Databehandleravtale (DPA)

Denne databehandleravtalen (heretter «Avtalen» eller «DPA») fastsetter rammene for behandlingen av personopplysninger som KAWLET EURL, utgiver av tjenesten TITU, utfører på vegne av en profesjonell partner, i de tilfellene og på de vilkårene som er beskrevet i Vedlegg 1.

Den er inngått i medhold av artikkel 28 i forordning (EU) 2016/679 (heretter «personvernforordningen») og utgjør et uatskillelig hele sammen med den tjenesteavtalen, den oppføringsavtalen eller den integrasjonsavtalen som er inngått mellom Partene (heretter «Hovedavtalen»).

1.1. Partene

• Med «Databehandleren» menes KAWLET EURL, société à responsabilité limitée à associé unique — selskap etter fransk rett — med forretningsadresse 15 Square Rameau, 59000 Lille (Frankrike), registrert i foretaksregisteret for Lille Métropole under nummer 993 159 250, utgiver av tjenesten TITU.
• Med «Partneren» menes den profesjonelle juridiske personen som har undertegnet Hovedavtalen, og som opptrer som behandlingsansvarlig: operatør av et idrettsanlegg, klubb, forening, forbund, liga, krets eller teknisk integrasjonspartner.

1.2. Definisjoner

Begrepene «personopplysninger», «behandling», «behandlingsansvarlig», «databehandler», «den registrerte», «brudd på personopplysningssikkerheten» og «tilsynsmyndighet» har den betydningen artikkel 4 i personvernforordningen gir dem.

«Betrodde opplysninger» betegner utelukkende de personopplysningene som Partneren overfører til Databehandleren, eller gir Databehandleren tilgang til, for å oppfylle Hovedavtalen.

1.3. Hva denne Avtalen ikke dekker

Denne Avtalen gjelder ikke for de behandlingene der KAWLET opptrer som behandlingsansvarlig; de er beskrevet i punkt 2.2 og reguleres av personvernerklæringen for tjenesten TITU, utenfor denne Avtalen.

Den gjelder heller ikke for private brukere av tjenesten TITU. Ingen spiller, intet medlem av en gruppe og ingen leder av en gruppe er part i denne Avtalen, undertegner den eller skal undertegne den.

En parts rolle følger verken av betegnelsen den har i avtalen eller av Partenes vilje, men av hvem som faktisk fastsetter formålene med og midlene for behandlingen (artikkel 4.7 i personvernforordningen). Partene er uttrykkelig enige om følgende fordeling.

2.1. Behandlinger som omfattes av denne Avtalen

Bare for de behandlingene som er beskrevet i Vedlegg 1, og som utføres etter dokumentert instruks fra Partneren og i Partnerens interesse:

• er Partneren behandlingsansvarlig;
• er KAWLET databehandler.

2.2. Unntatte behandlinger: KAWLET som behandlingsansvarlig

For hele brukerflaten i tjenesten TITU opptrer KAWLET som behandlingsansvarlig og ikke som databehandler. Dette omfatter blant annet:

• å opprette og administrere en spillerkonto, innloggingen med engangskode mottatt på SMS, profilen og kontoens språk;
• livet i en gruppe: faste økter, oppmøte, kø, reserver, gjester, resultater, tabeller og stemmer;
• varslene som sendes til spillerne;
• bruksmålingen;
• den valgfrie koblingen mellom en spillerkonto og de offentlige kampresultatene fra konkurransene, når spilleren ber om det og bekrefter den.

Det er uttrykkelig avtalt at:

1. Samtykket fra en registrert innebærer ingen overføring av ansvar. En spiller som melder inn klubben sin og deretter bekrefter et foreslått treff, gir et rettslig grunnlag for behandlingen etter artikkel 6.1.a i personvernforordningen. Vedkommende er fortsatt den registrerte og blir ikke på noe punkt behandlingsansvarlig.
2. KAWLET fastsetter alene formålene med og midlene for disse behandlingene: hvilke offentlige kilder som leses og når, anonymiseringen av personene det ikke gjelder, hvor lenge noe holdes tilgjengelig, tellerne som begrenser misbruk, framgangsmåten for innsigelse og frakobling.
3. En leder eller administrator i en gruppe er ikke behandlingsansvarlig for opplysningene om medlemmene i gruppen sin. Administratorrollene tjenesten har (admin, co-admin), er funksjoner i appen for å styre en amatørgruppe. De innebærer ingen rolle etter personvernforordningen, ingen plikt etter artikkel 28 og intet personlig ansvar for lederen for behandlingen.

