Nos termos do RGPD, o organizador é normalmente o responsável pelo tratamento dos dados dos participantes. A plataforma de eventos é um subcontratante que os trata em seu nome. Essa divisão determina a maior parte desta lista.
Cada ponto diz o que verificar em geral e como funciona na plataforma de eventos AttendBeacon. Use-a para comparar com a ferramenta que usar.
1. Pergunte só o que precisa
Escreva porque pede cada campo. Se não conseguir indicar uma utilização, retire o campo.
- O nome e o e-mail são necessários: o bilhete é para uma pessoa e é-lhe enviado.
- A empresa e o cargo ajudam nas credenciais de um evento empresarial e pouco significam num meetup. Na plataforma de eventos AttendBeacon são pedidos por predefinição e podem ser desativados em cada evento.
- Faça uma pergunta só para os tipos de bilhete que precisam dela, para que uma pergunta para oradores não chegue a todos os participantes.
- As necessidades alimentares e de acessibilidade podem revelar informação de saúde. Pergunte-as só se for agir em função delas, explique porquê e limite quem vê as respostas.
2. Torne o consentimento real
O consentimento tem de ser livre, específico e inequívoco. Na prática:
- Nada de caixas pré-assinaladas. Uma pergunta de consentimento é uma caixa que o próprio participante assinala. Na plataforma de eventos ninguém a pode assinalar por ele, nem sequer um organizador que emite um bilhete.
- Uma finalidade por caixa. Fotografias, patrocinadores e a sua newsletter são três perguntas separadas.
- Nada de bilhetes em troca de marketing. Não faça a inscrição depender do consentimento para a newsletter.
- Os patrocinadores são uma escolha à parte. A partilha de dados com patrocinadores é opcional, nunca obrigatória e nunca assinalada por ninguém. A leitura de contactos comerciais só funciona com visitantes que aceitaram.
3. Diga às pessoas o que acontece
O seu aviso de privacidade deve dizer quem é, o que recolhe, porquê, com que fundamento jurídico, quem recebe os dados, durante quanto tempo os guarda e como as pessoas podem exercer os seus direitos. «Quem recebe os dados» inclui a plataforma de eventos, o seu prestador de pagamentos e qualquer CRM ou ferramenta de envio de e-mails que ligar.
Coloque o aviso onde as pessoas se inscrevem. Por exemplo, ponha uma ligação nas perguntas frequentes da página do evento e faça referência a ele nas perguntas de consentimento.
Se enviar inscrições para o seu CRM, diga-o. A ligação ao CRM da plataforma de eventos não sincroniza nada até um administrador confirmar que o aviso de privacidade o abrange. Uma lista do Mailchimp ou do Brevo só recebe pessoas que assinalaram a pergunta de consentimento que escolheu.
4. Tenha um acordo de tratamento de dados
A sua plataforma trata dados por sua conta, por isso precisa de um acordo de tratamento de dados com ela. Para a plataforma de eventos AttendBeacon, os termos dizem que é o responsável pelo tratamento e que a plataforma é o subcontratante, e há um acordo de tratamento de dados disponível mediante pedido.
Mantenha um registo de cada subcontratante que usa no evento, com o que cada um recebe.
5. Saiba onde ficam os dados
Pergunte ao seu fornecedor onde os dados são guardados e o que sai da UE.
A plataforma de eventos AttendBeacon funciona no Microsoft Azure, na UE. A aplicação e a base de dados estão em Sweden Central. Os carregamentos, as chaves e os registos estão em West Europe, nos Países Baixos.
Algumas coisas vão mais longe pela sua natureza. As notificações push passam pelo serviço de push da Apple, da Google ou da Mozilla, cifradas de ponta a ponta. Um cartão de carteira digital é guardado pela Apple ou pela Google quando um participante o adiciona. O e-mail acaba no fornecedor de correio de cada destinatário. A Microsoft é uma empresa dos EUA, e uma empresa dos EUA pode estar sujeita à lei dos EUA. A página sobre a soberania da UE indica tudo isto.
6. Mantenha os dados de cartões fora dos seus sistemas
Os dados de cartões e bancários nunca devem passar pelas suas próprias ferramentas. Na plataforma de eventos, os participantes pagam na página da sua própria conta Mollie ou Stripe. A plataforma guarda apenas a referência e o estado do pagamento.
7. Limite quem vê o quê
Dê a cada pessoa o acesso de que a sua função precisa, e nada mais.
- A equipa recebe as ferramentas da sua porta durante o seu turno.
- Os expositores só recebem contactos comerciais de visitantes que aceitaram partilhar os dados.
- Os ecrãs das salas mostram as chegadas como números, nunca com nomes.
- A classificação mostra o nome próprio e uma inicial, e qualquer pessoa pode sair dela.
- Os resultados dos inquéritos são mostrados por pergunta, sem nomes.
8. Não ponha rastreadores nas páginas de inscrição
Os píxeis de análise e de publicidade numa página de inscrição normalmente precisam de consentimento próprio. A plataforma de eventos AttendBeacon não tem scripts de análise nem de rastreio no site, na área de trabalho ou na aplicação do evento. Usa apenas cookies funcionais, como o que mantém a sessão de um participante iniciada.
9. Decida durante quanto tempo guarda os dados
Defina um prazo de conservação antes do evento, não depois. Guarde os dados dos participantes enquanto precisar deles para o evento e o respetivo seguimento, e guarde as faturas durante o tempo que a lei fiscal exige.
Na plataforma de eventos, pode apagar um evento já, ou agendar a eliminação para uma data à sua escolha. As inscrições, os registos de entrada, os ficheiros e as mensagens vão com ele. O mesmo acontece às faturas aos participantes, por isso exporte primeiro o que a lei fiscal o obriga a guardar.
Alguns dados desaparecem sozinhos:
- respostas sensíveis das confirmações dos oradores, 30 dias depois do evento
- perguntas feitas ao assistente do evento, 30 dias depois do evento
- ficheiros de uma importação, assim que o evento é criado
10. Responda aos pedidos dos participantes
As pessoas podem pedir para ver, corrigir ou apagar os seus dados. Tenha um processo e responda no prazo de um mês, que é o prazo normal do RGPD.
Na aplicação de eventos AttendBeacon, os participantes podem apagar os seus próprios dados com Eliminar os meus dados. Confirmam com um código enviado para o e-mail, para um evento ou para todos os eventos com esse endereço, e o organizador é avisado quando o fazem. Para um pedido de acesso aos dados, exporte para CSV a lista de participantes com as respostas e os registos de entrada.
11. Prepare-se para uma violação de dados
Decida com antecedência quem lidera, quem informa a autoridade de controlo no prazo de 72 horas quando isso for obrigatório e como contacta o apoio da sua plataforma. Ponha esses nomes no plano do evento.
A versão curta
- Cada campo tem uma finalidade.
- Cada consentimento tem a sua própria caixa, por assinalar.
- O seu aviso de privacidade tem uma ligação onde as pessoas se inscrevem.
- Tem um acordo de tratamento de dados com cada subcontratante.
- Sabe onde os dados são guardados e o que sai da UE.
- O prazo de conservação é definido antes do evento.
- Consegue responder a um pedido no prazo de um mês.
Para saber em pormenor como a plataforma de eventos AttendBeacon trata os dados, leia a página de privacidade.