Política de Privacidad – Revendiste

Última actualización: 18 de octubre de 2026

Aviso de cambio de responsable. A partir de esta versión, el responsable del tratamiento de los datos personales es REVENDISTE SAS (RUT 221059600018), que sucede a la empresa unipersonal FALCON GALLAZTEGUI MATHIAS (RUT 218826920018). La sucesión no modifica las finalidades, las bases legales ni los plazos de conservación descritos en esta política, ni los derechos de los titulares. La inscripción de las bases de datos ante la URCDP se actualiza en consecuencia.

1. Introducción

En Revendiste valoramos y protegemos la privacidad de nuestros usuarios. La presente Política de Privacidad describe cómo recopilamos, utilizamos, almacenamos y protegemos los datos personales de las personas que utilizan nuestra plataforma digital, de conformidad con la Ley Nº 18.331 de Protección de Datos Personales y Acción de Habeas Data, su Decreto Reglamentario Nº 414/009, y demás normativa vigente en la República Oriental del Uruguay.

Al utilizar nuestros servicios, el usuario acepta las prácticas descritas en esta política.

2. Responsable del tratamiento de datos

REVENDISTE SAS
RUT: 221059600018
Domicilio: Avenida Ocho de Octubre 2487, Apartamento 801, Montevideo, Uruguay
Correo electrónico para temas de datos personales: [email protected]
Correo electrónico para consultas generales: [email protected]

REVENDISTE SAS sucede a FALCON GALLAZTEGUI MATHIAS, empresa unipersonal (RUT 218826920018), como responsable del tratamiento, y asume la totalidad de las obligaciones derivadas de la Ley Nº 18.331 respecto de los datos tratados con anterioridad.

Ámbito territorial. Revendiste presta sus servicios íntegramente desde la República Oriental del Uruguay. Cuando el usuario resida en otro país, esta política se aplica sin perjuicio de los derechos que le reconozca la normativa de protección de datos de su país de residencia.

3. Datos personales que recopilamos

Podemos recopilar los siguientes datos personales:

• Datos de identificación: nombre y apellido.
• Datos de contacto: correo electrónico y, opcionalmente, número de teléfono (formato internacional con código de país).
• Preferencias de comunicación: canal de notificación preferido por el usuario (correo electrónico, WhatsApp), incluyendo el consentimiento explícito para recibir mensajes por WhatsApp.
• Datos de cuenta: información necesaria para la creación y administración de la cuenta de usuario.
• Datos de autenticación de terceros: información básica proporcionada por proveedores de identidad como Google, únicamente cuando el usuario opta por iniciar sesión mediante dichos servicios.
• Datos de transacciones: información relacionada con operaciones de intermediación de entradas realizadas dentro de la plataforma, incluyendo detalles de las entradas, precios y estados de las transacciones.
• Datos técnicos: dirección IP y país estimado a partir de ella, tipo de dispositivo, navegador, sistema operativo, idioma, registros de actividad y datos de conexión. Al iniciar un pago, un retiro o una verificación de identidad, registramos estos datos junto con un identificador de dispositivo (cookie rv_did, ver Sección 7) para reconocer los dispositivos habituales del usuario y detectar accesos inusuales.
• Datos de pago: de cada pago con tarjeta conservamos únicamente los primeros seis a ocho dígitos (BIN) y los últimos cuatro dígitos, la marca, el tipo de tarjeta, el banco emisor y su país, el resultado de la autenticación 3D Secure y el método de pago utilizado. Nunca almacenamos el número completo de la tarjeta, la fecha de vencimiento ni el código de seguridad; esos datos los recibe y procesa exclusivamente la procesadora de pagos.
• Datos de verificación de identidad: número de documento de identidad (cédula uruguaya, DNI argentino o pasaporte), e imagen/foto del documento provista por el usuario, cuando sea requerida para habilitar la funcionalidad de publicación de entradas y prevenir fraude. Estas imágenes se almacenan de forma cifrada (ver Sección 11 para más detalles).
• Datos biométricos de verificación de vida (liveness): imagen facial capturada durante el proceso de verificación de identidad, utilizada exclusivamente para confirmar que la persona que realiza la verificación es quien dice ser y está presente en ese momento. Este proceso se realiza desde el dispositivo móvil del usuario. Estos datos se almacenan de forma segura junto con las imágenes del documento para fines de auditoría y prevención de fraude.