2.3. Behandlinger der hver Part er selvstendig behandlingsansvarlig

Når Partneren og KAWLET hver for seg forfølger sine egne formål med forskjellige opplysninger — for eksempel Partneren for kundeforholdet sitt, KAWLET for driften av katalogen sin — opptrer hver Part som selvstendig behandlingsansvarlig og svarer alene for pliktene sine. Denne Avtalen gjelder ikke for disse behandlingene.

Kjennetegnene ved behandlingene KAWLET utfører på vegne av Partneren — gjenstand, art, formål, varighet, kategorier av opplysninger og kategorier av registrerte — er beskrevet i Vedlegg 1 til denne Avtalen, i samsvar med artikkel 28.3 i personvernforordningen.

Vedlegg 1 er uttømmende. **Enhver behandling som ikke er beskrevet i Vedlegg 1, anses å ligge utenfor denne Avtalen** og kan først settes i verk etter en skriftlig endring av vedlegget, undertegnet av begge Parter.

Partene erkjenner at det i flere av brukstilfellene som er beskrevet i Vedlegg 1, **ikke overføres noen personopplysninger til KAWLET**: å føre opp et anlegg, et bookingtilbud eller en klubb i katalogen bygger på organisasjonsopplysninger (navn, adresse, åpningstider, priser, kapasiteter) som ikke knytter seg til en identifisert eller identifiserbar fysisk person. I disse tilfellene er denne Avtalen uten gjenstand for den aktuelle ytelsen, uten at Partene må si den opp.

Som behandlingsansvarlig forplikter Partneren seg til å:

• Lovlighet. Bare overføre til KAWLET opplysninger som er samlet inn og behandlet lovlig, på et gyldig rettslig grunnlag etter artikkel 6 i personvernforordningen, og ha rett til å betro dem til en databehandler for formålene som er beskrevet i Vedlegg 1.
• Informasjon til de registrerte. Sørge for at de registrerte får informasjonen som følger av artikkel 13 og 14 i personvernforordningen, også om at KAWLET brukes som databehandler, og om nødvendig innhente samtykket deres.
• Dokumenterte instrukser. Gi instruksene sine skriftlig, også elektronisk. Hovedavtalen og denne Avtalen, medregnet Vedlegg 1, utgjør Partnerens opprinnelige instrukser. Enhver senere instruks skal sendes til kontakten som er nevnt i artikkel 8.
• Dataminimering. Bare overføre de opplysningene som er strengt nødvendige for ytelsen. Partneren skal særlig avstå fra, gjennom enhver kanal, å overføre til KAWLET opplysninger som hører til de særlige kategoriene i artikkel 9 i personvernforordningen (blant annet helseopplysninger, oppfatninger, fagforeningsmedlemskap, biometriske opplysninger), opplysninger om straffedommer (artikkel 10) og kontaktopplysninger til spillere med lisens, klubbledere, dommere eller mindreårige, som tjenesten TITU verken har bruk for eller plass til.
• Riktighet. Sørge for at de betrodde opplysningene er riktige og oppdaterte, og uten opphold varsle KAWLET om enhver retting, innsigelse eller sletting som skal føres videre.
• De registrertes rettigheter. Selv svare på anmodninger fra de registrerte om å utøve rettighetene sine, med den bistanden fra KAWLET som er fastsatt i artikkel 5.5.
• Sikkerhet i eget miljø. Sørge for at tilgangsopplysningene som gis til medarbeiderne, holdes fortrolige, og uten opphold varsle om enhver mistenkt kompromittering.
• Dokumentasjon. Føre sin egen protokoll over behandlingsaktiviteter og om nødvendig gjennomføre vurderingen av personvernkonsekvenser som er fastsatt i artikkel 35 i personvernforordningen.

Partneren holder KAWLET skadesløs for ethvert krav, søksmål eller enhver sanksjon som følger av at pliktene som påhviler Partneren etter denne artikkelen, ikke er oppfylt.

