Polityka prywatności TTR 2027

1. Administrator i kontakt

Administratorem danych przetwarzanych w związku z serwisem ttr2027.pl i obsługą konferencji jest THINK FUN spółka z ograniczoną odpowiedzialnością z siedzibą w Legionowie, ul. Jana Kochanowskiego 2F/2, 05-120 Legionowo, KRS 0000900535, NIP 5361954545.

W sprawach danych osobowych, realizacji praw oraz wycofania zgód można kontaktować się pod adresem konferencja@ttr2027.pl lub kontakt@myslimykreatywnie.pl albo pisemnie na adres siedziby. Kontakt telefoniczny z biurem: 694 698 110.

2. Zakres i źródła danych

W formularzu przetwarzamy dane uczestnika: imię i nazwisko, adres e-mail, numer telefonu, wybrany wariant udziału (stacjonarny lub online), warsztaty i tury, kolację oraz informacje związane ze zgłoszeniem. Dla wariantu studenckiego są to również nazwa uczelni, numer legitymacji i oświadczenie o statusie. W związku z PWZ przetwarzamy deklarację posiadania uprawnień, zawód i podany numer. W przypadku transmisji i nagrań możemy przetwarzać również wizerunek, głos i wypowiedzi osób, które są filmowane lub których wypowiedzi zostają utrwalone.

Wariant online obejmuje sesje udostępnione w transmisji zgodnie z programem, materiały elektroniczne, dostęp do nagrań oraz imienny certyfikat. Nie obejmuje lunchu, przerw kawowych, warsztatów stacjonarnych ani uroczystej kolacji. Szczegóły udostępnienia nagrań, w tym termin i okres dostępności, zostaną przekazane uczestnikom w późniejszym terminie. Dostęp do nagrań jest składnikiem udziału online; brak obecnie podanego okresu nie oznacza rezygnacji z tego świadczenia.

Dane nabywcy obejmują imię i nazwisko albo nazwę firmy lub organizacji, NIP, adres oraz przekazane uwagi do rozliczenia. Nie należy wpisywać do uwag danych o zdrowiu ani innych informacji niepotrzebnych do obsługi zgłoszenia.

Zapisujemy także numer i treść zamówienia, kwoty, rezerwacje i terminy, próby i statusy płatności, zmiany, dopłaty, anulowania i informacje o rozliczeniach, bilety, wyniki kontroli wejść, historię operacji oraz dowody oświadczeń i zgód. Dowód zgody obejmuje jej treść, wersję dokumentów, wybory, czas oraz skrót kontrolny.

Panel obejmuje dane prelegentów i organizatorów, ich role i przyznane uprawnienia. Moduł kontaktów i mailingu obejmuje dane kontaktowe, źródło pozyskania, grupy, oznaczenie podstawy kontaktu organizacyjnego, dowody zgód, status subskrypcji, kampanie i wyniki wysyłki.

Dane otrzymujemy bezpośrednio od osoby zgłaszającej się, z korespondencji, od nabywcy lub osoby zgłaszającej grupę, uprawnionego przedstawiciela instytucji albo z importu wykonanego przez Organizatora. Konkretnym źródłem jest dokument lub zgłoszenie, na podstawie którego wprowadzono kontakt. Osobie, której dane otrzymaliśmy od innego podmiotu, przekazujemy informację o źródle i przetwarzaniu w terminie wymaganym przez art. 14 RODO, w szczególności najpóźniej przy pierwszym kontakcie, jeżeli następuje wcześniej niż upływ miesiąca.

3. Cele i podstawy przetwarzania

Przyjęcie zgłoszenia, wykonanie zamówienia, udostępnienie udziału stacjonarnego lub online, rezerwacji, biletu, transmisji, nagrań i materiałów oraz niezbędna korespondencja z osobą będącą stroną umowy opierają się na art. 6 ust. 1 lit. b RODO. Dane uczestnika zgłoszonego przez pracodawcę, nabywcę lub inną uprawnioną osobę oraz dane przedstawicieli i osób kontaktowych przetwarzamy na podstawie art. 6 ust. 1 lit. f RODO w uzasadnionym interesie sprawnej realizacji i udokumentowania zgłoszenia.