Nota importante sobre datos de verificación:

• Cifrado en reposo: Las imágenes de documentos de identidad y verificación facial se almacenan utilizando cifrado AES-256, el mismo estándar utilizado por instituciones financieras. Los datos están protegidos tanto en tránsito (TLS 1.3) como en reposo.
• Acceso restringido: Solo personal autorizado de Revendiste puede acceder a las imágenes en casos excepcionales que requieran revisión manual de seguridad, investigación de fraude o cumplimiento de requerimientos legales.
• Procesamiento automatizado: La verificación de identidad se realiza principalmente mediante sistemas automatizados de reconocimiento de texto y comparación facial. En casos de resultados dudosos puede requerirse revisión manual por personal autorizado.
• Almacenamiento seguro de datos biométricos: Las imágenes de verificación de vida (liveness) se almacenan de forma segura junto con las imágenes del documento. Esto permite la revisión manual en casos excepcionales, investigación de fraude y cumplimiento de obligaciones legales.
• Re-verificación facial: cuando el usuario pierde acceso al número de teléfono asociado a su cuenta, o cuando una acción sensible (un pago con tarjeta desde un dispositivo desconocido, un retiro de dinero) requiere confirmar que quien opera la cuenta es la persona verificada, podemos solicitar una nueva captura facial que se compara únicamente con el documento ya registrado en esa misma cuenta. Esta comparación no se usa para identificar al usuario en otros contextos ni contra otras personas.
• Uso de la identidad verificada en los pagos: el nombre y el número de documento verificados pueden enviarse a la procesadora de pagos como datos del pagador, para autorizar la operación y reducir el riesgo de fraude, y utilizarse como evidencia ante una disputa o contracargo (ver Sección 8).
• Sin uso secundario: fuera de lo anterior, los datos de verificación no se utilizan para reconocimiento facial en otros contextos, creación de perfiles biométricos, publicidad ni ningún otro fin distinto a la verificación de identidad, la prevención de fraude y el cumplimiento legal.

Revendiste no recopila otros datos sensibles (tales como datos de salud, origen étnico, opiniones políticas, convicciones religiosas u orientación sexual), salvo aquellos estrictamente necesarios para la prestación del servicio y en cumplimiento de la normativa aplicable.

3.1 Datos de Productoras

Cuando una productora de eventos opera en la plataforma, recopilamos además:

• Datos identificatorios de la empresa: denominación o razón social, nombre de fantasía, RUT o identificación tributaria equivalente, régimen tributario, domicilio fiscal y constituido.
• Documentación societaria y tributaria: constancia de inscripción, certificado de existencia y representación, estatutos y constancias de organismos fiscales y de seguridad social, cuando sean requeridos para la verificación.
• Datos del representante legal o apoderado: nombre y apellido, documento de identidad, datos de contacto y acreditación de la representación.
• Datos de los integrantes del equipo con acceso a la plataforma: nombre y apellido, correo electrónico, nivel de permisos y registro de las acciones realizadas desde su acceso.
• Datos bancarios de liquidación: titular, institución, número o identificador de cuenta y moneda.

Los datos de personas jurídicas se tratan conforme al artículo 4 literal D) de la Ley Nº 18.331. Los datos de las personas físicas vinculadas a la productora se tratan con las mismas garantías que los de cualquier otro titular.

3.2 Datos de Promotores (RRPP)

Cuando una persona actúa como promotor de una productora, recopilamos:

• Datos de identificación y contacto: nombre y apellido, documento de identidad, correo electrónico y teléfono.
• Datos de actividad: enlaces de referido, visitas y ventas atribuidas, comisiones devengadas y liquidadas.
• Datos de liquidación: medio de cobro declarado y titularidad del mismo.

Estos datos son aportados por la productora o por el propio promotor, y se tratan para calcular y liquidar las comisiones que la productora le reconoce, conforme la Parte IV de los Términos y Condiciones.

3.3 Datos de asistentes a eventos

Para el control de acceso a los eventos tratamos los datos de la entrada y su estado de uso (código de acceso, categoría, fecha y hora de escaneo, punto de acceso), asociados a la operación que los originó.

4. Finalidad del tratamiento de los datos

Los datos personales serán utilizados para:

