AVISO INTEGRAL DE PRIVACIDAD PARA NEGOCIOS PARTICIPANTES CETB

Asesoría y Sofisticación de Negocios, S.A. de C.V.

Versión: 01
Fecha de publicación: 10/10/2026
Fecha de entrada en vigor: 10/10/2026

1. Identidad y domicilio del Responsable

Asesoría y Sofisticación de Negocios, S.A. de C.V., en adelante “ASN”, con domicilio en Cerrada del Manzano No. 14A, La Magdalena Panoaya, Texcoco C.P. 56203, estado de México., es responsable del tratamiento de los Datos Personales que recabe directamente para sus propias finalidades mediante la plataforma y ecosistema tecnológico CETB – Compra en tu Barrio.

Para efectos del presente Aviso de Privacidad, las referencias a “CETB” comprenden la plataforma, aplicaciones, módulos, interfaces, funcionalidades, servicios y demás componentes tecnológicos operados por ASN bajo dicha marca.

Los medios de contacto relacionados con el tratamiento de Datos Personales son:

Correo para asuntos de privacidad y protección de Datos Personales: privacidad@cetb.mx

Correo de soporte y atención operativa: soporte@cetb.mx

Correo para notificaciones contractuales o jurídicas: legal@cetb.mx

El domicilio, versión y fechas correspondientes deberán completarse antes de la publicación del presente Aviso.

2. Objeto y alcance del Aviso de Privacidad

El presente Aviso de Privacidad tiene por objeto informar a las personas físicas vinculadas con un Negocio Participante acerca de:

a) la identidad de ASN;

b) los Datos Personales que ASN puede recabar y tratar;

c) las fuentes mediante las cuales pueden obtenerse dichos Datos;

d) las finalidades del tratamiento;

e) las finalidades que, en su caso, requieran consentimiento;

f) la utilización de proveedores tecnológicos;

g) el posible procesamiento nacional o internacional de los Datos;

h) las transferencias que puedan realizarse;

i) los plazos y criterios generales de conservación;

j) las medidas generales de protección;

k) los mecanismos para ejercer derechos de Acceso, Rectificación, Cancelación y Oposición;

l) los mecanismos para revocar el consentimiento o limitar el uso y divulgación de los Datos Personales; y

m) el procedimiento mediante el cual se comunicarán modificaciones al presente Aviso.

Este Aviso será aplicable cuando ASN trate Datos Personales en calidad de Responsable y determine las finalidades y los medios esenciales del tratamiento.

El presente Aviso no regula indiscriminadamente todos los Datos Personales que puedan almacenarse o procesarse mediante CETB. Cuando ASN trate Datos Personales por cuenta y bajo las instrucciones de un Negocio Participante, podrá actuar como Persona Encargada, conforme a los Términos y Condiciones de CETB para Negocios Participantes y al Acuerdo o Anexo de Tratamiento de Datos Personales aplicable.

La aceptación de los Términos y Condiciones de CETB:

a) no sustituye la puesta a disposición del presente Aviso;

b) no constituye consentimiento general e ilimitado para cualquier tratamiento de Datos Personales;

c) no autoriza finalidades distintas de las informadas;

d) no sustituye los consentimientos específicos que deban obtenerse por separado; y

e) no permite al Negocio Participante consentir indiscriminadamente en nombre de sus empleados, colaboradores, clientes, proveedores o terceros.

3. Personas a las que se dirige este Aviso

El presente Aviso de Privacidad podrá resultar aplicable, según corresponda, a las siguientes personas físicas:

a) personas físicas con actividad empresarial que se registren como Negocio Participante;

b) propietarios o titulares de establecimientos;

c) representantes legales de personas morales;

d) apoderados;

e) Titulares de una Cuenta CETB;

f) Administradores de Cuenta;

g) Usuarios Autorizados;

h) empleados del Negocio Participante;

i) colaboradores y prestadores de servicios vinculados con el Negocio;

j) contactos administrativos;

k) contactos técnicos;

l) contactos de seguridad;

m) contactos de facturación;

n) personas autorizadas para contratar, pagar, cancelar o modificar Servicios;

o) personas relacionadas con solicitudes de soporte, aclaraciones o reclamaciones;

p) personas que participen en programas, eventos, capacitaciones, alianzas o actividades de la comunidad CETB; y

q) cualquier otra persona física cuyos Datos Personales sean recabados directamente por ASN en relación con una Cuenta CETB empresarial.

La aplicación del presente Aviso dependerá de la relación que cada persona mantenga con ASN, los Datos Personales tratados y las finalidades correspondientes.

Una misma persona podrá actuar en distintas calidades, por ejemplo, como propietaria del Negocio, Titular de la Cuenta, Administradora, Usuario Autorizado y contacto de facturación. En estos casos, los Datos podrán utilizarse para las finalidades correspondientes a cada función, siempre dentro de los límites establecidos en este Aviso.

4. Distribución de responsabilidades entre ASN y el Negocio Participante

La utilización de CETB puede dar lugar a diferentes tratamientos de Datos Personales. La calidad jurídica de ASN y del Negocio Participante deberá determinarse de acuerdo con:

a) el origen de los Datos Personales;

b) la persona que determine la finalidad del tratamiento;

c) la persona que determine los medios esenciales;

d) las instrucciones aplicables;

e) la funcionalidad utilizada; y

f) las circunstancias reales del tratamiento.

4.1. ASN como Responsable

ASN podrá actuar como Responsable respecto de los Datos Personales que trate para finalidades propias relacionadas con:

a) creación y administración de la Cuenta CETB;

b) identificación y verificación de las personas usuarias;

c) validación de representación o facultades;

d) contratación y administración de Planes y Servicios;

e) facturación y administración de pagos realizados a ASN;

f) autenticación;

g) administración de roles y permisos;

h) seguridad de la Cuenta y de la Plataforma;

i) prevención y detección de fraude, abuso o accesos no autorizados;

j) soporte y atención de solicitudes;

k) envío de comunicaciones operativas, contractuales o de seguridad;

l) cumplimiento de obligaciones legales;

m) conservación de evidencia contractual;

n) defensa y ejercicio de derechos;

o) operación, mantenimiento y mejora de CETB;

p) administración de programas, eventos y actividades de comunidad; y

q) demás finalidades propias expresamente informadas en este Aviso.

4.2. ASN como Persona Encargada

ASN podrá actuar como Persona Encargada cuando trate Datos Personales por cuenta y bajo las instrucciones del Negocio Participante mediante funcionalidades como:

a) CRM;

b) punto de venta;

c) administración de clientes;

d) directorios;

e) pedidos;

f) entregas;

g) facturación;

h) inventarios asociados con personas;

i) administración de empleados o colaboradores;

j) comunicaciones enviadas por cuenta del Negocio;

k) campañas configuradas por el Negocio;

l) herramientas de análisis empresarial;

m) Exebia CETB, cuando procese información proporcionada por el Negocio exclusivamente para atender sus instrucciones; y

n) otras herramientas empresariales habilitadas dentro de CETB.

En estos casos, el Negocio Participante será responsable de:

a) contar con un fundamento jurídico válido para recabar y tratar los Datos Personales;

b) proporcionar su propio Aviso de Privacidad a las personas titulares;

c) obtener los consentimientos que resulten necesarios;

d) proporcionar a ASN instrucciones lícitas, documentadas y compatibles con la finalidad informada;

e) evitar incorporar Datos excesivos, innecesarios o ilícitamente obtenidos;

f) atender los derechos de las personas titulares cuando le corresponda actuar como Responsable; y

g) cumplir las demás obligaciones aplicables a su tratamiento.

ASN tratará los Datos Personales Encomendados únicamente para prestar los Servicios, atender las instrucciones válidas del Negocio, mantener la seguridad, cumplir obligaciones legales y ejercer o defender derechos, conforme al instrumento de tratamiento aplicable.

4.3. Datos incorporados al CRM del Negocio

Los Datos Personales incorporados exclusivamente por un Negocio Participante a su CRM, directorio, historial comercial u otra herramienta empresarial:

a) no se convertirán automáticamente en Datos de un Usuario Final de CETB;

b) no se incorporarán automáticamente a una base de marketing propia de ASN;

c) no podrán utilizarse indiscriminadamente para finalidades propias de CETB; y

d) permanecerán sujetos a las instrucciones válidas del Negocio Participante y al instrumento de tratamiento aplicable.

ASN únicamente podrá utilizar dichos Datos para una finalidad propia distinta cuando:

a) exista una relación directa e independiente entre ASN y la persona titular;

b) exista un fundamento jurídico válido;

c) la finalidad haya sido informada mediante el Aviso de Privacidad correspondiente;

d) los Datos hayan sido obtenidos legítimamente para esa finalidad; y

e) se obtenga el consentimiento cuando resulte necesario.

4.4. Avisos de Privacidad del Negocio Participante

El presente Aviso de Privacidad no sustituye el Aviso de Privacidad que cada Negocio Participante deba proporcionar a sus:

a) clientes;

b) consumidores;

c) empleados;

d) colaboradores;

e) proveedores;

f) contactos; o

g) demás personas cuyos Datos decida recabar y tratar mediante CETB.

Cada Negocio Participante deberá elaborar y mantener actualizado su propio Aviso de Privacidad, de acuerdo con su actividad, finalidades, obligaciones y tratamientos efectivos.

ASN podrá proporcionar herramientas o campos destinados a facilitar la publicación del Aviso del Negocio, pero no será responsable de determinar sus finalidades, contenido, suficiencia jurídica o cumplimiento, salvo cuando haya asumido expresamente esa obligación mediante un Servicio específico.

5. Datos Personales tratados

ASN podrá tratar distintas categorías de Datos Personales dependiendo de:

a) la relación que la persona mantenga con ASN o CETB;

b) la calidad con la que actúe;

c) el Plan o Servicio contratado;

d) las funcionalidades utilizadas;

e) los permisos asignados;

f) las operaciones realizadas; y

g) las obligaciones jurídicas aplicables.

ASN deberá aplicar los principios de licitud, finalidad, lealtad, consentimiento, calidad, proporcionalidad, información y responsabilidad, y procurará tratar únicamente los Datos Personales adecuados, relevantes y necesarios para las finalidades informadas.

5.1. Datos de identificación

ASN podrá tratar:

a) nombre completo;

b) nombre de usuario;

c) alias o identificador utilizado dentro de CETB;

d) fecha de nacimiento, cuando resulte necesaria para verificar la mayoría de edad o capacidad jurídica;

e) nacionalidad, cuando resulte jurídicamente necesaria;

f) Clave Única de Registro de Población;

g) Registro Federal de Contribuyentes;

h) identificación oficial;

i) fotografía contenida en documentos de identificación;

j) firma autógrafa o electrónica;

k) identificadores de documentos oficiales;

l) datos de representación o personalidad jurídica; y

m) cualquier otro dato necesario para identificar razonablemente a la persona.

ASN no solicitará todos estos Datos en todos los casos. Su tratamiento dependerá del proceso de registro, verificación, contratación o cumplimiento correspondiente.

5.2. Datos de contacto

ASN podrá tratar:

a) correo electrónico personal o empresarial;

b) número telefónico;

c) domicilio particular, cuando resulte necesario y jurídicamente procedente;

d) domicilio comercial;

e) domicilio fiscal;

f) dirección de una Sucursal;

g) dirección para notificaciones;

h) medios de contacto dentro de aplicaciones o plataformas; y

i) preferencias relacionadas con la recepción de comunicaciones.

