iSwim

Avtalen er mellom klubben og 1AM, org.nr. 123456789, Hunsrødsvingen 6, 3241 Sandefjord, Norge («iSwim»).

Klubben er avtaleparten, ikke den enkelte brukeren. En administrator godtar avtalen på vegne av klubben og bekrefter samtidig å ha fullmakt til det. Avtalen gjelder fra den er godtatt.

iSwim er en nettbasert tjeneste for svømmeklubber. Klubben kan føre register over svømmerne sine, planlegge stevner, invitere andre klubber, ta tid med mobiltelefoner og vise heats og tider direkte mens et stevne pågår.

iSwim videreutvikler tjenesten løpende, og funksjoner kan bli endret. Noen funksjoner er bare slått på for enkelte klubber.

iSwim er halvautomatisk tidtaking med mobiltelefoner. Tidene har større feilmargin enn elektronisk tidtaking med touchplater. Tjenesten er laget for uapproberte stevner, rekruttstevner og klubbens egne tidtakinger.

• iSwim er ikke godkjent tidtaking for approberte stevner.
• Tider fra iSwim kan ikke brukes som kvalifiseringstider eller rekorder, og skal ikke meldes inn som offisielle resultater.
• Arrangørklubben er ansvarlig for at stevnet følger reglene som gjelder for det, blant annet Norges Svømmeforbunds og Norges idrettsforbunds regler for barneidrett.

Klubben bestemmer hvem som får tilgang til klubbens konto, og hvilken rolle hver bruker får (administrator eller trener). Klubben er ansvarlig for det brukerne den har gitt tilgang, gjør i tjenesten.

Klubben skal:

• bare gi tilgang til personer som trenger det i klubbens arbeid
• sørge for at brukerne kjenner disse vilkårene og følger dem
• fjerne tilgangen for personer som ikke lenger skal ha den
• sørge for at hver bruker logger inn med sin egen e-postadresse og ikke deler innloggingen eller passordet sitt
• behandle invitasjonslenker og trenerlenker som passord og bare dele dem med dem som skal ha dem. En invitasjonslenke utløper ikke av seg selv.

Personer hos iSwim med driftsrolle har tilgang til alle klubber når det trengs for drift og brukerstøtte (del 2, punkt 6).

Klubben og brukerne skal bare bruke iSwim til klubbens svømmeaktivitet og i samsvar med norsk lov. Det er ikke lov å:

• legge inn opplysninger klubben ikke har lov til å behandle, eller flere opplysninger enn tjenesten ber om (del 2, punkt 3)
• skrive fødselsnummer, helseopplysninger, adresser eller andre sensitive opplysninger i fritekstfelt, meldinger eller dokumenter
• legge inn ulovlig, krenkende eller diskriminerende innhold, eller innhold som krenker andres rettigheter
• prøve å få tilgang til andre klubbers data, andres kontoer eller deler av tjenesten man ikke har fått tilgang til
• omgå sikkerhetstiltak, teste etter sårbarheter uten skriftlig avtale med iSwim, eller belaste tjenesten unormalt
• kopiere, selge, leie ut eller videreformidle tjenesten, eller dekompilere eller etterligne programvaren, utover det loven tillater

Klubben eier dataene den legger inn i iSwim, som svømmerregister, stevner, påmeldinger, resultater, tekster, dokumenter og logo. Klubben er ansvarlig for at den har rett til å legge dem inn.

Klubben gir iSwim rett til å lagre, behandle og vise dataene så langt det trengs for å levere tjenesten, for eksempel å vise klubbens logo og innbydelse til de inviterte klubbene. Personopplysninger behandles bare etter del 2.

Programvaren, designet, navnet iSwim og logoen tilhører 1AM. Klubben får en begrenset rett til å bruke tjenesten i sin egen virksomhet mens avtalen gjelder. Retten kan ikke overdras til andre.

iSwim kan fritt bruke forslag og tilbakemeldinger fra klubben til å forbedre tjenesten.

iSwim selges som et årsabonnement per klubb. Abonnementet gir klubben rett til å opprette stevner og gjennomføre dem i 12 måneder.

