Avtalens hensikt er å regulere partenes rettigheter og plikter etter gjeldende personvernlovgivning, herunder personopplysningsloven av 15. juni 2018 nr. 38 og EUs personvernforordning 2016/679 («GDPR»).
Avtalen skal sikre at personopplysninger om de registrerte ikke brukes urettmessig eller kommer uberettigede i hende. Den Behandlingsansvarlige fastsetter formålet med behandlingen av personopplysninger og hvilke hjelpemidler som skal brukes. Det er den Behandlingsansvarlige som har ansvaret for at personopplysninger behandles i henhold til de kravene som personvernlovgivningen oppstiller.
Den Behandlingsansvarlige skal sikre at det foreligger gyldig rettslig grunnlag for behandling av personopplysningene som behandles av Databehandleren.
Avtalen regulerer Databehandlerens behandling av personopplysninger på vegne av den Behandlingsansvarlige, herunder behandling som definert i GDPR artikkel 4 nr. 2
Enhver opplysning om en identifisert eller identifiserbar fysisk person («den registrerte»); en identifiserbar fysisk person er en person som direkte eller indirekte kan identifiseres, særlig ved hjelp av en identifikator, f.eks. et navn, et identifikasjonsnummer, lokaliseringsopplysninger, en online-identifikator eller ett eller flere elementer som er spesifikke for nevnte fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sosiale identitet.
Enhver operasjon eller rekke av operasjoner som gjøres med personopplysninger, enten automatisert eller ikke, f.eks. innsamling, registrering, organisering, strukturering, lagring, tilpasning eller endring, gjenfinning, konsultering, bruk, utlevering ved overføring, spredning eller alle andre former for tilgjengeliggjøring, sammenstilling eller samkjøring, begrensning, sletting eller tilintetgjøring.
En fysisk eller juridisk person, en offentlig myndighet, en institusjon eller ethvert annet organ som alene eller sammen med andre bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal benyttes; når formålet med og midlene for behandlingen er fastsatt i unionsretten eller i medlemsstatenes nasjonale rett, kan den Behandlingsansvarlige, eller de særlige kriteriene for utpeking av vedkommende, fastsettes i unionsretten eller i medlemsstatenes nasjonale rett.
En fysisk eller juridisk person, offentlig myndighet, institusjon eller ethvert annet organ som behandler personopplysninger på vegne av den Behandlingsansvarlige.
Enhver annen fysisk eller juridisk person, offentlig myndighet, institusjon eller ethvert annet organ enn den registrerte, den Behandlingsansvarlige, Databehandleren og de personer som under den Behandlingsansvarlige eller Databehandlerens direkte myndighet har fullmakt til å behandle personopplysninger.
Databehandleren behandler personopplysninger på vegne av den Behandlingsansvarlige i forbindelse med levering, drift og videreutvikling av Hoopit-plattformen.
Behandlingen skjer for å muliggjøre administrasjon av medlemskap, kommunikasjon, aktiviteter, arrangementer, betalinger, økonomioppfølging og øvrige funksjoner som inngår i Hoopits tjenester, slik disse til enhver tid er beskrevet i tjeneste- eller samarbeidsavtalen mellom partene.
Behandlingen omfatter blant annet innsamling, registrering, lagring, strukturering, bruk, tilgjengeliggjøring, overføring, sammenstilling, sletting og annen behandling som er nødvendig for å levere tjenestene.
Behandlingen kan omfatte personopplysninger om:
-Medlemmer
-Foresatte
-Trenere
-Ansatte og tillitsvalgte
-Andre personer tilknyttet den Behandlingsansvarlige
Behandlingen skjer så lenge tjenesteavtalen mellom partene består, og i den perioden det er nødvendig for å oppfylle avtalens formål eller rettslige forpliktelser.
