Aviso de privacidad

Víctor Manuel Campos Vázquez, persona física que opera la plataforma Brechear (brechear.com), es responsable del tratamiento de los datos personales que se recaban a través de la plataforma.

Identidad y domicilio del responsable, para efectos del artículo 15, fracción I de la Ley, y para recibir solicitudes ARCO por escrito:

• Domicilio: Cipreses 22, Fraccionamiento Cipreses de Mayorazgo, C.P. 72480, Puebla, Puebla, México.
• Correo para cualquier tema de privacidad, incluidos los derechos ARCO: hola@brechear.com
• Teléfono: todavía no publicamos uno. Preferimos decírtelo así que mostrarte un número que no contesta; escríbenos al correo y, si necesitas que te llamemos, pídelo y lo hacemos.

El organizador de cada evento es responsable por su propia cuenta. Cuando te inscribes a un evento o compras sus boletos, el organizador recibe tus datos y decide qué hace con ellos para operar su carrera: es un responsable distinto, con su propio aviso de privacidad y sus propias obligaciones. Brechear no responde por lo que él haga con esos datos, y él no responde por lo que hagamos nosotros. Más abajo lo explicamos.

Si eres organizador o parte de su equipo: nombre, correo electrónico, contraseña (guardada solo como hash, nunca en claro), nombre y datos públicos de tu organización, tu rol dentro de ella, y el identificador de tu cuenta de Stripe cuando la conectas. Los datos fiscales y de identidad para cobrar los recaba y los guarda Stripe, no Brechear.

Si entras con Google: el identificador estable de tu cuenta de Google (el `sub`), el correo con el que la vinculaste y tu nombre tal como lo envía Google. No guardamos tu foto de perfil, ni tu contraseña, ni ningún token de acceso de Google. Al entrar por primera vez con un correo verificado, las inscripciones anteriores hechas con ese mismo correo quedan asociadas a tu cuenta, para que veas tu historial.

Si eres piloto y te inscribes: nombre y apellidos, correo, teléfono, fecha de nacimiento, ciudad, estado y país, contacto de emergencia (nombre y teléfono), datos de tu vehículo (marca, modelo, año, número, copiloto, patrocinador), categoría, número de competidor, los campos adicionales que el organizador haya definido en su formulario, y —si el evento lo pide— la evidencia de la responsiva. Si eres menor de edad, además el nombre y teléfono de tu padre, madre o tutor.

Si vas como acompañante en una rodada: tu nombre, si eres menor de edad, el nombre de tu tutor cuando lo eres, y tu firma y fecha de aceptación de la responsiva. Los acompañantes se registran dentro de la inscripción del vehículo.

Si el evento tiene seguro de accidentes: además, tu CURP, tu fecha de nacimiento, el nombre y parentesco del beneficiario que designes, la suma asegurada que fija la póliza y la evidencia de tu consentimiento (el texto que aceptaste, tu firma, la fecha, tu IP y tu navegador). Ver la sección 5.

Si el evento ofrece protección contra daños: tu decisión (contratarla o rechazarla), el producto y sus montos, el texto que aceptaste, tu firma, la fecha, tu IP y tu navegador. Ver la sección 6.

Si compras boletos de espectador: nombre, correo y teléfono de quien compra, el tipo y la cantidad de boletos, y los códigos QR emitidos.

De cualquier compra: el monto, la moneda, el concepto, el estado de la orden, la fecha, y los identificadores que devuelve Stripe (sesión de pago e intención de pago). Nada de la tarjeta. Si pides factura, además tu RFC, tu razón social y el uso de CFDI, que capturamos para entregárselos al organizador, que es quien emite el comprobante.

Si te apuntas a una lista de espera: nombre y apellidos, correo, teléfono e idioma, para poder avisarte cuando se libere un lugar.

Si traspasas tu inscripción o recibes una: el correo y el nombre de la persona a la que se le ofrece el lugar, y el registro de cuándo se envió y se reclamó. La invitación que recibe esa persona incluye tu nombre, tu categoría y tu número de competidor, porque necesita saber qué lugar se le está ofreciendo. Al completarse el traspaso, tus datos personales en esa inscripción se sustituyen por los de la otra persona y queda un registro del cambio con la IP y el navegador desde donde se hizo.

