Aviso de Privacidad

1. Quién es el responsable de tus datos

C9 Studio Design, S.A. de C.V. ("C9SD", "nosotros"), con Registro Federal de Contribuyentes CSD201216A82 y domicilio en Cerrada de Concepción Beistegui 15, Colonia Del Valle, Alcaldía Benito Juárez, Ciudad de México, C.P. 03100, es responsable del tratamiento de los datos personales que se describen en este aviso.

Qrevnt es un nombre comercial propiedad de C9 Studio Design, S.A. de C.V. Cuando en este aviso leas "Qrevnt", te estás relacionando jurídicamente con C9SD.

2. Cuándo somos responsables y cuándo somos encargados

Qrevnt es una plataforma que los organizadores de eventos usan para gestionar a sus invitados. Eso significa que tratamos dos clases de datos con dos papeles distintos, y la diferencia cambia a quién le reclamas:

2.1 Datos de los que SOMOS RESPONSABLES

• Los de quien nos escribe por el formulario de contacto.
• Los de nuestros clientes (la empresa o persona que contrata Qrevnt).
• Los de las personas que usan el panel de administración: el titular de la cuenta, los coordinadores y el personal de recepción.

Para estos datos, este aviso es el que aplica y nosotros te respondemos.

2.2 Datos de los que somos ENCARGADOS

Los datos de los invitados a un evento son responsabilidad del organizador de ese evento, no nuestra. El organizador decide a quién invita, qué le pregunta, para qué usa la información y cuánto tiempo la conserva.

Nosotros tratamos esos datos únicamente siguiendo sus instrucciones, y asumimos frente a él las obligaciones de un encargado: confidencialidad, medidas de seguridad, no usarlos para finalidades propias, y devolverlos o suprimirlos cuando la relación termine. La confidencialidad subsiste aun después de terminada la relación jurídica.

Si eres invitado a un evento y quieres saber cómo se tratan tus datos o ejercer tus derechos, el responsable es quien te invitó. Su aviso de privacidad está disponible en el momento de tu registro. Si nos escribes a nosotros, te canalizamos con él (ver el punto 8.4).

3. Qué datos tratamos

3.1 Si nos escribes por el formulario de contacto

Nombre, correo electrónico, teléfono, tipo de evento, número estimado de invitados y el mensaje que escribas.

Además registramos temporalmente tu dirección IP con el único fin de limitar el número de envíos por hora y evitar abuso del formulario. No se guarda en nuestra base de datos: vive en memoria caché y se descarta al vencer el período de control.

3.2 Si eres cliente o usas el panel

De la empresa: razón social, RFC, teléfono y nombre de contacto. De cada persona con acceso al panel: nombre, correo electrónico, contraseña (cifrada), rol e idioma de preferencia.

Al crear tu cuenta aceptas los Términos y Condiciones, y guardamos la fecha y la versión exacta del texto que aceptaste.

Si contratas un evento, además: RFC, razón social, régimen fiscal, código postal del domicilio fiscal y uso del CFDI, que son los datos que el SAT exige para emitir tu factura.

Si nos escribes por el módulo de soporte: los mensajes que nos envíes por el módulo de soporte y las imágenes que adjuntes.

3.3 Si eres invitado a un evento

(Responsable: el organizador. Los listamos por transparencia.)

Los que carga el organizador o declaras al registrarte: nombre, correo, teléfono, empresa, número de mesa, categoría, y un código único que identifica tu boleto. El organizador también puede escribir notas internas sobre ti.

Datos de viaje, por tramo de llegada y de salida: medio de transporte (avión, autobús u otro), línea o aerolínea, número de vuelo o corrida, fecha, hora, aeropuerto, pase de abordar y la corrida de transporte asignada.

Lo que generas al usar tu portal: las fotos que subas a la galería con su descripción, los mensajes que intercambies con el organizador, y el registro de qué anuncios viste y cuándo.

Registros de asistencia: cada vez que se escanea tu código se guarda el lugar, la actividad, la fecha y hora exactas, quién escaneó y el resultado del escaneo.