• Crear y administrar cuentas de usuario.
• Autenticar usuarios mediante credenciales propias o servicios de terceros (como Google).
• Facilitar y garantizar operaciones de intermediación en la transferencia de entradas entre usuarios.
• Validar la autenticidad de las entradas y asegurar la correcta ejecución de las transacciones.
• Gestionar pagos, comisiones y transferencias asociadas al servicio de intermediación.
• Cumplir con obligaciones legales, fiscales y regulatorias aplicables en Uruguay.
• Mejorar la seguridad, el funcionamiento y la experiencia de la plataforma.
• Medir y mejorar nuestros anuncios en Meta (Facebook e Instagram) y TikTok: saber qué anuncios traen compradores y vendedores, medir sus resultados y mostrar nuestros anuncios a personas con más probabilidad de usar Revendiste (ver Sección 7.1).
• Enviar comunicaciones operativas relacionadas con el servicio (notificaciones de transacciones, actualizaciones de estado, etc.) a través de correo electrónico, notificaciones dentro de la plataforma y, cuando el usuario lo autorice, mensajes de WhatsApp.
• Verificar la titularidad del número de teléfono del usuario mediante el envío de un código de verificación (OTP) por WhatsApp, cuando el usuario opte voluntariamente por activar este canal de comunicación.
• Verificar la identidad de los usuarios y prevenir fraudes, suplantación de identidad y publicación de entradas inválidas o falsas.
• Evaluar el riesgo de cada pago y de cada retiro de forma automatizada, a partir de los datos técnicos, de pago, de verificación y del historial de operaciones del usuario en la plataforma (por ejemplo: dispositivo y país desde el que se opera, antigüedad de la cuenta, reclamos y contracargos previos, coincidencia entre el nombre del pagador y la identidad verificada). Según el resultado, la plataforma puede solicitar verificaciones adicionales (código por WhatsApp, verificación de identidad, autenticación 3D Secure del banco), limitar los medios de pago disponibles, retener temporalmente la liberación de fondos o rechazar la operación. El titular puede solicitar la revisión humana de cualquiera de estas decisiones escribiendo a [email protected].
• Gestionar reclamos, disputas y contracargos relacionados con las transacciones.
• Responder a consultas y solicitudes de soporte.
• Emitir comprobantes fiscales electrónicos y ponerlos a disposición de sus destinatarios, conforme la normativa de la Dirección General Impositiva.
• Retener y verter el impuesto departamental a los espectáculos públicos, cuando Revendiste revista la calidad de agente de retención, y cumplir las obligaciones informativas asociadas.
• Verificar la identidad y las facultades de las productoras y de sus representantes legales, y validar su situación tributaria.
• Liquidar fondos a productoras y a promotores, y calcular las comisiones que correspondan a cada uno.
• Controlar el acceso a los eventos, validando las entradas en el punto de ingreso y evitando su uso duplicado.
• Evaluar el riesgo de cada productora y de cada evento para determinar el porcentaje de liberación anticipada de fondos y los topes aplicables. Esta evaluación se basa en el historial de operaciones, reclamos, contracargos y cancelaciones registrados en la plataforma. El titular puede solicitar la revisión humana de esta evaluación escribiendo a [email protected].

5. Base legal para el tratamiento

El tratamiento de los datos personales se fundamenta en:

• Consentimiento del usuario: otorgado al aceptar esta política y utilizar la plataforma. Incluye el consentimiento expreso para comunicar a Meta y TikTok los datos descritos en la Sección 7.1, con fines de medición publicitaria, y para su transferencia internacional (Sección 13), conforme los artículos 9, 17, 21 y 23 de la Ley Nº 18.331. El usuario puede retirarlo en cualquier momento (Sección 10).
• Ejecución contractual: el tratamiento es necesario para la prestación del servicio de intermediación contratado por el usuario.
• Cumplimiento de obligaciones legales: cuando la normativa uruguaya exija el tratamiento de determinados datos.
• Cumplimiento de obligaciones tributarias: el tratamiento vinculado a la emisión de comprobantes fiscales electrónicos, a las retenciones del impuesto departamental a los espectáculos públicos, a las obligaciones informativas ante la Dirección General Impositiva y ante las intendencias departamentales, y a la conservación de la documentación de respaldo, se funda en el cumplimiento de dichas obligaciones y no requiere el consentimiento del titular ni puede ser revocado por este mientras subsista la obligación legal.
• Interés legítimo: Revendiste tiene un interés legítimo en operar una plataforma segura, prevenir fraudes y proteger los derechos de los usuarios.

6. Autenticación mediante Google (OAuth 2.0)

Revendiste permite a los usuarios autenticarse mediante su cuenta de Google utilizando el protocolo OAuth 2.0.

6.1 Datos que accedemos

Al optar por este método de autenticación, la plataforma accede únicamente a la siguiente información básica del perfil del usuario, conforme a los permisos otorgados:

• Identificador único de usuario (openid): para identificar de forma única al usuario.
• Dirección de correo electrónico (email): para crear y vincular la cuenta en Revendiste.
• Nombre y apellido (profile): para personalizar la experiencia del usuario.
• Imagen de perfil (foto): para mostrar en el perfil del usuario dentro de la plataforma.

6.2 Uso de los datos de Google

Estos datos se utilizan exclusivamente para:

• Autenticar al usuario en la plataforma de forma segura.
• Crear y administrar la cuenta de usuario en Revendiste.
• Facilitar el acceso seguro a los servicios ofrecidos.
• Personalizar la experiencia del usuario (mostrar nombre e imagen de perfil).

