Databehandleraftale (DPA)

Denne databehandleraftale (herefter »Aftalen« eller »DPA«) fastlægger rammerne for de behandlinger af personoplysninger, som KAWLET EURL, udgiver af tjenesten TITU, foretager på vegne af en erhvervspartner, i de tilfælde og på de vilkår, der er beskrevet i Bilag 1.

Den er indgået i medfør af artikel 28 i forordning (EU) 2016/679 (herefter »GDPR«) og udgør et uadskilleligt hele med den serviceaftale, den omtaleaftale eller den integrationsaftale, der er indgået mellem Parterne (herefter »Hovedaftalen«).

1.1. Parterne

• Ved »Databehandleren« forstås KAWLET EURL, selskab med begrænset ansvar og én ejer efter fransk ret, med hjemsted 15 Square Rameau, 59000 Lille (Frankrig), registreret i handels- og selskabsregistret for Lille Métropole under nummer 993 159 250, udgiver af tjenesten TITU.
• Ved »Partneren« forstås den erhvervsdrivende juridiske person, der har underskrevet Hovedaftalen, og som handler som dataansvarlig: operatør af et sportsanlæg, klub, forening, forbund, liga, kreds eller teknisk integrationspartner.

1.2. Definitioner

Udtrykkene »personoplysninger«, »behandling«, »dataansvarlig«, »databehandler«, »den registrerede«, »brud på persondatasikkerheden« og »tilsynsmyndighed« har den betydning, artikel 4 i GDPR giver dem.

»Betroede oplysninger« betegner alene de personoplysninger, som Partneren overlader Databehandleren, eller som Partneren giver ham adgang til, med henblik på opfyldelse af Hovedaftalen.

1.3. Hvad denne Aftale ikke dækker

Denne Aftale gælder ikke for de behandlinger, hvor KAWLET handler som dataansvarlig; de er beskrevet i punkt 2.2 og reguleret af privatlivspolitikken for tjenesten TITU, uden for denne Aftale.

Den gælder heller ikke for private brugere af tjenesten TITU. Ingen spiller, intet medlem af en gruppe og ingen leder af en gruppe er part i denne Aftale, underskriver den eller skal underskrive den.

En parts rolle følger hverken af dens betegnelse i aftalen eller af Parternes vilje, men af, hvem der reelt fastlægger formålene med og hjælpemidlerne til behandlingen (artikel 4, nr. 7, i GDPR). Parterne aftaler udtrykkeligt følgende fordeling.

2.1. Behandlinger omfattet af denne Aftale

For de behandlinger, der er beskrevet i Bilag 1, og som foretages efter dokumenteret instruks fra Partneren og i Partnerens interesse:

• er Partneren dataansvarlig;
• er KAWLET databehandler.

2.2. Undtagne behandlinger: KAWLET som dataansvarlig

For hele brugerfladen i tjenesten TITU handler KAWLET som dataansvarlig og ikke som databehandler. Det omfatter navnlig:

• oprettelse og administration af en spillerkonto, login med en engangskode modtaget på sms, kontoens profil og sprog;
• livet i en gruppe: tilbagevendende sessioner, fremmøde, kø, reserver, gæster, resultater, stillinger og afstemninger;
• notifikationer til spillerne;
• måling af brugen af produktet;
• den frivillige sammenkobling af en spillerkonto med turneringernes offentlige resultater, når spilleren beder om det og bekræfter det.

Det aftales udtrykkeligt, at:

1. Et samtykke fra en registreret flytter intet ansvar. En spiller, der oplyser sin klub og derefter bekræfter et foreslået sammenfald, leverer et retsgrundlag for behandlingen efter artikel 6, stk. 1, litra a, i GDPR. Han er fortsat den registrerede og bliver på ingen måde dataansvarlig.
2. KAWLET fastlægger alene formålene med og hjælpemidlerne til disse behandlinger: hvilke offentlige kilder der læses og hvornår, anonymiseringen af de personer, det ikke handler om, hvor længe noget stilles til rådighed, tællerne mod misbrug, proceduren for indsigelse og tilbagetrækning.
3. En leder eller administrator af en gruppe er ikke dataansvarlig for oplysningerne om medlemmerne af sin gruppe. De administratorroller, tjenesten indeholder (admin, co-admin), er funktioner i appen til styring af en amatørgruppe. De medfører ingen rolle efter GDPR, ingen forpligtelser efter artikel 28 og intet personligt ansvar for lederen for behandlingen.