5.3. Datos empresariales vinculados con personas físicas

ASN podrá tratar información relacionada con:

a) nombre comercial o denominación del Negocio Participante;

b) razón social;

c) actividad, giro o categoría empresarial;

d) cargo, puesto o función de la persona;

e) relación de la persona con el Negocio Participante;

f) carácter de propietaria, representante, apoderada, Administradora o Usuario Autorizado;

g) facultades de representación;

h) documentos corporativos en los que aparezcan Datos Personales;

i) poderes, actas, constancias o autorizaciones;

j) Sucursales o establecimientos relacionados;

k) horarios y datos públicos del establecimiento;

l) licencias, permisos o registros asociados con una persona física;

m) pertenencia a cámaras, asociaciones o programas empresariales, cuando sea proporcionada voluntariamente o resulte necesaria; y

n) demás información necesaria para verificar la existencia, operación o representación del Negocio.

La información relativa exclusivamente a una persona moral no será considerada Dato Personal, salvo cuando permita identificar o se encuentre vinculada con una persona física.

5.4. Datos laborales y profesionales

ASN podrá tratar:

a) cargo o puesto;

b) área de trabajo;

c) funciones;

d) relación laboral o profesional con el Negocio Participante;

e) antigüedad o vigencia de la relación, cuando resulte necesaria;

f) experiencia profesional;

g) formación, certificaciones o conocimientos;

h) permisos y niveles de acceso;

i) horario o turno relacionado con la utilización de CETB;

j) identificadores internos asignados por el Negocio;

k) nombre de la persona responsable o superior relacionado con una autorización; y

l) información necesaria para programas de capacitación, eventos o soporte.

ASN no utilizará esta información para tomar decisiones laborales por cuenta propia respecto de empleados o colaboradores del Negocio Participante, salvo que exista una relación laboral o profesional directa con ASN.

5.5. Datos fiscales y de facturación

ASN podrá tratar:

a) Registro Federal de Contribuyentes;

b) nombre o razón social para facturación;

c) régimen fiscal;

d) código postal fiscal;

e) domicilio fiscal, cuando resulte necesario;

f) correo electrónico de facturación;

g) constancia de situación fiscal;

h) uso de comprobante fiscal digital;

i) información contenida en facturas, complementos de pago o comprobantes;

j) datos relacionados con impuestos, retenciones o cargos aplicables;

k) historial de facturación; y

l) aclaraciones o solicitudes relacionadas con comprobantes fiscales.

5.6. Datos financieros y patrimoniales

Cuando resulte necesario para contratar, pagar, conciliar, reembolsar o administrar los Servicios, ASN podrá tratar:

a) información sobre pagos realizados a ASN;

b) importe, fecha, moneda, concepto y estado de la operación;

c) identificadores de la transacción, incluyendo el identificador del PaymentIntent, cargo, evento de webhook, reembolso o disputa generado por Stripe;

d) identificador del cliente en Stripe;

e) identificador del Negocio Participante, Cuenta, tenant o Usuario relacionado con el pago;

f) servicio, suscripción, recarga, compra de Monedas CETB u operación pagada;

g) identificador de pedido, transacción interna, carrier, proveedor, número o referencia relacionada con el servicio pagado, cuando resulte aplicable;

h) comisión cobrada por Stripe y monto neto de la operación;

i) fecha y hora de creación, autorización, confirmación, rechazo, cancelación o reembolso;

j) datos parciales del método de pago, incluyendo marca, últimos cuatro dígitos, mes y año de vencimiento, tipo de fondeo y país de emisión de la tarjeta;

k) códigos y mensajes de error o rechazo;

l) información relacionada con reembolsos, contracargos o disputas, incluyendo identificador, monto, motivo y estado;

m) referencias bancarias, comprobantes de transferencia e información necesaria para devoluciones o pagos procedentes;

n) historial de cargos, renovaciones, devoluciones, reembolsos, créditos o ajustes;

o) información relacionada con Monedas CETB y Recursos Operativos; y

p) información necesaria para prevenir fraude, atender aclaraciones y cumplir obligaciones contractuales, contables, fiscales o jurídicas.

Stripe recabará y procesará directamente los datos completos del instrumento de pago conforme a sus propios términos y aviso de privacidad. ASN no almacenará el número completo de la tarjeta, código de seguridad, contraseñas bancarias, claves dinámicas ni credenciales para acceder a servicios financieros de la Persona Titular.

ASN y Stripe podrán intercambiar únicamente la información necesaria para iniciar, autorizar, confirmar, conciliar, reembolsar, disputar o aclarar la operación.

Los Datos Personales financieros o patrimoniales se tratarán con el consentimiento expreso de la Persona Titular cuando resulte legalmente necesario, salvo que se actualice alguna excepción prevista en la Legislación Aplicable.

La integración con Stripe se encuentra actualmente en etapa de pruebas. Las disposiciones de este apartado serán aplicables cuando la funcionalidad correspondiente sea habilitada para los Negocios Participantes.

5.7. Datos de Cuenta, autenticación y acceso

ASN podrá tratar:

a) identificador de Cuenta;

b) identificador del Negocio Participante;

c) identificador del Usuario;

d) nombre de usuario;

e) credenciales de autenticación protegidas;

f) contraseña transformada mediante mecanismos de protección, sin conservarla ordinariamente en texto legible;

g) tokens de sesión;

h) códigos o factores de autenticación;

i) preguntas o mecanismos de recuperación;

j) fecha y hora de registro;

k) fecha y hora de inicio y cierre de sesión;

l) historial de accesos;

m) sesiones activas;

n) dispositivos asociados;

o) rol;

p) permisos;

q) Sucursal relacionada;

r) cambios de privilegios;

s) intentos de acceso exitosos o fallidos;

t) bloqueos o medidas de seguridad; y

u) evidencia de aceptación electrónica.

5.8. Datos operativos y de utilización de CETB

ASN podrá tratar información relacionada con:

a) módulos y funcionalidades utilizados;

b) acciones realizadas dentro de la Plataforma;

c) ventas, pedidos u operaciones vinculadas con el Usuario;

d) aperturas y cierres de caja;

e) registros de inventario;

f) compras o movimientos administrativos;

g) Sucursales administradas;

h) campañas o promociones configuradas;

i) reportes consultados;

j) exportaciones solicitadas;

k) cambios de configuración;

l) autorizaciones o confirmaciones;

m) comunicaciones enviadas mediante CETB;

n) incidencias reportadas;

o) fecha, hora y secuencia de las operaciones;

p) Monedas CETB y Recursos Operativos administrados;

q) Operaciones Integradas realizadas; y

r) demás registros necesarios para operar, asegurar y mantener trazabilidad.

Cuando estos registros contengan información de clientes, empleados, proveedores u otras personas incorporada por el Negocio Participante, ASN podrá actuar como Persona Encargada respecto de dicha información.

5.9. Datos de soporte y comunicaciones

ASN podrá tratar:

a) solicitudes de soporte;

b) tickets;

c) correos electrónicos;

d) conversaciones mantenidas mediante canales de atención;

e) nombre y datos de contacto de la persona solicitante;

f) descripción de errores o incidentes;

g) capturas de pantalla;

h) documentos o archivos adjuntos;

i) información proporcionada para reproducir o resolver una incidencia;

j) comentarios, respuestas y evaluaciones del servicio;

k) fecha y hora de las comunicaciones;

l) personal o proveedor que atendió la solicitud; y

m) solución o seguimiento proporcionado.

La persona solicitante deberá evitar incluir en campos libres, capturas o archivos Datos Personales que no sean necesarios para atender la solicitud.

5.10. Datos técnicos, del dispositivo y de conexión

ASN podrá tratar:

a) dirección IP;

b) identificadores del dispositivo, aplicación, instalación, sesión o navegador;

c) sistema operativo;

d) versión de la aplicación;

e) tipo de dispositivo;

f) navegador;

g) idioma y zona horaria;

h) fecha y hora de conexión;

i) red o proveedor de conexión;

j) eventos técnicos;

k) registros de actividad;

l) códigos de error;

m) información de rendimiento;

n) latencia;

o) fallas de la aplicación;

p) registros de seguridad;

q) identificadores utilizados para notificaciones;

r) información sobre actualización o compatibilidad; y

s) demás datos técnicos necesarios para operar, mantener y proteger CETB.

Los identificadores utilizados para notificaciones podrán comprender identificadores de dispositivo o instalación necesarios para enviar comunicaciones operativas, recordatorios, alertas de seguridad o notificaciones previamente autorizadas.

5.11. Datos de ubicación

ASN podrá tratar:

a) domicilio o ubicación del establecimiento;

b) dirección de una Sucursal;

c) coordenadas proporcionadas para ubicar públicamente un Negocio en el Directorio Digital;

d) dirección relacionada con un pedido o entrega;

e) ubicación aproximada del dispositivo; o

f) ubicación momentánea solicitada por una funcionalidad.

La ubicación del dispositivo se utilizará únicamente cuando:

a) sea necesaria para la funcionalidad solicitada;

b) el dispositivo y la aplicación cuenten con el permiso correspondiente;

c) se informe la finalidad aplicable; y

d) se obtenga el consentimiento cuando resulte necesario.

Como regla general, la ubicación momentánea del dispositivo utilizada para mostrar establecimientos, calcular proximidad o atender una solicitud no será conservada de manera permanente, salvo cuando:

a) la persona decida guardar una dirección;

b) forme parte de un pedido, entrega u operación;

c) sea necesaria para seguridad o prevención de fraude;

d) deba conservarse como evidencia; o

e) exista otra finalidad legítima debidamente informada.

5.12. Datos relacionados con Exebia CETB

Cuando se utilice Exebia CETB, ASN podrá tratar:

a) Prompts o Consultas;

b) Resultados;

c) respuestas posteriores;

d) historial de conversaciones;

e) archivos, documentos, imágenes o información proporcionados durante la interacción;

f) referencias a fuentes consultadas;

g) acciones solicitadas;

h) acciones ejecutadas;

i) confirmaciones, rechazos o cancelaciones;

j) Cuenta, Usuario, rol y permisos relacionados;

k) módulos o información autorizada consultados;

l) fecha y hora;

m) Modelo utilizado;

n) consumo de tokens, créditos o unidades técnicas;

o) latencia;

p) herramientas o funciones empleadas;

q) errores o códigos de incidencia; y

r) demás información necesaria para proporcionar, asegurar y mantener trazabilidad de la funcionalidad.

Las interacciones con Exebia CETB podrán contener Datos Personales si la persona usuaria los incorpora en su consulta, archivos o instrucciones, o si la funcionalidad autorizada consulta información almacenada en CETB.

ASN no utilizará el contenido de las conversaciones para entrenar o realizar fine-tuning de Modelos generales, desarrollar Modelos destinados a terceros ni permitir que los proveedores tecnológicos lo utilicen para sus propias finalidades de entrenamiento.

El tratamiento de estas conversaciones se sujetará a las finalidades, medidas y plazos específicos establecidos en el presente Aviso y en los Términos y Condiciones de CETB para Negocios Participantes.

5.13. Datos relacionados con seguridad, fraude y cumplimiento

ASN podrá tratar:

a) alertas de seguridad;

b) intentos de acceso no autorizado;

c) actividad inusual;

d) operaciones anómalas;

e) bloqueos;

f) direcciones IP relacionadas;

g) dispositivos y sesiones;

h) cambios de credenciales o permisos;

i) reportes de fraude o abuso;

j) información necesaria para verificar una operación;

k) listas internas de prevención de abuso;

l) evidencia relacionada con investigaciones;

m) comunicaciones con autoridades; y

n) información necesaria para cumplir obligaciones o defender derechos.