Si editas o cancelas tu inscripción desde tu enlace personal: guardamos qué se cambió, cuándo, y la dirección IP y el navegador desde donde se hizo, para poder acreditar quién hizo el cambio.

Si el organizador cobra por transferencia: los datos del depósito que llegó a su cuenta, para poder conciliarlo con tu orden. El organizador puede reenviar las alertas de su banco a una dirección de correo que opera Brechear, o subir su estado de cuenta; de ahí se leen y se guardan el monto, la fecha, la clave de rastreo, el concepto que escribió quien pagó y el nombre del ordenante tal como lo escribió el banco —que a veces es quien pagó y no el piloto—, junto con el texto original de esa alerta o de esa fila del estado de cuenta. Si tú pagaste la inscripción de alguien más, tu nombre puede aparecer ahí.

Si solo visitas una página pública de evento: una vista de página sin cookies. Ver la sección 10.

Finalidades primarias, es decir, las necesarias para darte el servicio:

• Crear y administrar tu cuenta y tu organización.
• Procesar inscripciones, boletos y pagos, y emitir los códigos QR de acceso.
• Enviarte por correo la confirmación de tu orden, tu pase de piloto o tus boletos.
• Operar el evento: listas de registro, check-in, revisión técnica, heats, escaneo en puerta, puntuación, resultados y puntos de serie.
• Darle al organizador la evidencia de la responsiva firmada.
• Cuando el evento tiene seguro de accidentes, recabar tu consentimiento e integrar la lista de asegurados para que el organizador la entregue a su aseguradora.
• Registrar tu decisión sobre la protección contra daños y el depósito en garantía cuando aplique.
• Conciliar los pagos por transferencia y las listas de espera, y gestionar los traspasos de inscripción.
• Atender aclaraciones, reembolsos y soporte, y defender o acreditar una operación si hay una disputa o un contracargo.
• Prevenir fraude y uso indebido, y cumplir obligaciones legales, contables y fiscales.

Finalidades secundarias, que puedes rechazar sin que afecte tu inscripción ni tu compra:

• Contarte de nuevas funciones de Brechear o pedirte retroalimentación del producto.

Para negarte a las finalidades secundarias basta un clic: cada aviso que te mandamos lleva al pie un enlace de baja (y tu correo puede mostrar un botón «Cancelar suscripción» que hace lo mismo). Dejas de recibir avisos de organizadores y de Brechear al instante, pero seguirás recibiendo tu pase, tus boletos, tus recibos, tus recordatorios y tus resultados. Si prefieres, también puedes escribir a hola@brechear.com.

Cuando aceptas nuestros documentos. Al marcar la casilla con la que aceptas los Términos y este Aviso guardamos: qué documento fue, su versión, el idioma en que lo leíste, una huella criptográfica (SHA-256) del texto exacto que tenías en pantalla —y el texto completo cuando ese documento es el contrato mismo—, la fecha y hora, tu correo, la dirección IP y el navegador. Lo guardamos para poder acreditar qué texto tuviste a la vista en el momento de la operación, y se escribe en la misma operación que tu inscripción, compra o alta de cuenta. Los Términos explican, en su sección 2, que ese acto es tu firma electrónica y qué alcance tiene.

Cuando un evento requiere responsiva, al aceptarla guardamos junto a tu inscripción: el texto que aceptaste, la firma que escribiste, la fecha y hora exactas, la dirección IP desde la que la firmaste y el navegador que usaste.

Guardamos ese detalle porque es lo que le permite al organizador acreditar, si alguna vez hace falta, que la responsiva fue aceptada por ti.

Con una excepción que preferimos decirte: para medir cuántas visitas terminan en inscripción, la IP y el navegador que quedaron en tu responsiva pueden volver a convertirse en el mismo identificador con el que se guardó tu visita ese día, y así atribuir tu registro a la visita que lo originó (ver la sección 10). Es una medición del embudo del evento; no la usamos para construir un perfil tuyo ni para seguirte fuera de Brechear.

