Política de privacidad
Última actualización: 29 de julio de 2026
1. Quiénes somos
invitas.co es operado por Juan Felipe Rivera González, Persona Natural con domicilio en Cali, Valle del Cauca, Colombia. Esta Política aplica a anfitriones, invitados y visitantes del sitio.
- Correo general: [email protected]
- Privacidad y datos personales: [email protected]
2. Tu rol y nuestro rol
- Cuando eres anfitrión: invitas.co es el Responsable del tratamiento de tus datos (cuenta, pagos, uso del producto).
- Cuando eres invitado a un evento: el anfitrión es el Responsable de tus datos (nombre, email, WhatsApp, respuestas RSVP, campos personalizados); invitas.co actúa como Encargado procesando esos datos por instrucción del anfitrión.
3. Datos que recogemos
De anfitriones:
- Identificación y contacto: nombre, email, WhatsApp, país, zona horaria.
- Cuenta: credenciales (vía Google OAuth o magic link por email), historial de sesiones.
- Uso del producto: eventos creados, invitados cargados, mensajes enviados, fotos subidas.
- Pagos: procesados por Wompi o Lemon Squeezy. invitas.co almacena solo el ID de transacción, monto, moneda y estado. No almacenamos números de tarjeta.
De invitados:
- Nombre y datos de contacto que el anfitrión cargue (email, WhatsApp).
- Campos personalizados definidos por el anfitrión (qué traerá, mesa, menú, etc.).
- Respuesta RSVP y mensajes opcionales al anfitrión.
- Fotos que voluntariamente subas al álbum del evento.
De visitantes:
- Datos técnicos: IP, navegador, sistema operativo, páginas visitadas (vía Google Analytics 4).
- Cookies funcionales y analíticas (ver §10).
4. Para qué los usamos
Finalidades necesarias (base contractual, sin estas no podemos prestar el servicio):
- Crear y operar tu cuenta y eventos.
- Procesar pagos y emitir comprobantes.
- Enviar invitaciones, recordatorios RSVP y comunicaciones operativas.
- Generar texto e imágenes con IA (función opcional, ver §6).
- Cumplir obligaciones legales (contables, fiscales, atención a autoridades).
Finalidades secundarias (puedes oponerte sin afectar el servicio):
- Mejorar el producto mediante analíticas agregadas.
- Enviarte novedades o tips de uso por email (con opt-out en cada correo).
5. Lo que NO hacemos
- No vendemos ni compartimos tus datos con terceros para publicidad.
- No incrustamos píxeles de seguimiento de redes sociales.
- No leemos los mensajes que tus invitados escriben.
-
No indexamos las páginas de invitación en Google (todas tienen
noindex). - No usamos tus datos para entrenar modelos de IA (ver §6 y nuestros Términos).
6. Procesadores de IA
Cuando usas funciones de IA enviamos tus instrucciones (texto que escribes y, en el caso de "Crea tu invitación" e "Inspirarme", una foto opcional) a uno de estos proveedores, según la función. Parte del procesamiento ocurre fuera de tu país:
- Google Cloud Vertex AI — generación de texto y análisis de fotos (Gemini 2.5
Flash, procesado en
us-central1— Iowa, Estados Unidos) — primario, incluido el Asistente del anfitrión. - Google Cloud Vertex AI — generación y edición de imágenes (Imagen e Imagen-to-image
con
gemini-2.5-flash-image, procesado enus-central1— Iowa, Estados Unidos). Cuando generas una imagen, o cuando usas "Inspirarme" con edición de foto, tus instrucciones de imagen (y, en ese caso, la foto de referencia que no contenga personas reconocibles) se envían a EE. UU. mediante las Standard Contractual Clauses del DPA de Google Cloud, conforme a Ley 1581/2012 art. 26 (Colombia) y marcos equivalentes en los demás países de la región. - DeepInfra (Estados Unidos) — respaldo de texto cuando el primario falla.
Antes de enviar, reemplazamos automáticamente las siguientes categorías de datos personales
estructurados por tokens (p. ej. [EMAIL_0], [PHONE_1],
[CEDULA_CO_2]): correos electrónicos, números de teléfono, cédulas colombianas,
CURP mexicanos y DNI argentinos. Los tokens se restituyen solo al mostrarte el resultado.
Los nombres propios viajan bajo los Acuerdos de Procesamiento de Datos (DPA) de cada
proveedor, que prohíben explícitamente usarlos para entrenar modelos. Ninguno de los dos
proveedores tiene permiso para usar tus datos para entrenar sus modelos. Conservamos las
invocaciones en nuestra base de datos por 180 días con fines de facturación,
depuración y prevención de abuso, luego se anonimizan.
La lista completa y actualizada de todos nuestros sub-procesadores (no solo de IA) está en /subprocesadores.
7. Otros procesadores que usamos
- Contabo GmbH (Alemania) — hosting de servidor, almacenamiento de datos y monitoreo de errores.
