Política de Privacidad
Fecha de vigencia: 10 de agosto de 2026 Versión: 1.1.0
La versión en portugués de Brasil (pt-BR) es el texto legal autoritativo. Esta traducción al español se ofrece por conveniencia; en caso de conflicto, prevalece la versión en portugués.
nottepass respeta su privacidad y se compromete a proteger sus datos personales. Esta Política de Privacidad describe, de forma transparente, cómo recopilamos, usamos, almacenamos, compartimos y protegemos su información cuando utiliza la plataforma, en conformidad con la Ley n.º 13.709/2018 (Ley General de Protección de Datos — LGPD), el Marco Civil de Internet (Ley n.º 12.965/2014) y el Código de Defensa del Consumidor (Ley n.º 8.078/1990).
Al registrarse o utilizar nuestros servicios, usted declara haber leído y comprendido esta Política. Recomendamos su lectura atenta antes de proporcionar cualquier dato.
1. Quiénes somos (Controladora)
La plataforma es operada por nottepass Tecnologia Ltda., inscrita en el CNPJ con el n.º 51.890.784/0001-01 ("nottepass", "nosotros").
nottepass es una plataforma de intermediación tecnológica que permite a los Organizadores crear, divulgar y vender Entradas y Productos para Eventos, y a los Compradores adquirirlos. Actuamos como intermediaria entre el Comprador y el Organizador, y como facilitadora del procesamiento de pagos mediante una pasarela asociada.
A los efectos de la LGPD:
- nottepass es la controladora de los datos personales tratados en la operación de la plataforma (registro, cuenta, compras, pagos, seguridad y cumplimiento de obligaciones legales);
- El Organizador es controlador autónomo de los datos que recibe para la gestión de su propio Evento (por ejemplo, validación de acceso en la portería y comunicación sobre el Evento), respondiendo de forma independiente por el uso que hace de dichos datos;
- Los proveedores de infraestructura y de pago actúan como operadores, tratando datos en nuestro nombre y bajo contrato.
Encargado de Protección de Datos (DPO): privacidade@nottepass.com.br
2. Qué datos recopilamos
Recopilamos solo los datos necesarios para operar la plataforma con seguridad y cumplir nuestras obligaciones legales. Los datos varían según su perfil de uso (Comprador, Organizador o miembro de equipo).
2.1 Datos que usted proporciona directamente
Registro y cuenta (todos los usuarios):
- Nombre completo, correo electrónico, teléfono, fecha de nacimiento y género;
- Documento de identificación: CPF (identificación fiscal brasileña) o, para extranjeros sin CPF, número de pasaporte acompañado de la nacionalidad. El documento lo identifica de forma única en la plataforma y es lo que permite vincularle las Entradas y Productos que le pertenecen;
- Contraseña, almacenada exclusivamente como hash criptográfico (bcrypt) — nunca tenemos acceso a su contraseña en forma legible;
- Preferencias de tema e idioma.
Compra (Compradores):
- Nombre, correo electrónico, teléfono y documento de identificación (CPF, CNPJ o pasaporte) del comprador asociados al pedido;
- Domicilio de residencia, cuando sea necesario para el procesamiento del pago;
- Datos de pago, procesados directamente por la pasarela. No almacenamos el número completo de la tarjeta ni el CVV. Guardamos solo referencias no sensibles devueltas por la pasarela, como los cuatro últimos dígitos y la marca de la tarjeta, y el identificador de la transacción, para soporte, conciliación y prevención de fraude;
- Si usted opta por guardar una tarjeta para compras futuras, esta se tokeniza y almacena en la pasarela de pago (Pagar.me), y no en nuestros servidores. Conservamos solo el identificador del token y los datos no sensibles indicados arriba.
Emisión manual por el Organizador (cortesías, permutas y ventas fuera de la plataforma):
El Organizador puede emitir Entradas y Productos directamente desde el Panel, sin que la transacción pase por el sistema financiero de nottepass. En esos casos, es el Organizador quien nos proporciona sus datos, y no usted: nombre, correo electrónico, teléfono y documento de identificación (CPF o pasaporte) de quien va a recibir la Entrada.
