Política de privacidad
1. Quién es responsable de tus datos
Eventeru está operado por Almirall Events S.L., una sociedad establecida en España, con domicilio social en Carrer de Comte de Montornes 4, Pta 17, 46003 Valencia, Valencia, Spain, número de identificación fiscal B13729157, inscrita en Registro Mercantil de Valencia, Tomo 11368, Libro 8646, Folio 80, Sección 8ª, Hoja V-210816, Inscripción 1ª. En estos documentos, «nosotros», «nos» y «Eventeru» se refieren a dicha sociedad.
Esta política explica cómo tratamos los datos personales cuando utilizas https://eventeru.com, las aplicaciones de Eventeru y la API de Eventeru. Se aplica a visitantes, titulares de cuentas, asistentes y organizadores.
Para consultar esta política o ejercer un derecho, escribe a connect@eventeru.com.
2. Nosotros y el organizador: quién decide sobre cada dato
Eventeru es una plataforma en la que otras personas gestionan sus eventos, por lo que la responsabilidad sobre los datos personales se reparte. Esta distinción determina a quién debes dirigirte para modificar o eliminar tus datos.
| Datos | Responsable | A quién dirigirte |
|---|---|---|
| Tu cuenta, inicio de sesión, seguridad, notificaciones, preferencias generales y uso de la plataforma | Almirall Events S.L. | Para acceso, rectificación, supresión u oposición, contacta con nosotros. |
| Tu inscripción en un evento concreto, respuestas al organizador, asistencia y listas de correo del organizador | El organizador del evento | El organizador decide para qué los conserva y durante cuánto tiempo. Contacta primero con él; te ayudaremos a localizarlo. |
| Registros de pagos e impuestos de productos en línea, cuando somos el vendedor | Almirall Events S.L. | Se conservan durante el plazo legal contable. |
| Registros de pagos e impuestos de productos presenciales, cuando el organizador es el vendedor | El organizador, con nosotros como encargados del tratamiento en la parte de la plataforma | El organizador conserva el registro comercial; Stripe conserva el registro del pago. |
Cuando tratamos datos de asistentes por cuenta de un organizador, actuamos como encargados del tratamiento siguiendo sus instrucciones documentadas. Este tratamiento debe quedar cubierto por un acuerdo escrito de encargo del tratamiento; esta política no lo sustituye. Los organizadores deben disponer de su propia base jurídica para los datos personales que nos soliciten tratar.
3. Qué datos recogemos
Datos que nos proporcionas
- Datos de cuenta: correo electrónico, contraseña almacenada únicamente como hash, nombre y estado de verificación del correo.
- Datos de perfil: lo que decidas añadir, como nombre público, foto, biografía, cargo, empresa, enlaces sociales e idioma preferido.
- Datos de seguridad: claves de acceso registradas, configuración de dos factores y secretos cifrados, códigos de recuperación, dispositivos y sesiones abiertas.
- Datos de eventos y organizadores: eventos, páginas, sesiones, productos y mensajes que crees.
- Datos de inscripción: lo que envíes al inscribirte, incluidas respuestas a preguntas del organizador, notas alimentarias o de accesibilidad si las solicita y documentos que subas.
- Datos de pago: nombre y dirección de facturación, país y moneda de la venta y productos comprados. Los números completos de tarjeta nunca llegan a nuestros servidores: se introducen directamente en Stripe y solo vemos la marca y los cuatro últimos dígitos.
- Contactos importados por organizadores: si eres organizador, los contactos que subas y el registro que declares sobre el origen de su consentimiento.
- Datos de soporte: mensajes, capturas de pantalla y archivos adjuntos que nos envíes, e historial de la conversación.
- Datos de la lista de espera: si nos pides que te avisemos cuando Eventeru abra, tu dirección de correo electrónico, la página desde la que te apuntaste, tu idioma, cuándo lo pediste, la versión del texto que aceptaste, cuándo te enviamos el correo de confirmación y si confirmaste tu dirección y cuándo.
Datos que recogemos automáticamente
- Datos técnicos: dirección IP, tipo de navegador y dispositivo, sistema operativo, páginas solicitadas, marcas de tiempo, página de procedencia y errores generados en tu sesión.
- Ubicación aproximada derivada de la dirección IP para moneda, idioma, zona horaria y controles antifraude. Primero consultamos tu dirección IP en una base de datos alojada en nuestros propios servidores. Si esa base de datos no encuentra coincidencia, enviamos la dirección IP a ipinfo.io, en Estados Unidos, para obtener la ubicación.
- Señales de seguridad y abuso: intentos de inicio de sesión, IP desde la que se creó una cuenta y huellas derivadas para detectar abuso coordinado. La IP de registro se conserva como un valor al que solo nosotros accedemos; únicamente un hash unidireccional alimenta la agrupación de abuso.
