Lista kontrolna RODO dla rejestracji na wydarzenia w UE

Zgodnie z RODO, czyli GDPR, ty jako organizator jesteś zwykle administratorem danych swoich uczestników. Twoja platforma do wydarzeń jest podmiotem przetwarzającym, który obsługuje je w twoim imieniu. Ten podział wyznacza większość tej listy.

Każdy punkt mówi, co sprawdzić ogólnie i jak to działa w platformie do wydarzeń AttendBeacon. Użyj go do porównania z narzędziem, z którego korzystasz.

1. Pytaj tylko o to, czego potrzebujesz

Zapisz, po co pytasz o każde pole. Jeśli nie umiesz wskazać zastosowania, usuń pole.

• Imię i nazwisko oraz e-mail są potrzebne: bilet jest dla konkretnej osoby i do niej trafia.
• Firma i stanowisko pomagają na identyfikatorach podczas wydarzenia firmowego, a na meetupie niewiele znaczą. W platformie do wydarzeń AttendBeacon są domyślnie wymagane i można je wyłączyć w każdym wydarzeniu.
• Zadawaj pytanie tylko przy rodzajach biletów, które go potrzebują, aby pytanie dla prelegentów nie trafiało do każdego uczestnika.
• Potrzeby żywieniowe i dotyczące dostępności mogą ujawniać informacje o zdrowiu. Pytaj o nie tylko wtedy, gdy coś z nimi zrobisz, wyjaśnij dlaczego i ogranicz krąg osób, które widzą odpowiedzi.

2. Niech zgoda będzie prawdziwa

Zgoda musi być dobrowolna, konkretna i jednoznaczna. W praktyce:

• Żadnych zaznaczonych z góry pól. Pytanie o zgodę to pole, które uczestnik zaznacza sam. W platformie do wydarzeń nikt nie może zaznaczyć go za niego, nawet organizator, który wystawia bilet.
• Jeden cel na jedno pole. Zdjęcia, sponsorzy i twój newsletter to trzy osobne pytania.
• Żadnego biletu w zamian za marketing. Nie uzależniaj rejestracji od zgody na newsletter.
• Sponsorzy to osobny wybór. Udostępnianie danych sponsorom jest opcjonalne, nigdy nie jest wymagane i nigdy nie jest zaznaczane za nikogo. Skanowanie leadów działa tylko w przypadku gości, którzy się zgodzili.

3. Powiedz ludziom, co się dzieje

Twoja klauzula informacyjna powinna mówić, kim jesteś, co zbierasz, w jakim celu, na jakiej podstawie prawnej, kto otrzymuje dane, jak długo je przechowujesz i jak ludzie mogą korzystać ze swoich praw. Do odbiorców należą twoja platforma do wydarzeń, twój dostawca płatności oraz każdy CRM lub narzędzie do wysyłki e-maili, które podłączasz.

Umieść klauzulę tam, gdzie ludzie się rejestrują. Na przykład dodaj do niej link w FAQ na stronie wydarzenia i odwołaj się do niej w pytaniach o zgodę.

Jeśli wysyłasz rejestracje do swojego CRM, napisz o tym. Połączenie z CRM w platformie do wydarzeń niczego nie synchronizuje, dopóki administrator nie potwierdzi, że klauzula informacyjna to obejmuje. Lista w Mailchimp lub Brevo otrzymuje tylko osoby, które zaznaczyły wybrane przez ciebie pytanie o zgodę.

4. Zawrzyj umowę powierzenia

Twoja platforma przetwarza dane w twoim imieniu, więc potrzebujesz z nią umowy powierzenia przetwarzania danych. W przypadku platformy do wydarzeń AttendBeacon regulamin stanowi, że ty jesteś administratorem, a platforma podmiotem przetwarzającym, a umowa powierzenia przetwarzania danych jest dostępna na prośbę.

Prowadź rejestr wszystkich podmiotów przetwarzających, z których korzystasz przy wydarzeniu, wraz z tym, co każdy z nich otrzymuje.

5. Wiedz, gdzie są dane

Zapytaj dostawcę, gdzie przechowywane są dane i co opuszcza UE.

Platforma do wydarzeń AttendBeacon działa w Microsoft Azure w UE. Aplikacja i baza danych są w regionie Sweden Central. Przesłane pliki, klucze i logi są w regionie West Europe, w Holandii.