I samsvar med artikkel 28.3 i personvernforordningen forplikter KAWLET seg til følgende.

5.1. Behandling etter dokumentert instruks

KAWLET behandler de Betrodde opplysningene bare etter dokumentert instruks fra Partneren, også når det gjelder overføring til et tredjeland, med mindre KAWLET er underlagt en rettslig plikt. I så fall informerer KAWLET Partneren om den rettslige plikten før behandlingen, med mindre gjeldende rett forbyr slik informasjon av hensyn til viktige allmenne interesser.

KAWLET informerer straks Partneren dersom en mottatt instruks etter KAWLETs syn utgjør et brudd på personvernforordningen eller på en annen gjeldende personvernregel. KAWLET kan i så fall stanse gjennomføringen av den omstridte instruksen inntil Partneren bekrefter eller endrer den skriftlig.

KAWLET skal ikke bruke de Betrodde opplysningene til egne formål, særlig ikke til markedsføring, til å berike katalogen sin, til å bygge statistikk som kan selges, eller til å trene maskinlæringsmodeller.

5.2. Fortrolighet

KAWLET garanterer at de Betrodde opplysningene forblir strengt fortrolige. I den forbindelse:

• er tilgangen til opplysningene begrenset til de personene som trenger den for å utføre ytelsen, etter prinsippet om minste privilegium;
• er personene som har rett til å behandle opplysningene, underlagt en avtalefestet eller lovbestemt taushetsplikt, også etter at oppdraget deres er over;
• utleverer KAWLET ingen opplysninger til tredjeparter, bortsett fra underdatabehandlerne som er oppført i Vedlegg 2, og bortsett fra pålegg fra en kompetent myndighet;
• informerer KAWLET Partneren uten ugrunnet opphold ved et retts- eller forvaltningspålegg som gjelder de Betrodde opplysningene, med mindre loven forbyr det.

5.3. Sikkerhet ved behandlingen

KAWLET gjennomfører de egnede tekniske og organisatoriske tiltakene etter **artikkel 32 i personvernforordningen, beskrevet i Vedlegg 3**. Tiltakene er angitt slik de faktisk er gjennomført på datoen for denne Avtalen; KAWLET påberoper seg ingen sertifisering av sikkerhet eller etterlevelse.

KAWLET kan videreutvikle tiltakene for å ta hensyn til den tekniske utviklingen, forutsatt at det samlede sikkerhetsnivået ikke senkes. Vedlegg 3 oppdateres da.

5.4. Bruk av underdatabehandlere

Partneren gir Databehandleren en generell skriftlig godkjenning til å bruke underdatabehandlere, på vilkårene i artikkel 28.2 og 28.4 i personvernforordningen.

Listen over underdatabehandlerne som gjelder på datoen for denne Avtalen, står i Vedlegg 2. Listen er satt opp som en **uttømmende oversikt over de tredjepartstjenestene som faktisk kalles** av tjenesten TITU, også de som ikke behandler personopplysninger, slik at Partneren har full oversikt over strømmene.

KAWLET forplikter seg til å:

• informere Partneren om enhver tilføyelse eller utskifting av en underdatabehandler med rimelig varsel, og uansett før den nye underdatabehandleren behandler Betrodde opplysninger;
• gi Partneren en frist på tretti (30) dager til å komme med en begrunnet innsigelse. Blir Partene ikke enige om en innsigelse, kan Partneren si opp den aktuelle ytelsen uten erstatning;
• pålegge hver underdatabehandler ved avtale personvernplikter som i det vesentlige tilsvarer pliktene i denne Avtalen;
• forbli fullt ut ansvarlig overfor Partneren for at underdatabehandlerne oppfyller pliktene sine.

5.5. Bistand til Partneren

Ut fra behandlingens art og opplysningene KAWLET har tilgang til, bistår KAWLET Partneren:

• De registrertes rettigheter. Ved å gjennomføre de egnede tekniske og organisatoriske tiltakene som gjør det mulig for Partneren å følge opp anmodninger om innsyn, retting, sletting, begrensning, protest og dataportabilitet. Enhver anmodning KAWLET mottar direkte, videresendes til Partneren uten opphold og behandles ikke av KAWLET, med mindre annet er instruert.
• Sikkerhet, brudd, vurderinger av personvernkonsekvenser. Ved å gi opplysningene Partneren trenger for å oppfylle pliktene i artikkel 32 til 36 i personvernforordningen, medregnet vurderingen av personvernkonsekvenser og forhåndsdrøftingen med tilsynsmyndigheten.