2.3. Behandlinger, hvor hver Part er selvstændig dataansvarlig

Når Partneren og KAWLET hver forfølger deres egne formål med forskellige oplysninger — for eksempel Partneren til sin kunderelation, KAWLET til driften af sin oversigt — handler hver Part som selvstændig dataansvarlig og bærer alene sine forpligtelser. Denne Aftale gælder ikke for disse behandlinger.

Kendetegnene ved de behandlinger, KAWLET foretager på vegne af Partneren — genstand, karakter, formål, varighed, kategorier af oplysninger og kategorier af registrerede — er beskrevet i Bilag 1 til denne Aftale, jf. artikel 28, stk. 3, i GDPR.

Bilag 1 er udtømmende. **Enhver behandling, der ikke er beskrevet i Bilag 1, anses for at falde uden for denne Aftale** og kan først iværksættes efter en skriftlig ændring af bilaget, underskrevet af begge Parter.

Parterne er enige om, at der i flere af de anvendelsestilfælde, der er beskrevet i Bilag 1, **ikke videregives nogen personoplysninger til KAWLET**: optagelsen af et anlæg, et bookingtilbud eller en klub i oversigten bygger på organisatoriske oplysninger (navn, adresse, åbningstider, priser, kapacitet), som ikke vedrører en identificeret eller identificerbar fysisk person. I disse tilfælde er denne Aftale uden genstand for den pågældende ydelse, uden at Parterne behøver at opsige den.

Som dataansvarlig forpligter Partneren sig til:

• Lovlighed. Kun at overlade KAWLET oplysninger, der er indsamlet og behandlet lovligt, på et gyldigt retsgrundlag efter artikel 6 i GDPR, og at have ret til at betro dem til en databehandler til de formål, der er beskrevet i Bilag 1.
• Information af de registrerede. At sikre, at de registrerede får den information, der følger af artikel 13 og 14 i GDPR, herunder om brugen af KAWLET som databehandler, og i givet fald at indhente deres samtykke.
• Dokumenterede instrukser. At give sine instrukser skriftligt, herunder elektronisk. Hovedaftalen og denne Aftale, inklusive Bilag 1, udgør Partnerens oprindelige instrukser. Enhver senere instruks skal sendes til den kontakt, der er nævnt i artikel 8.
• Dataminimering. Kun at videregive de oplysninger, der er strengt nødvendige for ydelsen. Partneren afholder sig navnlig fra, ad enhver kanal, at videregive til KAWLET oplysninger, der hører til de særlige kategorier i artikel 9 i GDPR (navnlig helbredsoplysninger, holdninger, fagforeningsmæssigt tilhørsforhold, biometriske oplysninger), oplysninger om strafbare forhold (artikel 10) samt kontaktoplysninger på spillere med licens, ledere, dommere eller mindreårige, som tjenesten TITU hverken har brug for eller plads til.
• Rigtighed. At sikre, at de betroede oplysninger er rigtige og ajourførte, og straks at underrette KAWLET om enhver berigtigelse, indsigelse eller sletning, der skal føres igennem.
• De registreredes rettigheder. Selv at besvare anmodninger fra de registrerede om at udøve deres rettigheder, med den bistand fra KAWLET, der er fastsat i artikel 5.5.
• Sikkerhed i eget miljø. At sikre fortroligheden om de adgangsoplysninger, der udleveres til medarbejderne, og straks at underrette om ethvert mistænkt misbrug.
• Dokumentation. At føre sin egen fortegnelse over behandlingsaktiviteter og i givet fald at gennemføre den konsekvensanalyse vedrørende databeskyttelse, der er fastsat i artikel 35 i GDPR.

Partneren holder KAWLET skadesløs for ethvert krav, søgsmål eller enhver sanktion som følge af manglende overholdelse af de forpligtelser, der påhviler Partneren efter denne artikel.

I overensstemmelse med artikel 28, stk. 3, i GDPR forpligter KAWLET sig til følgende.

