POLITYKA PRYWATNOŚCI SYSTEMU SPRZEDAŻY I REZERWACJI BILETÓW UNA KLUBO KSIĘGARNI POLSKIEGO WYDAWNICTWA MUZYCZNEGO

1. Informacje ogólne

Niniejsza polityka prywatności określa zasady przetwarzania danych osobowych oraz informacje wymagane art. 13 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) dla użytkowników korzystających z systemu sprzedaży i rezerwacji biletów online (dalej jako „System Biletowy”), działającego w subdomenie bilety.una-krakow.pl oraz za pośrednictwem dedykowanych widgetów zakupowych osadzonych w serwisie internetowym UNA.

System Biletowy służy do realizacji procesów rezerwacyjnych, sprzedaży biletów oraz obsługi transakcji na wydarzenia kulturalne organizowane w Klubo księgarni UNA w Krakowie.

Administratorem danych osobowych przetwarzanych w związku ze sprzedażą biletów i obsługą procesów transakcyjnych w Systemie Biletowym jest Punkt Wydawania Muzyki sp. z o.o. z siedzibą w Krakowie, ul. Pawia 34/47, 31-154 Kraków, NIP 5732856051, KRS 0000572965, REGON 362328993

Kontakt z Administratorem jest możliwy za pośrednictwem:

• tradycyjnej korespondencji pisemnej na adres: ul. Pawia 34/47, 31-154 Kraków,
• wiadomości poczty elektronicznej na adres e-mail: martyna.bartelak@punktwydawaniamuzyki.pl

Administrator nie wyznaczył Inspektora Ochrony Danych.

Administrator odpowiada za zgodność procesu przetwarzania danych osobowych z obowiązującymi przepisami prawa, w szczególności z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO).

2. Architektura techniczna i rola dostawcy oprogramowania

Sprzedaż i rezerwacja biletów realizowana jest przy użyciu zewnętrznej platformy biletowej zintegrowanej z Serwisem UNA za pomocą interfejsu API oraz widgetu zakupowego osadzonego w technologii iframe. Połączenie i wymiana danych w subdomenie biletowej są realizowane przy użyciu bezpiecznych przekierowań sieciowych.

Podmiot dostarczający i utrzymujący infrastrukturę Systemu Biletowego nie jest niezależnym administratorem danych osobowych kupujących. Przetwarza on dane osobowe wyłącznie na udokumentowane zlecenie i w imieniu Administratora, działając w charakterze podmiotu przetwarzającego (procesora) na podstawie zawartej umowy powierzenia danych, zgodnie z art. 28 RODO.

Zakup biletu nie wymaga obligatoryjnego zakładania oraz rejestrowania konta użytkownika w systemie – transakcje realizowane są w formule zakupów jako gość (guest checkout).

Administrator stosuje zasadę minimalizacji danych, dlatego zakres danych wymaganych do zakupu biletu ograniczony został wyłącznie do informacji niezbędnych do zawarcia i wykonania umowy.

Administrator sprawuje nadzór nad zgodnością przetwarzania danych osobowych przez podmiot przetwarzający oraz okresowo weryfikuje stosowane środki bezpieczeństwa.

3. Zakres, cele i podstawy prawne przetwarzania danych

Dane osobowe użytkowników Systemu Biletowego są przetwarzane w następujących celach operacyjnych i prawnych:

• Zawarcie i realizacja umowy sprzedaży biletów oraz świadczenia usługi udziału w wydarzeniu – przetwarzaniu podlegają dane wprowadzane w formularzu zamówienia: imię, nazwisko, adres e-mail, kod pocztowy, miejscowość oraz opcjonalnie numer telefonu, a także parametry zamówienia (rodzaj wydarzenia, numery miejsc, data, wartość transakcji). Podstawą prawną jest art. 6 ust. 1 lit. b RODO (przetwarzanie niezbędne do wykonania umowy lub podjęcia działań na żądanie osoby przed zawarciem umowy),
• Realizacja obowiązków finansowo-księgowych – przetwarzanie danych identyfikacyjnych i transakcyjnych na potrzeby wystawiania faktur, dokumentów księgowych oraz prowadzenia sprawozdawczości podatkowej. Podstawą prawną jest art. 6 ust. 1 lit. c RODO (wypełnienie obowiązku prawnego ciążącego na administratorze na podstawie ustawy o rachunkowości oraz Ordynacji podatkowej),
• Obsługa komunikacji transakcyjnej i reklamacyjnej – wykorzystanie adresu e-mail oraz numeru telefonu do technicznej wysyłki biletu elektronicznego (PDF), powiadomień o statusie płatności lub ewentualnych zmianach w repertuarze (np. odwołanie spektaklu). Podstawą prawną jest art. 6 ust. 1 lit. b oraz f RODO (prawnie uzasadniony interes polegający na sprawnym zarządzaniu relacją z klientem i logistyką wydarzeń),
• Ustalenie, dochodzenie i obrona przed roszczeniami – przetwarzanie logów systemowych, historii zamówień oraz danych transakcyjnych w celach dowodowych. Podstawą prawną jest art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes Administratora polegający na zabezpieczeniu interesu prawnego i finansowego spółki),
• Działania promocyjne i marketingowe – wysyłka newsletterów i informacji o przyszłych wydarzeniach w Klubo księgarni UNA. Podstawą prawną jest art. 6 ust. 1 lit. a RODO (dobrowolna, odrębna zgoda, która nie warunkuje możliwości zakupu biletu i może być wycofana w każdym czasie).

4. Odbiorcy danych osobowych

Dane osobowe zebrane w procesie biletowym mogą być udostępniane wyłącznie następującym kategoriom podmiotów:

• dostawcy platformy technologicznej obsługującemu i hostującemu System Biletowy (jako podmiotowi przetwarzającemu),
• operatorowi płatności elektronicznych (PayPro S.A. – właścicielowi serwisu Przelewy24) w celu przeprowadzenia oraz autoryzacji transakcji finansowej,
• podmiotom świadczącym na rzecz Administratora wsparcie w zakresie obsługi IT, serwisu urządzeń oraz usług prawno-księgowych,
• organom publicznym i sądom – wyłącznie na podstawie i w granicach przepisów prawa powszechnie obowiązującego,
• banki obsługujące rozliczenie transakcji oraz podmioty świadczące usługi audytu i bezpieczeństwa systemów teleinformatycznych (jeżeli występują).

5. Przetwarzanie danych osób trzecich (bilety prezentowe / grupowe)

W przypadku, gdy użytkownik dokonuje zakupu biletów w imieniu lub na rzecz osób trzecich (np. zakup biletów dla znajomych, bilety prezentowe), dane tych osób (jeśli zostaną wprowadzone, np. imienne wskazanie uczestnika wydarzenia) przetwarzane są na podstawie art. 6 ust. 1 lit. f RODO (uzasadniony interes polegający na umożliwieniu realizacji umowy na rzecz osoby trzeciej). Kupujący zobowiązany jest poinformować te osoby o fakcie przekazania ich danych Administratorowi oraz o treści niniejszej Polityki.

6. Odbiorcy danych i transfery do państw trzecich

Dane osobowe są przekazywane wyłącznie zaufanym partnerom wspierającym proces biletowy:

• podmiotowi utrzymującemu System Biletowy w ramach umowy powierzenia (procesorowi),
• krajowemu operatorowi płatności bezgotówkowych: PayPro S.A. (serwis Przelewy24) w celu autoryzacji i bezpiecznego wykonania transakcji finansowej,
• biurom rachunkowym oraz podmiotom świadczącym wsparcie prawne i IT na rzecz Administratora.

Dane przetwarzane w Systemie Biletowym nie są przekazywane poza obszar Unii Europejskiej oraz Europejskiego Obszaru Gospodarczego (EOG).

