Política de privacidad

El responsable de tus datos personales es CACECORT INVERSIONES E.I.R.L., con RUC 20616060172 y domicilio en Jr. Jorge Castro Harrizon 205, San Miguel, Lima, que opera la plataforma Tucupo (tucupo.pe). Tus datos personales se tratan conforme a la Ley N.° 29733, Ley de Protección de Datos Personales, y su reglamento.

Para cualquier consulta sobre tus datos escríbenos a privacidad@tucupo.pe o usa el formulario de /derechos-arco.

Esta política explica qué datos tratamos, para qué, con quién los compartimos, cuánto tiempo los guardamos y cómo ejerces tus derechos, según la Ley N.° 29733, Ley de Protección de Datos Personales, y su reglamento, aprobado por el Decreto Supremo N.° 016-2024-JUS.

Los que nos das

• Tu cuenta: tu correo y tu clave. La clave se guarda transformada con un algoritmo de un solo sentido (argon2id): nadie, ni siquiera Tucupo, puede leerla. Si entras con «Continuar con Google», en lugar de la clave recibimos de Google tu correo, tu nombre, un identificador de tu cuenta de Google y la dirección de tu foto de perfil (no la imagen).
• Tu perfil: si los completas en «Mi cuenta»: primer y segundo nombre, apellidos, celular, y tipo y número de documento.
• Tus compras: tus pedidos (eventos, tipos de entrada, zonas, butacas, montos, estado y fechas), el nombre y el correo del comprador, el medio de pago que usaste (tarjeta o Yape, a través de Culqi). No recibimos ni guardamos el número de tu tarjeta: lo procesa la pasarela de pagos.
• Tus entradas: el nombre del titular, el evento, la zona, la butaca, el estado y, al ingresar, la hora y la puerta en que se validó. La llave con la que tu celular calcula el QR se guarda cifrada.
• Solicitud de promotor: si pides una cuenta de promotor: nombre comercial, celular y, si lo das, RUC.
• Libro de Reclamaciones: lo que pide la hoja: nombre, documento, domicilio, correo, teléfono (opcional), los datos de tu padre, madre o apoderado si eres menor de edad, y lo que escribes en ella.
• Solicitudes de derechos ARCO: nombre, correo, tipo y número de documento y lo que pides. No pedimos una copia de tu documento por el formulario; si hace falta para acreditar tu identidad, te la pedimos por correo.

Los que se generan al usar Tucupo

• Consentimientos: qué aceptaste o retiraste (Términos, Política de privacidad, publicidad), la versión de cada texto, la fecha, tu dirección IP y tu navegador.
• Registro de actividad: por seguridad y porque la ley lo exige, registramos acciones como los cambios de tus datos, las descargas de tus datos y, en el panel, el inicio y el cierre de sesión, con la cuenta, la hora y la dirección IP.
• Dispositivo del Libro de Reclamaciones: un número al azar guardado en una cookie, del que solo conservamos una huella (hash) para limitar cuántas hojas se registran desde un mismo dispositivo. No identifica a la persona.
• Medición: solo si aceptas las cookies de medición: las páginas que visitas, el tipo de dispositivo y cómo interactúas con las páginas públicas (ver «Cookies y medición»).

Para darte el servicio que pediste

• crear y mantener tu cuenta, e identificarte cuando entras;
• reservar tus entradas, procesar tu pedido y el pago, entregarte tus entradas en «Mis entradas» y enviarte el correo de confirmación de tu compra;
• validar tus entradas en la puerta del evento;
• procesar las devoluciones que correspondan, también cuando un evento se cancela;
• atender tus consultas, reclamos y quejas.

Para cumplir la ley

• llevar el Libro de Reclamaciones y responder en plazo;
• atender tus solicitudes de derechos ARCO;
• conservar la información de las ventas que exigen las normas tributarias;
• llevar el registro de actividad que exige el reglamento de la Ley de Protección de Datos Personales;
• responder a los pedidos de las autoridades competentes.

Para proteger la plataforma

• prevenir fraudes, compras automatizadas y abusos, con límites de intentos y la verificación contra bots de Cloudflare (Turnstile) en el registro, la recuperación de clave, el Libro de Reclamaciones y el formulario de derechos ARCO.