• Prisen vises før kjøpet.
• Abonnementet betales på forskudd for hele perioden, gjennom betalingsleverandøren Stripe. Stripe behandler betalingsopplysningene etter sine egne vilkår.
• Abonnementet fornyes ikke automatisk. Klubben velger selv om den vil kjøpe en ny periode. Kjøper klubben før perioden er ute, starter den nye perioden når den gamle slutter.
• Uten gyldig abonnement kan klubben ikke opprette nye stevner eller starte et stevne. Klubben har fortsatt tilgang til dataene sine.

iSwim kan endre prisen. En ny pris gjelder fra neste kjøp, aldri for en periode som allerede er betalt.

Klubben får hele beløpet tilbake hvis den ber om det innen 14 dager etter betalingen, og klubben ikke har startet et stevne i iSwim i denne perioden. Ved full refusjon avsluttes abonnementsperioden.

Ellers refunderes ikke resten av perioden, heller ikke hvis klubben slutter å bruke tjenesten eller sier opp avtalen før perioden er ute. Unntakene er når iSwim sier opp avtalen (punkt 14), når klubben sier opp fordi den ikke godtar en vesentlig endring (punkt 13 og del 2, punkt 12), og når ufravikelig lov gir klubben rett til noe annet.

Be om refusjon på admin@iswim.no.

iSwim arbeider for at tjenesten skal være tilgjengelig og fungere, men garanterer ikke at den alltid er tilgjengelig eller uten feil. Tjenesten er avhengig av internett, mobilnett, nettlesere og telefoner som iSwim ikke styrer.

• Planlagt vedlikehold legges så langt det er mulig utenom tidspunkter når stevner pågår.
• Feil rettes så raskt som det er rimelig mulig.
• Brukerstøtte gis på e-post til admin@iswim.no. Det er ingen garantert svartid.

Klubben bør ha en reserveplan for tidtakingen, for eksempel manuell tidtaking med stoppeklokke, i tilfelle tjenesten eller nettet i hallen faller ut under et stevne.

iSwim kan stenge tilgangen for en bruker eller for hele klubben, helt eller delvis, hvis:

• tjenesten brukes i strid med disse vilkårene eller loven
• det trengs for å stanse et sikkerhetsbrudd eller for å beskytte andre klubber, svømmere eller tjenesten

iSwim varsler klubben og forklarer hvorfor, på forhånd når det er mulig. Tilgangen åpnes igjen når årsaken er borte. Ved alvorlige eller gjentatte brudd kan iSwim heve avtalen (punkt 14).

iSwim er ikke ansvarlig for indirekte tap, for eksempel tapte inntekter, utgifter til et stevne som må flyttes, avlyses eller gjennomføres med manuell tidtaking, eller ekstra arbeid for klubben.

iSwims samlede ansvar overfor klubben er begrenset til det klubben har betalt til iSwim de siste 12 månedene før kravet ble satt fram.

Begrensningene gjelder ikke hvis tapet skyldes grov uaktsomhet eller forsett fra iSwim, eller hvis ufravikelig lov sier noe annet.

iSwim er ikke ansvarlig for forhold utenfor iSwims kontroll som iSwim ikke med rimelighet kunne forutse eller unngå, for eksempel strømbrudd, brudd i internett eller mobilnett, eller pålegg fra myndighetene.

Klubben må sette fram et krav skriftlig innen rimelig tid etter at den oppdaget forholdet kravet bygger på.

iSwim kan endre avtalen. Vesentlige endringer varsles til klubbens administratorer på e-post og i appen minst 30 dager før de trer i kraft. Når endringen trer i kraft, må en administrator godta den nye versjonen før klubben igjen kan registrere svømmere, opprette eller starte stevner eller melde på svømmere til andre klubbers stevner. Klubben kan fortsatt lese dataene sine.

Rettelser som ikke endrer innholdet, for eksempel skrivefeil eller nye kontaktopplysninger, kan gjøres uten varsel. Endringer som lov eller myndighetene krever, kan tre i kraft tidligere.

Godtar ikke klubben en vesentlig endring, kan den si opp avtalen før endringen trer i kraft. Klubben får da tilbake det den har betalt for tiden etter at avtalen opphører.

Avtalen gjelder til den blir sagt opp.

• Klubben kan si opp avtalen når som helst ved å skrive til admin@iswim.no. Betalt abonnement refunderes bare etter punkt 9.
• iSwim kan si opp avtalen med minst tre måneders skriftlig varsel. Klubben får da tilbake det den har betalt for tiden etter at avtalen opphører.
• Begge parter kan heve avtalen med virkning straks hvis den andre parten vesentlig bryter den og ikke retter bruddet innen 14 dager etter skriftlig varsel.

