Data Processing Agreement
Version: November 2026
Padel Platform ApS – standard terms for the processing of personal data
Version 3.0 – November 2026
This data processing agreement (the "Data Processing Agreement") governs Padel Platform ApS' processing of personal data on behalf of a customer where, in relation to the specific processing activity, the customer is the controller and Padel Platform ApS is the processor. The Data Processing Agreement forms an integral part of the agreement (the "Main Agreement") entered into between the customer and Padel Platform ApS where the Main Agreement refers to the then-current version or a specified version of this Data Processing Agreement.
Important regarding the allocation of roles: The Data Processing Agreement does not alter the parties' actual roles under data protection law. It applies solely to processing activities in which Padel Platform processes personal data on the customer's documented instructions. For processing activities where Padel Platform itself determines the purposes and essential means and is therefore the controller, Padel Platform's Privacy Policy and other relevant terms apply instead.
1. The Parties
Controller: The customer that has entered into the Main Agreement with Padel Platform ApS, to the extent that the customer is the controller for the specific processing activity.
Processor: Padel Platform ApS, Denmark ("Padel Platform").
The parties' contact details are set out in the Main Agreement. Data protection-related enquiries to Padel Platform may be sent to privacy@padelplatform.app.
2. Purpose, Subject Matter and Duration
2.1 Padel Platform processes personal data on behalf of the controller only to the extent necessary to provide the services and functions agreed in the Main Agreement which, by their nature, involve processing on the customer's behalf.
2.2 The processing may include hosting, storage, access, transmission, support, troubleshooting, security, administration and other technical processing necessary to provide the relevant function to the customer.
2.3 The Data Processing Agreement applies for as long as Padel Platform processes personal data on behalf of the customer. Provisions which by their nature are intended to survive termination of the Main Agreement shall remain in force.
3. Instructions and Allocation of Roles
3.1 Padel Platform shall process personal data only on documented instructions from the controller, unless processing is required by EU law or national law to which Padel Platform is subject. In such case, Padel Platform shall inform the customer of that legal requirement before processing, unless the law prohibits such information.
3.2 The Main Agreement, this Data Processing Agreement and the customer's documented use and configuration of the Service constitute the customer's instructions. Additional or amended instructions must be in writing and fall within the subject matter of the Main Agreement. Instructions that entail material additional work or costs may be charged as agreed.
3.3 If Padel Platform considers that an instruction infringes the GDPR or other applicable data protection law, Padel Platform shall inform the customer without undue delay and may suspend the relevant processing until the instruction has been clarified.
3.4 In connection with the Service, Padel Platform may at the same time act as an independent controller for other processing activities. This Data Processing Agreement does not apply to such processing and does not alter the allocation of roles arising from the actual processing activity.
4. Nature of the Processing, Personal Data and Data Subjects
The specific categories depend on the functions used by the customer. To the extent that data is processed on the customer's behalf, the processing may in particular include:
Identity and contact data, including name, display name, email address, telephone number and user ID.
Match and gameplay data, including results, sets, games, points, timestamps, match status, player relationships and statistics.
Video and audio content, including match recordings, video clips, audio, highlights and associated metadata, if and to the extent that the customer is the controller for the specific processing activity.
Technical information, device information, identifiers, connection data, log data and diagnostic information.
Other personal data that the customer lawfully uploads to, or instructs Padel Platform to process as part of, the agreed functions.
Categories of data subjects may in particular include the customer's users, players, employees, contact persons and other individuals whose data is processed through the functions used by the customer.
Special categories of personal data may be processed on the customer's behalf only where this is expressly provided for in the Main Agreement or a documented instruction and the customer has ensured a valid legal basis for the processing. Apple HealthKit data is not processed on the customer's behalf solely by virtue of this Data Processing Agreement.
5. Responsibilities of the Controller
5.1 The customer is responsible for ensuring that there is a lawful basis for processing and that the required information is provided to data subjects for processing activities for which the customer is the controller.
5.2 The customer is responsible for the lawfulness of the instructions and personal data made available by the customer to Padel Platform and for ensuring that the customer's use of the Service complies with applicable data protection law.
5.3 The customer shall inform Padel Platform without undue delay of any circumstances necessary for Padel Platform to fulfil its obligations as processor.
6. Confidentiality
Padel Platform shall ensure that persons authorised to process personal data on the customer's behalf have committed themselves to confidentiality or are under an appropriate statutory obligation of confidentiality. Access shall be restricted to persons with a legitimate and necessary need for access.
7. Information Security
7.1 Padel Platform shall implement and maintain appropriate technical and organisational security measures, taking into account the nature, scope, context and purposes of the processing and the risk to the rights and freedoms of data subjects, in accordance with Article 32 of the GDPR.
7.2 Where relevant, the measures include encryption of data in transit and data at rest, secure authentication, access controls, restriction of administrative privileges, appropriate logging and monitoring mechanisms, backups and procedures for handling security incidents.
