Aviso de Privacidad

Identidad del Responsable

Carmen Marlet Fregoso Rodríguez (persona física con actividad empresarial, inscrita en el Régimen Simplificado de Confianza (RESICO)), que opera la plataforma bajo la marca "Aroa Wallet" (en adelante, "Aroa"), con domicilio en Zapopan, Jalisco, México, es responsable del tratamiento de los datos personales recabados a través de la plataforma Aroa Wallet en su capacidad de operador de la plataforma, y encargado del tratamiento cuando procesa datos por cuenta del Tenant.

El presente Aviso se emite en cumplimiento con la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), su Reglamento y los Lineamientos del Aviso de Privacidad.

Datos Personales que se Recaban

Del Tenant (negocio contratante):

• Nombre o razón social, RFC y datos fiscales.
• Correo electrónico de contacto del owner y staff.
• Datos del método de pago (procesados directamente por Stripe; Aroa no almacena PAN ni CVV).
• Logo, branding, ubicación física y configuración del programa de fidelización.

De los clientes finales del Tenant:

• Nombre.
• Teléfono (opcional).
• Correo electrónico (opcional).
• Identificadores técnicos del pase digital (serial number, authentication token), estrictamente para operar Apple Wallet y Google Wallet.
• Historial de sellos y canjes asociados al pase, incluyendo fecha, origen (QR / manual) y, en su caso, sucursal donde se efectuó la transacción.

No se recaban datos personales sensibles. No se piden direcciones, CURP, RFC del cliente final, datos financieros ni datos de salud.

Finalidades del Tratamiento

Finalidades primarias (necesarias para prestar el servicio):

• Crear y mantener la cuenta del Tenant.
• Emitir, actualizar y revocar pases digitales de fidelización en Apple Wallet y Google Wallet.
• Procesar pagos y emitir facturas (CFDI 4.0).
• Enviar notificaciones push relativas al pase (sellos agregados, recompensa lista).
• Soporte técnico, prevención de fraude y cumplimiento legal.

Finalidades secundarias (requieren consentimiento tácito, se puede oponer):

• Envío de comunicaciones comerciales sobre nuevas funcionalidades del servicio al Tenant.

Si no deseas que tus datos sean tratados para las finalidades secundarias, puedes manifestarlo enviando un correo a hola@aroagroup.com dentro de los cinco días hábiles siguientes a la entrega de este Aviso.

Transferencias de Datos

Aroa no vende, no renta ni comparte datos personales con terceros para fines de marketing, publicidad o entrenamiento de modelos.

Aroa transfiere datos a los siguientes encargados del tratamiento, exclusivamente para operar el servicio:

• Supabase Inc. (EE.UU. / región sa-east-1): almacenamiento de base de datos, autenticación, storage.
• Vercel Inc. (EE.UU.): hosting del sitio web y ejecución de funciones serverless.
• Apple Inc. (EE.UU.): emisión y entrega de pases en Apple Wallet vía APNs.
• Google LLC (EE.UU.): emisión y entrega de pases en Google Wallet (cuando aplique).
• Stripe Inc. (EE.UU.): procesamiento de pagos del Tenant.
• Resend Inc. (EE.UU.): envío de correos transaccionales.
• Sentry, Inc. (EE.UU.): monitoreo de errores técnicos (PII scrubbing habilitado).

Estas transferencias se realizan al amparo del artículo 37 fracción VI de la LFPDPPP (necesarias para mantenimiento o cumplimiento de una relación jurídica). Aroa selecciona proveedores con políticas de privacidad equivalentes o superiores a las exigidas por la ley mexicana.

Derechos ARCO

Como titular de los datos personales, tienes derecho a:

• Acceder a tus datos personales en posesión de Aroa.
• Rectificar datos incompletos o inexactos.
• Cancelar tus datos cuando ya no sean necesarios.
• Oponerte al tratamiento para fines específicos.

Para ejercer estos derechos, envía una solicitud al correo hola@aroagroup.com incluyendo:

• Nombre completo del titular.
• Documento que acredite tu identidad.
• Descripción clara de los datos y el derecho que ejerces.
• Cualquier elemento que facilite la localización de los datos.

Aroa responde dentro de los 20 días hábiles siguientes a la recepción de la solicitud y, en caso de proceder, hace efectivo el derecho dentro de los 15 días hábiles posteriores. Estos plazos se pueden ampliar una sola vez por igual período cuando exista causa justificada.

Revocación del Consentimiento

Puedes revocar tu consentimiento al tratamiento de tus datos personales en cualquier momento enviando un correo a hola@aroagroup.com. Considera que la revocación puede impedir la prestación de ciertos servicios y/o terminar la relación contractual con Aroa o el Tenant.

Almacenamiento y Retención

Los datos personales se conservan únicamente durante el tiempo necesario para cumplir las finalidades del tratamiento y las obligaciones legales aplicables:

• Data del Tenant: durante la relación contractual y hasta 30 días posteriores a la cancelación (para permitir export). Después se elimina, salvo datos fiscales que se conservan 5 años conforme al Código Fiscal de la Federación.
• Data de clientes finales: mientras el Tenant mantenga el servicio activo. Tras cancelación del Tenant, se eliminan al mismo tiempo que la data del Tenant.
• Bitácoras técnicas (wallet_logs): 30 días en línea, después se eliminan automáticamente.
• Magic links de signup: 7 días naturales, después se eliminan automáticamente.

Medidas de Seguridad

Aroa implementa medidas administrativas, técnicas y físicas razonables para proteger los datos personales:

• Cifrado TLS 1.2+ en todas las comunicaciones (HSTS habilitado).
• Aislamiento multi-tenant con Row Level Security (RLS).
• Autenticación de empleados de Aroa solo vía Google OAuth con MFA habilitado.
• Almacenamiento de credenciales con hash SHA-256 + salt. Aroa nunca almacena passwords en claro.
• Acceso a producción restringido por principio de menor privilegio.
• Monitoreo continuo con Sentry (con scrub de PII).
• Respaldos automáticos diarios con retención de 7 días vía Supabase.

Uso de Cookies y Tecnologías Similares

El sitio usa cookies estrictamente necesarias para mantener la sesión autenticada y la preferencia de idioma. No se utilizan cookies de publicidad, tracking de terceros ni pixels de redes sociales.

Cambios al Aviso

Aroa puede actualizar este Aviso. Los cambios se publican en wallet.aroagroup.com/privacidad con la fecha de la última actualización al inicio. Si los cambios son materiales, se notifican por correo al owner del Tenant con al menos 30 días de anticipación.

Autoridad de Protección de Datos

Si consideras que tus derechos en materia de protección de datos no fueron atendidos, puedes presentar una queja ante el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI). Más información en home.inai.org.mx.

Contacto del Responsable

Correo del oficial de privacidad: hola@aroagroup.com