut uppgifterna till någon annan än underbiträdena i Bilaga 2, om inte lagen kräver det. Begär en myndighet ut uppgifter som gymmet ansvarar för hänvisar Riggd i första hand till gymmet och informerar gymmet, om inte lagen förbjuder det.

6. Säkerhet

Riggd vidtar de tekniska och organisatoriska åtgärder som krävs enligt artikel 32, för en säkerhetsnivå som är lämplig i förhållande till risken. Åtgärderna står i Bilaga 3. Riggd får förbättra dem, men aldrig sänka skyddsnivån.

7. Underbiträden

Gymmet ger Riggd ett allmänt skriftligt förhandstillstånd att anlita de underbiträden som står i Bilaga 2. Listan är densamma som leverantörerna i integritetspolicyn.

Riggd meddelar gymmets ägare med e-post minst 30 dagar innan ett nytt underbiträde anlitas eller ett befintligt byts ut. Gymmet kan invända inom den tiden, med skäl. Parterna söker då en lösning i god tro, och finns ingen får gymmet säga upp villkoren för gym så att de upphör innan ändringen gäller, utan kostnad för tiden efter.

Riggd ålägger varje underbiträde samma skyldigheter om dataskydd som i det här avtalet, genom ett skriftligt avtal, och ansvarar fullt ut mot gymmet för underbiträdets behandling.

8. Överföring utanför EU/EES

Databasen ligger i Stockholm, inom EU. En överföring till ett land utanför EU/EES sker bara till ett underbiträde i Bilaga 2 och bara med stöd av en överföringsmekanism enligt kapitel V i dataskyddsförordningen. Mekanismen per underbiträde står i Bilaga 2.

9. De registrerades rättigheter

Plattformen är byggd för att de registrerade ska kunna använda sina rättigheter själva: i appen hämtar de ett registerutdrag som maskinläsbar fil (artikel 15 och 20), rättar sina uppgifter, hanterar sina samtycken och raderar sitt konto.

Når en begäran gymmet bistår Riggd gymmet utan onödigt dröjsmål med de tekniska och organisatoriska åtgärder som behövs, så att gymmet kan svara inom en månad. Når en begäran Riggd direkt och gäller uppgifter gymmet ansvarar för skickar Riggd den vidare till gymmet utan onödigt dröjsmål. En begäran om att radera kontot hanterar Riggd för gymmets räkning, så som integritetspolicyn och riggd.fit/radera-konto beskriver.

10. Personuppgiftsincidenter

Alistra AB ansvarar för Riggds incidentrutin. Incidentansvarig är Ali Storm, med Hans Grobecker och Mia i Riggds team. Gymmet når dem på info@riggd.se.

Riggd underrättar gymmets ägare med e-post utan onödigt dröjsmål, och senast inom 24 timmar från att Riggd fått kännedom om den, om en personuppgiftsincident som rör gymmets uppgifter. Det ger gymmet tid för sin bedömning och för att anmäla till Integritetsskyddsmyndigheten (IMY) inom 72 timmar när det krävs (artikel 33).

Underrättelsen innehåller det gymmet behöver, i den mån det är känt, och kompletteras allteftersom: vad som har hänt och när, vilka kategorier och ungefär hur många registrerade och poster som berörs, de troliga följderna, vilka åtgärder Riggd har vidtagit eller föreslår för att begränsa skadan, och vem hos Riggd gymmet kan fråga.

Det är gymmet som anmäler till IMY och vid behov informerar de registrerade (artikel 34). Riggd bistår, dokumenterar incidenten och låter bli att själv informera gymmets medlemmar om inte gymmet ber om det eller lagen kräver det.

11. Bistånd med säkerhet och konsekvensbedömning

Riggd bistår gymmet med det som behövs för att gymmet ska kunna uppfylla artikel 32 till 36, med hänsyn till behandlingens art och den information Riggd har: säkerheten, incidenterna, konsekvensbedömningar (artikel 35) och förhandssamråd med IMY (artikel 36).