7.3 For Padel Platform's camera and video solutions, where relevant, the technical and organisational limitations described in Padel Platform's current privacy and security documentation shall also apply, including limitation of the camera's field of view, access restrictions and controlled sharing. Where the customer acts as controller for a particular match processing activity, the service configuration shall prohibit livestreaming whenever any participating player is under 15; absence of a reliable age declaration must result in streaming being blocked. This product safeguard does not modify the legal allocation of controller and processor responsibilities.
7.4 Padel Platform may modify the security measures as a result of technological developments, risk assessments or changes to the Service, provided that the overall level of security is not materially reduced.
7.5 Padel Platform may use automated technical error diagnostics to identify and remedy faults in the Service. Diagnostic data is limited to the information necessary for troubleshooting and stable operation. Direct identifiers, access credentials and other unnecessary information are filtered out as far as possible before information is sent to external diagnostic services. Appropriate access control and time-limited retention are applied.
8. Sub-processors
8.1 The customer grants Padel Platform general written authorisation to engage sub-processors where necessary to provide the Service.
8.2 Padel Platform shall maintain an up-to-date list of material sub-processors on Padel Platform's website or by other electronic means accessible to the customer. The list may include, among others, providers of hosting, cloud infrastructure, authentication, video storage, streaming/CDN, operations and security.
8.3 Padel Platform shall notify the customer of planned material changes concerning the addition or replacement of sub-processors with reasonable notice, giving the customer an opportunity to object on reasonable data protection grounds. If the parties cannot resolve a justified objection, the affected function or the Main Agreement may be terminated in accordance with the Main Agreement where continued provision cannot reasonably take place without the relevant sub-processor.
8.4 Padel Platform shall impose data protection obligations on sub-processors that are substantially equivalent to the obligations set out in this Data Processing Agreement to the extent required by Article 28 of the GDPR. Padel Platform shall remain liable to the customer for the sub-processor's performance of those obligations.
9. Transfers to Third Countries
Padel Platform may transfer or provide access to personal data outside the EU/EEA only on documented instructions and where a valid transfer mechanism under Chapter V of the GDPR is in place, including, where relevant, an adequacy decision, the European Commission's Standard Contractual Clauses or another lawful transfer mechanism. The customer authorises Padel Platform to put in place the necessary transfer mechanism with approved sub-processors.
10. Assistance to the Controller
10.1 Taking into account the nature of the processing, Padel Platform shall, insofar as possible and by appropriate technical and organisational measures, assist the customer in responding to requests from data subjects exercising their rights under the GDPR.
10.2 If Padel Platform receives a request from a data subject concerning data that Padel Platform processes solely on the customer's behalf, Padel Platform shall, as a general rule, refer the data subject to the customer or forward the request to the customer, unless otherwise required by law.
10.3 Taking into account the nature of the processing and the information available to Padel Platform, Padel Platform shall assist the customer in ensuring compliance with the obligations under Articles 32–36 of the GDPR, including relevant security assessments, personal data breach notifications and data protection impact assessments.
10.4 Assistance beyond that which is reasonably included in the Service and Padel Platform's ordinary processor obligations may be charged at the applicable rates or under a separate agreement, unless the need for such assistance is caused by Padel Platform's breach.
11. Personal Data Breaches
11.1 Padel Platform shall notify the customer without undue delay after becoming aware of a personal data breach relating to personal data processed on the customer's behalf.
11.2 To the extent the information is available, the notification shall contain the information reasonably necessary for the customer to comply with its obligations under Articles 33 and 34 of the GDPR. Information may be provided in phases if it is not available in full at the time of the initial notification.
12. Deletion and Return
12.1 Upon termination of the services involving processing on the customer's behalf, Padel Platform shall, at the customer's choice, delete or return the personal data processed on the customer's behalf and delete existing copies, unless EU law or national law requires continued storage.
12.2 Deletion may take place in accordance with the Service's technical deletion cycles and backup procedures. Personal data contained in backups shall be isolated from ordinary use and deleted or overwritten in accordance with the relevant backup cycle, unless further retention is required by law.
12.3 This clause governs only data that Padel Platform processes as a processor. Data that Padel Platform lawfully processes as an independent controller is not subject to the customer's deletion instructions under this Data Processing Agreement.
13. Documentation, Inspection and Audit
13.1 Upon reasonable request, Padel Platform shall make available the information necessary to demonstrate compliance with the obligations laid down in Article 28 of the GDPR and this Data Processing Agreement.
13.2 As a general rule, the customer may conduct its review on the basis of Padel Platform's relevant documentation, security descriptions, responses to reasonable questionnaires and other available documentation. Under this Data Processing Agreement, Padel Platform is not required to obtain or provide an ISAE 3000, ISAE 3402, SOC or any other specified external auditor's assurance report or certification.
13.3 If the documentation made available is not reasonably sufficient to satisfy the customer's audit obligations, the customer may conduct, or appoint an independent qualified auditor to conduct, an audit or inspection to the extent necessary under Article 28 of the GDPR. Any such audit shall be subject to reasonable prior notice, carried out during normal business hours, limited to relevant systems and processing activities, and arranged so as not to unnecessarily disrupt Padel Platform's operations or compromise other customers' information, confidentiality or security.
