Onder de AVG, de Nederlandse naam voor de GDPR, ben jij als organisator meestal de verwerkingsverantwoordelijke voor de gegevens van je deelnemers. Je evenementenplatform is een verwerker die ze namens jou behandelt. Die verdeling bepaalt het grootste deel van deze lijst.
Bij elk punt staat wat je in het algemeen controleert, en hoe het werkt in het evenementenplatform AttendBeacon. Zo kun je het vergelijken met het systeem dat jij gebruikt.
1. Vraag alleen wat je nodig hebt
Schrijf per veld op waarom je het vraagt. Kun je geen gebruik noemen, laat het veld dan weg.
- Naam en e-mailadres zijn nodig: het ticket is voor een persoon en wordt naar die persoon gestuurd.
- Bedrijf en functie helpen op een badge bij een zakelijk evenement, en zeggen weinig bij een meetup. In het evenementenplatform AttendBeacon worden ze standaard gevraagd en kun je ze per evenement uitzetten.
- Stel een vraag alleen voor de tickettypes die hem nodig hebben, zodat een vraag voor sprekers niet bij elke deelnemer terechtkomt.
- Dieetwensen en toegankelijkheidsbehoeften kunnen iets over iemands gezondheid zeggen. Vraag ze alleen als je er iets mee doet, leg uit waarom, en beperk wie de antwoorden ziet.
2. Maak toestemming echt
Toestemming moet vrij, specifiek en ondubbelzinnig zijn. In de praktijk:
- Geen vooraf aangevinkte vakjes. Een toestemmingsvraag is een vakje dat de deelnemer zelf aanvinkt. In het evenementenplatform kan niemand dat namens een ander doen, ook geen organisator die een ticket uitgeeft.
- Eén doel per vakje. Foto's, sponsors en je nieuwsbrief zijn drie aparte vragen.
- Geen ticket in ruil voor marketing. Maak de aanmelding niet afhankelijk van toestemming voor je nieuwsbrief.
- Sponsors zijn een aparte keuze. Gegevens delen met sponsors is optioneel, nooit verplicht en nooit voor iemand aangevinkt. Leads scannen werkt alleen bij bezoekers die daarmee instemden.
3. Vertel mensen wat er gebeurt
Je privacyverklaring vertelt wie je bent, wat je verzamelt, waarom, op welke grondslag, wie het ontvangt, hoe lang je het bewaart en hoe mensen hun rechten uitoefenen. Onder "wie het ontvangt" vallen je evenementenplatform, je betaalprovider en elk CRM of mailprogramma dat je koppelt.
Zet de verklaring waar mensen zich aanmelden. Link haar bijvoorbeeld in de veelgestelde vragen op je evenementpagina, en verwijs ernaar in je toestemmingsvragen.
Stuur je aanmeldingen naar je CRM, vermeld dat dan. De CRM-koppeling van het evenementenplatform synchroniseert niets tot een beheerder bevestigt dat de privacyverklaring dit noemt. Een lijst in Mailchimp of Brevo krijgt alleen mensen die de gekozen toestemmingsvraag hebben aangevinkt.
4. Sluit een verwerkersovereenkomst
Je platform verwerkt gegevens voor jou, dus je hebt er een verwerkersovereenkomst mee nodig. Voor het evenementenplatform AttendBeacon staat in de voorwaarden dat jij de verwerkingsverantwoordelijke bent en het platform de verwerker, en dat er op verzoek een verwerkersovereenkomst is.
Houd per evenement bij welke verwerkers je gebruikt, en wat elk ervan ontvangt.
5. Weet waar de gegevens staan
Vraag je leverancier waar de gegevens worden opgeslagen, en wat de EU verlaat.
Het evenementenplatform AttendBeacon draait in Microsoft Azure in de EU. De app en de database staan in Sweden Central. Uploads, sleutels en logboeken staan in West Europe, in Nederland.
