Política de privacidad

Última actualización: 8 de noviembre de 2026

Esta política explica qué datos personales trata la app Bocao, para qué, con quién los compartimos y cómo puedes ejercer tus derechos. Se aplica a la app del festival y a estas páginas.

1. Quién es el responsable

Boletu SRL, RNC 132891457, organizadora de Bocao Food Fest (Plaza de la Cultura, Santo Domingo, del 27 al 29 de noviembre de 2026), es la responsable del tratamiento de tus datos. Para cualquier asunto de privacidad: hola@boletu.com .

Tratamos tus datos conforme a la Ley 172-13 de Protección de Datos de Carácter Personal de la República Dominicana.

2. Qué datos recogemos

Todos los datos de esta lista quedan asociados a tu cuenta.

Dato	Cuándo
Correo electrónico	Siempre: es tu cuenta
Nombre y apellido	Al registrarte (obligatorios)
Nacionalidad, fecha de nacimiento y teléfono	Al registrarte, si quieres darlos (opcionales)
Contraseña	Al registrarte. Solo guardamos una versión cifrada de un solo sentido (hash): nadie puede leerla, ni nosotros
Aceptación de los Términos de uso	Al registrarte, si aceptas los Términos de uso: la fecha y la hora en que los aceptaste
Tarjeta guardada	Si guardas una. El número lo captura Cybersource y nunca pasa por nuestros servidores. Guardamos la referencia segura de Cybersource, la marca, los últimos 4 dígitos, el vencimiento, el banco que la emitió, su tipo y su país, y el resultado de la verificación 3-D Secure que hizo tu banco al guardarla
Registro de tu consentimiento	Al guardar una tarjeta: la fecha y la hora, la versión del texto que aceptaste y la dirección IP desde la que lo aceptaste
Datos técnicos del pago	Al guardar una tarjeta y al pagar con ella: la dirección IP de tu conexión y datos del navegador de la pantalla de tarjeta (idioma, tamaño y profundidad de color de la pantalla, zona horaria y el identificador del navegador o user agent). Van a Cybersource y, a través de ella, a tu banco, para la verificación 3-D Secure y la prevención del fraude; el servicio de 3-D Secure de Cybersource (Cardinal Commerce, de Visa) recoge además datos de tu aparato directamente en esa pantalla. Los datos del navegador, sin la IP, los guardamos con tu tarjeta para que tus compras siguientes puedan verificarse sin volver a abrir esa pantalla. Con cada pago enviamos también a Cybersource un número interno de tu cuenta, no tu nombre ni tu correo
Historial de compras	Cuando pides: los pedidos, el resultado de cada cobro y los recibos que te enviamos por correo
Reseñas	Si escribes una: calificación, texto (hasta 600 caracteres) y fotos. Son públicas y salen firmadas con tu nombre de pila: su primera palabra y, si tiene más de una, la inicial de la segunda («Juan Carlos» firma «Juan C.»; «Ana», «Ana»; si nunca nos diste un nombre, «Asistente»). Nunca con tu apellido completo ni con tu correo. Cómo corregir la firma, en el punto 7
Reportes que haces	Si reportas una reseña: cuál, el motivo que eliges y el detalle que escribas, si escribes uno (hasta 300 caracteres). Los lee el equipo que modera las reseñas; quién reportó no se enseña a nadie, ni al autor ni en el panel del organizador
Personas que bloqueas	Si bloqueas a alguien: a quién. No se enseña a nadie, ni a esa persona ni en el panel del organizador; en la app solo ves cuántas personas tienes bloqueadas
Fotos de misiones	Si participas en una misión con foto. No se publican: solo las ven tú y el organizador
Usuario de Instagram	Si participas en una misión de seguir una cuenta en Instagram: el usuario que escribes. No se publica: lo ve el equipo del organizador, que lo busca entre los seguidores de esa cuenta para validar la misión. No nos conectamos a tu cuenta de Instagram ni leemos nada de ella
Foto de tu documento de identidad	Solo si verificas tu edad para pedir bebidas con alcohol por la app: la foto del frente de tu cédula, pasaporte o licencia de conducir, qué documento es, la fecha de nacimiento que dice (la escribe quien lo revisa), si se aprobó o por qué no, quién lo revisó y cuándo, y cuándo aceptaste que lo guardemos. No se publica: lo ve solo el equipo del organizador con permiso para verificar edades, y queda apuntado cada vez que alguien lo mira. La foto se guarda cifrada, en un almacenamiento privado sin dirección pública, y sin los datos que el teléfono le añade (como el lugar donde se hizo)
Actividad del pasaporte	Los códigos QR de carteles y recibos que escaneas, los sellos que ganas y las misiones a las que te apuntas
Vales de premios	Si canjeas puntos: premio, costo en puntos, nombre del titular, código de recogida, estado y fechas. El equipo autorizado del organizador consulta el vale y registra su entrega o cancelación
Token de avisos	Solo si activas las notificaciones: el identificador de avisos de Firebase Cloud Messaging de tu teléfono, su plataforma (iOS o Android) y la versión de la app
Datos de tu teléfono y de tu conexión	Cada vez que entras y mientras usas la app: un identificador al azar de esta instalación de la app (no es del teléfono ni tuyo, y no sirve fuera de esta app), la marca y el modelo del teléfono, su sistema (iOS o Android) con su versión, si la app corre en un emulador en vez de en un teléfono, la versión de la app, la dirección IP de tu conexión y el país al que corresponde, al entrar y la última vez que usaste la app. Si activas las notificaciones, también una huella cifrada de su identificador de avisos, para saber si dos sesiones son del mismo teléfono. No recogemos el nombre que le pusiste a tu teléfono, ni su IMEI, número de serie o número de teléfono, ni tu ubicación (la del mapa del festival se queda en tu teléfono: ver más abajo)
Revisión de tu cuenta	Si tu cuenta queda en revisión por posible uso compartido: lo que decide el organizador (permitirla, advertirte por correo o bloquearla en su festival), quién lo decidió, cuándo y su nota, y las pruebas del pasaporte (compras, escaneos, llegada o fotos de misiones) que anule por abuso

