Aviso de privacidad

Versión del aviso: 2

Este aviso de privacidad describe cómo Agenda Morelia recopila, usa, protege y, en su caso, transfiere tus datos personales, de conformidad con la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), su Reglamento y los Lineamientos del Aviso de Privacidad.

1. Identidad y domicilio del responsable

Emmanuel Ortega López, persona física, con domicilio para oír y recibir notificaciones en Avenida Lázaro Cárdenas núm. 1903, colonia Chapultepec Norte, C.P. 58260, Morelia, municipio de Morelia, Michoacán, México, es responsable del tratamiento de los datos personales recabados a través de Agenda Morelia (agendamorelia.com). Correo del área de datos personales: [email protected].

2. Datos personales que tratamos

Organizados por categoría, según cómo uses la plataforma:

• Identificación y cuenta: nombre, correo electrónico, y contraseña protegida mediante un algoritmo de hash seguro (bcrypt) — Agenda Morelia no almacena ni puede consultar tu contraseña original. Si inicias sesión con Google, recibimos tu nombre, correo e identificador de cuenta de Google.
• Organizador: nombre del organizador o negocio, descripción, sitio web, WhatsApp de contacto y logotipo.
• Contenido publicado: la información de los eventos que registras (título, descripción, fecha, ubicación, precio, imágenes, enlaces).
• Pago: ver la sección 10 — no guardamos tu tarjeta ni tus datos fiscales, solo el resultado operativo de cada transacción.
• Uso y preferencias: favoritos, reportes de eventos que envías, y eventos de interacción básicos (vista de un evento, clic en “comprar boletos” o WhatsApp, veces que compartes) — registrados sin datos adicionales de perfilamiento.
• Sesión y seguridad: cada sesión iniciada guarda tu dirección IP y el User-Agent (navegador/dispositivo) de ese acceso, con la finalidad de mantener tu sesión activa y detectar accesos no autorizados. Este dato puede tratarse de forma individual para seguridad y usarse después de forma agregada para estadísticas de uso.
• Auditoría administrativa: si tienes un rol de moderación o administración, registramos las acciones que realizas sobre contenido o cuentas de terceros, para trazabilidad y rendición de cuentas.
• Datos técnicos generales: Cloudflare, como proveedor de seguridad y red de entrega de contenido, procesa direcciones IP y datos de tráfico de todos los visitantes (no solo cuentas registradas) como parte de operar el sitio.

No recabamos tu domicilio, RFC, ni datos de facturación — la relación de pago la gestiona directamente Mercado Pago (sección 10).

3. Datos personales sensibles

Para la verificación de cuentas de organizador tratamos datos biométricos derivados de una prueba de vida facial. Son datos sensibles conforme a la LFPDPPP. No iniciamos este tratamiento sin tu consentimiento expreso, otorgado mediante un mecanismo electrónico separado de este aviso (casilla desmarcada por defecto, dentro de tu cuenta ya autenticada) — ver el detalle completo en la sección 9.

4. Finalidades del tratamiento

Necesarias para operar el servicio (no requieren tu consentimiento adicional):

• Crear, autenticar y administrar tu cuenta.
• Publicar, moderar, actualizar y retirar eventos.
• Gestionar perfiles de organizador y procesar planes/promociones mediante Mercado Pago.
• Enviarte correos operativos: verificación de cuenta, restablecimiento de contraseña, avisos sobre tus eventos o tu verificación.
• Atender reportes de contenido y solicitudes de soporte.
• Prevenir fraude, abuso, suplantación y accesos no autorizados.
• Cumplir obligaciones legales y defender derechos ante una autoridad.
• Mantener la continuidad, seguridad y funcionamiento técnico de la plataforma.

Sujetas a tu consentimiento (puedes negarte sin dejar de usar el resto del servicio):

• Realizar la prueba de vida biométrica para verificar tu cuenta de organizador (sin ella, puedes usar la alternativa manual de la sección 9, o no publicar eventos).
• Mostrarte anuncios de Google AdSense y usar las cookies asociadas — ver el gestor de preferencias de cookies, activo en el pie de página del sitio.

5. Qué información se vuelve pública

Cuando publicas un evento como organizador, cierta información es visible para cualquier visitante del sitio: el nombre y logotipo de tu organizador, la descripción de contacto que elijas mostrar, y toda la información del evento (fecha, ubicación, precio, imágenes). Nunca publicamos tu correo de cuenta ni ningún dato biométrico.

6. Cookies y tecnologías similares

Estas son las tecnologías que realmente usamos, con su categoría real:

• Cookie de sesión (necesaria): mantiene tu inicio de sesión activo. Emitida por nuestro propio backend, dura mientras tu sesión esté activa. No se puede desactivar sin dejar de poder iniciar sesión.
• Cloudflare Turnstile (necesaria, seguridad): verifica que quien se registra es una persona, no un bot. Cloudflare puede fijar cookies propias durante ese proceso. Solo corre en la pantalla de registro.
• Google AdSense (opcional, publicidad): si aceptas en el banner de cookies, carga anuncios y puede usar cookies publicitarias de Google. Si rechazas o no decides, este script nunca se carga. Puedes cambiar tu elección en cualquier momento desde “Preferencias de cookies” en el pie de página, y gestionar tus preferencias de anuncios directamente en adssettings.google.com.