Si eres menor de edad, la responsiva la firma tu padre, madre o tutor, y su nombre y teléfono quedan asociados a la inscripción. En las rodadas, cada acompañante firma la suya; de los acompañantes guardamos nombre, firma y fecha, y no guardamos su IP ni su navegador.

Cuando el organizador contrató un seguro colectivo de accidentes y tú consientes, tratamos: tu nombre completo, tu CURP, tu fecha de nacimiento, el nombre y parentesco de tu beneficiario, la suma asegurada que fija la póliza, y la evidencia de tu consentimiento (el texto que aceptaste conforme al artículo 167 de la Ley sobre el Contrato de Seguro, tu firma, la fecha, tu IP y tu navegador).

La póliza es del organizador, no de Brechear: él la contrató con la aseguradora que él eligió y él es quien la entrega y la reporta. Brechear no es aseguradora ni intermediaria y no comparte estos datos con ninguna aseguradora por su cuenta.

Cómo salen los datos hacia la aseguradora. La plataforma genera, cuando un administrador de la organización lo pide, un archivo con la lista de asegurados que el organizador entrega a su aseguradora. Ese archivo contiene: número de póliza, aseguradora, contratante, tipo de movimiento (alta o baja), nombre completo, CURP, fecha de nacimiento, si eres titular o acompañante, suma asegurada, moneda, fecha de alta y una referencia interna.

Para que quede claro qué no sale en ese archivo hoy: el nombre y el parentesco de tu beneficiario no se incluyen —se guardan en la plataforma, pero el archivo los deja en blanco—, y tampoco salen el texto de tu consentimiento, tu firma, tu IP, tu navegador ni el nombre de tu tutor. Esos datos se quedan como evidencia.

Dentro de la plataforma, esta información solo la ven las personas con rol de administrador o superior de la organización del evento, igual que las finanzas.

Los números de certificado que verás se generan en la propia plataforma para control interno; no los emite la aseguradora.

Si el evento ofrece protección contra daños, guardamos tu decisión y la evidencia de cómo la tomaste: el nombre del producto, el precio, el deducible, el monto del depósito en garantía cuando la rechazas, el texto de condiciones que aceptaste, tu firma escrita, la fecha y hora, tu IP y tu navegador.

Recuerda que no es un seguro: es un límite contractual que cubre el organizador con sus propios recursos. El depósito en garantía lo acuerda y lo cobra él directamente; la plataforma solo registra el monto.

El organizador puede descargar la lista de decisiones de su evento, que incluye el nombre del participante, su correo, la opción elegida, los montos y la firma. Esa lista no incluye tu IP ni tu navegador. No se comparte con ningún tercero.

Al inscribirte a un evento o comprar sus boletos, tus datos de registro se comparten con el organizador de ese evento, que los necesita para dejarte correr o entrar. Es la razón misma por la que llenaste el formulario.

El organizador puede ver, exportar e imprimir esa información (listas, hojas de check-in, roster, tarjetas de número) y es responsable de ella por su propia cuenta, no un simple encargado nuestro: decide él cómo la resguarda y para qué la usa, dentro de lo que estos documentos y la ley permiten. Solo puede usarla para operar su evento y comunicarse contigo sobre él.

Si quieres saber qué hace un organizador con tus datos, o ejercer tus derechos frente a él, contáctalo directamente: su correo aparece en la página pública del evento. Nosotros podemos ayudarte a ubicarlo, y si no te responde, escríbenos.

Proveedores que tratan los datos por instrucción nuestra (personas encargadas):

• Stripe — procesamiento de pagos y cuentas conectadas de los organizadores. Recibe el nombre, correo y teléfono del comprador y los datos de la tarjeta, que captura directamente en su propio checkout. Stripe trata esos datos también por cuenta propia, bajo su propia política.
• Resend — envío de los correos transaccionales y de los avisos de los organizadores. Recibe el correo del destinatario y el contenido del mensaje.
• Neon — base de datos donde vive la información de la plataforma.
• Vercel — alojamiento y ejecución de la aplicación.

