Política de privacidad de Epix
Entidad responsable: el operador de Epix, persona individual (no es una sociedad mercantil) domiciliada en Guatemala.
Contacto de privacidad: soporte@epixeventos.com
Epix trata datos personales por su cuenta, incluidos fecha de nacimiento, contacto de emergencia y comprobantes de pago. El documento de identificación no está entre ellos: el formulario de inscripción rechaza el tipo y el número de documento, y la base de datos los conserva vacíos. A diferencia del contrato de la carrera, esta responsabilidad no se puede trasladar al organizador.
1. Alcance y actores
Esta política explica cómo el operador de Epix recopila y usa información cuando una persona crea una cuenta, administra un evento, inscribe participantes, paga, carga comprobantes o usa un pase digital.
El organizador define aspectos del evento y recibe datos de sus participantes.
Conviene separar dos cosas que se confunden con facilidad. Para el contrato de la carrera, Epix es software y no es parte: quien organiza, cobra y devuelve es el organizador, y el dinero nunca pasa por una cuenta de Epix. Para los datos personales, en cambio, Epix sí trata información por su cuenta y esa responsabilidad no se traslada al organizador. Que Epix no organice la carrera no lo libera de responder por los datos que guarda.
2. Información que podríamos tratar
- Cuenta y contacto: identificador, nombre, correo, teléfono, rol, organización y datos de sesión.
- Perfil y participación: fecha de nacimiento, género, talla, distancia y contacto de emergencia, solo cuando se apruebe su necesidad. El tipo y el número de documento de identificación no se recopilan: el formulario de inscripción los rechaza y las columnas heredadas del esquema quedan vacías.
- Inscripción: evento, participantes, titular, precio de inscripción, cuota de servicio, monto que corresponde al organizador, estado, fecha y hora, y versión de términos aceptada.
- Pago: método, importe, estado, banco, referencia y comprobante de transferencia cargado.
- Evento y organización: contactos, logos e imágenes, datos bancarios de transferencia y contenido publicado por el organizador.
- Documentos de verificación del organizador: NIT o constancia de RTU de la organización y comprobante de que la cuenta bancaria publicada pertenece a la organización (estado de cuenta, carta del banco o captura donde se vea el nombre del titular). Los carga la persona dueña de la organización al solicitar la verificación básica. Sirven para verificar la organización y para atender casos de fraude o estafa relacionados con ella. Se guardan en un bucket privado de Supabase Storage al que solo acceden el superadministrador de Epix y la persona dueña de la organización. Pueden contener datos de terceros que aparezcan en el documento.
- Pase y operación: dorsal, token QR, entrega, check-in, actor y hora.
- Seguridad y soporte: eventos de autenticación, claves seudónimas de rate limiting y registros técnicos mínimos. Los proveedores de infraestructura podrían generar IP y user agent en sus logs.
Si en el futuro se habilita el pago con tarjeta, el proveedor tratará datos adicionales bajo sus propios términos. Los datos completos de tarjeta se capturarían en su checkout alojado y no en los sistemas de Epix. Hoy esa integración está deshabilitada por bandera de configuración y esta política no la describe como activa.
3. Fuentes
La información puede provenir del titular de cuenta, el participante o su representante, el organizador y su staff, el sistema de autenticación y las interacciones técnicas con la plataforma. Quien proporcione datos de otra persona, por ejemplo un participante o un contacto de emergencia, debe estar autorizado y darle el aviso que corresponda.
En una compra en un punto de venta del organizador, la persona del organizador que vende captura los datos de los participantes y el correo de quien compra, sin cuenta en Epix. Ese correo se usa para enviar el boleto con los códigos QR y los avisos de esa compra. Comprar en un punto de venta implica aceptar este aviso, y Epix guarda esa aceptación a nombre del correo de quien compra, con la persona que hizo la venta como testigo.
4. Finalidades y fundamento
| Finalidad | Datos principales | Fundamento |
|---|---|---|
| Crear y proteger cuenta y sesión | identidad, correo, credenciales administradas, logs mínimos | consentimiento al aceptar este aviso y ejecución del servicio |
| Gestionar evento e inscripción | perfil, participante, contacto, categoría, términos | contrato con corredor y organizador, y bases para terceros y menores |
| Verificar a la organización y atender fraude o estafa | NIT o RTU, comprobante de titularidad bancaria, datos bancarios publicados | contrato con el organizador y prevención de fraude |
| Registrar y conciliar el pago | orden, importe, referencia, comprobante | contrato, obligaciones contables y prevención de fraude |
| Entregar kit y validar acceso | dorsal, QR, nombre, distancia, check-in | ejecución del evento y seguridad |
| Emergencias | contacto y teléfono, datos mínimos del participante | consentimiento al aceptar este aviso y ejecución del servicio |
| Atender soporte y solicitudes | contacto, historial y evidencia mínima | contrato, obligación aplicable o consentimiento al aceptar este aviso y ejecución del servicio |
| Cumplir, declarar y defender | transacciones, contrato y auditoría | obligación legal y fiscal, y defensa de reclamaciones |
| Marketing e imagen | correo, preferencia, foto y video | consentimiento separado; no mezclar con la aceptación obligatoria |
No se debe reutilizar el contacto de emergencia, los comprobantes de pago ni los datos de menores para marketing, analítica general o entrenamiento de modelos. Cualquier finalidad nueva exige evaluación, aviso y base aprobada antes de recolectar.