Dersom Behandlingsansvarlig velger å aktivere integrasjon mot Norges Idrettsforbund (NIF), anses dette som en instruks til Databehandleren om å utveksle opplysninger som er nødvendige for validering og synkronisering av medlemskap. Dette inkluderer typisk navn, fødselsdato, postnummer, kjønn og medlemsstatus, samt tekniske identifikatorer for matching mot Idrettens Sentrale Database. NIF mottar disse opplysningene som selvstendig behandlingsansvarlig.
Denne Avtalen, sammen med Tjenesteavtalen og Løsningens standard funksjonalitet slik den til enhver tid foreligger, utgjør Behandlingsansvarliges samlede dokumenterte instrukser til Databehandleren
Følgende kategorier av personopplysninger kan behandles i Databehandlerens løsninger:
Listen ovenfor angir kategorier av personopplysninger som kan behandles og er ikke uttømmende.
Begrensning: Behandling av særlige kategorier av personopplysninger (GDPR art. 9), herunder helseopplysninger eller opplysninger om straffedommer og lovovertredelser, er ikke tillatt i Løsningen uten særskilt skriftlig tilleggsavtale. Behandlingsansvarlig er ansvarlig for å sikre at slike opplysninger ikke lastes opp i strid med dette forbudet.
Denne Avtalen, sammen med Tjenesteavtalen og Løsningens standard funksjonalitet slik den til enhver tid foreligger, utgjør Behandlingsansvarliges samlede dokumenterte instrukser til Databehandleren
Databehandleren skal sikre at personer som er autorisert til å behandle personopplysninger har forpliktet seg til konfidensialitet eller er underlagt lovbestemt taushetsplikt.
Databehandleren skal gi den Behandlingsansvarlige tilgang til relevant sikkerhetsdokumentasjon og bistå slik at den Behandlingsansvarlige kan oppfylle sine forpliktelser etter gjeldende personvernlovgivning.
Den Behandlingsansvarlige har, med mindre annet følger av lov eller avtale, rett til innsyn i behandlingen av personopplysninger og de systemer som benyttes etter denne avtalen. Databehandleren skal gi nødvendig bistand til dette innen rimelig tid.
Databehandleren skal uten ugrunnet opphold varsle den Behandlingsansvarlige dersom en instruks etter Databehandlerens vurdering er i strid med gjeldende personvernlovgivning.
Databehandleren har taushetsplikt om personopplysninger og dokumentasjon som behandles i henhold til denne avtalen. Taushetsplikten gjelder også etter avtalens opphør. Databehandleren skal sikre at alle som gis tilgang til opplysningene er bundet av tilsvarende konfidensialitetsforpliktelser.
Databehandleren skal oppfylle de kravene til sikkerhetstiltak som stilles etter enhver tid gjeldende norsk personvernlovgivning. Dersom det innføres endringer i krav til tjenestenivå og løsninger som medfører en økning i kostnader og ressursbruk hos Databehandler ut over det som er naturlig å påregne på tidspunktet for etablering av Databehandleravtalen, vil Databehandler kunne kreve slike kostnader dekket av Behandlingsansvarlig gjennom regulering av vederlaget for leveranse av tjenesten.
Sikkerhetsnivået skal hensynta arten av personopplysninger og risiko for brudd på datasikkerhet for den registrerte. Av den grunn skal Databehandler og Behandlingsansvarlig gjennomføre en risikogjennomgang for å sikre tilfredsstillende datasikkerhet. Risikovurdering og identifiserte sikkerhetstiltak vil ta utgangspunkt i mal for risikovurdering, som vedlagt eller ved bruk av Behandlingsansvarliges mal for risikovurdering.
Databehandleren skal ved behov på forespørsel dokumentere rutiner og andre tiltak for å oppfylle disse kravene. Dokumentasjonen skal være tilgjengelig på den Behandlingsansvarliges forespørsel.
