1. Przedmiot i czas trwania

Przedmiotem powierzenia jest przetwarzanie danych osobowych Kupujących bilety przez System Seatly Tickets na zlecenie Organizatora. Powierzenie trwa przez okres obowiązywania umowy SaaS z Organizatorem.

2. Charakter i cel przetwarzania

Przetwarzanie odbywa się wyłącznie w celu umożliwienia Organizatorowi prowadzenia sprzedaży biletów i ewidencji uczestników. Obejmuje: zbieranie, utrwalanie, przechowywanie, generowanie biletów PDF i udostępnianie danych Organizatorowi.

3. Kategorie danych i osób

• Kategorie osób: Kupujący bilety, Uczestnicy wydarzeń.
• Zakres danych: Imię, nazwisko, adres e-mail, opcjonalnie numer telefonu, numer miejsca/strefy, status kodu QR, metadane transakcji (kwota, waluta, data, ID Stripe).

4. Obowiązki Podmiotu Przetwarzającego (Seatly)

• Polecenia Administratora: Przetwarzamy dane wyłącznie na udokumentowane polecenie Organizatora (wynikające z konfiguracji systemu).
• Poufność: Osoby mające dostęp do danych zobowiązane są do zachowania tajemnicy.
• Bezpieczeństwo: Stosujemy środki ochrony zgodnie z art. 32 RODO: szyfrowanie TLS 1.3, kontrola dostępu oparta na rolach, regularne kopie zapasowe.
• Wsparcie: Pomagamy Organizatorowi realizować prawa podmiotów danych (dostęp, usunięcie, przenoszenie).

5. Podpowierzenie (Sub-processing)

Organizator wyraża ogólną zgodę na korzystanie z następujących sub-procesorów:

• Stripe Payments Europe, Ltd. (Irlandia/USA) — procesowanie płatności kartowych i anti-fraud.
• Supabase, Inc. / AWS Frankfurt (UE) — baza danych PostgreSQL, hosting.
• Resend, Inc. (USA) — wysyłka biletów PDF i potwierdzeń transakcyjnych.
• Hetzner Online GmbH (Niemcy, UE) — serwery aplikacji Seatly.
• PayU S.A. (Polska) — płatności, gdy Organizator podłączy własne konto PayU.
• SMSAPI — LINK Mobility Poland sp. z o.o. (UE) — wysyłka SMS, o ile aktywowana przez Organizatora.
• Google Ireland Ltd. / Google LLC (Gemini API) — automatyczne rozsadzanie gości, wyłącznie gdy Organizator użyje tej funkcji (imiona, nazwiska i grupy gości).

6. Prawo do audytu

Organizator ma prawo do audytu przestrzegania zasad ochrony danych przez Seatly, po uprzednim zawiadomieniu z min. 14-dniowym wyprzedzeniem.

7. Zakończenie przetwarzania

Po rozwiązaniu umowy Seatly usuwa dane osobowe powierzone przez Organizatora, o ile prawo nie nakazuje ich dalszego przechowywania (np. 5-letni obowiązek podatkowy).