Databehandleravtale

1. Partene og hva avtalen gjelder

Behandlingsansvarlig er arrangøren: klubben eller organisasjonen som oppretter stevnet i Stevneportalen («arrangøren»). Databehandler er Oppløpet AS, org.nr 838 175 902 («Oppløpet»), som leverer stevneportalen.no og callroom.no.

Avtalen gjelder personopplysningene arrangøren legger inn i sine stevner, og som Oppløpet behandler for å levere tjenesten. Den gjelder fra arrangøren oppretter sitt første stevne, og så lenge arrangøren har stevner i tjenesten. Arrangøren svarer for at den som aksepterer avtalen, har fullmakt til å inngå den på arrangørens vegne.

For arrangørkontoene, besøksstatistikken og de tekniske loggene er Oppløpet selv behandlingsansvarlig. Den behandlingen er beskrevet i personvernerklæringen og omfattes ikke av denne avtalen.

2. Behandlingen

Formål: å planlegge og gjennomføre stevnet, publisere stevnesidene, sende avkryssingsmail og la deltakere bekrefte oppmøte, og å organisere funksjonærene. Opplysningene brukes ikke til noe annet.

Hvem opplysningene gjelder: utøvere og de som har meldt dem på (ofte foresatte), funksjonærer og dommere, stevneleder, og de som gir tilbakemelding etter stevnet.

Hvilke opplysninger: for utøvere navn, klubb, aldersklasse, fødselsdato, øvelser, startnummer, heat- og baneplassering, resultater, eventuelt personlige rekorder og sesongbeste, avkryssingsstatus, om startnummeret er hentet, og identifikatorene utøveren har hos iSonen og minfriidrettsstatistikk; for påmelderen e-postadresse og mobilnummer; for funksjonærer og dommere navn, mobilnummer, e-postadresse, klubb, funksjonærtype, roller, tilgjengelighet, oppmøte og notater arrangøren skriver; for stevneleder navn, telefon og e-post; og tilbakemeldinger med eventuelt navn. Hva hver opplysning brukes til og hvor den vises, er beskrevet i personvernerklæringen.

Varighet: så lenge stevnet finnes i tjenesten, med den automatiske slettingen beskrevet i punkt 9.

3. Arrangørens instrukser

Oppløpet behandler opplysningene bare etter arrangørens dokumenterte instrukser. Instruksene gis gjennom det arrangøren gjør i tjenesten: importerer påmeldinger, registrerer funksjonærer, publiserer tidsskjema, startlister og resultater, deler lenker til dommerskjema, oppmøteliste, startnummer og tilbakemeldinger, sender avkryssingsmail, kobler stevnet til OpenTrack, henter personlige rekorder og sesongbeste, og sletter stevnet. Tjenestens funksjoner, slik de er beskrevet i personvernerklæringen og hjelpen, utgjør til sammen instruksene.

Kobler arrangøren stevnet til OpenTrack, sender Oppløpet på arrangørens instruks tidsskjema, heat- og baneinndeling, seedingresultater og avkryssingsstatus til OpenTrack i Storbritannia. Overføringen er arrangørens, og grunnlaget er EU-kommisjonens adekvansbeslutning for Storbritannia.

Utover underleverandørene i punkt 6 og OpenTrack-overføringen over overfører Oppløpet ikke opplysninger til land utenfor EØS. Mener Oppløpet at en instruks strider mot personvernregelverket, sier Oppløpet fra til arrangøren.

4. Taushetsplikt

De som har tilgang til opplysningene hos Oppløpet, har taushetsplikt om dem. Tilgangen er begrenset til det som trengs for drift, feilsøking og support, og taushetsplikten gjelder også etter at avtalen eller arbeidsforholdet er over.

5. Sikkerhet

Oppløpet gjennomfører disse tiltakene for å sikre opplysningene (artikkel 32):

• Tilgangsstyring: administrasjonen av stevnet krever innlogging og medlemskap i arrangørens organisasjon, med roller som arrangørens administratorer styrer selv. Det arrangøren publiserer (tidsskjema, startlister, resultater og stevneinformasjon), er åpent for alle, slik det er ment.
• Åpne innganger arrangøren selv velger: dommerskjema, oppmøteliste, startnummer og tilbakemeldinger deles med lenker som inneholder en tilfeldig nøkkel, og hver lenke gir tilgang til bare det den er laget for. Avkryssingen krever innlogging med påmelderens e-postadresse eller utøverens navn og fødselsdato. Det åpne funksjonærskjemaet tar imot registreringer bare når arrangøren har slått det på, og er begrenset i antall per avsender og per stevne.
• Kryptert transport: all trafikk mellom nettleseren og tjenesten går over HTTPS, og tjenesten krever det.
• Sletteregler: påmelderens e-post og mobilnummer og utøverens fødselsdato slettes automatisk sju dager etter stevnets siste dag, se punkt 9.
• Drift i EU: serverne og databasen hele tjenesten kjører på, står i EU. Feilrapporter inneholder ikke navn, e-post eller IP-adresse. I serverloggene maskeres e-post, telefon og fødselsdato før de skrives.

