Política de tratamiento de datos personales

1. Marco legal y alcance

La presente política se expide en cumplimiento del artículo 15 de la Constitución Política, de la Ley Estatutaria 1581 de 2012, del Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015) y de la Ley 2300 de 2023, y aplica a los datos personales recogidos a través del formulario de inscripción del sitio web del encuentro, de la tienda de boletería del encuentro y del control de ingreso a sus sesiones. El responsable del tratamiento es Eventalist S.A.S., titular de la plataforma Eventalist, que gestiona la comunicación y la boletería del encuentro.

2. Datos objeto de tratamiento

Se recogen únicamente los datos que el titular consigna en el formulario: nombre, correo electrónico y número de teléfono. El correo electrónico es el único dato obligatorio. No se recogen datos sensibles.

En la tienda de boletería se recogen el nombre del comprador y de cada asistente, el correo electrónico del comprador y su número de teléfono, junto con el código del pedido y el registro de las boletas validadas en la entrada. Con cada pedido se registran además su estado (pendiente, vencido o pagado) y la campaña o fuente de la que proviene la visita: los parámetros de campaña de la dirección web, la página de llegada, el dominio del sitio desde el que se llegó y, si el visitante aceptó las cookies, los identificadores de Google Analytics, de Meta y de clic descritos en la sección 10. Los datos del medio de pago los recibe y trata directamente la pasarela de pagos conforme a su propia política; el responsable no los recibe ni los almacena. Durante el encuentro se captan fotografías y grabaciones de video de las sesiones y del público, que pueden incluir la imagen de los asistentes.

El formulario está dirigido a personas mayores de dieciocho (18) años. Los datos de un menor de edad que lleguen a recibirse se suprimirán tan pronto se tenga conocimiento de esa circunstancia.

El sitio recoge además, mediante cookies e identificadores similares, los datos de navegación descritos en la sección 10.

3. Finalidades del tratamiento

Los datos se tratan con fines comerciales y de comunicación, para las siguientes finalidades:

1. Informar al titular sobre la apertura de la venta de boletas del encuentro.
2. Enviar información, programación y novedades del encuentro.
3. Informar sobre futuras ediciones del encuentro y sobre otros eventos culturales en Villa de Leyva cuya comunicación o boletería gestione Eventalist.
4. Atender las consultas y reclamos del titular en relación con sus datos.
5. Gestionar la compra de boletas: emitir y enviar la boleta, confirmar el pago, emitir la factura de venta cuando corresponda, controlar el ingreso al encuentro y atender las solicitudes del comprador sobre su pedido.
6. Documentar el encuentro y comunicarlo, junto con sus futuras ediciones, mediante las fotografías y los videos captados durante las sesiones.
7. Medir la audiencia del sitio y la eficacia de la publicidad del encuentro, atribuir los pedidos a la campaña que los originó y mostrar anuncios del encuentro en las plataformas de Meta a quienes iniciaron una compra sin completarla, en los términos de la sección 10.
8. Recordar al comprador cuyo pedido quedó pendiente de pago que puede completar la compra, mientras la venta del encuentro esté abierta.

Las comunicaciones comerciales se envían por los canales que el titular autoriza. En el formulario, los que allí indique. En la tienda, el correo electrónico para las finalidades b), c) y h), y WhatsApp solo para las finalidades b) y h) respecto del encuentro en curso. Se envían conforme a los canales, horarios y periodicidad previstos en la Ley 2300 de 2023 e incluyen un mecanismo para dejar de recibirlas que no afecta la compra ni la boleta. Los mensajes sobre un pedido, como la confirmación, la boleta, los avisos de vencimiento que envía la tienda y los avisos de cambios de programación, son de carácter transaccional. Las comunicaciones comerciales se dirigen solo al comprador; los datos de los demás asistentes registrados en el pedido no se usan con fines comerciales ni se transmiten a Google ni a Meta. Las finalidades c), g) y h), en lo que se refiere a los datos de la tienda, se aplican a los pedidos realizados a partir del 9 de octubre de 2026; los datos de pedidos anteriores no se usan con esos fines.

4. Transferencia y transmisión a terceros

El responsable no vende los datos personales ni los cede a terceros, salvo la transmisión a Google LLC y a Meta Platforms, Inc. de los datos de navegación y de los datos de los pedidos descritos en la sección 10. Para el almacenamiento de la información y el envío de comunicaciones se apoya en proveedores tecnológicos que actúan como encargados del tratamiento por cuenta del responsable, siguen sus instrucciones y solo pueden usar los datos para las finalidades de esta política. El personal de acreditación del encuentro accede a los datos de la boleta únicamente para controlar el ingreso, por cuenta y bajo instrucciones del responsable. Algunos de esos proveedores pueden alojar la información en servidores ubicados fuera de Colombia; en tal caso la transmisión se realiza conforme al artículo 26 de la Ley 1581 de 2012, a los artículos 24 y 25 del Decreto 1377 de 2013 y a los estándares fijados por la Superintendencia de Industria y Comercio.