6.3 Lo que NO hacemos con los datos de Google

• NO accedemos a contraseñas de Google.
• NO almacenamos tokens de acceso de Google más allá de lo necesario para la autenticación.
• NO obtenemos información adicional distinta a la indicada anteriormente.
• NO utilizamos los datos obtenidos mediante Google con fines publicitarios o de marketing.
• NO vendemos ni compartimos los datos de Google con terceros no autorizados.
• NO accedemos a otros servicios de Google del usuario (Gmail, Drive, Calendar, etc.).

6.4 Revocación del acceso

El usuario puede revocar el acceso de Revendiste a su cuenta de Google en cualquier momento desde la configuración de seguridad de su cuenta de Google: https://myaccount.google.com/permissions

6.5 Política de Google

El uso de la autenticación mediante Google se encuentra sujeto, además, a la Política de Privacidad de Google y sus Términos de Servicio.

7. Cookies y tecnologías similares

Revendiste utiliza cookies y tecnologías similares para:

• Cookies esenciales: necesarias para el funcionamiento básico de la plataforma, incluyendo la autenticación y seguridad de la sesión. Entre ellas, la cookie rv_did asigna a cada navegador un identificador aleatorio (sin datos personales en sí mismo, con una vigencia de 2 años) que nos permite reconocer los dispositivos habituales del usuario y detectar accesos desde dispositivos desconocidos. Es una cookie de seguridad y prevención de fraude; no se utiliza con fines publicitarios ni se comparte con terceros.
• Cookies de preferencias: para recordar las preferencias del usuario (como el tema visual).
• Cookies analíticas: para comprender cómo los usuarios interactúan con la plataforma y mejorar la experiencia.
• Cookies y píxeles publicitarios de terceros: el Meta Pixel y el TikTok Pixel, para medir nuestros anuncios (ver Sección 7.1).

El usuario puede gestionar las preferencias de cookies a través de la configuración de su navegador. Sin embargo, deshabilitar ciertas cookies puede afectar la funcionalidad de la plataforma.

7.1 Medición de publicidad (Meta y TikTok)

Usamos el Meta Pixel y el TikTok Pixel en nuestro sitio, y sus conexiones desde nuestros servidores (Conversions API de Meta y Events API de TikTok), para medir y mejorar nuestros anuncios.

• Con quién: Meta Platforms, Inc. (Estados Unidos), que opera Facebook e Instagram, y TikTok Pte. Ltd. (Singapur). Ver la Sección 13.
• Qué se comparte desde tu navegador: las páginas que ves y lo que hacés en ellas (por ejemplo, buscar, ver un evento, empezar una compra o comprar), junto con las cookies propias de cada plataforma.
• Qué se comparte desde nuestros servidores, cuando ves un evento, empezás una compra, comprás o publicás entradas:
  • el evento que viste o compraste y, en una compra o una publicación, el monto, la moneda y el número de la orden o de la publicación;
  • tu dirección IP y tu navegador;
  • las cookies de cada plataforma y los identificadores de clic de sus anuncios;
  • un identificador interno de tu cuenta, si iniciaste sesión;
  • solo cuando empezás una compra, comprás o publicás entradas: tu email y tu teléfono. No enviamos tu nombre, tu documento ni tu país.
• Encriptados: el identificador de tu cuenta y tus datos de contacto viajan siempre encriptados (hash SHA-256). Los convertimos en nuestros servidores en un código que no se puede revertir, y nunca salen en texto plano. Meta y TikTok comparan esos códigos con los de sus propios usuarios para saber si una compra o una publicación vino de uno de nuestros anuncios.
• Para qué: saber qué anuncios traen compradores y vendedores, medir sus resultados y mostrar nuestros anuncios a personas con más probabilidad de usar Revendiste. Meta y TikTok también tratan estos datos según sus propias políticas de privacidad (Meta, TikTok).
• Base legal: tu consentimiento expreso, que otorgás al aceptar esta política (ver la Sección 5).
• Cookie propia de origen de visita: cuando llegás desde un anuncio o un enlace con parámetros de campaña, guardamos una cookie propia (rv_attribution) durante 90 días. Contiene los parámetros de campaña del enlace (por ejemplo utm_source), los identificadores de clic del anuncio, el sitio desde el que llegaste, la página de llegada y la fecha. No guarda datos de tu cuenta, tu IP ni tu navegador, y la última visita con parámetros reemplaza a la anterior. La usamos para saber qué anuncios traen compradores y vendedores, y para enviar esa conversión a Meta y TikTok cuando tu navegador bloquea sus cookies.
• Origen de tus compras y publicaciones: si tenías esa cookie al hacer una compra o publicar entradas, guardamos junto a la orden o la publicación la campaña de origen (los datos de la cookie, sin IP ni navegador). La usamos para reportes internos de canales y, más adelante, para mostrar a cada productora cómo llegan los compradores a sus eventos, sin datos personales.
• Cómo oponerte: podés pedirnos en cualquier momento que dejemos de compartir tus datos con Meta y TikTok con fines publicitarios, escribiendo a [email protected] (artículo 21 de la Ley Nº 18.331). Es gratuito y no afecta tu uso de la plataforma.
• Cómo limitarlo desde tu dispositivo: podés bloquear o borrar las cookies desde la configuración de tu navegador, usar un bloqueador de anuncios, o ajustar tus preferencias de anuncios en tu cuenta de Meta y de TikTok.

