Política de privacidad

AQUI GROUP S.A.S., RUT N° 220956050015, con domicilio en Avenida Gonzalo Ramírez 1743, Montevideo, Uruguay (en adelante, «AQUI GROUP»), desarrolla y opera AccesoAqui, una plataforma de invitaciones con código QR, confirmación de asistencia y acreditación en la puerta de eventos. Toda consulta sobre el tratamiento de datos personales puede dirigirse a hola@aquigroup.uy.

AQUI GROUP interviene en dos calidades distintas. Es Responsable del tratamiento de las cuentas de usuario, de los datos de facturación y de pago, de los códigos de referido y de los datos necesarios para operar y asegurar la plataforma. Es Encargado respecto de los datos de los invitados que cada Organizador carga en su evento: esa base es del Organizador, que decide su finalidad y su contenido, y AQUI GROUP la trata únicamente por cuenta y según instrucciones de aquél.

Los datos provienen de quienes los aportan: el Organizador (la planilla de invitados o el alta manual, los datos de su organización y de facturación), el Invitado (lo que completa al confirmar su asistencia), cada persona al crear su cuenta y el Partner al recibir su código. AccesoAqui no adquiere bases de datos de terceros. La única consulta a una fuente externa es la del registro público de contribuyentes de la Dirección General Impositiva, para completar el domicilio fiscal de un RUT que el propio Organizador registró.

La cédula de identidad se almacena solo en dígitos y se muestra enmascarada fuera del panel interno; no se incluye nunca en los códigos QR, en las direcciones web ni en los registros de actividad. Los datos de pago (tarjeta, cuenta bancaria) se ingresan directamente en la página de dLocal y AccesoAqui no los recibe ni los almacena. Si el Organizador configura un formulario adicional que recoja información sensible en los términos de la Ley N° 18.331 (por ejemplo, restricciones alimentarias vinculadas a la salud o a convicciones religiosas), es el Organizador quien debe recabar el consentimiento expreso y escrito que la ley exige.

Los datos personales se tratan exclusivamente para las siguientes finalidades:

• Emitir y enviar la invitación al evento, con el código QR, la entrada en PDF y el enlace de confirmación.
• Registrar la confirmación o el rechazo de asistencia, los acompañantes declarados y las respuestas al formulario adicional del evento.
• Acreditar el ingreso en la puerta, impedir el doble ingreso con un mismo código y dejar constancia de quién registró cada acceso.
• Enviar el recordatorio previo al evento y, si el Organizador lo dispone, el reenvío a quienes no respondieron.
• Poner a disposición del Organizador el estado de su evento, el informe de cierre y la planilla de asistencia.
• Crear y mantener las cuentas de usuario, verificar la dirección de correo, permitir el ingreso con Google o con Apple y el restablecimiento de la contraseña.
• Vender cupos: cotizar la compra, cobrarla a través del proveedor de pagos, acreditar los cupos al evento, emitir el recibo y el comprobante fiscal electrónico ante la Dirección General Impositiva y cumplir las obligaciones tributarias y contables de AQUI GROUP.
• Completar el domicilio fiscal del Organizador con la información pública que la Dirección General Impositiva asocia a su RUT, cuando él no lo escribió.
• Aplicar cupones y códigos de referido, avisar al Partner de las compras realizadas con su código y calcular, informar y liquidar sus comisiones.
• Atender los pedidos de cupos y de acreditadores que el Organizador hace desde la plataforma.
• Enviar notificaciones al teléfono y mostrar el centro de avisos de la aplicación (recordatorios, hitos del evento y acciones pendientes), según las preferencias de cada persona.
• Agregar el evento al calendario del teléfono cuando el invitado lo pide desde la aplicación.
• Analizar la planilla de invitados con el asistente AccesoIA cuando el Organizador decide utilizarlo, para detectar columnas, duplicados y errores antes de importar.
• Medir el uso y la estabilidad de las aplicaciones móviles, con un identificador interno y sin datos identificatorios, y conocer la versión mínima admitida.
• Garantizar la seguridad de la plataforma, prevenir el uso abusivo y cumplir las obligaciones legales aplicables.

Los datos no se utilizan con fines publicitarios, no se elaboran perfiles comerciales y no se realiza seguimiento de la persona a través de otras aplicaciones o sitios.

