Aviso de Privacidad Integral

Para operar el Servicio recabamos las siguientes categorías:

Datos sensibles: fotea NO recaba datos sensibles (origen racial, opiniones políticas, creencias religiosas, salud, vida sexual, datos biométricos) a través de los formularios. Si una foto que subes contiene incidentalmente datos de esta naturaleza, su tratamiento se limita al estrictamente necesario para mostrar la foto dentro del evento.

Finalidades primarias (necesarias para prestar el servicio; no requieren consentimiento adicional):

• Crear y administrar tu cuenta
• Crear, configurar y operar tus eventos e invitaciones
• Procesar pagos y consumo de tokens
• Emitir CFDI cuando lo solicites
• Almacenar y mostrar las fotos del evento a los participantes autorizados
• Generar el álbum descargable
• Enviar correos transaccionales (confirmación de compra, recordatorios de expiración del álbum, recibos)
• Prevenir fraude, abuso y uso no autorizado (rate limiting, bloqueo de IPs)
• Cumplir obligaciones fiscales y legales en México

Finalidades secundarias (no esenciales; puedes oponerte sin afectar tu uso del servicio):

• Análisis estadístico anonimizado para mejorar el producto
• Envío de comunicaciones sobre nuevas funcionalidades (solo si te suscribes)

Para oponerte a las finalidades secundarias, escríbenos a hola@fotea.mx y lo procesamos en máximo 5 días hábiles.

Para operar fotea utilizamos proveedores de servicios que actúan como encargados del tratamiento. Estas transferencias son necesarias y no requieren tu consentimiento adicional conforme al Art. 37 LFPDPPP:

Todos los proveedores cuentan con cláusulas contractuales y certificaciones internacionales (SOC 2, ISO 27001 según aplique) para proteger los datos.

NO vendemos ni alquilamos tu información personal a anunciantes, brokers de datos ni terceros con fines de marketing.

Solo divulgaremos información a autoridades cuando sea requerido por orden judicial, mandamiento de autoridad competente o para proteger nuestros derechos legales.

Conforme a los artículos 22 al 27 de la LFPDPPP, tienes los siguientes derechos sobre tus datos personales:

• Acceso: conocer qué datos tuyos tenemos.
• Rectificación: corregir datos inexactos o desactualizados.
• Cancelación: solicitar la eliminación de tus datos cuando ya no sean necesarios.
• Oposición: oponerte al uso de tus datos para fines específicos (especialmente secundarios).

Procedimiento:

1. Envía un correo a hola@fotea.mx con asunto "Solicitud ARCO".
2. Incluye:
   • Tu nombre completo y correo registrado en fotea
   • Copia de identificación oficial (INE, pasaporte) para acreditar identidad
   • Descripción clara del derecho que ejerces (Acceso, Rectificación, Cancelación u Oposición)
   • Datos específicos sobre los que aplica
3. Responderemos en un plazo máximo de 20 días hábiles. Si procede, la ejecución se realizará en los siguientes 15 días hábiles.

Algunos derechos pueden tener limitaciones legales: por ejemplo, no podremos cancelar datos que estamos obligados a conservar por la legislación fiscal (mínimo 5 años). Te lo notificaremos por escrito si es el caso.

Puedes limitar el uso o divulgación de tus datos:

• Desde tu cuenta: eliminando eventos, fotos individuales o cancelando tu cuenta.
• Por correo: escribiéndonos a hola@fotea.mx con tu solicitud específica.
• Cookies: configurando tu navegador para bloquear cookies (puede afectar funcionalidades como mantener tu sesión).

fotea utiliza tres categorías de cookies que tú puedes controlar:

• Esenciales (siempre activas): sesión de Supabase Auth, acceso a evento (evt_auth_*) y registro de tu propia elección de cookies (fotea_cookie_consent).
• Funcionales (opcionales): recordar preferencias del usuario.
• Analítica (opcionales): Vercel Analytics y Speed Insights, métricas anónimas. Solo se cargan si tú las aceptas.

NO utilizamos cookies de publicidad, tracking de terceros para perfilado, ni vendemos tus datos.

Implementamos medidas técnicas y organizativas:

• Encriptación TLS/HTTPS en todo el tráfico
• Row Level Security (RLS) en la base de datos
• Service role keys aisladas en backend
• Rate limiting con bloqueo automático de IPs sospechosas
• Headers de seguridad (HSTS, X-Frame-Options, CSP, etc.)
• URLs firmadas con expiración para acceso a fotos en R2
• Contraseñas de usuario hasheadas (bcrypt) por Supabase Auth
• Auditoría de accesos administrativos

No obstante, ningún sistema es invulnerable. Si llegara a ocurrir una brecha de seguridad que afecte significativamente tus derechos, te lo informaremos oportunamente conforme al Art. 20 LFPDPPP.

• Datos de cuenta: mientras mantengas la cuenta activa.
• Fotos del evento: 6 meses contados a partir de la fecha del evento. Después se eliminan permanentemente.
• Compras y CFDI: 5 años conforme a la obligación fiscal del SAT, aunque solicites cancelar tu cuenta.
• Logs de seguridad: hasta 12 meses, luego se eliminan o anonimizan.
• Datos fiscales (RFC, etc.): el tiempo que requieran las leyes fiscales.