Rozliczenia i dokumentacja wymagana przepisami podatkowymi lub rachunkowymi opierają się na art. 6 ust. 1 lit. c RODO. Dotyczy to danych niezbędnych do konkretnych obowiązków, a nie całego formularza bez rozróżnienia.

Bezpieczeństwo serwisu, kontrola dostępu, zapobieganie nadużyciom, rejestrowanie uprawnień i wejść, dokumentowanie oświadczeń oraz ustalenie, dochodzenie lub obrona roszczeń opierają się na art. 6 ust. 1 lit. f RODO. Naszym interesem jest ochrona uczestników, danych, rozliczeń i praw stron.

Dane o statusie studenta służą realizacji wybranego wariantu. Dane dotyczące PWZ i zawodu służą obsłudze zadeklarowanego wariantu i dokumentacji edukacyjnej w zakresie związanym z udziałem. Podstawą jest art. 6 ust. 1 lit. b RODO, gdy jest to niezbędne do wykonania umowy z uczestnikiem, albo art. 6 ust. 1 lit. f RODO przy zgłoszeniu przez inny podmiot.

Marketing TTR 2027 oraz kolejnych konferencji, warsztatów i szkoleń organizowanych przez THINK FUN sp. z o.o. prowadzimy na podstawie dobrowolnej zgody (art. 6 ust. 1 lit. a RODO) oraz uprzedniej zgody na wybrany kanał zgodnie z art. 398 Prawa komunikacji elektronicznej. Oddzielnie wybierasz e-mail i telefon/SMS/MMS. Nowy zakres dotyczy zgód udzielonych z taką treścią; wcześniejsze zgody zachowują pierwotny zakres i nie są automatycznie rozszerzane. Zgody nie obejmują samodzielnego marketingu partnerów i sponsorów.

Potwierdzenie zgłoszenia, prośba o zapłatę, bilet, informacja o zmianie warsztatu lub inna wiadomość niezbędna do obsługi zamówienia nie wymaga zgody marketingowej. Zakwalifikowanie wiadomości jako organizacyjnej nie uprawnia do dodawania niezamówionej promocji.

Indywidualne zbliżenia, wywiady i inne osobiste materiały promocyjne wykorzystujemy na podstawie odrębnego dobrowolnego zezwolenia na rozpowszechnianie wizerunku i zgody na przetwarzanie danych (art. 6 ust. 1 lit. a RODO). Odmowa nie ogranicza udziału. Cel obejmuje relację/promocję TTR 2027 i kolejnych konferencji, warsztatów i szkoleń THINK FUN; publikacja internetowa obejmuje strony, media społecznościowe i serwisy zdjęć/filmów, bez z góry określonej daty końcowej. Odrębnie oceniamy ujęcia ogólne wydarzenia, w których osoba jest jedynie szczegółem całości, z uwzględnieniem art. 81 ustawy o prawie autorskim oraz art. 6 ust. 1 lit. f RODO i prawa sprzeciwu. Informujemy o fotografowaniu i filmowaniu przed wydarzeniem i na miejscu. Wystąpienia prelegentów i prowadzących utrwalamy oraz udostępniamy w zakresie uzgodnionym w ich umowach i zezwoleniach; podstawę przetwarzania stanowi odpowiednio wykonanie umowy lub zgoda. Sama obecność na konferencji nie stanowi ogólnej zgody na dowolną reklamę.

4. Dobrowolność i wycofanie zgód

Podanie wymaganych danych jest warunkiem obsługi wybranego wariantu lub rozliczenia; brak niezbędnych danych może uniemożliwić realizację odpowiedniej części zgłoszenia. Wymagania dotyczące PWZ i statusu studenta zależą od wybranego wariantu. Brak PWZ nie wyklucza udziału w konferencji.

Dwie dobrowolne, domyślnie niezaznaczone zgody marketingowe obejmują osobno e-mail oraz telefon/SMS/MMS. Możesz wybrać dowolny z tych kanałów lub żaden. Odmowa nie ogranicza rejestracji ani wiadomości obsługowych. Potwierdzenie e-maila nie jest zgodą marketingową.

Każdą zgodę można w dowolnym momencie wycofać bezpłatnie, pisząc na konferencja@ttr2027.pl lub kontakt@myslimykreatywnie.pl. Z e-maili marketingowych można zrezygnować również przez zawarty w nich link. Wycofanie zgody na telefon można zgłosić także podczas rozmowy. Wycofanie nie wpływa na zgodność z prawem wcześniejszego przetwarzania ani na obsługę istniejącego zamówienia.