El documento es necesario por una razón específica: sin él, la Entrada emitida queda registrada únicamente a nombre de quien la emitió y nunca llega a su cuenta, ni siquiera si usted se registra después. Con el documento, la Entrada se vincula automáticamente a usted en el momento en que cree su cuenta — incluso si se registra con un correo electrónico distinto del informado por el Organizador. Mientras eso no ocurre, la Entrada permanece válida y el Código QR enviado por correo electrónico funciona normalmente en la portería.
En las pantallas de la Entrada que él mismo emitió, el Organizador visualiza el documento de forma parcial (enmascarada) — solo algunos caracteres, lo suficiente para identificar la Entrada correcta al emitir, corregir o cancelar, cuando hay más de un destinatario con el mismo nombre. El valor completo nunca se le muestra, en ninguna pantalla, informe o exportación.
Como toda Entrada debe estar atribuida a una persona, el documento es indispensable para que exista a su nombre. La Entrada pertenece al titular del documento informado: si el documento proporcionado al Organizador es de otra persona, es ella — y no usted — quien la recibirá al crear su cuenta. Si usted no está de acuerdo con que conservemos su documento, la Entrada no puede subsistir: contáctenos por el canal de la sección 14 y será cancelada, con el Código QR invalidado, sin costo alguno para usted.
Organizador y recepción de fondos (Organizadores):
- Datos de la organización: nombre/razón social, nombre comercial, tipo de persona (física o jurídica), CPF o CNPJ y dirección;
- Datos de contacto comercial (correo electrónico y teléfono del organizador) y logotipo;
- Datos bancarios para transferencia y retiro: banco, agencia, cuenta, tipo de cuenta, nombre y documento (CPF/CNPJ) del titular. Estos datos se utilizan para constituir el receptor ante la pasarela de pago.
Verificación de identidad (KYC — cuando corresponda):
Para habilitar retiros y prevenir el fraude y el lavado de dinero, podemos solicitar a quien va a recibir fondos (Organizadores) una verificación de identidad, que incluye:
- Tipo e imágenes de un documento oficial (licencia de conducir o documento de identidad — anverso y reverso);
- Una selfie para confirmar la titularidad.
Estos archivos se tratan como datos sensibles y reciben protección reforzada (ver sección 7). No solicitamos imágenes de documento de identidad al Comprador común para la simple compra de Entradas o Productos — únicamente el número del CPF o del pasaporte, conforme a lo descrito arriba.
Contenido generado por usted:
- Mensajes, archivos adjuntos e información de contacto en los tickets del Centro de Soporte;
- Otra información que usted opte por enviarnos.
2.2 Datos recopilados automáticamente
- Dirección IP y datos de conexión;
- Tipo de dispositivo, sistema operativo y navegador (user agent);
- Registros de eventos de seguridad y auditoría (por ejemplo, el momento y el contexto de la aceptación de políticas, eventos de inicio de sesión, bloqueos de cuenta), que incluyen fecha, hora, IP y user agent, conservados con fines probatorios y de seguridad;
- Métricas agregadas de acceso a páginas públicas de Eventos (recuento de visitas), sin identificar individualmente al visitante;
- En los enlaces de afiliados, registramos el clic de forma anonimizada, almacenando la IP solo en forma de hash (no reversible), junto con un identificador de sesión y el origen (referrer), para la atribución de comisiones y la prevención de fraude;
- Cookies y tecnologías similares (ver Política de Cookies).