12. När avtalet upphör

Avtalet gäller från att gymmet godkänner det och så länge Riggd behandlar personuppgifter för gymmets räkning.

När villkoren för gym upphör kan gymmet inom 30 dagar välja att få ut sina uppgifter i ett strukturerat, allmänt använt och maskinläsbart format. Därefter raderar Riggd samtliga personuppgifter som behandlas för gymmets räkning, och senast 30 dagar efter att avtalet upphört, om inte unionsrätten eller svensk rätt kräver att de sparas. Säkerhetskopior skrivs över i takt med leverantörens rotation och används inte under tiden. Riggd bekräftar raderingen skriftligt om gymmet ber om det.

Medlemmarnas användarkonton, som Riggd självt ansvarar för, raderas inte av att gymmet lämnar Riggd: ett konto kan höra till flera gym. Ett konto vars medlemskap varit avslutade i 24 månader raderas enligt Bilaga 1.

13. Information och granskning

Riggd ger gymmet den information som behövs för att visa att skyldigheterna i artikel 28 och i det här avtalet fullgörs, och för ett register över behandlingen som biträde enligt artikel 30.2.

Gymmet får granska att Riggd följer avtalet, själv eller genom en oberoende granskare som har tystnadsplikt, en gång per år och oftare efter en incident eller om IMY begär det. Granskningen aviseras 30 dagar i förväg, får inte störa driften och får inte röja andra gyms uppgifter. Gymmet står för sina egna kostnader. Riggd får i första hand visa befintliga intyg och rapporter, även underbiträdenas.

14. Ansvar

Var part ansvarar för skada enligt artikel 82 i dataskyddsförordningen. I övrigt gäller ansvarsbegränsningen i villkoren för gym, utom vid grov vårdslöshet eller uppsåt, och utom där dataskyddsförordningen säger något annat.

15. Ändringar, lag och tvist

Riggd meddelar ändringar i avtalet till gymmets ägare med e-post minst 30 dagar innan de gäller. En ändring i sak får en ny version, som gymmet godkänner på kundsidan under Gymmets konto. Bilagorna hålls i takt med plattformen, och nya underbiträden följer punkt 7.

Svensk lag gäller. Tvister avgörs av allmän domstol i Sverige.

Bilaga 1: Behandlingen

Föremålet och ändamålet är drift av gymmets medlemstjänst: konton för gymmets räkning, bokning av pass och kö, incheckning och dörröppning, medlemskap och betalstatus, schema, gruppchatt och Flöde med anmälan, ordfilter, blockering och avstängning från att skriva, ärenden till gymmet, notiser i appen och push-notiser, utskick till medlemmar som slagit på E-postutskick, träningsloggning och personliga rekord, kroppsmätningar och skador (frivilligt, med samtycke), PT-bokning och målsamtal, merchreservationer, uppsägningar, leads och gymmets hemsida. Behandlingens art är insamling, lagring, strukturering, visning, överföring till underbiträden och radering.

De registrerade är gymmets medlemmar med konto i appen (från 13 år), personalen (coacher, huvudcoacher och ägare), vårdnadshavare till medlemmar under 18, leads som lämnat sina uppgifter i gymmets formulär, och besökare på gymmets hemsida, som räknas utan cookies.