5.1. Behandling efter dokumenteret instruks

KAWLET behandler kun de Betroede oplysninger efter dokumenteret instruks fra Partneren, herunder for så vidt angår overførsel til et tredjeland, medmindre KAWLET er underlagt en retlig forpligtelse. I så fald underretter KAWLET Partneren om den retlige forpligtelse inden behandlingen, medmindre den gældende ret forbyder en sådan underretning af hensyn til vigtige samfundsinteresser.

KAWLET underretter straks Partneren, hvis en modtaget instruks efter KAWLETs opfattelse udgør en overtrædelse af GDPR eller af en anden gældende databeskyttelsesregel. KAWLET kan i så fald sætte udførelsen af den omstridte instruks i bero, indtil Partneren bekræfter eller ændrer den skriftligt.

KAWLET afholder sig fra at bruge de Betroede oplysninger til egne formål, navnlig til markedsføring, berigelse af sin oversigt, opbygning af statistikker til salg eller træning af maskinlæringsmodeller.

5.2. Fortrolighed

KAWLET indestår for, at de Betroede oplysninger forbliver strengt fortrolige. I den forbindelse:

• er adgangen til oplysningerne begrænset til de personer, der har brug for den for at udføre ydelsen, efter princippet om færrest mulige rettigheder;
• er de personer, der er bemyndiget til at behandle oplysningerne, underlagt en kontraktlig eller lovbestemt tavshedspligt, også efter at deres opgave er ophørt;
• videregiver KAWLET ingen oplysninger til tredjemand, ud over de underdatabehandlere, der er nævnt i Bilag 2, og ud over anmodninger fra en kompetent myndighed;
• underretter KAWLET, ved en retlig eller administrativ anmodning om de Betroede oplysninger, Partneren hurtigst muligt, medmindre loven forbyder det.

5.3. Behandlingssikkerhed

KAWLET gennemfører de passende tekniske og organisatoriske foranstaltninger efter artikel 32 i GDPR, som er beskrevet i Bilag 3. Disse foranstaltninger er beskrevet, som de faktisk er gennemført på datoen for denne Aftale; **KAWLET påberåber sig ingen certificering** af sikkerhed eller overholdelse.

KAWLET kan ændre disse foranstaltninger for at tage højde for det aktuelle tekniske niveau, forudsat at det samlede sikkerhedsniveau ikke sænkes. Bilag 3 opdateres da.

5.4. Brug af underdatabehandlere

Partneren giver Databehandleren en generel skriftlig godkendelse til at bruge underdatabehandlere på vilkårene i artikel 28, stk. 2 og 4, i GDPR.

Listen over de underdatabehandlere, der er i brug på datoen for denne Aftale, findes i Bilag 2. Listen er udarbejdet som en **udtømmende oversigt over de tredjepartstjenester, der faktisk kaldes** af tjenesten TITU, herunder dem, der ikke behandler personoplysninger, så Partneren har det fulde overblik over strømmene.

KAWLET forpligter sig til:

• at underrette Partneren om enhver tilføjelse eller udskiftning af en underdatabehandler med rimeligt varsel og under alle omstændigheder inden den nye underdatabehandler behandler Betroede oplysninger;
• at give Partneren en frist på tredive (30) dage til at gøre begrundet indsigelse. Kan Parterne ikke løse en indsigelse, kan Partneren opsige den pågældende ydelse uden godtgørelse;
• kontraktligt at pålægge hver underdatabehandler databeskyttelsesforpligtelser, der i det væsentlige svarer til denne Aftales;
• fortsat at være fuldt ansvarlig over for Partneren for sine underdatabehandleres opfyldelse af deres forpligtelser.

5.5. Bistand til Partneren

Under hensyn til behandlingens karakter og de oplysninger, KAWLET har til rådighed, bistår KAWLET Partneren:

• De registreredes rettigheder. Ved at gennemføre de passende tekniske og organisatoriske foranstaltninger, så Partneren kan efterkomme anmodninger om indsigt, berigtigelse, sletning, begrænsning, indsigelse og dataportabilitet. Enhver anmodning, KAWLET modtager direkte, videresendes til Partneren uden ophold og behandles ikke af KAWLET, medmindre andet er instrueret.
• Sikkerhed, brud, konsekvensanalyser. Ved at levere de oplysninger, der er nødvendige for Partnerens overholdelse af forpligtelserne i artikel 32-36 i GDPR, herunder konsekvensanalysen og den forudgående høring af tilsynsmyndigheden.