Los informes de fallos, que no van asociados a tu cuenta

Si la app se cierra de golpe o se encuentra con un error que no esperaba, el teléfono nos manda un informe del fallo a través de Firebase Crashlytics, un servicio de Google, para que podamos encontrarlo y arreglarlo. El informe lleva lo que hace falta para entender el fallo: la traza técnica del error (en qué parte del código ocurrió y qué decía), el modelo del teléfono y su procesador, la versión de su sistema (iOS o Android) y la de la app, el estado del teléfono en ese momento (memoria y espacio libres, orientación de la pantalla, si la app estaba abierta o en segundo plano, si el sensor de proximidad estaba tapado, si el sistema está modificado), la fecha y la hora, y unos identificadores al azar de esa instalación de la app y de esa sesión de uso, que sirven para saber a cuántas personas les pasa lo mismo.

No lleva tu nombre, tu correo, tu número de cuenta ni ningún dato de tus pagos, y no lo relacionamos con tu cuenta. Esos identificadores son de la instalación y de la sesión, no tuyos: no nos dicen quién eres, y cambian si borras la app y la vuelves a instalar.

Tu ubicación en el mapa del festival, que no sale de tu teléfono

El mapa interactivo del festival puede enseñarte dónde estás y a cuánto te queda cada sitio. Para eso la app te pide permiso para usar tu ubicación solo cuando tocas «¿Dónde estoy?» o «Llévame», y solo mientras la usas: nunca en segundo plano. Tu ubicación se usa en el teléfono para pintar el punto y calcular la distancia: no nos la mandas, no la guardamos y no la compartimos con nadie.

Las calles del mapa las sirve OpenFreeMap, un servicio público de mapas basado en OpenStreetMap: al abrir el mapa, el teléfono le pide las calles de la zona que estás mirando, como cualquier página web, con la dirección IP de tu conexión, pero sin tu ubicación ni nada de tu cuenta. Puedes quitar el permiso cuando quieras en los ajustes del teléfono, y el mapa sigue funcionando sin él.

Lo que no hacemos: no recogemos tu ubicación (la del mapa se queda en tu teléfono, y de tu IP solo sacamos el país), no usamos herramientas de analítica ni de publicidad (los informes de fallos solo sirven para arreglar la app), no te seguimos entre apps o sitios web y no vendemos tus datos a nadie.