5.14. Datos relacionados con eventos, capacitación y comunidad

Cuando la persona participe voluntariamente en actividades de CETB, ASN podrá tratar:

a) nombre;

b) información de contacto;

c) Negocio Participante relacionado;

d) cargo o función;

e) intereses empresariales;

f) actividad o sector;

g) registro y asistencia;

h) participación;

i) respuestas a encuestas;

j) necesidades de capacitación;

k) fotografía o imagen, cuando corresponda y se informe previamente; y

l) información necesaria para organizar, documentar o dar seguimiento a la actividad.

5.15. Preferencias y comunicaciones comerciales

ASN podrá tratar:

a) preferencias de comunicación;

b) suscripción o rechazo de comunicaciones promocionales;

c) intereses en Planes, módulos o Servicios;

d) participación en promociones;

e) interacciones con comunicaciones enviadas;

f) solicitudes de información comercial;

g) historial de contacto comercial; y

h) consentimiento, negativa, revocación u oposición correspondiente.

La recepción de comunicaciones comerciales se tratará como una finalidad secundaria y deberá distinguirse de las comunicaciones operativas, contractuales, fiscales o de seguridad necesarias para mantener la relación con CETB.

5.16. Datos Personales Sensibles

ASN no tiene como finalidad ordinaria recabar Datos Personales Sensibles de representantes, Titulares de Cuenta, Administradores o Usuarios Autorizados.

Las personas deberán abstenerse de introducir en campos libres, archivos, tickets, documentos o conversaciones de Exebia CETB información sensible que no resulte necesaria para utilizar el Servicio o atender una obligación.

Cuando ASN reciba incidentalmente Datos Personales Sensibles, deberá:

a) determinar si resultan necesarios para una finalidad legítima;

b) limitar su tratamiento;

c) aplicar medidas de seguridad reforzadas;

d) restringir el acceso;

e) obtener el consentimiento expreso y por escrito cuando resulte legalmente necesario; y

f) eliminarlos, bloquearlos o devolverlos cuando no exista una causa válida para conservarlos.

ASN no utilizará Datos Personales Sensibles para crear perfiles comerciales, realizar segmentación promocional o adoptar decisiones discriminatorias.

5.17. Datos no solicitados o excesivos

La existencia de campos libres, herramientas de carga, funciones de soporte o conversaciones de Exebia CETB no significa que ASN solicite cualquier Dato Personal que pueda introducirse en ellos.

Cuando se identifiquen Datos Personales manifiestamente excesivos, innecesarios, ilícitos o ajenos a la finalidad correspondiente, ASN podrá:

a) solicitar su corrección o eliminación;

b) restringir el acceso;

c) bloquearlos;

d) devolverlos;

e) suprimirlos; o

f) adoptar otra medida razonable de protección.

6. Formas de obtención de los Datos Personales

ASN podrá obtener Datos Personales mediante las fuentes señaladas a continuación.

6.1. Datos proporcionados directamente por la persona

ASN podrá obtener Datos cuando la persona:

a) cree una Cuenta CETB;

b) complete un formulario;

c) acepte los Términos y Condiciones;

d) contrate un Plan o Servicio;

e) proporcione documentos;

f) solicite una verificación;

g) configure su perfil;

h) utilice la Plataforma o sus aplicaciones;

i) realice un pago;

j) solicite una factura;

k) contacte a soporte;

l) ejerza un derecho;

m) presente una aclaración o reclamación;

n) participe en un evento, programa o capacitación;

o) utilice Exebia CETB; o

p) se comunique directamente con ASN.

6.2. Datos proporcionados por el Negocio Participante

ASN podrá recibir Datos Personales cuando el Negocio Participante, el Titular de la Cuenta o un Administrador:

a) registre Usuarios Autorizados;

b) asigne roles y permisos;

c) incorpore información de empleados o colaboradores;

d) designe contactos administrativos, técnicos, de seguridad o facturación;

e) proporcione documentos de representación;

f) configure Sucursales;

g) solicite soporte en nombre de otra persona;

h) incorpore Datos a herramientas empresariales; o

i) proporcione información necesaria para operar los Servicios.

El Negocio Participante deberá informar a las personas correspondientes y contar con el fundamento jurídico o consentimiento que resulte necesario para comunicar sus Datos a ASN.

6.3. Datos generados automáticamente mediante CETB

ASN podrá generar o recopilar Datos derivados de:

a) accesos;

b) sesiones;

c) utilización de módulos;

d) operaciones;

e) cambios de configuración;

f) asignación de permisos;

g) eventos técnicos;

h) interacciones con notificaciones;

i) registros de seguridad;

j) actividad de Exebia CETB;

k) errores;

l) rendimiento; y

m) demás acciones realizadas mediante la Plataforma.

6.4. Datos obtenidos de proveedores o Servicios Integrados

ASN podrá recibir Datos de:

a) proveedores de autenticación;

b) proveedores de pagos;

c) proveedores de facturación;

d) servicios de infraestructura;

e) herramientas de comunicación;

f) proveedores de seguridad o prevención de fraude;

g) Servicios Integrados;

h) proveedores de inteligencia artificial; y

i) demás prestadores que intervengan en las funcionalidades solicitadas.

ASN deberá limitar la información recibida a aquella necesaria para proporcionar el Servicio, confirmar una operación, mantener seguridad, cumplir obligaciones o atender incidencias.

6.5. Datos obtenidos de fuentes de acceso público o autoridades

Cuando resulte necesario y jurídicamente procedente, ASN podrá consultar o recibir información proveniente de:

a) registros públicos;

b) directorios empresariales;

c) sitios oficiales;

d) fuentes de acceso público;

e) cámaras o asociaciones empresariales;

f) autoridades competentes; o

g) documentos públicos proporcionados para verificar una relación.

La información disponible públicamente no podrá utilizarse indiscriminadamente. ASN deberá tratarla conforme a las finalidades informadas, la Legislación Aplicable y las expectativas razonables de privacidad.

6.6. Datos obtenidos mediante otras personas

ASN podrá recibir Datos de representantes legales, apoderados, Administradores, empleados, colaboradores o personas autorizadas por el Negocio Participante.

Cuando los Datos no sean obtenidos directamente de la persona titular, ASN proporcionará el presente Aviso o realizará la comunicación que resulte procedente conforme a la Legislación Aplicable, salvo que se actualice una excepción válida.

6.7. Exactitud y actualización

La persona titular y el Negocio Participante deberán proporcionar información exacta, completa, correcta y actualizada.

Cuando ASN detecte inconsistencias podrá solicitar:

a) aclaraciones;

b) documentación;

c) corrección;

d) actualización; o

e) verificación adicional.

Las personas titulares podrán solicitar la rectificación de sus Datos mediante los mecanismos establecidos en este Aviso.

7. Finalidades necesarias del tratamiento

ASN tratará los Datos Personales para las finalidades primarias y necesarias señaladas en este apartado.

Estas finalidades son indispensables, según corresponda, para:

a) establecer y mantener la relación entre ASN y el Negocio Participante;

b) crear, administrar y proteger una Cuenta CETB;

c) proporcionar los Planes, módulos, funcionalidades y Servicios solicitados;

d) cumplir obligaciones legales, contractuales, fiscales y de seguridad; y

e) atender las solicitudes realizadas por la persona titular o por el Negocio Participante.

La negativa a proporcionar los Datos estrictamente necesarios podrá impedir la creación de una Cuenta, la contratación, la facturación, la verificación de identidad, la utilización de determinadas funcionalidades o la atención de una solicitud.

ASN no condicionará el acceso a una funcionalidad a la entrega de Datos que no resulten objetivamente necesarios para proporcionarla.

7.1. Registro, identificación y administración de la Cuenta

ASN podrá tratar Datos Personales para:

a) registrar al Negocio Participante;

b) crear y administrar la Cuenta CETB;

c) identificar al Titular de la Cuenta;

d) registrar Administradores y Usuarios Autorizados;

e) verificar la identidad de las personas;

f) validar la existencia del Negocio;

g) confirmar representación, poderes, facultades o autorizaciones;

h) asociar personas con un Negocio Participante o Sucursal;

i) administrar perfiles, roles y permisos;

j) mantener actualizada la información de la Cuenta;

k) recuperar el acceso a la Cuenta;

l) gestionar cambios de propietario, representante o control;

m) prevenir registros duplicados, falsos o no autorizados; y

n) mantener trazabilidad de las personas que administran o utilizan la Cuenta.

7.2. Contratación y prestación de los Servicios

ASN podrá tratar Datos Personales para:

a) informar las características de los Planes y Servicios solicitados;

b) elaborar y presentar cotizaciones u órdenes de contratación;

c) formalizar la relación contractual;

d) registrar la Aceptación Electrónica;

e) activar Planes, módulos, Sucursales o funcionalidades;

f) administrar pruebas, pilotos o periodos promocionales;

g) proporcionar los Servicios contratados;

h) configurar la Cuenta;

i) administrar renovaciones;

j) procesar solicitudes de cancelación o no renovación;

k) gestionar upgrades, downgrades y cambios de Plan;

l) desactivar o terminar funcionalidades;

m) administrar la relación con proveedores vinculados con Servicios Integrados;

n) comunicar cambios contractuales o económicos; y

o) cumplir las demás obligaciones derivadas de los Términos y Condiciones aplicables.

7.3. Facturación, cobros y administración económica

ASN podrá tratar Datos Personales para:

a) procesar pagos relacionados con la contratación o renovación de los Servicios;

b) procesar pagos para la adquisición de Monedas CETB;

c) procesar recargas, pagos de servicios u otras operaciones que sean habilitadas mediante CETB;

d) identificar y confirmar operaciones;

e) generar comprobantes fiscales;

f) administrar renovaciones y cargos autorizados;

g) verificar transferencias;

h) conciliar pagos;

i) gestionar cobros pendientes;

j) procesar cancelaciones, devoluciones, reembolsos, contracargos, disputas, créditos o ajustes;

k) atender aclaraciones;

l) administrar Monedas CETB y Recursos Operativos;

m) registrar Operaciones Integradas;

n) prevenir cobros duplicados, incorrectos o fraudulentos;

o) mantener registros contables y fiscales; y

p) cumplir obligaciones contractuales, tributarias, contables y de prevención de operaciones ilícitas que resulten aplicables.

Cuando la funcionalidad sea habilitada, Stripe procesará los datos completos del instrumento de pago y recibirá la información necesaria para autorizar la operación. ASN recibirá y conservará únicamente las referencias, datos parciales del método de pago, importes, estados y demás elementos descritos en el apartado 5.6.

Los recursos derivados de los pagos procesados mediante Stripe serán recibidos inicialmente por ASN. Actualmente no se utiliza Stripe Connect.

La integración con Stripe se encuentra en etapa de pruebas y no está disponible de manera general. ASN deberá actualizar la información presentada a las Personas Titulares si cambian el proveedor, el flujo de recursos o las categorías de Datos tratadas.

7.4. Autenticación, seguridad y control de acceso

ASN podrá tratar Datos Personales para:

a) autenticar a los Usuarios;

b) administrar credenciales;

c) generar y validar sesiones;

d) implementar mecanismos de recuperación de Cuenta;

e) aplicar autenticación multifactor, cuando se encuentre habilitada;

f) verificar dispositivos o accesos;

g) administrar permisos;

h) detectar intentos de acceso no autorizado;

i) identificar actividad inusual;

j) bloquear sesiones o credenciales comprometidas;

k) proteger la integridad de la Plataforma;

l) proteger los Datos del Negocio Participante y de otras personas;

m) investigar vulnerabilidades o incidentes;

n) emitir alertas de seguridad; y

o) mantener registros de acceso y actividad.