3.4 Datos personales sensibles

Tratamos las siguientes categorías, que la ley considera sensibles y que por lo tanto requieren tu consentimiento expreso:

Sobre las restricciones alimentarias, cuatro cosas que son importantes:

1. Sólo tú puedes escribirlas. El organizador no puede cargarlas por ti, ni importarlas desde un archivo. El campo está cerrado para él.
2. Se guardan únicamente si marcas la casilla de autorización que aparece junto al campo. Sin esa casilla no se guarda nada.
3. Registramos la fecha y la VERSIÓN del texto que aceptaste, no sólo la fecha: así se puede reconstruir a qué dijiste que sí, y no sólo cuándo.
4. Si borras el texto, se revoca la autorización y se elimina la constancia completa.

Las fotografías que se suben a la galería pueden mostrar a personas identificables, incluidas personas distintas de quien las subió. Quien sube una foto declara contar con el consentimiento de quienes aparezcan en ella. El organizador modera la galería antes de que una foto sea visible para el resto.

3.5 Datos que se recogen solos: cookies

Cuando visitas nuestro sitio, tu navegador guarda archivos pequeños —cookies— que nos permiten operar el servicio y entender cómo se usa. Ésta es la lista completa, sin excepciones:

Las tres primeras son indispensables: sin ellas no puedes iniciar sesión ni enviar un formulario. Bloquearlas es posible, pero deja de funcionar el acceso a la plataforma.

Las dos últimas son de medición, y sobre ellas hay cuatro cosas que importan:

1. Sólo existen en el sitio público —las páginas de presentación, precios, guía, las legales y la pantalla de crear cuenta—. En el portal de un evento no se instala ninguna de las dos, ni en el subdominio del evento ni en /portal. Si llegaste porque te invitaron a un evento, esto no te aplica.
2. La de campaña guarda de dónde vino la visita, no quién eres: la campaña, el buscador o el sitio que te trajo, y la página en la que caíste. Se escribe una sola vez, en tu primera visita, y no se vuelve a tocar.
3. Si más adelante creas una cuenta, guardamos junto a esa cuenta de qué campaña vino. Lo que queda ligado es la cuenta, no la navegación de una persona: si nunca creas una cuenta, la cookie vence a los 30 días y ese dato deja de conservarse conforme a esa cookie. Si posteriormente creas una cuenta, la información de atribución pasa a formar parte del registro de esa cuenta y deja de depender de la permanencia de la cookie.
4. Puedes deshabilitarlas. Tu navegador te deja bloquear o borrar cookies desde su configuración de privacidad. Para Google Analytics en particular, Google publica un complemento de inhabilitación en tools.google.com/dlpage/gaoptout. Deshabilitarlas no te impide usar el sitio.

No usamos cookies de publicidad ni pixeles de redes sociales, y no instalamos nada que te siga por otros sitios.

4. Para qué usamos tus datos

4.1 Finalidades necesarias

Son las que no requieren tu consentimiento porque sin ellas no podemos darte el servicio que pediste:

• Atender tu consulta cuando nos escribes por el formulario de contacto.
• Atender tus solicitudes de soporte.
• Crear y operar tu cuenta, autenticarte y aplicar los permisos de tu rol.
• Facturar y cobrar el servicio contratado, y cumplir las obligaciones fiscales que eso genera.
• Enviarte los correos del propio servicio: confirmación de registro, restablecimiento de contraseña, avisos del evento al que fuiste invitado.
• Operar el evento: emitir tu boleto con código QR, registrar tu asistencia, organizar tu agenda, tu mesa y tus traslados.
• Seguridad: prevenir abuso, fraude y accesos no autorizados.

4.2 Finalidades que requieren tu consentimiento

• Restricciones alimentarias y alergias (sensible, punto 3.4).
• Datos de viaje y pase de abordar (sensible, punto 3.4).
• Publicar tus fotos en la galería compartida del evento.
• Campos adicionales que defina el organizador. Cada uno tiene su propia casilla de autorización, con su propia fecha y versión, porque una finalidad que no existía cuando te registraste no queda cubierta por aquel consentimiento.
• Medición del uso del sitio público y evaluación del origen de las cuentas creadas a partir de campañas o enlaces, mediante cookies descritas en el punto 3.5.