Sommige dingen gaan van nature verder. Pushberichten lopen via de pushdienst van Apple, Google of Mozilla, end-to-end versleuteld. Een walletpas wordt door Apple of Google bewaard als een deelnemer hem toevoegt. Een mail komt terecht bij de mailprovider van de ontvanger. Microsoft is een Amerikaans bedrijf, en een Amerikaans bedrijf kan onder Amerikaanse wetgeving vallen. De pagina EU-soevereiniteit zet het allemaal op een rij.
6. Houd betaalgegevens buiten je eigen systemen
Kaart- en bankgegevens horen nooit door je eigen systemen te gaan. In het evenementenplatform betalen deelnemers op de pagina van je eigen Mollie- of Stripe-account. Het platform bewaart alleen de referentie en de status van de betaling.
7. Beperk wie wat ziet
Geef iedereen de toegang die bij de rol hoort, en niet meer.
- De crew krijgt de hulpmiddelen voor de eigen deur, tijdens de eigen dienst.
- Standhouders krijgen alleen leads van bezoekers die hebben ingestemd met delen.
- Zaalschermen tonen aankomsten als aantallen, nooit als namen.
- De ranglijst toont een voornaam en een initiaal, en iedereen kan zich eraf halen.
- Enquêteresultaten zie je per vraag, zonder namen.
8. Laat trackers weg van je aanmeldpagina's
Analytics en advertentiepixels op een aanmeldpagina hebben meestal een eigen toestemming nodig. Het evenementenplatform AttendBeacon heeft geen analytics- of trackingscripts op de website, in de werkruimte of in de evenementenapp. Het gebruikt alleen functionele cookies, zoals het cookie dat een deelnemer ingelogd houdt.
9. Bepaal hoe lang je het bewaart
Stel de bewaartermijn vast vóór het evenement, niet erna. Bewaar deelnemersgegevens zo lang als je ze nodig hebt voor het evenement en de opvolging, en facturen zo lang als de belastingwet vraagt.
In het evenementenplatform verwijder je een evenement meteen, of plan je de verwijdering op een datum die je zelf kiest. De aanmeldingen, check-ins, bestanden en berichten gaan mee. Dat geldt ook voor de facturen aan deelnemers, dus exporteer eerst wat je voor de belasting moet bewaren.
Sommige gegevens verdwijnen vanzelf:
- gevoelige antwoorden uit de bevestigingen van sprekers, 30 dagen na het evenement
- vragen aan de evenementassistent, 30 dagen na het evenement
- bestanden van een import, zodra het evenement is gebouwd
10. Beantwoord verzoeken van deelnemers
Mensen kunnen vragen hun gegevens in te zien, te verbeteren of te verwijderen. Zorg voor een werkwijze, en antwoord binnen een maand, de standaardtermijn van de AVG.
In de evenementenapp van AttendBeacon verwijderen deelnemers hun eigen gegevens met Mijn gegevens verwijderen. Ze bevestigen dat met een code die per mail komt, voor één evenement of voor alle evenementen met dat adres, en jij krijgt bericht als ze het doen. Voor een inzageverzoek exporteer je de deelnemerslijst met antwoorden en check-ins als CSV.
11. Bereid je voor op een datalek
Spreek vooraf af wie de leiding neemt, wie de toezichthouder binnen 72 uur informeert als dat moet, en hoe je de ondersteuning van je platform bereikt. Zet die namen in je evenementplan.
In het kort
- Elk veld heeft een doel.
- Elke toestemming heeft een eigen vakje, niet aangevinkt.
- Je privacyverklaring staat waar mensen zich aanmelden.
- Je hebt een verwerkersovereenkomst met elke verwerker.
- Je weet waar de gegevens staan en wat de EU verlaat.
- De bewaartermijn staat vast vóór het evenement.
- Je kunt een verzoek binnen een maand beantwoorden.
Hoe het evenementenplatform AttendBeacon met gegevens omgaat, lees je op de privacypagina.