Personvern og vilkår – Databehandleravtale

• Behandlingsansvarlig: klubben (idrettslaget) som bruker Klubbtid, heretter «klubben».
• Databehandler: Base 12 AS, org.nr. 930 002 615, Nedre Banegate 41, 4014 Stavanger, heretter «databehandleren».

Avtalen godtas av den som oppretter klubben i Klubbtid, på vegne av klubben. Den er en del av vilkårene. Ved motstrid gjelder denne avtalen for behandling av personopplysninger.

Avtalen gjelder ikke Klubbtid Solo, kontoer og innlogging, fakturering eller statistikk. Der er Base 12 AS selv behandlingsansvarlig (se personvernerklæringen).

Databehandleren behandler opplysningene bare for å levere Klubbtid til klubben:

• registrering av timer, antall (for eksempel kamper) og kjøring
• beregning av beløp og kjøregodtgjørelse etter klubbens satser
• eksport av timelister til Excel og CSV, også samlet for klubbens lønnskjøring
• levering, godkjenning og grunnlag for utbetaling i klubben
• invitasjoner, forespørsler om å bli med og administrasjon av medlemmer
• drift, sikkerhetskopi, feilretting og brukerstøtte

Behandlingen består av innsamling, lagring, beregning, visning, eksport og sletting. Den skjer i Klubbtid, levert over internett.

Registrerte

• trenere
• ledere
• andre som fører timer for klubben, for eksempel de som vasker hallen eller står i kiosken
• klubbens admins
• personer som er invitert til klubben
• passasjerer som er ført på en kjøring (ofte barn og unge i klubben)

Opplysninger

• navn og e-postadresse
• rolle i klubben, og om personen er aktiv
• timer, antall, aktiviteter, satser, kommentarer og kjøring (strekning, formål, km, bom og parkering)
• navn på passasjerer, bare som dokumentasjon for passasjertillegget
• timelistenes status og kommentarer fra admin
• kontonummer, adresse, postnummer og poststed, og skattekommune
• fødselsnummer (kryptert, frivillig med mindre klubben krever det før levering)

Klubbtid er ikke laget for særlige kategorier av personopplysninger (som helse). Slike opplysninger skal ikke legges inn, heller ikke i kommentarfelt.

Avtalen gjelder så lenge klubben bruker Klubbtid, og deretter til opplysningene er slettet eller levert tilbake (se «Sletting og tilbakelevering»).

Databehandleren skal:

1. behandle opplysningene bare etter dokumenterte instrukser fra klubben. Denne avtalen, vilkårene og det klubben gjør i Klubbtid (for eksempel innstillinger) er klubbens instrukser. Krever loven noe annet, sier vi fra først, med mindre loven forbyr det. Mener vi en instruks er ulovlig, sier vi fra straks.
2. sørge for at de som har tilgang til opplysningene, har taushetsplikt.
3. ha sikkerhetstiltak etter artikkel 32 (se «Sikkerhetstiltak»).
4. bruke underleverandører bare slik det står i denne avtalen.
5. hjelpe klubben med å svare på krav fra de registrerte.
6. hjelpe klubben med sikkerhet, avviksmelding, konsekvensvurdering (DPIA) og forhåndsdrøfting med Datatilsynet.
7. slette eller levere tilbake opplysningene når avtalen slutter.
8. gi klubben informasjonen som trengs for å vise at avtalen følges, og åpne for revisjon.

Databehandleren bruker ikke opplysningene til egne formål.

Tiltakene i Klubbtid i dag:

• All trafikk er kryptert (HTTPS).
• Fødselsnummer krypteres (AES-256-GCM) i applikasjonen før det lagres. Det dekrypteres bare når personen selv viser det eller laster ned timelisten sin, og når en admin i klubben velger å ta det med i eksporten av godkjente timelister. Det vises aldri i appen, bare i filen. Hver eksport med fødselsnummer logges med hvem og når, og vises for klubbens admins.
• Tilgang styres per klubb. Hver side og handling sjekker at brukeren er aktivt medlem av klubben, og at bare admin kan gjøre det som krever admin. Alle spørringer mot klubbens data filtreres på klubben.
• Innlogging uten passord, med engangskode på e-post (gyldig i kort tid, lagret som hash) eller passkey.
• Begrensning av antall innloggingsforsøk.
• Drift og database i EU.

Klubben gir generell tillatelse til at databehandleren bruker disse underleverandørene:

Underleverandørene har avtaler med databehandleren med de samme pliktene som i denne avtalen. Overføring ut av EU/EØS skjer bare med gyldig grunnlag, som vist i tabellen.

Vil vi legge til eller bytte en underleverandør, varsler vi klubbens admin på e-post minst 30 dager før. Klubben kan protestere. Finner vi ingen løsning, kan klubben si opp avtalen før endringen gjelder.

Ber en person om innsyn, retting, sletting eller noe annet, hjelper vi klubben med å svare. Kommer kravet til oss, sender vi det videre til klubben uten å svare på det selv, med mindre klubben ber oss om det.

Vi gir også klubben informasjonen den trenger for en konsekvensvurdering (DPIA) eller en forhåndsdrøfting med Datatilsynet.

Oppdager vi et brudd på sikkerheten som rammer klubbens opplysninger, varsler vi klubbens admin uten unødig opphold, og senest 48 timer etter at vi oppdaget det. Varselet sier så langt vi vet hva som har skjedd, hvem og hvilke opplysninger som er berørt, mulige følger, og hva vi har gjort. Klubben melder bruddet til Datatilsynet når det kreves.

Klubben avslutter selv i klubbinnstillingene. Da blir klubben skrivebeskyttet, og klubben kan laste ned timelistene (samlet i Excel og CSV, og hver persons egen). Det er klubben som har plikten til å oppbevare regnskapsdokumentasjon, så klubben må ta vare på det den trenger før opplysningene slettes. 90 dager etter at klubben er avsluttet, sletter vi klubbens personopplysninger. Klubben kan gjenåpne før det.

Vi gir klubben den informasjonen som trengs for å vise at vi følger avtalen. Klubben kan revidere oss, selv eller med en uavhengig revisor med taushetsplikt. Vi avtaler tid og omfang sammen, med rimelig varsel.

Dette er versjon 2026-11-12. Når avtalen godtas, lagrer vi hvem som godtok, når, og hvilken versjon. Ved vesentlige endringer får avtalen ny versjon, og admin i klubben blir bedt om å godta på nytt.