7.5. Prevención de fraude, abuso y actividades ilícitas

ASN podrá tratar Datos Personales para:

a) prevenir y detectar fraude;

b) identificar operaciones anómalas;

c) investigar uso indebido de la Cuenta;

d) detectar suplantación de identidad;

e) prevenir el uso automatizado no autorizado;

f) identificar incumplimientos de seguridad;

g) verificar operaciones o solicitudes sospechosas;

h) evitar la evasión de suspensiones o restricciones;

i) atender reportes de abuso;

j) proteger a ASN, los Negocios Participantes, Usuarios y terceros;

k) conservar evidencia de incidentes;

l) ejercer o defender derechos; y

m) colaborar con autoridades competentes cuando exista una obligación jurídica.

ASN deberá procurar que las medidas adoptadas sean proporcionales al riesgo identificado y podrá solicitar información adicional cuando resulte razonablemente necesario para verificar una Cuenta u operación.

7.6. Soporte y atención

ASN podrá tratar Datos Personales para:

a) recibir y registrar solicitudes;

b) identificar a la persona solicitante;

c) verificar que cuente con facultades o permisos suficientes;

d) crear y administrar tickets;

e) diagnosticar errores;

f) reproducir incidencias;

g) proporcionar orientación;

h) resolver problemas técnicos u operativos;

i) atender aclaraciones;

j) responder reclamaciones;

k) dar seguimiento a solicitudes;

l) evaluar la atención proporcionada;

m) comunicar el estado de una incidencia; y

n) conservar evidencia de la atención.

7.7. Comunicaciones necesarias

ASN podrá utilizar los Datos de contacto para enviar comunicaciones necesarias relacionadas con:

a) creación y activación de la Cuenta;

b) verificación de identidad;

c) recuperación de acceso;

d) seguridad;

e) cambios de credenciales;

f) actividad inusual;

g) operación de los Servicios;

h) pedidos u operaciones;

i) soporte;

j) mantenimiento;

k) interrupciones;

l) actualizaciones necesarias;

m) facturación;

n) pagos;

o) renovaciones previamente autorizadas;

p) vencimientos;

q) cancelaciones;

r) modificaciones contractuales;

s) cambios de precios;

t) privacidad y protección de Datos Personales;

u) incidentes;

v) cumplimiento; y

w) terminación de la relación.

Estas comunicaciones no tendrán carácter promocional cuando sean necesarias para administrar, proporcionar, asegurar o documentar la relación con CETB.

La persona titular no podrá oponerse a comunicaciones estrictamente indispensables mientras permanezca activa la relación que las origine. No obstante, ASN deberá dejar de enviarlas cuando concluya la relación y ya no exista una causa jurídica u operativa que justifique su envío.

7.8. Operación de módulos y funcionalidades

ASN podrá tratar Datos Personales para proporcionar y mantener funcionalidades relacionadas con:

a) punto de venta;

b) inventarios;

c) cajas;

d) compras;

e) clientes y CRM;

f) Sucursales;

g) permisos;

h) reportes;

i) facturación;

j) pedidos;

k) tienda digital;

l) entregas;

m) promociones;

n) cupones;

o) Directorio Digital;

p) comunidad;

q) Servicios Integrados;

r) Monedas CETB;

s) Recursos Operativos;

t) Exebia CETB; y

u) demás módulos efectivamente habilitados.

La calidad de ASN como Responsable o Persona Encargada dependerá de la finalidad, instrucciones, Datos tratados y funcionamiento efectivo de cada módulo.

7.9. Exebia CETB

ASN podrá tratar Datos Personales mediante Exebia CETB para:

a) recibir y procesar las Consultas o Prompts;

b) generar los Resultados solicitados;

c) consultar información autorizada conforme a los permisos del Usuario;

d) mantener el contexto de una conversación;

e) conservar el historial durante el plazo informado;

f) ejecutar acciones solicitadas y autorizadas;

g) solicitar confirmaciones humanas;

h) registrar acciones realizadas;

i) mantener trazabilidad;

j) medir consumo de tokens, créditos o unidades técnicas;

k) detectar errores;

l) atender solicitudes de soporte;

m) prevenir fraude, abuso o uso no autorizado;

n) investigar incidentes;

o) mejorar instrucciones, configuraciones, fuentes autorizadas y mecanismos de consulta; y

p) mantener la seguridad, utilidad y desempeño de la funcionalidad.

La mejora operativa de Exebia CETB no comprenderá:

a) entrenar Modelos generales con el contenido de las conversaciones;

b) realizar fine-tuning de Modelos generales;

c) incorporar conversaciones a conjuntos generales de entrenamiento;

d) desarrollar Modelos destinados a otros Negocios o terceros utilizando información identificable; ni

e) permitir que los proveedores utilicen las conversaciones para sus propias finalidades de entrenamiento.

Cualquier cambio que pretenda autorizar estas actividades será tratado como una modificación material y requerirá información previa y consentimiento específico cuando resulte jurídicamente necesario.

7.10. Mantenimiento, diagnóstico y mejora de CETB

ASN podrá tratar Datos técnicos, operativos y de utilización para:

a) mantener disponible la Plataforma;

b) detectar y corregir errores;

c) diagnosticar fallas;

d) medir rendimiento;

e) evaluar compatibilidad;

f) administrar capacidad e infraestructura;

g) mejorar interfaces y flujos;

h) optimizar tiempos de respuesta;

i) reforzar controles de seguridad;

j) prevenir interrupciones;

k) evaluar la utilización de módulos;

l) mejorar funcionalidades existentes;

m) desarrollar mejoras relacionadas con los Servicios proporcionados; y

n) mantener continuidad operativa.

Cuando resulte razonablemente posible, ASN utilizará para estas actividades información minimizada, agregada o disociada.

El desarrollo de una nueva finalidad no compatible con las informadas requerirá la actualización del presente Aviso y, cuando corresponda, un nuevo consentimiento.

7.11. Analítica operativa y del ecosistema

ASN podrá utilizar información para:

a) conocer el número de Cuentas y Usuarios activos;

b) medir la utilización de funcionalidades;

c) identificar patrones generales de adopción;

d) evaluar el funcionamiento de los Planes;

e) analizar el desempeño técnico;

f) conocer necesidades generales de los Negocios Participantes;

g) planear capacidad e infraestructura;

h) elaborar estadísticas internas;

i) prevenir fraude o abuso;

j) evaluar la efectividad de mejoras; y

k) tomar decisiones operativas y empresariales relacionadas con CETB.

ASN procurará utilizar información agregada o disociada cuando no resulte necesario identificar a una persona o Negocio Participante.

La información efectivamente disociada, que no permita identificar razonablemente a una persona, podrá utilizarse para fines estadísticos, técnicos, empresariales o de investigación, siempre que no sea reidentificada indebidamente.

7.12. Eventos, capacitación y comunidad

Cuando una persona solicite participar en un evento, capacitación, programa o actividad de la comunidad CETB, ASN podrá tratar sus Datos para:

a) registrar su participación;

b) confirmar asistencia;

c) organizar la actividad;

d) proporcionar accesos o materiales;

e) identificar intereses o necesidades;

f) facilitar la vinculación solicitada;

g) emitir constancias, cuando corresponda;

h) comunicar cambios relacionados con la actividad;

i) atender preguntas;

j) documentar la realización del evento; y

k) dar seguimiento a compromisos derivados de la actividad.

El uso de fotografías, grabaciones o testimonios con fines publicitarios requerirá información previa y la autorización correspondiente cuando resulte necesaria.

7.13. Cumplimiento de obligaciones legales

ASN podrá tratar y conservar Datos Personales para:

a) cumplir obligaciones mercantiles;

b) cumplir obligaciones fiscales y contables;

c) conservar contratos, comprobantes y mensajes de datos;

d) atender derechos de las personas titulares;

e) responder requerimientos fundados de autoridades competentes;

f) cumplir resoluciones u órdenes;

g) atender auditorías;

h) investigar incidentes;

i) gestionar controversias;

j) presentar o defender reclamaciones;

k) acreditar operaciones y aceptaciones;

l) proteger derechos de terceros; y

m) cumplir cualquier otra obligación jurídica aplicable.

7.14. Conservación de evidencia

ASN podrá conservar Datos Personales y Registros Electrónicos para acreditar:

a) identidad y facultades de la persona que contrató;

b) Aceptación Electrónica;

c) versión contractual aceptada;

d) fecha y hora;

e) Plan, precio o condiciones contratadas;

f) autorizaciones otorgadas;

g) cambios de Cuenta o permisos;

h) pagos;

i) comunicaciones;

j) solicitudes;

k) operaciones;

l) consentimientos;

m) negativas, revocaciones u oposiciones;

n) ejercicio de derechos; y

o) demás actos relacionados con la relación.

La conservación deberá limitarse a los elementos necesarios y sujetarse a los plazos establecidos en este Aviso y en la Legislación Aplicable.

8. Finalidades secundarias

ASN podrá tratar determinados Datos Personales para las finalidades secundarias señaladas en este apartado.

Estas finalidades no son indispensables para crear una Cuenta, contratar un Plan, utilizar las funcionalidades esenciales ni mantener la relación contractual con CETB.

8.1. Comunicaciones comerciales y promocionales

Con autorización separada, ASN podrá utilizar el nombre, correo electrónico, número telefónico, Negocio relacionado, cargo, intereses y preferencias de comunicación para:

a) enviar información sobre Planes, módulos y Servicios de CETB;

b) comunicar promociones y descuentos;

c) informar sobre nuevas funcionalidades;

d) presentar Servicios adicionales de ASN relacionados con la actividad empresarial;

e) invitar a eventos, programas, capacitaciones o actividades comerciales;

f) comunicar beneficios de alianzas autorizadas;

g) realizar seguimiento comercial;

h) enviar boletines;

i) realizar encuestas comerciales; y

j) presentar ofertas que puedan resultar relevantes para el Negocio Participante.

ASN no comunicará Datos Personales a un aliado para que éste realice marketing propio sin informar previamente la transferencia y obtener el consentimiento cuando resulte necesario.

8.2. Personalización comercial

Con consentimiento específico, ASN podrá utilizar información relacionada con:

a) módulos consultados;

b) Plan contratado;

c) intereses manifestados;

d) funcionalidades utilizadas;

e) sector o actividad del Negocio;

f) ubicación general del establecimiento;

g) participación en eventos;

h) interacción con comunicaciones; y

i) historial de solicitudes comerciales,

para personalizar recomendaciones de Planes, funcionalidades, contenidos, promociones o Servicios de ASN.

ASN no utilizará para personalización comercial:

a) Datos Personales Sensibles;

b) contraseñas o credenciales;

c) contenido confidencial del Negocio;

d) conversaciones de Exebia CETB;

e) Datos de clientes incorporados al CRM del Negocio;

f) información financiera completa; ni

g) información obtenida por ASN exclusivamente como Persona Encargada,

salvo que exista una finalidad distinta, legítima, informada y autorizada de forma específica.

8.3. Encuestas y estudios no indispensables

ASN podrá invitar a las personas a participar voluntariamente en:

a) encuestas de satisfacción;

b) estudios de experiencia;

c) investigaciones de mercado;

d) pruebas de concepto;

e) grupos de evaluación;

f) entrevistas; y

g) programas de mejora.

La participación será voluntaria. Cuando la información pueda utilizarse públicamente como testimonio, caso de éxito o material promocional, ASN solicitará la autorización correspondiente.

