Avtalsvillkor

Allmänna villkor för KörPlan

Version 3

1. Vad villkoren gäller

Sjöstrand & Engström AB ("Leverantören") tillhandahåller KörPlan, en webbaserad tjänst för körer och orkestrar: planering, medlemsregister, repertoar, dokumentarkiv och kommunikation. Tjänsten nås via webbläsare och kräver ingen installation.

Villkoren gäller mellan Leverantören och den organisation som tecknat avtal om tjänsten ("Kunden"). Kundens uppgifter, pris och avtalstid framgår av avtalsbilagan, som utgör en del av avtalet.

Vad tjänsten innehåller vid varje tidpunkt framgår av tjänsten själv. Leverantören utvecklar den löpande och kan lägga till, ändra eller ta bort funktioner. Väsentliga förändringar som tar bort något Kunden använder ska meddelas minst 60 dagar i förväg.

2. Avtalstid och uppsägning

Avtalet löper från den dag som anges i avtalsbilagan och tills vidare.

Uppsägningstid: tre månader för båda parter, räknat från utgången av den månad uppsägningen sker. Avviker avtalsbilagan — exempelvis genom en provperiod — gäller bilagan.

Leverantören får säga upp avtalet med omedelbar verkan om Kunden trots påminnelse inte betalar, eller använder tjänsten i strid med avtalet eller lag.

3. Pris och avstämning

Priset framgår av avtalsbilagan och beräknas efter antalet medlemmar. Alla belopp anges inklusive moms. Fakturan visar momsen som eget belopp, vilket lagen kräver.

Antalet medlemmar stäms av en gång per år, den 31 augusti. Antalet den dagen sätter priset för det avtalsår som börjar dagen efter.

Om kören växer kraftigt under året: överstiger antalet medlemmar det fakturerade antalet med mer än 20 procent, har Leverantören rätt att tilläggsfakturera mellanskillnaden proportionerligt för återstoden av avtalsåret, räknat från den månad gränsen passerades. Rätten utövas av Leverantören och inträder inte automatiskt; Kunden underrättas innan en tilläggsfaktura skickas.

Minskar antalet sker ingen kreditering. Nästa årsförfallodag räknar om priset. Denna asymmetri är avsiktlig och Kunden är införstådd med den.

Med medlem avses den som den 31 augusti är registrerad i tjänsten som aktiv, sjungande medlem i kören. Den som är medlem den dagen räknas för hela avtalsåret, även om hon pausar eller slutar under året.

Ni betalar för dem som sjunger. Den som pausar kostar inget och får inte kallelser och noter. En vilande medlem kan logga in och se och rätta sina egna uppgifter, men får inte kallelser, påminnelser eller utskick, kan inte svara på närvaro och når inte noter, övningsfiler eller köruppställningen.

Inlånade sångare räknas inte, under högst tre månader per person och avtalsår (1 september–31 augusti), räknat som summan av hennes perioder. En period börjar den dag den läggs in, om ingen annan dag anges. Gränsen prövas när perioden läggs in; en period som skulle överskrida den kan inte sparas, och den som behövs längre registreras som medlem.

Dirigenten räknas inte, oavsett hur hon är registrerad. Inte heller externa resurser och adjungerade.

Ökar antalet under avtalsåret hanteras det enbart genom regeln om 20 procent ovan.

Rabatt som framgår av avtalsbilagan gäller under den tid som anges där. Att en rabatt upphör omfattas av regeln i avsnitt 4 om besked före uppsägningsdagen.

4. Betalning

Fakturering sker årsvis i förskott mot faktura, om inte annat anges i avtalsbilagan. Betalningsvillkor 10 dagar netto från fakturadatum. Dröjsmålsränta enligt räntelagen.

Börjar avtalet mitt under ett avtalsår faktureras hela månader, från den första hela månaden efter provperioden till och med närmaste årsförfallodag. Dagarna fram till månadsskiftet ingår i provperioden. Alla år därefter följer samma dag.

Besked om prisändring ska komma före uppsägningsdagen

Priset kan justeras en gång per år, från ett nytt avtalsår.

Besked om prisändring — en höjning eller att en rabatt upphör — ska lämnas senast en månad före uppsägningsdagen. Det ger Kunden tid att ta ställning innan hon förlorar rätten att säga upp.

Lämnas beskedet senare gäller ändringen först avtalsåret därpå.

5. Kundens uppgifter tillhör Kunden

All information Kunden lägger in — medlemsuppgifter, kalender, repertoar, dokument, inspelningar, filer — tillhör Kunden. Leverantören förvärvar ingen rätt till materialet utöver vad som krävs för att driva tjänsten.

Vid avtalets slut har Kunden rätt att få ut allt sitt material i ett vanligt förekommande, maskinläsbart format, utan särskild kostnad, inom 30 dagar från begäran.

