Política de Privacidad
Fecha de vigencia: 18 de abril de 2026 · Última actualización: 18 de abril de 2026 · Mega Tickets USA Inc.
1. Introducción
Mega Tickets USA Inc. ("Mega Tickets", "nosotros") opera un marketplace global self-service de boletos en megaticketsusa.com. Esta Política explica qué datos personales recopilamos, cómo los usamos, con quién los compartimos y qué derechos tienes bajo la legislación aplicable — incluidas la LFPDPPP (México), la Ley 25.326 (Argentina), la Ley 1581/2012 (Colombia), la Ley 19.628 (Chile), la LGPD (Brasil), el GDPR (UE/Reino Unido) y la CCPA/CPRA (California).
Al usar el Servicio, reconoces haber leído esta Política. Cuando la base legal sea el consentimiento (por ejemplo, marketing o cookies no esenciales), te pediremos tu autorización por separado.
2. Información que Recopilamos
Datos de registro y perfil que nos proporcionas: nombre, correo electrónico, teléfono, contraseña (almacenada con hash), fecha de nacimiento, foto de perfil, idioma, país.
Datos transaccionales: boletos comprados o publicados, detalles del evento, historial de pedidos, facturación y metadatos de pago. Nunca almacenamos el número completo de tarjeta en nuestros servidores. Los datos de tarjeta se tokenizan y se procesan por nuestros socios PCI-DSS (Square y Stripe).
Verificación de identidad ("KYC"): para Organizadores, documento oficial, datos de la empresa y de la cuenta bancaria, recopilados por Square o Stripe en cumplimiento de leyes antilavado y fiscales.
Datos técnicos y de dispositivo: dirección IP, navegador, sistema operativo, identificadores de dispositivo, registros de error, ubicación aproximada derivada del IP.
Cookies y tecnologías similares: ver Política de Cookies.
Ubicación precisa (latitud/longitud) solo cuando la activas expresamente para la verificación en el check-in del evento.
Datos de inicio de sesión social (Google, Apple, Facebook): datos básicos de perfil que el proveedor comparte según tus preferencias.
Comunicaciones: correos, tickets de soporte, respuestas a encuestas y comentarios.
3. Cómo Usamos Tus Datos
- Prestar el Servicio — crear cuentas, procesar compras, emitir códigos QR, pagar a Organizadores, operar el check-in;
- Seguridad — prevenir fraude, abuso de contracargos, robo de cuenta y compras por bots (incluidos los QR rotativos firmados con HMAC-SHA256);
- Atención al cliente — responder solicitudes, depurar incidencias, gestionar reembolsos y disputas;
- Análisis y mejora de producto — entender el uso, medir desempeño, tests A/B;
- Marketing (con consentimiento, cuando se requiera) — newsletter, recomendaciones de eventos, promociones. Puedes darte de baja en cualquier momento;
- Cumplimiento legal — obligaciones fiscales, KYC/antilavado, sanciones, protección al consumidor, órdenes de autoridad.
4. Base Legal del Tratamiento
Dependiendo de tu jurisdicción, tratamos tus datos con base en:
- Ejecución de un contrato — prestar el Servicio que contrataste (comprar y entregar boletos, pagar al Organizador);
- Interés legítimo — prevención de fraude, seguridad de la información, analítica de producto, defensa de derechos. Ponderamos este interés frente a tus derechos;
- Consentimiento — marketing, cookies no esenciales, ubicación precisa y datos sensibles;
- Cumplimiento de obligaciones legales — obligaciones fiscales (IRS 1099-K, 1099-NEC en EE. UU.; SAT y equivalentes locales), KYC/antilavado, respuesta a autoridades;
- Interés vital / interés público cuando aplique (p. ej., incidentes de seguridad en eventos).
5. Con Quién Compartimos
Compartimos datos solo como se describe a continuación y nunca los vendemos en el sentido cotidiano. Algunas de estas actividades pueden clasificarse como "venta" o "compartición" bajo la CCPA/CPRA de California — ver Sección 10 para el derecho de opt-out.
- Con Organizadores — al comprar, compartimos nombre, correo, tipo de boleto y metadatos del pedido con el Organizador, quien pasa a ser responsable independiente bajo su propia política;
- Con procesadores de pago — Square (Organizadores en EE. UU., Canadá, Reino Unido, Australia, Irlanda, Francia, España y Japón) y Stripe Connect (demás países) para procesar pagos, realizar KYC y emitir formularios fiscales;
- Con proveedores de servicio — hosting en la nube (Supabase; en el futuro AWS), envío de correo, soporte, prevención de fraude y analítica, todos sujetos a acuerdos de tratamiento de datos ("DPA");
- Con socios de medición/publicidad — Google Analytics y Meta (Facebook) Pixel para analítica del sitio y medición de anuncios, según tus preferencias de cookies;
- Por motivos legales — para cumplir órdenes judiciales, requerimientos de autoridad, hacer valer nuestros Términos, prevenir fraude, proteger derechos, propiedad o seguridad;
- En operaciones societarias — fusión, adquisición, financiamiento o venta de activos, con aviso previo cuando se requiera;
- Con tu consentimiento explícito — para cualquier otra finalidad.
6. Transferencias Internacionales de Datos
Mega Tickets tiene su sede en Estados Unidos. Al usar el Servicio fuera de EE. UU., tus datos se transferirán y procesarán en EE. UU. y en otros países donde operen nuestros proveedores (principalmente EE. UU., UE y América Latina).
Para transferencias desde la UE/Reino Unido, utilizamos las Cláusulas Contractuales Tipo de la Comisión Europea y el UK IDTA. Para transferencias desde América Latina, aplicamos contratos internacionales con cláusulas de protección equivalentes, junto con medidas técnicas como el cifrado en tránsito y en reposo.