13.4 The customer and its auditor shall be subject to appropriate confidentiality obligations. The customer shall bear its own costs and Padel Platform's reasonable costs of a customer-requested audit, unless the audit demonstrates a material breach of Padel Platform's data protection obligations. This clause does not restrict the lawful supervisory or investigative powers of competent authorities.
14. Amendments
14.1 Padel Platform may update this Data Processing Agreement where necessary as a result of changes in legislation, regulatory practice, the Service, security measures or the sub-processors used, provided that the amendment does not materially reduce the customer's data protection rights or Padel Platform's obligations under Article 28 of the GDPR.
14.2 The version applicable to each customer shall be determined in accordance with the Main Agreement's provisions on incorporation and amendment of online terms. In the event of material changes, the customer should be notified in the manner and with the notice period specified in the Main Agreement.
15. Priority, Governing Law and Liability
15.1 In the event of any conflict between this Data Processing Agreement and the Main Agreement, this Data Processing Agreement shall prevail with respect to the parties' obligations under Article 28 of the GDPR. In all other respects, the Main Agreement shall apply, including any agreed limitations of liability, to the extent that such limitations may lawfully apply.
15.2 The Data Processing Agreement shall be subject to the same governing law and jurisdiction as the Main Agreement, subject to any mandatory provisions of applicable data protection law.
Schedule 1 – Processing Instructions
A. Purpose and Nature
The purpose is to enable Padel Platform to provide the functions ordered by the customer to the extent that those functions involve the processing of personal data on the customer's behalf. The processing is primarily automated and may include collection/receipt, recording, organisation, hosting, storage, retrieval, access, display, transmission, support, troubleshooting, security, deletion and other necessary technical processing.
B. Duration
The processing shall continue for as long as the relevant service is provided and until the data has been deleted or returned in accordance with the Data Processing Agreement and applicable deletion/backup cycles.
C. Categories of Data Subjects
Players and users whom the customer administers or for whom the customer is otherwise the controller.
The customer's employees and contact persons.
Other individuals whose data the customer lawfully instructs Padel Platform to process.
D. Types of Personal Data
Name, contact details, user ID and other account/identification information.
Match, gameplay and statistics data.
Video, audio, highlights and related metadata where the customer is the controller for the specific processing activity.
Technical device, connection, log and diagnostic data.
Other ordinary personal data covered by the customer's documented instructions.
Special categories of personal data are not included as standard. If such data is to be processed on the customer's behalf, this requires a separate documented instruction and an appropriate legal basis for processing.
Schedule 2 – Technical and Organisational Security Measures
Encryption of data in transit and, where relevant, data at rest.
Secure authentication and access control.
Restriction of administrative privileges as necessary.
Role-based or equivalent restricted access, where relevant.
Appropriate logging and monitoring mechanisms.
Backup and recovery procedures, where relevant.
Procedures for handling and escalating security incidents.
Ongoing technical maintenance, updating and risk assessment of relevant systems.
For the video/audio solution: a fixed camera directed at the relevant court, restricted access to recordings, controlled sharing and other relevant privacy-by-design measures in the actual solution.
Automatic filtering of sensitive fields and user identifiers from technical error reports, exclusion of screenshots and user session recordings, and limited retention of diagnostic events.
Schedule 3 – Sub-processors
The current list of sub-processors is published and maintained electronically by Padel Platform. As at the effective date of this version, the following types of providers and providers are used, among others, to the extent that the relevant functions are used:
Provider | Function | Location/transfer |
|---|---|---|
Microsoft Azure | Hosting, video storage and processing | Sweden/EU; further processing in accordance with the provider's applicable terms |
Google / Firebase | Authentication, user account administration and security | According to the specific Firebase services and applicable transfer mechanism |
BunnyWay / Bunny CDN | Video streaming and delivery of video content | According to the specific service configuration and applicable transfer mechanism |
Functional Software, Inc. (Sentry) | Error diagnostics, crash reporting and technical stability | Data stored in an EU region. Possible access or transfer to the USA under the applicable transfer basis, including the EU-U.S. Data Privacy Framework where its conditions are met, or standard contractual clauses (SCCs) |
The list is descriptive and shall be read together with the sub-processor list published from time to time. Additions or replacements shall be made in accordance with clause 8 of the Data Processing Agreement.
Schedule 4 – Relationship with Padel Platform's Privacy Policy and LIA
This Data Processing Agreement does not govern Padel Platform’s processing as an independent controller. The Privacy Policy and LIA address controller-side processing; this DPA governs only processing carried out under a customer’s documented instructions. The platform’s absolute prohibition on livestreaming matches involving players under 15 is described in Schedule 5.
Schedule 5 – Match video and under-15 livestream safeguard (product policy)
Update – 3 November 2026. This schedule clarifies how the platform’s age-related streaming restriction interacts with this Data Processing Agreement and is not intended to convert Padel Platform’s independent-controller match recordings into customer-controlled processing.
1. Role boundary
Where Padel Platform is the independent controller for ordinary private match videos, audio, highlights, sharing and livestreaming, the legal basis, transparency, child-specific legitimate interests assessment, retention and data subject rights are governed by its Privacy Policy and internal LIA, not by the customer’s instructions under this DPA. Where a customer in fact determines the purposes and essential means of a distinct processing activity, the parties shall document the correct roles and applicable instruction before processing.