Oppløpet holder tiltakene ved like og oppdaterer dem når tjenesten endrer seg. Endringer som svekker sikkerheten, varsles arrangøren.

6. Underleverandører

Arrangøren godkjenner at Oppløpet bruker underleverandørene som står i tabellen «Hvem vi deler opplysninger med» i personvernerklæringen, med det overføringsgrunnlaget som står der. Oppløpet har avtaler med hver av dem som pålegger de samme forpliktelsene som denne avtalen, og svarer overfor arrangøren for det underleverandørene gjør.

Vil Oppløpet ta i bruk en ny underleverandør eller bytte en ut, varsles det på stevneportalen.no minst 30 dager før endringen. Arrangøren kan protestere innen fristen. Blir ikke protesten løst, kan arrangøren avslutte avtalen for stevnet ved å slette det, uten kostnad for sletting.

iSonen, OpenTrack og minfriidrettsstatistikk.info er ikke underleverandører. De er selvstendige tjenester arrangøren selv velger å bruke, og de behandler opplysningene på eget ansvar.

7. Bistand med de registrertes rettigheter

Henvendelser fra deltakere, foresatte eller funksjonærer om innsyn, retting, sletting eller begrensning sendes videre til arrangøren, som avgjør saken. Arrangøren kan selv rette og slette opplysninger i tjenesten. Det arrangøren ikke kan gjøre selv, hjelper Oppløpet med på forespørsel, så langt det lar seg gjøre med tjenestens innretning.

8. Brudd på personopplysningssikkerheten

Blir Oppløpet kjent med et brudd på personopplysningssikkerheten som rammer arrangørens opplysninger, varsles arrangøren uten ugrunnet opphold og senest innen 48 timer. Varselet beskriver hva som har skjedd, hvilke opplysninger og hvor mange personer som er berørt så langt det er kjent, sannsynlige konsekvenser, og hva Oppløpet har gjort og vil gjøre. Oppløpet bistår arrangøren med meldingen til Datatilsynet og eventuell underretning til de berørte.

Oppløpet bistår også, så langt det er mulig ut fra hva Oppløpet vet om behandlingen, hvis arrangøren må gjennomføre en vurdering av personvernkonsekvenser eller forhåndsdrøfte med Datatilsynet.

9. Sletting og tilbakelevering

Arrangøren kan når som helst slette stevnet selv. Da slettes alle opplysningene om deltakere og funksjonærer som hører til det. Tidsskjema, startlister, resultater og funksjonærlister kan lastes ned fra tjenesten underveis. Vil arrangøren ha ut alle stevnedataene i maskinlesbart format før sletting, leverer Oppløpet dem på forespørsel. Ber arrangøren om at organisasjonen slettes, sletter Oppløpet først organisasjonens stevner og deretter organisasjonen.

Uavhengig av dette slettes påmelderens e-postadresse og mobilnummer og utøverens fødselsdato automatisk sju dager etter stevnets siste dag, sammen med mottakeradressene i loggen over utsendte avkryssingsmailer.

Når avtalen opphører, sletter Oppløpet opplysningene, med mindre lovgivning krever at de beholdes. Da beholdes de bare så lenge og i den grad loven krever.

10. Dokumentasjon og revisjon

Oppløpet stiller på forespørsel til rådighet den informasjonen arrangøren trenger for å vise at forpliktelsene i artikkel 28 er oppfylt, blant annet beskrivelsen av behandlingen og sikkerhetstiltakene i denne avtalen og personvernerklæringen, og avtalene med underleverandørene. Arrangøren kan gjennomføre eller få gjennomført revisjon av behandlingen med rimelig varsel. Arrangøren dekker egne kostnader ved revisjonen.

11. Varighet, endringer og lovvalg

Avtalen gjelder så lenge Oppløpet behandler opplysninger på arrangørens vegne. Oppløpet kan endre avtalen når tjenesten eller regelverket endrer seg. Endringer varsles på stevneportalen.no. Avtalen er underlagt norsk rett. Spørsmål om avtalen kan sendes til kontakt@stevneportalen.no.

Sist oppdatert 13. oktober 2026