2.3 Datos recibidos de terceros
- Confirmación de pago, estado y datos no sensibles de la transacción proporcionados por la pasarela de pago;
- Si usted opta por iniciar sesión con una cuenta de un tercero (por ejemplo, inicio de sesión social), recibimos del proveedor el identificador de la cuenta y el correo electrónico asociado, exclusivamente para la autenticación;
- Datos informados por Organizadores sobre usted: cuando un Organizador emite manualmente una Entrada o Producto a su nombre, nos informa su nombre, correo electrónico, teléfono y documento de identificación, conforme a lo descrito en la sección 2.1. El Organizador declara, ante nosotros, contar con base legal para proporcionarnos esos datos y es responsable de informarle al respecto;
- Las demás informaciones proporcionadas por los Organizadores en el contexto de los Eventos que usted ha adquirido.
3. Para qué usamos sus datos y con qué base legal
| Finalidad | Base legal (LGPD) |
|---|---|
| Crear y gestionar su cuenta y autenticación | Ejecución de contrato (Art. 7, V) |
| Procesar compras, emitir Entradas/Productos y generar códigos QR | Ejecución de contrato (Art. 7, V) |
| Procesar pagos, transferencias y retiros | Ejecución de contrato (Art. 7, V) |
| Vincular a su titular la Entrada o Producto emitido manualmente por un Organizador, y evitar que quede registrado a nombre de un tercero | Interés legítimo (Art. 7, IX) — del titular de la Entrada, en recibirla en su propia cuenta, y de la plataforma, en mantener un registro fidedigno de titularidad |
| Verificar identidad (KYC), prevenir fraude, lavado de dinero y abuso | Cumplimiento de obligación legal (Art. 7, II) e interés legítimo (Art. 7, IX) |
| Enviar confirmaciones, recibos, códigos QR y comunicaciones operativas sobre sus pedidos y Eventos | Ejecución de contrato (Art. 7, V) |
| Prestar soporte y responder a solicitudes | Ejecución de contrato e interés legítimo (Art. 7, IX) |
| Garantizar la seguridad de la plataforma y registrar pruebas de aceptación y de uso | Interés legítimo (Art. 7, IX) y cumplimiento de obligación legal |
| Cumplir obligaciones fiscales, contables y regulatorias | Cumplimiento de obligación legal (Art. 7, II) |
| Ejercer y defender derechos en procesos | Ejercicio regular de derechos (Art. 7, VI) |
| Enviar comunicaciones de marketing y novedades | Consentimiento (Art. 7, I) — revocable en cualquier momento |
| Realizar análisis estadístico y mejorar el servicio | Interés legítimo (Art. 7, IX) |
Cuando el tratamiento se base en interés legítimo, nos limitamos a lo estrictamente necesario y respetamos sus expectativas razonables y sus derechos fundamentales. Usted puede oponerse a dicho tratamiento conforme a la sección 6.
El tratamiento del documento en Entradas emitidas manualmente merece una nota específica: quien recibe una Entrada emitida de esa forma no celebra contrato con nottepass (la transacción ocurre entre esa persona y el Organizador, fuera de la plataforma), razón por la cual la base legal aquí es el interés legítimo, y no la ejecución de contrato. El dato se usa exclusivamente para el vínculo de titularidad y para la prevención del fraude — nunca para marketing.
4. Con quién compartimos sus datos
Compartimos datos solo cuando es necesario para prestar el servicio, cumplir la ley o proteger derechos. Los destinatarios y las finalidades son:
- Organizadores del Evento: para los Eventos que usted ha adquirido, el Organizador recibe el nombre, correo electrónico y teléfono del Comprador (el teléfono solo cuando se informe), para la validación de acceso en la portería y la comunicación sobre el Evento (por ejemplo, cambios o cancelación). En cuanto al documento de identificación, la regla es doble: en las listas y exportaciones de compradores disponibles en el Panel no aparece en ninguna forma, ni siquiera enmascarado; en las pantallas de la Entrada emitida manualmente por el propio Organizador aparece enmascarado, exclusivamente para que se identifique la Entrada correcta al emitir, corregir o cancelar. El valor completo nunca se comparte. El Organizador es controlador autónomo de los datos que recibe, solo puede usarlos para las finalidades anteriores y responde por el uso que hace de ellos;
- Pasarela de pago (Pagar.me): datos necesarios para procesar pagos, constituir receptores y realizar transferencias/retiros;
- Proveedores de infraestructura y comunicación (por ejemplo, servicios de hospedaje, base de datos y envío de correo electrónico): tratan datos en nuestro nombre, como operadores, bajo contrato y con obligación de confidencialidad;
- Autoridades públicas y órganos reguladores: mediante orden judicial, requerimiento administrativo legítimo o para cumplir una obligación legal;
- Sucesores: en caso de reorganización societaria, fusión o adquisición, los datos pueden transferirse al sucesor, manteniéndose la observancia de esta Política.