2. Strict prohibition of under-15 livestreaming
Padel Platform’s service shall not permit livestreaming of a match in which any player is under 15, regardless of parental approval. Before livestream activation, the match organiser must declare whether under-15 players will participate. Where the answer is yes or unknown, or no declaration is available, streaming shall be disabled. Access through alternative start channels or retrospective claim must not bypass this rule. Ordinary private recording remains a separate function, subject to applicable law and controller safeguards.
3. Operational responsibilities
For processing as processor, the customer shall provide any required documented instructions, lawful-basis documentation and information to participants as applicable to the customer’s role.
Padel Platform shall implement and maintain appropriate streaming-block controls for the Service and inform relevant customers of constraints that affect available functions.
If processing as independent controller, Padel Platform is responsible for lawful-basis analysis, suitable information, rights handling, retention and governance; the match organiser’s confirmation does not transfer those duties.
The parties shall not describe parental approval as an exception to the under-15 streaming prohibition.
4. Retention and rights
The two-year maximum for ordinary Padel Platform controller-side recordings/highlights is documented in the Privacy Policy and LIA; it is not introduced here as a customer instruction or a universal retention obligation. Customer-controller data processed by Padel Platform as processor remains subject to the applicable instructions, duration and deletion provisions under this DPA (including clause 12).
Databehandleraftale
Version: November 2026
Padel Platform ApS – standardvilkår for behandling af personoplysninger
Version 3.0 – november 2026
Denne databehandleraftale ("Databehandleraftalen") regulerer Padel Platform ApS' behandling af personoplysninger på vegne af en kunde, når kunden i forhold til den konkrete behandlingsaktivitet er dataansvarlig, og Padel Platform ApS er databehandler. Databehandleraftalen udgør en integreret del af aftalen ("Hovedaftalen") mellem kunden og Padel Platform ApS, når Hovedaftalen henviser til den til enhver tid gældende version eller en nærmere angivet version af denne Databehandleraftale.
Vigtigt om rollefordelingen: Databehandleraftalen ændrer ikke parternes faktiske roller efter databeskyttelseslovgivningen. Den gælder udelukkende for behandlingsaktiviteter, hvor Padel Platform behandler personoplysninger efter kundens dokumenterede instruks. For behandlingsaktiviteter, hvor Padel Platform selv fastlægger formålene og de væsentlige hjælpemidler og derfor er dataansvarlig, gælder i stedet Padel Platforms privatlivspolitik og øvrige relevante vilkår.
1. Parterne
Dataansvarlig: Den kunde, der har indgået Hovedaftalen med Padel Platform ApS, i det omfang kunden er dataansvarlig for den konkrete behandlingsaktivitet.
Databehandler: Padel Platform ApS, Danmark ("Padel Platform").
Parternes kontaktoplysninger fremgår af Hovedaftalen. Henvendelser om databeskyttelse til Padel Platform kan sendes til privacy@padelplatform.app.
2. Formål, genstand og varighed
2.1 Padel Platform behandler kun personoplysninger på vegne af den dataansvarlige i det omfang, det er nødvendigt for at levere de tjenester og funktioner, der er aftalt i Hovedaftalen, og som efter deres karakter indebærer behandling på kundens vegne.
2.2 Behandlingen kan omfatte hosting, opbevaring, adgang, overførsel, support, fejlfinding, sikkerhed, administration og anden teknisk behandling, som er nødvendig for at levere den relevante funktion til kunden.
2.3 Databehandleraftalen gælder, så længe Padel Platform behandler personoplysninger på kundens vegne. Bestemmelser, der efter deres karakter er bestemt til at gælde efter Hovedaftalens ophør, forbliver i kraft.
3. Instrukser og rollefordeling
3.1 Padel Platform må kun behandle personoplysninger efter dokumenteret instruks fra den dataansvarlige, medmindre behandlingen kræves efter EU-ret eller national ret, som Padel Platform er underlagt. I så fald skal Padel Platform oplyse kunden om dette retlige krav inden behandlingen, medmindre lovgivningen forbyder sådan underretning.
3.2 Hovedaftalen, denne Databehandleraftale og kundens dokumenterede anvendelse og konfiguration af Tjenesten udgør kundens instrukser. Yderligere eller ændrede instrukser skal være skriftlige og ligge inden for Hovedaftalens genstand. Instrukser, der medfører væsentligt ekstra arbejde eller yderligere omkostninger, kan faktureres efter aftale.
3.3 Hvis Padel Platform vurderer, at en instruks er i strid med GDPR eller anden gældende databeskyttelseslovgivning, skal Padel Platform uden unødig forsinkelse underrette kunden og kan sætte den pågældende behandling i bero, indtil instruksen er afklaret.
3.4 Padel Platform kan i forbindelse med Tjenesten samtidig være selvstændig dataansvarlig for andre behandlingsaktiviteter. Denne Databehandleraftale gælder ikke for sådanne aktiviteter og ændrer ikke den rollefordeling, der følger af den faktiske behandlingsaktivitet.
