TODO: Validar con abogado antes del soft-launch (LFPDPPP + GDPR).
1. Responsable del tratamiento
EurekaSigma S. de R.L. de C.V. (en adelante «Faceticket»), con domicilio en Guadalajara, Jalisco, México, es el responsable del tratamiento de los datos personales que usted nos proporcione, los cuales serán protegidos conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y, cuando aplique, al Reglamento General de Protección de Datos de la Unión Europea (GDPR).
Puede contactarnos en: privacidad@faceticket.com
2. Datos personales que recabamos
Recopilamos los siguientes datos personales:
- Datos de identificación: nombre completo, correo electrónico, número de teléfono.
- Datos biométricos: vectores de características faciales derivados de su fotografía (embeddings). La fotografía original no se almacena en nuestros servidores.
- Datos de transacción: historial de compras, método de pago (no almacenamos datos completos de tarjeta — Stripe los gestiona bajo su propia política PCI DSS).
- Datos de uso: dirección IP, tipo de dispositivo, identificadores de sesión, logs de acceso.
- Datos de geolocalización: aproximada, derivada de IP para cumplimiento fiscal.
3. Finalidades del tratamiento
Finalidades primarias (necesarias para el servicio):
- Crear y gestionar su cuenta.
- Procesar la compra de boletos y emitir el comprobante.
- Validar su identidad en la entrada del evento mediante reconocimiento facial.
- Prevenir fraude y reventa ilícita de boletos.
- Cumplir con obligaciones fiscales y legales.
Finalidades secundarias (puede oponerse):
- Envío de comunicaciones promocionales y novedades de Faceticket.
- Elaboración de estadísticas agregadas de asistencia.
- Mejora del modelo de reconocimiento facial (solo con su consentimiento explícito).
4. Datos biométricos — tratamiento especial
Los datos biométricos son categoría especial bajo LFPDPPP (Art. 9) y GDPR (Art. 9). Su procesamiento requiere consentimiento expreso, el cual se solicita de forma separada al momento del registro biométrico en la app.
Los embeddings faciales son vectores numéricos cifrados con AES-256. No reconstruimos ni compartimos la imagen del rostro. Puede eliminar sus datos biométricos en cualquier momento desde la sección «Perfil > Mi biometría > Eliminar» en la app, sin que esto afecte su derecho de compra de boletos.
5. Transferencias de datos
No vendemos ni alquilamos sus datos personales a terceros. Compartimos datos únicamente con:
- Stripe, Inc. — procesamiento de pagos (bajo acuerdo DPA, certificado PCI DSS).
- Resend, Inc. — envío de correos transaccionales.
- Vercel, Inc. — infraestructura cloud (DPA disponible bajo solicitud).
- Neon, Inc. — almacenamiento de base de datos (datos en servidores US-East, cubiertos por cláusulas contractuales estándar para GDPR).
- Autoridades competentes — cuando sea requerido por mandato judicial o normativo.
Para transferencias internacionales bajo GDPR, utilizamos cláusulas contractuales estándar (SCC) de la Comisión Europea.
6. Derechos ARCO (y derechos GDPR Art. 15-22)
Usted tiene derecho a Acceder, Rectificar, Cancelar y Oponerse al tratamiento de sus datos (ARCO). Si es residente de la UE/EEA, también cuenta con los derechos GDPR: portabilidad, limitación del tratamiento, no ser sujeto de decisiones exclusivamente automatizadas y presentar reclamación ante la AEPD.
Para ejercer sus derechos, envíe un correo a privacidad@faceticket.com indicando: nombre completo, copia de identificación oficial, descripción clara del derecho que desea ejercer. Responderemos en un plazo máximo de 20 días hábiles.
7. Cookies y tecnologías similares
Utilizamos cookies esenciales (sesión, seguridad CSRF) y, con su consentimiento, cookies de análisis. Consulte nuestro Aviso de Cookies para más detalles.
8. Menores de edad
Faceticket no recaba datos de personas menores de 18 años de forma directa. Si usted es padre, madre o tutor y detecta que un menor ha proporcionado datos, contáctenos para eliminarlos.
9. Seguridad
Implementamos medidas técnicas y organizativas: cifrado AES-256 en reposo, TLS 1.3 en tránsito, control de acceso basado en roles, auditorías de código, monitoreo de vulnerabilidades y plan de respuesta a incidentes. En caso de brecha de datos, notificaremos a los titulares afectados y, si aplica GDPR, a la autoridad de control en un plazo de 72 horas.
10. Cambios a este aviso
Podemos actualizar este aviso en cualquier momento. Si los cambios son sustanciales, lo notificaremos por correo electrónico o mediante un aviso destacado en la app. La fecha de «Última actualización» al inicio del documento indica la versión vigente.
11. Contacto y Delegado de Protección de Datos
Para cualquier consulta sobre privacidad: privacidad@faceticket.com
EurekaSigma S. de R.L. de C.V.
Guadalajara, Jalisco, México.