5.6. Brud på persondatasikkerheden

KAWLET underretter Partneren om ethvert brud på persondatasikkerheden, der berører de Betroede oplysninger, hurtigst muligt efter at være blevet opmærksom på det, jf. artikel 33, stk. 2, i GDPR, så Partneren i givet fald kan opfylde sin forpligtelse til at anmelde bruddet til tilsynsmyndigheden inden for 72 timer efter artikel 33, stk. 1.

Underretningen indeholder, i det omfang oplysningerne foreligger på det tidspunkt, den afgives: bruddets karakter, kategorierne og det omtrentlige antal af berørte personer og registreringer, de sandsynlige konsekvenser, de foranstaltninger der er truffet eller foreslås, og et kontaktpunkt. Manglende oplysninger meddeles løbende, uden unødig yderligere forsinkelse.

Ingen bestemmelse i denne artikel gør KAWLET til den, der skal anmelde til tilsynsmyndigheden eller underrette de registrerede; det påhviler Partneren som dataansvarlig.

5.7. Dokumentation og revision

KAWLET stiller alle nødvendige oplysninger til rådighed for Partneren, så denne kan påvise overholdelsen af forpligtelserne i artikel 28 i GDPR.

KAWLET giver mulighed for revision, herunder inspektion, ved Partneren eller en revisor, som Partneren har udpeget, forudsat at:

• revisionen varsles skriftligt med mindst tredive (30) dages varsel, undtagen ved hastetilfælde begrundet i et konstateret sikkerhedsbrud;
• den finder sted i arbejdstiden og uden uforholdsmæssige forstyrrelser af driften;
• den ikke krænker fortroligheden om andre kunders eller brugeres oplysninger hos KAWLET eller forretningshemmeligheder;
• revisoren er underlagt tavshedspligt;
• den ikke finder sted oftere end én gang pr. kalenderår, bortset fra ved et konstateret sikkerhedsbrud eller en anmodning fra en tilsynsmyndighed.

KAWLET kan opfylde denne forpligtelse ved at levere den relevante dokumentation, herunder, når sådanne findes, revisionsrapporter eller erklæringer fra sine egne underdatabehandlere.

5.8. Fortegnelse over behandlinger

KAWLET fører i overensstemmelse med artikel 30, stk. 2, i GDPR en fortegnelse over de kategorier af behandlingsaktiviteter, der foretages på vegne af Partneren, og stiller den til rådighed på anmodning fra tilsynsmyndigheden.

5.9. Overførsler uden for Den Europæiske Union

KAWLET hoster de Betroede oplysninger inden for Den Europæiske Union. Overførsler til et tredjeland som følge af brugen af de underdatabehandlere, der er nævnt i Bilag 2, er omfattet af de passende garantier, der er nævnt i bilaget, navnlig standardkontraktbestemmelser vedtaget af Europa-Kommissionen.

KAWLET foretager ingen anden overførsel uden for Den Europæiske Union uden dokumenteret instruks fra Partneren.

6.1. Tilbagelevering

Når som helst i Hovedaftalens løbetid og i tredive (30) dage fra dens ophør kan Partneren bede om at få de Betroede oplysninger tilbage. KAWLET leverer dem i et struktureret, almindeligt anvendt og maskinlæsbart format.

6.2. Sletning

Ved udløbet af denne frist på tredive (30) dage, eller straks efter skriftlig instruks fra Partneren, sletter KAWLET de Betroede oplysninger samt de eksisterende kopier, medmindre der gælder en retlig opbevaringspligt. KAWLET bekræfter sletningen skriftligt på Partnerens anmodning.

6.3. Hvad der ikke slettes

Sletningen efter 6.2 omfatter ikke:

• de oplysninger, KAWLET behandler som dataansvarlig efter punkt 2.2, og som følger deres egen livscyklus;
• de ikke-personhenførbare organisatoriske kendsgerninger (navnet på et anlæg eller en klub, adresse, kendetegn ved en bane, sportskalender) fra offentlige kilder eller fra optagelsen i oversigten, som ikke udgør personoplysninger og fortsat reguleres af Hovedaftalen og ikke af denne Aftale;
• tekniske logger og sikkerhedskopier, som slettes efter deres egen rotationscyklus.

