Política de Tratamiento de Datos Personales

Para efectos de esta política, se adoptan las definiciones de la Ley 1581 de 2012 y el Decreto 1377 de 2013:

• Titular: persona natural cuyos datos personales son objeto de tratamiento.
• Dato personal: cualquier información vinculada o asociable a una persona natural determinada o determinable.
• Dato sensible: el que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación (Art. 5 Ley 1581/2012).
• Base de datos: conjunto organizado de datos personales objeto de tratamiento.
• Tratamiento: cualquier operación sobre datos personales: recolección, almacenamiento, uso, circulación o supresión.
• Responsable del tratamiento: quien decide sobre la base de datos y/o el tratamiento de los datos.
• Encargado del tratamiento: quien realiza el tratamiento por cuenta del responsable.
• Autorización: consentimiento previo, expreso e informado del titular para tratar sus datos.
• Transferencia: envío de datos a un receptor que es Responsable, dentro o fuera del país.
• Transmisión: comunicación de datos a un Encargado para que los trate por cuenta del Responsable.
• Aviso de privacidad: comunicación que informa al titular sobre el tratamiento de sus datos y sus derechos.

Esta política aplica a todo el tratamiento de datos personales que BoletaOficial realiza sobre los titulares con quienes tiene o ha tenido una relación —usuarios de la plataforma, asistentes a eventos, compradores de boletería, proveedores y contactos comerciales— a través de sus canales: el sitio boletaoficial.com, los portales de venta de cada evento, la aplicación de control de acceso y los correos de atención. Comprende la recolección, almacenamiento, uso, circulación y supresión de datos, bajo estándares de protección técnica, administrativa y jurídica.

• Razón social: BOLETA OFICIAL S.A.S
• NIT: 902.089.517-0
• Domicilio: Carrera 18 # 88-72, Bucaramanga, Santander, Colombia
• Correo: datos@boletaoficial.com
• Teléfono / WhatsApp: +57 317 490 3535
• Sitio web: https://boletaoficial.com

BoletaOficial actúa con un doble rol según el dato:

• Responsable respecto a los datos de las personas que crean cuenta en la plataforma (titulares de organizaciones, administradores y operadores).
• Encargado respecto a los datos de los asistentes a eventos que cada organización cliente registra. La organización contratante es la Responsable y BoletaOficial se limita a procesar los datos según sus instrucciones y conforme a esta política.

Los datos personales se tratan para:

1. Crear, mantener y gestionar la cuenta del usuario en la plataforma.
2. Autenticar el acceso al sistema (incluyendo autenticación en dos pasos).
3. Procesar pagos de suscripción mediante terceros autorizados (Wompi, de Bancolombia).
4. Generar credenciales con código QR para asistentes a eventos.
5. Registrar accesos en puntos de control mediante escaneo.
6. Enviar comunicaciones transaccionales: confirmaciones, recordatorios, recuperación de contraseña.
7. Cumplir obligaciones legales, contables y fiscales en Colombia.
8. Atender solicitudes de los titulares (consulta, rectificación, supresión, revocatoria, reclamo).
9. Generar estadísticas internas agregadas y anonimizadas para mejorar el servicio.

Finalidad comercial (opcional y revocable). Con la autorización expresa del titular, BoletaOficial y —cuando el titular también lo autorice de forma separada— el organizador del evento adquirido, podrán tratar los datos de contacto para: (a) enviar novedades, recomendaciones y ofertas sobre eventos que puedan interesarle; y (b) realizar análisis de preferencias y segmentación para mejorar la oferta de eventos. El organizador solo podrá comunicarse respecto de sus propios eventos. Esta finalidad no es necesaria para la compra: el titular puede otorgarla o rechazarla sin que ello afecte su boletería, y revocarla en cualquier momento en /habeas-data o mediante el enlace de baja incluido en cada comunicación.

Compromiso de uso no invasivo: las comunicaciones serán relevantes y con frecuencia razonable; BoletaOficial no vende ni cede los datos a terceros distintos del organizador expresamente autorizado, y no los usa para rastreo publicitario de terceros salvo autorización separada (ver sección de transferencias). Toda comunicación incluirá un mecanismo de baja de efecto inmediato.

De usuarios del sistema: nombre completo, correo electrónico, teléfono, cargo, contraseña (cifrada).

De asistentes a eventos (suministrados por organizaciones clientes): nombre, correo, teléfono, documento de identidad (cuando aplique), empresa, categoría asignada.

Generados por uso: dirección IP, registros de acceso, fecha y hora de eventos del sistema.

BoletaOficial no solicita datos sensibles en el sentido del Art. 5 de la Ley 1581/2012 (origen racial, orientación política, vida sexual, datos biométricos, etc.). Si una organización cliente requiere capturarlos, debe obtener consentimiento expreso por su cuenta.

La recolección sólo ocurre tras la autorización expresa, libre, previa e informada del titular. Al crear cuenta o registrarse como asistente, el titular marca una casilla específica que constituye su consentimiento.

Cada autorización se almacena con: fecha y hora, dirección IP, versión de esta política vigente al momento del consentimiento, y la finalidad específica para la cual se otorgó.

El consentimiento puede revocarse en cualquier momento desde el portal /habeas-data.