- Registros de auditoría: acciones relevantes para la seguridad y acciones administrativas sobre tu cuenta y las entidades que administras, junto con quién las realizó y cuándo.
- Pruebas del acuerdo: cuenta organizadora titular, representante autorizado, versión del documento aceptado y copia de las condiciones. Las pruebas necesarias pueden conservarse tras eliminar una cuenta para formular o defender reclamaciones.
- Datos de entrega: si un correo enviado por tu cuenta fue aceptado, entregado, abierto cuando el seguimiento esté activado, pulsado, devuelto o denunciado.
- Analítica de producto, registrada por nuestros servidores: funciones utilizadas y su secuencia, para detectar dónde falla el producto. La actividad con la sesión iniciada se vincula a tu cuenta; las visitas sin sesión se cuentan sin ningún identificador.
Datos que recibimos de terceros
- De Google, si inicias sesión con Google: correo electrónico, nombre y foto de perfil, y nada más.
- De Stripe: estado de pagos, reembolsos, disputas y abonos, y estado de verificación de la cuenta conectada de un organizador.
- De un organizador: tu inscripción en su evento, si te inscribió o importó en lugar de hacerlo tú.
- Del servicio de correo que utilizaba antes un organizador: si un organizador traslada su lista de suscriptores desde Mailchimp, beehiiv o Ghost, recibimos tu dirección de correo electrónico, tu nombre cuando lo tenga y tu estado de suscripción con ese servicio.
- De proveedores de información empresarial, cuando se indica el nombre o el sitio web de una empresa: datos públicos y logotipo de la empresa correspondiente. Abstract API recibe únicamente el dominio web de la empresa. Tu navegador se conecta directamente a Brandfetch para mostrar un logotipo, por lo que Brandfetch recibe tu dirección IP. Los datos obtenidos se refieren a la empresa, no a ti.
No solicitamos categorías especiales de datos, como información de salud o alimentaria que revele creencias. Si un organizador los solicita en sus preguntas de inscripción, es su responsable del tratamiento y necesita una base jurídica propia, normalmente tu consentimiento explícito.
4. Para qué utilizamos los datos y nuestra base jurídica
| Qué hacemos | Para qué | Base jurídica |
|---|---|---|
| Crear y gestionar tu cuenta, autenticarte y mantener tu sesión | Permitir el uso del servicio | Ejecución de un contrato |
| Procesar pedidos, emitir entradas, calcular y declarar impuestos y pagar a organizadores | Proporcionar lo comprado y cumplir nuestras obligaciones | Ejecución de un contrato; obligación legal para registros fiscales y contables |
| Enviar correos y notificaciones transaccionales: confirmaciones, entradas, cambios del evento y alertas de seguridad | Son parte del servicio | Ejecución de un contrato |
| Enviar los correos de marketing de un organizador a sus suscriptores | El organizador nos lo solicita como encargados del tratamiento | La base jurídica del organizador, normalmente el consentimiento. Puedes darte de baja de estos envíos. |
| Prevenir fraude, abuso y blanqueo de capitales; retener pagos cuando lo indique el riesgo | Proteger a asistentes, organizadores y a nosotros | Interés legítimo y obligación legal cuando se apliquen normas financieras |
| Conservar registros de seguridad y auditoría e investigar incidentes | Proteger las cuentas y reconstruir lo ocurrido | Interés legítimo; obligación legal cuando deba notificarse una brecha |
| Analítica de producto y seguimiento de errores | Encontrar y corregir fallos | Interés legítimo para la analítica y los registros de errores del servidor; consentimiento para cookies e identificadores analíticos |
| Responder a solicitudes de soporte | Atender tu solicitud | Ejecución de un contrato; interés legítimo |
| Avisarte una sola vez cuando Eventeru abra, si te apuntaste a la lista de espera | Nos lo pediste | Consentimiento. Solo te incorporas a la lista de espera cuando confirmas tu dirección desde el correo que te enviamos. Puedes darte de baja en cualquier momento con el enlace de ese correo o escribiéndonos. |
| Clasificar cargos profesionales por nivel y función para los informes de audiencia de los organizadores | Mostrar de forma agregada quién asiste | Interés legítimo. La clasificación se realiza en nuestros propios servidores; ningún tercero recibe el cargo. |
| Cumplir la ley, responder a solicitudes legales y formular o defender reclamaciones | Cumplir nuestras obligaciones | Obligación legal; interés legítimo |
Cuando nos basamos en intereses legítimos, los hemos ponderado frente a tus derechos y hemos concluido que no prevalecen sobre ellos. Puedes solicitarnos esa evaluación y oponerte en cualquier momento, según el apartado 10.