Hver Part bærer det ansvar, der påhviler den efter artikel 82 og 83 i GDPR, for de forpligtelser, der er dens egne.

KAWLET er kun ansvarlig for skade forvoldt ved en behandling, hvis KAWLET ikke har overholdt de forpligtelser i GDPR, der specifikt påhviler databehandlere, eller hvis KAWLET har handlet uden om Partnerens lovlige instrukser eller i strid med dem (artikel 82, stk. 2, i GDPR).

De ansvarsbegrænsninger og -fraskrivelser, der er fastsat i Hovedaftalen, gælder for denne Aftale, inden for rammerne af gældende regler.

Ethvert spørgsmål, enhver instruks, underretning eller anmodning vedrørende denne Aftale rettes til:

KAWLET EURL 15 Square Rameau 59000 Lille — Frankrig RCS Lille Métropole 993 159 250

Kontakt om databeskyttelse: yo@titu.app

8.1. Ingen databeskyttelsesrådgiver

KAWLET har ikke udpeget en databeskyttelsesrådgiver (DPO) efter artikel 37 i GDPR, da selskabet på nuværende tidspunkt ikke opfylder betingelserne for, at en sådan udpegning er obligatorisk. Den kontakt, der er nævnt ovenfor, er det eneste indgangspunkt for emner under denne Aftale; den nyder ikke den status og de garantier for uafhængighed, der knytter sig til rollen som rådgiver.

Dette tages op til fornyet vurdering ved enhver væsentlig ændring af aktiviteten. Udpeges der en rådgiver, vil denne artikel blive opdateret.

8.2. Tilsynsmyndighed

Den kompetente tilsynsmyndighed for KAWLET er **Commission nationale de l'informatique et des libertés (CNIL)**, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, Frankrig.

9.1. Dokumenternes rangorden

Denne Aftale er en integreret del af Hovedaftalen. Er der modstrid mellem en bestemmelse i Hovedaftalen og en bestemmelse i denne Aftale **om behandling af personoplysninger**, går denne Aftale forud. I alle andre spørgsmål går Hovedaftalen forud.

Er der modstrid mellem denne Aftale og standardkontraktbestemmelser vedtaget af Europa-Kommissionen og underskrevet af Parterne, går de sidstnævnte forud.

9.2. Varighed

Denne Aftale træder i kraft på Hovedaftalens ikrafttrædelsesdato og gælder, så længe KAWLET behandler Betroede oplysninger på vegne af Partneren. Bestemmelserne i artikel 5.2 (fortrolighed), 6 (oplysningernes skæbne) og 7 (ansvar) overlever den.

9.3. Ændring

KAWLET kan ændre denne Aftale for at tage højde for en ændring af reglerne, en afgørelse fra en tilsynsmyndighed eller en teknisk udvikling af tjenesten. Enhver væsentlig ændring meddeles Partneren med rimeligt varsel. Kommer der ikke en skriftlig og begrundet indsigelse inden for tredive (30) dage, anses ændringen for accepteret.

Bilag 2 og 3 kan opdateres efter de regler, der er fastsat i henholdsvis artikel 5.4 og 5.3, uden at opdateringen udgør en væsentlig ændring af Aftalen.

9.4. Delvis ugyldighed

Erklæres en bestemmelse i denne Aftale ugyldig eller uanvendelig, forbliver de øvrige bestemmelser i kraft. Parterne bestræber sig på at erstatte den ugyldige bestemmelse med en gyldig bestemmelse med tilsvarende økonomisk og retlig virkning.

9.5. Gældende ret og værneting

Denne Aftale er underlagt fransk ret. Nås der ingen mindelig løsning, hører enhver tvist om dens gyldighed, fortolkning eller opfyldelse under de franske domstole i retskredsen Lille, med forbehold for præceptive værnetingsregler.

Dette bilag beskriver, i overensstemmelse med artikel 28, stk. 3, i GDPR, de behandlinger, KAWLET foretager på vegne af Partneren. Det er udtømmende.

