Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales recopilados a través de https://nexopass.cl es NexoPass SpA, con domicilio en Santiago de Chile. Para consultas relativas a privacidad, contactar a soporte@nexopass.cl.

2. Datos que recopilamos

Para operar el servicio recopilamos:

• Datos de registro: nombre, correo electrónico, contraseña (almacenada con hash).
• Datos de identificación: RUT/DNI cuando el evento lo requiera (por ejemplo, eventos con cupo legal o restricción de edad). El RUT se almacena como hash criptográfico irreversible (scrypt + pepper); el valor original no queda en nuestra base de datos.
• Datos del ticket: información asociada a la inscripción (evento, cantidad, fecha, código QR). Si el organizador solicita datos adicionales (talla, contacto de emergencia, etc.), se almacenan cifrados con AES-128-CBC + HMAC-SHA256 (Fernet).
• Datos técnicos: dirección IP, navegador y sistema operativo, recopilados con fines de seguridad y prevención de fraude.
• Cookies: sesión, preferencias y protección CSRF. Ver sección 8.

3. Finalidad del tratamiento

Tratamos los datos personales para:

• Procesar la inscripción, emisión y entrega del ticket.
• Validar la identidad y prevenir fraude.
• Enviar comunicaciones transaccionales (confirmación de pago, ticket, recordatorio del evento, notificación de cancelación).
• Cumplir obligaciones legales (contables, tributarias, de defensa del consumidor).
• Mejorar el servicio mediante métricas agregadas y anonimizadas.

No vendemos ni cedemos datos personales a terceros con fines publicitarios.

4. Base de licitud (Ley N° 21.719)

Tratamos tus datos personales sobre las siguientes bases de licitud, conforme a la Ley N° 21.719 sobre protección de datos personales:

• Ejecución del servicio: procesar la inscripción, emitir y entregar el ticket. Sin estos datos no podemos prestarte el servicio.
• Consentimiento: otorgado al crear la cuenta y aceptar esta política. Es libre, informado y revocable en cualquier momento (ver sección 7).
• Cumplimiento de obligaciones legales: conservación de comprobantes por plazos contables y tributarios.
• Interés legítimo: prevención de fraude y seguridad de la plataforma, siempre ponderado con tus derechos.

5. Compartir datos con terceros

Compartimos datos únicamente con los proveedores estrictamente necesarios para operar el servicio:

• Proveedor de correo electrónico — para enviar las comunicaciones transaccionales descritas en la sección 3.
• Sentry — herramienta de monitoreo de errores técnicos. La información que se envía está filtrada para no incluir correos, RUTs ni datos de pago (ver hooks de scrubbing en nuestra implementación).
• Organizador del evento — recibe los datos del comprador estrictamente necesarios para acreditar la asistencia al evento (nombre, identificación cuando aplique, datos adicionales que el organizador haya solicitado al momento de la compra).
• Google (Google Analytics) — estadísticas de uso del sitio, solo si aceptas las cookies analíticas. Si no las aceptas, no se activa. No le enviamos tu nombre, correo, RUT ni datos de pago. Google trata estos datos en Estados Unidos; ver la nota sobre transferencia internacional al final de esta sección.
• Cloudflare R2 — almacenamiento de respaldos (backups) de la base de datos. Los respaldos se cifran de extremo a extremo (GPG) antes de salir de nuestros servidores, por lo que el proveedor no puede acceder a su contenido.

Nuestros servidores principales están alojados en Chile. Algunos sub-encargados (por ejemplo, el almacenamiento de respaldos cifrados, o Google Analytics si aceptaste las cookies analíticas) pueden procesar datos fuera del país. En el caso de los respaldos se trata de datos cifrados e ilegibles para el proveedor. En el caso de Google Analytics, los datos son estadísticos y no incluyen identificadores directos tuyos. En todos los casos se aplican las garantías de transferencia internacional que exige la Ley N° 21.719.

