Guide för evenemangsefterlevnad: GDPR, SOC 2, PCI, tillgänglighet och insamlingsregler för evenemangsarrangörer

Efterlevnad vid evenemang är en juridisk fråga, men du kan inte heller ignorera förtroendefaktorn.

När någon anmäler sig till ett lopp, köper en biljett, donerar till en kampanj, går med i ett insamlingsteam, skriver under ett ansvarsfriskrivningsavtal, köper merchandise eller anmäler sig som volontär, ger de arrangören mer än bara en transaktion. De lämnar ifrån sig personuppgifter, betalningsuppgifter, kommunikationspreferenser och ibland känslig information om hälsa, tillgänglighetsbehov, familj, arbetsgivare eller välgörenhetsengagemang.

Syftet med den här artikeln är att utbilda om några av de mest relevanta efterlevnads- och regleringsfrågorna som evenemangsarrangörer behöver känna till, och den utgör inte juridisk rådgivning. Evenemangsarrangörer bör samarbeta med kvalificerade jurister eller experter på regelefterlevnad för att förstå sina specifika skyldigheter, men detta fungerar som en utgångspunkt för att förstå grunderna.

Varför evenemangsarrangörer bör bry sig om regelefterlevnad

Evenemang samlar in stora mängder känslig data, inklusive namn, födelsedatum, betalningsuppgifter och tillgänglighetsbehov, under mycket korta tidsfönster. Risk är en naturlig del av alla datainsamlingsprocesser, men alla risker är inte likadana. Risken ökar faktiskt avsevärt när data om dina deltagare eller besökare är utspridd över fristående verktyg för registrering, donationer och ansvarsfriskrivningar. 

Att outsourca mjukvara tar inte bort ditt ansvar som arrangör. En stark plattform kan stödja en verksamhet som följer reglerna, men arrangörer måste fortfarande fatta välgrundade beslut om vad de samlar in, varför de samlar in det, vem som har åtkomst till det, hur länge de sparar det och hur de kommunicerar med deltagare, givare, volontärer och supportrar. haku gör det möjligt för dig att hantera din data på ett säkert sätt. Du kan läsa mer i vår integritetspolicy och vårt trust center.

GDPR och internationella integritetslagar

Dataskyddsförordningen (GDPR) är den främsta globala standarden för integritet och gäller behandling av personuppgifter inom EU samt omfattar internationella organisationer som övervakar eller tillhandahåller varor och tjänster till EU-invånare. Ett centralt begrepp för evenemangsarrangörer är skillnaden mellan personuppgiftsansvarig, som bestämmer "varför" och "hur" behandlingen sker, och personuppgiftsbiträde, som hanterar datan för den ansvariges räkning.

I praktiken agerar evenemangsarrangörer som personuppgiftsansvariga genom att besluta vilken data som ska samlas in via registrerings-, donations- eller biljettformulär. Teknikleverantörer fungerar sedan som personuppgiftsbiträden genom att hantera den datan enligt arrangörens instruktioner, även om plattformar också kan agera som personuppgiftsansvariga för sina egna säkerhets- eller produktanalysändamål. GDPR-efterlevnad är avgörande för idrottsevenemang som lockar internationella deltagare eller marknadsförs i Storbritannien/EU, samt för ideella organisationer med internationella volontärer, sponsorer eller givare.

Frågor som arrangörer bör överväga:

• Vilka specifika personuppgifter samlas in och vad är syftet med dem?
• Är varje uppgift verkligen nödvändig, eller samlas den in av gammal vana från äldre formulär?
• Ger integritetsmeddelanden en transparent förklaring av hur data om givare, volontärer och deltagare hanteras?
• Finns det mekanismer för individer att få tillgång till, ändra, ta bort eller invända mot användningen av sin data?
• Har leverantörer klargjort sina roller som personuppgiftsansvariga, personuppgiftsbiträden eller båda?
• Är marknadsföringsverktyg, pixlar och cookies korrekt konfigurerade för varje region som betjänas?

Arrangörer i USA bör notera de betydande transatlantiska skillnaderna i lagstiftning. GDPR och brittiska GDPR ställer ofta strängare strukturella krav än många amerikanska delstatslagar. Att enbart förlita sig på en USA-fokuserad integritetsstrategi kan vara otillräckligt för evenemang som involverar deltagare eller marknadsföringsaktiviteter i EU eller Storbritannien.

hakus integritetspolicy anger att haku följer EU-U.S. Data Privacy Framework gällande insamling, användning och lagring av personuppgifter som överförs från EU till USA. 

CCPA, CPRA och amerikanska delstatslagar om integritet

Till skillnad från Europa drivs integritetslagstiftningen i USA i allt högre grad på delstatsnivå. Utöver Kaliforniens CCPA och CPRA har ett flertal delstater infört lagar baserade på intäkter, datavolym och konsumenternas geografiska plats.