• Relación contractual. El tratamiento de los datos de las cuentas, de las compras de cupos y de la operación del evento resulta necesario para el desarrollo y cumplimiento del contrato celebrado con el Organizador, conforme a las excepciones al consentimiento previstas en el artículo 9 de la Ley N° 18.331. Lo mismo vale para los datos del Partner respecto del acuerdo que lo vincula con AQUI GROUP.
• Instrucciones del Responsable. Respecto de la base de invitados, AQUI GROUP actúa como Encargado y trata los datos únicamente conforme a las instrucciones documentadas del Organizador, que es quien debe contar con base legítima para cargarlos.
• Consentimiento del titular. La declaración de acompañantes y las respuestas al formulario adicional las aporta voluntariamente el propio invitado, que puede optar por no completarlas cuando el Organizador no las exija. Las notificaciones en el teléfono, el desbloqueo biométrico y el acceso al calendario dependen de los permisos que cada persona otorga en su dispositivo.
• Cumplimiento de obligaciones legales. La emisión y la conservación de los comprobantes fiscales electrónicos y de los registros contables que exige la normativa tributaria uruguaya, y los casos en que una norma o una orden judicial imponga conservar o comunicar determinada información.
• Interés legítimo. La seguridad de la plataforma, la prevención del uso abusivo y el diagnóstico de errores se sustentan en el interés legítimo de AQUI GROUP, siempre que no prevalezcan los derechos del titular.

AQUI GROUP no vende ni cede datos personales y no los comunica a terceros con fines publicitarios. Para prestar el servicio se apoya en los siguientes proveedores, que actúan como encargados del tratamiento, bajo instrucciones documentadas y con obligación de confidencialidad y de seguridad equivalente a la propia:

Los comprobantes fiscales se reportan a la Dirección General Impositiva, como exige la ley, y la cotización del dólar se toma de la publicación del Banco Central del Uruguay, sin comunicarle dato personal alguno.

Además, el Organizador, los miembros de su organización y los acreditadores que él designa acceden a los datos de los invitados de sus propios eventos, en el alcance que su rol permite: el acreditador ve únicamente la lista del evento asignado y con la cédula enmascarada. El Partner recibe, por cada compra realizada con su código, el nombre de la organización compradora, el nombre y la fecha del evento, la cantidad de cupos, el importe y su comisión; nunca datos de los invitados.

Parte de la infraestructura de AccesoAqui está alojada fuera del territorio nacional. La base de datos, la API y el servicio de correo operan en centros de datos de Brasil (región sa-east-1); el alojamiento web, la medición de audiencia del sitio y de las aplicaciones, el registro de errores, el asistente de importación, el inicio de sesión con Google y con Apple y el envío de notificaciones se prestan desde los Estados Unidos de América; el programador de tareas opera en la Unión Europea, sin recibir datos personales. El proveedor de pagos y el de facturación electrónica son empresas establecidas en Uruguay, sin perjuicio de la infraestructura en la nube que cada uno utilice conforme a su propia política de privacidad.

Estas transferencias se realizan conforme al artículo 23 de la Ley N° 18.331 y su reglamentación (Decreto N° 414/009), amparadas en que resultan necesarias para el cumplimiento de la relación contractual y en las garantías contractuales asumidas por cada proveedor, que se obliga a mantener un nivel de protección adecuado, a tratar los datos solo por cuenta de AQUI GROUP y a no comunicarlos a terceros.

Los plazos de conservación son los siguientes:

• Datos del evento (invitados, respuestas, acompañantes, acreditaciones y registro de correos): mientras dure la relación con el Organizador y hasta 24 meses después del cierre del evento, salvo que una obligación legal imponga un plazo mayor o que el Organizador instruya su supresión anticipada.
• Cuentas de usuario: hasta que la persona la elimine desde la aplicación o lo pida por correo, o hasta que el Organizador deje de utilizar la plataforma. La baja borra el nombre, el correo, la contraseña, las sesiones y los tokens de notificaciones. Si la cuenta registró ingresos en la puerta o compras de cupos, esos registros deben conservarse por su valor probatorio y contable: en ese caso la cuenta se anonimiza (se sustituyen el nombre y el correo por valores sin significado y se quitan todos los accesos), de modo que el historial quede sin datos identificatorios.
• Compras, comprobantes fiscales, comisiones y liquidaciones: durante los plazos de prescripción de las obligaciones tributarias y contables, aunque el evento se cierre o la cuenta se elimine.
• Credenciales temporales: el enlace de verificación de correo caduca a los 7 días; el enlace de restablecimiento de contraseña, a los 60 minutos, y el código de seis dígitos, a los 15 minutos o a los cinco intentos fallidos; todos son de un solo uso. Las sesiones se conservan hasta su vencimiento o su revocación.
• Tokens de notificaciones: hasta que la persona cierra sesión, desinstala la aplicación o la plataforma del teléfono informa que el token dejó de ser válido.
• Medición de las aplicaciones móviles: los datos de uso se conservan 14 meses y los informes de fallos 90 días, según la configuración del proyecto en Firebase.
• Copias de seguridad: se sobrescriben dentro del ciclo de retención del proveedor de base de datos, por lo que un dato suprimido puede subsistir en una copia hasta que ese ciclo se complete.

