Niniejsza Umowa powierzenia przetwarzania danych osobowych („DPA") stanowi część Regulaminu Strobo zawieranego pomiędzy TOURINGTUNES Sp. z o.o. („Podmiot przetwarzający") a Organizatorem („Administrator") i zostaje zawarta poprzez akceptację Regulaminu podczas onboardingu organizatorskiego. Wykonuje art. 28 RODO.
1. Przedmiot i role
Podmiot przetwarzający przetwarza dane osobowe w imieniu Administratora w zakresie, w jakim Administrator używa Strobo do zarządzania danymi uczestników i danymi marketingowymi: listami gości, kontaktami CRM i ich atrybutami, zgodami marketingowymi zbieranymi przy zakupie na rzecz Administratora, odbiorcami wysyłek, wpisami na listy oczekujących powiązanymi z wydarzeniami Administratora, rejestrami skanów wejściowych wydarzeń Administratora, a — jeżeli dla Administratora włączono piksele reklamowe — także ładowaniem pikseli reklamowych Administratora na stronach jego wydarzeń, zgodnie z §3A.
Dla jasności: poza zakresem niniejszej DPA pozostają (Podmiot przetwarzający działa jako samodzielny administrator): dane kont platformy, rozliczenia, logi bezpieczeństwa, zagregowana analityka produktowa — zob. Polityka Prywatności Strobo.
2. Szczegóły przetwarzania
- Czas trwania: okres korzystania przez Organizatora ze Strobo, plus okno usunięcia z §7.
- Charakter i cel: hosting, przechowywanie, wyświetlanie, segmentacja, eksport oraz wysyłka komunikacji inicjowanej przez Administratora; przygotowanie list wejściowych dla urządzeń Administratora przy wejściu, także do pracy bez internetu (lista jest przechowywana na urządzeniu używanym przy wejściu przez personel Administratora).
- Kategorie osób: uczestnicy wydarzeń Administratora, kupujący bilety, kontakty marketingowe, osoby z list gości.
- Kategorie danych: imię i nazwisko, e-mail, telefon, miejscowość, uczestnictwo w wydarzeniach oraz odniesienia do biletów/zamówień, status i źródło zgody, status obserwowania, znaczniki czasu check-in, wiadomości wysłane przez Administratora i ich odbiorcy oraz kody wstępu importowane przez Administratora z innego serwisu biletowego (przechowywane wyłącznie jako skrót jednokierunkowy, wraz z imieniem posiadacza, typem biletu i etykietą źródła podanymi przez Administratora). Nie przewiduje się szczególnych kategorii danych; Administrator nie może ich przesyłać.
- Piksele reklamowe (§3A): identyfikatory internetowe i dane techniczne odczytywane przez skrypt dostawcy w przeglądarce odwiedzającego (identyfikatory plików cookie, adres IP, user agent, adres strony) oraz zdarzenia konwersji emitowane przez platformę (wyświetlenie strony, rozpoczęcie zakupu, zakup wraz z wartością i walutą zamówienia). Podmiot przetwarzający nie przechowuje tych danych; przeglądarka odwiedzającego przesyła je bezpośrednio do dostawcy.
3. Polecenia Administratora
Podmiot przetwarzający przetwarza takie dane wyłącznie na udokumentowane polecenie Administratora, wydawane poprzez funkcje platformy (import, eksport, wysyłka, segmentacja, usunięcie) oraz niniejszą DPA, chyba że obowiązek przetwarzania nakłada prawo Unii lub państwa członkowskiego (wówczas Podmiot przetwarzający informuje Administratora, o ile prawo tego nie zabrania).
3A. Piksele reklamowe
- Dostępność. Piksele reklamowe są dostępne wyłącznie dla Administratorów, dla których Podmiot przetwarzający włączył tę funkcję. Podmiot przetwarzający może w każdej chwili odmówić jej udostępnienia, zawiesić ją lub wycofać — dla jednego Administratora albo dla wszystkich — w szczególności z przyczyn prawnych, związanych z bezpieczeństwem lub z prawidłowością zgód, bez ponoszenia z tego tytułu odpowiedzialności.
- Polecenie. Wprowadzając identyfikator piksela w platformie i włączając go, Administrator poleca Podmiotowi przetwarzającemu ładowanie tego piksela na publicznych stronach wydarzeń, zakupu i potwierdzenia zamówienia Administratora oraz emitowanie zdarzeń konwersji wymienionych w §2. Obsługiwani są wyłącznie dostawcy wymienieni w Polityce Cookies Strobo; Administrator nie może dodawać własnego kodu, zdarzeń ani parametrów.
- Zgoda. Podmiot przetwarzający ładuje piksele Administratora dopiero po wyrażeniu przez odwiedzającego zgody marketingowej dla tego Administratora za pośrednictwem banera zgód Strobo, przechowuje zapis tej zgody na zasadach opisanych w Polityce Cookies Strobo i przestaje ładować piksele po wycofaniu zgody. Zgoda wyrażona dla jednego Administratora nie obejmuje żadnego innego Administratora.