3. Para qué los usamos y con qué base

Tu cuenta y tu acceso (correo, nombre, contraseña): para identificarte y dejarte entrar. Base: la relación que aceptas al crear la cuenta y los Términos de uso, cuya aceptación guardamos para poder demostrar qué aceptaste y cuándo.
Tus pedidos y pagos (tarjeta, compras): para que el comercio prepare tu pedido, cobrarlo y enviarte el recibo. El comercio recibe tu pedido con el nombre con el que se anuncia en el puesto. Base: la misma relación contractual.
Verificar tus pagos y evitar el fraude (datos técnicos del pago, banco emisor, registro de tu consentimiento): para que tu banco compruebe que eres tú (3-D Secure) y decida si aprueba el cobro, y para poder demostrar que autorizaste guardar tu tarjeta. Base: la misma relación contractual.
Los registros de venta: los comercios deben guardarlos por sus obligaciones contables y fiscales. Base: el cumplimiento de la ley.
Reseñas, misiones y pasaporte: para publicar lo que decides compartir y llevar la cuenta de tus sellos y misiones. Base: tu consentimiento, que das al usar cada función.
Reportes y bloqueos: para revisar lo que reportas y dejar de enseñarte lo que reportaste y a quien bloqueaste. Base: tu consentimiento, que das al reportar o bloquear.
Avisos (token de notificaciones): para avisarte, por ejemplo, de que tu comida está lista. Base: tu consentimiento, que das al activar las notificaciones y puedes retirar en los ajustes del teléfono.
Seguridad: para proteger tu cuenta y evitar fraudes y abusos, por ejemplo con los reportes de reseñas.
Una cuenta, un teléfono, y premios justos (datos de tu teléfono y de tu conexión, revisión de tu cuenta): tu cuenta solo puede estar abierta en un teléfono a la vez, y en un teléfono solo puede haber una cuenta. Con estos datos detectamos las cuentas compartidas, prestadas o usadas desde un emulador, que suman sellos y puntos que no son suyos. El organizador del festival los revisa para decidir: mientras una cuenta está en revisión no canjea premios, y puede advertirla por correo, bloquearla en su festival o anular lo que se ganó con abuso. Base: la relación que aceptas al usar la app, que incluye las reglas del pasaporte y de los premios.
Arreglar los fallos de la app (informes de fallos): para saber qué falla, en qué teléfonos y en qué versión de la app, y corregirlo. No los usamos para nada más: ni para conocerte ni para publicidad. Base: la relación que aceptas al usar la app, que incluye que funcione.
Premios y descuentos de las campañas (tu cuenta, tu correo, tu tarjeta guardada y tus pedidos y entradas al festival): el organizador puede premiar sola a la gente que se registra, guarda una tarjeta, hace su primer pedido o llega al festival —por ejemplo, a los primeros 5.000—, y descontar un pedido por la marca, el banco, el tipo o el país de tu tarjeta (lo que el banco ya dice de ella al guardarla) cuando lo paga el festival o un patrocinador. Para que un mismo premio no se gane dos veces guardamos, con cada premio, una huella irreversible de tu correo y de tu tarjeta: un código del que no se puede volver a sacar ni el uno ni la otra. Base: la relación que aceptas al usar la app, que incluye las reglas de los premios.
Datos del perfil opcionales (nacionalidad, fecha de nacimiento, teléfono): para conocer mejor al público del festival y poder contactarte por un pedido. Base: tu consentimiento, al dártelos.
Verificar tu edad (la foto de tu documento): para que solo los mayores de 18 años pidan bebidas con alcohol por la app. La fecha de nacimiento que escribiste al registrarte no sirve para esto, porque no la comprueba nadie. Al canjear el pedido en la barra te pueden pedir además tu documento, porque una foto no impide usar la de otra persona. Base: tu consentimiento expreso, que das con la casilla al mandar la foto (Ley 172-13); sin él no se manda.
Transferir tus boletas (el correo de la persona a quien se las envías): para buscar su cuenta en la app, enseñarte su nombre con la primera letra de su apellido («Ana P.») y pedirle a nuestra boletería que haga la transferencia. A esa persona le llega un aviso de que le enviaste boletas. Si es a ti a quien alguien busca por tu correo para enviarte una boleta, en la app le enseñamos lo mismo de ti: tu nombre y la primera letra de tu apellido (no es la firma de las reseñas, que lleva solo tu nombre de pila). El correo con el código de seguridad que nuestra boletería le manda a quien te la envía lleva tu correo y tu nombre completo, para que compruebe que la boleta va a la persona correcta antes de confirmar. Base: la relación que aceptas al usar la app.