nottepass nunca vende sus datos personales. No compartimos sus datos con terceros para el marketing propio de estos sin su consentimiento.
5. Por cuánto tiempo almacenamos sus datos
Conservamos los datos durante el tiempo necesario para las finalidades para las que fueron recopilados y para el cumplimiento de obligaciones legales:
- Datos de registro y cuenta: mientras la cuenta esté activa y hasta 5 años después de su inactivación, para obligaciones fiscales y el plazo de prescripción del Código de Defensa del Consumidor;
- Datos de transacción, pago y fiscales: mínimo de 5 años, conforme a la legislación fiscal y contable;
- Documento informado en la emisión manual: mientras la Entrada sea válida y, después de eso, durante el plazo de prescripción aplicable, para la defensa de derechos y la prevención del fraude. Como esa transacción no pasa por el sistema financiero de nottepass, este dato no se conserva por obligación fiscal;
- Documentos de verificación de identidad (KYC): por el período exigido por la regulación de prevención del fraude y del lavado de dinero y mientras sea necesario para la defensa de derechos, siendo eliminados o anonimizados al término;
- Registros de acceso y logs de seguridad: mínimo de 6 meses (Marco Civil de Internet, Art. 15), pudiendo conservarse por más tiempo cuando sea necesario para la seguridad y la defensa de derechos;
- Registros de aceptación de políticas: conservados con fines probatorios mientras subsista cualquier responsabilidad derivada de la relación; pueden anonimizarse a solicitud, pero no eliminarse, por constituir prueba de la manifestación de voluntad.
Finalizados los plazos y las finalidades, los datos se eliminan o anonimizan de forma segura, salvo los supuestos de guarda obligatoria previstos en la ley.
6. Sus derechos como titular de los datos
Conforme a la LGPD (Art. 18), usted puede, en cualquier momento:
- Confirmar la existencia de tratamiento de sus datos;
- Acceder a los datos que mantenemos sobre usted;
- Corregir datos incompletos, inexactos o desactualizados;
- Anonimizar, bloquear o eliminar datos innecesarios, excesivos o tratados en disconformidad con la ley;
- Portar sus datos a otro proveedor, mediante solicitud expresa;
- Eliminar los datos tratados con base en su consentimiento;
- Obtener información sobre las entidades con las que compartimos sus datos;
- Revocar el consentimiento en cualquier momento;
- Oponerse al tratamiento basado en interés legítimo, en los casos previstos en la ley — incluida la conservación del documento informado por un Organizador en una emisión manual. En ese caso específico, por ser el documento indispensable para atribuir la Entrada a una persona, la oposición implica la cancelación de la Entrada y la invalidación del Código QR, conforme a la sección 2.1.
Para ejercer estos derechos, escriba a privacidade@nottepass.com.br. Podremos solicitar información adicional para confirmar su identidad antes de atender la solicitud, como medida de seguridad. Responderemos dentro del plazo legal.
Algunos derechos pueden estar limitados cuando exista un deber legal de retención (por ejemplo, datos fiscales o registros de prevención de fraude). En esos casos, explicaremos el motivo de la negativa.