7. Transferencias internacionales
Algunos de los destinatarios del apartado 6 tratan datos personales fuera del Espacio Económico Europeo. Los siguientes los tratan en Estados Unidos: Stripe, Amazon Web Services, Google, ipinfo.io, Abstract API, Brandfetch, vumbnail.com y YouTube y, según tu navegador, el servicio de notificaciones push. Cloudflare opera una red mundial y puede tratar datos en Estados Unidos.
Cada una de estas transferencias se basa en una decisión de adecuación de la Comisión Europea cuando cubra al destinatario o, en su defecto, en garantías adecuadas, como las cláusulas contractuales tipo adoptadas por la Comisión Europea, junto con medidas técnicas adicionales, incluido el cifrado en tránsito y en reposo.
Puedes solicitar una copia de las garantías aplicables a una transferencia concreta escribiendo a connect@eventeru.com.
8. Durante cuánto tiempo conservamos los datos
Los distintos registros tienen distintos plazos de conservación. La tabla describe la eliminación de cuentas y la conservación ordinaria. Cuando un plazo se indica como mínimo, los registros se eliminan mediante una limpieza que se ejecuta una vez al mes, por lo que un registro puede permanecer hasta un mes más tras el fin de su plazo. Una disputa pendiente o una obligación de preservación legal también pueden retrasar la eliminación.
| Datos | Plazo |
|---|---|
| Tu cuenta y perfil | Hasta que elimines tu cuenta, seguidos de la limpieza en segundo plano y las excepciones del apartado 9. |
| Pedidos, facturas y registros fiscales y contables | El plazo legal contable, que se prolonga más allá de la cuenta y no podemos acortar a petición. Transcurrido ese plazo, se eliminan de nuestros registros los datos personales del comprador y solo se conserva el registro contable; las copias que conserva Stripe como procesador de pagos siguen su propio plazo de conservación. |
| Informes de entrega de correo: aceptado, entregado, pulsado y devuelto | Al menos 30 días en el plan Free, 90 días en Pro y 365 días en Scale y Enterprise, según el plan del remitente en el momento de enviar cada mensaje. Un cambio posterior de plan no lo amplía ni lo reduce. Se eliminan en la limpieza mensual posterior. |
| Registros de cumplimiento relativos a rebotes y reclamaciones | 365 días en todos los planes. La marca que nos impide enviar correo a una dirección que ha rebotado o presentado una reclamación se conserva mientras esa dirección figure en nuestros sistemas. |
| Ejecuciones de mensajes automatizados por destinatario | Tras finalizar una ejecución: 7 días en el plan Free, 180 días en Pro y 540 días en Scale y Enterprise, y nunca antes de que caduque el informe de entrega de ese mensaje. Dentro de ese plazo, el detalle de cada paso se elimina 90 días después de completarse o 365 días después de fallar. |
| Intentos de entrega de webhooks y sus cargas de datos | Unos tres meses; se eliminan en la limpieza mensual. |
| Notificaciones en la aplicación | 90 días después de leerlas; 45 días después de descartarlas. Registros de entrega de notificaciones: 90 días. |
| Grabaciones de sesión (solo con tu consentimiento) | 30 días. |
| Totales de analítica de producto | 2 años. |
| Registros de verificación y comprobaciones de seguridad | 90 días. |
| Sesiones iniciadas (los dispositivos en los que has iniciado sesión) | Hasta que la sesión termina: caduca 90 días después de su último uso, o antes si cierras sesión o se revoca. El registro de una sesión caducada se elimina 30 días después de caducar |
| Adjuntos de conversaciones de soporte | Normalmente siete años desde que la conversación se resuelve o cierra. Reabrirla elimina su vencimiento y resolverla de nuevo inicia otro periodo. La preservación legal puede suspender el vencimiento. Las solicitudes de supresión de cuentas se tramitan por separado. |
| Registros de auditoría de seguridad | Mientras sean necesarios para investigaciones de seguridad, responsabilidad y reclamaciones legales. Pueden conservar identificadores de cuenta y correos tras eliminar la cuenta; las solicitudes de supresión se valoran según las obligaciones de conservación aplicables. |
| Inscripciones en la lista de espera | Si no confirmas tu dirección, eliminamos tu inscripción 7 días después de enviarte el último correo de confirmación. En caso contrario, hasta que te enviemos el único correo avisándote de que Eventeru ha abierto, o hasta que te des de baja. Si te das de baja, solo conservamos tu dirección de correo y las fechas en que te apuntaste y te diste de baja, para no volver a escribirte nunca. |
| Copias de seguridad de la base de datos, almacenadas cifradas en reposo | 30 días, tras los cuales una regla de ciclo de vida del almacenamiento las elimina. |
Las copias de seguridad se realizan antes de la limpieza ordinaria, por lo que eliminar un registro del sistema activo no elimina inmediatamente una copia anterior. Esas copias caducan conforme al ciclo indicado. Los registros conservados lícitamente en el sistema activo también pueden aparecer en copias posteriores: el plazo de las copias de seguridad no es un plazo máximo de conservación para todos los datos personales.