Før dataene slettes, kan klubben eksportere dem. Hva som skjer med dataene når avtalen opphører, står i del 2, punkt 17.

Avtalen følger norsk rett. Partene skal først prøve å løse en uenighet ved forhandlinger. Lykkes ikke det, avgjøres tvisten av domstolene, med Oslo tingrett som avtalt verneting.

1AM Org.nr. 123456789 Hunsrødsvingen 6, 3241 Sandefjord, Norge E-post: admin@iswim.no

Meldinger etter avtalen sendes på e-post. iSwim sender meldinger til klubbens administratorer på e-postadressene de logger inn med.

Denne delen er databehandleravtalen etter personvernforordningen (GDPR) artikkel 28 og personopplysningsloven. Klubben er behandlingsansvarlig for personopplysningene den legger inn eller samler inn gjennom iSwim. 1AM er databehandler og behandler opplysningene bare på vegne av klubben.

iSwim behandler personopplysningene bare for å levere tjenesten til klubben:

• føre klubbens svømmerregister og be foresatte om samtykke til bilder og film
• planlegge stevner, invitere andre klubber og ta imot påmeldinger
• ta tid og vise heats og tider direkte mens et stevne pågår
• gi klubben resultatene for sine egne svømmere etter stevnet
• treningsplanlegging og meldinger mellom klubber, der klubben bruker dette
• sende e-post tjenesten trenger, for eksempel innloggingslenker, samtykkeforespørsler, invitasjoner og startlister
• sikker drift: innlogging, tilgangsstyring, aktivitetslogg, feilsøking og vern mot misbruk

iSwim bruker ikke opplysningene til andre formål. iSwim selger dem ikke, bruker dem ikke til markedsføring og bruker dem ikke til å trene KI-modeller.

Svømmere:

• fornavn og etternavn
• fødselsår (aldri dag eller måned)
• kjønn, hvis klubben fører det
• klubb
• påmeldinger, heats, baner og tider
• treningsgrupper
• svar på samtykke til bilder og film, med tidspunkt

Foresatte, inntil to per svømmer:

• navn, e-postadresse og telefonnummer

Samtykkesvar:

• navnet og e-postadressen til den som svarte (en foresatt, eller svømmeren selv fra og med året svømmeren fyller 15), forholdet til svømmeren, svarene og en kopi av teksten som ble godtatt

Klubbens brukere (administratorer og trenere):

• navn, e-postadresse, rolle, språk og klubb
• passord, bare hvis brukeren har valgt ett, og bare lagret som hash
• innloggingsøkter

Henvendelser om personvern:

• navnet på den henvendelsen gjelder, e-postadressen til den som spør, og meldingen

Annet:

• tekst og filer klubben selv skriver eller laster opp: innbydelser, innbydelsesdokumenter, meldinger og logo
• aktivitetslogg over handlinger brukerne gjør. Den kan inneholde navnet eller e-postadressen til en svømmer eller bruker.
• IP-adresser og e-postadresser i kortlivede tellere som begrenser antall forsøk, for å hindre misbruk
• driftslogger, der navn og kontaktopplysninger sladdes automatisk

iSwim lagrer ikke fødselsdato, fødselsnummer, adresser, helseopplysninger, bilder eller svømmerens egne kontaktopplysninger. Klubben skal ikke legge slike opplysninger inn i fritekstfelt eller dokumenter.

• svømmere klubben registrerer eller melder på, mange av dem barn
• foresatte til svømmerne
• klubbens brukere
• personer som sender klubben en henvendelse om personvern

iSwim behandler opplysningene bare etter klubbens dokumenterte instrukser. Instruksene er denne avtalen og det klubbens brukere gjør i tjenesten, for eksempel å registrere, endre, eksportere eller slette en svømmer.

Krever lov at iSwim behandler opplysningene på en annen måte, varsler iSwim klubben først, med mindre loven forbyr det. Mener iSwim at en instruks er i strid med personvernregelverket, sier iSwim fra til klubben og venter med å følge den.

Bare personer hos iSwim som trenger det for drift, feilretting og brukerstøtte, får tilgang til klubbens personopplysninger. De har taushetsplikt, også etter at de har sluttet.

iSwim gir ikke opplysningene videre til andre enn underdatabehandlerne i punkt 10, med mindre klubben ber om det eller loven krever det.