Solo con tu consentimiento

• enviarte novedades y promociones por correo (ver «Publicidad y novedades»);
• medir cómo se usa el sitio con Google Analytics y Microsoft Clarity (ver «Cookies y medición»).

No vendemos tus datos personales ni los usamos para tomar decisiones automatizadas sobre ti. Cada tratamiento se sustenta en una base de legitimación conforme al artículo 14 de la Ley N.° 29733: la relación contractual al comprar entradas o usar tu cuenta, el cumplimiento de obligaciones legales de Tucupo o tu consentimiento previo, expreso e informado cuando corresponda.

Solo te enviaremos novedades y promociones de Tucupo por correo si lo aceptas con la casilla aparte que aparece al crear tu cuenta. Esa casilla nunca viene marcada, y no aceptarla no cambia nada de tu cuenta ni de tus compras.

Puedes activar o retirar ese permiso cuando quieras, con un clic, en «Mi cuenta» › «Privacidad». Cada cambio queda registrado con su fecha. Los correos comerciales que se envíen incluirán un enlace directo para darte de baja en cualquier momento.

No compartimos tus datos de contacto con terceros ni promotores con fines publicitarios. Cualquier comunicación publicitaria ajena requerirá tu consentimiento libre, previo, expreso e informado.

El promotor del evento

• En su reporte de ventas, el promotor ve el nombre del comprador, el código del pedido y las entradas de su evento, pero no tu correo, tu celular ni tu documento.
• En el control de acceso, el personal encargado de validar la entrada ve en el sistema si la entrada es válida y, para permitir el ingreso, el nombre del titular, la zona, el tipo de entrada y la butaca asignada.
• Si registras un reclamo sobre su evento, podemos enviarle al promotor el número de la hoja, el detalle y lo que pides, sin tu nombre ni tus datos de contacto, para que nos ayude a responderte.

Proveedores que tratan datos por encargo de Tucupo

Estos proveedores tratan datos solo para prestarnos su servicio y bajo nuestras instrucciones. Varios están fuera del Perú, así que hay transferencias internacionales de datos (flujo transfronterizo):

• Hostinger (Brasil): el servidor donde funciona la plataforma: guarda la base de datos, los archivos subidos y los registros del sistema.
• Cloudflare (Estados Unidos y red global): protege y acelera el sitio y administra el dominio. Todo el tráfico pasa por su red, incluidos los formularios, las cookies, tu dirección IP y tu navegador. También presta la verificación contra bots (Turnstile) y gestiona el enrutamiento de correos a reclamos@, privacidad@ y contacto@ (Email Routing).
• Backblaze B2 (Países Bajos): guarda las copias de respaldo de la base de datos y de los archivos. Se cifran en nuestro servidor antes de enviarse, así que Backblaze no puede leerlas.
• Culqi (Perú): procesa los pagos con tarjeta y con Yape, en su propio checkout. Tucupo no ve ni guarda los datos completos de tu tarjeta, los cuales procesa directamente Culqi bajo estándares de seguridad.
• Google (Estados Unidos): solo si eliges «Continuar con Google»: confirma tu correo y tu nombre a Tucupo. Además, Google Analytics, solo si aceptas las cookies de medición, y Google Maps: la página de un evento con «Cómo llegar» muestra el mapa del lugar al abrirse, y al cargarlo Google recibe tu dirección IP, los datos de tu navegador y el lugar del evento (lo mismo si tocas «Abrir en Google Maps»).
• Microsoft Clarity (Estados Unidos): solo si aceptas las cookies de medición, y nunca en tu cuenta, el carrito, el pago ni el panel.
• Amazon SES (Estados Unidos, Ohio): envía los correos de la plataforma (confirmaciones de compra, constancias, respuestas y recuperación de clave): recibe tu correo, tu nombre y el contenido del mensaje.
• Sentry (Estados Unidos): registro y diagnóstico de errores técnicos de la plataforma, con los datos personales filtrados antes de enviarse.
• Monarx (Estados Unidos): escáner de seguridad en el servidor que monitorea la integridad de los archivos del sistema frente a amenazas.

Estas transferencias internacionales se apoyan en las garantías y acuerdos de tratamiento de datos exigidos por el reglamento de la Ley N.° 29733.