- Obowiązki Administratora. Administrator jest administratorem danych przesyłanych przez jego piksele do dostawcy oraz wszelkiego wykorzystania tych danych na jego koncie u dostawcy (grupy odbiorców, targetowanie, okres przechowywania). Administrator: (a) zaakceptował i przestrzega warunków biznesowych dostawcy dotyczących piksela; (b) nie wykorzystuje pikseli do przetwarzania szczególnych kategorii danych ani do kierowania reklam do małoletnich; (c) obsługuje wnioski osób, których dane dotyczą, w zakresie danych przechowywanych na jego koncie u dostawcy — Podmiot przetwarzający przekazuje mu bez zbędnej zwłoki każdy taki wniosek, który otrzyma.
- Dostawcy. Dostawcy pikseli otrzymują dane na podstawie własnej umowy Administratora z nimi i nie są podprocesorami Podmiotu przetwarzającego w rozumieniu §5.
- Zakończenie korzystania. Gdy Administrator wyłączy piksel lub jego konto zostanie zakończone, Podmiot przetwarzający przestaje ładować piksel i usuwa jego identyfikator. Podmiot przetwarzający nie przechowuje danych zdarzeń pikseli, które podlegałyby zwrotowi lub usunięciu na podstawie §7.
4. Poufność i bezpieczeństwo
Osoby upoważnione do przetwarzania danych są zobowiązane do zachowania poufności. Uwzględniając stan wiedzy technicznej, Podmiot przetwarzający wdraża odpowiednie środki techniczne i organizacyjne (art. 32 RODO), w tym: szyfrowanie w tranzycie i w spoczynku, row-level security izolujące dane każdego Administratora, dostęp oparty na rolach (personel bramkowy nie widzi danych finansowych ani kontaktowych), podpisane jednorazowe tokeny dostępu, ślady audytowe skanów wejściowych oraz uprawnienia serwisowe według zasady najmniejszych uprawnień.
5. Podprocesorzy
Administrator udziela ogólnej zgody na korzystanie z podprocesorów wymienionych pod /legal/subprocessors (obecnie: Stripe Payments Europe, Supabase, Vercel, Clerk, Resend oraz ich dostawcy hostingu). Podmiot przetwarzający ogłosi zmiany listy z co najmniej 14-dniowym wyprzedzeniem; Administrator może wnieść sprzeciw z uzasadnionych przyczyn dotyczących ochrony danych — wówczas strony poszukają rozwiązania albo Administrator może wypowiedzieć usługę, której sprzeciw dotyczy. Podprocesorzy są związani obowiązkami ochrony danych nie mniej ochronnymi niż niniejsza DPA. Transfery poza EOG opierają się na decyzjach stwierdzających odpowiedni stopień ochrony (w tym EU–US Data Privacy Framework) lub standardowych klauzulach umownych. Dostawcy pikseli reklamowych nie są podprocesorami — zob. §3A ust. 5.
6. Wsparcie
Podmiot przetwarzający wspiera Administratora, w miarę możliwości i z uwzględnieniem charakteru przetwarzania: w realizacji wniosków osób, których dane dotyczą (platforma udostępnia wyszukiwanie i eksport; poprawianie i usuwanie wykonuje Podmiot przetwarzający na pisemne żądanie Administratora), oraz w obowiązkach z art. 32–36 RODO (bezpieczeństwo, zgłaszanie naruszeń, DPIA). Podmiot przetwarzający zawiadamia Administratora o naruszeniu ochrony danych dotyczącym danych Administratora bez zbędnej zwłoki po jego stwierdzeniu, przekazując informacje wymagane art. 33 ust. 3 RODO w miarę ich ustalania.
7. Usunięcie i zwrot danych
Po zakończeniu konta Organizatora Podmiot przetwarzający przekazuje eksport danych Administratora na jego pisemne żądanie zgłoszone w ciągu 30 dni; następnie Podmiot przetwarzający je usuwa, chyba że prawo Unii lub prawo polskie wymaga dalszego przechowywania (np. dokumentacja księgowa). Kopie zapasowe są czyszczone w cyklu rotacji backupów.
8. Audyt
Podmiot przetwarzający udostępnia informacje niezbędne do wykazania zgodności z art. 28 RODO (w tym podsumowania środków bezpieczeństwa i umów z podprocesorami) oraz umożliwia audyty — w pierwszej kolejności w formie pisemnego kwestionariusza; audyty na miejscu nie częściej niż raz w roku, z 30-dniowym uprzedzeniem, na koszt Administratora, bez dostępu do danych innych administratorów.
9. Odpowiedzialność i postanowienia końcowe
Odpowiedzialność kształtuje art. 82 RODO oraz ograniczenia z Regulaminu w zakresie dozwolonym prawem. Prawem właściwym jest prawo polskie. W razie sprzeczności między niniejszą DPA a Regulaminem w sprawach danych osobowych pierwszeństwo ma DPA.