Cloudflare Web Analytics mide tráfico agregado del sitio sin usar cookies ni identificar visitantes individuales — se activa desde el propio panel de Cloudflare, no desde este sitio.

7. Encargados, remisiones y transferencias

Para operar Agenda Morelia trabajamos con proveedores que reciben datos personales estrictamente necesarios para su función, bajo sus propios términos de servicio:

• Cloudflare (Estados Unidos) — seguridad, red de entrega de contenido, CAPTCHA. Recibe tráfico de todos los visitantes.
• Amazon Web Services (Estados Unidos, región us-east-1) — procesa el video de tu verificación biométrica. Ver sección 9.
• Resend (Estados Unidos) — envío de correos transaccionales (verificación, restablecimiento de contraseña). Recibe tu correo y el contenido del mensaje.
• Google (Estados Unidos) — inicio de sesión opcional con Google (recibe tu elección de usar ese método); anuncios de AdSense, solo si aceptas cookies de publicidad.
• Mercado Pago (con operación en México) — procesa tus pagos de planes y promociones directamente; nosotros solo recibimos el resultado operativo. Ver su propio aviso de privacidad.
• Sentry (Estados Unidos) — monitoreo de errores técnicos, configurado para no capturar datos personales por defecto (send_default_pii=false).

Estas transferencias son necesarias para operar el servicio que solicitas — al usar Agenda Morelia las aceptas como parte de la relación contractual. No transferimos tus datos a terceros para fines distintos a los aquí descritos, y no los vendemos.

8. Contraseñas y seguridad

Tu contraseña se protege mediante un algoritmo de hash seguro (bcrypt) — nunca se guarda ni se puede recuperar en texto plano, ni siquiera por nuestro propio equipo. Aplicamos HTTPS en todo el sitio, cookies de sesión seguras, y acceso restringido a la infraestructura.

9. Verificación biométrica de organizadores

Antes de la cámara te pedimos un consentimiento separado de este aviso (casilla desmarcada, botón deshabilitado hasta marcarla). Estos son los puntos clave:

• El video de tu rostro se procesa mediante Amazon Rekognition Face Liveness, en infraestructura de Amazon Web Services (región us-east-1). El análisis ocurre en tiempo real durante la sesión.
• Agenda Morelia no solicita ni almacena ninguna imagen de referencia o auditoría de esta verificación — nuestro sistema solo guarda el resultado (puntuación de confianza numérica, estado aprobado/en revisión/rechazado) y el identificador de la sesión, nunca video ni imágenes. El tratamiento del video durante el análisis, y cualquier retención del lado de Amazon Web Services conforme a sus propios términos de servicio, no está bajo el control directo de Agenda Morelia — te recomendamos revisar los términos públicos de Amazon Rekognition si te interesa ese detalle específico.
• No usamos este dato para publicidad, para entrenar modelos propios, ni para reconocimiento facial permanente o continuo.
• Alternativa sin cámara: si no tienes cámara, tu conexión no es suficiente, o simplemente prefieres que una persona lo revise, puedes elegir “No tengo cámara o prefiero que una persona lo revise” en la pantalla de verificación — tu solicitud pasa directo a revisión manual por nuestro equipo, sin usar la cámara.
• Guardamos el resultado de tu verificación mientras tu cuenta de organizador esté activa — si se cancela, lo eliminamos (ver sección 11).
• Puedes revocar tu consentimiento en cualquier momento (sección 13), lo que puede significar que tu cuenta de organizador deje de estar verificada hasta repetir el proceso.

10. Pagos

Los pagos de planes y promociones se procesan directamente por Mercado Pago. De cada pago confirmado guardamos únicamente: identificador de la transacción, estado, detalle del estado, método y tipo de pago, monto, moneda, fecha, y la referencia interna del plan o promoción — nunca tu correo de pago, identificación fiscal, ni datos de tu tarjeta, aunque la respuesta de Mercado Pago los incluya (los descartamos antes de guardar cualquier cosa). Nunca confiamos en el simple regreso de tu navegador tras pagar: siempre confirmamos el resultado directo con la API de Mercado Pago antes de activar cualquier beneficio.

