Privacy en wissen

#Persoonsgegevens vereisen people:read

Namen, e-mailadressen, bedrijven, telefoonnummers, antwoorden op registratievragen, kopers op bestellingen en facturen: alles wat zegt wie iemand is, vereist de scope people:read. Zonder die scope antwoordt de API nog steeds, met mensen als id's:

{
  "attendeeId": "b3ac0008-0000-4000-8000-000000000000",
  "ticketTypeName": "Conference pass",
  "firstName": null,
  "lastName": null,
  "email": null,
  "answers": null,
  "status": "active",
  "valid": true,
  "personalData": "withheld"
}

Een dashboard dat tickets telt, een synchronisatie van het programma of een AI-assistent die over de verkoop rapporteert, heeft dus helemaal geen persoonsgegevens nodig, en zou ze ook niet moeten krijgen. Een aanroep die in zijn geheel om een persoon draait, zoals deelnemers op naam zoeken of leads lezen, wordt zonder de scope geweigerd (peopleScope).

Sprekers en sponsors staan op de openbare pagina van het evenement, dus hun namen zijn hier geen persoonsgegevens; het e-mailadres van een spreker wel, en dat vereist people:read.

#Iemand die de eigen gegevens heeft verwijderd

Een deelnemer kan de eigen gegevens verwijderen in de evenementapp (Meer › Mijn gegevens verwijderen). Vanaf dat moment:

• antwoordt de API over die persoon met "erased": true, "personalData": "erased" en niets persoonlijks, welke scopes de sleutel ook heeft;
• vindt zoeken die persoon nooit meer;
• worden antwoorden verwijderd die voor een Idempotency-Key bewaard werden en die persoon noemden;
• laat de webhook attendee.erased het elk endpoint meteen weten, alleen met de id.

Ontvang je attendee.erased, verwijder of anonimiseer dan je eigen kopie van die deelnemer. Het ticket is geannuleerd als het evenement nog moest komen (ticketCancelled), en er wordt geen aparte attendee.cancelled verstuurd. Facturen houden de koper zoals hij erop gedrukt staat, omdat de wet facturen zeven jaar bewaart.

#Uitgezette modules

Een organisator kan per evenement functies uitzetten onder Modules van het evenement. Zolang er een uit staat, antwoorden de endpoints ervan 409 met "code": "moduleOff" en de naam van de module, en zeggen de MCP-tools ervan hetzelfde. Er wordt niets verwijderd: zet de module weer aan en de gegevens zijn er weer.

#Nooit in een antwoord

• API-sleutels, ondertekeningsgeheimen van webhooks (behalve één keer, bij het maken), sleutels van betaalproviders.
• De code van een ticket, waarmee de houder binnenkomt, en de toegangscodes van tickettypes.
• Het persoonlijke token van een deelkitlink.
• Het volledige adres van een webhook-endpoint: de query wordt verborgen, omdat een Power Automate-adres daar zijn sleutel in heeft.
• Het logboek van de sleutels legt nooit een querystring, een body of een antwoord vast.

#Waar het staat

AttendBeacon draait in de Europese Unie (Sweden Central). Wat je integratie eruit kopieert, is jouw verantwoordelijkheid: bewaar het niet langer dan nodig, en handel naar attendee.erased.