4. Con quién los compartimos

Solo con quien hace falta para prestar el servicio, y cada uno solo con lo que necesita:

Los comercios del festival: reciben tus pedidos (qué pediste y el nombre con el que se anuncia).
Cybersource (Visa): procesa los pagos y guarda tu tarjeta de forma segura.
MailerSend: envía nuestros correos (códigos de entrada, recibos, enlaces de contraseña y avisos).
Google Firebase Cloud Messaging: entrega los avisos a tu teléfono, si los activaste.
Google Firebase Crashlytics: recibe los informes de fallos de la app (punto 2) y los guarda 90 días. Google los trata por cuenta nuestra, como encargado del tratamiento.
Amazon Web Services: aloja nuestros servidores y la base de datos.
Cloudflare: todo el tráfico entre la app y nuestros servidores pasa por su red, que lo protege y acelera. Las imágenes que se suben a la app (fotos de platos, logos, fotos de reseñas y de misiones) se guardan en nuestros servidores o en el almacenamiento de Cloudflare (R2).
Tu banco (el que emitió tu tarjeta), a través de Cybersource: recibe los datos de cada pago y los datos técnicos del pago del punto 2, para verificar que eres tú (3-D Secure) y decidir si aprueba el cobro.
Los patrocinadores de un descuento no reciben ningún dato tuyo: solo el total de lo que pagaron entre todos los pedidos.

La boletería no es un tercero. La app y la boletería son dos sistemas de Boletu SRL, y entre ellos pasa esto: cuando un evento tiene la boletería conectada, la app busca tus boletas por el correo de tu cuenta para enseñártelas, y la boletería le dice cuándo entraste al festival. Bocao la tiene conectada. Si transfieres una boleta desde la app, la boletería recibe el correo de tu cuenta, las boletas que eliges y el correo y el nombre de la persona a quien se las envías: te manda a tu correo el código de seguridad, con el correo y el nombre completo de esa persona para que compruebes a quién se la envías, comprueba el que escribes y hace la transferencia. Con cada paso recibe también desde dónde lo pides (la dirección IP de tu conexión, su país y el modelo y el sistema de tu teléfono), para que el aviso que te manda te deje reconocer si fuiste tú.

Además, podemos entregar datos a una autoridad cuando la ley nos obligue.

5. Transferencias internacionales

Algunos de estos proveedores guardan o tratan datos fuera de la República Dominicana, por ejemplo en Estados Unidos. Solo trabajamos con proveedores que protegen los datos con medidas de seguridad adecuadas, y al usar la app aceptas que tus datos viajen a ellos para prestarte el servicio.

6. Cuánto tiempo los guardamos

Los datos de tu cuenta, incluida la fecha en que aceptaste los términos, mientras la tengas. Si la borras, se borran (ver el punto 8).
Los registros de tus compras, durante el plazo que exige la normativa contable y fiscal a los comercios, y sin vínculo con tu cuenta una vez que la borras.
Tu tarjeta guardada, con el registro de tu consentimiento y los datos del navegador guardados con ella, hasta que la quitas o borras la cuenta.
Tus reportes y bloqueos, mientras tengas la cuenta. Un reporte se borra también si se borra la reseña reportada.
La foto de tu documento y la verificación de tu edad, mientras tengas la cuenta, también si se rechazó. Si la borras, se borran. Si quieres que borremos solo la foto, escríbenos.
El token de avisos, hasta que se desactiva, caduca o borras la cuenta.
La huella irreversible de tu correo y de tu tarjeta en cada premio de campaña que ganaste, también después de borrar la cuenta y sin vínculo con ella: es lo que impide que la misma persona o la misma tarjeta vuelva a ganar el mismo premio con otra cuenta.
Los datos de tu teléfono y de tu conexión van con cada vez que entraste, y la revisión de tu cuenta con su historial, mientras tengas la cuenta.
Los informes de fallos, 90 días en Firebase Crashlytics; pasado ese plazo, Google empieza a borrarlos de sus sistemas.
El código de seguridad de una transferencia no lo guarda la app: pasa a la boletería en el momento, y es la boletería quien guarda la transferencia. El correo y el nombre de la persona a quien envías una boleta, la app los guarda solo mientras vale el código y unos minutos más, para avisarle cuando la reciba.
Los códigos de entrada caducan a los 10 minutos y los enlaces de contraseña, a los 30.