5.6. Brudd på personopplysningssikkerheten

KAWLET varsler Partneren om ethvert brudd på personopplysningssikkerheten som rammer de Betrodde opplysningene, uten ugrunnet opphold etter å ha blitt kjent med det, i samsvar med artikkel 33.2 i personvernforordningen, slik at Partneren om nødvendig kan oppfylle plikten til å melde fra til tilsynsmyndigheten innen 72 timer etter artikkel 33.1.

Varselet inneholder, i den grad opplysningene foreligger når det sendes: bruddets art, kategoriene og det omtrentlige antallet berørte personer og registreringer, de sannsynlige følgene, tiltakene som er truffet eller foreslås, og et kontaktpunkt. Opplysninger som mangler, gis fortløpende, uten ytterligere ugrunnet opphold.

Ingen bestemmelse i denne artikkelen gjør KAWLET til den som skal melde fra til tilsynsmyndigheten eller til de registrerte; den plikten påhviler Partneren som behandlingsansvarlig.

5.7. Dokumentasjon og revisjon

KAWLET stiller alle nødvendige opplysninger til rådighet for Partneren, slik at Partneren kan påvise at pliktene i artikkel 28 i personvernforordningen er oppfylt.

KAWLET gjør det mulig å gjennomføre revisjoner, medregnet inspeksjoner, ved Partneren eller en revisor Partneren har engasjert, forutsatt at:

• revisjonen varsles skriftlig med minst tretti (30) dagers varsel, unntatt ved hastesaker begrunnet i en påvist sikkerhetshendelse;
• den gjennomføres i arbeidstiden, uten uforholdsmessig forstyrrelse av driften;
• den verken krenker fortroligheten om opplysningene til andre kunder eller brukere hos KAWLET eller forretningshemmeligheter;
• revisoren er underlagt taushetsplikt;
• den ikke skjer oftere enn én gang per kalenderår, utenom ved en påvist sikkerhetshendelse eller en anmodning fra en tilsynsmyndighet.

KAWLET kan oppfylle denne plikten ved å legge fram relevant dokumentasjon, medregnet, der slike finnes, revisjonsrapporter eller erklæringer fra sine egne underdatabehandlere.

5.8. Protokoll over behandlinger

KAWLET fører, i samsvar med artikkel 30.2 i personvernforordningen, en protokoll over kategoriene av behandlingsaktiviteter som utføres på vegne av Partneren, og stiller den til rådighet på anmodning fra tilsynsmyndigheten.

5.9. Overføringer ut av Den europeiske union

KAWLET lagrer de Betrodde opplysningene innenfor Den europeiske union. Overføringene til et tredjeland som følger av bruken av underdatabehandlerne som er oppført i Vedlegg 2, er rammet inn av de egnede garantiene som er nevnt i vedlegget, særlig standard personvernbestemmelser vedtatt av Europakommisjonen.

KAWLET foretar ingen annen overføring ut av Den europeiske union uten dokumentert instruks fra Partneren.

6.1. Tilbakelevering

Når som helst i Hovedavtalens løpetid, og i tretti (30) dager fra den opphører, kan Partneren be om å få de Betrodde opplysningene tilbake. KAWLET leverer dem i et **strukturert, alminnelig brukt og maskinlesbart format**.

6.2. Sletting

Når denne fristen på tretti (30) dager er ute, eller straks etter skriftlig instruks fra Partneren, sletter KAWLET de Betrodde opplysningene og kopiene som finnes, med mindre det gjelder en rettslig oppbevaringsplikt. KAWLET bekrefter slettingen skriftlig på anmodning fra Partneren.

6.3. Hva som ikke slettes

Slettingen etter 6.2 omfatter ikke:

• opplysningene KAWLET behandler som behandlingsansvarlig etter punkt 2.2, og som følger sitt eget livsløp;
• de ikke-personlige organisatoriske faktaene (navnet på et anlegg eller en klubb, adresse, kjennetegnene ved en bane, terminlisten) fra offentlige kilder eller fra oppføringen i katalogen, som ikke utgjør personopplysninger og fortsatt reguleres av Hovedavtalen og ikke av denne Avtalen;
• de tekniske loggene og sikkerhetskopiene, som slettes etter sin egen rotasjonssyklus.

