Version 1.0

Personuppgiftsbiträdesavtal (DPA)

Version 1.0 — 2026-10-08. Bilaga B till Huvudavtalet (arenix.se/klubbavtal). Avtalet ingås digitalt per verksamhet när en behörig företrädare godkänner klubbavtalspaketet vid beställningen.

---

Parter

• Personuppgiftsansvarig ("Klubben"): den verksamhet vars namn och organisationsnummer anges vid beställningen (loggas enligt Huvudavtalet)
• Personuppgiftsbiträde ("Arenix"): Arenix AB (org.nr 559593-4737), med säte i Jokkmokk.

Detta avtal utgör bilaga B till parternas klubbavtal om användning av Arenix-plattformen ("Huvudavtalet", arenix.se/klubbavtal) och uppfyller kraven i artikel 28.3 i dataskyddsförordningen (EU) 2016/679 ("GDPR").

DPA:t gäller endast behandling som Arenix utför för Klubbens räkning. Det gäller inte behandling där Arenix självständigt bestämmer ändamål och väsentliga medel, exempelvis avtalsadministration och fakturering gentemot Klubben samt den behandling för egen plattforms- och kontosäkerhet som beskrivs i Arenix integritetsinformation. Rollfördelningen bestäms alltid av parternas faktiska behandling och kan inte ändras enbart genom denna beteckning.

Om en behandling samtidigt tjänar Klubbens och Arenix egna ändamål ska parterna dokumentera rollfördelningen innan behandlingen påbörjas.

1. Behandlingens föremål, art och ändamål

Arenix tillhandahåller en digital plattform för föreningsadministration. Behandlingen omfattar insamling, registrering, strukturering, lagring, hämtning, visning, kommunikation, sammanställning, export, rättelse, begränsning, anonymisering och radering. Utlämnande sker endast till Klubben, registrerade och godkända underbiträden eller mottagare enligt dokumenterade instruktioner.

Ändamålen är att tillhandahålla medlemsadministration, schema och bokning, närvarorapportering, produkter och betalningsregistrering (kortbetalning via Klubbens Stripe-konto samt registrering av Swish-betalningar till Klubbens eget nummer), klubbkommunikation (e-post/SMS/push/meddelanden), anhörig-/delegationsfunktioner, evenemang, prova-på-flöden samt framtagning och export av LOK-stödsunderlag. Behandlingen sker för att fullgöra Huvudavtalet, under hela dess giltighetstid.

2. Kategorier av registrerade och uppgifter

Registrerade: Klubbens medlemmar, medlemmars anhöriga/vårdnadshavare, prova-på-deltagare, tränare och administratörer.

Personuppgifter: namn, kontaktuppgifter (e-post, telefon, adress), födelsedatum, kön (frivilligt), personnummer (fältkrypterat; se nedan), medlemskaps-, boknings- och närvarohistorik, betalningshistorik (belopp, produkt, status — aldrig kortnummer), meddelanden och notiser inom plattformen, SMS-innehåll, formulärsvar vid evenemangsanmälan, användarskapade fritextanteckningar, medlemsansökningar och beslutsmotiveringar, delegations-/anhörigkopplingar med relationstyp och relationsanteckning, uppladdade bilder och filer som kan innehålla personuppgifter, push-prenumerationsdata (endpoint, user-agent), e-postleveranslogg (adress, ämne), tekniska loggar (inloggningsförsök, säkerhets- och ändringshändelser, IP-adress och user-agent — för prova-på-anmälningar lagras IP endast i saltat hashad form).

Personnummer behandlas, när funktionen används, för LOK-stödsunderlag samt för identifiering och matchning i anhörig-/delegationsflöden. Personnummer lagras fältkrypterat. Klubben ansvarar för att varje sådant ändamål är nödvändigt, proportionerligt och har rättsligt stöd.

Känsliga uppgifter: Tjänstens standardfält är inte avsedda för särskilda kategorier av personuppgifter enligt artikel 9 GDPR eller uppgifter om lagöverträdelser enligt artikel 10. Klubben får inte genom egna formulär, anteckningar eller meddelanden instruera Arenix att behandla sådana uppgifter utan att parterna dessförinnan skriftligen har dokumenterat kategorier, ändamål, rättsligt stöd, åtkomst, gallring och erforderliga säkerhetsåtgärder.