Databehandleren skal sikre konfidensiell behandling av personopplysninger og skal ikke utlevere opplysninger til tredjepart eller behandle dem til egne formål, med mindre dette er nødvendig for levering av tjenesten i samsvar med denne avtalen eller følger av dokumenterte instruksjoner fra den Behandlingsansvarlige, gjeldende lovgivning eller bruk av godkjente underdatabehandlere. Opplysningene skal kun behandles i den utstrekning det er nødvendig for å levere tjenestene til den Behandlingsansvarlige, og skal kun gjøres tilgjengelig for personer under Databehandlerens instruksjonsmyndighet som har tjenstlig behov for tilgang.
Personopplysninger som behandles av Databehandleren på vegne av den Behandlingsansvarlige, kan bli overført til, lagret i og behandlet i land hvor Databehandleren eller dennes godkjente underdatabehandlere opererer.
Overføring av personopplysninger til land utenfor EØS skal kun skje dersom vilkårene i personvernforordningen kapittel V er oppfylt. Databehandleren skal sikre at et gyldig overføringsgrunnlag foreligger før slik overføring finner sted, herunder ved bruk av EU-kommisjonens standard personvernbestemmelser, adekvansbeslutning eller andre godkjente overføringsmekanismer.
Databehandleren skal på forespørsel kunne dokumentere hvilket overføringsgrunnlag som benyttes.
Databehandleren gis generell tillatelse til å engasjere underleverandører. En oversikt over godkjente underleverandører som benyttes for å levere tjenesten, fremgår av Bilag 1.
Databehandleren skal varsle Behandlingsansvarlig skriftlig minimum 30 dager før nye underdatabehandlere tas i bruk. Behandlingsansvarlig kan innen denne fristen protestere mot endringen dersom det foreligger saklig grunn.
Databehandleren er ansvarlig for å gjennomføre en sikkerhetsanalyse av underleverandørens evne til å oppfylle de kravene som følger av denne Databehandleravtalen og øvrige lovfestede krav til behandling av personopplysninger.
Databehandleren skal påse at alle underleverandører er bundet av de samme kravene til informasjonssikkerhet og utnyttelse som fremgår av denne Databehandleravtalen. Databehandleren er fullt ansvarlig overfor den Behandlingsansvarlige for alle brudd på de kravene og retningslinjer som gjelder etter denne Databehandleravtalen.
Databehandleren skal varsle den Behandlingsansvarlige uten ugrunnet opphold etter å ha blitt kjent med brudd på personopplysningssikkerheten. Dette omfatter ethvert brudd på sikkerheten som fører til utilsiktet eller ulovlig tilintetgjøring, tap, endring, uautorisert utlevering av eller tilgang til personopplysninger.
Varslingsmeldingen skal minst inneholde:
Den Behandlingsansvarlige har ansvaret for at avviksmelding sendes til Datatilsynet og eventuelt de registrerte i samsvar med gjeldende tidsfrister (72 timer).
Databehandleren skal regelmessig gjennomføre sikkerhetsrevisjoner og vurderinger av systemer og prosesser som omfattes av denne Avtalen. Revisjonene skal omfatte vurdering av organisering, sikkerhetstiltak og bruk av leverandører, og være tilpasset kravene etter gjeldende personvernlovgivning. Dokumentasjon fra slike revisjoner skal gjøres tilgjengelig for den Behandlingsansvarlige på forespørsel.
Den Behandlingsansvarlige kan, med rimelig forhåndsvarsel, maksimalt én gang per år, be om å få gjennomført revisjon av Databehandlerens etterlevelse av denne Avtalen. Revisjon skal gjennomføres på en måte som ikke unødig forstyrrer Databehandlerens virksomhet eller sikkerhet.
Dersom den Behandlingsansvarlige ønsker revisjon gjennomført av tredjepart, skal revisor være uavhengig, underlagt taushetsplikt og godkjent av begge parter. Slik godkjenning skal ikke nektes uten saklig grunn.
Med mindre annet følger av lov eller avtale, skal den Behandlingsansvarlige dekke rimelige dokumenterte kostnader knyttet til gjennomføring av revisjon etter denne bestemmelsen.