• Consulta: conocer qué datos tenemos y cómo los tratamos.
• Rectificación: corregir datos inexactos, incompletos o desactualizados.
• Supresión: solicitar eliminación cuando ya no sea necesaria la conservación.
• Revocatoria: retirar la autorización otorgada.
• Portabilidad: recibir los datos en formato estructurado (JSON).
• Reclamo: presentar queja por presunto uso indebido.
• Acceder gratuitamente a los datos al menos una vez al mes.
• Ser informado sobre el uso dado a los datos cuando lo solicite.

Las solicitudes se atienden a través del portal boletaoficial.com/habeas-data o por correo a datos@boletaoficial.com.

Plazos legales (días hábiles):

• Consultas: 10 días hábiles, prorrogables 5 más con justificación.
• Reclamos: 15 días hábiles, prorrogables 8 más con justificación.

Para verificación de identidad, el titular acredita con documento válido o copia.

Si en el futuro BoletaOficial requiere tratar los datos para una finalidad distinta o no prevista en esta política, solicitará una nueva autorización del titular antes de hacerlo, informando de manera clara la nueva finalidad. El titular es libre de otorgarla o rechazarla, y su decisión no afectará los servicios ya contratados.

BoletaOficial utiliza proveedores tecnológicos ubicados fuera de Colombia. Esto implica transferencia internacional con las siguientes garantías (cláusulas contractuales tipo y/o certificaciones SOC 2 / GDPR):

Al aceptar esta política, el titular autoriza expresamente las transferencias de infraestructura (hosting, correo y pagos) bajo el Art. 26 de la Ley 1581/2012, necesarias para prestar el servicio.

Publicidad y medición (Meta) — opcional. La transferencia a Meta Platforms, Inc. con fines de atribución y medición de campañas publicitarias es opcional y solo se realiza si el titular la autoriza expresamente al momento de la compra, mediante una casilla separada y no obligatoria. En esta transferencia no se comparten datos directamente identificatorios como correo, teléfono o nombre; solo señales técnicas del clic publicitario. El titular puede otorgarla o rechazarla sin que ello afecte su compra, y puede revocarla en cualquier momento a través del portal boletaoficial.com/habeas-data.

• Cifrado en tránsito (TLS 1.3) y en reposo (AES-256 a nivel de proveedor).
• Aislamiento por organización mediante Row Level Security en la base de datos.
• Autenticación opcional en dos pasos (TOTP) para administradores.
• Bloqueo de contraseñas filtradas (HaveIBeenPwned).
• Auditoría de accesos a recursos sensibles.
• Copias de respaldo cifradas y procedimiento de recuperación.
• Acceso interno restringido por roles y trazable.

Los datos se conservan mientras la cuenta esté activa y por el plazo necesario para cumplir obligaciones legales (contables: 5 años; tributarias: lo aplicable). Tras la terminación, el titular puede solicitar la supresión; BoletaOficial elimina los datos en máximo 30 días, salvo conservación obligatoria por ley.

Las organizaciones pueden eliminar su cuenta desde el panel: se inicia un período de gracia de 30 días, tras el cual los datos se borran de forma permanente.

BoletaOficial usa cookies estrictamente necesarias para mantener la sesión iniciada y preservar preferencias (organización activa). No instalamos cookies publicitarias propias ni vendemos datos de navegación a terceros. La medición opcional de campañas con Meta (ver sección 11) se realiza del lado del servidor (Conversions API) y solo si el titular la autoriza; no requiere que BoletaOficial instale cookies de rastreo publicitario. El detalle de las cookies utilizadas está en la Política de Cookies.

BoletaOficial no recolecta datos de menores de 14 años de forma directa. Si una organización cliente registra asistentes menores, debe contar previamente con el consentimiento del representante legal y respetar los derechos prevalentes del menor (Sentencia T-260/12, Corte Constitucional).

BoletaOficial no adopta decisiones automatizadas que produzcan efectos jurídicos sobre el titular, ni elabora perfiles orientados a evaluar o predecir su comportamiento. Los controles automáticos del sistema —prevención de sobreventa, control de reingreso en puertas y detección de fraude en el pago— operan sobre la validez de la boleta y de la transacción, no sobre la calificación de la persona. Cualquier decisión con efectos relevantes para el titular cuenta con intervención humana.

Las bases de datos administradas por BoletaOficial, así como el software, la arquitectura y la documentación asociada, son de titularidad de BOLETA OFICIAL S.A.S. Su uso, reproducción, cesión o disposición a terceros solo procede con autorización expresa de la empresa y siempre con sujeción a la Ley 1581 de 2012 y el Decreto 1377 de 2013. Esta titularidad no altera los derechos que la ley reconoce a cada titular sobre sus propios datos personales.

Esta política rige desde el 2026-08-04. Cualquier modificación sustancial será comunicada por correo electrónico a los titulares registrados con al menos 10 días hábiles de anticipación. Las versiones anteriores quedan archivadas y disponibles a solicitud.

Sin perjuicio de los canales internos, el titular puede acudir a la Superintendencia de Industria y Comercio (SIC) — Delegatura para la Protección de Datos Personales, como autoridad de control en Colombia. Sitio: www.sic.gov.co.