Terceros a quienes se transfieren datos:

• El organizador de tu evento, como responsable por su propia cuenta (sección 7).
• La aseguradora del organizador, cuando el evento tiene seguro de accidentes y él le entrega la lista de asegurados (sección 5).
• Meta Platforms y Google, cuando el organizador configuró su propio píxel de Meta o su propia medición de Google Analytics en las páginas públicas de sus eventos (sección 10).
• Google, cuando eliges entrar con tu cuenta de Google: el intercambio ocurre entre tu navegador y Google, y nosotros recibimos de vuelta tu identificador y tu correo.

No vendemos, ni rentamos, ni intercambiamos datos personales. No usamos tus datos para publicidad propia ni los entregamos a brokers de datos.

Solo revelaremos datos a una autoridad cuando exista un requerimiento fundado y motivado, o cuando la ley lo exija.

El cobro con tarjeta se hace en el checkout alojado de Stripe. El número de tarjeta, la fecha de vencimiento y el CVV nunca tocan los servidores de Brechear ni quedan en nuestra base de datos.

De cada pago guardamos únicamente: los identificadores que nos devuelve Stripe (sesión de pago e intención de pago), los montos en centavos, la moneda, el estado de la orden y el nombre, correo y teléfono del comprador.

Si pagas por transferencia bancaria, el pago no pasa por Stripe: llega a la cuenta del organizador y lo que guardamos es el dato del depósito que sirve para conciliarlo con tu orden.

Cookies propias. Brechear usa las mínimas para funcionar, todas httpOnly (el JavaScript de la página no puede leerlas):

• brecha_sid — tu sesión. Dura 30 días y solo existe para mantenerte con la sesión iniciada. Si cierras sesión, se borra.
• brecha_oauth — temporal y de vida corta, solo mientras completas el ingreso con Google; se usa para que ese ingreso no pueda ser manipulado.
• NEXT_LOCALE — recuerda el idioma que elegiste. La pone la librería de internacionalización del sitio; no se usa en la vista incrustable de eventos.

Analítica propia, sin cookies. De cada visita a una página pública de evento registramos: el evento, qué página fue (landing, inscripción, boletos, en vivo, resultados o info), el sitio de referencia si lo hay, los parámetros de campaña de la dirección (`utm_source`, `utm_medium`, `utm_campaign`) si vienen, el idioma, la fecha y un identificador de visitante que es un hash irreversible de tu IP y tu navegador combinados con una sal que cambia cada día. No guardamos tu IP en esas vistas y el tráfico de bots se descarta. Como la sal cambia a diario, ese identificador no sirve para seguirte de un día a otro ni entre eventos; dentro del mismo día sí permite agrupar tus vistas, y por eso puede vincularse con la evidencia de tu responsiva como se explica en la sección 4.

Eso le sirve al organizador para saber cuánta gente vio su evento y cuántos terminaron inscribiéndose.

Píxeles de terceros: existen y son del organizador. Un organizador puede configurar en sus ajustes su propio píxel de Meta (Facebook/Instagram) y su propia medición de Google Analytics (GA4). Cuando lo hace, esos scripts se cargan en las páginas públicas de los eventos de esa organización y en la vista de una orden pagada, donde se reporta la compra como conversión (identificador de la orden, monto, moneda y si incluía inscripciones). No se cargan en el tablero del organizador, ni en tus documentos de piloto, ni en la vista incrustable, ni en la página de inicio de Brechear.

Cuando esos scripts se cargan, Meta y Google reciben directamente de tu navegador tu dirección IP, la página que estás viendo y los identificadores de sus propias cookies si las tienes, y los tratan conforme a sus propias políticas y para sus propios fines, incluida publicidad. Esa medición la decide el organizador; nuestra analítica propia no comparte nada con ellos.

Si no quieres esa medición, puedes bloquear cookies y scripts de terceros en tu navegador o usar sus mecanismos de exclusión, y puedes pedirle al organizador que la retire. Si en tu visita no aparece ningún píxel es porque el organizador de ese evento no configuró ninguno.