Hver Part bærer det ansvaret som påhviler den etter artikkel 82 og 83 i personvernforordningen, for de pliktene som er dens egne.

KAWLET er bare ansvarlig for skade forårsaket av en behandling dersom KAWLET ikke har oppfylt de pliktene i personvernforordningen som særskilt påhviler databehandlere, eller dersom KAWLET har handlet utenfor Partnerens lovlige instrukser eller i strid med dem (artikkel 82.2 i personvernforordningen).

Ansvarsbegrensningene og ansvarsfraskrivelsene i Hovedavtalen gjelder for denne Avtalen, innenfor det gjeldende regelverk tillater.

Ethvert spørsmål, enhver instruks, ethvert varsel og enhver anmodning som gjelder denne Avtalen, rettes til:

KAWLET EURL 15 Square Rameau 59000 Lille — Frankrike RCS Lille Métropole 993 159 250

Kontakt om personvern: yo@titu.app

8.1. Intet personvernombud

KAWLET har ikke utpekt et personvernombud (DPO) etter artikkel 37 i personvernforordningen, ettersom selskapet per i dag ikke oppfyller vilkårene som gjør en slik utpeking obligatorisk. Kontakten som er nevnt ovenfor, er det eneste inngangspunktet for saker som hører under denne Avtalen; den har verken stillingen eller garantiene for uavhengighet som følger med vervet som ombud.

Dette vurderes på nytt ved enhver vesentlig endring av virksomheten. Blir et ombud utpekt, vil denne artikkelen bli oppdatert.

8.2. Tilsynsmyndighet

Kompetent tilsynsmyndighet for KAWLET er **Commission nationale de l'informatique et des libertés (CNIL)**, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, Frankrike.

9.1. Dokumentenes rangorden

Denne Avtalen er en integrert del av Hovedavtalen. Ved motstrid mellom en bestemmelse i Hovedavtalen og en bestemmelse i denne Avtalen som gjelder behandling av personopplysninger, går denne Avtalen foran. I alle andre spørsmål går Hovedavtalen foran.

Ved motstrid mellom denne Avtalen og standard personvernbestemmelser vedtatt av Europakommisjonen og undertegnet av Partene, går de sistnevnte foran.

9.2. Varighet

Denne Avtalen trer i kraft på Hovedavtalens ikrafttredelsesdato og gjelder så lenge KAWLET behandler Betrodde opplysninger på vegne av Partneren. Bestemmelsene i artikkel 5.2 (fortrolighet), 6 (opplysningenes skjebne) og 7 (ansvar) overlever den.

9.3. Endring

KAWLET kan endre denne Avtalen for å ta hensyn til en endring i regelverket, en avgjørelse fra en tilsynsmyndighet eller en teknisk utvikling av tjenesten. Enhver vesentlig endring varsles Partneren med rimelig varsel. Kommer det ingen skriftlig og begrunnet innsigelse innen tretti (30) dager, anses endringen som godtatt.

Vedlegg 2 og 3 kan oppdateres på den måten som er fastsatt i henholdsvis artikkel 5.4 og 5.3, uten at oppdateringen utgjør en vesentlig endring av Avtalen.

9.4. Delvis ugyldighet

Blir en bestemmelse i denne Avtalen kjent ugyldig eller uanvendelig, forblir de øvrige bestemmelsene i kraft. Partene bestreber seg på å erstatte den ugyldige bestemmelsen med en gyldig bestemmelse med tilsvarende økonomisk og rettslig virkning.

9.5. Lovvalg og verneting

Denne Avtalen er underlagt fransk rett. Uten minnelig løsning hører enhver tvist om Avtalens gyldighet, tolkning eller oppfyllelse eksklusivt under **de franske domstolene i rettskretsen Lille**, med forbehold for ufravikelige vernetingsregler.

Dette vedlegget beskriver, i samsvar med artikkel 28.3 i personvernforordningen, behandlingene KAWLET utfører på vegne av Partneren. Det er uttømmende.

