1. Administrator i zakres
Administratorem danych w opisanych procesach prowadzonych przez Fedir Lavryk jest Fedir Lavryk, ul. Karolkowa 28 lok. 43, 01-207 Warszawa, NIP 5273100683, REGON 527883721; kontakt w sprawach danych: redcups.pl@gmail.com. Polityka obejmuje stronę REDCUPS, obsługę wydarzeń, bilety, stoliki, Guest List, formularze kontaktowe i rekrutacyjne. Nie oznacza automatycznego przejęcia danych ani obowiązków innego administratora wskazanego w dawnych formularzach. Wcześniejsze procesy ocenia się według ich rzeczywistej podstawy i podmiotu prowadzącego.
2. Zakres i źródła danych
Dane pochodzą głównie od osoby korzystającej z formularza lub składającej zamówienie: imię i nazwisko, adres e-mail, telefon, informacje o rezerwacji, zgłoszeniu lub zgodzie. Przetwarzane mogą być też identyfikatory transakcji Stripe, kwota i status płatności, rodzaj i identyfikator biletu, kod promocyjny, czas kontroli wejścia oraz dane techniczne i źródło kampanii. Dane karty podaje się operatorowi płatności; nie należy wpisywać ich do formularzy kontaktowych. Jeśli nabywca podaje dane innego uczestnika, Organizator przekazuje tej osobie wymaganą informację zgodnie z art. 14 RODO, o ile nie zachodzi ustawowy wyjątek.
3. Cele i podstawy
Obsługa zakupu, rezerwacji, Guest List, dostarczenie potwierdzeń oraz kontrola uprawnienia do wejścia: art. 6 ust. 1 lit. b RODO, wykonanie umowy lub działania na żądanie osoby przed jej zawarciem. Obowiązki księgowe, podatkowe i inne wymagane prawem: lit. c. Bezpieczeństwo serwisu, przeciwdziałanie nadużyciom, ustalanie i obrona roszczeń oraz obsługa korespondencji niezwiązanej bezpośrednio z umową: lit. f, uzasadniony interes administratora i osób korzystających z usług. Dobrowolne działania marketingowe oraz opcjonalne śledzenie: lit. a w zakresie objętym zgodą, z dodatkowym uwzględnieniem Prawa komunikacji elektronicznej. Rekrutację opisuje osobna klauzula.
4. Odbiorcy i dostawcy
Dostęp otrzymują upoważnione osoby obsługujące wydarzenia i formularze oraz dostawcy niezbędni do ich realizacji: dostawcy hostingu, infrastruktury aplikacji i utrzymania systemów, Stripe w zakresie płatności, Resend w zakresie wiadomości, Google w zakresie używanych usług poczty i galerii oraz Telegram w zakresie powiadomień operacyjnych i przekazania zgłoszeń zespołowi. W zależności od własnych celów usługodawca może być podmiotem przetwarzającym albo odrębnym administratorem. Meta i Contentsquare są wykorzystywane w kontekście pomiaru i marketingu, Spotify przy osadzonym odtwarzaczu. Zakres udostępnienia jest ograniczony do danych niezbędnych dla właściwego celu i roli odbiorcy. Dane mogą być przekazywane również księgowości, doradcom i uprawnionym organom, gdy istnieje podstawa.
5. Usługi zewnętrzne i przekazywanie poza EOG
Korzystanie z globalnych dostawców może wiązać się z przetwarzaniem poza Europejskim Obszarem Gospodarczym. Przekazanie wymaga podstawy z rozdziału V RODO, np. decyzji o odpowiednim stopniu ochrony albo standardowych klauzul umownych i, gdy są potrzebne, dodatkowych środków. Nie zakłada się, że każdy dostawca ma certyfikację EU–US Data Privacy Framework ani że samo korzystanie z niego zapewnia zgodność. Informację o podstawie konkretnego przekazania i kopię stosownych zabezpieczeń można uzyskać, kontaktując się z administratorem, z zachowaniem ochrony praw innych osób.
6. Okresy przechowywania
Dane zamówień przechowuje się przez realizację umowy, a następnie w niezbędnym zakresie do upływu właściwych terminów przedawnienia roszczeń. Dokumentację podatkową co do zasady przechowuje się przez 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku, z uwzględnieniem zawieszeń i przerw przewidzianych prawem. Dane Guest List służą obsłudze wydarzenia i późniejszych spraw, a nie bezterminowemu marketingowi. Dane oparte wyłącznie na zgodzie marketingowej przechowuje się do jej wycofania lub zakończenia celu; minimalne dowody zgody i sprzeciwu mogą pozostać na czas konieczny do rozliczalności i obrony roszczeń. Dane techniczne i kopie zapasowe podlegają cyklom retencji właściwych usług; nie stanowi to podstawy do nieograniczonego używania danych. Rekrutacja ma odrębne zasady.
7. Prawa osoby
Można żądać dostępu i kopii danych, sprostowania, usunięcia, ograniczenia przetwarzania, a w ustawowych przypadkach przeniesienia danych. Można wnieść sprzeciw wobec przetwarzania opartego na uzasadnionym interesie; sprzeciw wobec marketingu bezpośredniego jest bezwarunkowy. Zgodę można wycofać w dowolnym momencie, bez wpływu na zgodność wcześniejszego przetwarzania. Nie każde żądanie usunięcia pozwala usunąć dokumenty wymagane przez prawo. Skargę można złożyć do Prezesa Urzędu Ochrony Danych Osobowych, uodo.gov.pl.
8. Realizacja praw i dobrowolność
Wnioski przyjmowane są pod kontaktem administratora; odpowiadamy co do zasady w ciągu miesiąca, z możliwością ustawowego przedłużenia i obowiązkiem poinformowania o jego przyczynach. Weryfikacja tożsamości powinna być proporcjonalna, bez rutynowego wymagania kopii dokumentu. Podanie danych jest dobrowolne, ale pola niezbędne do zakupu lub zgłoszenia warunkują jego obsługę. Zgoda reklamowa nie jest warunkiem płatnego zakupu ani obsługi reklamacji.
9. Automatyzacja, zdjęcia i odnośniki
System automatycznie weryfikuje płatności i wykorzystanie kodów wejścia; sporne wyniki można zgłosić do rozpatrzenia przez człowieka. Narzędzia reklamowe mogą służyć pomiarowi kampanii i tworzeniu grup odbiorców na warunkach właściwego dostawcy. Nie wynika z tego zgoda na dowolne profilowanie. Zasady publikowania wizerunku opisuje regulamin imprezy. Przejście do zewnętrznego serwisu powoduje stosowanie również jego własnych zasad ochrony danych.