8.4. Casos de éxito, testimonios e imagen

ASN podrá utilizar el nombre, cargo, imagen, voz, testimonio, marca o información del Negocio Participante para elaborar o publicar casos de éxito únicamente cuando cuente con una autorización previa que identifique razonablemente:

a) el contenido autorizado;

b) la finalidad;

c) los medios de difusión;

d) la duración o condiciones de utilización; y

e) los mecanismos de revocación que resulten aplicables.

La contratación o utilización ordinaria de CETB no autoriza automáticamente a ASN a publicar el nombre, imagen o testimonio de una persona.

8.5. Negativa a las finalidades secundarias

La persona titular podrá negar o retirar su consentimiento para las finalidades secundarias mediante:

a) las opciones presentadas durante el registro;

b) las preferencias disponibles dentro de la Cuenta CETB;

c) el mecanismo de cancelación incluido en las comunicaciones;

d) una solicitud enviada a privacidad@cetb.mx; o

e) cualquier otro mecanismo indicado por ASN.

La negativa o revocación:

a) no impedirá crear o conservar una Cuenta cuando los Datos sean necesarios para las finalidades primarias;

b) no afectará la prestación de los Servicios contratados;

c) no tendrá efectos retroactivos respecto de tratamientos realizados lícitamente;

d) no impedirá el envío de comunicaciones operativas, contractuales, fiscales o de seguridad necesarias; y

e) será atendida dentro del plazo razonable o legalmente aplicable.

9. Fundamento y consentimiento para el tratamiento

ASN tratará los Datos Personales con base en:

a) el consentimiento de la persona titular;

b) la existencia y cumplimiento de una relación jurídica;

c) la atención de medidas solicitadas antes de establecer una relación;

d) el cumplimiento de obligaciones legales;

e) la ejecución de contratos, Planes, órdenes o Servicios;

f) la protección y defensa de derechos;

g) las excepciones al consentimiento previstas en la Legislación Aplicable; y

h) cualquier otro fundamento jurídico válido.

9.1. Consentimiento derivado de la puesta a disposición del Aviso

Cuando la Legislación Aplicable permita el consentimiento tácito, éste podrá entenderse otorgado si:

a) el presente Aviso fue puesto a disposición de la persona titular;

b) se informó la finalidad correspondiente;

c) la persona no manifestó su oposición; y

d) el tratamiento no requiere consentimiento expreso, por escrito o separado.

La ausencia de oposición no se utilizará como consentimiento tácito para finalidades que ASN haya decidido someter a autorización afirmativa, incluyendo las comunicaciones comerciales y la personalización comercial reguladas en el apartado 8.

9.2. Consentimiento expreso

ASN solicitará consentimiento expreso cuando:

a) trate Datos financieros o patrimoniales y éste resulte legalmente necesario;

b) una funcionalidad implique una decisión afirmativa de la persona;

c) se autoricen cargos recurrentes;

d) se active una finalidad secundaria que ASN haya sometido a autorización separada;

e) se autorice el uso publicitario de imagen, voz o testimonio;

f) se autorice una transferencia que lo requiera; o

g) la Legislación Aplicable así lo establezca.

El consentimiento expreso podrá recabarse mediante:

a) casilla no seleccionada previamente;

b) botón de aceptación;

c) configuración afirmativa;

d) firma autógrafa;

e) firma electrónica;

f) correo electrónico;

g) confirmación dentro de CETB; o

h) cualquier otro mecanismo que permita acreditar la voluntad.

9.3. Datos Personales Sensibles

ASN deberá obtener consentimiento expreso y por escrito antes de tratar Datos Personales Sensibles cuando la Legislación Aplicable lo requiera.

El consentimiento podrá recabarse mediante:

a) firma autógrafa;

b) firma electrónica;

c) mecanismo de autenticación; o

d) cualquier otro medio jurídicamente válido que permita acreditar la voluntad de la persona titular.

ASN no solicitará un consentimiento general para tratar cualquier Dato Personal Sensible. El mecanismo correspondiente deberá identificar la información, finalidad y tratamiento autorizado.

9.4. Consentimientos separados

ASN distinguirá, cuando corresponda, entre:

a) aceptación de los Términos y Condiciones;

b) puesta a disposición del Aviso de Privacidad;

c) consentimiento para finalidades secundarias;

d) consentimiento para Datos financieros o patrimoniales;

e) consentimiento para Datos Personales Sensibles;

f) autorización para comunicaciones comerciales;

g) autorización para personalización comercial;

h) autorización de imagen, voz o testimonio;

i) autorización para transferencias que requieran consentimiento; y

j) cualquier otra autorización específica.

La aceptación de uno de estos instrumentos no implicará automáticamente la aceptación de los demás.

9.5. Evidencia del consentimiento

ASN podrá conservar evidencia de:

a) identidad de la persona;

b) Cuenta relacionada;

c) finalidad autorizada;

d) versión del Aviso;

e) fecha y hora;

f) mecanismo utilizado;

g) respuesta otorgada;

h) alcance del consentimiento;

i) modificaciones posteriores;

j) revocación;

k) oposición; y

l) cualquier otro elemento necesario para acreditar la decisión.

9.6. Revocación del consentimiento

La persona titular podrá revocar su consentimiento en cualquier momento mediante los mecanismos establecidos en este Aviso.

La revocación:

a) no tendrá efectos retroactivos;

b) no invalidará tratamientos efectuados lícitamente con anterioridad;

c) no impedirá tratamientos necesarios para cumplir obligaciones legales o contractuales;

d) no impedirá conservar información necesaria para ejercer o defender derechos; y

e) producirá efectos respecto de los tratamientos que dependan del consentimiento revocado.

ASN informará cuando no resulte posible atender totalmente una revocación debido a la existencia de una obligación jurídica o de otra causa válida de conservación.

9.7. Cambio de finalidad

Cuando ASN pretenda utilizar Datos Personales para una finalidad nueva que no resulte compatible con las informadas:

a) actualizará el presente Aviso;

b) informará la nueva finalidad;

c) identificará los Datos involucrados;

d) explicará las consecuencias del tratamiento;

e) pondrá a disposición los mecanismos de oposición correspondientes; y

f) obtendrá un nuevo consentimiento cuando resulte legalmente necesario.

ASN no aplicará retroactivamente una autorización nueva a Datos obtenidos bajo condiciones que prohibían expresamente dicha utilización.

9.8. Personas menores de edad

Las Cuentas CETB para Negocios Participantes están dirigidas a personas mayores de edad con capacidad jurídica suficiente o a personas que actúen válidamente en representación de un Negocio.

ASN no tiene como finalidad recabar directamente Datos Personales de personas menores de edad para crear o administrar una Cuenta empresarial.

Cuando un Negocio Participante incorpore Datos de una persona menor de edad mediante una herramienta empresarial, será responsable de contar con:

a) un fundamento jurídico válido;

b) la autorización de quien ejerza patria potestad o tutela cuando resulte necesaria;

c) un Aviso de Privacidad adecuado; y

d) medidas de protección acordes con el interés superior de la persona menor.

Si ASN identifica que recibió directamente Datos de una persona menor sin una causa válida, podrá limitar el tratamiento, solicitar su corrección o eliminarlos conforme a la Legislación Aplicable.

10. Tratamiento de Datos Personales mediante Exebia CETB

Exebia CETB es una funcionalidad de inteligencia artificial integrada a CETB que puede ayudar a los Negocios Participantes y a sus Usuarios Autorizados a consultar información, analizar Datos, generar contenidos, recibir recomendaciones, ejecutar herramientas y realizar determinadas acciones conforme a las funcionalidades habilitadas.

La utilización de Exebia CETB puede implicar el tratamiento de Datos Personales contenidos en:

a) Prompts o Consultas;

b) Resultados;

c) respuestas posteriores;

d) archivos o documentos proporcionados;

e) fuentes de información autorizadas;

f) Datos almacenados en módulos de CETB;

g) historial de conversaciones;

h) acciones solicitadas o ejecutadas;

i) confirmaciones realizadas por el Usuario; y

j) registros técnicos relacionados con la interacción.

La calidad jurídica de ASN respecto de dichos Datos dependerá de su origen, finalidad y utilización efectiva.

ASN podrá actuar:

a) como Responsable respecto de los Datos necesarios para operar, proteger, administrar, facturar y mantener Exebia CETB; y

b) como Persona Encargada cuando procese Datos Personales Encomendados por cuenta y bajo las instrucciones del Negocio Participante.

10.1. Información procesada por Exebia CETB

Exebia CETB podrá procesar:

a) texto introducido por el Usuario;

b) preguntas e instrucciones;

c) archivos adjuntos;

d) documentos seleccionados;

e) información contenida en módulos autorizados;

f) Datos relacionados con ventas, inventarios, productos, clientes, operaciones o reportes, cuando el Usuario cuente con permisos suficientes;

g) contexto de conversaciones anteriores conservadas;

h) Resultados generados;

i) herramientas utilizadas;

j) acciones solicitadas;

k) confirmaciones o cancelaciones;

l) fecha y hora;

m) identificadores de Cuenta, Negocio, Usuario, rol y Sucursal;

n) Modelo o configuración utilizada;

o) consumo de tokens, créditos o unidades técnicas;

p) latencia;

q) errores;

r) registros de seguridad; y

s) demás información necesaria para proporcionar y documentar la interacción.

La disponibilidad técnica de información dentro de CETB no significa que todo Usuario pueda consultarla mediante Exebia CETB. El acceso deberá sujetarse a los roles, permisos, módulos y configuraciones de la Cuenta.

10.2. Finalidades de Exebia CETB

ASN podrá tratar información mediante Exebia CETB para:

a) interpretar la solicitud del Usuario;

b) generar la respuesta o Resultado solicitado;

c) consultar fuentes de información autorizadas;

d) conservar el contexto de una conversación;

e) proporcionar el historial;

f) ejecutar herramientas habilitadas;

g) realizar acciones solicitadas y autorizadas;

h) solicitar confirmación humana;

i) registrar las acciones realizadas;

j) mantener trazabilidad;

k) calcular consumo;

l) administrar límites de uso;

m) detectar y corregir errores;

n) atender soporte;

o) investigar incidentes;

p) prevenir fraude, abuso o uso no autorizado;

q) mejorar instrucciones y configuraciones internas;

r) mejorar mecanismos de consulta y recuperación de información;

s) actualizar fuentes de conocimiento autorizadas;

t) reforzar controles de seguridad; y

u) mejorar el funcionamiento de la herramienta sin entrenar Modelos generales con las conversaciones.

10.3. Responsabilidad del Negocio sobre la información proporcionada

El Negocio Participante y sus Usuarios Autorizados deberán evitar introducir en Exebia CETB:

a) Datos Personales que no resulten necesarios;

b) Datos Personales Sensibles sin causa legítima;

c) contraseñas;

d) claves bancarias;

e) códigos de seguridad;

f) secretos de autenticación;

g) información obtenida ilícitamente;

h) información respecto de la cual carezcan de autorización;

i) contenido que infrinja derechos de terceros; o

j) información cuya utilización esté prohibida por una obligación legal o contractual.

El Negocio Participante será responsable de contar con un fundamento jurídico válido para utilizar mediante Exebia CETB los Datos Personales que haya recabado de sus clientes, empleados, proveedores, colaboradores o terceros.

La existencia de un campo para escribir, adjuntar archivos o seleccionar fuentes no significa que ASN solicite cualquier información que pueda incorporarse mediante dichos mecanismos.