A1.1. Optagelse af anlæg og klubber i oversigten

Partneren opfordres til at videregive funktionsbaserede kontaktoplysninger (»reception«, »sekretariat«) frem for navngivne. Videregives der ingen personoplysninger, er denne Aftale uden genstand for denne ydelse.

A1.2. Optagelse af en operatørs bookingtilbud

Selve bookingen foretages ikke af KAWLET. Den spiller, der klikker, viderestilles til Partnerens system, hvor han bliver kunde hos denne. De oplysninger, der indsamles fra denne viderestilling, er alene Partnerens ansvar som selvstændig dataansvarlig og falder uden for denne Aftale.

A1.3. Samlet indberetning af klik på et tilbud

Når en spiller aktiverer linket til et af Partnerens tilbud, tæller KAWLET én op i en **samlet daglig tæller**.

Denne tæller — tabellen venue_offer_click_daily — indeholder udelukkende følgende felter:

**Den indeholder hverken IP-adresse, cookie eller enhedsidentifikator, konto, spilleridentifikator, header eller nyttelast fra en forespørgsel. Dette fravær er strukturelt**: tabellen har ingen kolonne, der kan rumme disse elementer, og optællingsfunktionen modtager kun tilbuddets identifikator og fladen.

Deraf følger tre konsekvenser, som Parterne udtrykkeligt anerkender:

1. Denne tæller udgør ikke en behandling af personoplysninger. Ingen fysisk person er identificeret eller identificerbar ud fra disse seks felter.
2. Denne tæller udgør ikke en individuel måling af trafik. Den gør det hverken muligt at tælle unikke besøgende, at rekonstruere et forløb eller at skelne ti klik fra én person fra ét klik fra ti personer. Den må hverken af KAWLET eller af Partneren fremstilles som en trafikmåling, et grundlag for performance-fakturering eller en mekanisme til at opdage svig eller misbrug.
3. Den meddeles Partneren som vejledende, som et råt produktsignal, uden garanti for rigtighed eller fuldstændighed og uden garanti for sammenfald med de konverteringer, Partneren selv måler i sit eget system.

A1.4. Teknisk integration af en partner

Ingen integration må sættes i produktion, uden at kategorierne af oplysninger og registrerede skriftligt er opregnet. Undtagelserne i artikel 4 (særlige kategorier, strafbare forhold, kontaktoplysninger på ledere, dommere eller mindreårige) gælder fuldt ud.

A1.5. Behandlinger, der ikke er omfattet af Bilag 1

For at undgå enhver tvivl hører følgende ikke under denne Aftale og behandles af KAWLET som dataansvarlig:

• alle spillernes konto-, gruppe- og kampdata;
• notifikationer til spillerne;
• indsamling, kontrol og genudgivelse af organisatoriske kendsgerninger fra offentlige kilder eller fra forbund (klubnavn, adresse, stadion, række, kampprogram, stilling), som ikke indeholder personoplysninger;
• den frivillige sammenkobling, efter spillerens anmodning og bekræftelse, mellem hans konto og turneringernes offentlige resultater.

Denne liste er udarbejdet som en **udtømmende oversigt over de tredjepartstjenester, der faktisk kaldes** af tjenesten TITU på datoen for denne Aftale, herunder dem, hvortil der ikke videregives personoplysninger. Den er en overmængde af underdatabehandlerne efter artikel 28, stk. 4, i GDPR.

A2.1. Leverandører, der kan behandle personoplysninger

A2.2. Leverandører, der ikke behandler personoplysninger

Disse tjenester er nævnt af hensyn til åbenheden: de kaldes af tjenesten eller af dens kæder til behandling af offentlige data, uden at der videregives konto-, spiller- eller registreringsoplysninger til dem.

A2.3. Den faktiske status for brugen af Google Gemini

Tjenesten TITU har to forskellige anvendelser af en sprogmodel, begge begrænset til kendsgerninger og beskrivelser om baner. I begge tilfælde:

• kommer ingen oplysninger om spillere, konti, grupper eller registrerede ind i en prompt; det indsendte indhold stammer udelukkende fra anlægssider og offentlige kilder;
• er intet værktøj til browsing, ekstern søgning eller adgang til en kommerciel stedsdatabase slået til;
• offentliggøres intet output fra modellen automatisk.