Autoridades

Compartimos datos con autoridades como el INDECOPI, la Autoridad Nacional de Protección de Datos Personales, la SUNAT o el Poder Judicial cuando la ley nos obliga o ellas lo piden en ejercicio de sus funciones.

Las cookies son pequeños archivos que el sitio guarda en tu navegador. Tucupo usa las necesarias para funcionar y, solo si las aceptas, las de medición.

Cookies necesarias (no se pueden desactivar)

• tucupo_session: mantiene tu sesión iniciada. Dura hasta 30 días y se renueva mientras usas el sitio. No es accesible desde el código de la página (httpOnly).
• tucupo_hold: identifica tu carrito y las entradas que tienes reservadas. Dura 30 minutos desde la última reserva (httpOnly).
• tucupo_lr_dispositivo: número al azar que limita cuántas hojas del Libro de Reclamaciones se registran desde un mismo dispositivo. Dura un año (httpOnly).
• tucupo_consent: guarda si aceptaste o rechazaste las cookies de medición y cuándo, sin ningún dato personal. Dura 6 meses; después te volvemos a preguntar.

Cookies de medición (solo si las aceptas)

• Google Analytics (_ga y _ga_…): cuenta visitas y compras de forma agregada para saber qué funciona. Las direcciones que recibe no llevan códigos de pedido, correos ni otros datos personales, conservándose según las políticas del proveedor.
• Microsoft Clarity (_clck y _clsk): muestra mapas de calor y grabaciones de cómo se navega por las páginas públicas, con los formularios enmascarados. No se carga en tu cuenta, el carrito, el pago, la confirmación del pedido ni el panel, conservándose según las políticas del proveedor.

Mientras no aceptes, estas herramientas no se cargan. Puedes cambiar tu elección cuando quieras en «Preferencias de cookies», al pie de cada página: si la retiras, borramos sus cookies. También puedes borrar o bloquear las cookies desde tu navegador, aunque sin las necesarias el sitio no funcionará bien.

Otros datos guardados en tu dispositivo

• Para que tus entradas funcionen sin señal, «Mis entradas» guarda en tu celular (IndexedDB y la caché del navegador) la llave de cada QR y la página. Se borran al cerrar sesión o al eliminar tu cuenta.
• Si usas el escáner del panel, el navegador recuerda algunas preferencias del lector.
• En el panel, la cookie tucupo_vistas, y en tu cuenta, la cookie tucupo_vistas_cuenta, recuerdan si ves cada listado (por ejemplo, «Mis pedidos») como tabla o como tarjetas. Cada una se envía solo en su sección, no lleva datos personales y dura un año.
• El botón «Continuar con Google», la verificación de Cloudflare y el mapa de Google Maps en la página de un evento cargan código de esas empresas, que puede gestionar sus cookies técnicas bajo sus respectivas políticas de privacidad.

• Tu cuenta: mientras exista.
• Pedidos, pagos y devoluciones: durante el plazo que exigen las normas tributarias; cumplido dicho plazo, los datos del comprador se anonimizan.
• Consentimientos: mientras exista la cuenta y 5 años más, como prueba de lo que aceptaste.
• Hojas del Libro de Reclamaciones: al menos 2 años desde su registro; antes no se pueden borrar ni cambiar.
• Registro de actividad: al menos 2 años. La dirección IP de los registros se borra a los 12 meses.
• Llave del QR de cada entrada: hasta 90 días después del evento; luego se borra y la entrada queda solo como registro.
• Enlaces para recuperar la clave: hasta que vencen; se borran a diario.
• Copias de respaldo: hasta unos 6 meses, más 45 días antes del borrado definitivo en el almacenamiento de respaldos.
• Registros técnicos del servidor: se depuran mediante rotación técnica periódica y no guardan tu dirección IP.

La tarea diaria de limpieza aplica los plazos de la IP, del registro de actividad, de los enlaces de recuperación, de los consentimientos y de las llaves de QR. Al eliminar una cuenta, se anonimizan los datos del comprador y se conservan los montos de sus pedidos durante el plazo exigido por las normas tributarias aplicables.