8. Compartición de datos con terceros

Revendiste podrá compartir datos personales únicamente cuando sea necesario para:

• Procesamiento de pagos: a través de proveedores de servicios de pago autorizados para gestionar las transacciones. A la procesadora (dLocal Go) le enviamos, como datos del pagador, el nombre y apellido, el correo electrónico, el país, un identificador interno de usuario y, cuando corresponde, el tipo y número de documento verificado y el número de teléfono verificado. Estos datos permiten autorizar el pago, ejecutar la autenticación 3D Secure con el banco emisor y detectar operaciones fraudulentas.

• Gestión de disputas y contracargos: cuando un pago es disputado ante el banco emisor, Revendiste puede remitir a la procesadora y, a través de ella, al banco, un conjunto de evidencia compuesto por los datos de la operación, los datos del pagador enviados al autorizar el pago, el resultado de la autenticación 3D Secure, los datos de verificación de identidad de la cuenta (nombre, tipo y número de documento; no las imágenes, salvo requerimiento expreso y fundado) y los registros técnicos de la operación (dirección IP, país, identificador de dispositivo, fecha y hora), en la medida necesaria para acreditar la operación.

• Cumplimiento legal: para responder a requerimientos legales, regulatorios o judiciales.

• Prevención de fraudes: para detectar y prevenir actividades fraudulentas o ilícitas.

• Servicios tecnológicos: con proveedores de infraestructura, hosting, almacenamiento en la nube y seguridad necesarios para operar la plataforma.

• Autenticación: con proveedores de identidad como Google, cuando el usuario opta por utilizar estos servicios.

• Mensajería: con Meta Platforms, Inc. (WhatsApp Business API), cuando el usuario opta por recibir notificaciones por WhatsApp. Se comparte únicamente el número de teléfono del usuario y el contenido de las notificaciones operativas. El usuario puede desactivar este canal en cualquier momento desde la configuración de su cuenta.

• Analítica de producto y observabilidad: con proveedores especializados como PostHog, utilizados para comprender cómo los usuarios interactúan con la Plataforma, detectar errores, medir desempeño y mejorar la experiencia. Estos datos se utilizan en forma agregada y con identificadores pseudonimizados siempre que es posible. Los datos de analítica de producto no se usan con fines publicitarios ni se enriquecen con información de terceros con fines comerciales.

• Medición publicitaria: con Meta Platforms, Inc. y TikTok Pte. Ltd., únicamente los datos y con las finalidades descritas en la Sección 7.1.

• Productoras de eventos oficiales: cuando el usuario adquiere una entrada de un evento oficial, se comparten con la productora organizadora los datos estrictamente necesarios para el control de acceso y la gestión del evento: nombre y apellido del comprador, categoría y código de acceso de la entrada, cantidad de entradas y estado de uso. No se comparten con la productora el documento de identidad, las imágenes de verificación de identidad, los datos de pago ni el historial de operaciones del usuario en otros eventos.

  La productora recibe estos datos en calidad de responsable del tratamiento por derecho propio, en cuanto organizadora del evento y contraparte del comprador en la compraventa de la entrada. En esa calidad, la productora asume frente al titular sus propias obligaciones bajo la Ley Nº 18.331. Conforme la Parte IV de los Términos y Condiciones, la productora se obliga contractualmente a tratar estos datos únicamente para el control de acceso, la seguridad y la gestión del evento, a no utilizarlos con fines publicitarios o comerciales propios sin obtener el consentimiento del titular por sus propios medios, a no cederlos a terceros y a suprimirlos una vez cumplida esa finalidad.

• Intendencias departamentales: información de las entradas vendidas y de los importes recaudados, en cumplimiento de las obligaciones que la normativa departamental impone a Revendiste como agente de retención del impuesto a los espectáculos públicos.

• Proveedor de facturación electrónica: los datos necesarios para la emisión, el envío y la conservación de los comprobantes fiscales electrónicos (nombre o razón social, identificación tributaria cuando corresponda, correo electrónico e importes de la operación).

• Promotores y productoras, respecto de las ventas atribuidas: cuando una operación se atribuye a un promotor, la productora y el promotor acceden a los datos de esa atribución a efectos del cálculo de la comisión. El promotor no accede a los datos identificatorios del comprador.