5. Cuándo se compartiría información
Solo se comparte lo mínimo necesario con:
- el organizador y el staff autorizado del evento, según su función;
- Supabase, para autenticación, base de datos, Storage e infraestructura asociada;
- Vercel, para el alojamiento de la aplicación; Cloudflare Turnstile, para el CAPTCHA del inicio de sesión y del checkout; y Resend, para el envío de correo transaccional;
- asesores, auditores y autoridades cuando exista base o solicitud válida y controles; y
- un sucesor, bajo confidencialidad y con los avisos que correspondan.
Si se habilita el pago con tarjeta, se sumaría el procesador y los actores financieros para pagos, fraude, devoluciones y contracargos. Hoy no aplica.
No se venden datos personales ni se comparten para publicidad de terceros.
Referencia actual: DPA publicado de Supabase. Epix conserva la versión contractual realmente aceptada; el enlace no sustituye el contrato.
6. Ubicación y transferencias
Los proveedores podrían procesar datos fuera de Guatemala. La región de Supabase se elige por proyecto (documentación oficial).
7. Retención
Los plazos siguientes están definidos en la configuración de retención del sistema. Cada plazo se cuenta desde el disparador indicado, no desde la fecha de recolección.
| Categoría | Disparador | Plazo | Acción |
|---|---|---|---|
| Documento de identificación del participante | evento finalizado | 30 días | eliminar |
| Contacto de emergencia | evento finalizado | 30 días | redactar |
| Datos demográficos del participante | evento finalizado | 90 días | anonimizar |
| Comprobante de transferencia | disputa financiera cerrada | 90 días | eliminar |
| Documentos de verificación del organizador | fin de la ventana de apelación | 90 días | eliminar |
La categoría de documento de identificación existe en esa configuración por compatibilidad con el esquema, pero hoy no le corresponde ningún dato, porque ese dato no se recopila.
Estado real de estas reglas: están registradas con la ejecución destructiva deshabilitada. Es decir, los plazos ya están decididos y documentados, pero todavía no se está eliminando, redactando ni anonimizando nada de forma automática.
Dos categorías no tienen plazo asignado:
- Registro financiero y contractual (órdenes, pagos, conciliación y documentos tributarios).
- Registro de aceptaciones legales (qué documento y versión se aceptó, y cuándo).
Ambas se conservan por ahora con acceso restringido y sin eliminación.
8. Decisiones y solicitudes de las personas
El operador de Epix ofrece un canal para solicitar acceso, corrección, copia, oposición o restricción, retiro de consentimiento y eliminación cuando corresponda bajo la ley o el contrato aplicables. Epix verifica la identidad de forma proporcional, coordina con organizadores y proveedores, y explica cualquier retención obligatoria.
Canal: soporte@epixeventos.com.
Retirar un consentimiento no necesariamente borra registros que deban conservarse por transacción, fraude, impuestos o defensa, pero sí debe detener los usos que dependan únicamente de ese consentimiento.
9. Menores y datos de terceros
Una persona menor de edad no puede abrir cuenta en Epix. Sí puede ser inscrita por una persona adulta titular de una cuenta, que declara asumir la responsabilidad de su seguridad y su participación. De esa declaración se conserva a qué participante corresponde, en qué inscripción y en qué momento se hizo; quién la hizo se obtiene del titular de la inscripción, que es dato ya registrado.
En un punto de venta, una persona menor de edad solo se inscribe dentro de la compra de una persona adulta, que hace la misma declaración; quién la hizo se obtiene del correo de quien compra.
Los datos que se tratan de una persona menor de edad son los mismos que los de cualquier participante y no se reutilizan para marketing ni analítica general.
Los contactos de emergencia deben recibir un aviso apropiado y no usarse para otros fines.
10. Seguridad
Epix aplica controles proporcionales, incluyendo autenticación, mínimo privilegio, separación por organización, cifrado y gestión de secretos, enlaces de Storage controlados, revisión de proveedores, backups, monitoreo y respuesta a incidentes. Ningún sistema es infalible. El canal de incidentes es soporte@epixeventos.com.
11. Cookies y tecnologías similares
Las cookies de autenticación son necesarias para mantener la sesión. Epix usa Cloudflare Turnstile como CAPTCHA en el inicio de sesión y en el checkout, para distinguir personas de tráfico automatizado; el rate limiting que protege esos mismos formularios se calcula internamente, sin proveedor externo. Cualquier otra tecnología, incluida la analítica, se documentará en esta sección con nombre, proveedor, finalidad y duración antes de activarse, y Epix no activa cookies o rastreadores opcionales sin la base o el aviso que corresponda.
12. Cambios
Cada versión debe tener número, fecha efectiva, resumen, canal de aviso y evidencia de aceptación cuando el cambio requiera una nueva aceptación. No se aplicarán retroactivamente finalidades incompatibles usando una cláusula genérica de cambios.
La evidencia de aceptación ya existe en el producto para el aviso de privacidad. La función que crea una inscripción exige cuatro aceptaciones exactas del checkout, y una de ellas es este aviso; si falta, la inscripción se rechaza. De cada aceptación se guarda el documento, su versión, su idioma y el hash del texto, es decir una huella que permite comprobar después cuál fue la versión concreta que la persona tuvo a la vista.