Arenix har ingen allmän skyldighet att granska Klubbens fritext. Om Arenix får faktisk kännedom om otillåten behandling får Arenix begränsa berörd funktion och ska underrätta Klubben. Klubben ska utan onödigt dröjsmål radera uppgifterna eller lämna en dokumenterad och laglig instruktion som Arenix har accepterat.

3. Klubbens ansvar och instruktioner

Klubben är personuppgiftsansvarig och ansvarar för att behandlingen har rättslig grund, att de registrerade informeras, och att instruktionerna till Arenix är lagenliga.

Arenix behandlar personuppgifterna endast enligt dokumenterade instruktioner från Klubben. Huvudavtalet, detta DPA, Klubbens val och konfiguration i Tjänsten samt skriftliga supportinstruktioner utgör de dokumenterade instruktionerna.

Arenix får behandla eller överföra personuppgifter utan sådan instruktion endast när Arenix är skyldigt att göra det enligt unionsrätt eller svensk rätt. Arenix ska innan behandlingen informera Klubben om det rättsliga kravet, om inte lagen förbjuder sådan information av viktiga skäl av allmänt intresse.

Om Arenix anser att en instruktion strider mot GDPR eller annan tillämplig dataskyddsrätt ska Arenix omedelbart underrätta Klubben och får avvakta med den berörda instruktionen till dess att Klubben har bekräftat, ändrat eller återkallat den. Om Klubben vidhåller en uppenbart olaglig instruktion får Arenix säga upp den berörda behandlingen eller Huvudavtalet.

4. Sekretess

Arenix säkerställer att personer med behörighet att behandla personuppgifterna omfattas av tystnadsplikt (avtalad eller lagstadgad) och att åtkomst ges behovsstyrt — endast till dem som behöver den för sina arbetsuppgifter.

5. Säkerhetsåtgärder

Arenix vidtar de tekniska och organisatoriska åtgärder som beskrivs i Bilaga 1 och som uppfyller kraven i art. 32 GDPR. Åtgärderna får uppdateras löpande, dock aldrig till en lägre samlad skyddsnivå.

6. Underbiträden

Denna punkt utgör Klubbens allmänna skriftliga förhandstillstånd enligt artikel 28.2 GDPR. Underbiträden som anges i Bilaga 2 vid avtalets ingående är godkända.

Arenix ska välja underbiträden som ger tillräckliga garantier avseende sakkunskap, tillförlitlighet, resurser, säkerhetsåtgärder och internationella överföringar. Arenix ska genom skriftligt avtal ålägga varje underbiträde materiellt motsvarande skyldigheter som är tillämpliga på dess behandling och förblir fullt ansvarigt gentemot Klubben för underbiträdets fullgörande.

Arenix ska aktivt underrätta Klubbens dataskyddskontakt minst 30 dagar innan ett nytt eller ersättande underbiträde börjar behandla Klubbens personuppgifter. Underrättelsen ska ange juridiskt namn, adress, kontaktuppgift, behandling, plats, eventuella under-underbiträden och tillämplig överföringsmekanism.

Klubben får under underrättelseperioden göra en skriftlig och motiverad invändning av dataskyddsskäl. Arenix får inte låta det nya underbiträdet behandla Klubbens uppgifter innan perioden löpt ut. Parterna ska därefter under högst 30 dagar försöka finna en rimlig alternativ lösning. Om detta inte lyckas får Klubben utan särskild uppsägningsavgift säga upp den berörda funktionen. Om underbiträdet är nödvändigt för hela Tjänsten får vardera parten säga upp Huvudavtalet, med fortsatt rätt för Klubben att exportera sina data enligt § 9.

Utebliven invändning inom 30 dagar ska anses innebära att Klubben inte motsätter sig ändringen inom ramen för det allmänna förhandstillståndet.

