Política de privacidad

TICKTS LTD (Company No. 17029682), con domicilio en 124-128 City Road, Londres, EC1V 2NX, Reino Unido (“nosotros”), es el responsable del tratamiento de los datos personales que se recogen a través de la plataforma tickts. Estamos inscritos en el Reino Unido ante la Information Commissioner’s Office (ICO) con el número ZC108275. En esta política de privacidad te explicamos cómo recogemos, usamos, compartimos y protegemos tus datos cuando usas nuestra plataforma.

Si vives en España, a tus datos personales se les aplican el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Ejerces tus derechos ante nosotros (véase el apartado 6) y puedes presentar una reclamación ante la Agencia Española de Protección de Datos (véase el apartado 13).

1. Qué datos recogemos

Recogemos los siguientes tipos de datos personales:

• Datos de la cuenta: nombre, correo electrónico, contraseña (guardada como hash irreversible; nunca guardamos contraseñas legibles) y teléfono (opcional) cuando creas una cuenta. Si inicias sesión con Google o Apple, recibimos tu nombre y tu correo electrónico de ese proveedor. No recibimos ni guardamos tu contraseña de Google o Apple.
• Datos del perfil: nombre de la organización, datos del club, enlaces a redes sociales y fotos de perfil en las cuentas de organizador.
• Datos de tu cuenta de pagos: si eres organizador, el identificador y el estado de la cuenta de Stripe o de PayPal que conectas para recibir el dinero de tus entradas, y cuándo la conectaste y cuándo pudo empezar a recibir pagos, para poder enviarte los pagos de los compradores y ayudarte a completar la conexión.
• Datos de las transacciones: entradas compradas, importes pagados, historial de pedidos y planes de pago. No guardamos los datos completos de tu tarjeta; los trata de forma segura Stripe.
• Declaraciones de Gift Aid: si donas a través de la plataforma a una organización benéfica británica verificada y eliges Gift Aid, recogemos tu nombre, tu domicilio, tu código postal y tu declaración de que pagas impuestos en el Reino Unido, para que la organización pueda solicitar el Gift Aid a HMRC. Son datos adicionales a una compra normal de entradas.
• Datos de listas de espera y de inscripción: si te apuntas a la lista de espera de un evento, recogemos tu correo electrónico, tu nombre si lo indicas y, si el organizador lo pide, un teléfono, que siempre es opcional. Si te inscribes en una página de inscripción propia de un organizador (una página para mostrar interés antes de que empiece la venta), recogemos lo que pide ese organizador: tu correo electrónico, normalmente tu nombre, un teléfono si se pide y tus respuestas a las preguntas que haya añadido. Si la página tiene una casilla de consentimiento, guardamos el texto que viste y el momento en que diste tu consentimiento. El organizador puede ver estos datos para ponerse en contacto contigo como se explica en la inscripción, por ejemplo para ofrecerte una plaza o avisarte de que empieza la venta. Si llegas a través del enlace de uno de los reps (promotores) del organizador o de uno de sus enlaces de seguimiento, registramos qué rep o enlace te ha remitido. Un organizador puede decidir que cada rep vea a las personas que se han inscrito con su propio enlace; en ese caso se indica en el formulario antes de que te inscribas, y un rep nunca ve a nadie a quien no se le haya avisado (véase el apartado 5).
• Datos de escaneo y asistencia: registros del escaneo de entradas, con la hora, el lugar, el dispositivo de escaneo y el resultado (válida, no válida o ya escaneada).
• Registros de consentimiento: tus preferencias de cookies, el momento de tu consentimiento y un hash SHA256 de tu dirección IP y de tu agente de usuario, para poder demostrar que cumplimos la normativa.
