Política de Privacidad

1. Quién es responsable y en qué carácter

NITTPASS es un servicio de GRUPONITPAY S. A. S., CUIT 30-71956603-7, con domicilio en Terrada 6456, Carrodilla, Mendoza, Argentina, que opera con el nombre comercial NITTCORP ("nosotros"). Esta Política se aplica a nittpass.com, sus subdominios y las aplicaciones de NITTPASS, incluido el Servidor Local.

Tratamos datos personales en dos caracteres distintos:

• Como responsables de los datos de nuestros clientes en tanto contratantes (contacto, cuenta, facturación del servicio) y de quienes nos escriben.
• Como encargados del tratamiento de los datos que cada cliente carga sobre sus invitados, clientes finales y empleados. En ese caso, el responsable de la base es el cliente (el boliche, la productora o el bar), que decide qué datos carga y para qué, y nosotros los tratamos sólo para prestarle el servicio (art. 25 de la Ley 25.326).

2. Datos que tratamos como responsables

• Contacto del cliente: nombre del negocio, nombre, email y teléfono de la persona de contacto.
• Cuenta: Plan contratado, estado de la suscripción, fechas de pago y vencimiento.
• Facturación del servicio: los datos fiscales que el cliente nos informe para facturarle.
• Pagos: el estado de los cobros que nos informa Mercado Pago. Nunca recibimos ni guardamos el número completo de la tarjeta.
• Soporte: los mensajes que nos envían por email o WhatsApp.
• Datos técnicos: la dirección IP desde la que se accede. Se usa durante 15 minutos, sólo en memoria, para limitar los intentos fallidos de inicio de sesión, y queda en los registros técnicos del servidor, que se guardan 14 días.

3. Datos que tratamos por cuenta de nuestros clientes

4. Para qué usamos los datos y para qué no

Usamos los datos sólo para:

• Prestar el servicio contratado y sus funciones.
• Mantener la seguridad del sistema y prevenir accesos indebidos o fraude.
• Dar soporte y enviar comunicaciones operativas de la cuenta.
• Facturar nuestro servicio y cumplir obligaciones legales.

No vendemos datos personales, no los cedemos, no los usamos para publicidad ni para armar perfiles, y no usamos los datos de un cliente para nada que tenga que ver con otro cliente.

5. Base legal

Los datos que tratamos como responsables se basan en la relación contractual con el cliente y en el cumplimiento de obligaciones legales, como las fiscales (art. 5 de la Ley 25.326). Los datos que tratamos por cuenta del cliente se basan en la base legal que tenga el cliente: el consentimiento del titular u otra de las previstas en la ley. Contar con esa base es responsabilidad del cliente.

Para los datos sensibles, como el grupo sanguíneo de la licencia de conducir, la ley fija requisitos especiales (art. 7 de la Ley 25.326). Contar con una base legal que los cumpla es responsabilidad del cliente.

6. Qué tiene que hacer el cliente con su público

Como responsable de su base, cada cliente debe informar a las personas, antes de escanear su documento y en un lugar visible, al menos: quién es el responsable de la base, para qué se usan los datos, si darlos es obligatorio y qué pasa si no se dan, y cómo ejercer los derechos de acceso, rectificación y supresión (art. 6 de la Ley 25.326 y Resolución AAIP 14/2018). Un texto de ejemplo para un cartel en el ingreso:

El cliente también es responsable de usar la lista negra con motivos legítimos y sin discriminar, y de cumplir las normas sobre menores (ver los Términos y Condiciones).

7. Subencargados y terceros

Para prestar el servicio usamos estos proveedores, que tratan datos sólo para la tarea que les encargamos:

Mercado Pago procesa el cobro de nuestra suscripción y, si el cliente lo conecta, los cobros con posnet o QR en sus eventos. Lo hace como responsable de sus propios datos, bajo su propia política de privacidad.

ARCA recibe los datos de cada comprobante que el cliente emite, por obligación legal. No es un subencargado: es la autoridad fiscal.

Nos comprometemos a avisar a los clientes, con al menos 15 días corridos de anticipación, antes de sumar un subencargado nuevo, y a actualizar esta tabla. El cliente que no esté de acuerdo puede dar de baja el servicio sin costo.

8. Dónde se alojan los datos y transferencias internacionales

La base de datos y el sistema están alojados en servidores de Hostinger en Brasil. Los emails se procesan en la región de San Pablo, Brasil, de Resend, una empresa de Estados Unidos. Las notificaciones push pasan por los servicios de los navegadores, en Estados Unidos, con el contenido cifrado. Ni Brasil ni Estados Unidos figuran hoy entre los países que la Argentina considera con nivel de protección adecuado. Nos comprometemos a instrumentar estas transferencias con las garantías que prevén el art. 12 de la Ley 25.326 y las normas de la AAIP, como las cláusulas contractuales modelo (Disposición 60/2016 y Resolución AAIP 198/2023).

Los datos que el cliente guarda con el Servidor Local y en los dispositivos de su personal quedan en esos equipos, en el lugar donde el cliente los tenga (ver Servidor Local y dispositivos).