A1.1. Tilgjengeliggjøring av katalogen over anlegg og klubber

Partneren oppfordres til å oppgi funksjonsbaserte kontaktopplysninger («resepsjon», «sekretariat») framfor navngitte. Når ingen personopplysninger overføres, er denne Avtalen uten gjenstand for denne ytelsen.

A1.2. Oppføring av en operatørs bookingtilbud

Selve bookingen utføres ikke av KAWLET. Spilleren som klikker, sendes videre til Partnerens system, der vedkommende blir kunde hos Partneren. Opplysningene som samles inn fra denne videresendingen, er utelukkende Partnerens ansvar, som selvstendig behandlingsansvarlig, og faller utenfor denne Avtalen.

A1.3. Aggregert rapportering av klikk til et tilbud

Når en spiller aktiverer lenken til et tilbud fra Partneren, øker KAWLET en **daglig, aggregert teller**.

Denne telleren — tabellen venue_offer_click_daily — inneholder utelukkende følgende felter:

**Den inneholder verken IP-adresse, informasjonskapsel eller enhetsidentifikator, konto, spiller-ID, forespørselsheader eller nyttelast. Dette fraværet er strukturelt**: tabellen har ingen kolonne som kan ta imot disse elementene, og funksjonen som teller opp, mottar bare tilbudets identifikator og flaten.

Av dette følger tre konsekvenser som Partene uttrykkelig erkjenner:

1. Denne telleren utgjør ikke en behandling av personopplysninger. Ingen fysisk person er identifisert eller identifiserbar ut fra disse seks feltene.
2. Denne telleren utgjør ikke en individuell besøksmåling. Den gjør det verken mulig å telle unike besøkende, å rekonstruere et brukerløp eller å skille ti klikk fra én person fra ett klikk fra ti personer. Den skal verken av KAWLET eller av Partneren framstilles som en besøksmåling, et grunnlag for resultatbasert fakturering eller et middel til å avdekke svindel eller misbruk.
3. Den gis Partneren som veiledende, som et rått produktsignal, uten garanti for riktighet, fullstendighet eller samsvar med konverteringene Partneren selv måler i sitt eget system.

A1.4. Teknisk integrasjon av en partner

Ingen integrasjon kan settes i produksjon uten at kategoriene av opplysninger og av registrerte er oppregnet skriftlig. Unntakene i artikkel 4 (særlige kategorier, straffedommer, kontaktopplysninger til klubbledere, dommere eller mindreårige) gjelder fullt ut.

A1.5. Behandlinger som er unntatt fra Vedlegg 1

For å unngå enhver tvil hører følgende ikke under denne Avtalen og behandles av KAWLET som behandlingsansvarlig:

• alle konto-, gruppe- og kampopplysninger om spillerne;
• varslene som sendes til spillerne;
• innsamling, kontroll og republisering av organisatoriske fakta fra offentlige kilder eller fra forbund (klubbnavn, adresse, stadion, nivå, terminliste, tabell), som ikke inneholder personopplysninger;
• den valgfrie koblingen, på spillerens anmodning og etter spillerens bekreftelse, mellom kontoen og de offentlige kampresultatene fra konkurransene.

Denne listen er satt opp som en **uttømmende oversikt over de tredjepartstjenestene som faktisk kalles** av tjenesten TITU på datoen for denne Avtalen, også de som det ikke overføres personopplysninger til. Den er en overmengde av underdatabehandlerne etter artikkel 28.4 i personvernforordningen.

A2.1. Leverandører som kan behandle personopplysninger

A2.2. Leverandører som ikke behandler personopplysninger

Disse tjenestene er oppført av hensyn til åpenhet: de kalles av tjenesten eller av kjedene dens for behandling av offentlige data, uten at det overføres opplysninger om konto, spiller eller registrert til dem.

A2.3. Den faktiske statusen for bruken av Google Gemini

Tjenesten TITU har to ulike bruksområder for en språkmodell, begge begrenset til **fakta og beskrivelser som gjelder baner**. I begge tilfellene gjelder:

• ingen opplysninger om spiller, konto, gruppe eller registrert kommer inn i en prompt; innholdet som sendes inn, kommer utelukkende fra anleggsoppføringer og offentlige kilder;
• ingen verktøy for nettlesing, eksternt søk eller tilgang til en kommersiell stedsdatabase er slått på;
• ingen utdata fra modellen publiseres automatisk.