Puedes negarte a cualquiera de estas sin perder el acceso al evento.

4.3 Lo que NO hacemos

• No vendemos tus datos.
• No los entregamos a plataformas de publicidad para que te muestren anuncios en otros sitios, ni instalamos pixeles de redes sociales. Medimos de qué campaña llegó cada visita al sitio público —punto 3.5—, que es otra cosa: ese dato se queda con nosotros.
• No tomamos decisiones sobre ti con perfilado automatizado, más allá de lo descrito en el punto 5.

5. Tratamiento automatizado: el control de acceso por código QR

Cuando alguien escanea tu código en la entrada de una actividad, el sistema decide automáticamente si el acceso es válido, duplicado o corresponde a otro lugar, y lo registra con fecha, hora y ubicación.

Es un tratamiento automatizado y te lo decimos con todas sus letras. Su alcance es acotado: confirma una asistencia que ya estaba acordada entre tú y el organizador, y no produce ninguna consecuencia distinta de dejarte pasar o avisar al personal que revise. Siempre hay una persona en la puerta que puede resolver el caso.

Si prefieres que tu asistencia se registre de otra forma, escribe al contacto del punto 8 y el organizador podrá hacerlo por un medio alternativo.

6. Con quién compartimos tus datos

6.1 Proveedores que tratan datos por cuenta nuestra (encargados)

No son terceros que reciben tus datos para sus propios fines: los tratan siguiendo nuestras instrucciones y están obligados a la misma confidencialidad.

Algunos encargados, como Google, pueden tratar esta información mediante infraestructura ubicada fuera de México exclusivamente para prestarnos los servicios contratados y conforme a las obligaciones aplicables a los encargados del tratamiento.

KIKOUA, S.A. de C.V. es una empresa del mismo grupo que C9SD. Las cuentas de desarrollador de Apple y de Google con las que se firman los pases están a su nombre. La relación está regulada por un convenio que le impone las obligaciones de encargado.

6.2 El proveedor de traslados: es una remisión

Cuando el evento incluye transporte, el organizador puede descargar un manifiesto para entregárselo a la empresa de traslados. Ese archivo contiene nombre, medio de transporte, número de vuelo o corrida, horarios y hotel de los invitados que van a ser trasladados.

La empresa de traslados es un proveedor del organizador, no nuestro. Él decide entregárselo y él responde por ese uso. Cuando accede al manifiesto mediante la plataforma, asume además las obligaciones de confidencialidad y uso limitado previstas en los Términos y Condiciones.

Y no puede entregárselo a cualquiera: la empresa de traslados tiene que registrarse en la plataforma y aceptar los Términos y el Aviso de Privacidad antes de poder recibir el manifiesto. Sin ese registro, el archivo no se genera.

Cada entrega queda registrada con quién la recibió, cuándo y cuántas personas incluía.

6.3 Servicios que tu navegador contacta directamente

Tu portal puede mostrar el mapa del lugar, un video o música. Esos contenidos los sirve directamente el proveedor, de modo que tu navegador se conecta a ellos y estos pueden registrar la visita o instalar cookies sin que nosotros les enviemos ningún dato tuyo:

Google Maps (mapa del lugar) · YouTube, Vimeo y Spotify (video y música que incluya el organizador).

Google Analytics NO entra acá: ese lo cargamos nosotros, con nuestra propia cuenta y por decisión nuestra, así que figura como encargado en el punto 6.1 y su cookie está en el 3.5.

También consultamos Open-Meteo para mostrar el clima del evento; a ese servicio se le envía únicamente la ciudad, nunca datos de personas.

6.4 Autoridades

Podemos entregar datos cuando una autoridad competente lo requiera conforme a derecho, y en los demás supuestos del art. 22 de la ley.

7. Cuánto tiempo conservamos tus datos

Conservamos los datos mientras sean necesarios para las finalidades que los justifican. Después los bloqueamos —dejan de estar disponibles— y luego los suprimimos.

Para los datos de un evento, el calendario corre desde la fecha en que el evento termina:

Los datos sensibles se borran mucho antes que el resto, y a propósito: la ley exige conservarlos el período mínimo indispensable, y a los 90 días de terminado el evento ya no sirven para nada.