5. Autorización

El tratamiento requiere la autorización previa, expresa e informada del titular, que se otorga en el formulario marcando una casilla que aparece sin marcar por defecto, junto al texto que identifica al responsable, los datos, las finalidades y los canales de contacto. El responsable conserva prueba de la autorización (fecha y hora del registro y medio por el que se otorgó) y del texto del aviso vigente en cada momento. El titular puede solicitar copia de esa prueba y revocar la autorización en cualquier momento por el medio indicado en la sección 8. En la tienda de boletería, la autorización se otorga antes de confirmar el pedido marcando una casilla sin marcar por defecto, cuyo texto identifica al responsable, las finalidades, los proveedores a los que se transmiten los datos y los canales de contacto. El responsable conserva la fecha del pedido y la versión del texto aceptado. La autorización para la captación y el uso de la imagen durante el encuentro se informa en los términos y condiciones de compra y mediante avisos en la sede, y se entiende otorgada por la conducta inequívoca de ingresar a las sesiones tras esa información. La autorización que el titular otorga a Eventalist en el formulario o en la tienda se entiende otorgada a Eventalist S.A.S.. La autorización para las cookies de analítica y de publicidad se otorga al pulsar Aceptar en el aviso del sitio. La autorización para transmitir los datos de los pedidos a Google y a Meta se otorga en la casilla de la tienda. El titular puede revocar en cualquier momento la autorización para mensajes comerciales, desde el mecanismo incluido en cada mensaje o por el medio indicado en la sección 8, y la autorización para la transmisión con fines publicitarios, por ese mismo medio. La revocación no afecta la boleta ni el tratamiento necesario para la compra y el ingreso.

6. Conservación de los datos

Los datos se conservan mientras subsista la finalidad que justificó su recolección, o hasta que el titular solicite su supresión o revoque la autorización, lo que ocurra primero. Cumplida la finalidad, se suprimen, salvo que una obligación legal exija conservarlos. Los datos de las compras se conservan además durante el término que exigen las normas contables y tributarias. Los datos de contacto del comprador se conservan en la base de contactos del responsable mientras esté vigente la autorización para mensajes comerciales. El número de teléfono se usa por WhatsApp con fines comerciales solo hasta la finalización del encuentro, y los pedidos no pagados se usan para el recordatorio solo mientras la venta esté abierta.

7. Derechos del titular

De conformidad con el artículo 8 de la Ley 1581 de 2012, el titular tiene derecho a:

1. Conocer, actualizar y rectificar sus datos personales.
2. Solicitar prueba de la autorización otorgada.
3. Ser informado, previa solicitud, sobre el uso que se ha dado a sus datos.
4. Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley, una vez agotado el trámite de consulta o reclamo ante el responsable.
5. Revocar la autorización y solicitar la supresión de sus datos.
6. Acceder de forma gratuita a sus datos personales.

8. Atención de consultas y reclamos

El área de protección de datos de Eventalist atiende las peticiones, consultas y reclamos de los titulares y da trámite al ejercicio de sus derechos. El único medio habilitado para estos efectos es el correo electrónico hola@eventalist.co; las solicitudes presentadas por otros medios se tendrán por recibidas cuando lleguen a ese correo.

Consultas. El titular puede consultar sus datos indicando su nombre completo y el correo con el que se inscribió. La consulta se atiende en un plazo máximo de diez (10) días hábiles contados desde su recibo. Si no es posible atenderla en ese término, se informará al titular el motivo y la fecha en que se atenderá, que no superará los cinco (5) días hábiles siguientes al vencimiento del primer plazo.

Reclamos. Cuando el titular considere que sus datos deben ser corregidos, actualizados o suprimidos, o advierta un incumplimiento de los deberes del responsable, puede presentar un reclamo con su identificación, la descripción de los hechos, una dirección de contacto y los documentos que quiera hacer valer. Si el reclamo está incompleto, se le requerirá dentro de los cinco (5) días siguientes para que lo subsane; transcurridos dos (2) meses sin respuesta, se entenderá desistido. Recibido el reclamo completo, se incluirá en la base de datos la leyenda "reclamo en trámite" en un término no mayor a dos (2) días hábiles, y se resolverá en un plazo máximo de quince (15) días hábiles contados desde el día siguiente a su recibo. Si no es posible, se informará al titular el motivo y la fecha de respuesta, que no superará los ocho (8) días hábiles siguientes al vencimiento del primer plazo.

Agotado este trámite, el titular puede acudir a la Superintendencia de Industria y Comercio, Delegatura para la Protección de Datos Personales, autoridad encargada de vigilar el cumplimiento de la Ley 1581 de 2012.

