Enligt GDPR är du som arrangör oftast personuppgiftsansvarig för deltagarnas uppgifter. Din evenemangsplattform är ett personuppgiftsbiträde som behandlar dem åt dig. Den uppdelningen präglar det mesta i den här listan.
Varje punkt säger vad du ska kontrollera i allmänhet, och hur det fungerar i evenemangsplattformen AttendBeacon. Använd den för att jämföra med det verktyg du använder.
1. Fråga bara det du behöver
Skriv ner varför du frågar efter varje fält. Kan du inte nämna en användning, ta bort fältet.
- Namn och e-post behövs: biljetten gäller en person och skickas till hen.
- Företag och titel hjälper på namnbrickor på ett företagsevenemang, och betyder lite på en meetup. I evenemangsplattformen AttendBeacon frågas de som standard och kan slås av per evenemang.
- Ställ en fråga bara för de biljettyper som behöver den, så att en fråga till talare inte når alla deltagare.
- Kost och tillgänglighetsbehov kan avslöja uppgifter om hälsa. Fråga bara om du kommer att agera på svaren, säg varför och begränsa vem som ser svaren.
2. Gör samtycket verkligt
Samtycke ska vara frivilligt, specifikt och otvetydigt. I praktiken:
- Inga förkryssade rutor. En samtyckesfråga är en ruta som deltagaren kryssar i själv. I evenemangsplattformen kan ingen kryssa i den åt hen, inte ens en arrangör som utfärdar en biljett.
- Ett syfte per ruta. Foton, sponsorer och ditt nyhetsbrev är tre separata frågor.
- Ingen biljett i utbyte mot marknadsföring. Gör inte anmälan beroende av samtycke till nyhetsbrevet.
- Sponsorer är ett separat val. Att dela uppgifter med sponsorer är frivilligt, aldrig obligatoriskt och aldrig ikryssat åt någon. Skanning av leads fungerar bara för besökare som har sagt ja.
3. Berätta vad som händer
Din integritetspolicy ska säga vem du är, vad du samlar in, varför, på vilken rättslig grund, vem som tar emot det, hur länge du sparar det och hur folk kan använda sina rättigheter. Vem som tar emot det omfattar din evenemangsplattform, din betaltjänst och varje CRM eller utskicksverktyg som du ansluter.
Placera policyn där folk anmäler sig. Länka den till exempel i de vanliga frågorna på evenemangssidan och hänvisa till den i dina samtyckesfrågor.
Skickar du anmälningar till ditt CRM, säg det. Evenemangsplattformens CRM-anslutning synkroniserar inget förrän en administratör bekräftar att integritetspolicyn täcker det. En lista i Mailchimp eller Brevo tar bara emot personer som kryssat i den samtyckesfråga du valt.
4. Ha ett personuppgiftsbiträdesavtal
Plattformen behandlar uppgifter åt dig, så du behöver ett personuppgiftsbiträdesavtal med den. För evenemangsplattformen AttendBeacon säger villkoren att du är personuppgiftsansvarig och plattformen personuppgiftsbiträde, och ett personuppgiftsbiträdesavtal finns på begäran.
För en förteckning över varje personuppgiftsbiträde du använder för evenemanget, med vad var och en tar emot.
5. Vet var uppgifterna finns
Fråga din leverantör var uppgifterna lagras och vad som lämnar EU.
Evenemangsplattformen AttendBeacon körs i Microsoft Azure i EU. Appen och databasen finns i Sweden Central. Uppladdningar, nycklar och loggar finns i West Europe, i Nederländerna.
Vissa saker går längre till sin natur. Pushmeddelanden går via Apples, Googles eller Mozillas pushtjänst, krypterade hela vägen. Ett plånbokspass lagras av Apple eller Google när en deltagare lägger till ett. E-post hamnar hos varje mottagares egen e-postleverantör. Microsoft är ett amerikanskt företag, och ett amerikanskt företag kan omfattas av amerikansk lag. Sidan om EU:s digitala suveränitet listar allt detta.
6. Håll kortuppgifter borta från dina system
Kort- och bankuppgifter ska aldrig passera dina egna verktyg. I evenemangsplattformen betalar deltagarna på sidan för ditt eget Mollie- eller Stripe-konto. Plattformen sparar bara betalningens referens och status.
7. Begränsa vem som ser vad
Ge varje person den åtkomst som rollen kräver, och inte mer.
- Crewet får verktygen för sin entré under sitt pass.
- Utställare får leads bara från besökare som har sagt ja till att dela.
- Skärmar i salarna visar ankomster som antal, aldrig namn.
- Topplistan visar ett förnamn och en initial, och vem som helst kan lämna den.
- Enkätresultat visas per fråga, utan namn.
8. Håll spårare borta från dina anmälningssidor
Analys- och annonspixlar på en anmälningssida kräver oftast ett eget samtycke. Evenemangsplattformen AttendBeacon har inga analys- eller spårningsskript på sin webbplats, i arbetsytan eller i evenemangsappen. Den använder bara funktionella kakor, till exempel den som håller en deltagare inloggad.
9. Bestäm hur länge du sparar uppgifterna
Bestäm lagringstiden före evenemanget, inte efter. Spara deltagarnas uppgifter så länge du behöver dem för evenemanget och uppföljningen, och spara fakturor så länge skattelagstiftningen kräver.
I evenemangsplattformen kan du radera ett evenemang nu, eller schemalägga raderingen till ett datum du väljer. Dess anmälningar, incheckningar, filer och meddelanden följer med. Det gör även fakturorna till deltagarna, så exportera först det som skattelagstiftningen kräver att du sparar.
Vissa uppgifter försvinner av sig själva:
- känsliga svar från talarnas bekräftelser, 30 dagar efter evenemanget
- frågor till evenemangsassistenten, 30 dagar efter evenemanget
- filer från en import, när evenemanget är byggt
10. Svara på förfrågningar från deltagare
Folk kan be att få se, rätta eller radera sina uppgifter. Ha en rutin och svara inom en månad, vilket är standardtidsfristen i GDPR.
I AttendBeacons evenemangsapp kan deltagarna radera sina egna uppgifter med Radera mina uppgifter. De bekräftar med en kod som skickas till deras e-post, för ett evenemang eller för alla evenemang med den adressen, och du får veta när de gör det. Vid en begäran om att få se sina uppgifter exporterar du deltagarlistan med svar och incheckningar till CSV.
11. Planera för en personuppgiftsincident
Bestäm i förväg vem som leder arbetet, vem som informerar tillsynsmyndigheten inom 72 timmar när det krävs, och hur du når plattformens support. Skriv in de namnen i evenemangsplanen.
Kortversionen
- Varje fält har ett syfte.
- Varje samtycke har en egen ruta, utan kryss.
- Din integritetspolicy är länkad där folk anmäler sig.
- Du har ett personuppgiftsbiträdesavtal med varje personuppgiftsbiträde.
- Du vet var uppgifterna lagras och vad som lämnar EU.
- Lagringstiden är bestämd före evenemanget.
- Du kan svara på en förfrågan inom en månad.
För detaljer om hur evenemangsplattformen AttendBeacon hanterar uppgifter, läs integritetssidan.