Mensajes de soporte: se conservan 12 meses después de cerrado el ticket, con las imágenes adjuntas, y después se suprimen. No dependen de un evento.

Las cookies llevan su propio plazo, y no cuelga del calendario de arriba: una cookie vence en el navegador de quien la tiene, no cuando termina un evento. Las de medición del sitio público —qrevnt_origen, _ga y _ga_…— se conservan conforme a su duración técnica vigente: actualmente 30 días la de campaña y hasta dos años las de Google Analytics. El detalle de cada una está en el punto 3.5.

Excepción — comprobantes fiscales: los registros contables y los CFDI se conservan cinco años, como obliga la legislación fiscal. Viven separados del evento y la supresión no los alcanza.

Excepción — constancias de cumplimiento: las constancias de aceptación —del aviso, de los datos sensibles, de los Términos— se conservan cinco años de forma independiente, aunque el evento se elimine. Son la prueba de que el tratamiento fue consentido, y desaparecer con el evento les quitaría su razón de ser.

8. Tus derechos y cómo ejercerlos

8.1 Qué puedes pedir (derechos ARCO)

• Acceso: saber qué datos tuyos tenemos y cómo los usamos.
• Rectificación: corregirlos si son inexactos o están incompletos.
• Cancelación: pedir que los eliminemos.
• Oposición: pedir que dejemos de usarlos para una finalidad determinada.

También puedes revocar tu consentimiento en cualquier momento, y limitar el uso o divulgación de tus datos.

8.2 Cómo

Escribe a hola@qrevnt.com indicando:

1. Tu nombre y un medio para responderte.
2. Qué derecho ejerces y sobre qué datos.
3. Documentación que acredite tu identidad (o la representación, si actúas por otra persona).

Si eres invitado a un evento, el vínculo que usamos para verificar tu identidad es el correo electrónico con el que fuiste invitado.

8.3 Plazos

Te comunicaremos la determinación en un plazo máximo de veinte días hábiles y, de resultar procedente, la haremos efectiva dentro de los quince días hábiles siguientes a la fecha en que te comuniquemos esa respuesta, conforme al artículo 31 de la ley. Los plazos pueden ampliarse una sola vez por un período igual, cuando las circunstancias lo justifiquen.

8.4 Si tus datos son de un evento

Como explicamos en el punto 2.2, el responsable de los datos de los invitados es el organizador del evento. Si nos escribes por esos datos:

1. Te lo decimos y te canalizamos con él, indicándote cómo contactarlo.
2. Le trasladamos tu solicitud para que la atienda dentro de sus plazos.
3. Ejecutamos lo que él nos instruya, que es lo que como encargado nos corresponde.

Y si él no responde: en ausencia de instrucciones del organizador dentro del plazo pactado, ejecutaremos únicamente las medidas que resulten necesarias para cumplir nuestras obligaciones legales y contractuales como encargado, dejando constancia del procedimiento.

8.5 Ante la autoridad

Si consideras que tu derecho fue vulnerado, puedes acudir a la Secretaría Anticorrupción y Buen Gobierno, autoridad en materia de protección de datos personales, y a los mecanismos jurisdiccionales que la ley prevé.

9. Seguridad

Aplicamos medidas administrativas, técnicas y físicas razonables para proteger tus datos: cifrado del tráfico, contraseñas almacenadas cifradas, acceso al panel limitado por rol, doble factor de autenticación disponible para las cuentas y obligatorio para las nuestras, y separación estricta de la información entre clientes — ningún cliente puede ver los datos de otro.

Ningún sistema es infalible. Si ocurriera una vulneración que afecte significativamente tus derechos, te lo informaremos sin demora para que puedas tomar medidas.

10. Cambios a este aviso

Podemos modificar este aviso cuando cambien nuestros servicios, la ley o nuestras prácticas. Cada versión lleva número y fecha, y la vigente se publica siempre en:

https://qrevnt.com/aviso-de-privacidad

Cuando el cambio afecte de forma sustancial cómo tratamos tus datos, te lo comunicaremos por correo electrónico a la dirección que tengamos registrada, con quince días naturales de anticipación a que la nueva versión entre en vigor.