Vencido el plazo, los datos se suprimen o se anonimizan de modo que no sea posible reidentificar al titular.

AQUI GROUP aplica las medidas técnicas y organizativas exigidas por la Ley N° 18.331 y por el principio de responsabilidad proactiva del artículo 37 de la Ley N° 19.670, entre ellas:

• Cifrado en tránsito (TLS) en todas las comunicaciones y cifrado en reposo en la base de datos y en el almacenamiento de archivos.
• Contraseñas almacenadas como hash con bcrypt: nunca en texto claro y nunca recuperables.
• Autenticación con tokens de vida corta y renovación mediante credenciales almacenadas en forma de hash y revocables.
• Control de acceso por rol y verificación de pertenencia a la organización y al evento en cada operación: nadie accede a un evento que no tiene asignado.
• Cédula de identidad enmascarada fuera del panel interno y ausente de los códigos QR, de las direcciones web y de los registros de actividad.
• Datos de pago que nunca pasan por AccesoAqui: el pago se completa en la página del proveedor y los avisos que este envía, igual que los del proveedor de correo, se verifican criptográficamente antes de procesarlos.
• Enlaces de confirmación y de entrada con identificadores aleatorios distintos entre sí, de modo que el enlace de una función no habilita la otra.
• Límites de uso por dirección IP y monitoreo permanente de errores.
• Acceso al entorno productivo restringido al personal autorizado y sujeto a deber de reserva.

Ante una vulneración de seguridad que afecte datos personales, AQUI GROUP la comunicará sin dilación indebida a la URCDP y a los titulares afectados, en los términos del artículo 38 de la Ley N° 19.670 y de los artículos 3 y 4 del Decreto N° 64/020, e informará al Organizador cuando actúe como Encargado.

La Ley N° 18.331 reconoce a toda persona los siguientes derechos sobre sus datos personales, cuyo ejercicio es gratuito:

Estos derechos se ejercen escribiendo a hola@aquigroup.uy con el asunto «Ejercicio de derechos LPDP», indicando nombre completo, documento de identidad y la dirección de correo registrada. La solicitud se responde dentro de los cinco (5) días hábiles previstos por la ley.

Cuando la solicitud recaiga sobre datos cargados por un Organizador, AQUI GROUP actúa como Encargado: trasladará el pedido al Organizador responsable de esa base y le prestará la asistencia necesaria para atenderlo, informando al titular de esa derivación.

El titular puede además presentar un reclamo ante la Unidad Reguladora y de Control de Datos Personales (URCDP), autoridad de control en Uruguay, en gub.uy/urcdp.

AccesoAqui no utiliza cookies publicitarias, de perfilado ni de seguimiento entre sitios y no comparte información con redes de publicidad. Se emplean las tecnologías estrictamente necesarias para que el servicio funcione y, únicamente con el consentimiento del visitante, cookies de medición de audiencia:

• Almacenamiento local de sesión. Al iniciar sesión, el navegador guarda en el almacenamiento local del propio dispositivo los identificadores de la sesión, para no exigir el ingreso de credenciales en cada visita. Se eliminan al cerrar sesión.
• Píxel de apertura en los correos. Las invitaciones y los recordatorios incluyen una imagen de seguimiento del proveedor de correo que permite al Organizador saber si el mensaje fue abierto. Se desactiva bloqueando la carga de imágenes remotas en el cliente de correo.
• Preferencias de la interfaz. Algunas vistas conservan en ese mismo almacenamiento local opciones como la pestaña activa o el filtro elegido; no contienen datos identificatorios.
• Cookies de medición de audiencia (con consentimiento). En las páginas públicas del sitio (la página de inicio, estos textos legales, la confirmación de asistencia, la entrada y el ingreso a «Mis entradas») se utilizan Google Analytics 4 y Microsoft Clarity para contar visitas y entender cómo se usa el sitio. Solo se activan después de aceptarlas en el aviso de cookies; con «Solo lo necesario» no se instala ninguna y la medición continúa sin cookies ni identificadores. Las direcciones IP se anonimizan, no se utilizan señales publicitarias, las direcciones de las entradas y de las confirmaciones se enmascaran antes de enviarse y Clarity no graba la pantalla de la entrada. La elección queda guardada en el almacenamiento local y puede cambiarse en cualquier momento desde «Cambiar mis preferencias de cookies», al pie de esta página.
• Página de pago. La página de dLocal en la que se completa una compra de cupos usa sus propias cookies, regidas por la política de privacidad de dLocal.

El navegador puede configurarse para bloquear o borrar estos datos, con la consecuencia de que la sesión deberá iniciarse nuevamente y de que el aviso de cookies vuelva a mostrarse.