7. Seguridad de los datos
Adoptamos medidas técnicas y organizativas para proteger sus datos contra accesos no autorizados, pérdida, alteración y divulgación indebida:
- Cifrado en tránsito (HTTPS/TLS);
- Cifrado del documento de identificación en reposo: el CPF y el pasaporte se almacenan cifrados, y las búsquedas por documento utilizan un índice no reversible — de modo que el valor no queda legible en la base de datos ni en las copias de seguridad;
- Contraseñas protegidas por hash bcrypt y tokens de sesión de corta duración;
- Control de acceso basado en funciones (RBAC), con concesión de privilegios mínimos;
- Tratamiento reforzado de los documentos de verificación de identidad (KYC): almacenamiento en un repositorio privado y dedicado, sin acceso público, con claves de acceso segregadas; el acceso por parte de nuestro equipo se realiza solo mediante enlaces temporales de corta expiración y queda registrado en una traza de auditoría;
- Enmascaramiento de datos personales (como el documento de identificación y el teléfono) en las interfaces internas y eliminación de campos sensibles de los registros de log;
- Monitoreo de accesos sospechosos y alertas de incidentes.
Ningún sistema es absolutamente inmune a riesgos. En caso de incidente de seguridad que pueda acarrear riesgo o daño relevante a los titulares, comunicaremos a la Autoridad Nacional de Protección de Datos (ANPD) y a los titulares afectados, en los plazos y la forma que prevé la ley.
8. Cookies y tecnologías similares
Utilizamos cookies esenciales para el funcionamiento y la seguridad de la plataforma (como sesión autenticada, protección contra CSRF y registro del consentimiento) y cookies opcionales de análisis y marketing, estas últimas solo con su consentimiento. Los detalles, finalidades y plazos están en la Política de Cookies, donde también puede gestionar sus preferencias.
9. Niños y adolescentes
Nuestros servicios están destinados a mayores de 18 años. No recopilamos intencionalmente datos de menores. Si identificamos datos de menores recopilados sin el debido amparo legal, procederemos a su eliminación. Si usted es responsable de un menor que utilizó la plataforma, póngase en contacto para la eliminación de los datos.
10. Transferencia internacional de datos
Algunos proveedores de infraestructura, pago y comunicación pueden tratar datos en servidores ubicados fuera de Brasil. En esos casos, aseguramos que la transferencia observe los requisitos de la LGPD (Art. 33 y siguientes), mediante cláusulas contractuales adecuadas y la exigencia de estándares de protección compatibles con la legislación brasileña.
11. Decisiones automatizadas
Podemos utilizar reglas automatizadas para prevenir el fraude, validar pagos y proteger la plataforma (por ejemplo, el rechazo de transacciones con indicios de fraude, o el límite de compras por documento definido por el Organizador). Usted puede solicitar la revisión de decisiones automatizadas que afecten a sus intereses, conforme al Art. 20 de la LGPD, a través del canal indicado en esta Política.
12. Modificaciones de esta Política
Podemos actualizar esta Política periódicamente para reflejar cambios legales, técnicos u operativos. Los cambios relevantes se comunicarán con una antelación mínima de 30 días.
Excepcionalmente, los cambios exigidos por ley o por determinación de una autoridad, necesarios para la seguridad de la plataforma, o destinados a describir con mayor exactitud una práctica ya en curso — sin ampliar el tratamiento de datos — entran en vigor de inmediato, y se comunican en su primer acceso siguiente.
Cuando el cambio exija una nueva manifestación de voluntad, usted deberá aceptar la nueva versión para continuar usando la plataforma. El historial de versiones está disponible previa solicitud.
13. Fuero y legislación aplicable
Esta Política se rige por las leyes brasileñas. Se elige el fuero de la comarca de Presidente Prudente, Estado de São Paulo, para dirimir controversias, salvo el derecho del consumidor de optar por el fuero de su domicilio (Art. 101, I, del Código de Defensa del Consumidor).
14. Contacto
Las dudas, solicitudes o el ejercicio de derechos relativos a esta Política pueden dirigirse al Encargado de Protección de Datos:
Correo electrónico: privacidade@nottepass.com.br
Última actualización: 10 de agosto de 2026