7. Retención de Datos
Conservamos tus datos mientras tu cuenta esté activa y el tiempo necesario para prestar el Servicio. Plazos específicos:
- Datos de cuenta: hasta que elimines la cuenta; luego se borran en un máximo de 30 días, salvo obligación legal;
- Registros transaccionales: hasta 7 años con fines fiscales, contables y antifraude;
- Pings de ubicación (check-in): se eliminan automáticamente en 48 horas;
- Registros de seguridad y auditoría: hasta 12 meses;
- Datos analíticos anonimizados que no permitan identificarte: pueden conservarse indefinidamente.
8. Seguridad
Usamos salvaguardas estándar de la industria: TLS 1.2+ en tránsito, cifrado en reposo, Row-Level Security en la base de datos, contraseñas con hash, MFA para administradores y cumplimiento PCI-DSS mediante los procesadores. Los códigos QR se renuevan cada 30 segundos y se firman con HMAC-SHA256, haciendo inútiles las capturas de pantalla.
Ningún sistema es perfectamente seguro. Si tomamos conocimiento de un incidente de datos personales, te notificaremos y avisaremos a las autoridades en los plazos que exija la ley (por ejemplo, 72 horas bajo el GDPR art. 33, "plazo razonable" bajo la LGPD art. 48 y conforme a la legislación local aplicable).
9. Privacidad de Niñas, Niños y Adolescentes
El Servicio está dirigido a personas de 18 años o más. No creamos cuentas para menores conscientemente, y aplican reglas adicionales por jurisdicción:
- Estados Unidos (COPPA): no recopilamos información personal de niños menores de 13 años;
- UE / Reino Unido (GDPR art. 8): el tratamiento basado en consentimiento requiere autorización parental si el titular es menor de 16 años (o la edad mínima definida por el Estado miembro, entre 13 y 16);
- Brasil (LGPD art. 14): el tratamiento de datos de niños (menores de 12 años) requiere consentimiento específico y destacado del padre, madre o responsable legal;
- México (Lineamientos INAI): el tratamiento de datos de menores requiere el consentimiento de quien ejerza la patria potestad o tutela;
- Argentina, Colombia, Chile y demás países de LatAm: reglas locales análogas de consentimiento parental.
Si crees que un menor creó una cuenta, escribe a privacy@megaticketsusa.com y la eliminaremos.
10. Tus Derechos
Según tu localidad, tienes los derechos siguientes. Para ejercerlos, escribe a privacy@megaticketsusa.com. Responderemos en 30 días (GDPR/LGPD), 45 días (CCPA) o el plazo menor que exija la ley local. Podemos solicitar verificación de identidad.
10.1 México (LFPDPPP — derechos "ARCO")
- Acceso a los datos;
- Rectificación de datos inexactos o incompletos;
- Cancelación (supresión) de datos que ya no sean necesarios;
- Oposición al tratamiento para fines específicos;
- Revocación del consentimiento y limitación de uso y divulgación;
- Petición ante el INAI.
10.2 Argentina (Ley 25.326)
- Acceso gratuito cada 6 meses, rectificación, actualización y supresión; petición ante la AAIP.
10.3 Colombia (Ley 1581/2012)
- Conocer, actualizar, rectificar, revocar la autorización, obtener prueba de la autorización; petición ante la SIC.
10.4 Chile (Ley 19.628)
- Acceso, modificación, eliminación y bloqueo de los datos.
10.5 Brasil (LGPD art. 18)
- Confirmación del tratamiento; acceso; rectificación; anonimización, bloqueo o eliminación; portabilidad; eliminación de datos tratados con consentimiento; información sobre a quién compartimos los datos; revocación; petición ante la ANPD.
10.6 UE / Reino Unido (GDPR)
- Acceso (art. 15); rectificación (art. 16); supresión / "derecho al olvido" (art. 17); limitación (art. 18); portabilidad (art. 20); oposición, incluso a marketing directo (art. 21); decisiones automatizadas (art. 22); revocación del consentimiento y reclamación ante la autoridad.
10.7 California (CCPA / CPRA)
- Conocer, eliminar, corregir, opt-out de "venta" o "compartición" para publicidad comportamental cross-context, limitar el uso de datos sensibles y no discriminación.
11. Cookies y Rastreo
Usamos cookies y tecnologías similares en el sitio. Para ver la lista completa, incluidas analítica y publicidad (Google Analytics, Meta Pixel), consulta la Política de Cookies.
12. Do Not Track
La mayoría de los navegadores envía una señal "Do Not Track". Como no hay consenso en la industria sobre su interpretación, actualmente no respondemos a la señal DNT. Sí honramos la señal Global Privacy Control (GPC) como opt-out válido de "venta" o "compartición" para publicidad comportamental respecto de residentes en California.
13. Responsable / Encargado / DPO
Para consultas o ejercicio de derechos, escribe a privacy@megaticketsusa.com.
- Encargado de Privacidad (México, LFPDPPP art. 30) / Encarregado (Brasil, LGPD art. 41): designado — contacto por el correo anterior. [Denis debe confirmar el nombre antes de la publicación.]
- DPO (GDPR art. 37): no es estrictamente obligatorio para la escala actual, pero el correo es monitoreado por el responsable.
14. Autoridades de Protección de Datos
Si consideras que no gestionamos tu solicitud adecuadamente, puedes recurrir a la autoridad correspondiente:
15. Cambios a Esta Política
Podemos actualizar esta Política. Si el cambio es material, avisaremos con al menos 30 días de anticipación por correo o aviso destacado en el Servicio antes de su vigencia. El uso continuado después de la vigencia significa aceptación.
16. Contáctanos