Privacidad y condiciones

Quien vende entradas trata datos de personas: un nombre, una dirección de correo, a veces una dirección postal. Eso lleva normas aparejadas. Este artículo explica en lenguaje llano en qué consisten esas normas, qué hemos resuelto nosotros por usted y — la parte que más se olvida — qué tiene que escribir usted mismo antes de vender su primera entrada.

Esto no es asesoramiento jurídico. Es un manual, escrito por personas que hacen software. Si hay mucho dinero de por medio, si se trata de menores o de datos sensibles, consúltelo con un jurista o con su federación.

¿Qué es el RGPD?

El RGPD — Reglamento General de Protección de Datos, en inglés GDPR — es la ley europea sobre datos personales. Rige desde 2018 en toda la Unión Europea y rige también para un círculo de historia local con ochenta socios.

Lo que dice en esencia, en cinco frases:

• Usted recoge solo los datos que realmente necesita.
• Dice de antemano para qué los usa.
• No los conserva más tiempo del necesario.
• Los protege razonablemente frente al robo y la pérdida.
• Quien figura en su fichero puede preguntar qué tiene usted sobre él, y puede pedir que se borre.

Un dato personal es todo aquello con lo que se puede señalar a una persona: un nombre, una dirección de correo, un número de teléfono, a veces incluso un número de pedido que se puede vincular a una persona. Un contador de «312 visitantes» no lo es.

Responsable y encargado

Esta es la parte que peor se entiende con más frecuencia, y determina a quién debe dirigirse un visitante con una pregunta.

La ley conoce dos papeles:

• El responsable del tratamiento decide por qué y cómo se usan los datos.
• El encargado del tratamiento lo ejecuta, por encargo, y no hace nada más con ellos.

La comparación que se queda en la cabeza: usted es el dueño del archivo, nosotros somos el armario archivador con cerradura. Usted decide qué entra, quién puede consultarlo y cuándo puede salir. El armario guarda y vigila, pero no lee por encima del hombro ni llama a sus visitantes.

Otra forma de verlo: su asociación alquila una sala. El gestor de la sala se ocupa de la puerta y de la cerradura; usted decide quién puede entrar.

Datos	Responsable	Encargado
Su propia cuenta, sus facturas, sus consultas de asistencia	Nosotros	—
Nombre, correo, pedidos, entradas y escaneos de sus visitantes	Su organización	Nosotros

En la práctica eso significa: si un visitante pide acceso a sus datos o su supresión, quien decide es usted, no nosotros. Si una pregunta así llega a nosotros, se la remitimos a usted en un plazo de cinco días laborables y le indicamos al visitante a quién debe dirigirse. Buscar lo que tiene de alguien puede hacerlo usted mismo, en la pantalla Pedidos. Facilitar una copia de los datos de alguien o borrarlos no puede hacerlo usted mismo en la pantalla de gestión: pídanoslo y lo hacemos nosotros.

---

Los cuatro textos que facilitamos nosotros

En el sitio público hay cuatro documentos jurídicos. Se remiten unos a otros y llevan todos la misma fecha de versión, para que en un expediente pueda decir qué versión ha usado.

Documento	De qué trata
Aviso legal	Quién explota el servicio: nombre, dirección, número de empresa, número de IVA, contacto
Declaración de privacidad	Qué datos personales se tratan, para qué, durante cuánto tiempo y con quién se comparten
Condiciones generales	Los acuerdos entre su organización y nosotros: suscripción, pago, disponibilidad, responsabilidad
Contrato de encargo del tratamiento	Qué hacemos nosotros con los datos de sus visitantes, por encargo suyo

El contrato de encargo del tratamiento no hace falta firmarlo aparte: forma parte de las condiciones generales. Si las acepta al registrarse, lo acepta con ellas. La versión que usted ha aceptado se conserva en su organización — así que siempre puede comprobar con qué estuvo de acuerdo.

Si un expediente de subvención o una licitación necesita de todos modos un ejemplar firmado en papel con membrete, escríbanos. Lo firmamos.

Atención: estos cuatro textos tratan de nosotros y de usted. No le dicen nada a su visitante sobre su evento. Ese es el capítulo siguiente, y ese es trabajo suyo.