En todos los casos, se adoptan medidas contractuales y técnicas razonables para garantizar la confidencialidad y seguridad de la información compartida. Los terceros están obligados a utilizar los datos únicamente para los fines especificados y conforme a esta política.

Revendiste no vende datos personales. Solo compartimos con Meta y TikTok los datos descritos en la Sección 7.1, para medir y mejorar nuestros propios anuncios.

9. Conservación de los datos

Los datos personales serán conservados durante los siguientes períodos:

• Datos de cuenta: mientras la cuenta del usuario permanezca activa o hasta que el usuario solicite su eliminación.
• Datos de transacciones: durante el tiempo necesario para cumplir con obligaciones fiscales y legales (mínimo 5 años según normativa tributaria uruguaya).
• Datos de verificación de identidad (documento): las imágenes de documentos se conservan en formato cifrado durante un máximo de 5 (cinco) años para cumplir con obligaciones legales, gestionar posibles reclamos, contracargos o requerimientos de autoridades competentes. Transcurrido este plazo, serán eliminados de forma segura. Durante todo el período de conservación, los datos permanecen cifrados y no son accesibles para visualización humana.
• Datos biométricos de verificación de vida (liveness): estas imágenes se conservan de forma segura mientras la cuenta del usuario permanezca activa (ya que constituyen el medio de vinculación entre la identidad verificada y la cuenta), y durante un máximo de 2 (dos) años posteriores al cierre de la cuenta, para gestionar posibles reclamos, disputas o acciones legales pendientes. Transcurridos dichos plazos, serán eliminados de forma segura.
• Comprobantes fiscales electrónicos y su documentación de respaldo: durante el plazo de prescripción de las obligaciones tributarias, que la normativa uruguaya fija en un mínimo de 5 (cinco) años, ampliable a 10 (diez) años en los supuestos de prescripción extendida previstos en el artículo 38 del Código Tributario. Los comprobantes permanecen disponibles para consulta del destinatario durante un plazo no inferior a 90 (noventa) días corridos desde su emisión.
• Documentación de respaldo de las retenciones del impuesto departamental: durante el plazo que exija la normativa departamental aplicable y, en su defecto, 5 (cinco) años.
• Datos de verificación de productoras y de sus representantes: mientras la relación esté vigente y durante 5 (cinco) años posteriores a su finalización, para atender obligaciones fiscales, reclamos y requerimientos de autoridad competente.
• Datos de control de acceso a eventos: hasta 2 (dos) años posteriores a la realización del evento, para la gestión de reclamos y disputas.
• Datos técnicos y de registro: durante un período razonable para fines de seguridad y detección de fraudes (generalmente hasta 2 años). Los registros de contexto de cada pago, retiro y verificación (dirección IP, país, identificador de dispositivo, navegador) se conservan 18 (dieciocho) meses.
• Datos de pago (BIN, últimos cuatro dígitos, resultado de 3D Secure): junto con los datos de la transacción a la que pertenecen, durante el mismo plazo que estos (mínimo 5 años).
• Datos compartidos con Meta y TikTok: no guardamos los códigos encriptados; los calculamos al enviar cada evento. Cada plataforma conserva lo que recibe según sus propias políticas. La cookie rv_attribution dura 90 (noventa) días.
• Evaluaciones de riesgo: el resultado de cada evaluación automatizada y las medidas aplicadas se conservan junto con la operación evaluada, para permitir su revisión y la gestión de reclamos.

Una vez cumplidos los plazos de conservación, los datos serán eliminados de forma segura o anonimizados.

10. Derechos de los usuarios

De acuerdo con la Ley Nº 18.331 de Protección de Datos Personales y su normativa complementaria, los usuarios tienen derecho a:

• Acceso: conocer qué datos personales tenemos almacenados sobre usted.
• Rectificación: corregir datos inexactos o incompletos.
• Actualización: mantener sus datos al día.
• Supresión: solicitar la eliminación de sus datos cuando corresponda y no exista obligación legal de conservarlos.
• Revocación del consentimiento: retirar el consentimiento otorgado para el tratamiento de datos en cualquier momento.
• Oposición al uso publicitario: pedir en cualquier momento que dejemos de compartir sus datos con Meta y TikTok con fines publicitarios (artículo 21 de la Ley Nº 18.331), sin costo y sin que eso afecte el uso de la plataforma.

Para ejercer estos derechos, el usuario puede enviar una solicitud al correo electrónico [email protected], indicando claramente el derecho que desea ejercer y adjuntando una copia de su documento de identidad para verificar su identidad.

Revendiste responderá a las solicitudes dentro de los 5 (cinco) días hábiles establecidos por la Ley Nº 18.331 (artículos 14 y 15).