6. Seguridad

Adoptamos medidas técnicas y organizativas razonables para proteger los datos:

• Conexiones cifradas con TLS 1.2 o superior.
• Contraseñas almacenadas con hash + sal (no en texto plano).
• RUT/DNI almacenado como hash irreversible (scrypt + pepper dedicado).
• Datos sensibles del registro del comprador cifrados en reposo (Fernet — AES-128-CBC + HMAC-SHA256).
• Autenticación de doble factor (2FA) disponible para las cuentas de usuario.
• Acceso restringido a la base de datos por personal autorizado.

Ningún sistema es 100% seguro. En caso de un incidente de seguridad que afecte datos personales, notificaremos a la Agencia de Protección de Datos Personales y a los titulares afectados en los plazos y la forma que exige la Ley N° 21.719.

7. Tus derechos

Conforme a la Ley N° 21.719, como titular de los datos tienes derecho a:

• Acceso: solicitar copia de los datos personales que tenemos sobre ti.
• Rectificación: corregir datos inexactos, desactualizados o incompletos.
• Supresión (cancelación): solicitar la eliminación de tus datos cuando no exista obligación legal de conservarlos.
• Oposición: oponerte a tratamientos específicos.
• Portabilidad: recibir tus datos en un formato estructurado y de uso común, o solicitar su transferencia a otro responsable cuando sea técnicamente posible.
• Bloqueo: solicitar la suspensión temporal del tratamiento mientras se resuelve una solicitud de rectificación o supresión.

También puedes revocar tu consentimiento en cualquier momento, sin efecto retroactivo.

Para ejercer cualquiera de estos derechos, escribir a soporte@nexopass.cl con el asunto "Solicitud de derechos". Responderemos en un plazo máximo de 5 días hábiles. Si consideras que no atendimos tu solicitud, puedes reclamar ante la Agencia de Protección de Datos Personales.

8. Cookies

Usamos cookies estrictamente necesarias para el funcionamiento del sitio. Estas no requieren tu consentimiento porque sin ellas el sitio no puede operar:

• sessionid — mantiene tu sesión iniciada.
• csrftoken — protege formularios contra ataques CSRF.
• nx_consent — recuerda tu decisión sobre las cookies analíticas, para no volver a preguntártelo en cada visita.

Cookies analíticas (opcionales). Usamos Google Analytics para entender cómo se navega el sitio y mejorarlo. Solo se activan si las aceptas en el aviso que aparece al entrar; mientras no lo hagas, Google Analytics se carga en modo sin cookies y no guarda ningún identificador en tu navegador. Si aceptas, se instalan:

• _ga y _ga_<identificador> — distinguen visitantes y sesiones para elaborar estadísticas agregadas.

Puedes cambiar o retirar tu decisión en cualquier momento desde el enlace «Preferencias de cookies» al pie de cualquier página. Si las rechazas después de haberlas aceptado, borramos las cookies _ga de tu navegador.

No utilizamos cookies de marketing, publicidad ni perfilado: las señales publicitarias de Google (Google Signals) están desactivadas y no vinculamos estos datos con tu cuenta.

Puedes deshabilitar todas las cookies en tu navegador, pero el inicio de sesión y la inscripción dejarán de funcionar.

9. Retención de datos

Conservamos los datos personales por el tiempo necesario para cumplir las finalidades descritas:

• Datos de la cuenta: mientras la cuenta esté activa, o hasta 2 años desde la última actividad.
• Datos de transacciones (facturas, tickets emitidos): según los plazos contables y tributarios chilenos (mínimo 6 años).
• Datos cifrados del registro de evento: hasta 1 año después del evento.
• Hashes de RUT: mientras la cuenta exista.

Tras los plazos anteriores, los datos se anonimizan o eliminan.

10. Modificaciones

Esta política puede ser actualizada. Notificaremos cambios sustanciales por correo electrónico y/o publicación destacada en la Plataforma.

11. Datos de menores de edad

La plataforma está dirigida a personas mayores de edad. Cuando un evento admita la inscripción de menores, sus datos deben ser aportados por el padre, madre o representante legal, quien otorga el consentimiento en su nombre. Tratamos los datos de menores con especial cuidado y solo en la medida necesaria para la gestión del evento, conforme a la protección reforzada que establece la Ley N° 21.719. Si detectas que un menor nos entregó datos sin autorización de su representante, escríbenos y los eliminaremos.