11. Conservación y eliminación de datos

Plazos concretos, ya implementados en el sistema (no solo una promesa):

• Cuenta: mientras esté activa; si solicitas su cancelación, la eliminamos conforme al plazo de la sección 12.
• Sesiones (IP/dispositivo): 90 días, purgadas automáticamente.
• Interacción y uso (analítica): 24 meses, purgados automáticamente.
• Registros de auditoría administrativa: 2 años, purgados automáticamente.
• Resultado de verificación biométrica: mientras tu cuenta de organizador esté activa.
• Datos de pago: 5 años, por la obligación fiscal de conservar comprobantes — el detalle recortado descrito en la sección 10, nunca el objeto completo del proveedor.
• Eventos publicados: se conservan como historial (útil para SEO y para quienes buscan el evento después), marcados claramente como finalizados; no se muestran en listados de próximos eventos.
• Copias de seguridad técnicas: retención rotativa corta (días/semanas), se sobrescriben automáticamente.

12. Derechos ARCO

Tienes derecho a Acceder a tus datos personales, Rectificarlos si son inexactos o incompletos, Cancelarlos cuando consideres que no se requieren para alguna finalidad de este aviso, y Oponerte a su tratamiento para fines específicos.

Vía preferente: si tienes una cuenta, inicia sesión y entra a Mis solicitudes de privacidad — tu sesión ya identifica quién eres, así que no necesitas subir ningún documento; ahí ves el estado y el plazo de cada solicitud en tiempo real, y descargas tu archivo de datos cuando el derecho de acceso se resuelve. Alternativa: si no tienes cuenta o no puedes iniciar sesión, escríbenos a [email protected].

Tu solicitud debe incluir:

• Tu nombre y un medio para recibir notificaciones (correo).
• Solo por la vía del correo: un documento que acredite tu identidad (o la de tu representante, con las facultades correspondientes, si actúas a través de uno) — lo usamos únicamente para verificar tu solicitud y lo eliminamos una vez resuelta.
• Una descripción clara de los datos sobre los que ejerces el derecho, y el derecho específico que quieres ejercer.
• Cualquier elemento que nos ayude a localizar tu información más rápido.
• Para rectificación: la corrección que solicitas y, si aplica, el soporte documental correspondiente.

Te confirmamos la recepción de tu solicitud, y respondemos en un plazo máximo de 20 días hábiles; si procede, la hacemos efectiva dentro de los 15 días hábiles siguientes. La respuesta a tu derecho de acceso te la entregamos como un archivo descargable desde el portal (o por correo si usaste esa vía). Ejercer tus derechos ARCO es gratuito, salvo costos de reproducción o envío que la ley permite cobrar en casos específicos. Si negamos tu solicitud total o parcialmente, te explicamos el motivo por el mismo medio.

13. Revocación del consentimiento

Puedes revocar el consentimiento que nos hayas dado para cualquier tratamiento que dependa de él (por ejemplo, la verificación biométrica o las cookies de publicidad) desde Mis solicitudes de privacidad (tipo “Revocación de consentimiento”), o escribiéndonos a [email protected] si no tienes cuenta, indicando qué tratamiento quieres revocar. Te confirmamos el resultado y sus consecuencias — por ejemplo, revocar el consentimiento biométrico puede significar que tu cuenta de organizador deje de estar verificada. La revocación no tiene efectos retroactivos ni impide tratamientos exigidos por ley o necesarios para atender responsabilidades ya derivadas de tu uso previo del servicio.

14. Limitación del uso o divulgación

Puedes solicitar que limitemos el uso o divulgación de tus datos desde Mis solicitudes de privacidad (tipo “Limitación de uso o divulgación”), o escribiéndonos a [email protected] si no tienes cuenta. Puedes desactivar tratamientos opcionales (como las cookies de publicidad, directamente desde el pie de página) sin dejar de recibir los mensajes operativos, legales o de seguridad necesarios para el funcionamiento de tu cuenta.

15. Menores de edad

Agenda Morelia está dirigida a personas mayores de 18 años. Hoy este límite se declara al registrarte, sin una verificación técnica de edad adicional. No tratamos intencionalmente datos biométricos de menores de edad; si detectamos una cuenta de un menor, la cancelamos y eliminamos sus datos.

16. Seguridad e incidentes

Aplicamos medidas técnicas y administrativas razonables: HTTPS en todo el sitio, contraseñas protegidas con hash, cookies de sesión seguras, acceso restringido y auditado a la infraestructura, y monitoreo activo de intentos de acceso no autorizado. Mantenemos un procedimiento interno de respuesta a incidentes. Si ocurre un incidente que afecte de forma significativa tus derechos, te lo notificaremos sin dilación por correo, describiendo su naturaleza, los datos involucrados, nuestras acciones correctivas, y qué puedes hacer tú al respecto.

17. Cambios a este aviso

Cambios ordinarios (redacción, formato) se publican directamente en esta página. Cambios materiales (nuevas finalidades, nuevos datos sensibles, nuevas transferencias que requieran tu consentimiento) te los notificamos por correo antes de aplicarlos, y pedimos un nuevo consentimiento cuando corresponda. Conservamos un registro interno de versiones anteriores de este aviso.

18. Autoridad competente

Si consideras que tu derecho a la protección de datos personales ha sido vulnerado, puedes acudir ante la Secretaría Anticorrupción y Buen Gobierno, de acuerdo con la legislación vigente.