Zgoda przedstawiciela, zakup grupowy, dodanie do grupy odbiorców lub import danych nie oznaczają zgody poszczególnych osób na marketing. Po rezygnacji lub blokadzie minimalny zapis zakazu kontaktu może służyć zapobieganiu ponownej nieuprawnionej wysyłce.

Zgody dotyczące wizerunku i marketingu kontaktowego są odrębne. Zgodę dotyczącą przetwarzania wizerunku można wycofać przez konferencja@ttr2027.pl; nie zmienia to zgodności wcześniejszego przetwarzania. Brak określonej daty końcowej wykorzystania materiałów nie pozbawia praw wynikających z RODO. Zakres publikacji przez prelegentów i wykonawców musi wynikać z odpowiednich umów.

5. Odbiorcy danych

Dostęp do danych mają upoważnione osoby obsługujące konferencję, rejestrację, rozliczenia, transmisję i wejścia oraz dostawcy usług w zakresie potrzebnym do wykonania ich zadań: hosting i obsługa techniczna, poczta elektroniczna, płatności, księgowość, obsługa prawna oraz zewnętrzny podmiot realizujący obsługę audiowizualną i streaming. Dane mogą być ujawniane uprawnionym organom, jeżeli wymagają tego przepisy. Rola podmiotu realizującego streaming (podmiot przetwarzający lub odrębny administrator) zależy od faktycznego zakresu jego zadań i jest określana w umowie.

W związku z transmisją internetową i nagraniami konferencji zewnętrzny wykonawca obsługi audiowizualnej może uzyskać dostęp do wizerunku, głosu i wypowiedzi osób objętych kadrem lub nagraniem oraz do materiałów konferencyjnych niezbędnych do realizacji transmisji. Umowa z wykonawcą określa zakres danych, role stron, uprawnienia do wykorzystania materiałów, zabezpieczenia i zasady ewentualnego powierzenia przetwarzania. O przetwarzaniu danych przez wykonawcę lub platformę jako odrębnego administratora informujemy osoby, których dane dotyczą.

Serwis korzysta z hostingu Domenomania i poczty obsługującej skrzynkę konferencja@ttr2027.pl. Operator poczty przetwarza dane adresatów, treść nadanej wiadomości i jej załączniki, np. bilet. Zakres zależy od rodzaju wiadomości. Aplikacja zapisuje kolejkę i wynik przekazania do serwera pocztowego; samo przyjęcie wiadomości przez serwer pocztowy nie potwierdza jej doręczenia do skrzynki.

Płatności obsługuje Stripe. Do Stripe przekazujemy kwotę, walutę, nazwy pozycji i identyfikatory zamówienia oraz próby. W aktualnym procesie tworzymy także rekord klienta: imię i nazwisko albo nazwę nabywcy, adres rozliczeniowy, a dla firmy NIP; jako adres kontaktowy przekazywany jest adres e-mail uczestnika. Metadane płatności mogą zawierać numer zamówienia, imię i nazwisko oraz e-mail uczestnika. Aplikacja nie przekazuje numeru PWZ ani numeru legitymacji.

Dane instrumentu płatniczego podajesz bezpośrednio w Stripe Checkout. Aplikacja TTR nie otrzymuje pełnego numeru karty ani kodu CVC. Stripe i dostawcy danej metody płatności mogą przetwarzać dane także jako odrębni administratorzy, w szczególności do realizacji obowiązków finansowych i ochrony przed oszustwami. Informacje Stripe są dostępne na https://stripe.com/privacy.

Uprawniona obsługa może pobierać eksporty CSV, XLSX i dokumenty PDF. Eksport nie powoduje sam w sobie przesłania danych do zewnętrznej usługi, ale tworzy dodatkową kopię, którą należy chronić i wykorzystywać zgodnie z celem jej pozyskania.

Kopie bezpieczeństwa mogą być przechowywane poza hostingiem, na zabezpieczonym komputerze upoważnionej osoby i w skrzynce poczty Google. Kopie przesyłane pocztą są szyfrowane przed wysyłką; hasło lub klucz przechowywane są osobno. Dostawcy poczty i platform publikacji internetowej mogą przetwarzać dane w zakresie korzystania z ich usług; ich role i warunki ustalamy odpowiednio do użytej usługi. Nie udostępniamy wykonawcom ani partnerom samodzielnego prawa promocji z użyciem materiałów.