4. Behandlingens karakter, personoplysninger og registrerede
De konkrete kategorier afhænger af de funktioner, kunden anvender. I det omfang oplysninger behandles på kundens vegne, kan behandlingen navnlig omfatte:
Identitets- og kontaktoplysninger, herunder navn, visningsnavn, e-mailadresse, telefonnummer og bruger-id.
Kamp- og spildata, herunder resultater, sæt, partier, point, tidsstempler, kampstatus, spillerrelationer og statistik.
Video- og lydindhold, herunder kampoptagelser, videoklip, lyd, highlights og tilknyttede metadata, hvis og i det omfang kunden er dataansvarlig for den konkrete behandlingsaktivitet.
Tekniske oplysninger, enhedsoplysninger, identifikatorer, forbindelsesdata, logdata og diagnoseoplysninger.
Andre personoplysninger, som kunden lovligt uploader til eller instruerer Padel Platform om at behandle som led i de aftalte funktioner.
Kategorier af registrerede kan navnlig omfatte kundens brugere, spillere, medarbejdere, kontaktpersoner og andre personer, hvis oplysninger behandles via de funktioner, kunden anvender.
Særlige kategorier af personoplysninger må kun behandles på kundens vegne, hvis dette udtrykkeligt fremgår af Hovedaftalen eller en dokumenteret instruks, og kunden har sikret et gyldigt behandlingsgrundlag. Apple HealthKit-data behandles ikke på kundens vegne alene som følge af denne Databehandleraftale.
5. Den dataansvarliges ansvar
5.1 Kunden er ansvarlig for at sikre, at der foreligger et lovligt behandlingsgrundlag, og at de registrerede modtager de påkrævede oplysninger for de behandlingsaktiviteter, hvor kunden er dataansvarlig.
5.2 Kunden er ansvarlig for lovligheden af de instrukser og personoplysninger, som kunden stiller til rådighed for Padel Platform, og for at sikre, at kundens brug af Tjenesten overholder gældende databeskyttelseslovgivning.
5.3 Kunden skal uden unødig forsinkelse informere Padel Platform om forhold, der er nødvendige for, at Padel Platform kan opfylde sine forpligtelser som databehandler.
6. Fortrolighed
Padel Platform skal sikre, at personer med tilladelse til at behandle personoplysninger på kundens vegne har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt. Adgang skal begrænses til personer med et legitimt og nødvendigt behov for adgang.
7. Informationssikkerhed
7.1 Padel Platform skal gennemføre og opretholde passende tekniske og organisatoriske sikkerhedsforanstaltninger under hensyntagen til behandlingens karakter, omfang, sammenhæng og formål samt risikoen for de registreredes rettigheder og frihedsrettigheder i overensstemmelse med GDPR artikel 32.
7.2 Hvor det er relevant, omfatter foranstaltningerne kryptering af data under overførsel og ved opbevaring, sikker autentifikation, adgangskontrol, begrænsning af administratorrettigheder, passende lognings- og overvågningsmekanismer, sikkerhedskopiering og procedurer for håndtering af sikkerhedshændelser.
7.3 For Padel Platforms kamera- og videoløsninger gælder, hvor det er relevant, også de tekniske og organisatoriske begrænsninger, der er beskrevet i Padel Platforms gældende dokumentation om privatlivsbeskyttelse og sikkerhed, herunder begrænsning af kameraets synsfelt, adgangsbegrænsninger og kontrolleret deling. Hvor kunden er dataansvarlig for en konkret kamprelateret behandlingsaktivitet, skal Tjenestens konfiguration forhindre livestreaming, hvis en deltagende spiller er under 15 år. Hvis der ikke foreligger en pålidelig alderserklæring, skal livestreaming blokeres. Denne produktmæssige sikkerhedsforanstaltning ændrer ikke den juridiske fordeling af ansvaret mellem dataansvarlig og databehandler.
7.4 Padel Platform kan ændre sikkerhedsforanstaltningerne som følge af teknologisk udvikling, risikovurderinger eller ændringer i Tjenesten, forudsat at det samlede sikkerhedsniveau ikke forringes væsentligt.
7.5 Padel Platform kan anvende automatiseret teknisk fejldiagnosticering til at identificere og afhjælpe fejl i Tjenesten. Diagnosedata begrænses til oplysninger, der er nødvendige for fejlfinding og stabil drift. Direkte identifikatorer, adgangsoplysninger og anden unødvendig information filtreres så vidt muligt fra, inden oplysninger sendes til eksterne diagnosticeringstjenester. Der anvendes passende adgangskontrol og tidsbegrænset opbevaring.
8. Underdatabehandlere
8.1 Kunden giver Padel Platform en generel skriftlig godkendelse til at anvende underdatabehandlere, hvor det er nødvendigt for at levere Tjenesten.
8.2 Padel Platform skal vedligeholde en ajourført liste over væsentlige underdatabehandlere på Padel Platforms hjemmeside eller via andre elektroniske midler, som kunden har adgang til. Listen kan blandt andet omfatte leverandører af hosting, cloudinfrastruktur, autentifikation, videolagring, streaming/CDN, drift og sikkerhed.