9. Plazos de conservación y borrado

• Mientras el contrato esté vigente, conservamos los datos que el cliente carga, salvo que el cliente los borre o nos pida borrarlos.
• Al terminar el contrato, nos comprometemos a entregarle al cliente una copia de sus datos si la pide dentro de los 30 días corridos (o a que la descargue desde Configuración), y después a borrarlos de los sistemas activos y de las copias de seguridad dentro de los 90 días corridos siguientes. El borrado incluye todo lo que el cliente cargó, los datos de sus usuarios y el registro de auditoría de la cuenta. Con autorización expresa del cliente, podemos guardarlos con medidas de seguridad hasta 2 años, para una eventual reactivación (art. 25 de la Ley 25.326).
• Nuestros propios registros de facturación se conservan durante los plazos que exigen las normas fiscales y contables, también después de borrar la cuenta: de cada pago de la suscripción, el nombre de la empresa, su CUIT y razón social, el plan, el monto, el estado, las fechas y el número de operación de Mercado Pago. Del borrado queda una constancia con la fecha, quién lo hizo y cuántos registros se borraron, sin su contenido.

10. Medidas de seguridad

Estas son las medidas que aplicamos hoy:

• Comunicación cifrada (HTTPS) entre los dispositivos y nuestros servidores.
• Contraseñas guardadas sólo como hash (bcrypt): nadie, ni siquiera nosotros, puede leerlas.
• Certificados de facturación y credenciales de posnet guardados cifrados (AES-256).
• Separación de los datos de cada cliente: los usuarios de un cliente sólo acceden a los datos de su empresa.
• Permisos por rol dentro de cada cliente.
• Límite de intentos de inicio de sesión y encabezados de seguridad en el sitio.
• Registro de auditoría protegido contra modificaciones y borrados. Sólo se borra junto con la cuenta entera, al terminar el contrato.
• Copias de seguridad automáticas de la base de datos: una por hora (se guardan las últimas 48), una diaria que se guarda 30 días y una semanal que se guarda 12 semanas. Además, una copia diaria de los archivos subidos (logos y fotos), que se guarda 30 días. Las copias que hacemos a mano antes de cada actualización del sistema se guardan hasta 84 días.

Además, nos comprometemos a que nuestro equipo acceda a los datos de un cliente sólo cuando haga falta para operar el servicio o darle soporte, y a mantenerlos confidenciales.

11. Servidor Local y dispositivos

Para seguir operando sin conexión, el Servidor Local guarda una copia de los datos del cliente en computadoras de su local, y los celulares o tablets de la puerta guardan los datos necesarios para escanear. Esas copias están bajo custodia y responsabilidad del cliente: debe proteger el acceso a esos equipos y borrar los datos cuando deja de usarlos. Los archivos de sincronización por USB viajan cifrados.

12. Incidentes de seguridad

Si detectamos un incidente de seguridad que afecte datos personales, nos comprometemos a contenerlo, investigarlo y avisar sin demoras indebidas a los clientes afectados, con la información disponible sobre qué pasó, qué datos están involucrados y qué medidas tomamos, y a colaborar con cada cliente para informar a los titulares y a la AAIP cuando corresponda.

13. Menores de edad

NITTPASS es una herramienta para empresas y no está dirigida a menores como usuarios. Si un cliente admite menores en sus eventos y escanea sus documentos, es responsable de hacerlo conforme a la ley, incluido el consentimiento de sus padres o representantes cuando sea necesario.

14. Derechos de los titulares

Toda persona puede pedir acceso a sus datos personales, y su rectificación, actualización o supresión (arts. 14 a 16 de la Ley 25.326). El acceso es gratuito si se pide con intervalos de al menos 6 meses, salvo que se acredite un interés legítimo. La ley fija los plazos de respuesta: 10 días corridos para el acceso y 5 días hábiles para la rectificación, la actualización o la supresión.

15. Cookies y almacenamiento en el navegador

El sistema usa una sola cookie, técnica y esencial, para mantener la sesión iniciada (taquilla_session). Vence a los 7 días o al cerrar la sesión, y no es de seguimiento ni de publicidad. La aplicación también guarda datos en el almacenamiento del navegador para poder funcionar sin conexión.

El sitio público no usa cookies de analítica ni de publicidad. El botón de WhatsApp abre WhatsApp, que tiene su propia política de privacidad.

16. Cambios en esta Política

Podemos actualizar esta Política para reflejar cambios en el servicio o en la normativa. Cada versión lleva su número y su fecha arriba de esta página. Nos comprometemos a avisar los cambios importantes a los clientes con al menos 30 días corridos de anticipación, al email de contacto de su cuenta.

17. Contacto

• Datos personales, ejercicio de derechos de acceso, rectificación y supresión, y consultas legales: legales@nittpass.com
• Domicilio: GRUPONITPAY S. A. S. (CUIT 30-71956603-7), Terrada 6456, Carrodilla, Mendoza, Argentina