1. Cele i podstawy przetwarzania

• Konto Organizatora: założenie i prowadzenie konta do zarządzania wydarzeniami i sprzedażą biletów (art. 6 ust. 1 lit. b RODO).
• Sprzedaż biletów: obsługa zamówień, bilety PDF z kodem QR, wysyłka e-mail i opcjonalnie SMS (art. 6 ust. 1 lit. b RODO).
• Płatności: obsługa płatności przez Stripe lub PayU (art. 6 ust. 1 lit. b i c RODO).
• Kontrola wejść: status kodu QR (użyty / nieużyty) (art. 6 ust. 1 lit. b RODO).
• Rozliczenia i faktury dla Organizatorów (art. 6 ust. 1 lit. c RODO — obowiązki podatkowe).
• Bezpieczeństwo: ochrona przed botami i nadużyciami, statystyki korzystania z panelu (art. 6 ust. 1 lit. f RODO) — patrz pkt 5.
• Wiadomości do Organizatorów: powiadomienia o koncie i sprzedaży oraz wskazówki dotyczące korzystania z Seatly (art. 6 ust. 1 lit. f RODO) — z każdej wiadomości tego typu można się wypisać jednym kliknięciem.
• Kontakt i wsparcie: odpowiedzi na wiadomości i czat wsparcia (art. 6 ust. 1 lit. b i f RODO).

2. Rola Seatly w przetwarzaniu

• Administrator: dla danych Organizatorów i członków ich zespołów (konto, rozliczenia, wsparcie, statystyki panelu).
• Podmiot przetwarzający: dla danych Kupujących. Administratorem danych Kupującego jest Organizator wydarzenia; Seatly przetwarza je wyłącznie na jego zlecenie zgodnie z Umową DPA.

3. Zakres danych Kupujących

• Imię i nazwisko, adres e-mail, opcjonalnie numer telefonu.
• Dane zamówienia (kwota, waluta, data, numer zamówienia) i — na życzenie — dane do faktury.
• Numer miejsca lub strefy (przy wydarzeniach z planem sali).
• Status kodu QR (zeskanowany / niezeskanowany).
• Na liście gości: imię i nazwisko oraz grupa, jeśli Organizator jej używa.

4. Odbiorcy danych (podmioty przetwarzające)

• Hetzner Online GmbH (Niemcy, serwery w UE) — serwery, na których działa aplikacja i strona Seatly.
• Supabase, Inc. — baza danych, logowanie i przechowywanie plików (serwery AWS we Frankfurcie, UE).
• Stripe Payments Europe, Ltd. (Irlandia) — obsługa płatności, wypłat i zapobieganie oszustwom. Dane kart przetwarza wyłącznie Stripe; Seatly ich nie przechowuje.
• PayU S.A. (Polska) — obsługa płatności, gdy Organizator podłączy własne konto PayU.
• Resend, Inc. (USA) — wysyłka wiadomości e-mail (bilety, potwierdzenia, powiadomienia).
• SMSAPI (LINK Mobility Poland sp. z o.o.) — wysyłka SMS, jeśli Organizator włączy powiadomienia SMS.
• Cloudflare, Inc. (USA) — ochrona formularzy logowania i rejestracji przed botami (Turnstile).
• Google Ireland Ltd. / Google LLC — funkcja automatycznego rozsadzania gości (Gemini API), wyłącznie gdy Organizator z niej skorzysta: przekazywane są imiona i nazwiska gości oraz ich grupy.
• Google Ireland Ltd. — pomiar skuteczności reklam Google Ads na stronie seatly.pl, wyłącznie po wyrażeniu zgody w banerze cookies. Nie dotyczy panelu ani stron zakupu biletów.

5. Statystyki korzystania z panelu

Gdy korzystasz z panelu Organizatora (także jako członek zespołu), zapisujemy: otwierane podstrony (bez danych z adresu), nazwy klikanych przycisków i linków (bez treści wpisywanej w pola), komunikaty o błędach oraz podstawowe dane urządzenia (rodzaj, przeglądarka, system, rozdzielczość ekranu).

• Cel: bezpieczeństwo konta, wykrywanie nadużyć, naprawa błędów i ulepszanie panelu.
• Podstawa: prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO).
• Dostęp: wyłącznie administratorzy Seatly.
• Okres przechowywania: 90 dni, potem dane są automatycznie usuwane.
• Sprzeciw: możesz sprzeciwić się temu przetwarzaniu, pisząc na seatlyticket@gmail.com.

6. Czat wsparcia

Treść rozmów w czacie wsparcia przechowujemy, aby odpowiedzieć na pytanie i wrócić do sprawy (art. 6 ust. 1 lit. b i f RODO) — przez czas istnienia konta. Zdjęcia (np. zrzuty ekranu) przesyłane w czacie są kompresowane i automatycznie usuwane po 30 minutach.

7. Pliki cookies

Panel i strony zakupu biletów używają wyłącznie plików niezbędnych do działania (logowanie, sesja zakupu, bezpieczeństwo). Na stronie seatly.pl pliki reklamowe Google Ads działają tylko po wyrażeniu zgody. Szczegóły: Polityka cookies.

8. Okres przechowywania

• Dane konta Organizatora: do usunięcia konta.
• Bilety i zamówienia: 5 lat od końca roku kalendarzowego (wymogi podatkowe).
• Status kodów QR: do 90 dni po dacie wydarzenia.
• Statystyki korzystania z panelu: 90 dni.
• Zdjęcia w czacie wsparcia: 30 minut.
• Logi serwera: do 12 miesięcy.

9. Twoje prawa

Przysługuje Ci prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia oraz sprzeciwu. Możesz też wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa). Kupujący mogą kierować żądania bezpośrednio do Organizatora wydarzenia — przekażemy je, jeśli trafią do nas. Żądania i pytania kieruj na seatlyticket@gmail.com.

10. Przekazywanie danych poza EOG

Hetzner, Supabase (AWS Frankfurt), PayU i SMSAPI przetwarzają dane w Unii Europejskiej. Resend, Cloudflare, Google oraz częściowo Stripe mogą przekazywać dane do USA — na podstawie ram Data Privacy Framework lub Standardowych Klauzul Umownych zatwierdzonych przez Komisję Europejską.