• Registros de actividad de gestión: si tienes una cuenta de organizador, registramos las acciones con las que cambias algo en tu panel (ruta, dirección IP, agente de usuario, nombres de los campos que cambias y los cambios de cada campo) y los conservamos un máximo de 30 días, por seguridad, para corregir errores y para resolver disputas. Los valores sensibles (contraseñas, campos de pago, tokens CSRF) se ocultan al registrarlos.
• Acciones del personal de tickts: si una persona de tickts realiza una acción con permisos especiales en tu cuenta (por ejemplo, entrar como tú para darte soporte, un reembolso manual o el bloqueo de una cuenta), registramos la acción, la persona, el momento y la cuenta afectada. Si eres organizador y alguien de nuestro equipo entra como tú para darte soporte, te avisamos por correo electrónico.
• Datos de uso: cómo usas nuestra plataforma, como las páginas que visitas, las funciones que usas y el tiempo que pasas en el sitio.
• Datos del dispositivo: dirección IP, tipo de navegador, sistema operativo e identificadores del dispositivo.
• Enlaces de seguimiento y de reps: si llegas a través de un enlace de seguimiento (enlace de afiliado) de un organizador, registramos el código del enlace, tu dirección IP y tu agente de usuario para atribuir la remisión. Si llegas a través del enlace de un rep, contamos la visita para ese rep y el evento abierto; para ello no guardamos tu dirección IP (guardamos una forma cifrada de ella un máximo de una hora, solo para no contar dos veces la misma visita). Si has aceptado las cookies, una cookie recuerda el enlace durante 30 días en ambos casos (véase nuestra política de cookies); si no, recordamos el enlace solo durante tu visita actual, sin guardar nada en tu dispositivo. Una inscripción o una compra en ese periodo puede atribuirse al rep o al enlace que te remitió. Si te inscribiste en la lista de espera o en la página de inscripción de un organizador con el enlace de un rep y más tarde compras una entrada de ese organizador sin enlace de rep, usamos el correo electrónico de tu pedido para atribuir la venta a ese rep hasta 90 días después de tu inscripción. Esto solo determina a quién paga comisión el organizador; no cambia el precio que pagas ni lo que ves.
• Comunicaciones: los mensajes que nos envías mediante nuestro formulario de contacto o nuestros canales de soporte.
• Pedidos no completados: si empiezas un pedido e indicas tu correo electrónico sin completar la compra, guardamos tu correo electrónico y una instantánea de tu cesta, para poder relacionar un pago que llegue más tarde con tu pedido. En los eventos en España no te enviamos ningún recordatorio por un pedido no completado: la ley solo permite enviar comunicaciones comerciales sin consentimiento cuando ya existe una relación contractual (artículo 21.2 de la Ley 34/2002, LSSI).
• Tokens de dispositivo de la app: si usas la app de tickts y permites las notificaciones, guardamos un token push de tu dispositivo (plataforma y fecha del último uso) para enviarte las notificaciones que hayas activado.
• Necesidades de accesibilidad: si un evento lo pide, las necesidades de acceso o accesibilidad que tú mismo indicas al pagar (un campo de texto libre de hasta 1.000 caracteres), para que el organizador pueda tenerlas en cuenta. Como pueden revelar información sobre tu salud o una discapacidad, las tratamos como una categoría especial de datos personales y solo las tratamos con tu consentimiento explícito (véase el apartado 2a). Es opcional; si lo dejas en blanco, no afecta a tu compra.
• Tarjetas guardadas para Call Dibs y compromisos: si usas Call Dibs (reservar un sitio en un evento agotado) o un compromiso Make it happen, guardas una tarjeta a través de Stripe (un SetupIntent de Stripe), para que se pueda cobrar más adelante si queda un sitio libre o si el evento se celebra. Como en cualquier pago, nosotros no guardamos los datos de tu tarjeta: Stripe guarda la tarjeta y nosotros solo una referencia a ella y su estado.