• Namn, e-post, profilbildPersonen och gymmets personal. Andra medlemmar ser namn och vald profilbild i deltagarlistor, grupper och topplistor.
• Telefon, födelsedatumPersonen och gymmets personal, i separat lagring med egen åtkomstregel.
• Medlemskap, roll, status, betalningar, kvittonPersonen och gymmets personal.
• Bokningar, köplats, incheckningar, dörrens loggPersonen och gymmets personal, deltagarlistan för andra deltagare. Visar aktivitetsmönster.
• Träningsresultat och rekordPersonen, gymmets personal, och andra medlemmar i topplistor om personen inte valt anonymt läge.
• Kroppsmätningar och skadorHälsouppgifter (artikel 9). Behandlas bara med medlemmens uttryckliga samtycke, som frågas för sig. Personen och gymmets personal, aldrig andra medlemmar.
• Gruppchatt och kommentarer i FlödetGruppens medlemmar och gymmets personal. Anmälda meddelanden även Riggd. Fritext.
• ÄrendenPersonen och mottagaren, gymmet eller Riggd. Fritext.
• SamtyckenPersonen och gymmets personal, med typ, beslut och tidpunkt.
• Vårdnadshavares namn, e-post, telefonGymmets personal, på medlemskapet för en medlem under 18.
• Push-token, telefonens modell, appens versionIngen människa. Används bara för att leverera push.
• Leads: namn, e-post, telefon, meddelandeGymmets personal.

Platsen läses bara på telefonen när medlemmen öppnar dörren, jämförs med gymmets position på telefonen och sparas aldrig.

Lagringstider: gruppchatten 90 dagar (fästa anslag behålls), anmälda meddelanden upp till 1 år medan anmälan utreds, notiser efter 90 dagar när de är lästa och 180 när de är olästa, push-token tills personen loggar ut, raderar kontot eller telefonen slutar ta emot notiser och högst nio månader efter senaste användning, räknade besök på gymmets hemsida 13 månader, och hela kontot 24 månader efter att samtliga medlemskap avslutats, med besked i appen en månad innan. Betalningar och orderhistorik bevaras i 7 år enligt bokföringslagen, knutna till en profil utan namn och e-post. Övrigt sparas tills kontot raderas eller gymmet tar bort det.

Utöver personuppgifterna lagras gymmets eget innehåll: logotyp och varubilder, som är publikt läsbara som butiksinnehåll, och nycklar till gymmets externa system, som är konfidentiella. Gymmet ansvarar för att varubilder föreställer produkter och inte identifierbara personer.

Bilaga 2: Underbiträden

• Supabase Inc.Databas, inloggning, fillagring, serverfunktioner och schemalagda jobb. Plats: AWS eu-north-1, Stockholm. Överföring: lagringen ligger inom EU, och eventuell åtkomst från USA, till exempel vid support, sker enligt Supabases biträdesavtal med EU-kommissionens standardavtalsklausuler.
• Cloudflare, Inc. (drift)Drift och leverans av riggd.fit, webbappen, kundsidan och gymmens hemsidor. Ser tekniska uppgifter som IP-adress. Plats: Cloudflares globala nät. Överföring: EU-U.S. Data Privacy Framework (certifierad).
• Cloudflare, Inc. (e-post)E-post med Cloudflare Email Service: gymmets utskick, inloggningskoder, länkar för nytt lösenord och besked om ärenden. Får mottagarens adress och mejlets innehåll. Överföring: EU-U.S. Data Privacy Framework (certifierad).
• 650 Industries, Inc. (Expo)Bygger appen, levererar uppdateringar och tar emot push-notiserna för att lämna dem till Apple och Google. Får push-token och notisens rubrik och text, och vid uppdateringar en teknisk förfrågan med IP-adress. Plats: USA. Överföring: EU-U.S. Data Privacy Framework (certifierad).
• Apple Inc. (Apple Push Notification service)Levererar push till iPhone. Får push-token och notisens rubrik och text. Plats: USA. Överföring: EU-kommissionens standardavtalsklausuler, enligt Apples villkor.
• Google LLC (Firebase Cloud Messaging)Levererar push till Android. Får push-token och notisens rubrik och text. Plats: USA. Överföring: EU-U.S. Data Privacy Framework (certifierad).