Las aplicaciones «AccesoAqui» y «AccesoAqui Staff» utilizan Google Firebase para medir el uso de la aplicación (Analytics), detectar fallos (Crashlytics) y conocer la versión mínima admitida (Remote Config), asociado a un identificador interno generado por AccesoAqui. A Firebase no se le comunican el nombre, el correo electrónico ni la cédula de la persona. No se utiliza el identificador de publicidad del dispositivo ni se realiza seguimiento entre aplicaciones o sitios. La política de privacidad de Google está disponible en policies.google.com/privacy.

En la aplicación «AccesoAqui Staff» se puede iniciar sesión con la cuenta de Google y, en iOS, con la cuenta de Apple, en los términos de la sección «Encargados del tratamiento y terceros». La aplicación «AccesoAqui» opera con correo electrónico y contraseña.

Las aplicaciones solicitan los siguientes permisos del teléfono, cada uno con un único fin:

• Cámara («AccesoAqui Staff»): leer el código QR de la entrada. Las imágenes se procesan en el dispositivo, no se almacenan ni se transmiten: al servidor solo viaja el código leído. Si el permiso se deniega, el ingreso se registra por búsqueda en la lista o por código corto.
• Notificaciones (las dos): enviar los avisos sobre los eventos. Para ello se registra el token de notificaciones del dispositivo. La persona elige qué avisos recibir en Perfil y puede desactivarlos desde los ajustes del teléfono.
• Calendario («AccesoAqui»): agregar el evento al calendario del teléfono cuando el invitado lo pide. La aplicación escribe ese único evento y no lee ningún otro dato del calendario.
• Desbloqueo biométrico (las dos, opcional): volver a entrar con la huella o el rostro. La verificación la hace el sistema operativo del teléfono; AccesoAqui no recibe ni guarda datos biométricos, solo la preferencia de tenerlo activado, en el almacenamiento seguro del dispositivo.

La compra de cupos desde «AccesoAqui Staff» se completa en la página de dLocal, que se abre en el navegador integrado del teléfono; rige para ella lo dicho sobre los datos de pago. La misma aplicación permite al Organizador compartir la credencial de un invitado (el PDF o el enlace de su entrada) por los medios que el teléfono ofrece: ese envío lo decide el Organizador y es su responsabilidad hacerlo llegar únicamente a su titular.

Quien tiene cuenta en cualquiera de las dos aplicaciones puede eliminarla desde la propia aplicación, en Perfil → «Eliminar mi cuenta»; la sección «Mi cuenta» del sitio web remite a ese mismo camino. Al confirmarlo se borran de inmediato su nombre, su correo electrónico, su contraseña, sus sesiones abiertas y sus tokens de notificaciones, se revoca la autorización otorgada a Apple si ingresaba con esa cuenta, y la cuenta deja de existir. Si la cuenta registró ingresos en la puerta o compras de cupos, se anonimiza en los términos de la sección «Conservación de los datos». Mientras la organización tenga una compra de cupos pendiente de pago, la baja espera a que se acredite o se cancele. Las invitaciones que le hayan enviado a la persona forman parte de la base de datos del Organizador de cada evento, que es su Responsable: para suprimirlas, el titular puede dirigirse al Organizador o ejercer el derecho de supresión según la sección «Derechos del titular de los datos». Las cuentas creadas por un Organizador o por AQUI GROUP también se dan de baja escribiendo a hola@aquigroup.uy.

AccesoAqui no está dirigida a menores de 18 años y no recaba datos de menores en forma directa. Si un Organizador incluye a una persona menor de edad en la lista de invitados de su evento, es de su exclusiva responsabilidad contar con la autorización de quienes ejerzan la patria potestad o la tutela, en las condiciones que exige la normativa vigente. Quien advierta que se han tratado datos de un menor sin esa autorización puede comunicarlo a hola@aquigroup.uy para su inmediata supresión.

AQUI GROUP puede actualizar esta Política para reflejar cambios en la plataforma, en sus proveedores o en la normativa aplicable. La versión vigente es siempre la publicada en esta página, con su fecha de última actualización. Cuando el cambio afecte de manera sustancial los derechos de los titulares, se comunicará por correo electrónico a los Organizadores y a las cuentas registradas con una antelación mínima de quince (15) días a su entrada en vigencia.

Para consultas, solicitudes o reclamos vinculados al tratamiento de datos personales: AQUI GROUP S.A.S., Avenida Gonzalo Ramírez 1743, Montevideo, Uruguay, hola@aquigroup.uy. El plazo de respuesta para el ejercicio de derechos es de cinco (5) días hábiles.

El uso de la plataforma se rige además por los Términos y condiciones de AccesoAqui.