10.4. Acceso a información almacenada en CETB

Exebia CETB únicamente deberá acceder a la información que resulte compatible con:

a) la Cuenta correspondiente;

b) el Negocio Participante;

c) la Sucursal;

d) el rol del Usuario;

e) los permisos asignados;

f) los módulos habilitados;

g) la funcionalidad solicitada; y

h) las configuraciones de seguridad aplicables.

ASN aplicará medidas destinadas a evitar que Exebia CETB revele a un Negocio Participante información identificable de otro Negocio.

Cuando un Usuario no cuente con permisos suficientes, Exebia CETB podrá rechazar la solicitud, limitar el Resultado o requerir autorización adicional.

10.5. Revisión humana limitada

Personal autorizado de ASN o de sus proveedores podrá acceder de manera limitada a determinadas interacciones cuando resulte necesario para:

a) atender una solicitud de soporte;

b) investigar una respuesta incorrecta;

c) diagnosticar un error;

d) resolver un incidente;

e) investigar una posible vulneración de seguridad;

f) prevenir fraude o abuso;

g) atender el ejercicio de un derecho;

h) cumplir una obligación legal; o

i) ejercer o defender derechos.

El acceso deberá:

a) responder a una finalidad determinada;

b) limitarse a la información necesaria;

c) sujetarse a controles de acceso;

d) quedar protegido por obligaciones de confidencialidad;

e) mantenerse durante el periodo estrictamente necesario; y

f) respetar las reglas de conservación establecidas en este Aviso.

La utilización de Exebia CETB no implica que las conversaciones sean revisadas ordinariamente por personas.

10.6. Conservación del historial de Exebia CETB

ASN conservará ordinariamente los Prompts, Consultas, Resultados, respuestas y demás contenido completo del historial de Exebia CETB durante un plazo máximo de seis (6) meses contado a partir de la creación de cada interacción.

El plazo se calculará individualmente respecto de cada Prompt, Resultado o interacción. La realización de nuevas consultas o la continuación de una conversación no reiniciará el plazo correspondiente a interacciones anteriores.

Durante ese periodo, el historial podrá utilizarse para:

a) mantener continuidad;

b) proporcionar las funcionalidades solicitadas;

c) conservar trazabilidad;

d) atender soporte;

e) investigar errores o incidentes;

f) prevenir abuso, fraude o uso no autorizado; y

g) cumplir obligaciones jurídicas.

Al concluir el plazo, el contenido completo deberá:

a) eliminarse de los sistemas activos; o

b) transformarse mediante un proceso de disociación o agregación que impida razonablemente identificar a una persona, Negocio Participante o conversación específica y que no permita reconstruir su contenido original.

10.7. Eliminación anticipada del historial

La persona titular o el Usuario con facultades suficientes podrá solicitar la eliminación del historial antes de que concluya el plazo ordinario mediante:

a) la funcionalidad habilitada dentro de CETB;

b) una solicitud enviada a privacidad@cetb.mx; o

c) cualquier otro mecanismo indicado por ASN.

ASN atenderá la solicitud considerando:

a) identidad y facultades de la persona solicitante;

b) calidad de ASN como Responsable o Persona Encargada;

c) instrucciones del Negocio Participante;

d) obligaciones jurídicas de conservación;

e) seguridad;

f) derechos de terceros;

g) controversias existentes; y

h) prevención de fraude.

Cuando ASN actúe como Persona Encargada, podrá remitir la solicitud al Negocio Participante que tenga la calidad de Responsable o requerir sus instrucciones.

10.8. Respaldos de las conversaciones

La infraestructura utilizada para almacenar archivos o información de Exebia CETB podrá contar con mecanismos nativos de redundancia y disponibilidad entre distintas zonas de infraestructura.

La redundancia nativa de Amazon S3 no constituye un respaldo independiente, una copia histórica ni un sistema de versionado. Actualmente no se generan respaldos adicionales o programados de los objetos almacenados en Amazon S3 y no se encuentra habilitado el versionado general de dichos objetos.

La eliminación de información de los sistemas activos deberá ejecutarse conforme a los plazos establecidos en este Aviso y a las instrucciones aplicables. Una vez eliminado un objeto de Amazon S3, éste no deberá restaurarse desde un respaldo independiente, debido a que ASN no mantiene dicho respaldo.

Cuando determinada información deba conservarse por una obligación legal, requerimiento de autoridad, controversia, incidente de seguridad, prevención de fraude o defensa de derechos, se mantendrá con acceso restringido y no podrá utilizarse para finalidades incompatibles.

10.9. Métricas técnicas de Exebia CETB

ASN podrá conservar separadamente métricas relacionadas con:

a) fecha y hora;

b) latencia;

c) consumo de tokens, créditos o unidades técnicas;

d) Modelo utilizado;

e) herramienta ejecutada;

f) estado de la solicitud;

g) duración del procesamiento;

h) códigos de error;

i) confirmaciones o cancelaciones;

j) identificadores técnicos; y

k) desempeño general.

Cuando una métrica contenga texto de un Prompt o Resultado, Datos Personales, información identificable del Negocio, Contenido Confidencial o elementos que permitan reconstruir una conversación, deberá sujetarse al plazo máximo de seis (6) meses.

Las métricas podrán conservarse durante un plazo mayor cuando:

a) no contengan el contenido de las conversaciones;

b) se encuentren suficientemente minimizadas, agregadas o disociadas;

c) no permitan identificar razonablemente a una persona;

d) no permitan reconstruir una conversación;

e) no revelen Información Confidencial individualizable; y

f) sean necesarias para seguridad, facturación, capacidad, costos, análisis o mejora técnica.

10.10. Prohibición de entrenamiento con conversaciones

ASN no utilizará los Prompts, Consultas, Resultados, archivos, documentos, historiales ni demás contenido de las conversaciones de Exebia CETB para:

a) entrenar Modelos generales;

b) realizar fine-tuning de Modelos generales;

c) crear conjuntos generales de entrenamiento;

d) desarrollar Modelos destinados a otros Negocios Participantes o terceros;

e) permitir que otros Negocios accedan a información identificable; o

f) permitir que proveedores tecnológicos utilicen dicho contenido para entrenar Modelos para sus propias finalidades.

No se considerarán entrenamiento o fine-tuning:

a) el procesamiento temporal necesario para generar una respuesta;

b) la consulta de fuentes autorizadas;

c) la ejecución de una funcionalidad solicitada;

d) la aplicación de permisos y controles de seguridad;

e) la investigación controlada de errores o incidentes;

f) la mejora de instrucciones, configuraciones o mecanismos de consulta; ni

g) la generación de métricas técnicas separadas,

siempre que estas actividades no modifiquen los parámetros de un Modelo general utilizando el contenido de las conversaciones.

Cualquier cambio futuro que pretenda autorizar entrenamiento o fine-tuning mediante conversaciones deberá:

a) considerarse una modificación material;

b) comunicarse previamente;

c) identificar la información que sería utilizada;

d) explicar la finalidad;

e) identificar quién realizaría el entrenamiento;

f) solicitar consentimiento específico, informado y separado cuando resulte necesario; y

g) permitir que la persona titular y el Negocio Participante rechacen dicha utilización.

Las conversaciones obtenidas mientras se encuentre vigente esta prohibición no podrán utilizarse retroactivamente para entrenamiento sin una autorización específica que comprenda expresamente dicha utilización.

10.11. Resultados y decisiones

Los Resultados de Exebia CETB pueden generarse mediante sistemas probabilísticos y podrán contener errores, imprecisiones o información incompleta.

La persona usuaria deberá revisar los Resultados antes de utilizarlos para adoptar decisiones o ejecutar acciones.

Exebia CETB no sustituye asesoría jurídica, fiscal, contable, financiera, médica, laboral ni cualquier otro servicio profesional especializado.

ASN podrá requerir confirmación humana antes de ejecutar acciones que puedan:

a) modificar información relevante;

b) eliminar Datos;

c) generar consecuencias económicas;

d) enviar información a terceros;

e) afectar permisos;

f) modificar configuraciones; o

g) producir consecuencias de difícil reversión.

ASN no utilizará Exebia CETB para adoptar por cuenta propia decisiones exclusivamente automatizadas que produzcan efectos jurídicos o afecten significativamente a una persona, salvo que:

a) la funcionalidad se encuentre expresamente habilitada;

b) exista un fundamento jurídico válido;

c) la persona haya sido informada;

d) se cuente con el consentimiento cuando resulte necesario;

e) existan mecanismos de revisión o intervención humana; y

f) se respeten los derechos correspondientes.

11. Identificadores, registros técnicos y tecnologías de la aplicación

ASN podrá utilizar identificadores, registros técnicos y tecnologías integradas a CETB para operar, mantener, asegurar y mejorar los Servicios.

11.1. Eventos de utilización

ASN podrá registrar eventos limitados relacionados con la utilización de CETB, incluyendo:

a) identificador interno del Usuario;

b) identificador del Negocio Participante, tenant o Cuenta;

c) módulo utilizado;

d) tipo de evento;

e) fecha y hora; y

f) identificador del cupón, producto o funcionalidad relacionada.

Mediante Cloud Firestore, ASN mantiene las colecciones denominadas “redeems” y “sessions”.

La colección “redeems” registra eventos relacionados con la redención de cupones. La colección “sessions” permite vincular temporalmente una sesión de computadora con un dispositivo móvil y sus registros se eliminan automáticamente, mediante un proceso programático, cuando la sesión se desvincula.

En estas colecciones no se almacenan nombres, correos electrónicos, números telefónicos, ubicación, direcciones IP, domicilios ni contenido de compras.

Los eventos se utilizarán únicamente para:

a) operar la funcionalidad correspondiente;

b) mantener trazabilidad;

c) acreditar la redención de cupones;

d) vincular y desvincular sesiones;

e) investigar errores o incidentes;

f) prevenir fraude o utilización no autorizada; y

g) generar información operativa autorizada.

ASN no utilizará estos eventos para publicidad comportamental ni los exportará automáticamente a Google Analytics, BigQuery u otros servicios de analítica.

11.2. Registros de monitoreo y seguridad

ASN podrá generar registros relacionados con:

a) disponibilidad;

b) rendimiento;

c) errores;

d) accesos;

e) intentos fallidos;

f) solicitudes técnicas;

g) vulnerabilidades;

h) actividad inusual;

i) bloqueos;

j) incidentes;

k) cambios de permisos;

l) dispositivos y sesiones; y

m) acciones administrativas.

Los registros técnicos y de monitoreo se conservarán ordinariamente durante un plazo máximo de seis (6) meses.

Determinados registros podrán conservarse durante un plazo mayor cuando resulten necesarios para:

a) acreditar una operación;

b) conservar evidencia contractual;

c) cumplir una obligación legal;

d) atender una controversia;

e) investigar un incidente;

f) prevenir fraude; o

g) ejercer o defender derechos.

En estos casos, ASN deberá conservar únicamente los elementos necesarios, restringir su acceso y eliminarlos cuando desaparezca la causa aplicable.

11.3. Evidencia contractual y registros mercantiles

Los registros relacionados con:

a) contratación;

b) Aceptación Electrónica;

c) versiones contractuales;

d) autorizaciones;

e) pagos;

f) facturación;

g) modificaciones;

h) cancelaciones;

i) notificaciones jurídicas; o

j) actos que generen derechos u obligaciones,

podrán conservarse durante el plazo legal aplicable y, tratándose de documentación o mensajes de datos de naturaleza mercantil, durante un mínimo de diez (10) años.

La conservación de estos registros se distinguirá de los registros técnicos ordinarios de seis meses.

11.4. Identificadores para notificaciones

CETB utiliza Firebase Cloud Messaging para enviar exclusivamente notificaciones push relacionadas con cupones y promociones.