Bruk 1 — uthenting av tekniske fakta. Denne strømmen er slått av som standard og har aldri vært kjørt i produksjon. For at den skal settes i gang, kreves det at flere uavhengige vilkår er oppfylt samtidig: et uttrykkelig flagg på kommandolinjen, aktivering i et versjonert manifest, en egen miljøvariabel, et tilsvarende kjøremål, det nøyaktige kryptografiske avtrykket av planen, og en lokal database. At det finnes en API-nøkkel, er i seg selv ikke nok til å sette i gang noe. Omfanget er begrenset til tre valideringstilfeller før lansering.

Bruk 2 — utkast til beskrivelser. En egen strøm kan produsere utkast til beskrivelser av baner. Disse utkastene er merket ikke publiserbare og ikke gjennomgått, blir aldri lagt ut uten en identifisert menneskelig gjennomgang, og mater verken den offentlige katalogen eller de indekserbare sidene. Denne strømmen kjører bare dersom en API-nøkkel er satt opp i miljøet for kontinuerlig integrasjon.

Denne beskrivelsen gjenspeiler tjenestens faktiske tilstand på datoen for denne Avtalen og foregriper ingen framtidig utrulling.

A2.4. Tjenester som er satt opp, men inaktive

Av hensyn til åpenhet er følgende tjenester omtalt med tekniske henvisninger i tjenesten uten å bli kalt per i dag: Google Maps / Places (det finnes ingen kall i koden; bare en ugjennomsiktig stedsidentifikator vil kunne beholdes i framtiden, i en egen tabell, uten at noe innhold gjengis), Mapbox og OpenCage (geokodingstjenester i reserve, ikke slått på). Ingen av disse tjenestene mottar opplysninger på datoen for denne Avtalen. Blir de slått på, vil dette vedlegget bli oppdatert etter artikkel 5.4.

Tiltakene nedenfor er beskrevet slik de faktisk er gjennomført på datoen for denne Avtalen. KAWLET påberoper seg ingen sertifisering av sikkerhet eller etterlevelse (særlig verken ISO/IEC 27001, SOC 2, HDS eller PCI-DSS) og gjør ingen slik gjeldende etter denne Avtalen.

A3.1. Tilgangskontroll til opplysningene

• Avskjerming på radnivå. Sikkerhet på radnivå (row level security) i PostgreSQL er slått på for samtlige applikasjonstabeller, partisjoner medregnet. En forespørsel kan bare returnere de radene som policyen knyttet til tabellen tillater for den som spør.
• Rettigheter gis uttrykkelig. Den anonyme rollen har ingen rettigheter til tabellene. Den autentiserte rollen har bare de strengt nødvendige verbene, gitt tabell for tabell. Tilgangen nektes dermed på rettighetsnivå allerede før sikkerhetspolicyene vurderes.
• Tjenesterolle. En betrodd teknisk rolle, forbeholdt behandlinger på serveren, er ikke underlagt sikkerhetspolicyene på radnivå — det er en nødvendig egenskap ved bruken av den. Legitimasjonen dens spres aldri i en klientapplikasjon, og særlig ikke i den offentlige nettapplikasjonen.

A3.2. Behandlingenes integritet

• Forretningslogikken bor på serveren. De følsomme operasjonene kjøres i transaksjonelle prosedyrer i databasen, med definerte rettigheter, som låser den aktuelle raden før de avgjør noe. Klienten kaller en operasjon; den bestemmer ikke utfallet.
• Avgjørelsene overlates ikke til klienten. De kritiske verdiene — særlig plasseringen i en kø — tildeles av databasen. Ingen kallsignatur lar en klient tvinge dem fram.
• Overgangene i tid utløses av serveren, av en planlagt jobb i databasen, og ikke av appen. Å endre klokka på en enhet har ingen virkning.

A3.3. Avskjerming av opplysninger fra eksterne kilder

• Tabellene som utgjør den interne reserven av forbundsdata, er lagt under sikkerhet på radnivå uten en eneste policy og er gjenstand for en uttrykkelig tilbakekalling av rettigheter for den anonyme og den autentiserte rollen. Ingen offentlig rute og ingen prosedyre som er tilgjengelig uten autentisering, leser dem.
• Bare en egen offentlig projeksjon, begrenset til organisatoriske fakta og uten noen kolonne som kan ta imot en person, er eksponert.
• At det ikke finnes personopplysninger i disse tabellene, er en strukturell egenskap ved skjemaet, og ikke en bruksinstruks.