- Cloudflare (EE. UU. + edges globales) — CDN, DNS, WAF, almacenamiento R2 (fotos y video).
- Google OAuth — autenticación de hosts (recibimos email y nombre).
- Google Analytics 4 — métricas agregadas en marketing site con IP anonimizada,
sin nombres ni correos, sin datos para publicidad personalizada (
non_personalized_ads). NUNCA en invitaciones públicas (/e/…) ni en el panel del host (/dashboard/…). Puedes desactivarlo con la extensión oficial de Google. - Resend (EE. UU.) — envío de email transaccional (magic link, recordatorios RSVP).
- Wompi (Bancolombia) — procesamiento de pagos en Colombia (PCI a su cargo).
- Lemon Squeezy (EE. UU.) — procesamiento de pagos internacionales en USD (PCI a su cargo).
- Chatwoot Community Edition (autohospedado por invitas.co en el servidor de
Contabo en Alemania, dominio
soporte.invitas.co) — gestión de conversaciones y tickets de soporte al cliente cuando nos escribes por el widget del panel o por [email protected]. Almacena tu nombre, correo, el contenido de la conversación, dirección IP y metadatos de tu navegador. Al ser software de código abierto operado directamente por nosotros, no existe un proveedor SaaS intermediario: invitas.co actúa como Responsable y como encargado técnico de la infraestructura.
8. Transferencias internacionales
Tus datos pueden transferirse a:
- Países con nivel adecuado de protección (UE, Reino Unido, Suiza, Uruguay): hosting principal en Alemania (Contabo).
- Estados Unidos (Cloudflare incl. almacenamiento R2 de fotos y video, Google
OAuth/Analytics, Resend, Lemon Squeezy, DeepInfra, y
Google Cloud Vertex AI — texto, análisis de fotos y generación/edición de imágenes
con Gemini 2.5 Flash, Imagen e
gemini-2.5-flash-imageenus-central1): mediante cláusulas contractuales estándar firmadas con cada proveedor, conforme a Ley 1581/2012 art. 26 (Colombia), Disposición AAIP 60/2016 y Resolución AAIP 198/2023 (Argentina), guía MINJUS 2024 (Perú) y lineamientos LFPDPPP 2025 (México).
Para usuarios residentes en Ecuador, Costa Rica, República Dominicana, Panamá y demás países de la región que carezcan de nivel adecuado reconocido, las transferencias se realizan bajo las mismas cláusulas contractuales estándar descritas arriba.
Al usar invitas.co aceptas estas transferencias. Puedes solicitar copia de las cláusulas escribiendo a [email protected].
9. Tus derechos
Bajo la ley colombiana de Habeas Data (Ley 1581 de 2012) y leyes equivalentes en la región (LFPDPPP México, Ley 25.326 Argentina, Ley 21.719 Chile, Ley 29733 Perú, LGPD Brasil, LOPDP Ecuador, Ley 8968 Costa Rica, RGPD para Unión Europea/España, y normas aplicables en los demás países de la región), puedes ejercer los siguientes derechos:
- Acceso: saber qué datos tuyos tenemos.
- Rectificación: corregir datos inexactos.
- Cancelación / Supresión: pedir que eliminemos tus datos.
- Oposición: oponerte a usos no esenciales (marketing, analíticas).
- Portabilidad: recibir tus datos en formato estructurado (JSON).
- Revocación: retirar tu autorización en cualquier momento.
- Reclamo: presentar queja ante tu autoridad de protección de datos (ver §15).
Escríbenos a [email protected] con tu solicitud. Los plazos varían según el tipo de petición:
- Consultas (acceso, información): respondemos en 10 días hábiles (prorrogables 5 hábiles), conforme al Art. 14 Ley 1581/2012 en Colombia.
- Reclamos (rectificación, supresión, revocación): respondemos en 15 días hábiles (prorrogables 8 hábiles), conforme al Art. 15 Ley 1581/2012.
- Si vives fuera de Colombia, aplicamos el plazo más favorable al titular entre los 15 días y el plazo de tu jurisdicción (México 20+10; Argentina 10 corridos para acceso; Costa Rica 5 hábiles).
Si eres residente en Colombia, consulta también nuestra Política de Tratamiento de Datos (Habeas Data) con el detalle del régimen colombiano.
10. Cookies y tecnologías de seguimiento
Usamos:
- Cookies estrictamente necesarias (sesión, autenticación): no requieren consentimiento.
- Cookies analíticas (Google Analytics 4 — solo en marketing site): puedes desactivarlas con la extensión oficial de Google enlazada arriba.
- Cookies de funcionalidad (preferencia de tema): opcionales.
- Cookies operativas internas (
invitas_internal, valor 1/0, vigencia 1 año): set manualmente solo por el equipo operador desde sus dispositivos para excluir sus visitas de las métricas de GA4 y mantener datos de tráfico reales del piloto. No recaba ni vincula datos personales de visitantes, no se set automáticamente.