7. Tus derechos

La Ley 172-13 te reconoce los derechos de acceso (saber qué datos tuyos tenemos), rectificación (corregirlos), cancelación (que los borremos) y oposición (que dejemos de usarlos para algo concreto).

Para ejercerlos, escríbenos a hola@boletu.com desde el correo de tu cuenta y dinos qué derecho quieres ejercer. Te responderemos dentro de los plazos que marca la ley. Y puedes borrar tu cuenta cuando quieras.

El nombre de tu perfil puedes cambiarlo tú en la app, en Tu cuenta → Tu nombre. Pero si te registraste con nombre y apellido, tus reseñas firman con el nombre de pila del registro, y cambiar «Tu nombre» no cambia esa firma. Para corregir la firma, tu nombre de pila, tu apellido o cualquier otro dato, escríbenos a hola@boletu.com desde el correo de tu cuenta.

8. Borrar tu cuenta

En la app: Tu cuenta → «Borrar mi cuenta», y es inmediato. Sin la app, escríbenos desde el correo de tu cuenta: la borra a mano una persona de Boletu, con la misma herramienta que usa la app, en menos de 7 días, y te respondemos a ese mismo correo cuando esté hecho. Se borran tu perfil, tus tarjetas (también en Cybersource, con el registro de tu consentimiento), tus reseñas con sus fotos, tus fotos, usuarios de Instagram y participaciones en misiones, la foto de tu documento y la verificación de tu edad, tu actividad del pasaporte, tus reportes y bloqueos, tus tokens de avisos, cada vez que entraste con los datos de tu teléfono y de tu conexión, y la revisión de tu cuenta. Se conservan, sin vínculo con tu cuenta, los registros de tus compras y el de la verificación de tu tarjeta. Los vales de premios conservan su historial de entregas, sin vínculo con tu cuenta y con el titular sustituido por «Cuenta eliminada»; los que aún no recogiste se cancelan, porque sin cuenta ya no se entregan. Los premios de campaña conservan su número y la huella irreversible de tu correo y de tu tarjeta, sin vínculo con tu cuenta (ver el punto 6). Los informes de fallos no se borran con la cuenta porque nunca estuvieron asociados a ella —no hay forma de saber cuáles son tuyos—: se guardan 90 días y después Google empieza a borrarlos. El detalle está en Borrar tu cuenta.

9. Seguridad

Toda la comunicación entre la app y nuestros servidores va cifrada. Las contraseñas y las llaves de sesión se guardan cifradas de un solo sentido, el número de tu tarjeta no toca nunca nuestros servidores, y el acceso a los datos desde el panel del organizador está limitado al personal que lo necesita. Ningún sistema es infalible: si detectamos un problema que afecte a tus datos, te avisaremos.

10. Menores de edad

La app no está dirigida a menores de 13 años y no recogemos a sabiendas datos de menores de esa edad. Si eres menor de edad, usa la app con permiso de tu madre, padre o tutor. Si crees que un menor nos dio sus datos, escríbenos y los borramos.

Las bebidas con alcohol son solo para mayores de 18 años. Si alguien menor de 18 manda su documento para verificar su edad, se rechaza, no puede pedirlas por la app, y la foto se guarda como la de cualquier otra cuenta hasta que se borre la cuenta o nos pidan borrarla.

11. Cambios en esta política

Si cambiamos esta política, actualizaremos la fecha de arriba, y si el cambio es importante te lo diremos en la app antes de que se aplique.

12. Contacto

Boletu SRL · RNC 132891457
hola@boletu.com