Política de privacidad

Organizaciones emisoras: cuando una organización (un club, una institución, una empresa) emite credenciales a sus miembros, esa organización decide qué datos incluir y es la responsable de ellos. CredoSeal actúa como encargado: los trata sólo para emitir, entregar y verificar esas credenciales, siguiendo sus instrucciones.

CredoSeal como responsable: somos responsables de los datos de las cuentas del panel, de los formularios de este sitio (alta y contacto) y de los registros técnicos necesarios para operar y proteger el servicio.

• Visitantes del sitio: no usamos cookies de seguimiento ni herramientas de analítica. Los servidores registran datos técnicos de cada petición (dirección IP, página pedida, navegador) para seguridad y diagnóstico.
• Alta y contacto: nombre de la organización, su nombre, su correo, el idioma y, en el contacto, lo que nos cuente.
• Personas con cuenta en el panel: nombre, correo, rol, la contraseña guardada sólo como resumen irreversible (Argon2), la configuración de la verificación en dos pasos (cifrada) y el registro de actividad de la organización (auditoría).
• Titulares de credenciales (en nombre de la organización emisora): los datos que la organización incluye en la credencial; el correo y el teléfono a los que se envía la oferta, si la organización los indica; y una referencia interna opcional.
• Verificaciones: el resultado de cada verificación (válida o no, cuándo y de qué emisor). Los datos que muestra el titular al presentarse no se guardan en el historial.
• Ingresos a eventos: en las entradas de un solo uso, cuándo y por qué puerta se registró el ingreso.

• Los datos de una credencial se guardan cifrados sólo mientras la oferta espera ser recibida; cuando la persona la guarda en su teléfono o la oferta vence, se borran de nuestros servidores. La credencial queda en el teléfono del titular.
• El correo y el teléfono de envío se guardan cifrados y se borran cuando la oferta se recibe o vence.
• Cada organización firma con su propia clave, guardada en hardware (AWS KMS); nunca sale de allí.
• Quien verifica sólo ve los datos que el titular decide mostrar.

• Prestar el servicio: emitir, entregar, verificar y revocar credenciales, y registrar ingresos.
• Gestionar las cuentas y la seguridad: inicio de sesión, verificación en dos pasos, prevención de abusos y fraudes, y auditoría.
• Responder solicitudes, consultas y pedidos de soporte.
• Avisarle de cambios importantes del servicio. No enviamos publicidad ni vendemos datos.

La base es el contrato con la organización (y con usted, si tiene cuenta), nuestro interés legítimo en operar y proteger el servicio, y su consentimiento cuando lo pedimos.

Sólo con los proveedores necesarios para prestar el servicio, que actúan bajo nuestras instrucciones:

• Amazon Web Services (Estados Unidos): servidores, base de datos, claves de firma y envío de correo.
• Twilio: envío de los códigos por SMS, cuando la organización indica un teléfono.
• Google: cuando el titular elige Google Wallet, los datos del pase se envían a Google para crearlo; el correo de contacto de CredoSeal funciona con Google Workspace.
• Apple: los pases de Apple Wallet se firman con nuestro certificado de Apple y se descargan directamente al teléfono; no enviamos los datos a Apple.

No vendemos ni alquilamos datos. Sólo los entregaríamos a una autoridad si la ley nos obliga.

Los servidores de CredoSeal están en Amazon Web Services, en Estados Unidos (región us-east-1). Si usted está en otro país, sus datos se transfieren allí con las garantías de seguridad descritas en esta página y en nuestros acuerdos con los proveedores.

• Datos de una credencial pendiente: hasta que se recibe o vence la oferta (por defecto, 72 horas).
• Registro de cada credencial emitida (sin sus datos) y verificaciones: mientras exista la organización, y las verificaciones según el plazo que configure (365 días por defecto).
• Altas sin confirmar: 7 días; confirmadas: 1 año. Solicitudes de contacto: hasta 1 año.
• Registros técnicos de los servidores (incluida la dirección IP): 90 días.
• Cuentas del panel: mientras estén activas; si la organización lo pide, las borramos.

Este sitio no usa cookies de publicidad ni de analítica. El panel guarda en su navegador sólo lo imprescindible para funcionar: la sesión (que se borra al cerrar la pestaña) y preferencias como el idioma o el tema.

Puede pedir acceso a sus datos, corregirlos, borrarlos, oponerse a un tratamiento o pedir que se limite, conforme a la Ley 18.331 de Protección de Datos Personales de Uruguay y, si corresponde, al Reglamento General de Protección de Datos de la Unión Europea.

Si recibió una credencial de una organización, escríbale primero a esa organización: es quien decide sobre esos datos y nosotros la ayudamos a responder. Para todo lo demás, escríbanos a hello@credoseal.com; respondemos dentro de los 30 días. También puede presentar una reclamación ante la Unidad Reguladora y de Control de Datos Personales (URCDP) de Uruguay o la autoridad de su país.

Ciframos los datos en tránsito y en reposo, separamos los datos de cada organización, usamos claves de firma en hardware y ofrecemos verificación en dos pasos. Los detalles y cómo reportar un problema están en la página de seguridad.

Las cuentas del panel son para personas adultas que actúan en nombre de una organización. Si una organización emite credenciales a menores (por ejemplo, estudiantes), es responsable de contar con la autorización que exija la ley.

Si cambiamos esta política de forma importante, lo avisaremos en el panel o por correo antes de que rija. Para cualquier consulta sobre privacidad: hello@credoseal.com.