Leverantören raderar Kundens uppgifter senast 90 dagar efter avtalets upphörande, om inte Kunden begär tidigare radering eller lag kräver annat.

6. Kundens ansvar för innehållet

Kunden ansvarar för att material som läggs in får läggas in. Det gäller särskilt noter, inspelningar och bilder, där upphovsrätt eller samtycke kan begränsa användningen.

Leverantören granskar inte innehållet och kontrollerar inga rättigheter.

7. Tillgänglighet

Leverantören strävar efter att tjänsten ska vara tillgänglig dygnet runt men lämnar ingen garanterad tillgänglighetsnivå.

Planerade avbrott läggs mellan klockan 21 och 06 och meddelas minst tre dagar i förväg.

Kunden är införstådd med att tjänsten drivs av en liten leverantör och att avbrott kan förekomma. Kunden bör inte förlita sig på tjänsten som enda informationskanal vid tidskritiska tillfällen.

8. Ansvar

Leverantörens sammanlagda ansvar mot Kunden under ett avtalsår är begränsat till det pris Kunden betalat under samma år, dock lägst 5 000 kronor.

Leverantörens sammanlagda ansvar mot samtliga kunder för en och samma händelse, eller för en serie sammanhängande händelser, är begränsat till 500 000 kronor. Överstiger de sammanlagda kraven det beloppet fördelas det i förhållande till kravens storlek.

Leverantören ansvarar inte för indirekt skada eller utebliven vinst.

Begränsningarna gäller inte vid uppsåt eller grov vårdslöshet.

9. Personuppgifter

Kunden är personuppgiftsansvarig, Leverantören personuppgiftsbiträde. Personuppgiftsbiträdesavtalet utgör en del av detta avtal och ska godkännas innan Kunden bjuder in sina medlemmar.

10. Ändringar av villkoren

Leverantören får ändra dessa villkor. Väsentliga ändringar meddelas minst 60 dagar i förväg och kräver Kundens godkännande. Redaktionella ändringar meddelas utan krav på nytt godkännande.

Godkänner Kunden inte en väsentlig ändring har Kunden rätt att säga upp avtalet till den dag ändringen skulle gälla.

11. Tvist

Svensk rätt tillämpas. Tvist avgörs av allmän domstol med Västerås tingsrätt som första instans.

Personuppgiftsbiträdesavtal

Version 5

Parter

Personuppgiftsansvarig: den organisation som tecknat avtal om KörPlan ("Kunden"), enligt avtalsbilagan. Personuppgiftsbiträde: Sjöstrand & Engström AB ("Leverantören").

Avtalet reglerar biträdets behandling av personuppgifter för den ansvariges räkning, enligt artikel 28 i dataskyddsförordningen (EU 2016/679).

Avtalet ska vara på plats innan personuppgifter förs in i tjänsten. Har behandling redan påbörjats gäller avtalet från undertecknandet och omfattar även de uppgifter som dessförinnan förts in.

1. Vad som behandlas

Matallergier är uppgifter om hälsa (artikel 9). De behandlas bara så här:

• Medlemmen anger dem själv, frivilligt, under Min profil: de fjorton allergener livsmedelslagstiftningen räknar upp och en kort fritext. Ingen annan kan fylla i dem, och tidpunkten då medlemmen lämnade uppgiften sparas. En administratör kan ta bort dem men aldrig skriva dem.
• De syns för medlemmen själv, Kundens administratörer, den som Kunden gett rätten att se allergier, och projektledaren för deltagarna i sitt projekt. De syns aldrig i matrikeln.
• De raderas när medlemskapet upphör, och medlemmen kan ta bort dem när som helst.
• Ändamålet är att den som ordnar mat vid konserter, resor och övriga arrangemang ska kunna ta hänsyn till dem.

Rättslig grund: medlemmens uttryckliga samtycke (artikel 9.2 a). Samtycket ges genom att medlemmen själv fyller i uppgiften, och det tas tillbaka genom att medlemmen tar bort den.

Inga andra särskilda kategorier av personuppgifter enligt artikel 9 ska föras in i tjänsten. Uppgifter om religiös uppfattning, fackligt medlemskap eller motsvarande hör inte hemma i KörPlan, och Kunden ansvarar för att sådana inte läggs in.

E-post till körens adress (kören@kontakt.korplan.se) sparas i körens brevlåda i KörPlan, där bara Kundens administratörer läser den. Avsändaren bestämmer själv vad brevet innehåller. Bilagor sparas inte, utan namnges i brevet. Kundens administratörer kan radera brev och trådar.