---

Qué necesita de antemano

• Media jornada para escribir dos textos: sus propias condiciones y su propia declaración de privacidad.
• Un lugar donde publicar esos textos, normalmente su propia web. En la pantalla de gestión solo introduce el enlace a sus condiciones, no el texto en sí.
• El nombre, la dirección y el número de empresa o de asociación de su organización, más una dirección de correo a la que alguien pueda dirigirse.
• Una decisión de su junta directiva sobre dos preguntas: qué hace en caso de cancelación y hasta cuándo se puede anular.
• El rol Propietario, para introducir ese enlace en Ajustes → Organización.
• Si tiene dudas sobre el IVA: el número de su asesor fiscal.

---

Lo que gestiona usted mismo

Si vende entradas a visitantes, usted es el vendedor frente a ese visitante. Eso trae consigo cuatro cosas que nosotros no podemos hacer por usted.

1. Sus propias condiciones generales

Son los acuerdos entre usted y su visitante. Póngalas en una página de su propia web y pegue el enlace en Ajustes → Organización, pestaña Identidad visual, en el campo Enlace a sus condiciones. Su visitante ve ese enlace al pagar, junto a la casilla con la que acepta sus condiciones, y al pie de su tienda de entradas. Si no introduce nada, sigue aceptando «las condiciones de» su organización, pero no puede leerlas en ninguna parte.

Lo que debe contener, con un ejemplo de lo que pondría ahí una asociación pequeña:

Qué	Ejemplo
En caso de cancelación	«Si la función no se celebra, devolvemos el precio de la entrada íntegro en un plazo de 30 días. Los gastos de reserva no se devuelven.»
En caso de aplazamiento	«Si se cambia la fecha, su entrada sigue siendo válida para la nueva fecha. Si no puede asistir, avísenos antes de la nueva fecha y le devolvemos su dinero.»
Reventa	«Puede ceder su entrada a otra persona. No permitimos la reventa a un precio superior al de la entrada.»
Hasta cuándo se puede anular	«Se puede anular hasta 7 días antes de la cena benéfica en eetfestijn@jouwvereniging.be. Después, su entrada ya no se puede devolver, porque las compras ya están hechas.»
Llegar tarde	«La visita guiada empieza puntualmente a las 14 h. Quien llegue más tarde se incorpora al grupo pero no tiene derecho a la devolución de la parte perdida.»
Normas de la casa	«Los perros son bienvenidos con correa, salvo en la sala del sótano. Solo se puede fumar fuera. La organización puede denegar el acceso a quien esté ebrio o moleste.»
Responsabilidad	«La organización no se hace responsable de la pérdida o el robo de objetos personales.»
Quién es usted	«Toneelkring De Wissel vzw, Dorpsstraat 3, 9000 Ergens, número de empresa 0123.456.789.»

Atención: escríbalas en el idioma en el que vende y hágalas breves. Tres pantallas de texto no las lee nadie; diez reglas claras sí. Y sea justo — una condición manifiestamente abusiva frente a un consumidor no se sostiene ante un juez.

2. Su propia declaración de privacidad

Usted determina por qué recoge los datos de sus visitantes y cuánto tiempo los conserva. Nuestra declaración de privacidad dice qué hace la plataforma con esos datos; no sustituye a la suya. Al pagar enlazamos a la nuestra; para la suya no hay un campo aparte. Póngala en su propia web y remita a ella desde sus condiciones — o ponga ambas en la misma página.

Cinco preguntas que usted responde, con un ejemplo:

Pregunta	Ejemplo para una asociación pequeña
¿Qué recoge?	«En un pedido: su nombre, su dirección de correo y lo que ha pedido. En una cena benéfica también su elección de menú y si comunica alergias.»
¿Por qué?	«Para poder entregarle su entrada, para avisarle si algo cambia y para saber cuántas raciones tenemos que cocinar.»
¿Durante cuánto tiempo?	«Sus datos de pedido los conservamos 7 años porque nuestra contabilidad lo exige. Su dirección de correo para el boletín la conservamos hasta que se dé de baja.»
¿Con quién los comparte?	«Con nuestra plataforma de entradas, que los trata por encargo nuestro, y con nuestro proveedor de pago para el cobro. Con nadie más. No vendemos direcciones.»
¿A dónde puede dirigirse alguien?	«Escriba a privacy@jouwvereniging.be o a Toneelkring De Wissel vzw, Dorpsstraat 3, 9000 Ergens. Puede solicitar sus datos, pedir que se corrijan o que se borren.»