Mange svømmere er barn. Programvaren begrenser hva som vises om dem:

• iSwim publiserer ingen resultater. Det finnes ingen plassering, medalje, pallplass eller rangering noe sted, uansett alder.
• Før et stevne starter, vises ingen startliste offentlig.
• Mens stevnet pågår, viser skjermen i hallen, den offentlige stevnesiden (via QR-kode) og trenervisningen alle svømmere med navn, klubb og tid. Heats vises i baneorden og resultatlister alfabetisk.
• Når stevnet er avsluttet, stenges disse sidene. Etter stevnet får hver klubb bare resultatene for sine egne svømmere.
• En svømmer som er slettet eller avidentifisert, vises ikke med navn.

Arrangørklubben er ansvarlig for at stevnet følger reglene for barneidrett, blant annet om premiering, og for å informere frivillige, deltakere og foresatte om at navn og tider vises mens stevnet pågår.

iSwim hjelper klubben å samle inn samtykke til bilder og film, med Norges idrettsforbunds tre spørsmål. Bare en foresatt, eller svømmeren selv fra og med året svømmeren fyller 15, kan svare. Svaret gis gjennom en personlig lenke som sendes på e-post, og samtykket kan trekkes tilbake. Klubbens brukere kan lese svarene, men ikke registrere, endre eller trekke dem tilbake.

Samtykket gjelder bare bilder og film. Det endrer ikke hva som vises av navn og tider. Klubben er ansvarlig for å følge svarene når den tar og bruker bilder og film.

iSwim har tekniske og organisatoriske tiltak som er tilpasset risikoen, blant annet:

• kryptert overføring (TLS) til og fra tjenesten og mellom tjenesten og databasen
• kryptering av lagrede data slik hostingleverandørene tilbyr det
• tilgang styrt etter rolle, slik at en klubb bare ser sine egne data
• innlogging med engangslenke på e-post eller med passord, og passord lagres bare som hash
• begrensning av antall innloggingsforsøk
• økter som utløper etter 12 timer uten aktivitet og senest etter 30 dager, og som avsluttes når en bruker fjernes eller får endret rolle, e-postadresse eller passord
• aktivitetslogg over viktige handlinger brukerne gjør
• driftslogger der navn og kontaktopplysninger sladdes automatisk
• sikkerhetskopier av databasen hos databaseleverandøren

Ingen tjeneste er helt sikker. iSwim vurderer tiltakene på nytt når tjenesten endres.

Klubben godkjenner at iSwim bruker disse underdatabehandlerne. iSwim inngår skriftlig avtale med hver av dem, med personvernforpliktelser som svarer til denne avtalen, og er ansvarlig overfor klubben for at de følger den.

• Neon: database (EU, Frankfurt)
• Vercel: drift av nettsiden og appen (EU, Frankfurt)
• Vercel Blob: lagring av innbydelsesdokumenter og klubblogoer (EU, Frankfurt)
• Microsoft Azure: server for tidtaking og direkte visning (EU, Vest-Europa)
• Microsoft Azure Application Insights: driftslogger og feilsøking, der navn og kontaktopplysninger sladdes automatisk (EU, Vest-Europa)
• Upstash: midlertidig stevnetilstand og tellere som begrenser antall forsøk, med IP-adresser og e-postadresser i kort tid (EU, Frankfurt)
• Resend: utsending av e-post (USA)
• Stripe: betaling av abonnement (USA)

Databasen og filene lagres i EU/EØS. Resend (e-post) og Stripe (betaling) er amerikanske selskaper, og opplysninger kan overføres til USA:

• Resend får mottakerens e-postadresse og innholdet i e-posten, som kan inneholde navn og fødselsår, for eksempel i en startliste.
• Stripe får betalingsopplysningene som den som betaler, gir direkte til Stripe. iSwim sender ikke opplysninger om svømmere til Stripe.

Overføringene bygger på EUs rammeverk for personvern mellom EU og USA (EU–US Data Privacy Framework) og/eller EUs standard personvernbestemmelser (standard contractual clauses). iSwim overfører ikke opplysninger til andre land utenfor EU/EØS uten varsel etter punkt 12.

iSwim varsler klubbens administratorer på e-post minst 30 dager før en ny underdatabehandler tas i bruk eller en eksisterende byttes ut. Klubben kan protestere innen fristen. Finner partene ingen løsning, kan klubben si opp avtalen før endringen trer i kraft, og får da tilbake det den har betalt for tiden etter at avtalen opphører.