6. Przekazywanie danych poza EOG

Korzystanie ze Stripe może wiązać się z przekazywaniem danych do Stanów Zjednoczonych i innych państw poza Europejskim Obszarem Gospodarczym, w ramach grupy Stripe i jej podwykonawców. Nie deklarujemy, że wszystkie dane pozostają wyłącznie w Polsce lub EOG. Również korzystanie z usług Google i platform społecznościowych może wiązać się z transferami poza EOG. Zastosowanie odpowiedniej podstawy i zabezpieczeń oceniamy dla konkretnego dostawcy i rodzaju usługi przed przekazaniem danych; szyfrowanie kopii jest środkiem ochrony, nie zastępuje tej oceny.

Podstawą transferu może być decyzja Komisji Europejskiej o odpowiednim stopniu ochrony, w tym w odniesieniu do odbiorcy objętego odpowiednią certyfikacją EU–US Data Privacy Framework, albo standardowe klauzule umowne Komisji Europejskiej i właściwe środki uzupełniające. Stripe opisuje stosowane mechanizmy w swojej polityce prywatności i dodatku dotyczącym transferów: https://stripe.com/privacy oraz https://stripe.com/legal/dta. Informacje o zabezpieczeniach i sposobie uzyskania ich kopii można otrzymać także od Administratora.

7. Przechowywanie danych

Dane zgłoszenia przechowujemy przez czas potrzebny do obsługi rejestracji, wydarzenia i jego rozliczenia. Po zakończeniu celu pozostawiamy tylko zakres niezbędny do wykonania obowiązków prawnych albo ustalenia, dochodzenia lub obrony roszczeń, przez właściwy okres wynikający z tych obowiązków lub przedawnienia.

Dokumenty księgowe i dane rozliczeniowe przechowujemy przez okres wymagany przepisami dotyczącymi właściwego dokumentu i rozliczenia. Nie oznacza to automatycznie przechowywania wszystkich danych uczestnika przez ten sam okres.

Dane marketingowe wykorzystujemy do wycofania zgody lub wcześniejszego zakończenia celu. Dowód udzielenia i wycofania zgody oraz minimalny zapis rezygnacji zachowujemy w zakresie niezbędnym do wykazania zgodności działań, obsługi roszczeń i zapobieżenia ponownemu nieuprawnionemu kontaktowi.

Logi operacji, dane wejść i techniczne zapisy bezpieczeństwa zachowujemy przez czas uzasadniony ich konkretną funkcją i ewentualną potrzebą wyjaśnienia incydentu. Kopie bezpieczeństwa służą odtworzeniu danych i podlegają cyklowi wymiany oraz ograniczeniu dostępu. Po odtworzeniu uwzględniamy skuteczne wycofania zgód i żądania dotyczące danych.

Dane w serwisie są trwale zapisane i nie znikają po odświeżeniu strony lub restarcie. Techniczny zapis historii nie uzasadnia bezterminowego przechowywania wszystkich danych. Żądanie usunięcia oceniamy zgodnie z art. 17 RODO, z uwzględnieniem jego ustawowych wyjątków.

Kopie na hostingu przechowujemy przez 30 dni, zachowując najnowszą poprawną kopię także wtedy, gdy jest starsza. Cotygodniowe kopie w skrzynce e-mail przechowujemy przez 3 miesiące, potem usuwamy starsze wiadomości i załączniki. Kopię przedstartową na komputerze zachowujemy do zakończenia konferencji i jej rozliczenia, następnie oceniamy potrzebę dalszego przechowywania. Kopie służą odtworzeniu danych, mają ograniczony dostęp i nie są wykorzystywane do dodatkowego marketingu.

8. Prawa osób

Na zasadach określonych w RODO masz prawo dostępu do danych i uzyskania kopii, sprostowania danych, ich usunięcia, ograniczenia przetwarzania i przenoszenia danych, gdy spełnione są warunki tego prawa, oraz wycofania zgody w dowolnym momencie.