För arrangörer gäller dessa lagar oavsett var deltagare eller givare är bosatta, oberoende av var evenemanget fysiskt äger rum. Ett enskilt lopp eller en insamling kan utlösa skyldigheter i flera jurisdiktioner samtidigt. Eftersom kraven skiljer sig åt mellan delstater bör arrangörer inte utgå från att en enhetlig strategi för integritetsskydd alltid är tillräcklig.

Viktiga frågor för evenemangsarrangörer:

• Har vi koll på den geografiska spridningen av våra supportrar, givare och deltagare?
• Finns det ett fastställt protokoll för att hantera förfrågningar om dataintegritet?
• Tillhandahåller vår nuvarande plattform de verktyg som krävs för att radera, exportera, korrigera eller få tillgång till personuppgifter enligt gällande krav?
• Är lagringstiden för olika datakategorier tydligt definierad och förstådd?
• Har vi identifierat vilka underbiträden och leverantörer som kan komma att hantera evenemangsrelaterad data?

hakus plattform är utformad för att hjälpa arrangörer att hantera varierande krav på dataintegritet i flera amerikanska delstater och internationellt genom att erbjuda verktyg för att hantera enskilda rättighetsförfrågningar (åtkomst, radering, korrigering etc.) samt genom att granska alla underbiträden. Läs mer i hakus integritetspolicy.

SOC 2 Type II

SOC 2 är ett ramverk för revision och rapportering, inte en lag, utformat för att utvärdera kontroller hos tjänsteleverantörer. Särskilt teknikleverantörer som lagrar, behandlar eller överför kundinformation kan efterleva SOC 2-ramverket. För evenemangsarrangörer är SOC 2 Type II relevant eftersom det omfattar de kritiska processer som plattformen hanterar, såsom registrering, insamling, logistik och ekonomisk uppföljning.

Det är avgörande att skilja på Type I- och Type II-rapporter: Type I utvärderar utformningen av kontroller vid en specifik tidpunkt, medan Type II mäter både utformningen och den operativa effektiviteten hos dessa kontroller över en viss period. Type II innebär att företaget inte bara har en plan, utan att de också framgångsrikt följer den under hela utvärderingsperioden.

Dessa rapporter använder kriterier för förtroendetjänster (Trust Services Criteria) – säkerhet, tillgänglighet, behandlingsintegritet, konfidentialitet och integritet – med professionella standarder som upprätthålls av AICPA:s SOC-tjänsteutbud.

Viktiga överväganden för arrangörer vid utvärdering av leverantörer:

• Finns en SOC 2 Type II-rapport tillgänglig från leverantören?
• Vilka specifika kriterier för förtroendetjänster har utvärderats?
• Hur lång var granskningsperioden?
• Vilket företag utförde granskningen?
• Finns rapporten tillgänglig för kundgranskning under ett sekretessavtal (NDA)?
• Hur hanteras interna processer som incidenthantering, åtkomstkontroll och leverantörsrisk?

Den 30 april 2026 bekräftade haku att deras SOC 2 Type II-revision slutförts, där kontroller kopplade till kriterierna för integritet och säkerhet (Privacy and Security Trust Services Criteria) granskades. 

Detta är en viktig milstolpe för ideella organisationer och arrangörer av uthållighetsevenemang, eftersom evenemangsteknik ofta fungerar som navet för data om givare, deltagare och betalningar. Även om rapporten inte automatiskt innebär att arrangören är efterlevande, erbjuder den ett gediget ramverk för att genomföra en grundlig due diligence av leverantörer.

PCI och betalningssäkerhet

Finansiella transaktioner är centrala för de flesta evenemang, från anmälningar och donationer till försäljning av merchandise. För att skydda denna känsliga information måste arrangörer följa de standarder som fastställts av PCI Security Standards Council.

Att använda en extern betalningsförmedlare befriar inte arrangören från ansvar. Det är avgörande att förstå hur betalningsdata hanteras, vem som har tillgång till finansiella rapporter och hur tvister eller återbetalningar hanteras.

Överväg dessa nyckelfrågor för din organisation:

• Vem är betalningsförmedlare?
• Lagrar plattformen kortuppgifter eller används en dedikerad leverantör?
• Hur hanteras återbetalningar, återkrav och avstämningar?
• Vilka teammedlemmar har tillgång till finansiella rapporter?
• Är arbetsflödena konsekventa för anmälningar, donationer och merchandise?
• Kan ekonomiavdelningen stämma av transaktioner utan onödiga dataexporter?

I enlighet med hakus integritetspolicy, fastställer arrangörer vilka betalningsmetoder som används och vilken data som samlas in från deltagare, medan haku samlar in nödvändig finansiell information från arrangörer för att möjliggöra säkra betalningar och efterlevnad av skatteregler.

Tillgänglighet, ADA och WCAG

Tillgänglighet är ett grundläggande krav för att säkerställa att alla kan delta i ett evenemang. Det omfattar både digitala upplevelser, såsom registreringsformulär, donationssidor och utcheckningsflöden, samt fysiska miljöer, inklusive tillträde till arenor, ruttplanering och skyltning. För att främja inkluderande deltagande bör arrangörer anpassa digitalt innehåll efter WCAG 2.2-standarder och säkerställa att fysiska platser uppfyller ADA-kraven.