Anvendelse 1 — udtræk af tekniske kendsgerninger. Denne strøm er slået fra som standard og har aldrig været kørt i produktion. At sætte den i gang forudsætter, at flere uafhængige betingelser er opfyldt samtidig: et udtrykkeligt flag på kommandolinjen, aktivering i et versioneret manifest, en dedikeret miljøvariabel, et tilsvarende udførelsesmål, den nøjagtige kryptografiske signatur af planen og en lokal database. Blot at have en API-nøgle sætter intet i gang. Omfanget er begrænset til tre valideringstilfælde før lancering.

Anvendelse 2 — udkast til beskrivelser. En særskilt strøm kan producere **udkast til beskrivelser af baner. Disse udkast er markeret ikke-publicerbare og ikke gennemgået**, bliver aldrig lagt ud uden en identificeret menneskelig gennemgang og indgår hverken i den offentlige oversigt eller i de indekserbare sider. Denne strøm kører kun, hvis en API-nøgle er konfigureret i miljøet for kontinuerlig integration.

Denne beskrivelse afspejler tjenestens faktiske tilstand på datoen for denne Aftale og foregriber ingen fremtidig udrulning.

A2.4. Tjenester, der er konfigureret, men inaktive

Af hensyn til åbenheden nævnes følgende tjenester, som der findes tekniske henvisninger til i tjenesten uden at de kaldes på nuværende tidspunkt: Google Maps / Places (der findes intet kald i koden; kun en uigennemsigtig stedidentifikator vil i fremtiden kunne gemmes, i en særskilt tabel, uden at noget indhold overtages), Mapbox og OpenCage (geokodningstjenester som reserve, ikke slået til). Ingen af disse tjenester modtager oplysninger på datoen for denne Aftale. Slås de til, vil dette bilag blive opdateret efter artikel 5.4.

Foranstaltningerne nedenfor er beskrevet, som de faktisk er gennemført på datoen for denne Aftale. KAWLET påberåber sig ingen certificering af sikkerhed eller overholdelse (navnlig hverken ISO/IEC 27001, SOC 2, HDS eller PCI-DSS) og gør ingen sådan gældende i medfør af denne Aftale.

A3.1. Adgangskontrol til data

• Adskillelse på rækkeniveau. Sikkerhed på rækkeniveau (row level security) i PostgreSQL er slået til på samtlige applikationstabeller, partitioner inklusive. En forespørgsel kan kun returnere de rækker, som den politik, der er knyttet til tabellen, tillader for den, der spørger.
• Rettigheder gives udtrykkeligt. Den anonyme rolle har ingen rettigheder til tabellerne. Den godkendte rolle har kun de strengt nødvendige verber, givet tabel for tabel. Adgangen nægtes dermed på rettighedsniveau allerede inden vurderingen af sikkerhedspolitikkerne.
• Servicerolle. En betroet teknisk rolle, forbeholdt serverbehandlinger, er ikke underlagt sikkerhedspolitikkerne på rækkeniveau — det er en nødvendig egenskab ved dens brug. Dens legitimationsoplysninger udbredes aldrig i en klientapplikation, navnlig ikke i det offentlige websted.

A3.2. Behandlingernes integritet

• Forretningslogikken ligger på serveren. De følsomme handlinger udføres i transaktionelle procedurer i databasen, med definerede rettigheder, som låser den pågældende række, inden de afgør noget. Klienten kalder en handling; den bestemmer ikke resultatet.
• Beslutninger overlades ikke til klienten. De kritiske værdier — navnlig placeringen i en kø — tildeles af databasen. Ingen kaldesignatur giver en klient mulighed for at påtvinge dem.
• Overgangene i tid udløses af serveren, af en opgave planlagt i databasen, og ikke af appen. At ændre klokken på et udstyr har ingen virkning.

A3.3. Adskillelse af data fra eksterne kilder

• De tabeller, der udgør den interne reserve af forbundsdata, er underlagt sikkerhed på rækkeniveau uden nogen politik og er genstand for en udtrykkelig tilbagekaldelse af rettigheder for den anonyme og den godkendte rolle. Ingen offentlig rute og ingen procedure, der er tilgængelig uden login, læser dem.
• Kun en særskilt offentlig projektion, begrænset til organisatoriske kendsgerninger og uden nogen kolonne, der kan rumme en person, er eksponeret.
• Fraværet af personoplysninger i disse tabeller er en strukturel egenskab ved skemaet og ikke en brugsinstruks.