Databehandleren skal, så langt det er mulig og innenfor rammen av behandlingen, bistå den Behandlingsansvarlige med å oppfylle dennes plikter til å ivareta de registrertes rettigheter etter gjeldende personvernlovgivning.
Slik bistand omfatter blant annet håndtering av forespørsler om innsyn, retting, sletting, begrensning av behandling, dataportabilitet, protest og andre rettigheter etter regelverket.
Dersom Databehandleren mottar en henvendelse direkte fra en registrert vedrørende behandling av personopplysninger som omfattes av denne Avtalen, skal henvendelsen uten ugrunnet opphold videresendes til den Behandlingsansvarlige, med mindre annet følger av lov.
Bistand som ytes av Databehandleren i forbindelse med de registrertes rettigheter, sikkerhetsrevisjoner eller bistand ved avvik som ikke skyldes Databehandlerens mislighold, faktureres Behandlingsansvarlig etter Databehandlerens til enhver tid gjeldende timesatser.
Denne avtalen gjelder så lenge Databehandleren behandler personopplysninger på vegne av den Behandlingsansvarlige.
Ved opphør av tjenesteavtalen skal Databehandleren uten ugrunnet opphold opphøre behandlingen av personopplysninger og slette eller tilbakelevere opplysningene til den Behandlingsansvarlige, med mindre videre lagring er påkrevd etter gjeldende lovgivning.
Ved brudd på denne avtalen eller gjeldende personvernlovgivning kan den Behandlingsansvarlige kreve at Databehandleren stanser behandlingen av personopplysninger med umiddelbar virkning så langt dette er praktisk mulig.
Ved opphør av denne avtalen skal Databehandleren, etter instruks fra den Behandlingsansvarlige og uten ugrunnet opphold, enten overlevere eller forsvarlig slette alle personopplysninger og tilhørende dokumentasjon som behandles i henhold til avtalen. Dette gjelder også for eventuelle sikkerhetskopier og opplysninger lagret hos underdatabehandlere.
Sletting skal ikke gjennomføres dersom videre lagring er påkrevd etter gjeldende lovgivning. I slike tilfeller skal opplysningene fortsatt behandles i samsvar med denne avtalen og gjeldende personvernlovgivning.
Databehandleren skal skriftlig dokumentere overfor den Behandlingsansvarlige at sletting og/eller destruksjon er gjennomført i samsvar med denne bestemmelsen innen rimelig tid etter avtalens opphør.
Databehandleren er ikke ansvarlig for indirekte tap eller følgeskader som oppstår som følge av brudd på denne avtalen, med mindre tapet skyldes grov uaktsomhet eller forsett fra Databehandlerens side.
Databehandlerens samlede ansvar for direkte tap etter denne avtalen er begrenset til et beløp tilsvarende det samlede vederlag som den Behandlingsansvarlige har betalt for tjenestene de siste tolv (12) måneder før det ansvarsbetingende forhold oppstod.
Ansvarsbegrensningene i denne bestemmelsen gjelder ikke i den utstrekning annet følger av ufravikelig lovgivning.
Den Behandlingsansvarlige skal holde Databehandleren skadesløs for krav fra tredjepart i den grad kravet skyldes forhold den Behandlingsansvarlige er ansvarlig for.
Endringer eller tillegg til denne Avtalen skal være skriftlige og godkjent av begge parter.
Oppdateringer som skjer innenfor rammene av Avtalen, herunder endringer i underdatabehandlere, tekniske løsninger eller sikkerhetstiltak, anses ikke som endringer av Avtalen så lenge vilkårene i Avtalen fortsatt oppfylles. Slike oppdateringer skal varsles eller gjøres tilgjengelig for den Behandlingsansvarlige i samsvar med Avtalens øvrige bestemmelser.
Denne Avtalen er underlagt norsk rett.
Eventuelle tvister som oppstår i forbindelse med Avtalen skal avgjøres ved Romerike og Glåmdal tingrett som eksklusivt verneting. Bestemmelsen gjelder også etter Avtalens opphør.
Sist oppdatert: 30.09.2026