En registrert, for eksempel en foresatt, kan be om innsyn, retting eller sletting med skjemaet på iSwims personvernside. Henvendelsen lagres i iSwim og går til klubben den gjelder. iSwim behandler den bare som databehandler. Klubben varsles på e-post, og klubbens administratorer behandler henvendelsen i iSwim.

iSwim gir klubben verktøy for å:

• eksportere opplysningene om én svømmer (JSON-fil)
• rette opplysninger
• slette en svømmer. En svømmer uten stevneresultater slettes helt. En svømmer med resultater avidentifiseres: navn, foresattes kontaktopplysninger og samtykkesvar fjernes, og resultatene blir stående anonymt.

Gjelder det andre rettigheter, som begrensning eller innsigelse, kan klubben kontakte iSwim på admin@iswim.no, og iSwim hjelper. Får iSwim en henvendelse direkte fra en registrert, sender iSwim den videre til klubben uten ugrunnet opphold. Det er klubbens ansvar å svare den registrerte innen fristen på én måned.

Klubben kan slette en svømmer når som helst. I tillegg gjør iSwim dette automatisk:

• En svømmer som har deltatt på stevner, avidentifiseres 24 måneder etter sitt siste stevne. Navnet fjernes, og resultatene blir stående anonymt.
• En svømmer som aldri har deltatt på et stevne, slettes helt 24 måneder etter siste endring.
• Unntak: svømmeren står på en aktiv treningsgruppe, eller en administrator har valgt å beholde svømmeren, 24 måneder om gangen. Klubben varsles i appen 30 dager før.
• Samtykkesvar slettes sammen med svømmeren.
• Innbydelsesdokumenter og innbydelsestekster, med kopien av teksten som eldre stevner har i samtalen sin, slettes 30 dager etter at stevnet er avsluttet. Arrangørklubben kan slette dem tidligere.
• Henvendelser om personvern slettes 12 måneder etter at de er avsluttet.
• Aktivitetsloggen slettes etter 36 måneder.
• Tellerne som begrenser antall forsøk, forsvinner av seg selv etter kort tid.

Annet innhold, som meldinger, beholdes mens avtalen gjelder og slettes når den opphører (punkt 17). Dokumentasjon av at klubben har godtatt avtalen, beholdes så lenge den trengs for å vise hva som ble avtalt.

Blir iSwim kjent med et brudd som berører klubbens personopplysninger, varsler iSwim klubben uten ugrunnet opphold, og senest 24 timer etter at iSwim ble kjent med det. Varselet beskriver så langt det er mulig:

• hva som har skjedd, og når
• hvilke typer opplysninger og omtrent hvor mange personer det gjelder
• sannsynlige konsekvenser
• hva iSwim har gjort og vil gjøre for å begrense skaden
• hvem hos iSwim klubben kan kontakte

Det som ikke er kjent innen 24 timer, ettersendes så snart det er kjent. Varselet skal gi klubben det den trenger for å melde bruddet til Datatilsynet innen 72 timer. Det er klubben som melder til Datatilsynet og varsler de registrerte når loven krever det. iSwim melder ikke på klubbens vegne uten avtale med klubben.

iSwim gir klubben informasjonen som trengs for å vise at denne avtalen blir fulgt, og hjelper klubben med vurderinger av personvernkonsekvenser og forhåndsdrøftinger med Datatilsynet når det trengs.

Klubben kan be om en revisjon av at avtalen blir fulgt, høyst én gang i året, eller oftere etter et brudd eller når Datatilsynet krever det. Revisjonen gjøres først og fremst skriftlig, med dokumentasjon fra iSwim og underdatabehandlerne. Hver part dekker sine egne kostnader.

Når avtalen opphører, kan klubben først eksportere dataene sine. Deretter sletter iSwim alle klubbens data innen 30 dager, bortsett fra det loven krever at iSwim beholder og dokumentasjonen av at avtalen ble godtatt. Sikkerhetskopier som inneholder dataene, slettes automatisk når de blir eldre enn databaseleverandørens lagringstid for sikkerhetskopier, som er høyst 30 dager. iSwim bekrefter slettingen skriftlig hvis klubben ber om det.

Denne delen gjelder så lenge iSwim behandler personopplysninger for klubben. Er del 1 og del 2 i strid med hverandre, går del 2 foran på alt som gjelder personopplysninger. Ansvarsbegrensningen i del 1, punkt 12, gjelder også for denne delen, så langt loven tillater det. Ansvar overfor de registrerte følger personvernforordningen artikkel 82.