Para esta finalidad, ASN podrá tratar:

a) el token de Firebase Cloud Messaging correspondiente a la instalación o dispositivo;

b) identificador del cupón;

c) descripción del cupón;

d) imagen relacionada con el cupón; y

e) información técnica necesaria para entregar la notificación.

El contenido o payload enviado mediante Firebase Cloud Messaging no incluirá nombres, correos electrónicos, números telefónicos, domicilios ni otros Datos Personales directamente identificativos.

Los tokens de Firebase Cloud Messaging se almacenarán en MongoDB Atlas mientras la Cuenta permanezca activa y la persona mantenga habilitadas las notificaciones.

Cuando la persona desactive los permisos de notificaciones, ASN dejará de utilizar el token para enviar comunicaciones push. Los tokens inválidos, vencidos o no registrados serán eliminados automáticamente de MongoDB. El token también será eliminado cuando se elimine la Cuenta correspondiente.

La persona podrá administrar los permisos de notificaciones desde la configuración del sistema operativo o dispositivo y, cuando se encuentre disponible, desde la aplicación o configuración de la Cuenta.

11.5. Ubicación del dispositivo

Cuando una funcionalidad lo requiera, CETB podrá solicitar acceso momentáneo a la ubicación aproximada o precisa del dispositivo para:

a) mostrar establecimientos cercanos;

b) ubicar una Sucursal;

c) calcular proximidad;

d) apoyar una entrega;

e) validar una operación que requiera ubicación; o

f) proporcionar otra funcionalidad solicitada.

El acceso dependerá de la autorización otorgada mediante el dispositivo.

La ubicación momentánea no se conservará de forma permanente, salvo cuando:

a) la persona decida guardar una dirección;

b) se incorpore a un pedido o entrega;

c) resulte necesaria como evidencia de una operación;

d) exista una necesidad de seguridad o prevención de fraude; o

e) se informe otra finalidad legítima y se obtenga el consentimiento correspondiente.

La persona podrá retirar el permiso de ubicación desde la configuración de su dispositivo. La desactivación podrá impedir el funcionamiento de características que dependan objetivamente de la ubicación.

11.6. Separación entre registros operativos y publicidad

ASN no utilizará automáticamente los registros técnicos, identificadores de seguridad, conversaciones de Exebia CETB o Datos Encomendados por el Negocio para publicidad personalizada.

Cualquier utilización de Datos Personales para personalización comercial deberá:

a) encontrarse prevista en las finalidades secundarias;

b) ser claramente informada;

c) excluir información sensible o confidencial;

d) respetar las preferencias de la persona; y

e) contar con consentimiento específico cuando resulte necesario.

12. Cookies y tecnologías similares

CETB podrá utilizar cookies y tecnologías similares en sitios web, aplicaciones, paneles e interfaces digitales.

Estas tecnologías pueden comprender:

a) cookies;

b) almacenamiento local;

c) identificadores de sesión;

d) píxeles o etiquetas;

e) identificadores de aplicación o instalación;

f) kits de desarrollo de software;

g) tokens;

h) tecnologías de autenticación; y

i) mecanismos equivalentes.

12.1. Tecnologías estrictamente necesarias

ASN podrá utilizar tecnologías necesarias para:

a) permitir el inicio de sesión;

b) mantener una sesión activa;

c) autenticar al Usuario;

d) recordar configuraciones esenciales;

e) administrar seguridad;

f) distribuir tráfico;

g) prevenir fraude;

h) proteger formularios;

i) mantener continuidad;

j) registrar decisiones de privacidad; y

k) proporcionar funcionalidades solicitadas.

Estas tecnologías podrán operar sin consentimiento adicional cuando resulten estrictamente necesarias para proporcionar el Servicio solicitado o mantener su seguridad.

Su desactivación podrá impedir el acceso o funcionamiento de determinadas características.

12.2. Tecnologías de preferencias y funcionalidad

Conforme a la configuración elegida, ASN podrá utilizar tecnologías para:

a) recordar idioma;

b) conservar preferencias de visualización;

c) recordar configuraciones no esenciales;

d) personalizar la interfaz;

e) mantener selecciones; y

f) facilitar el uso posterior de la Plataforma.

Cuando estas tecnologías no resulten indispensables, la persona podrá rechazarlas o desactivarlas.

12.3. Tecnologías de medición y analítica

ASN podrá utilizar tecnologías de medición para:

a) conocer la utilización general del sitio o aplicación;

b) identificar errores;

c) medir rendimiento;

d) evaluar navegación;

e) conocer módulos consultados;

f) mejorar interfaces;

g) analizar adopción; y

h) elaborar estadísticas.

Cuando estas tecnologías permitan identificar o dar seguimiento a una persona y no resulten necesarias para proporcionar el Servicio, ASN solicitará el consentimiento correspondiente antes de activarlas.

Siempre que sea razonablemente posible, ASN utilizará información agregada, minimizada o disociada.

12.4. Tecnologías publicitarias

ASN no utilizará tecnologías publicitarias para seguimiento personalizado sin informar previamente:

a) su finalidad;

b) los Datos recopilados;

c) los terceros participantes;

d) la duración;

e) los mecanismos de rechazo; y

f) cualquier transferencia o tratamiento relevante.

Cuando resulte necesario, estas tecnologías permanecerán desactivadas hasta que la persona otorgue su consentimiento.

La negativa a tecnologías publicitarias no impedirá utilizar las funcionalidades esenciales de CETB.

12.5. Administración de preferencias

La persona podrá administrar las tecnologías no necesarias mediante:

a) el panel de preferencias de privacidad;

b) la configuración de la Cuenta;

c) la configuración de la aplicación;

d) el navegador;

e) el sistema operativo del dispositivo; o

f) una solicitud enviada a privacidad@cetb.mx.

La eliminación o bloqueo de determinadas tecnologías puede ocasionar que algunas preferencias se pierdan o que ciertas funcionalidades no operen correctamente.

12.6. Tecnologías de terceros

Determinadas tecnologías podrán ser proporcionadas por proveedores de:

a) infraestructura;

b) autenticación;

c) seguridad;

d) comunicaciones;

e) pagos;

f) mapas;

g) soporte;

h) inteligencia artificial; o

i) analítica autorizada.

ASN deberá procurar que los proveedores que traten Datos por su cuenta queden sujetos a condiciones de privacidad, confidencialidad, seguridad, conservación y eliminación compatibles con este Aviso.

Cuando un tercero determine sus propias finalidades, ASN informará su identidad o categoría, la función que desempeña y los mecanismos correspondientes mediante este Aviso, un listado de proveedores, la interfaz aplicable o documentación complementaria.

12.7. Información sobre las tecnologías utilizadas

ASN mantendrá información razonablemente actualizada sobre las tecnologías no necesarias que se encuentren efectivamente habilitadas, incluyendo:

a) nombre o proveedor;

b) finalidad;

c) tipo de información recopilada;

d) duración;

e) carácter propio o de tercero;

f) necesidad de consentimiento; y

g) mecanismo de desactivación.

La simple mención de una tecnología en este Aviso no significa que se encuentre activa en todos los sitios, aplicaciones, Cuentas, dispositivos o funcionalidades de CETB.

13. Transferencias de Datos Personales

Para efectos del presente Aviso, se entenderá por transferencia la comunicación de Datos Personales a una persona distinta de:

a) la persona titular;

b) ASN, cuando actúe como Responsable; o

c) una Persona Encargada que trate los Datos por cuenta y bajo las instrucciones de ASN.

La utilización de proveedores tecnológicos que actúen únicamente como Personas Encargadas no constituirá una transferencia en los términos anteriores, siempre que dichos proveedores:

a) traten los Datos por cuenta de ASN;

b) actúen conforme a instrucciones documentadas;

c) no determinen finalidades propias incompatibles;

d) se encuentren sujetos a obligaciones de confidencialidad y seguridad; y

e) cumplan las demás condiciones aplicables a su intervención.

ASN podrá realizar transferencias nacionales o internacionales únicamente cuando:

a) exista un fundamento jurídico válido;

b) resulten necesarias para una finalidad informada;

c) se comuniquen al tercero receptor las condiciones y finalidades aplicables;

d) se obtenga el consentimiento cuando sea legalmente necesario; y

e) se adopten medidas razonables para proteger los Datos Personales.

13.1. Transferencias al Negocio Participante

ASN podrá comunicar determinados Datos Personales al Negocio Participante con el que la persona mantenga una relación, incluyendo a su Titular de Cuenta o Administradores autorizados, para:

a) registrar y administrar Usuarios Autorizados;

b) verificar la relación de la persona con el Negocio;

c) asignar o retirar roles y permisos;

d) administrar accesos;

e) investigar incidentes;

f) atender solicitudes de soporte;

g) mantener seguridad;

h) administrar Sucursales;

i) acreditar acciones realizadas mediante la Cuenta;

j) cumplir obligaciones derivadas de la relación; y

k) ejercer o defender derechos.

El Negocio Participante únicamente deberá acceder a los Datos de las personas vinculadas con su propia Cuenta y será responsable del tratamiento que realice para sus propias finalidades.

ASN podrá informar a la persona sobre esta comunicación durante el registro, incorporación a una Cuenta o asignación de permisos.

13.2. Transferencias a autoridades

ASN podrá transferir Datos Personales a autoridades administrativas, fiscales, judiciales, regulatorias, ministeriales o de cualquier otra naturaleza cuando:

a) exista una disposición jurídica aplicable;

b) se reciba una orden, mandato o requerimiento fundado;

c) resulte necesario para cumplir obligaciones;

d) sea necesario para denunciar o investigar una posible conducta ilícita;

e) resulte necesario para proteger derechos de ASN, de las personas titulares o de terceros;

f) sea necesario para atender un procedimiento; o

g) se actualice cualquier otro supuesto permitido por la Legislación Aplicable.

ASN procurará verificar la competencia y fundamento del requerimiento y limitará la transferencia a la información necesaria.

Cuando resulte jurídicamente permitido y no se comprometa una investigación, medida de seguridad o prohibición legal, ASN podrá informar a la persona titular o al Negocio Participante sobre el requerimiento correspondiente.

13.3. Transferencias para Servicios Integrados

Cuando el Negocio Participante o un Usuario Autorizado solicite la activación o utilización de un servicio de pago o Servicio Integrado, ASN podrá comunicar al proveedor correspondiente únicamente los Datos necesarios para:

a) crear o vincular una cuenta;

b) identificar al Negocio Participante o Usuario;

c) verificar requisitos;

d) iniciar, autorizar o ejecutar una operación;

e) procesar pagos, suscripciones, compras de Monedas CETB, recargas o pagos de servicios;

f) confirmar el estado de la operación;

g) emitir comprobantes;

h) conciliar operaciones;

i) atender aclaraciones;

j) procesar cancelaciones, reembolsos, reversos, contracargos o disputas;

k) prevenir fraude; y

l) cumplir obligaciones jurídicas.

En el caso de Stripe, ASN podrá comunicar y recibir los Datos descritos en los apartados 5.6 y 7.3. Stripe recabará directamente los datos completos del instrumento de pago y ASN no conservará dichos datos completos.

Cuando el proveedor trate Datos Personales por cuenta y bajo las instrucciones de ASN, la comunicación tendrá el carácter de remisión a una Persona Encargada. Cuando el proveedor determine finalidades y medios propios, podrá actuar como Responsable independiente y la comunicación se sujetará a las reglas aplicables a las transferencias.