2. Biträdets åtaganden

Biträdet ska:

• behandla personuppgifter endast enligt den ansvariges dokumenterade instruktioner. Detta avtal och tjänstens normala användning utgör sådana instruktioner
• inte använda uppgifterna för egna ändamål — inte för produktutveckling som kräver identifierbara uppgifter, inte för marknadsföring, inte för att träna modeller, inte för att sälja eller dela vidare
• se till att alla hos biträdet som har åtkomst till uppgifterna är bundna av tystnadsplikt. Det gäller biträdets egen personal och anlitade konsulter — inte hur den ansvarige delar uppgifter inom sin egen organisation, vilket är den ansvariges egen behandling
• vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder enligt artikel 32, se avsnitt 4
• bistå den ansvarige när en registrerad begär utdrag, rättelse, radering, begränsning eller dataportabilitet
• bistå vid konsekvensbedömning och förhandssamråd om det skulle behövas
• på den ansvariges begäran radera eller återlämna samtliga personuppgifter vid avtalets slut, enligt avsnitt 7
• ge den ansvarige den information som behövs för att visa att skyldigheterna följs, och möjliggöra granskning

3. Underbiträden

Den ansvarige ger allmänt förhandstillstånd till underbiträden. Biträdet ska underrätta den ansvarige minst 14 dagar innan ett underbiträde tillkommer eller byts, och den ansvarige har rätt att invända. Underrättelsen lämnas i KörPlan.

Biträdet ansvarar för underbiträdenas behandling som för sin egen och ska binda dem vid samma skyldigheter.

Vid avtalets ingång anlitas:

Överföring till tredjeland: e-post innebär behandling i USA. Resend lagrar uppgifter om varje meddelande och sina loggar där, och har sin huvudsakliga behandling där. Överföringen sker med stöd av EU-kommissionens standardavtalsklausuler och ramverket EU–US Data Privacy Framework, som Resend är anslutet till. Vad som förs över är det som står i meddelandena: mottagarens eller avsändarens namn och e-postadress, ämnesraden och texten, i utskick från KörPlan och i e-post till körens adress. Registret i övrigt förs inte över.

All lagring av databas och filer sker inom EU, säkerhetskopian inräknad. Geoapify nås bara via sin EU-ändpunkt, och Sentry tar emot i sin EU-region; behandlingen där sker inom EU.

4. Säkerhetsåtgärder

• Trafik krypteras med TLS. Lagrade uppgifter krypteras i vila hos databasleverantören.
• Åtkomst kräver personlig inloggning. Ingen delad inloggning förekommer.
• Behörighet styrs per organisation och per roll i databasen, inte enbart i gränssnittet. En medlem kan inte nå en annan organisations uppgifter.
• Hemadresser hämtas aldrig till listvyer — de finns bara på personkortet och används i samåkningen.
• Ändringar av någon annans uppgifter loggas: vem, vad och när.
• Säkerhetskopiering sker dagligen hos databasleverantören. Filerna (noter, dokument, kvitton och bilder) kopieras dessutom varje timme till Cloudflare R2, inom EU.
• Biträdet är en liten organisation. Antalet personer med teknisk åtkomst till produktionsdata är en (1), bolagets ägare.

5. Personuppgiftsincidenter

Biträdet ska underrätta den ansvarige utan onödigt dröjsmål och senast inom 24 timmar efter att ha fått kännedom om en incident.

Underrättelsen ska innehålla vad som hänt, vilka kategorier och ungefär hur många registrerade som berörs, sannolika konsekvenser och vilka åtgärder som vidtagits.

Anmälan till Integritetsskyddsmyndigheten görs av den ansvarige, inte av biträdet. Biträdet lämnar det underlag som behövs.

6. Granskning

Den ansvarige har rätt att en gång per år, efter 30 dagars varsel, granska att biträdet följer avtalet. Granskningen kan ske genom skriftliga frågor eller genom att ta del av underbiträdenas säkerhetsdokumentation.

Kostnaden bär den ansvarige, utom om granskningen visar väsentliga brister.

7. Vid avtalets slut

Den ansvarige har rätt att få ut samtliga uppgifter i ett maskinläsbart format inom 30 dagar från begäran.

Biträdet raderar därefter samtliga personuppgifter, inklusive säkerhetskopior, senast 90 dagar efter avtalets upphörande.

Undantag: uppgifter som biträdet enligt lag är skyldigt att bevara, exempelvis bokföringsunderlag. Sådana uppgifter behandlas enbart för det ändamålet.

8. Förhållande till huvudavtalet

Vid motstridighet mellan detta avtal och avtalet om användning av KörPlan har detta avtal företräde i frågor som rör personuppgifter.

9. Underskrift

Avtalet godkänns i KörPlan av behörig företrädare för Kunden. Godkännandet loggas med tidpunkt, namn, befattning och den fullständiga avtalstext som visades.

Ett undertecknat pappersexemplar kan genereras ur den godkända texten om Kunden begär det.