9. Seguridad

El responsable adopta las medidas técnicas y administrativas razonables para evitar la pérdida, el acceso no autorizado o el uso indebido de los datos, exige a sus encargados el mismo cuidado y restringe el acceso a la base de datos a las personas que lo requieren para cumplir las finalidades descritas.

10. Cookies, medición de audiencia y publicidad

El sitio usa cookies e identificadores similares de dos proveedores. Google Analytics 4, de Google LLC, mide la audiencia del sitio: páginas visitadas, origen de la visita, tipo de dispositivo y navegador, país aproximado, intención de compra (el paso a la sección de boletas y el inicio de la compra en la tienda) y la inscripción en la lista de interesados, sin los datos que la persona registra en ella. El píxel de Meta, de Meta Platforms, Inc., mide la eficacia de los anuncios del encuentro en las plataformas de Meta (visitas, intención de compra e inscripciones en la lista de interesados que llegan desde ellos) y permite mostrar anuncios del encuentro a quienes han visitado el sitio. Los identificadores que estos servicios guardan en el navegador, entre ellos las cookies _ga, _fbp y _fbc, no contienen el nombre ni el correo del visitante, pero permiten reconocer el navegador en visitas sucesivas, por lo que se tratan como datos personales conforme al criterio de la Superintendencia de Industria y Comercio.

Esas cookies solo se activan después de que el visitante acepta el aviso que el sitio muestra en su primera visita; hasta entonces el sitio no instala cookies de analítica ni de publicidad. La aceptación se registra en el navegador del visitante con la fecha, la hora y la versión del aviso aceptado, y el responsable conserva el texto de cada versión del aviso.

Para atribuir cada pedido a la campaña que lo originó, aunque la compra se haga en una visita posterior, el sitio guarda en el almacenamiento local del navegador los parámetros de campaña del enlace de llegada, la página de llegada y el dominio de referencia, y los tiene en cuenta durante un máximo de treinta (30) días y nunca después de la finalización del encuentro. Esta información no identifica al visitante y solo se asocia a una persona si esta realiza un pedido, conforme a la autorización otorgada en la tienda. Los identificadores de clic de Google y Meta se conservan entre visitas únicamente si el visitante acepta las cookies.

Cuando un pedido de la tienda se confirma y cuando se paga, el responsable transmite desde sus propios servidores a Meta Platforms, Inc. el correo electrónico, el número de teléfono, el nombre y el apellido del comprador, convertidos previamente mediante la función SHA-256 en códigos que no revelan el dato y que el proveedor solo puede cotejar con cuentas que ya conoce, junto con el estado, el valor, la moneda y los productos del pedido, la campaña de origen y, si el comprador aceptó las cookies, los identificadores _fbp y _fbc, y la dirección IP y el tipo de navegador desde los que se hizo el pedido. A Google LLC transmite los mismos datos del pedido y de la campaña y, si el comprador aceptó las cookies, el identificador de Google Analytics, sin el nombre, el correo ni el teléfono. Las finalidades son atribuir el pedido a la campaña que lo originó, medir la eficacia de la publicidad del encuentro y, en el caso de Meta, mostrar anuncios del encuentro a quienes iniciaron una compra sin completarla y excluir de ellos a quienes ya compraron.

Google LLC y Meta Platforms, Inc. tienen su sede en Estados Unidos y tratan la información que reciben conforme a sus propias políticas, para prestar sus servicios de medición y publicidad. La transferencia se realiza con la autorización del titular y al amparo del artículo 26 de la Ley 1581 de 2012 y de la Circular Externa 005 de 2017 de la Superintendencia de Industria y Comercio, que reconoce a Estados Unidos un nivel adecuado de protección de datos. La forma en que Google usa la información de los sitios que utilizan sus servicios se describe en policies.google.com/technologies/partner-sites, y las opciones sobre los anuncios de Meta están disponibles en facebook.com/adpreferences.

El visitante puede retirar la aceptación en cualquier momento por cualquiera de estos medios: el enlace Cookies y preferencias del pie de página, que desactiva las cookies de analítica y publicidad en ese navegador; la eliminación de las cookies desde la configuración del navegador; o el correo electrónico hola@eventalist.co. La revocación surte efecto desde ese momento y respecto del navegador en que se realiza. Sobre la información que Google o Meta ya hayan recibido, el titular puede ejercer sus derechos ante esos proveedores mediante las opciones indicadas en el párrafo anterior. El comprador puede pedir por el correo hola@eventalist.co que los datos de sus pedidos no se transmitan con fines publicitarios; desde ese momento el responsable deja de incluirlos en nuevas transmisiones.

11. Vigencia

Esta política rige a partir del 9 de octubre de 2026. La base de datos de personas inscritas se mantiene vigente mientras subsistan las finalidades de la sección 3. La base de contactos de compradores se mantiene vigente mientras subsistan las finalidades de la sección 3. Cualquier cambio sustancial en la identidad del responsable o en las finalidades se comunicará a los titulares antes de aplicarlo y se publicará en esta página.