A3.4. Lagring av filer

• Lagringsområdet for profilbildene er privat; denne tilstanden settes på nytt idempotent ved hver migrering.
• Det genereres ingen permanent offentlig adresse. Tilgangen skjer med en signert URL med kort varighet, begrenset til eieren av fila eller en lagkamerat i samme gruppe.
• At en konto slettes, utløser sletting av fila ved en egen planlagt jobb, med nytt forsøk ved feil.

A3.5. Håndtering av hemmeligheter

• Hemmelighetene databasen bruker (adressene og kalletokenene til serverfunksjonene, nøkkelen som krypterer tokenene for identitetskobling), oppbevares i det innebygde hvelvet hos databaseleverandøren og leses i det øyeblikket de brukes.
• Ingen produksjonshemmelighet finnes i kodelageret eller i historikken til lageret.

A3.6. Kryptering

• Under overføring. Utvekslingen mellom applikasjonene, databasen og tredjepartstjenestene skjer over HTTPS/TLS. Det finnes ingen ukryptert kall på en vei som behandler personopplysninger. TLS-termineringen håndteres av hostingplattformene.
• På applikasjonsnivå. Tokenene for identitetskobling er kryptert i databasen (pgcrypto) med en nøkkel som oppbevares i hvelvet, og utløper etter ti minutter.
• I ro. Krypteringen i ro av applikasjonsdataene håndteres av hostingleverandøren som databehandler, i samsvar med leverandørens egne avtaleforpliktelser. KAWLET framstiller den ikke som et tiltak selskapet selv gjennomfører.

A3.7. Minimering og fravær av sporere

• Bruksmålingen bygger på en lukket liste over navngitte hendelser, uten automatisk registrering og uten sesjonsopptak; programbibliotekene som gjør slike funksjoner mulige, er ikke installert.
• Videresendingen til en partners tilbud verken setter eller leser informasjonskapsler og beholder verken IP-adresse, enhetsidentifikator eller kontoidentifikator (se Vedlegg 1, A1.3).
• Opplysningene som overføres for å sette sammen et varsel, er begrenset til det som er strengt nødvendig for å vise det.

A3.8. Sletting og opplysningenes livsløp

• Sletting på anmodning. Det finnes en framgangsmåte for å slette en konto. Den settes i gang av brukeren selv, har ingen parameter som peker ut en tredjepart, krever en uttrykkelig bekreftelse, frigir plassene kontoen holder i kommende økter før den stenger kontoen, stenger tilgangen til kontoen før tømmingen forsøkes (slik at kontoen forblir utilgjengelig selv om tømmingen mislykkes), og sletter opplysningene som hører til den.
• Kontroll ved gjennomsøking. En automatisert test leter etter avtrykk av den slettede kontoen i hver tekst- og strukturkolonne i applikasjons-, autentiserings- og lagringsskjemaene, i stedet for i en forhåndsbestemt liste over tabeller.
• Funksjonelle frister. Flere tekniske frister er innebygd: utløpet for tokenene til identitetskobling (ti minutter), angrevinduet for et avbud, sperrefristen mot gjentatte henvendelser, utløpet for reserverte plasser og for tilbud, utløpet for bookingtidene.
• Rekkevidden av denne forpliktelsen. KAWLET påberoper seg ikke noen jevnlig automatisk tømming av applikasjonsloggene og kamphistorikken: slettingen av personopplysninger settes i gang av den registrerte eller av den behandlingsansvarlige, og kontrolleres. Kampopplysningene som blir stående igjen, anonymiseres.

A3.9. Organisasjon

• Tilgangen til produksjonsmiljøene er begrenset til de personene som trenger den.
• Skille mellom utviklings-, test- og produksjonsmiljøene; utviklingsdataene er demonstrasjonsdata.
• Endringer i skjemaet følges opp med versjonerte og gjennomgåtte migreringer.
• Automatiserte tester som blant annet gjelder avskjermingen, gjensidigheten i tilgangen til stemmene, slettingen av konto og at fillagringen er privat.