2. Bases jurídicas del tratamiento

Tratamos tus datos personales con las siguientes bases jurídicas del artículo 6 del RGPD:

• Contrato (art. 6.1.b): tu registro, tus compras de entradas, la tramitación y entrega de los pedidos, los planes de pago, la cesión de entradas y la gestión de los abonos de temporada.
• Interés legítimo (art. 6.1.f): la seguridad de la plataforma y la prevención del fraude, el análisis y la medición del rendimiento, la atribución de inscripciones y ventas al enlace o rep que te remitió, la conciliación de pagos con pedidos no completados, la mejora de nuestros servicios y la información sobre cambios en el servicio.
• Obligación legal (art. 6.1.c): la conservación de los datos de las transacciones para la contabilidad (requisitos de la administración tributaria británica, HMRC), la respuesta a requerimientos de las autoridades, el mantenimiento de registros de auditoría y de consentimiento y la tramitación de las declaraciones de Gift Aid según los requisitos de HMRC (en las que la organización benéfica es responsable del tratamiento, con su propia base jurídica).
• Consentimiento (art. 6.1.a): la instalación de cookies analíticas y publicitarias (Google Analytics, Meta, TikTok), la instalación de las cookies que recuerdan un enlace de seguimiento o de rep durante 30 días, la medición de conversiones desde nuestro servidor para esas plataformas publicitarias, el envío de correos de marketing y la cesión de tus datos a terceros para fines distintos de la prestación del servicio.

2a. Categorías especiales de datos personales (artículo 9 del RGPD)

Si al pagar indicas necesidades de acceso o accesibilidad, pueden revelar información sobre tu salud o una discapacidad. Se trata de una categoría especial de datos personales en el sentido del artículo 9 del RGPD. Solo tratamos esos datos con tu consentimiento explícito (artículo 9.2.a del RGPD), que das al rellenarlos, y únicamente para transmitirlos al organizador, para que pueda hacer los ajustes razonables en el evento. Rellenarlos es opcional, solo se comparten con el organizador de ese evento (que pasa a ser responsable del tratamiento de esos datos) y puedes pedirnos a nosotros o al organizador que los borremos en cualquier momento. No los usamos para ningún otro fin y no tratamos categorías especiales de datos a gran escala.

3. Cookies

Usamos cookies y tecnologías similares para que nuestra plataforma funcione mejor. Qué cookies usamos y para qué se explica en nuestra política de cookies.

4. Terceros y encargados del tratamiento

Compartimos tus datos con las siguientes entidades, que actúan como encargados del tratamiento o como responsables independientes:

Entidad	Finalidad	Datos compartidos	Ubicación
Stripe	Tramitación de pagos (Stripe Connect)	Datos de pago, nombre, correo electrónico, datos de la transacción	EE. UU. (cláusulas contractuales tipo de la UE)
PayPal (Europe) S.à r.l. et Cie, S.C.A.	Tramitación de pagos cuando el organizador recibe pagos con PayPal (el organizador es entonces el vendedor)	Nombre, correo electrónico, datos de la transacción, dirección IP	UE (Luxemburgo)
TicketPlan	Protección opcional de reembolso ofrecida al pagar en algunos eventos (gestión de la protección y de las solicitudes), solo si tú la eliges; no se ofrece en los eventos en España	Nombre, correo electrónico, datos de las entradas, nombre y fecha del evento	Reino Unido
Google Analytics (GA4) y Measurement Protocol	Análisis del sitio web y medición del rendimiento; si un organizador lo ha activado, medición de compras desde el servidor (Measurement Protocol)	Dirección IP (anonimizada), datos de uso, datos del dispositivo; en una compra completada, si está activado, un hash SHA-256 de tu correo electrónico (Measurement Protocol)	EE. UU. (cláusulas contractuales tipo de la UE)
Brevo (Sendinblue)	Envío de correos transaccionales y de marketing, incluida la medición de aperturas y clics mediante píxeles incrustados y enlaces personalizados	Nombre, correo electrónico, eventos relacionados con los correos (abierto, clic, rebote)	UE
Sentry	Supervisión de errores e informes de fallos	Datos del error, dirección IP, datos del navegador	EE. UU. (cláusulas contractuales tipo de la UE)
Cloudflare	CDN, protección frente a ataques DDoS, DNS	Dirección IP, metadatos de las solicitudes	Mundial (cláusulas contractuales tipo de la UE)
Apple Wallet	Entradas en la cartera digital	Datos de la entrada (nombre del evento, fecha, lugar), nombre del asistente si se indica, token del código de barras, metadatos de PassKit para mostrarla en la pantalla de bloqueo	EE. UU. (cláusulas contractuales tipo de la UE)
Google Wallet	Entradas en la cartera digital	Datos de la entrada (nombre del evento, fecha, lugar), nombre del asistente si se indica, token del código de barras, metadatos de Google Wallet para mostrarla en la pantalla de bloqueo	EE. UU. (cláusulas contractuales tipo de la UE)
Google Places API	Búsqueda y comprobación de direcciones de recintos	Búsquedas, datos de ubicación	EE. UU. (cláusulas contractuales tipo de la UE)
Google OAuth	Inicio de sesión con una cuenta social (“Continuar con Google”)	Nombre, correo electrónico	EE. UU. (cláusulas contractuales tipo de la UE)
Iniciar sesión con Apple	Inicio de sesión con una cuenta social (“Continuar con Apple”)	Nombre, correo electrónico (puedes elegir ocultar tu correo)	EE. UU. (cláusulas contractuales tipo de la UE)
Google reCAPTCHA v3	Detección de bots y prevención del fraude en el registro	Dirección IP, comportamiento del navegador, datos del dispositivo	EE. UU. (cláusulas contractuales tipo de la UE)
Meta (Facebook) Pixel y Conversions API	Medición de conversiones y atribución de anuncios, en el navegador (Pixel) y desde el servidor (Conversions API); solo con consentimiento	Páginas vistas y datos del dispositivo (Pixel); en una compra completada, un hash SHA-256 de tu correo electrónico y tu dirección IP (Conversions API)	EE. UU. (cláusulas contractuales tipo de la UE)
TikTok Pixel y Events API	Medición de conversiones y atribución de anuncios, en el navegador (Pixel) y desde el servidor (Events API); solo con consentimiento	Páginas vistas y datos del dispositivo (Pixel); en una compra completada, un hash SHA-256 de tu correo electrónico y tu dirección IP (Events API)	EE. UU. / Singapur (cláusulas contractuales tipo)
Companies House	Comprobación de la identidad empresarial de las cuentas de organizador	Número de registro de la empresa, nombre de la empresa	Reino Unido
Cloudways (DigitalOcean)	Alojamiento de la aplicación e infraestructura en la nube gestionada	Todos los datos guardados en la plataforma (cifrados en reposo)	Reino Unido / UE (región de Londres)
Anthropic (Claude)	Ayuda de redacción con IA para organizadores (mejora de las descripciones de eventos) y herramientas de IA para organizadores	Datos del evento y borradores de texto que introduce el organizador; no se usan para entrenar los modelos de Anthropic	EE. UU. (UK IDTA / cláusulas contractuales tipo)
Klarna / Clearpay	Medios de pago opcionales para pagar más tarde, ofrecidos al pagar a través de Stripe	Datos de pago y de solvencia que facilitas al proveedor si eliges ese medio de pago	UE / EE. UU. (a través de Stripe)
Stay22	Mapa de alojamientos en algunas páginas de eventos	Dirección IP y contexto de la página si usas el mapa	Canadá (decisión de adecuación)
Mailchimp (Intuit)	Integración opcional para organizadores: si un organizador conecta su propia cuenta de Mailchimp, los datos de sus compradores se sincronizan con su propia lista (por encargo del organizador; el organizador es el responsable del tratamiento)	Nombre, correo electrónico, datos del pedido	EE. UU. (UK IDTA / cláusulas contractuales tipo)

Medición de conversiones desde el servidor. Si un organizador lo ha activado y has aceptado las cookies publicitarias, enviamos un registro de cada compra completada directamente desde nuestro servidor a Meta, Google o TikTok, para medir el rendimiento de los anuncios de ese organizador. Funciona en paralelo con los píxeles del navegador y se deduplica con ellos. Estos mensajes del servidor contienen un hash SHA-256 (seudonimizado) de tu correo electrónico y, en el caso de Meta y TikTok, tu dirección IP; nunca contienen tu nombre legible ni los datos de tu tarjeta. Solo ocurre con tu consentimiento para las cookies publicitarias, y nunca con organizadores que no lo hayan activado. Meta, Google y TikTok son responsables independientes de las mediciones publicitarias que hacen con estos datos, según sus propias políticas de privacidad.