Si eliminas tu cuenta

• Se anonimizan tu correo, tu nombre, tu celular, tu documento, tu foto y tu vínculo con Google; se cierran todas tus sesiones; y tus entradas pasan a nombre de «Usuario eliminado».
• Se conservan tus pedidos con sus montos para el registro de ventas; al eliminar la cuenta, el nombre y el correo del comprador se anonimizan y su documento se borra. Los pedidos se conservan durante el plazo legal aplicable. Los consentimientos y el registro de actividad se guardan por sus plazos legales, y las solicitudes de derechos ARCO que presentaste como constancia de atención.
• No puedes eliminar la cuenta hasta que pasen 24 horas desde el fin del evento de tus entradas vigentes (o desde su hora de inicio si no tiene hora de fin). Los pedidos sin pagar también bloquean la eliminación: en «Mis pedidos», abre «Continuar con el pago» y elige «Volver al carrito» para cancelarlo, o paga el pedido.
• Si alguna vez se restaura una copia de respaldo anterior a la eliminación, tu cuenta se vuelve a anonimizar de forma automática.

Tienes derecho a saber cómo tratamos tus datos (información), a obtenerlos (acceso), a corregirlos o completarlos (rectificación), a que los eliminemos cuando ya no sean necesarios (cancelación) y a oponerte a un tratamiento por un motivo legítimo (oposición). También puedes retirar en cualquier momento un consentimiento que nos diste.

Desde tu cuenta, al instante

• corregir tus datos en «Mi cuenta»;
• descargar tus datos en «Mi cuenta» › «Privacidad», en un archivo JSON con tu cuenta, tus consentimientos, tus solicitudes y tus entradas (hasta 3 descargas cada 24 horas);
• activar o retirar la publicidad, y eliminar tu cuenta, en la misma página.

Con una solicitud formal

Con cuenta o sin ella, usa el formulario de /derechos-arco o escríbenos a privacidad@tucupo.pe. Indica tu nombre, tu correo, tu documento y qué pides. Recibes por correo una constancia con un código (DP-…) y la fecha límite de respuesta. Si hace falta acreditar tu identidad, te pediremos una copia de tu documento por correo.

• Información: respondemos en 8 días hábiles.
• Acceso: respondemos en 20 días hábiles.
• Rectificación, cancelación y oposición: respondemos en 10 días hábiles.

Los plazos se cuentan desde el día hábil siguiente a tu solicitud. El reglamento permite pedirte información adicional o ampliar el plazo una vez cuando esté justificado; si lo hacemos, te lo diremos por correo. Si tu solicitud se rechaza, total o parcialmente, te diremos el motivo.

Si no estás conforme con la respuesta o no te respondemos a tiempo, puedes presentar una reclamación ante la Autoridad Nacional de Protección de Datos Personales del Ministerio de Justicia y Derechos Humanos.

• El sitio funciona solo con conexión cifrada (HTTPS).
• Las claves se guardan con argon2id y las llaves de los QR, cifradas.
• Cada persona del equipo y de los promotores accede solo a lo que su rol le permite, y sus accesos quedan registrados.
• Los registros del sistema no guardan correos, documentos ni teléfonos completos.
• Las copias de respaldo se cifran antes de salir del servidor, y se prueba que se pueden restaurar.
• Si ocurre un incidente de seguridad que afecte tus datos, seguimos un procedimiento para contenerlo y avisar a la Autoridad y a las personas afectadas en los plazos que exige el reglamento.

Ninguna medida es infalible. Tú también ayudas: usa una clave que no uses en otros sitios y no compartas tu QR, tu código ni tu PIN.

Las cuentas son solo para mayores de 18 años: al crearla declaras que tienes esa edad. No recopilamos a sabiendas datos de menores por medio de cuentas; si se detecta una cuenta creada por un menor de edad, se procederá a su cierre y correspondiente anonimización.

Un menor puede asistir a un evento con una entrada que compró un adulto. En el Libro de Reclamaciones, si quien reclama es menor de edad, la hoja pide también los datos de su padre, madre o apoderado.

Si cambiamos lo que hacemos con tus datos, actualizamos esta política y su número de versión al inicio de la página. Si sumamos un proveedor que recibe datos personales, lo agregamos aquí antes de empezar a usarlo.

Las modificaciones sustanciales en el tratamiento de tus datos personales se publicarán oportunamente en esta página identificadas con su versión correspondiente.