Los eventos publicados tienen páginas públicas, visibles para cualquiera e indexables por buscadores. En ellas puede aparecer:

• Los resultados de carrera y la tabla en vivo: nombre del piloto, número de competidor, categoría, vueltas o tiempos, posición, penalizaciones y estado (DNF, DNS, DSQ).
• Las tablas de puntos de una serie o campeonato.
• El nombre y los datos de contacto públicos de la organización organizadora.
• En las rodadas, el muro «¿Quién va?», si el organizador lo activó y tú marcaste la casilla para aparecer. Viene desmarcada: es tu decisión. Si la marcas se muestran públicamente tu nombre de pila, tu vehículo (marca y modelo), tu ciudad y estado, y cuántas personas van en tu vehículo, y solo mientras tu inscripción esté confirmada o ya hayas hecho check-in. Puedes pedir que te quiten en cualquier momento.

Tu correo, tu teléfono, tu fecha de nacimiento, tu CURP, tu contacto de emergencia, tu beneficiario, tus datos de pago o facturación y tus responsivas nunca se publican: solo los ve el equipo del organizador con permisos para ello.

Correr una carrera cuyos resultados se publican es parte de competir. Si te preocupa aparecer, háblalo con el organizador antes de inscribirte.

• Cuenta y organización: mientras la cuenta esté activa.
• Inscripciones, boletos y órdenes: mientras el evento y su serie sigan vigentes y, después, por el plazo que exigen las obligaciones contables y fiscales aplicables.
• Datos de facturación (RFC, razón social y uso de CFDI): se conservan junto con la orden por el plazo que exigen las obligaciones fiscales y contables aplicables, y no se usan para nada distinto de entregárselos al organizador para que emita el comprobante.
• Evidencia de la responsiva, del consentimiento de seguro y de la decisión de protección contra daños: mientras pueda existir una reclamación derivada del evento, conforme a los plazos de prescripción aplicables.
• Datos de conciliación de pagos por transferencia: mientras se requieran para acreditar el pago y cumplir obligaciones contables.
• Listas de espera: mientras el evento siga vigente.
• Resultados y puntos de serie: se conservan como registro histórico del deporte.
• Vistas de página: se conservan para las gráficas del organizador; el identificador de visitante deja de poder recalcularse con datos nuevos al cambiar la sal del día.
• Registro de correos enviados: destinatario, asunto y estado, con fines de soporte.

Con transparencia: hoy el borrado de estos registros no está automatizado. Se hace cuando lo pides —dentro de los límites de la sección 13— o cuando se elimina la inscripción, el evento o la cuenta de la que dependen, y estamos trabajando en purgas programadas.

Tienes derecho a acceder a tus datos, a rectificarlos si son inexactos, a cancelarlos cuando ya no sean necesarios y a oponerte a un tratamiento específico. También puedes revocar tu consentimiento o limitar el uso o divulgación de tus datos.

Para ejercerlos, manda un correo a hola@brechear.com con:

• Tu nombre y un correo o medio donde podamos responderte.
• Una copia de una identificación oficial (o del documento que acredite la representación, si actúas a nombre de alguien más).
• Qué derecho quieres ejercer y sobre qué datos, con la información que nos ayude a localizarlos: el evento, tu número de competidor o el correo con el que te inscribiste.

Conforme al artículo 31 de la Ley, te responderemos en un máximo de 20 días hábiles y, si la solicitud procede, la haremos efectiva dentro de los 15 días hábiles siguientes. Esos plazos pueden ampliarse una sola vez por un periodo igual, cuando las circunstancias del caso lo justifiquen; si eso pasa, te explicaremos por qué. El trámite es gratuito; solo podrían cobrarse los gastos de envío o de reproducción, si los hubiera.

Hay límites: no podemos cancelar datos que la ley nos obliga a conservar, ni borrar la evidencia de una responsiva, de un consentimiento de seguro o el registro contable de una orden pagada mientras el organizador o nosotros podamos necesitarlos para defendernos de una reclamación. Si ese es el caso, te lo explicaremos.

Si tu solicitud es sobre lo que un organizador hace con tus datos, dirígela también a él, que es responsable por su propia cuenta. Si no te responde, escríbenos.

Si consideras que tu derecho fue vulnerado, puedes acudir a la autoridad garante en materia de protección de datos personales, que hoy es la Secretaría Anticorrupción y Buen Gobierno del Gobierno Federal (artículo 3, fracción XV de la Ley), la cual asumió estas funciones tras la extinción del INAI.