Puedes gestionar tus preferencias desde la configuración de tu navegador. A partir de diciembre de 2026, conforme a la Ley 21.719 de Chile, implementaremos un banner consentivo explícito para residentes en Chile.
11. Retención de datos
| Tipo de dato | Plazo de retención |
|---|---|
| Datos de cuenta del host | Mientras tu cuenta esté activa + 5 años (obligación fiscal DIAN) |
| Eventos activos | Mientras estén publicados |
| Eventos archivados | 24 meses post-evento |
| Datos de invitados | 12 meses post-evento (según instrucción del anfitrión) |
| Invocaciones de IA | 180 días, luego anonimizadas |
| Conversaciones de soporte (Chatwoot) | 12 meses desde la última actividad, luego purga automática |
| Logs técnicos y de auditoría | 90 días |
| Registros contables y fiscales | 5-10 años (según ley aplicable) |
Puedes solicitar eliminación anticipada salvo obligación legal de retener.
Derecho a la supresión (Art. 8 lit. e Ley 1581)
Cuando ejerces el derecho de supresión (Art. 8 lit. e Ley 1581 de 2012), aplicamos el procedimiento más adecuado según el tipo de dato:
- Datos de cuenta, eventos e invitados: eliminación física de los registros que no estén sujetos a obligación de conservar.
- Tablas de solo-anexo (
payments,ai_invocations,audit_log): estas tablas no permiten eliminación física por diseño (integridad del registro contable y de auditoría). En su lugar aplicamos anonimización: sustituimos el identificador de usuario porNULL, vaciamos el contenido sensible y marcamos la fila como anonimizada. Esto satisface el derecho al olvido porque los datos dejan de ser atribuibles a una persona identificada o identificable.
Esta excepción se justifica en el Art. 9 Decreto 1377/2013 (conservación por deber legal o contractual) y es equivalente a la "seudonimización" reconocida por el GDPR y los marcos LFPDPPP 2025 / Ley 21.719 Chile. - Registros fiscales (
paymentscon más de 5 años de antigüedad y obligación DIAN activa): diferidos hasta cumplir el plazo del Art. 632 del Estatuto Tributario colombiano, con respuesta motivada al titular en el plazo de 15 días hábiles.
Para solicitar la supresión de tus datos escribe a [email protected] con asunto "Solicitud de supresión". Respondemos en 15 días hábiles (prorrogables 8 hábiles) conforme al Art. 15 Ley 1581/2012.
12. Seguridad
Aplicamos medidas técnicas y organizativas razonables: cifrado TLS en tránsito, cifrado en reposo de la base de datos, control de acceso por roles, bitácora de auditoría append-only, autenticación de dos factores opcional, y respaldos diarios cifrados.
Si ocurre una violación de seguridad que afecte tus datos y represente un riesgo relevante, te notificamos lo antes posible y dentro de los plazos legales aplicables:
- Colombia: 15 días hábiles (Circular Única SIC, Título V).
- Brasil: 3 días hábiles (Resolución CD/ANPD 15/2024).
- Chile, Argentina, Ecuador, Unión Europea/España: 72 horas.
- Costa Rica: 5 días hábiles.
- Perú: 48 horas (DS 016-2024-JUS).
- México: sin demora indebida (LFPDPPP 2025).
13. Menores
invitas.co no está dirigido a menores de 14 años. Si tienes entre 14 y 18 años, necesitas el consentimiento de tu padre, madre o tutor legal para usar el servicio. Si tienes conocimiento de que un menor de 14 años nos ha proporcionado datos, escríbenos a [email protected] para eliminarlos.
Para eventos con asistentes menores de edad (por ejemplo, quinceañeras), el anfitrión es responsable de obtener los consentimientos parentales aplicables.
14. Cambios a esta política
Podemos actualizar esta Política. Si los cambios son sustantivos, te notificaremos con mínimo 10 días de anticipación por email o aviso visible en la plataforma. El uso continuo del servicio tras la notificación implica aceptación.
15. Contacto
- Correo general: [email protected]
- Privacidad y datos personales: [email protected]
- Domicilio: Cali, Valle del Cauca, Colombia
Para reclamos ante autoridades:
- 🇨🇴 SIC: www.sic.gov.co
- 🇲🇽 Secretaría Anticorrupción y Buen Gobierno: www.gob.mx/anticorrupcion
- 🇦🇷 AAIP: www.argentina.gob.ar/aaip
- 🇨🇱 APDP (en formación, vigente dic-2026)
- 🇵🇪 ANPD: www.gob.pe/minjus
- 🇧🇷 ANPD: www.gov.br/anpd
- 🇪🇨 APDP Ecuador: www.protecciondatos.gob.ec
- 🇨🇷 PRODHAB Costa Rica: www.prodhab.go.cr
- 🇪🇸 AEPD España: www.aepd.es