7. Bistånd till Klubben

Arenix ska, genom lämpliga tekniska och organisatoriska åtgärder och i den utsträckning det är möjligt med hänsyn till behandlingens art:

1. utan onödigt dröjsmål vidarebefordra en begäran från en registrerad som avser Klubbens behandling, och inte besvara den annat än enligt Klubbens instruktion eller när Arenix agerar som självständigt personuppgiftsansvarig;
2. tillhandahålla funktioner för sökning, export, rättelse, begränsning och radering samt manuellt bistånd där funktionerna inte räcker;
3. på begäran tillhandahålla tillgänglig information om säkerhetsåtgärder, incidenter, dataplats, mottagare och gallring;
4. bistå med konsekvensbedömning och förhandssamråd enligt artiklarna 35–36, i den utsträckning informationen finns hos Arenix.

Klubben ansvarar för att bedöma begärans identitet, tillämplighet, undantag och slutligt svar. Arenix ska lämna normalt bistånd inom fem arbetsdagar eller inom en kortare skälig tid som krävs för att Klubben ska kunna hålla en lagstadgad frist. Extraordinärt manuellt arbete får debiteras endast enligt på förhand meddelad och accepterad prisuppgift, utom när behovet orsakats av Arenix avtalsbrott.

8. Personuppgiftsincidenter

Arenix ska utan onödigt dröjsmål och, när det rimligen är möjligt, inom 24 timmar efter att ha fått kännedom om en personuppgiftsincident underrätta Klubbens registrerade dataskyddskontakt. En första underrättelse får vara preliminär och ska kompletteras löpande.

Underrättelsen ska, i den mån informationen är tillgänglig, innehålla incidentens art, berörda kategorier och ungefärligt antal registrerade och poster, sannolika konsekvenser, vidtagna eller föreslagna åtgärder, kontaktpunkt samt tidpunkter för upptäckt och begränsning — det Klubben behöver för sin eventuella anmälan till IMY inom 72 timmar. Arenix ska dokumentera incidenten och skäligen bistå Klubben med anmälan och information till registrerade.

Klubbens incident- och dataskyddskontakt är den särskilt registrerade adressen i Tjänsten, eller i avsaknad av sådan Klubbens primära avtalskontakt. Klubben ansvarar för att adressen hålls aktuell. Incidenter till Arenix rapporteras till [email protected] (säkerhetspolicy: /.well-known/security.txt).

9. Radering och återlämning

Vid Huvudavtalets upphörande ska Arenix, enligt Klubbens val, radera eller återlämna (export i strukturerat format) samtliga personuppgifter och radera befintliga kopior, såvida inte lagring krävs enligt unionsrätten eller svensk rätt. Radering sker senast 90 dagar efter upphörandet; backuper roteras ut enligt backupschemat i Bilaga 1.

Klubben får lämna eller ändra sitt val fram till 30 dagar efter Huvudavtalets upphörande. Arenix ska på begäran skriftligen bekräfta att radering i aktiva system har slutförts. Uppgifter i säkerhetskopior får inte återföras till aktiv behandling annat än för återställning efter incident; om en backup återläses ska tidigare raderingsinstruktioner åter verkställas.

10. Granskning och revision

Arenix ger Klubben tillgång till den information som krävs för att visa att skyldigheterna i art. 28 GDPR fullgörs, och möjliggör och bidrar till granskningar/inspektioner som utförs av Klubben eller av tredje part som Klubben bemyndigat.

Arenix får i första hand uppfylla revisionsskyldigheten genom aktuell säkerhetsdokumentation, relevanta rapporter och skriftliga svar. Revision på plats får normalt ske högst en gång per tolvmånadersperiod och ska aviseras minst 30 dagar i förväg, ske under kontorstid och inte oskäligt störa driften. Aviseringsfristen och frekvensbegränsningen gäller inte granskning som krävs av tillsynsmyndighet, som föranleds av en konstaterad personuppgiftsincident eller av en välgrundad misstanke om brist — sådan granskning möjliggörs utan onödigt dröjsmål. Revisorn ska vara oberoende, omfattas av sekretess och iaktta andra kunders skydd.