Niektóre dane z natury trafiają dalej. Powiadomienia push przechodzą przez usługę push Apple, Google lub Mozilli, zaszyfrowane end-to-end. Przepustkę do portfela przechowuje Apple lub Google, gdy uczestnik ją doda. E-mail trafia do dostawcy poczty każdego odbiorcy. Microsoft to firma amerykańska, a firma z USA może podlegać prawu amerykańskiemu. Strona o suwerenności danych w UE wymienia to wszystko.

6. Trzymaj dane kart poza swoimi systemami

Dane kart i kont bankowych nigdy nie powinny przechodzić przez twoje własne narzędzia. W platformie do wydarzeń uczestnicy płacą na stronie twojego własnego konta Mollie lub Stripe. Platforma przechowuje tylko identyfikator i status płatności.

7. Ogranicz, kto co widzi

Daj każdej osobie taki dostęp, jakiego wymaga jej rola, i nic więcej.

• Ekipa dostaje narzędzia swojego wejścia na czas swojej zmiany.
• Wystawcy dostają leady tylko od gości, którzy zgodzili się udostępnić dane.
• Ekrany sal pokazują przybycia jako liczby, nigdy jako nazwiska.
• Ranking pokazuje imię i inicjał, a każdy może z niego zrezygnować.
• Wyniki ankiet są pokazywane dla każdego pytania, bez nazwisk.

8. Nie umieszczaj narzędzi śledzących na stronach rejestracji

Piksele analityczne i reklamowe na stronie rejestracji zwykle wymagają osobnej zgody. Platforma do wydarzeń AttendBeacon nie ma skryptów analitycznych ani śledzących na swojej stronie, w przestrzeni roboczej ani w aplikacji wydarzenia. Używa wyłącznie funkcjonalnych plików cookie, na przykład tego, który utrzymuje sesję zalogowanego uczestnika.

9. Zdecyduj, jak długo przechowujesz dane

Ustal okres przechowywania przed wydarzeniem, a nie po nim. Przechowuj dane uczestników tak długo, jak potrzebujesz ich do wydarzenia i działań po nim, a faktury tak długo, jak wymagają przepisy podatkowe.

W platformie do wydarzeń możesz usunąć wydarzenie od razu albo zaplanować jego usunięcie na wybrany dzień. Razem z nim znikają rejestracje, check-iny, pliki i wiadomości. Znikają też faktury dla uczestników, więc najpierw wyeksportuj to, co musisz zachować zgodnie z przepisami podatkowymi.

Niektóre dane znikają same:

• poufne odpowiedzi z potwierdzeń prelegentów, 30 dni po wydarzeniu
• pytania zadane asystentowi wydarzenia, 30 dni po wydarzeniu
• pliki z importu, gdy wydarzenie zostanie zbudowane

10. Odpowiadaj na żądania uczestników

Ludzie mogą prosić o wgląd w swoje dane, ich sprostowanie lub usunięcie. Miej na to procedurę i odpowiadaj w ciągu miesiąca, bo to standardowy termin według RODO.

W aplikacji wydarzenia AttendBeacon uczestnicy mogą sami usunąć swoje dane opcją Usuń moje dane. Potwierdzają to kodem wysłanym na swój e-mail, dla jednego wydarzenia lub dla wszystkich wydarzeń z tym adresem, a ty dostajesz o tym informację. Gdy ktoś prosi o wgląd w swoje dane, wyeksportuj listę uczestników z odpowiedziami i check-inami do CSV.

11. Zaplanuj reakcję na naruszenie

Zdecyduj z góry, kto kieruje działaniami, kto zawiadamia organ nadzorczy w ciągu 72 godzin, jeśli jest to wymagane, i jak skontaktujesz się z pomocą techniczną swojej platformy. Wpisz te osoby do planu wydarzenia.

W skrócie

• Każde pole ma swój cel.
• Każda zgoda ma własne, niezaznaczone pole.
• Klauzula informacyjna jest podlinkowana tam, gdzie ludzie się rejestrują.
• Masz umowę powierzenia z każdym podmiotem przetwarzającym.
• Wiesz, gdzie przechowywane są dane i co opuszcza UE.
• Okres przechowywania jest ustalony przed wydarzeniem.
• Na żądanie potrafisz odpowiedzieć w ciągu miesiąca.

Szczegóły tego, jak platforma do wydarzeń AttendBeacon obchodzi się z danymi, znajdziesz na stronie o prywatności.