9. Eliminar tu cuenta
Abre Ajustes de la cuenta y después Eliminar cuenta para solicitar la eliminación. Si eres titular de un equipo u organización, debes transferirlo o cerrarlo antes para no dejar sin titular los eventos de otras personas.
La eliminación se realiza en segundo plano. Elimina tu registro de usuario y ejecuta la limpieza de imágenes de perfil y adjuntos de soporte. No elimina todos los registros relacionados con el uso del servicio. Cuando su conservación sea necesaria, pueden permanecer:
- registros financieros y fiscales de pedidos realizados o recibidos que debemos conservar legalmente;
- registros de auditoría de seguridad y administración que pueden incluir tu identificador de cuenta, correo y circunstancias de una acción, incluida la solicitud de eliminación;
- conversaciones de soporte necesarias para resolver un problema o conservar pruebas; el vencimiento de adjuntos se describe en el apartado 8;
- copias dentro de las copias de seguridad de la base de datos, almacenadas cifradas en reposo, hasta que caduquen conforme al apartado 8.
Los datos que un organizador conserve en sus propios registros, incluida su lista de contactos, están bajo su control. Solicítale que los suprima; te ayudaremos a contactar con él si no puedes hacerlo.
10. Tus derechos
Si te resulta aplicable el RGPD, puedes solicitar una copia de tus datos, rectificarlos, suprimirlos, limitar su tratamiento u oponerte a él, recibirlos en un formato portable y retirar tu consentimiento en cualquier momento sin afectar a la licitud del tratamiento anterior a la retirada.
Escribe a connect@eventeru.com y responderemos en el plazo de un mes. Podemos pedirte que confirmes tu identidad para no entregar tus datos a otra persona. No cobraremos por ello salvo que la solicitud sea manifiestamente infundada o excesiva.
Si no estás conforme con cómo hemos atendido tu solicitud, puedes reclamar ante tu autoridad de control local. En España es la Agencia Española de Protección de Datos.
11. Tratamiento automatizado
Evaluamos cuentas y pedidos para determinar el riesgo de fraude. Esta evaluación influye en el tiempo de retención de fondos de un organizador, en si un pedido requiere comprobaciones y en si se revisa una cuenta. No publicamos los criterios exactos porque permitiría manipularlos.
Los controles automatizados pueden aplicar retenciones o restricciones antes de que una persona los revise. Si te han afectado, contacta con nosotros para solicitar una revisión humana, explicar tus circunstancias o impugnar un resultado incorrecto. Que exista una revisión posterior no significa que toda decisión inicial la haya tomado una persona.
No utilizamos tus datos personales para entrenar modelos de aprendizaje automático. La clasificación de cargos profesionales del apartado 4 se realiza en nuestros propios servidores y no envía tus datos a un servicio de IA externo.
12. Cómo protegemos los datos
Los datos se cifran en tránsito y en reposo. Las contraseñas se almacenan únicamente como hashes. Los secretos de dos factores, códigos de recuperación y claves de retransmisión se cifran con claves separadas. El acceso a datos de producción está restringido a quienes lo necesitan, y el acceso administrativo a cuentas se registra y limita.
Los adjuntos se analizan para detectar software malicioso antes de ponerse a disposición. El inicio de sesión, el restablecimiento de contraseña y el registro están protegidos contra el abuso automatizado.
Ningún sistema es completamente seguro. Si una brecha afecta a tus datos y es probable que suponga un riesgo para tus derechos, notificaremos a la autoridad de control en un plazo de 72 horas y te informaremos cuando lo exija la ley.
13. Menores
El servicio no está destinado a menores de 16 años y no recogemos deliberadamente sus datos personales. Si crees que un menor nos ha proporcionado datos, avísanos y los eliminaremos. Los organizadores de eventos para menores de 16 años son responsables de obtener los consentimientos que requiera su evento.
14. Cambios de esta política
Actualizamos esta política cuando cambian nuestras prácticas. La fecha al principio de la página indica la última modificación. Si un cambio afecta sustancialmente a cómo utilizamos tus datos, te avisaremos dentro del producto o por correo electrónico antes de que entre en vigor.