7. Okres przechowywania danych (retencja)

Dane osobowe są składowane przez okresy ściśle uzasadnione celami biznesowymi i wymogami prawa:

• dane przetwarzane w celu realizacji umowy sprzedaży biletów – przez okres niezbędny do przeprowadzenia i rozliczenia danego wydarzenia kulturalnego,
• dane niezbędne do celów podatkowo-księgowych – przez okres 5 lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku związanego z transakcją,
• dane przetwarzane na podstawie zgody (marketing) – do momentu jej formalnego wycofania przez użytkownika,
• dane przetwarzane w celu obrony przed roszczeniami – do czasu upływu ustawowych terminów przedawnienia tych roszczeń,
• po upływie wskazanych okresów dane są usuwane o ile dalsze ich przetwarzanie nie wynika z obowiązujących przepisów prawa.

8. Prawa osób, których dane dotyczą

Każdemu klientowi, którego dane są przetwarzane w Systemie Biletowym, przysługuje prawo do:

• dostępu do swoich danych, ich sprostowania, usunięcia („prawo do bycia zapomnianym”), ograniczenia przetwarzania, przenoszenia danych,
• wniesienia sprzeciwu wobec przetwarzania opartego na uzasadnionym interesie,
• wniesienia sprzeciwu wobec marketingu bezpośredniego.

Użytkownik ma również prawo wniesienia skargi do organu nadzorczego – Prezesa Urzędu Ochrony Danych Osobowych.

9. Pliki cookies sesyjne i bezpieczeństwo koszyka zakupowego

System Biletowy wykorzystuje pliki cookies oraz identyfikatory sesyjne (w tym identyfikator sesyjny wykorzystywany przez aplikację opartą na frameworku Symfony), które zaliczają się do kategorii plików niezbędnych. Pliki te są konieczne do technicznego utrzymania zawartości koszyka zakupowego, rezerwacji wybranych miejsc na sali na czas wypełniania formularza oraz zapewnienia bezpieczeństwa samej transakcji płatniczej. Nie wymagają one zgody użytkownika.

Czas wygaśnięcia sesji: ze względów bezpieczeństwa oraz w celu zwolnienia nieopłaconych miejsc dla innych klientów, zawartość koszyka zakupowego ulega automatycznemu zresetowaniu, a powiązane z nim dane sesyjne są usuwane po 20 minutach całkowitego braku aktywności ze strony użytkownika. Całkowite zablokowanie plików cookies w ustawieniach przeglądarki uniemożliwi przeprowadzenie procesu zakupowego i wygenerowanie biletu elektronicznego.

10. Zabezpieczenia danych osobowych

W celu zapobieżenia utracie poufności, integralności lub dostępności danych transakcyjnych, Administrator wdrożył zaawansowane środki techniczne:

• całość transmisji danych pomiędzy urządzeniem użytkownika a Systemem Biletowym oraz operatorem płatności jest szyfrowana przy użyciu protokołu TLS 1.3 (lub TLS 1.2),
• dostęp do bazy danych zamówień posiadają wyłącznie pracownicy posiadający imienne upoważnienia do przetwarzania danych,
• system nie rejestruje i nie przechowuje w swoich bazach danych numerów kart płatniczych ani danych dostępowych do bankowości elektronicznej klientów – proces ten odbywa się bezpośrednio na zabezpieczonej platformie operatora Przelewy24.

11. Zautomatyzowane podejmowanie decyzji

Dane osobowe nie są wykorzystywane do podejmowania decyzji wywołujących wobec użytkownika skutki prawne w sposób wyłącznie zautomatyzowany ani do profilowania w rozumieniu art. 22 RODO, z wyjątkiem standardowej analizy statystycznej oraz zapewnienia bezpieczeństwa systemu.

12. Postanowienia końcowe

Niniejsza polityka prywatności obowiązuje od dnia jej opublikowania. Administrator dokonuje okresowych przeglądów jej treści oraz aktualizuje ją w przypadku zmian przepisów prawa, sposobu funkcjonowania Systemu Biletowego lub technologii wykorzystywanych do przetwarzania danych osobowych.