Antes de habilitar el servicio, ASN deberá informar razonablemente:

a) la identidad o denominación comercial del proveedor;

b) la función que desempeña;

c) las categorías de Datos involucradas;

d) la finalidad de la comunicación;

e) la calidad jurídica con la que interviene;

f) las condiciones particulares aplicables; y

g) si se requiere consentimiento de la Persona Titular.

La utilización de CETB como canal tecnológico no convierte automáticamente a ASN en responsable de todos los tratamientos realizados por el proveedor externo.

13.4. Transferencias a asesores y prestadores profesionales

ASN podrá comunicar Datos Personales a asesores jurídicos, fiscales, contables, auditores, peritos, aseguradoras u otros profesionales cuando resulte necesario para:

a) obtener asesoría;

b) cumplir obligaciones;

c) realizar auditorías;

d) atender reclamaciones;

e) gestionar seguros;

f) investigar incidentes;

g) ejercer o defender derechos;

h) atender procedimientos; o

i) proteger intereses jurídicamente reconocidos.

La comunicación deberá limitarse a la información necesaria y los receptores deberán quedar sujetos a obligaciones legales, profesionales o contractuales de confidencialidad.

13.5. Transferencias corporativas

ASN podrá transferir Datos Personales como consecuencia de:

a) una fusión;

b) una escisión;

c) una transformación;

d) una adquisición;

e) una reorganización corporativa;

f) una venta o transferencia de activos;

g) una transmisión de una línea de negocio;

h) una inversión que implique revisión legal o técnica;

i) un cambio de control; o

j) cualquier operación corporativa equivalente.

Antes de concluir la operación, ASN deberá limitar el acceso a la información necesaria para evaluar o ejecutar la transacción y procurar que los posibles adquirentes, inversionistas o asesores queden sujetos a obligaciones de confidencialidad.

Cuando la operación implique un cambio en la identidad del Responsable, ASN o la entidad sucesora deberá:

a) comunicar el cambio cuando resulte necesario;

b) actualizar el Aviso de Privacidad;

c) respetar las finalidades previamente informadas;

d) mantener medidas de seguridad;

e) atender los derechos de las personas titulares; y

f) obtener un nuevo consentimiento cuando se pretenda realizar una finalidad incompatible o cuando resulte jurídicamente necesario.

13.6. Transferencias a aliados comerciales

ASN no transferirá Datos Personales a aliados comerciales para que éstos realicen publicidad, prospección o marketing propio sin:

a) informar previamente la identidad o categoría del receptor;

b) identificar los Datos que serán transferidos;

c) explicar la finalidad;

d) proporcionar mecanismos de negativa; y

e) obtener el consentimiento cuando resulte necesario.

La participación del Negocio en una alianza, beneficio o programa no implicará automáticamente autorización para que el aliado utilice los Datos Personales de sus representantes, empleados o Usuarios con finalidades propias.

13.7. Transferencias que no requieren consentimiento

ASN podrá realizar transferencias sin solicitar un consentimiento adicional cuando se actualice alguno de los supuestos permitidos por la Legislación Aplicable, incluyendo, según corresponda, cuando:

a) la transferencia esté prevista en una disposición jurídica o tratado aplicable;

b) sea necesaria para cumplir obligaciones derivadas de una relación jurídica entre la persona titular y ASN;

c) sea necesaria para el reconocimiento, ejercicio o defensa de un derecho en un proceso;

d) sea necesaria para atender un requerimiento fundado de autoridad competente;

e) sea necesaria para la prevención o atención de una emergencia que pueda afectar a una persona o sus bienes;

f) se realice entre sociedades controladoras, subsidiarias, afiliadas o integrantes de un mismo grupo, cuando operen bajo políticas y procesos internos comunes compatibles con la Legislación Aplicable;

g) sea necesaria para ejecutar una obligación o Servicio solicitado por la persona titular; o

h) se actualice cualquier otra excepción legalmente reconocida.

La existencia de una excepción no libera a ASN de respetar los principios de finalidad, proporcionalidad, información, seguridad y responsabilidad.

13.8. Transferencias que requieren consentimiento

Cuando una transferencia no se encuentre amparada por una excepción legal, ASN solicitará el consentimiento correspondiente antes de realizarla.

La solicitud deberá identificar o permitir conocer:

a) la persona o categoría de receptores;

b) los Datos Personales involucrados;

c) la finalidad;

d) las consecuencias principales;

e) el carácter nacional o internacional de la transferencia; y

f) los mecanismos para aceptar, rechazar o revocar el consentimiento.

La negativa a una transferencia opcional no impedirá utilizar las funcionalidades que no dependan objetivamente de ella.

Cuando una transferencia sea indispensable para proporcionar un Servicio solicitado, ASN informará las consecuencias de no autorizarla antes de activar la funcionalidad.

13.9. Condiciones para el tercero receptor

Cuando resulte aplicable, ASN comunicará al tercero receptor:

a) el Aviso de Privacidad correspondiente;

b) las finalidades autorizadas;

c) las limitaciones manifestadas por la persona titular;

d) las medidas de protección aplicables;

e) las obligaciones de confidencialidad; y

f) las condiciones bajo las cuales deberá tratar los Datos.

El tercero receptor deberá asumir las obligaciones que resulten aplicables dentro de su ámbito de actuación.

13.10. Ausencia de venta de Datos Personales

ASN no venderá, rentará ni comercializará Datos Personales identificables como una base de datos independiente.

Lo anterior no impedirá:

a) cobrar por los Servicios tecnológicos de CETB;

b) procesar información para proporcionar una funcionalidad;

c) utilizar información agregada o efectivamente disociada;

d) realizar transferencias permitidas por este Aviso y la Legislación Aplicable; ni

e) efectuar una operación corporativa conforme al apartado 13.5.

La utilización de información agregada o disociada no deberá permitir razonablemente identificar a una persona o reconstruir sus Datos originales.

14. Proveedores tecnológicos, Personas Encargadas y Subencargados

ASN podrá contratar proveedores para operar, mantener, proteger y proporcionar CETB.

Los proveedores podrán intervenir en servicios relacionados con:

a) infraestructura y alojamiento;

b) almacenamiento y bases de datos;

c) redundancia, disponibilidad y continuidad operativa;

d) autenticación y administración de identidades;

e) monitoreo y registros técnicos;

f) correo electrónico y mensajes SMS;

g) notificaciones móviles;

h) procesamiento de pagos;

i) facturación;

j) mapas y ubicación;

k) soporte;

l) inteligencia artificial y procesamiento de Exebia CETB;

m) prevención de fraude;

n) Servicios Integrados; y

o) demás capacidades necesarias para proporcionar los Servicios.

La redundancia nativa o replicación interna de un servicio de infraestructura no deberá describirse como un respaldo independiente cuando no exista una copia separada, versionada o programada de la información.

14.1. Calidad jurídica de los proveedores

La utilización de un proveedor no determina por sí sola su calidad jurídica.

La calidad del proveedor dependerá de:

a) los Datos a los que tenga acceso;

b) las operaciones que realice;

c) quién determine las finalidades;

d) las instrucciones aplicables;

e) el grado de autonomía;

f) las condiciones contractuales; y

g) el funcionamiento efectivo del servicio.

Cuando un proveedor trate Datos Personales por cuenta de ASN y conforme a sus instrucciones, tendrá la calidad de Persona Encargada.

Cuando el proveedor determine finalidades y medios propios, podrá actuar como Responsable independiente respecto de sus propios tratamientos.

Cuando ASN actúe como Persona Encargada del Negocio Participante y utilice a otro proveedor para intervenir en el tratamiento, dicho proveedor podrá actuar como Subencargado.

14.2. Obligaciones de las Personas Encargadas y Subencargados

ASN deberá procurar contractualmente que las Personas Encargadas y Subencargados queden sujetos, según corresponda, a obligaciones relacionadas con:

a) objeto y duración del tratamiento;

b) naturaleza y finalidad;

c) categorías de Datos;

d) instrucciones permitidas;

e) confidencialidad;

f) controles de acceso;

g) medidas administrativas, técnicas y físicas de seguridad;

h) comunicación de incidentes;

i) conservación, bloqueo, devolución y eliminación;

j) tratamiento de copias, redundancia y mecanismos de continuidad efectivamente utilizados;

k) procesamiento internacional;

l) participación de otros proveedores;

m) devolución, supresión o disociación de Datos al terminar el servicio;

n) prohibición de utilizar los Datos para finalidades propias incompatibles;

o) cooperación para atender derechos; y

p) cumplimiento de la Legislación Aplicable.

La intervención de una Persona Encargada o Subencargado no libera a ASN de las obligaciones que le correspondan directamente dentro de su ámbito de responsabilidad.

14.3. Proveedores tecnológicos principales

ASN podrá utilizar, entre otros, los siguientes proveedores o familias de servicios:

a) Amazon Web Services y sus entidades afiliadas

Servicios utilizados:

i. Amazon Cognito, para autenticación y administración de identidades;

ii. AWS Lambda, para ejecutar componentes de la aplicación;

iii. Amazon Simple Email Service y Amazon Simple Notification Service, para correos electrónicos y mensajes;

iv. Amazon S3, para almacenar archivos y objetos;

v. Amazon CloudWatch, para monitoreo y registros técnicos; y

vi. Amazon Bedrock, incluyendo modelos Nova Micro, Nova Lite o Nova Pro, para funcionalidades de Exebia CETB.

Categorías generales de Datos:

i. identificadores de Cuenta, Negocio y Usuario;

ii. Datos técnicos y registros operativos;

iii. comunicaciones;

iv. archivos y objetos almacenados mediante las funcionalidades correspondientes;

v. Prompts, Resultados e información procesada mediante Exebia CETB; y

vi. demás información necesaria para proporcionar el servicio solicitado.

La infraestructura de Amazon S3 se encuentra configurada en la región us-east-1, ubicada en Virginia del Norte, Estados Unidos.

Los objetos almacenados en Amazon S3 cuentan con redundancia nativa entre zonas de disponibilidad. ASN no mantiene respaldos independientes o programados ni versionado general de estos objetos y actualmente no tiene configuradas reglas generales de ciclo de vida para su eliminación automática.

b) MongoDB, Inc. y sus entidades afiliadas

Finalidades generales:

i. almacenamiento y administración de bases de datos;

ii. disponibilidad y continuidad operativa;

iii. almacenamiento de información de Cuenta y Datos operativos;

iv. almacenamiento de tokens de Firebase Cloud Messaging; y

v. administración de configuraciones e identificadores.

Ubicación general del procesamiento: infraestructura alojada actualmente en la región de Virginia del Norte, Estados Unidos.

c) Google LLC y sus entidades afiliadas

ASN utiliza exclusivamente los siguientes servicios de Firebase:

i. Cloud Firestore, para registrar eventos de redención de cupones y vinculación de sesiones; y

ii. Firebase Cloud Messaging, para enviar notificaciones push de cupones y promociones.

Cloud Firestore podrá tratar:

i. identificador interno del Usuario;

ii. identificador del Negocio o tenant;

iii. módulo utilizado;

iv. tipo de evento;

v. fecha y hora; y

vi. identificador del cupón o producto relacionado.

Firebase Cloud Messaging podrá tratar el token del dispositivo o instalación y un payload integrado por el identificador, descripción e imagen del cupón.

ASN no utiliza actualmente Firebase Authentication, Cloud Functions, Cloud Storage, Performance Monitoring, Remote Config, App Check, Firebase In-App Messaging, Google Analytics para Firebase, BigQuery ni Crashlytics.

La base de datos predeterminada de Firestore está configurada en la multirregión estadounidense nam5. