EU:n yleisen tietosuoja-asetuksen eli GDPR:n mukaan sinä järjestäjänä olet yleensä osallistujiesi tietojen rekisterinpitäjä. Tapahtuma-alustasi on käsittelijä, joka käsittelee tietoja puolestasi. Tämä jako ohjaa suurinta osaa tästä listasta.
Jokainen kohta kertoo, mitä yleisesti kannattaa tarkistaa ja miten asia toimii AttendBeacon-tapahtuma-alustassa. Vertaa sen avulla mihin tahansa käyttämääsi työkaluun.
1. Kysy vain tarpeellinen
Kirjaa ylös, miksi kysyt kutakin kenttää. Jos et keksi käyttötarkoitusta, jätä kenttä pois.
- Nimi ja sähköposti tarvitaan: lippu on henkilökohtainen ja lähetetään hänelle.
- Yritys ja tehtävänimike auttavat nimikylteissä yritystapahtumassa, mutta tapaamisessa niillä on vähän merkitystä. AttendBeacon-tapahtuma-alustassa ne kysytään oletuksena, ja ne voi ottaa pois tapahtumakohtaisesti.
- Kysy kysymys vain niiltä lipputyypeiltä, jotka sitä tarvitsevat, jotta puhujille tarkoitettu kysymys ei tavoita jokaista osallistujaa.
- Ruokavalio- ja esteettömyystarpeet voivat paljastaa terveystietoja. Kysy niitä vain, jos toimit niiden perusteella, kerro miksi ja rajaa, ketkä näkevät vastaukset.
2. Tee suostumuksesta aito
Suostumuksen on oltava vapaaehtoinen, yksilöity ja yksiselitteinen. Käytännössä:
- Ei valmiiksi rastitettuja ruutuja. Suostumuskysymys on ruutu, jonka osallistuja rastittaa itse. Tapahtuma-alustassa kukaan ei voi rastittaa sitä hänen puolestaan, ei edes lipun antava järjestäjä.
- Yksi tarkoitus ruutua kohden. Valokuvat, sponsorit ja uutiskirjeesi ovat kolme erillistä kysymystä.
- Ei lippua markkinointia vastaan. Älä tee ilmoittautumisesta riippuvaista uutiskirjeen suostumuksesta.
- Sponsorit ovat erillinen valinta. Tietojen jakaminen sponsoreille on vapaaehtoista, ei koskaan pakollista eikä koskaan kenenkään puolesta rastitettua. Liidien skannaus toimii vain suostuneille kävijöille.
3. Kerro ihmisille, mitä tapahtuu
Tietosuojaselosteesi pitäisi kertoa, kuka olet, mitä keräät, miksi, millä oikeusperusteella, kuka tiedot saa, kauanko säilytät niitä ja miten ihmiset voivat käyttää oikeuksiaan. Tietojen saajia ovat myös tapahtuma-alustasi, maksupalvelusi ja kaikki yhdistämäsi CRM- tai postitustyökalut.
Laita seloste sinne, missä ihmiset ilmoittautuvat. Linkitä se esimerkiksi tapahtumasivusi usein kysyttyihin kysymyksiin ja viittaa siihen suostumuskysymyksissäsi.
Jos lähetät ilmoittautumisia CRM:ääsi, kerro siitä. Tapahtuma-alustan CRM-yhteys ei synkronoi mitään, ennen kuin järjestelmänvalvoja vahvistaa, että tietosuojaseloste kattaa sen. Mailchimp- tai Brevo-lista saa vain ne, jotka rastittivat valitsemasi suostumuskysymyksen.
4. Tee käsittelysopimus
Alustasi käsittelee tietoja puolestasi, joten tarvitset sen kanssa tietojenkäsittelysopimuksen. AttendBeacon-tapahtuma-alustan käyttöehdoissa todetaan, että sinä olet rekisterinpitäjä ja alusta käsittelijä, ja tietojenkäsittelysopimus on saatavilla pyynnöstä.
Pidä kirjaa jokaisesta tapahtumassa käyttämästäsi käsittelijästä ja siitä, mitä kukin saa.
5. Tiedä, missä tiedot ovat
Kysy palveluntarjoajaltasi, missä tiedot säilytetään ja mitä EU:sta lähtee.
AttendBeacon-tapahtuma-alusta toimii Microsoft Azuressa EU:ssa. Sovellus ja tietokanta ovat Sweden Central -alueella. Ladatut tiedostot, avaimet ja lokit ovat West Europe -alueella Alankomaissa.