8.3 Padel Platform skal med et rimeligt varsel underrette kunden om planlagte væsentlige ændringer vedrørende tilføjelse eller udskiftning af underdatabehandlere, så kunden får mulighed for at gøre indsigelse på et rimeligt databeskyttelsesretligt grundlag. Hvis parterne ikke kan løse en berettiget indsigelse, kan den berørte funktion eller Hovedaftalen opsiges i overensstemmelse med Hovedaftalen, hvor fortsat levering ikke med rimelighed kan ske uden den pågældende underdatabehandler.
8.4 Padel Platform skal pålægge underdatabehandlerne databeskyttelsesforpligtelser, der i det væsentlige svarer til forpligtelserne i denne Databehandleraftale, i det omfang det kræves efter GDPR artikel 28. Padel Platform er fortsat ansvarlig over for kunden for underdatabehandlerens opfyldelse af disse forpligtelser.
9. Overførsler til tredjelande
Padel Platform må kun overføre personoplysninger til eller give adgang til personoplysninger fra lande uden for EU/EØS efter dokumenteret instruks, og når der foreligger et gyldigt overførselsgrundlag efter GDPR kapitel V, herunder, hvor relevant, en afgørelse om tilstrækkeligt beskyttelsesniveau, Europa-Kommissionens standardkontraktbestemmelser eller et andet lovligt overførselsgrundlag. Kunden bemyndiger Padel Platform til at etablere de nødvendige overførselsgrundlag med godkendte underdatabehandlere.
10. Bistand til den dataansvarlige
10.1 Under hensyntagen til behandlingens karakter skal Padel Platform så vidt muligt ved hjælp af passende tekniske og organisatoriske foranstaltninger bistå kunden med at besvare anmodninger fra registrerede, der udøver deres rettigheder efter GDPR.
10.2 Hvis Padel Platform modtager en anmodning fra en registreret vedrørende oplysninger, som Padel Platform udelukkende behandler på kundens vegne, skal Padel Platform som udgangspunkt henvise den registrerede til kunden eller videresende anmodningen til kunden, medmindre andet følger af lovgivningen.
10.3 Under hensyntagen til behandlingens karakter og de oplysninger, der er til rådighed for Padel Platform, skal Padel Platform bistå kunden med at sikre overholdelse af forpligtelserne efter GDPR artikel 32-36, herunder relevante sikkerhedsvurderinger, anmeldelser af brud på persondatasikkerheden og konsekvensanalyser vedrørende databeskyttelse.
10.4 Bistand ud over, hvad der med rimelighed er omfattet af Tjenesten og Padel Platforms almindelige databehandlerforpligtelser, kan faktureres efter de gældende satser eller en særskilt aftale, medmindre behovet for bistand skyldes Padel Platforms misligholdelse.
11. Brud på persondatasikkerheden
11.1 Padel Platform skal uden unødig forsinkelse underrette kunden efter at være blevet bekendt med et brud på persondatasikkerheden vedrørende personoplysninger, der behandles på kundens vegne.
11.2 I det omfang oplysningerne er tilgængelige, skal underretningen indeholde de oplysninger, der med rimelighed er nødvendige for, at kunden kan opfylde sine forpligtelser efter GDPR artikel 33 og 34. Oplysninger kan gives trinvist, hvis de ikke foreligger fuldt ud på tidspunktet for den første underretning.
12. Sletning og tilbagelevering
12.1 Ved ophør af de tjenester, der indebærer behandling på kundens vegne, skal Padel Platform efter kundens valg slette eller tilbagelevere de personoplysninger, der er behandlet på kundens vegne, og slette eksisterende kopier, medmindre EU-ret eller national ret kræver fortsat opbevaring.
12.2 Sletning kan ske i overensstemmelse med Tjenestens tekniske slettecyklusser og procedurer for sikkerhedskopiering. Personoplysninger i sikkerhedskopier skal holdes adskilt fra almindelig anvendelse og slettes eller overskrives i henhold til den relevante cyklus for sikkerhedskopier, medmindre yderligere opbevaring er påkrævet ved lov.
12.3 Denne bestemmelse omfatter kun oplysninger, som Padel Platform behandler som databehandler. Oplysninger, som Padel Platform lovligt behandler som selvstændig dataansvarlig, er ikke omfattet af kundens sletteinstrukser efter denne Databehandleraftale.
13. Dokumentation, inspektion og revision
13.1 Padel Platform skal efter rimelig anmodning stille de oplysninger til rådighed, der er nødvendige for at påvise overholdelse af forpligtelserne efter GDPR artikel 28 og denne Databehandleraftale.
13.2 Som udgangspunkt kan kunden gennemføre sin kontrol på baggrund af Padel Platforms relevante dokumentation, sikkerhedsbeskrivelser, besvarelser af rimelige spørgeskemaer og anden tilgængelig dokumentation. Padel Platform er efter denne Databehandleraftale ikke forpligtet til at indhente eller fremlægge en ISAE 3000-, ISAE 3402-, SOC-erklæring eller nogen anden bestemt ekstern revisorerklæring eller certificering.
