Según el RGPD, el Reglamento General de Protección de Datos (GDPR en inglés), tú como organizador sueles ser el responsable del tratamiento de los datos de tus asistentes. Tu plataforma de eventos es un encargado del tratamiento que los trata en tu nombre. Esa división determina la mayor parte de esta lista.
Cada punto indica qué comprobar en general y cómo funciona en la plataforma de eventos AttendBeacon. Úsalo para compararlo con la herramienta que utilices.
1. Pregunta solo lo que necesitas
Anota por qué pides cada campo. Si no puedes decir para qué sirve, quítalo.
- El nombre y el correo son necesarios: la entrada es para una persona y se le envía a ella.
- La empresa y el cargo ayudan en las acreditaciones de un evento de empresa, y significan poco en un encuentro de comunidad. En la plataforma de eventos AttendBeacon se piden por defecto y se pueden desactivar en cada evento.
- Haz una pregunta solo para los tipos de entrada que la necesitan, para que una pregunta para ponentes no llegue a todos los asistentes.
- Las necesidades alimentarias y de accesibilidad pueden revelar información de salud. Pregúntalas solo si vas a actuar en consecuencia, explica por qué y limita quién ve las respuestas.
2. Haz que el consentimiento sea real
El consentimiento debe ser libre, específico e inequívoco. En la práctica:
- Sin casillas marcadas de antemano. Una pregunta de consentimiento es una casilla que marca el propio asistente. En la plataforma de eventos nadie puede marcarla por él, ni siquiera un organizador que emite una entrada.
- Una finalidad por casilla. Las fotos, los patrocinadores y tu boletín son tres preguntas distintas.
- Ninguna entrada a cambio de marketing. No hagas que la inscripción dependa del consentimiento para el boletín.
- Los patrocinadores son una elección aparte. Compartir datos con patrocinadores es opcional, nunca obligatorio, y nunca se marca por nadie. El escaneo de contactos comerciales solo funciona con los visitantes que lo aceptaron.
3. Explica a la gente qué ocurre
Tu aviso de privacidad debe decir quién eres, qué recoges, para qué, con qué base jurídica, quién lo recibe, cuánto tiempo lo conservas y cómo puede la gente ejercer sus derechos. Quién lo recibe incluye tu plataforma de eventos, tu proveedor de pago y cualquier CRM o herramienta de correo que conectes.
Pon el aviso donde la gente se inscribe. Por ejemplo, enlázalo en las preguntas frecuentes de la página de tu evento y menciónalo en tus preguntas de consentimiento.
Si envías las inscripciones a tu CRM, dilo. La conexión con el CRM de la plataforma de eventos no sincroniza nada hasta que un administrador confirma que el aviso de privacidad lo cubre. Una lista de Mailchimp o Brevo solo recibe a las personas que marcaron la pregunta de consentimiento que elegiste.
4. Ten un contrato de encargo del tratamiento
Tu plataforma trata datos por ti, así que necesitas un contrato de encargo del tratamiento con ella. En el caso de la plataforma de eventos AttendBeacon, las condiciones indican que tú eres el responsable y la plataforma es el encargado, y hay un contrato de encargo del tratamiento disponible a petición.
Lleva un registro de cada encargado que uses para el evento, con lo que recibe cada uno.
5. Sabe dónde están los datos
Pregunta a tu proveedor dónde se guardan los datos y qué sale de la UE.
La plataforma de eventos AttendBeacon funciona en Microsoft Azure en la UE. La aplicación y la base de datos están en Sweden Central. Los archivos subidos, las claves y los registros están en West Europe, en los Países Bajos.
Algunas cosas van más lejos por su propia naturaleza. Los mensajes push pasan por el servicio push de Apple, Google o Mozilla, cifrados de extremo a extremo. Apple o Google guardan un pase de cartera cuando un asistente lo añade. El correo acaba en el proveedor de correo de cada destinatario. Microsoft es una empresa estadounidense, y una empresa estadounidense puede estar sujeta a la legislación de EE. UU. La página de soberanía de la UE lo enumera todo.
6. Mantén los datos de las tarjetas fuera de tus sistemas
Los datos de tarjetas y cuentas bancarias nunca deberían pasar por tus propias herramientas. En la plataforma de eventos, los asistentes pagan en la página de tu propia cuenta de Mollie o Stripe. La plataforma solo guarda la referencia y el estado del pago.
7. Limita quién ve qué
Da a cada persona el acceso que necesita su rol, y nada más.
- El equipo recibe las herramientas de su puerta durante su turno.
- Los expositores solo reciben contactos comerciales de visitantes que aceptaron compartir sus datos.
- Las pantallas de sala muestran las llegadas como recuentos, nunca como nombres.
- La clasificación muestra un nombre y una inicial, y cualquiera puede salir de ella.
- Los resultados de las encuestas se muestran por pregunta, sin nombres.
8. No pongas rastreadores en tus páginas de inscripción
Los píxeles de analítica y de publicidad en una página de inscripción suelen necesitar su propio consentimiento. La plataforma de eventos AttendBeacon no tiene scripts de analítica ni de seguimiento en su sitio web, en el espacio de trabajo ni en la aplicación del evento. Solo usa cookies funcionales, como la que mantiene la sesión iniciada de un asistente.
9. Decide cuánto tiempo los conservas
Fija un plazo de conservación antes del evento, no después. Conserva los datos de los asistentes mientras los necesites para el evento y su seguimiento, y conserva las facturas el tiempo que exija la normativa fiscal.
En la plataforma de eventos puedes eliminar un evento ahora o programar su eliminación para la fecha que elijas. Con él se van sus inscripciones, registros de entrada, archivos y mensajes. También las facturas a sus asistentes, así que exporta primero lo que la normativa fiscal te obliga a conservar.
Algunos datos se eliminan solos:
- las respuestas sensibles de las confirmaciones de los ponentes, 30 días después del evento
- las preguntas hechas al asistente del evento, 30 días después del evento
- los archivos de una importación, cuando se crea el evento
10. Responde a las solicitudes de los asistentes
La gente puede pedir ver, corregir o eliminar sus datos. Ten un procedimiento y responde en el plazo de un mes, que es el plazo general del RGPD.
En la aplicación del evento de AttendBeacon, los asistentes pueden eliminar sus propios datos con Eliminar mis datos. Lo confirman con un código enviado a su correo, para un evento o para todos los eventos con esa dirección, y se te avisa cuando lo hacen. Para una solicitud de acceso a sus datos, exporta a CSV la lista de asistentes con sus respuestas y registros de entrada.
11. Planifica qué hacer ante una brecha
Decide de antemano quién lo dirige, quién informa a la autoridad de control en un plazo de 72 horas cuando sea obligatorio y cómo contactas con el soporte de tu plataforma. Pon esos nombres en el plan de tu evento.
En resumen
- Cada campo tiene una finalidad.
- Cada consentimiento tiene su propia casilla, sin marcar.
- Tu aviso de privacidad está enlazado donde la gente se inscribe.
- Tienes un contrato de encargo del tratamiento con cada encargado.
- Sabes dónde se guardan los datos y qué sale de la UE.
- La conservación se fija antes del evento.
- Puedes responder a una solicitud en el plazo de un mes.
Para conocer en detalle cómo trata los datos la plataforma de eventos AttendBeacon, lee la página de privacidad.