Excepciones al derecho de supresión: La solicitud de eliminación de datos no procederá cuando exista una obligación legal que requiera su conservación. En particular:

• Datos de transacciones: deben conservarse por un mínimo de 5 años conforme a la normativa tributaria uruguaya.
• Datos de verificación de identidad (documentos): se conservan hasta 5 años para gestionar reclamos, contracargos o requerimientos de autoridades competentes.
• Datos biométricos (liveness): se conservan mientras la cuenta esté activa y hasta 2 años posteriores al cierre, para vinculación de identidad y gestión de disputas.
• Comprobantes fiscales electrónicos y documentación de respaldo de retenciones: deben conservarse conforme los plazos de prescripción tributaria indicados en la Sección 9. Esta obligación no admite revocación del consentimiento, por fundarse en el cumplimiento de una obligación legal.
• Datos necesarios para el ejercicio o defensa de reclamaciones en curso.

En estos casos, Revendiste informará al usuario los motivos por los cuales no puede proceder a la supresión total e indicará el plazo estimado de conservación obligatoria.

En caso de no obtener una respuesta satisfactoria, el usuario puede presentar una denuncia ante la Unidad Reguladora y de Control de Datos Personales (URCDP), Liniers 1324, piso 4, Montevideo: https://www.gub.uy/urcdp

11. Seguridad de la información

Revendiste implementa medidas técnicas y organizativas razonables, conforme a estándares de la industria, para proteger los datos personales contra:

• Accesos no autorizados
• Pérdida accidental o destrucción
• Alteración indebida
• Divulgación no autorizada

11.1 Medidas de seguridad generales

Estas medidas incluyen, entre otras:

• Cifrado de datos en tránsito (HTTPS/TLS 1.3)
• Almacenamiento seguro de datos sensibles
• Controles de acceso basados en roles
• Monitoreo y registro de actividades
• Capacitación del personal en materia de seguridad

11.2 Seguridad de datos de verificación de identidad

Para los datos de verificación de identidad, implementamos medidas de seguridad adicionales y reforzadas:

• Cifrado AES-256: Las imágenes de documentos de identidad y verificación facial se almacenan utilizando cifrado AES-256, el mismo estándar utilizado por instituciones financieras para proteger información sensible.
• Almacenamiento aislado: Los documentos de verificación se almacenan en infraestructura separada y dedicada (bucket privado), con acceso restringido mediante URLs firmadas con tiempo de expiración.
• Acceso controlado: Solo personal autorizado de Revendiste puede acceder a las imágenes en casos que requieran revisión manual de seguridad, investigación de fraude o cumplimiento de requerimientos legales.
• Claves de cifrado seguras: Las claves de cifrado se gestionan mediante servicios especializados de gestión de claves (KMS) que cumplen con estándares internacionales de seguridad.
• Almacenamiento de datos biométricos: Las imágenes de verificación de vida (liveness) se almacenan de forma segura para fines de auditoría, revisión manual en casos excepcionales y cumplimiento de obligaciones legales.
• Auditoría de accesos: Todos los intentos de acceso a datos de verificación quedan registrados para fines de auditoría y detección de actividades sospechosas.

11.3 Notificación de incidentes de seguridad

En caso de un incidente de seguridad que pueda comprometer datos personales, Revendiste se compromete a:

• Notificar a la URCDP dentro de las 72 (setenta y dos) horas siguientes a tomar conocimiento del incidente.
• Notificar a los usuarios afectados sin dilación indebida, informando la naturaleza del incidente, los datos potencialmente comprometidos, las medidas adoptadas y las recomendaciones para mitigar posibles consecuencias.
• Documentar internamente el incidente, incluyendo sus causas, efectos y las medidas correctivas implementadas.

11.4 Limitación de responsabilidad

Sin embargo, ningún sistema de transmisión o almacenamiento de datos es completamente seguro. Revendiste no puede garantizar la seguridad absoluta de la información, pero se compromete a implementar las mejores prácticas de la industria conforme a la normativa vigente.

12. Menores de edad

Revendiste no está dirigido a menores de 18 años. No recopilamos intencionalmente datos personales de menores de edad. Si tomamos conocimiento de que hemos recopilado datos de un menor sin el consentimiento verificable de su padre o tutor, tomaremos medidas para eliminar dicha información.

Si usted es padre o tutor y cree que su hijo menor de edad nos ha proporcionado datos personales, por favor contáctenos a [email protected].

13. Transferencias internacionales de datos

Algunos de nuestros proveedores tecnológicos están ubicados fuera del territorio uruguayo. Esto implica una transferencia internacional de datos personales que Revendiste informa con transparencia.

Nota importante: Estados Unidos y Singapur no cuentan con una decisión de adecuación por parte de la Unidad Reguladora y de Control de Datos Personales (URCDP) de Uruguay. Las transferencias a proveedores ubicados en dichos países se realizan con base en el consentimiento informado del usuario (artículo 23 de la Ley Nº 18.331) y en salvaguardas contractuales adicionales.