Możesz wnieść sprzeciw z przyczyn związanych z Twoją szczególną sytuacją wobec przetwarzania na podstawie prawnie uzasadnionego interesu. Wobec przetwarzania na potrzeby marketingu bezpośredniego możesz wnieść sprzeciw w każdym czasie, bez uzasadnienia; po jego wniesieniu danych nie wykorzystujemy do tego marketingu.

Wnioski kieruj na adres kontaktowy Administratora. W razie uzasadnionych wątpliwości możemy poprosić o informacje niezbędne do potwierdzenia tożsamości, bez żądania nadmiarowych danych. Odpowiadamy bez zbędnej zwłoki, co do zasady w ciągu miesiąca; ewentualne przedłużenie terminu następuje na zasadach art. 12 RODO.

Masz prawo złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. Informacje o sposobie złożenia skargi są dostępne na https://uodo.gov.pl.

9. Cookies i pamięć przeglądarki

Serwis wykorzystuje niezbędne cookies i pamięć przeglądarki do obsługi zamówienia, indywidualnego dostępu i bezpieczeństwa. Są one związane z usługą żądaną przez użytkownika. Nie dodano cookies analitycznych ani reklamowych. Niezbędne technologie nie służą wyrażeniu zgody na marketing.

Cookie __Host-ttr_live wiąże dostęp do zamówienia z daną przeglądarką. Ma atrybuty Secure, HttpOnly i SameSite=Lax oraz ważność 7 dni. Cookie __Host-ttr_return, ustawiane przy skorzystaniu z odpowiedniego indywidualnego linku, umożliwia powrót do właściwego zamówienia i ma te same atrybuty oraz ważność 7 dni.

Panele organizatora i obsługi wejść używają sesyjnych cookies ttr_organizer i ttr_entry, ograniczonych do właściwych ścieżek paneli. Cookies mają atrybuty HttpOnly, SameSite=Strict oraz Secure przy HTTPS. Sesja po stronie serwera jest ważna do 12 godzin lub wcześniejszego zakończenia; cookie nie ma stałego terminu Max-Age.

sessionStorage przechowuje techniczne identyfikatory żądania i zamówienia oraz skrót danych, bez treści formularza. Dane te służą bezpiecznemu wznowieniu operacji i są związane z daną kartą przeglądarki.

Cookies można usuwać lub blokować w ustawieniach przeglądarki; usunięcie lub blokada niezbędnych cookies może uniemożliwić dostęp do zamówienia albo panelu. Po przejściu do Stripe Checkout lub innej zewnętrznej usługi technologie tej usługi podlegają informacjom jej operatora.

10. Bezpieczeństwo i automatyzacja

Stosujemy środki organizacyjne i techniczne odpowiednie do ryzyka, w tym ograniczenie uprawnień, kontrolę dostępu, ochronę indywidualnych linków, rejestr operacji oraz kopie bezpieczeństwa. Linki do zamówienia, płatności i biletu oraz kod QR należy traktować jako poufne.

Skaner obsługi wykorzystuje aparat urządzenia po udzieleniu odpowiedniego uprawnienia albo pozwala wprowadzić kod ręcznie. Obraz służy lokalnemu odczytaniu QR, a do aplikacji przekazywany jest kod i operacja kontroli; serwis nie gromadzi nagrań z aparatu. Rejestruje wynik kontroli i przyznane wejścia.

Nie prowadzimy profilowania marketingowego ani zautomatyzowanych decyzji wywołujących skutki prawne w rozumieniu art. 22 RODO. Techniczne reguły sprawdzają m.in. dostępność i potwierdzenie płatności. W sprawie błędnego statusu lub odmowy wejścia można zwrócić się do Organizatora o wyjaśnienie i weryfikację.

11. Aktualizacje i kontakt

Polityka obejmuje aktualne procesy rejestracji, udziału w konferencji, płatności, biletów, wejść i mailingu. Wprowadzenie nowego celu lub odbiorcy wymaga odpowiedniego poinformowania osób. Zmiana dokumentu nie rozszerza wstecz udzielonych zgód ani nie zmienia historycznych dowodów oświadczeń.

Wersja obowiązująca przy danym zgłoszeniu jest odnotowana w jego dokumentacji. Aktualna polityka jest udostępniana w serwisie, a pytania dotyczące danych można kierować na konferencja@ttr2027.pl.

Wersja: ttr2027-legal-2026-11-03-v10.