Standardmässigt dokumentationsbistånd ingår. Klubben bär sin revisors kostnader. Arenix får debitera skäliga, verifierade merkostnader för en extraordinär revision efter förhandsbesked, men inte om revisionen visar ett väsentligt avtalsbrott hos Arenix eller följer av en incident som Arenix ansvarar för.

11. Tredjelandsöverföring

Arenix får överföra eller ge åtkomst till Klubbens personuppgifter utanför EU/EES endast i enlighet med Klubbens dokumenterade instruktioner i detta DPA och Bilaga 2 samt kapitel V GDPR.

För varje sådan överföring ska Bilaga 2 ange dataimportör, land, behandling och mekanism. Om standardavtalsklausuler används ska Arenix eller relevant underbiträde dokumentera tillämplig modul, eventuell dockningsklausul, transfer impact assessment och kompletterande skyddsåtgärder. Arenix ska bedöma dokumentationen och på begäran göra den tillgänglig för Klubben i den utsträckning sekretess och lag tillåter.

Om överföringsmekanismen upphör att vara giltig ska Arenix omedelbart underrätta Klubben och stoppa överföringen eller införa en giltig alternativ mekanism.

12. Ansvar och giltighet

Ansvarsfördelning följer Huvudavtalet och art. 82 GDPR. Detta avtal gäller så länge Arenix behandlar personuppgifter för Klubbens räkning och har företräde framför Huvudavtalet i frågor om personuppgiftsbehandling.

---

Ingående

Avtalet ingås digitalt: underskrifter ersätts av klubbföreträdarens godkännande vid beställningen i Arenix, som loggas med verksamhet, organisationsnummer, företrädare, uppgiven funktion, tidpunkt, avtalsversion och IP-adress enligt Huvudavtalets partsavsnitt.

---

Bilaga 1 — Tekniska och organisatoriska åtgärder (TOM)

Åtgärderna speglar plattformens implementation. Driftberoende uppgifter som ännu inte är fastställda lämnas tomma i tabellen och kompletteras löpande; Klubben underrättas enligt punkt 13 när de ändras.

Åtgärderna får uppdateras löpande, dock aldrig till en lägre samlad skyddsnivå. Materiella ändringar förhandsmeddelas Klubben; ändringar som försämrar riskbild eller skyddsnivå kräver Klubbens skriftliga godkännande.

Bilaga 2 — Godkända underbiträden samt övriga mottagare

Underbiträden

Per underbiträde ska före signering anges: juridiskt namn (inte "koncernbolag"), adress och kontaktpunkt, konkret behandling, kategorier av uppgifter/registrerade, behandlings- och lagringsland (inkl. fjärråtkomst), eventuella under-underbiträden, överföringsmekanism (adekvans/DPF eller SCC-modul + TIA) samt aktiveringsvillkor.

Övriga mottagare (ej underbiträden, under rollutredning)

Följande aktörer behandlar uppgifter i samband med Tjänsten men redovisas inte som Arenix underbiträden förrän deras roll bekräftats juridiskt :

• Stripe Payments Europe Ltd — kortbetalningar och Connect-konton enligt Klubbens eget Stripe-avtal. Stripe kan vara Klubbens direkta leverantör och/eller självständigt personuppgiftsansvarig för delar av behandlingen.
• Webbpush-leverantörer — pushnotiser levereras tekniskt via den registrerades egen webbläsarleverantörs push-tjänst (t.ex. Google, Mozilla, Apple, Microsoft, Samsung, Opera) på den registrerades initiativ; notisinnehållet är krypterat i transit.
• Cloudflare Inc. (Turnstile) — robotskydd på publika formulär, endast när funktionen är aktiverad. EU/US-överföring via DPF/SCC.

Felrapportering sker till egen-driftad infrastruktur på Arenix egna servrar och utgör inget underbiträde.

Klubbavtalspaketet består av Huvudavtalet, Prisbilagan (bilaga A) och Personuppgiftsbiträdesavtalet (bilaga B). Priserna i korthet finns på prissidan.