13.3 Hvis den stillede dokumentation ikke med rimelighed er tilstrækkelig til at opfylde kundens revisionsforpligtelser, kan kunden gennemføre eller udpege en uafhængig, kvalificeret revisor til at gennemføre en revision eller inspektion i det omfang, det er nødvendigt efter GDPR artikel 28. En sådan revision skal varsles rimeligt, gennemføres inden for normal arbejdstid, begrænses til relevante systemer og behandlingsaktiviteter og tilrettelægges, så den ikke unødigt forstyrrer Padel Platforms drift eller kompromitterer andre kunders oplysninger, fortrolighed eller sikkerhed.
13.4 Kunden og dennes revisor skal være underlagt passende fortrolighedsforpligtelser. Kunden afholder sine egne omkostninger og Padel Platforms rimelige omkostninger ved en revision, der er anmodet om af kunden, medmindre revisionen påviser en væsentlig overtrædelse af Padel Platforms databeskyttelsesforpligtelser. Denne bestemmelse begrænser ikke kompetente myndigheders lovlige tilsyns- eller undersøgelsesbeføjelser.
14. Ændringer
14.1 Padel Platform kan opdatere denne Databehandleraftale, når det er nødvendigt som følge af ændringer i lovgivning, myndighedspraksis, Tjenesten, sikkerhedsforanstaltninger eller anvendte underdatabehandlere, forudsat at ændringen ikke væsentligt forringer kundens databeskyttelsesrettigheder eller Padel Platforms forpligtelser efter GDPR artikel 28.
14.2 Den version, der gælder for den enkelte kunde, fastlægges i overensstemmelse med Hovedaftalens bestemmelser om inkorporering og ændring af onlinevilkår. Ved væsentlige ændringer bør kunden underrettes på den måde og med det varsel, der er angivet i Hovedaftalen.
15. Forrang, lovvalg og ansvar
15.1 I tilfælde af uoverensstemmelse mellem denne Databehandleraftale og Hovedaftalen har denne Databehandleraftale forrang for så vidt angår parternes forpligtelser efter GDPR artikel 28. I øvrigt gælder Hovedaftalen, herunder eventuelle aftalte ansvarsbegrænsninger, i det omfang sådanne begrænsninger lovligt kan finde anvendelse.
15.2 Databehandleraftalen er underlagt samme lovvalg og værneting som Hovedaftalen, med forbehold for ufravigelige bestemmelser i gældende databeskyttelseslovgivning.
Bilag 1 – Instruks for behandling
A. Formål og karakter
Formålet er at gøre det muligt for Padel Platform at levere de funktioner, kunden har bestilt, i det omfang disse funktioner indebærer behandling af personoplysninger på kundens vegne. Behandlingen er primært automatiseret og kan omfatte indsamling/modtagelse, registrering, organisering, hosting, opbevaring, fremfinding, adgang, visning, overførsel, support, fejlfinding, sikkerhed, sletning og anden nødvendig teknisk behandling.
B. Varighed
Behandlingen fortsætter, så længe den relevante tjeneste leveres, og indtil oplysningerne er slettet eller tilbageleveret i overensstemmelse med Databehandleraftalen og de gældende slette- og backupcyklusser.
C. Kategorier af registrerede
Spillere og brugere, som kunden administrerer eller på anden måde er dataansvarlig for.
Kundens medarbejdere og kontaktpersoner.
Andre personer, hvis oplysninger kunden lovligt instruerer Padel Platform om at behandle.
D. Typer af personoplysninger
Navn, kontaktoplysninger, bruger-id og andre konto- og identifikationsoplysninger.
Kamp-, spil- og statistikdata.
Video, lyd, highlights og tilknyttede metadata, hvor kunden er dataansvarlig for den konkrete behandlingsaktivitet.
Tekniske enheds-, forbindelses-, log- og diagnosedata.
Andre almindelige personoplysninger omfattet af kundens dokumenterede instrukser.
Særlige kategorier af personoplysninger er ikke omfattet som standard. Hvis sådanne oplysninger skal behandles på kundens vegne, kræver det en særskilt dokumenteret instruks og et passende retligt behandlingsgrundlag.
Bilag 2 – Tekniske og organisatoriske sikkerhedsforanstaltninger
Kryptering af data under overførsel og, hvor det er relevant, ved opbevaring.
Sikker autentifikation og adgangskontrol.
Begrænsning af administratorrettigheder efter behov.
Rollebaseret eller tilsvarende begrænset adgang, hvor det er relevant.
Passende lognings- og overvågningsmekanismer.
Procedurer for sikkerhedskopiering og gendannelse, hvor det er relevant.
Procedurer for håndtering og eskalering af sikkerhedshændelser.
Løbende teknisk vedligeholdelse, opdatering og risikovurdering af relevante systemer.
For video-/lydløsningen: et fastmonteret kamera rettet mod den relevante bane, begrænset adgang til optagelser, kontrolleret deling og andre relevante foranstaltninger til indbygget databeskyttelse (privacy by design) i den konkrete løsning.
Automatisk filtrering af følsomme felter og brugeridentifikatorer fra tekniske fejlrapporter, fravalg af skærmbilleder og optagelser af brugersessioner samt begrænset opbevaring af diagnostiske hændelser.