Organisationer som Level Access hjälper också till att göra digitala kontaktpunkter för uthållighetsevenemang mer tillgängliga för personer med funktionsnedsättning.

Frågor som arrangörer bör ställa:

• Kan någon registrera sig, donera, köpa en biljett eller genomföra en utcheckning med hjälp av hjälpmedelsteknik?
• Är formulär, knappar, etiketter, kontrast, felmeddelanden och tangentbordsnavigering tillgängliga?
• Är PDF-filer, kartor, instruktioner för nummerlappsutdelning och guider för tävlingsdagen användbara för personer med funktionsnedsättning?
• Tillhandahåller vi ett tydligt sätt att begära anpassningar?
• Vet personal och volontärer hur de ska hantera förfrågningar om tillgänglighet på ett respektfullt sätt?
• Testar våra leverantörer mot WCAG eller andra erkända tillgänglighetsstandarder?

CAN-SPAM, TCPA, samtycke och evenemangskommunikation

Evenemangskommunikation är mångsidig och sträcker sig från operativa meddelanden som registreringsbekräftelser och resultat till marknadsföring och insamlingskampanjer. Arrangörer måste hantera denna blandning samtidigt som de följer federala regler. 

CAN-SPAM-lagen reglerar kommersiell e-post genom att fastställa regler för identifiering av avsändare och ge mottagare rätt att välja bort kommersiella meddelanden. Detaljerad vägledning om efterlevnad finns tillgänglig hos Federal Trade Commission. 

För SMS och samtal gäller TCPA-regler, vilket innebär att bevisbördan ligger på avsändaren att visa att giltigt samtycke har inhämtats, enligt vad som beskrivs i Federal Register om TCPA-regler. 

Regler för välgörenhetsinsamlingar

Ideella organisationer känner sannolikt redan till de regler för välgörenhetsinsamlingar som de måste följa, men dessa påverkar även uthållighetsevenemang. Exempelvis kan evenemang som involverar välgörenhetsstartplatser eller peer-to-peer-kampanjer för insamling utlösa delstatsspecifika krav på registrering och rapportering.

‍

IRS rekommenderar att du kontrollerar delstatliga krav innan du påbörjar insamling, eftersom många jurisdiktioner kräver formell registrering. Dessutom ställer delstatlig lagstiftning ofta specifika krav för aktiviteter som involverar betalda insamlare och rådgivare för insamling.

‍

Se till att ställa dig själv följande frågor:

• Är vi registrerade för välgörenhetsinsamling där så krävs?
• Innehåller donationssidorna nödvändig information?
• Är kvitton till givare och skatteinformation korrekta?
• Har betalda insamlare, partners eller peer-to-peer-aktiviteter granskats för efterlevnad?
• Har auktioner, lotterier och hasardspel granskats separat?

HIPAA och hälsorelaterad information

HIPAA missförstås ofta inom evenemangsbranschen; det är en Amerikanska hälsoregler som främst gäller för omfattade enheter och affärspartners gällande elektroniskt utbyte, integritet och säkerhet för hälsoinformation.

Arrangörer bör iaktta försiktighet med hälsouppgifter som medicinska tillstånd eller nödkontakter och följa principen om uppgiftsminimering för att endast samla in det som är nödvändigt för en säker verksamhet.

Hur haku hjälper arrangörer att driva bättre evenemang på ett regelkompatibelt sätt

Genom att samla din evenemangsverksamhet i en plattform hjälper haku dig att eliminera riskerna med spridd data och frånkopplade system. Detta enhetliga arbetssätt möjliggör effektivare arbetsflöden och bättre datastyrning, vilket säkerställer en tryggare upplevelse för varje deltagare och givare.

Arrangörer får sinnesro genom hakus transparenta ramverk för hantering av individuella rättigheter och säker databehandling. Som en ytterligare förstärkning av denna grund av förtroende bekräftar vår SOC 2 Type II-certifiering att haku upprätthåller högsta standard för säkerhet och integritet, vilket ger arrangörer en stabil grund för sin leverantörsgranskning.

Sammanfattning

Folk anmäler sig inte till ett lopp, köper en galabiljett eller donerar till en kampanj för att de är exalterade över regelefterlevnad. Men regelefterlevnad avgör om de kan lita på upplevelsen.

Starka rutiner för regelefterlevnad hjälper arrangörer att skydda data, respektera preferenser, hantera betalningar på ett säkert sätt, stödja tillgänglighet, hantera insamlingsförpliktelser och hålla teamen samspelta under pressade situationer.

För uthållighetsevenemang och ideella organisationer är det förtroendet en del av själva evenemanget.

Är du redo att skapa mer sammanhängande, pålitliga och regelkompatibla evenemangsupplevelser? Boka en demo för att se hur haku kan hjälpa dig.