Esa última dirección no es opcional. Una declaración de privacidad sin un sitio donde alguien pueda plantear una pregunta no es una declaración de privacidad.

Atención: ¿envía boletines? Entonces esa es una finalidad aparte, y para eso pide el consentimiento aparte. Una dirección de correo que recibió para entregar una entrada no es un consentimiento para enviarle algo tres veces al año.

3. El derecho de desistimiento

Quien compra algo en línea tiene normalmente catorce días para pensárselo. Para los eventos en una fecha fija, en la Unión Europea no suele regir el derecho de desistimiento de catorce días — de lo contrario, alguien podría comprar una entrada, ir a ver el espectáculo y pedir después que se la devolvieran.

Dígalo expresamente en sus condiciones, porque si no su visitante dará por hecho que sí tiene ese derecho.

Una frase que basta: «Para las entradas de un evento en una fecha determinada no rige el derecho legal de desistimiento de 14 días. Su compra es definitiva, salvo lo indicado más arriba sobre la anulación.»

Si vende algo que no tiene fecha fija — una tarjeta regalo, un abono anual que empieza en cualquier momento —, no dé por hecho sin más que rige la misma excepción. Infórmese.

4. IVA y contabilidad

Usted determina si repercute IVA en sus entradas y cuál. La plataforma calcula lo que usted configure; no da asesoramiento fiscal.

Lo que pone ahí una asociación pequeña en la práctica: muchas asociaciones están exentas y repercuten un 0 %, con una mención como «Exento de IVA» en la entrada. Otras asociaciones sí están sujetas al IVA por su cena benéfica pero no por su función. Esa diferencia es justamente el tipo de pregunta para la que se llama una vez al asesor fiscal en lugar de adivinarlo.

Tenga en cuenta también que, como vendedor, usted debe poder justificar su propia facturación. Si vende en la puerta, el diario de caja le ayuda con eso; véase La caja de mostrador.

---

Los datos de pago no los tratamos nosotros

Los números de tarjeta, los números de cuenta y todo lo demás que acompaña a un pago van directamente al proveedor de pago que usted mismo conecta. Nosotros solo vemos si un pago ha salido bien y de qué importe se trataba. El dinero llega también directamente a su cuenta; nosotros no estamos en medio. Véase Conectar su proveedor de pago.

---

Plazos de conservación

La lista completa está en la declaración de privacidad. Los plazos que más va a necesitar:

Qué	Cuánto tiempo	Por qué
Pedidos, entradas y escaneos	Mientras sea cliente, más lo que usted indique	Usted lo determina como responsable
Sus datos tras el fin de su suscripción	30 días para exportar, después se borran	Tiempo suficiente para hacer su exportación
Facturas	10 años	Ley contable búlgara, aplicable a nosotros
Sus propios documentos contables en Bélgica	7 años	Código de Derecho Económico belga, aplicable a usted
Registros del servidor	90 días	Suficiente para investigar un incidente

Si necesita un plazo más estricto para su propio sector, háganoslo saber.

---

¿Quién ve además sus datos?

Solo los proveedores que necesitamos para que la plataforma funcione. La lista completa con el nombre, el país y para qué sirven está en la declaración de privacidad y en el contrato de encargo del tratamiento. Esas dos listas salen de la misma fuente, de modo que no pueden divergir.

Si se añade un proveedor o desaparece uno, lo comunicamos por correo con al menos treinta días de antelación. Si no está de acuerdo, puede darse de baja sin coste.

Sus datos se quedan en la Unión Europea, salvo tres excepciones que están en su mano: una entrada en Apple Wallet o Google Wallet, y Stripe como proveedor de pago. Para las tres rigen las cláusulas contractuales tipo de la Comisión Europea o el EU-US Data Privacy Framework.

---

Cookies

Solo funcionales: la sesión, el token CSRF y la cookie que le mantiene con la sesión iniciada — y, en una tableta que haya vinculado como caja, una cookie que reconoce ese dispositivo. Sin analítica, sin publicidad, sin rastreadores y sin tipografías ni scripts de un servidor ajeno. Su elección de idioma está en la dirección de la página y no en una cookie.

Por eso tampoco hay ningún banner de cookies en el sitio. No es un olvido: para las cookies estrictamente necesarias para prestar el servicio no se exige consentimiento.