Bilag 3 – Underdatabehandlere
Den aktuelle liste over underdatabehandlere offentliggøres og vedligeholdes elektronisk af Padel Platform. På ikrafttrædelsestidspunktet for denne version anvendes blandt andet følgende leverandørtyper og leverandører, i det omfang de relevante funktioner benyttes:
Leverandør | Funktion | Placering/overførsel |
|---|---|---|
Microsoft Azure | Hosting, videolagring og -behandling | Sverige/EU; yderligere behandling i overensstemmelse med leverandørens gældende vilkår |
Google / Firebase | Autentifikation, administration af brugerkonti og sikkerhed | I henhold til de konkrete Firebase-tjenester og gældende overførselsgrundlag |
BunnyWay / Bunny CDN | Videostreaming og levering af videoindhold | I henhold til den konkrete tjenestekonfiguration og gældende overførselsgrundlag |
Functional Software, Inc. (Sentry) | Fejldiagnosticering, crash reporting og teknisk stabilitet | Data opbevares i EU-region. Mulig adgang eller overførsel til USA efter gældende overførselsgrundlag, herunder EU-U.S. Data Privacy Framework, hvor betingelserne er opfyldt, eller SCC'er |
Listen er beskrivende og skal læses sammen med den til enhver tid offentliggjorte liste over underdatabehandlere. Tilføjelser og udskiftninger skal ske i overensstemmelse med Databehandleraftalens punkt 8.
Bilag 4 – Forholdet til Padel Platforms privatlivspolitik og LIA
Denne Databehandleraftale regulerer ikke Padel Platforms behandling som selvstændig dataansvarlig. Privatlivspolitikken og LIA'en omhandler behandling, hvor Padel Platform er dataansvarlig; denne Databehandleraftale regulerer alene behandling efter en kundes dokumenterede instruks. Platformens ubetingede forbud mod livestreaming af kampe med deltagere under 15 år er beskrevet i bilag 5.
Bilag 5 – Kampvideo og spærring af livestreaming ved spillere under 15 år (produktpolitik)
Opdatering – 3. november 2026. Dette bilag præciserer, hvordan platformens aldersrelaterede begrænsning af livestreaming hænger sammen med denne Databehandleraftale. Det er ikke hensigten at omdanne Padel Platforms kampoptagelser, hvor Padel Platform er selvstændig dataansvarlig, til behandling under kundens dataansvar.
1. Afgrænsning af roller
Når Padel Platform er selvstændig dataansvarlig for almindelige private kampvideoer, lyd, highlights, deling og livestreaming, er behandlingsgrundlaget, oplysningspligten, interesseafvejningen med særligt fokus på børn, opbevaringen og de registreredes rettigheder reguleret af Padel Platforms privatlivspolitik og interne LIA – ikke af kundens instrukser efter denne Databehandleraftale. Hvis en kunde faktisk fastlægger formålene og de væsentlige hjælpemidler for en særskilt behandlingsaktivitet, skal parterne dokumentere den korrekte rollefordeling og den gældende instruks, inden behandlingen finder sted.
2. Strengt forbud mod livestreaming af spillere under 15 år
Padel Platforms tjeneste må ikke tillade livestreaming af en kamp, hvor en eller flere spillere er under 15 år, uanset om forældrene har givet tilladelse. Før livestreaming aktiveres, skal kampopretteren erklære, om der deltager spillere under 15 år. Hvis svaret er ja eller ukendt, eller hvis der ikke foreligger en erklæring, skal livestreaming være deaktiveret. Adgang via alternative måder at starte en kamp på eller efterfølgende claim af kampen må ikke kunne omgå denne regel. Almindelig privat optagelse er fortsat en særskilt funktion, der er underlagt gældende lovgivning og den dataansvarliges beskyttelsesforanstaltninger.
3. Operationelt ansvar
Ved behandling som databehandler skal kunden levere de påkrævede dokumenterede instrukser, dokumentation for behandlingsgrundlaget og oplysninger til deltagerne, i det omfang dette følger af kundens rolle.
Padel Platform skal implementere og vedligeholde passende kontroller, der blokerer livestreaming i Tjenesten, og informere relevante kunder om begrænsninger, der påvirker de tilgængelige funktioner.
Når Padel Platform er selvstændig dataansvarlig, er Padel Platform ansvarlig for analysen af behandlingsgrundlag, passende information, håndtering af rettigheder, opbevaring og styring af behandlingen. Kampopretterens bekræftelse overfører ikke disse pligter.
Parterne må ikke beskrive forældres tilladelse som en undtagelse til forbuddet mod livestreaming af spillere under 15 år.
4. Opbevaring og rettigheder
Maksimumsperioden på to år for almindelige optagelser/highlights, hvor Padel Platform er dataansvarlig, er dokumenteret i privatlivspolitikken og LIA'en. Perioden indføres ikke her som en kundeinstruks eller en generel opbevaringsforpligtelse. Oplysninger, som kunden er dataansvarlig for, og Padel Platform behandler som databehandler, er fortsat omfattet af de gældende instrukser samt bestemmelserne om varighed og sletning i denne Databehandleraftale (herunder punkt 12).