13.1 Detalle de transferencias internacionales

13.1.1 Liquidaciones a usuarios del exterior

Cuando un vendedor, una productora o un promotor tenga su cuenta de cobro en un país distinto de Uruguay, los datos necesarios para ejecutar la liquidación (nombre y apellido o razón social, identificación tributaria cuando corresponda, e identificador de la cuenta de destino) se transmiten al proveedor de pagos habilitado para ese destino, que los trata para ejecutar la transferencia y para cumplir sus propias obligaciones de identificación del cliente y prevención de lavado de activos.

Revendiste no opera cuentas bancarias ni establecimientos en países distintos de Uruguay: la totalidad del tratamiento se realiza desde territorio uruguayo, y las transferencias al exterior se limitan a lo estrictamente necesario para ejecutar el pago.

13.2 Base de datos principal

La base de datos principal de Revendiste (datos de usuarios, transacciones, órdenes) se encuentra alojada en Amazon Web Services (AWS) en São Paulo, Brasil. Brasil cuenta con legislación de protección de datos (LGPD) alineada con estándares internacionales.

13.3 Salvaguardas aplicadas

En todos los casos, Revendiste aplica las siguientes salvaguardas:

• Condiciones contractuales con cada proveedor que incluyen obligaciones de confidencialidad y protección de datos.
• Cifrado de datos en tránsito (TLS 1.3) y en reposo (AES-256 para datos sensibles).
• Controles de acceso y auditorías de seguridad por parte de los proveedores (certificaciones SOC 2, ISO 27001 cuando aplique).
• Minimización de datos: cada proveedor recibe únicamente los datos estrictamente necesarios para la prestación del servicio.

13.4 Consentimiento del usuario

El usuario, al aceptar esta Política de Privacidad y utilizar la Plataforma, otorga su consentimiento libre, específico e informado a las transferencias internacionales de datos detalladas en esta sección, en los términos del artículo 23 de la Ley Nº 18.331. El usuario comprende que Estados Unidos y Singapur no cuentan con un nivel de protección de datos considerado adecuado por la URCDP y que las salvaguardas contractuales descritas constituyen la protección adicional aplicada.

El usuario puede revocar este consentimiento en cualquier momento contactando a [email protected], lo cual podrá implicar la imposibilidad de continuar utilizando determinadas funcionalidades de la Plataforma que dependen de dichos proveedores.

14. Modificaciones a esta política

Revendiste se reserva el derecho de modificar esta Política de Privacidad. Las modificaciones serán notificadas a los usuarios con un preaviso mínimo de 30 (treinta) días corridos antes de su entrada en vigencia, mediante publicación en la plataforma con indicación de la fecha de última actualización y comunicación al correo electrónico registrado.

Si el usuario no está de acuerdo con las modificaciones, podrá ejercer sus derechos conforme la Sección 10 (incluyendo la revocación del consentimiento) antes de la fecha de entrada en vigencia. El uso continuado de la plataforma luego de dicha fecha implica la aceptación de la política modificada.

15. Legislación aplicable

Esta Política de Privacidad se rige por las leyes de la República Oriental del Uruguay, en particular:

• Ley Nº 18.331 de Protección de Datos Personales y Acción de Habeas Data
• Decreto Reglamentario Nº 414/009
• Normativa complementaria emitida por la URCDP

Cualquier controversia relacionada con esta política será sometida a la jurisdicción de los tribunales competentes de la ciudad de Montevideo, Uruguay.

Usuarios con residencia fuera de Uruguay. Lo anterior no priva al usuario de los derechos que le reconozcan las normas imperativas de protección de datos personales de su país de residencia, ni de la facultad de acudir a la autoridad de control competente de dicho país cuando esta se declare competente. Los usuarios con residencia en la República Argentina conservan los derechos que les reconoce la Ley Nº 25.326 de Protección de los Datos Personales y sus normas complementarias.

16. Responsable de protección de datos

De conformidad con el Decreto Reglamentario Nº 414/009, Revendiste designa como responsable de la protección de datos personales a:

Nombre: Mathías Falcón Gallaztegui
Correo electrónico: [email protected]
Dirección: Avenida Ocho de Octubre 2487, Apartamento 801, Montevideo, Uruguay

Esta persona es el punto de contacto para el ejercicio de los derechos de acceso, rectificación, actualización, supresión y revocación del consentimiento, así como para cualquier consulta de la URCDP.

17. Contacto

Para cualquier consulta, solicitud o reclamo relacionado con esta Política de Privacidad o el tratamiento de sus datos personales, el usuario puede contactarse a:

Correo electrónico para temas de datos personales: [email protected]
Correo electrónico para consultas generales: [email protected]