Medición del uso del correo. Los eventos de apertura y clic de los correos que registra Brevo se guardan en tu cuenta para medir los resultados del marketing. Puedes darte de baja de los correos de marketing en cualquier momento con el enlace de baja que incluye cada uno; con ello también se deja de medir en los correos siguientes. Los correos transaccionales (confirmaciones de pedido, restablecimiento de la contraseña, avisos sobre planes de pago y sobre entradas cedidas) no llevan enlace de baja de marketing y se envían en ejecución del contrato.

Cambios en los encargados del tratamiento. La lista actual de encargados es la de la tabla anterior. La actualizamos cuando añadimos o sustituimos un encargado. Los organizadores que son responsables del tratamiento pueden oponerse por motivos razonables de protección de datos a un nuevo encargado escribiendo a [email protected].

5. Datos que compartimos con los organizadores

Si compras una entrada, el organizador de ese evento recibe tu nombre, tu correo electrónico y los datos de tu pedido. Es necesario para entregarte la entrada, gestionar el acceso al evento (incluido el escaneo de códigos QR) y enviarte información importante sobre el evento.

Los organizadores son responsables independientes del tratamiento de los datos de los compradores que reciben y son ellos quienes deben cumplir la normativa de protección de datos. Exigimos a los organizadores que traten los datos de los compradores conforme a nuestras condiciones para organizadores, pero no somos responsables de cómo los tratan.

Listas de espera y páginas de inscripción. Si te apuntas a la lista de espera de un evento o te inscribes en la página de inscripción de un organizador, te inscribes con ese organizador. El organizador recibe los datos que indicas y es responsable de su tratamiento, con su propia base jurídica (tu consentimiento, si la página lo pide); tickts aloja la página y guarda los datos por cuenta del organizador como encargado del tratamiento. Una página de inscripción muestra las preguntas, el texto de consentimiento y las condiciones propias del organizador, que redacta él mismo y de los que es responsable. Si quieres salir de la lista de un organizador o saber qué datos tiene sobre ti, ponte en contacto con el organizador, o con nosotros; transmitiremos tu solicitud y le ayudaremos a atenderla.

Reps (promotores). Algunos organizadores promocionan sus eventos con reps. Un rep siempre ve sus propios totales (cuántas personas abrieron su enlace, se inscribieron o compraron). Un rep solo ve el nombre, los datos de contacto y las respuestas de alguien que se inscribió con su enlace si el organizador lo ha activado y el formulario avisó a esa persona, antes de inscribirse, de que el rep vería sus datos. Los datos se comparten para que el rep pueda contactarte sobre los eventos de ese organizador. El rep actúa por cuenta del organizador, debe aceptar nuestras condiciones de datos para reps antes de ver los datos de nadie y pierde el acceso en cuanto el organizador desactiva la opción. Con esta opción los reps nunca ven los datos de quienes compran entradas.

Si eres rep. El organizador para el que eres rep puede guardar un número de teléfono, una cuenta de Instagram y notas sobre ti, para poder contactarte sobre tu enlace. El organizador es el responsable de esos datos. Los ve el organizador y, si estás en el equipo de un jefe de reps, tu jefe de reps, que antes debe aceptar la parte de equipo de las condiciones de datos para reps. Los demás reps nunca los ven, ni ningún otro organizador para el que seas rep. Puedes ver y cambiar tu propio teléfono e Instagram en tu panel de rep. Se borran automáticamente 12 meses después de la última vez que se pausó tu enlace. También registramos cuándo se abrió y se usó tu enlace por última vez, para que el organizador y tu jefe de reps vean quién está activo y reciban un aviso cuando un rep lleva un tiempo sin actividad; no te ocurre nada automáticamente por ello. Si el organizador activa una clasificación del equipo, tu nombre de pila y las entradas que has vendido para el equipo se muestran solo al resto de tu equipo, y puedes quitarte de ella. Un organizador también puede crear un enlace privado de hoja de cálculo con las cifras de sus reps; solo contiene nombres y cifras, nunca un correo electrónico, un teléfono ni una nota.