Under gymmets eget avtal, inte underbiträden till Riggd: Stripe tar emot betalningarna för medlemskap, PT och avgifter till gymmets eget Stripe-konto, kopplat till Riggds plattformskonto med Stripe Connect. Gymmet har ett eget avtal med Stripe, och Riggd skickar Stripe medlemmens namn, e-post och en intern kod för köpet. Kortuppgifter når aldrig Riggd. Stripe, LLC är certifierat enligt EU-U.S. Data Privacy Framework. Gymmets låssystem, i dag KiiOn, får en order att öppna en viss dörr med gymmets egna inloggningsuppgifter, och inga uppgifter om medlemmen.

Planerat, och aktiveras först efter besked enligt punkt 7: en språkmodell för Träningshjälpen, som inte finns i appen i dag. Villkoren granskas och integritetspolicyn uppdateras innan funktionen slås på.

Bilaga 3: Skyddsåtgärder

Varje punkt beskriver något som är byggt och i drift, inte en ambition.

• Åtkomst i datalagretRadnivåsäkerhet på samtliga tabeller. Varje gyms data är isolerad per gym, och gränsen prövas med automatiska läckageprov. Rollerna (medlem, coach, huvudcoach, ägare) prövas i databasen, inte bara i gränssnittet, och bara ägaren ändrar behörigheter.
• Dataminimering per rollTelefonnummer och födelsedatum ligger i separat lagring som bara personen själv och gymmets personal når. Hälsouppgifter ser bara personen och gymmets personal. Medlemmen kan välja anonymt läge mot andra medlemmar.
• KrypteringTLS (HTTPS) för all trafik, och kryptering i vila hos molnleverantören.
• GallringSchemalagda nattjobb gallrar enligt Bilaga 1: chatt, anmälningar, notiser, push-token, hemsidebesök och inaktiva konton.
• Rättigheter i självserviceRegisterutdrag som maskinläsbar fil, rättelse, samtycken och kontoradering direkt i appen.
• RaderingKontoradering går genom en enda granskningsbar funktion som tar bort persondata, pseudonymiserar profilresten och spärrar inloggningen. Undantag: betalningar och orderhistorik enligt bokföringslagen, och chattmeddelanden som står kvar under Borttagen medlem tills 90-dagarsgallringen tar dem.
• ModereringEtt ordfilter i databasen stoppar de grövsta orden och skickar andra till gymmet för granskning. Anmälningar går direkt till gymmets ägare och huvudcoach, och Riggd tittar på det som inte hanterats inom 24 timmar. Riggd läser bara det som anmälts, och varje läsning loggas.
• Riggds egen åtkomstRiggds personal når gymmens uppgifter bara genom avgränsade funktioner, och varje läsning lämnar ett spår i en logg.
• Hemligheter och nycklarNycklar och tokens lagras aldrig i koden, och varje ändring skannas automatiskt. Dörrintegrationens hemligheter ligger i en tabell utan läsregler, som bara serverfunktioner når. Gymmets egna integrationsnycklar når bara gymmets ägare och huvudcoach, läses bara på servern och visas alltid maskerade.
• FillagringUppladdade filer ligger i avgränsade lagringshinkar där bara ägaren eller huvudcoachen skriver i gymmets egen mapp. Hinkarna för logotyp och varubilder är publikt läsbara och inte avsedda för personuppgifter.
• ÄndringskontrollSchemat ändras bara genom versionerade migrationer, med automatisk kontroll av radnivåsäkerheten. Varje kodändring passerar typkontroll, prov och hemlighetsskanning före driftsättning.
• SäkerhetskopiorSäkerhetskopior hos Supabase, inom samma EU-region, roterade enligt leverantörens schema.
• IncidenterAlistra AB ansvarar för incidentrutinen, med Ali Storm som incidentansvarig och Hans Grobecker och Mia i Riggds team. En incident som rör gymmets uppgifter meddelas gymmets ägare enligt punkt 10. Kontakt: info@riggd.se.