---

Si aun así algo sale mal

Si detectamos una brecha de datos que afecta a sus visitantes, se lo comunicamos en un plazo de 48 horas desde la detección — no de 72, porque esas 72 horas son el plazo en el que usted debe informar a su autoridad de control, y solo llega a tiempo si se entera antes por nosotros. Recibirá de nosotros lo que sepamos en ese momento, y lo que todavía no sepamos se lo diremos con franqueza.

---

Presentar una reclamación

Si no está satisfecho con cómo tratamos los datos, díganoslo primero a nosotros — la mayoría de las cosas se arreglan más rápido de lo que dura un procedimiento. También puede dirigirse directamente a una autoridad de control: a la CPDP búlgara (cpdp.bg), nuestra autoridad principal, o, si vive en Bélgica, a la Autoridad de Protección de Datos (gegevensbeschermingsautoriteit.be).

---

Errores frecuentes

• Usar nuestra declaración de privacidad como la suya. Esa trata de la plataforma. Su visitante compra en su casa y tiene que poder leer su texto.
• No introducir un enlace a sus condiciones. Entonces su visitante no puede leer en ninguna parte, al pagar, qué está aceptando, y ante la primera cancelación no tiene ningún acuerdo al que remitirse.
• Usar para un boletín las direcciones de correo de la venta de entradas. Esa es otra finalidad. Pida el consentimiento aparte.
• Afirmar que sí hay catorce días para pensárselo. O no decir nada al respecto, que viene a ser lo mismo en cuanto alguien pregunta.
• Pedir más de lo que necesita. Una fecha de nacimiento, un número de identidad o una dirección postal para una entrada que llega por correo: déjelo. Lo que no tiene, no lo puede perder.

---

Qué pasa si …

¿Qué pasa si un visitante pide que se borren todos sus datos?

Entonces decide usted. Mire primero si todavía los necesita: un pedido que está en su contabilidad normalmente puede conservarlo hasta que venza su plazo legal. El resto puede borrarse. Busque a esa persona en Pedidos y díganos qué puede desaparecer: el borrado o la anonimización lo hacemos nosotros.

¿Qué pasa si no tengo condiciones propias y ya he vendido?

Escríbalas ahora, publíquelas e introduzca el enlace en Ajustes → Organización, pestaña Identidad visual. A partir de entonces rigen para los pedidos nuevos. Para lo que ya se ha vendido, se remite a la ley y a lo que haya prometido en su comunicación — una razón para no dejarlo para más adelante.

¿Qué pasa si se cancela mi evento?

Haga lo que dicen sus propias condiciones, y hágalo rápido. Escriba a todo el que tenga una entrada, diga qué pasa con su dinero y cuándo. El silencio le cuesta más buena voluntad que una devolución que tarda dos semanas.

¿Qué pasa si un visitante tiene una reclamación sobre cómo tratamos sus datos?

Remítalo a usted, no a nosotros: usted es el responsable. Si no sale del atolladero, le ayudamos con los hechos. Además, un visitante siempre puede dirigirse a su propia autoridad de control.

¿Qué pasa si una entidad que subvenciona pide un contrato de encargo del tratamiento firmado?

Escríbanos. Firmamos un ejemplar en papel con membrete. El contenido es el mismo que el que usted ya aceptó al registrarse.

---

Preguntas frecuentes

¿Tengo que firmar aparte el contrato de encargo del tratamiento? No. Está dentro de las condiciones generales que aceptó al registrarse. Para un expediente firmamos, a petición, un ejemplar aparte.

¿De verdad tiene que tener mi pequeña asociación una declaración de privacidad? Sí. El RGPD no hace excepciones por tamaño. La buena noticia: para una asociación que solo recoge nombres y direcciones de correo, una página basta.

¿Puedo copiar las frases de ejemplo de este artículo? Sí, sin problema — adáptelas a su propia situación. Son ejemplos para ayudarle a arrancar y no un texto modelo revisado por un jurista.

¿Necesito un banner de cookies en mi propia página de entradas? Para las páginas que facilitamos nosotros no: ahí solo hay cookies funcionales. Si integra la tienda de entradas en su propio sitio web con herramientas de analítica, entonces se trata de sus cookies y de su banner.

¿Dónde veo qué versión de las condiciones he aceptado? Se conserva en su organización. Pregúntenos si necesita el ejemplar que aceptó en su momento.