Análisis de los organizadores en las páginas de eventos. Los organizadores con un plan de pago pueden conectar su propia propiedad de Google Analytics o su Meta Pixel a sus páginas de eventos y a la confirmación tras el pago. Solo funcionan si has dado tu consentimiento para las cookies analíticas o de marketing, y los datos que recogen van al organizador (y a Google o Meta) según la política de privacidad del propio organizador, que es el responsable de ese tratamiento.

Integraciones por encargo del organizador (API, webhooks y Zapier). Los organizadores con un plan de pago pueden conectar sus eventos con sus propios sistemas a través de nuestra API para desarrolladores, de webhooks o de Zapier. Si un organizador lo hace, los datos de los pedidos de sus compradores (como nombre, correo electrónico y datos del pedido) se envían por encargo del organizador a la dirección o al servicio que haya configurado (por ejemplo, su propio CRM, una hoja de cálculo o una automatización). Ese envío lo decide y lo controla el organizador como responsable del tratamiento, según su propia política de privacidad y sus acuerdos con los sistemas que usa; tickts envía los datos como encargado siguiendo las instrucciones del organizador y no responde de lo que haga con ellos el sistema que los recibe. Solo ocurre si un organizador ha configurado una integración de este tipo para sus eventos.

Si donas a un organizador que es una organización benéfica británica y eliges Gift Aid, tu nombre y tu domicilio se comparten con esa organización para que pueda solicitar el Gift Aid a HMRC. La organización benéfica es responsable del tratamiento de esos datos de Gift Aid, de la solicitud a HMRC y de la conservación de las declaraciones; tickts trata los datos por cuenta de la organización.

5a. Reventa de entradas

Si pones a la venta o vendes una entrada con nuestra función de reventa entre fans, tratamos tu nombre, tu correo electrónico y la operación de reventa para realizar la reventa, transferir la entrada y pagarte. Para cobrar conectas una cuenta de pagos Stripe Express; Stripe recoge y comprueba los datos de identidad y bancarios necesarios para pagarte (incluidos, cuando la ley lo exige, datos para verificar tu identidad). Stripe es aquí nuestro encargado del tratamiento para los pagos, como se indica en el apartado 4. Si un organizador recibe pagos con PayPal, tu nombre, tu correo electrónico y la operación se comparten con PayPal para que pueda tramitar el pago a ese organizador; PayPal trata además esos datos según su propia política de privacidad. Si compras una entrada revendida, el vendedor no recibe tus datos personales; la transferencia y la nueva entrada te las emite automáticamente la plataforma.

6. Tus derechos según el RGPD

Según el Reglamento General de Protección de Datos (RGPD) y la LOPDGDD, tienes los siguientes derechos sobre tus datos personales:

• Derecho de acceso: puedes pedir una copia de los datos personales que tenemos sobre ti. También puedes exportar tus datos tú mismo en cualquier momento desde la configuración de tu cuenta.
• Derecho de rectificación: puedes pedirnos que corrijamos datos inexactos o incompletos. La mayoría de los datos los puedes cambiar tú mismo en la configuración de tu cuenta.
• Derecho de supresión: puedes eliminar tu cuenta desde la configuración de tu cuenta. Si no has hecho ninguna transacción, tu cuenta se borra definitivamente. Si has hecho transacciones (como comprador o como organizador), tu cuenta se anonimiza en lugar de borrarse por completo: tu nombre se sustituye por “Deleted User”, tu correo electrónico por una dirección sustitutiva inutilizable, se eliminan tu contraseña y la verificación en dos pasos y se borran los identificadores vinculados de Stripe, de inicio de sesión social y de facturación. Las transacciones, entradas, escaneos y pedidos subyacentes se conservan en su forma original, para cumplir la obligación de conservación de HMRC y para poder atender reembolsos y disputas de compradores. Los organizadores no pueden cerrar su cuenta mientras tengan próximos eventos con entradas vendidas, ni en los 90 días siguientes a su última transacción.
• Derecho a la limitación del tratamiento: puedes pedirnos que limitemos el uso de tus datos personales.
• Derecho a la portabilidad: puedes pedir una copia de tus datos en un formato estructurado, de uso común y de lectura mecánica (JSON).
• Derecho de oposición: puedes oponerte al tratamiento de tus datos personales para determinados fines, incluido el marketing directo.
• Derecho a retirar el consentimiento: si tratamos datos con base en tu consentimiento (por ejemplo, cookies analíticas o correos de marketing), puedes retirarlo en cualquier momento. Ello no afecta a la licitud del tratamiento anterior a la retirada.

Para ejercer cualquiera de estos derechos, escríbenos a [email protected]. Puedes escribirnos en español. Respondemos en el plazo de un mes. Si necesitamos más tiempo (en solicitudes complejas, como máximo dos meses más), te lo comunicaremos dentro del primer mes.

7. Decisiones automatizadas

No tomamos decisiones automatizadas ni elaboramos perfiles que produzcan efectos jurídicos sobre ti o te afecten significativamente de modo similar. Nuestra prevención del fraude puede usar comprobaciones automáticas, pero siempre las revisa una persona antes de tomar cualquier medida sobre tu cuenta.

8. Plazos de conservación

Conservamos tus datos personales mientras tu cuenta esté activa o mientras sea necesario para prestarte nuestros servicios. Además, podemos conservar y usar tus datos en la medida necesaria para cumplir nuestras obligaciones legales, resolver disputas y hacer cumplir nuestros acuerdos.

En particular:

• Datos de la cuenta: mientras exista tu cuenta y hasta 2 años después de cerrarla.
• Datos de las transacciones: 7 años, para cumplir las obligaciones contables de HMRC.
• Cuentas eliminadas: los datos personales se anonimizan en el momento de la eliminación. Las transacciones, el historial de pedidos y los datos de los eventos se conservan 7 años (HMRC).
• Declaraciones de Gift Aid: según los requisitos de HMRC. La organización benéfica es responsable del tratamiento de estos datos y de esa obligación de conservación; tickts conserva las declaraciones por cuenta de la organización.
• Datos de uso y de análisis: un máximo de 26 meses.
• Registros de escaneo: 2 años, para resolver disputas y por la fiabilidad de la plataforma.
• Datos de listas de espera y de inscripción: una plaza en la lista de espera de un evento se borra 90 días después de la fecha de ese evento. Una inscripción en la página de inscripción de un organizador se borra 24 meses después de inscribirte. El organizador puede borrarte antes y puedes pedirnos a nosotros o al organizador que te borremos en cualquier momento. Tras el borrado solo conservamos un recuento de las inscripciones que ha generado un rep o un enlace, sin nada que permita identificarte. Un organizador puede haber exportado su lista antes; de la copia que guarde él mismo es responsable él.
• Contactos con nuestro soporte: hasta 3 años después del último contacto.
• Registros de consentimiento (cookies, marketing): 2 años; después se borran automáticamente.
• Registros de actividad de gestión de los organizadores: 30 días; después se borran automáticamente.
• Registros de auditoría de cambio de plataforma (la confirmación de un organizador de que el contenido que importó con la herramienta de cambio es suyo): 6 años desde la importación, para poder defendernos frente a reclamaciones de terceros sobre el contenido importado.
• Registros de errores y de seguridad: un máximo de 90 días, salvo que haya una investigación en curso.

9. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas para proteger tus datos personales frente al acceso, la modificación, la divulgación o la destrucción no autorizados. Entre ellas:

• cifrado en tránsito (TLS/SSL) de todos los datos que van y vienen de la plataforma;
• hash seguro de las contraseñas con bcrypt;
• controles de seguridad y análisis de vulnerabilidades periódicos;
• controles de acceso que limitan el acceso del personal y de los sistemas a los datos personales;
• protección frente a ataques DDoS y un cortafuegos de aplicaciones web (WAF) de Cloudflare;
• verificación en dos pasos opcional (TOTP) con códigos de recuperación de un solo uso; las claves secretas se guardan cifradas.

10. Transferencias fuera del EEE

tickts.es es un sitio de TICKTS LTD, en el Reino Unido, y los datos de la aplicación se alojan en el Reino Unido con Cloudways/DigitalOcean (región de Londres). La transferencia de datos personales desde el Espacio Económico Europeo al Reino Unido se basa en la decisión de adecuación de la Comisión Europea para el Reino Unido (Decisión de Ejecución (UE) 2021/1772, de 28 de junio de 2021). Si esa decisión se revocara o expirara sin renovarse, antes de cualquier nueva transferencia firmaríamos cláusulas contractuales tipo de la UE (Decisión de Ejecución (UE) 2021/914) o adoptaríamos otra garantía adecuada del artículo 46 del RGPD.

Algunos de nuestros encargados (Stripe, Google, Sentry, Apple, Meta, TikTok, Cloudflare) están establecidos en Estados Unidos o trabajan desde allí (TikTok también desde Singapur). Para esas transferencias aplicamos garantías adecuadas en el sentido del artículo 46 del RGPD, como las cláusulas contractuales tipo de la UE, o nos basamos en la participación del destinatario en un marco de adecuación reconocido (por ejemplo, el Marco de Privacidad de Datos UE-EE. UU., cuando proceda).

Puedes pedir información sobre la garantía que se aplica a un encargado concreto escribiendo a [email protected].

11. Violaciones de seguridad de los datos

Si se produce una violación de la seguridad de los datos que pueda suponer un riesgo para tus derechos y libertades, la notificaremos a la autoridad de control competente en un plazo de 72 horas desde que tengamos constancia de ella, como exige el artículo 33 del RGPD. Si es probable que suponga un alto riesgo para tus derechos, también te la comunicaremos directamente sin dilación indebida.

12. Menores

Nuestra plataforma no está dirigida a menores de 16 años. No recogemos a sabiendas datos personales de menores de 16 años. Si crees que hemos recogido datos de un menor de 16 años, ponte en contacto con nosotros de inmediato y nos aseguraremos de que se borren.

13. Contacto y reclamaciones

No estamos obligados a designar un delegado de protección de datos (artículo 37 del RGPD y artículo 34 de la LOPDGDD), porque no somos una autoridad pública y nuestras actividades principales no consisten en la observación de personas a gran escala ni en el tratamiento a gran escala de categorías especiales de datos. Tratamos en pequeña medida categorías especiales de datos cuando indicas voluntariamente necesidades de accesibilidad (véase el apartado 2a), pero es opcional, ocasional y no a gran escala. Todas las consultas sobre privacidad las atiende el equipo de privacidad de tickts en los datos de contacto que figuran a continuación; ese equipo es nuestro punto de contacto en materia de protección de datos.

Si tienes preguntas sobre esta política de privacidad o sobre cómo tratamos los datos, quieres ejercer tus derechos o presentar una reclamación, ponte en contacto con nosotros:

• Correo electrónico: [email protected]
• Teléfono: +44 7723 231454
• Correo postal: TICKTS LTD, 124-128 City Road, Londres, EC1V 2NX, Reino Unido

Autoridad de control. Si vives en España y consideras que no respetamos debidamente tus derechos de protección de datos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD). En aepd.es se explica cómo hacerlo. También puedes reclamar ante la autoridad de control del país en el que vivas o trabajes.