A3.4. Lagring af filer

• Lagerbeholderen til profilbilleder er privat; denne tilstand sættes idempotent igen ved hver migrering.
• Der genereres ingen permanent offentlig adresse. Adgangen sker via en signeret URL med kort levetid, begrænset til filens ejer eller en holdkammerat i samme gruppe.
• Sletningen af en konto udløser udrensning af filen ved en dedikeret planlagt opgave, med genoptagelse ved fejl.

A3.5. Håndtering af hemmeligheder

• De hemmeligheder, databasen bruger (adresser og kaldetokens til serverfunktionerne, nøglen til kryptering af tokens til identitetssammenkobling), opbevares i den indbyggede hvælving hos databaseudbyderen og læses på brugstidspunktet.
• Ingen produktionshemmelighed findes i kodelageret eller i dets historik.

A3.6. Kryptering

• Under transport. Udvekslingen mellem applikationerne, databasen og tredjepartstjenesterne sker over HTTPS/TLS. Der findes intet ukrypteret kald på en vej, der behandler personoplysninger. TLS-termineringen varetages af hostingplatformene.
• På applikationsniveau. Tokens til identitetssammenkobling er krypteret i databasen (pgcrypto) med en nøgle, der opbevares i hvælvingen, og udløber efter ti minutter.
• I hvile. Krypteringen i hvile af applikationsdataene varetages af hostingdatabehandleren, i overensstemmelse med dennes egne kontraktlige tilsagn. KAWLET fremstiller den ikke som en foranstaltning, selskabet selv gennemfører.

A3.7. Dataminimering og fravær af sporing

• Brugsmålingen bygger på en lukket liste over navngivne hændelser, uden automatisk registrering og uden sessionsoptagelse; de biblioteker, der muliggør disse funktioner, er ikke installeret.
• Viderestillingen til en partners tilbud hverken sætter eller læser cookies og gemmer hverken IP-adresse, enhedsidentifikator eller kontoidentifikator (se Bilag 1, A1.3).
• De oplysninger, der videregives til sammensætningen af en notifikation, er begrænset til det, der er strengt nødvendigt for at vise den.

A3.8. Sletning og datalivscyklus

• Sletning efter anmodning. Der findes en procedure for sletning af en konto. Den udløses af brugeren selv, indeholder ingen parameter, der peger på en tredjemand, kræver en udtrykkelig bekræftelse, frigiver de pladser, kontoen holder i kommende sessioner, inden den lukker kontoen, spærrer adgangen til kontoen inden forsøget på udrensning (så kontoen forbliver utilgængelig, også hvis udrensningen slår fejl), og sletter de tilknyttede oplysninger.
• Kontrol ved gennemløb. En automatiseret test søger efter spor af den slettede konto i hver tekst- og strukturkolonne i applikations-, godkendelses- og lagerskemaerne, i stedet for i en foruddefineret liste over tabeller.
• Funktionelle frister. Flere tekniske frister er indbygget: udløb af tokens til sammenkobling (ti minutter), fortrydelsesvinduet for et afbud, fristen mod gentagne kald, udløb af reserverede pladser og af tilbud, udløb af bookingtider.
• Rækkevidden af dette tilsagn. KAWLET påberåber sig ikke en politik om automatisk periodisk udrensning af applikationslogger og kamphistorik: sletningen af personoplysninger udløses af den registrerede eller af den dataansvarlige og kontrolleres. De resterende kampdata anonymiseres.

A3.9. Organisation

• Adgang til produktionsmiljøerne er begrænset til de personer, der har brug for den.
• Adskillelse af udviklings-, test- og produktionsmiljøer; udviklingsdata er demonstrationsdata.
• Opfølgning på skemaændringer med versionerede og gennemgåede migreringer.
• Automatiserede tests, der navnlig dækker adskillelsen, gensidigheden i adgangen til stemmer, sletningen af en konto og at fillagringen er privat.