Brechear no pide datos de salud, tipo de sangre, origen étnico, creencias ni datos biométricos. Si un organizador agrega un campo personalizado que sí los pida, él es responsable de obtener el consentimiento expreso y por escrito que la ley exige; en Brechear no lo recomendamos.

Cuando un evento tiene seguro de accidentes te pedimos CURP, fecha de nacimiento y beneficiario. No son datos sensibles, pero sí identificadores delicados: se usan solo para integrar la lista de asegurados y su acceso dentro de la plataforma está restringido a los administradores de la organización.

Los eventos pueden admitir menores de edad si el organizador lo permite. En ese caso el formulario de inscripción pide el nombre y teléfono del padre, madre o tutor, y es él o ella quien acepta la responsiva y consiente el tratamiento de los datos del menor.

Para el seguro de accidentes: la ley no permite asegurar por muerte a menores de 12 años, así que no se los incluye; de los 12 a los 17 consiente y firma el padre, la madre o el tutor. De los acompañantes de una rodada no recabamos fecha de nacimiento, así que su edad no se verifica en la plataforma: eso le toca al organizador.

Brechear no está dirigida a menores como usuarios: para abrir una cuenta hay que ser mayor de edad.

Tomamos medidas administrativas, técnicas y físicas razonables para proteger tus datos:

• Todo el tráfico va cifrado con HTTPS.
• Las contraseñas se guardan con hash bcrypt; nadie en Brechear puede leerlas.
• Las sesiones usan tokens opacos guardados en la base como hash, en una cookie httpOnly con expiración.
• El acceso a los datos de un evento está limitado por rol dentro de la organización (dueño, administrador, staff, juez), y los datos más delicados —finanzas, CURP, fechas de nacimiento— exigen rol de administrador.
• Los pagos y la información de tarjeta los maneja Stripe, certificado PCI DSS nivel 1.

Ningún sistema es infalible. Si ocurriera una vulneración que afecte de forma significativa tus derechos, te lo comunicaremos sin demora, como manda la ley.

La infraestructura de Brechear (Vercel y Neon) y nuestros proveedores de pago y correo (Stripe y Resend) operan servidores fuera de México, principalmente en Estados Unidos y la Unión Europea. Eso significa que tus datos pueden almacenarse o procesarse en esos países. Cuando el organizador configuró sus propios píxeles, Meta y Google también reciben datos desde tu navegador y los tratan fuera de México.

Las remisiones a nuestros proveedores y las transferencias necesarias para darte el servicio y cobrar tu inscripción o boleto —incluida la entrega de tus datos al organizador del evento y, cuando aplica, a su aseguradora— se ubican en los supuestos del artículo 36 de la Ley, que no requieren tu consentimiento porque son necesarias para cumplir la relación jurídica que tienes con nosotros y con el organizador. Exigimos a cada proveedor que trate los datos con un nivel de protección equivalente al de este aviso.

Cláusula del artículo 35. Si además de lo anterior fuera necesaria alguna transferencia que sí requiera tu consentimiento, no la haremos sin pedírtelo antes. Al aceptar este aviso manifiestas que:

• Sí consientes las transferencias descritas en este aviso que son necesarias para inscribirte, cobrarte y operar el evento, incluidas las que se hacen al organizador y, cuando el evento tiene seguro, a su aseguradora.
• No se transferirán tus datos a terceros con fines distintos de los anteriores sin tu consentimiento expreso; en particular, no los vendemos ni los cedemos para publicidad de terceros.

Si no estás de acuerdo con las transferencias necesarias, no podremos procesar tu inscripción o tu compra, porque son parte de darte el servicio. Puedes manifestar tu negativa escribiéndonos a hola@brechear.com.

Podemos actualizar este Aviso de privacidad cuando cambien las finalidades, los proveedores o la ley. La versión vigente es la de esta página, identificada con la fecha de última actualización que aparece arriba.

Si el cambio es sustancial —nuevas finalidades, nuevos destinatarios o transferencias que requieran tu consentimiento— lo avisaremos por correo a las cuentas activas y, cuando aplique, en la propia página del evento, antes de que aplique.