Jotkin asiat menevät luonteensa vuoksi pidemmälle. Push-viestit kulkevat Applen, Googlen tai Mozillan push-palvelun kautta päästä päähän salattuina. Lompakkolipun säilyttää Apple tai Google, kun osallistuja lisää sellaisen. Sähköposti päätyy kunkin vastaanottajan omalle sähköpostipalvelulle. Microsoft on yhdysvaltalainen yritys, ja yhdysvaltalainen yritys voi olla Yhdysvaltojen lain alainen. EU:n tietosuvereniteetti -sivulla on kaikki tämä lueteltuna.
6. Pidä korttitiedot poissa järjestelmistäsi
Kortti- ja pankkitietojen ei pitäisi koskaan kulkea omien työkalujesi kautta. Tapahtuma-alustassa osallistujat maksavat oman Mollie- tai Stripe-tilisi sivulla. Alusta säilyttää vain maksun viitteen ja tilan.
7. Rajaa, kuka näkee mitäkin
Anna jokaiselle ne käyttöoikeudet, joita hänen roolinsa tarvitsee, eikä enempää.
- Talkoolaiset saavat sisäänkäyntinsä työkalut vuoronsa ajaksi.
- Näytteilleasettajat saavat liidejä vain kävijöiltä, jotka suostuivat jakamaan tietonsa.
- Tilanäytöt näyttävät saapuneet lukumäärinä, eivät koskaan niminä.
- Pistetaulukko näyttää etunimen ja sukunimen alkukirjaimen, ja kuka tahansa voi poistua siitä.
- Kyselyn tulokset näytetään kysymyksittäin ilman nimiä.
8. Jätä seurantatyökalut pois ilmoittautumissivuilta
Analytiikka- ja mainospikselit ilmoittautumissivulla vaativat yleensä oman suostumuksensa. AttendBeacon-tapahtuma-alustan verkkosivustolla, työtilassa ja tapahtumasovelluksessa ei ole analytiikka- tai seurantaskriptejä. Se käyttää vain toiminnallisia evästeitä, kuten sitä, joka pitää osallistujan kirjautuneena.
9. Päätä, kauanko säilytät tietoja
Määritä säilytysaika ennen tapahtumaa, ei sen jälkeen. Säilytä osallistujatietoja niin kauan kuin tarvitset niitä tapahtumaan ja sen jälkitoimiin, ja säilytä laskut niin kauan kuin verolainsäädäntö vaatii.
Tapahtuma-alustassa voit poistaa tapahtuman heti tai ajastaa sen poiston valitsemallesi päivälle. Sen ilmoittautumiset, saapumisen kirjaukset, tiedostot ja viestit poistuvat sen mukana. Samoin poistuvat sen osallistujille tehdyt laskut, joten vie ensin talteen se, mitä verolainsäädäntö velvoittaa säilyttämään.
Osa tiedoista poistuu itsestään:
- puhujien vahvistusten arkaluonteiset vastaukset 30 päivää tapahtuman jälkeen
- tapahtuma-avustajalle esitetyt kysymykset 30 päivää tapahtuman jälkeen
- tuonnin tiedostot, kun tapahtuma on rakennettu
10. Vastaa osallistujien pyyntöihin
Ihmiset voivat pyytää nähdä, korjata tai poistaa tietonsa. Laadi menettely ja vastaa kuukauden kuluessa, mikä on GDPR:n tavallinen määräaika.
AttendBeaconin tapahtumasovelluksessa osallistujat voivat poistaa omat tietonsa toiminnolla Poista tietoni. He vahvistavat sen sähköpostiinsa lähetetyllä koodilla, yhdestä tapahtumasta tai kaikista tapahtumista samalla osoitteella, ja sinulle kerrotaan, kun he tekevät niin. Jos joku pyytää nähdä tietonsa, vie osallistujalista vastauksineen ja saapumisen kirjauksineen CSV-tiedostoon.
11. Varaudu tietoturvaloukkaukseen
Päätä etukäteen, kuka johtaa, kuka ilmoittaa valvontaviranomaiselle 72 tunnin kuluessa silloin, kun se vaaditaan, ja miten tavoitat alustasi tuen. Kirjaa nuo nimet tapahtumasuunnitelmaasi.
Lyhyesti
- Jokaisella kentällä on tarkoitus.
- Jokaisella suostumuksella on oma ruutunsa, rastittamatta.
- Tietosuojaseloste on linkitetty sinne, missä ihmiset ilmoittautuvat.
- Sinulla on käsittelysopimus jokaisen käsittelijän kanssa.
- Tiedät, missä tietoja säilytetään ja mitä EU:sta lähtee.
- Säilytysaika on määritetty ennen tapahtumaa.
- Pystyt vastaamaan pyyntöön kuukauden kuluessa.
Lue tarkemmin, miten AttendBeacon-tapahtuma-alusta käsittelee tietoja, tietosuojasivulta.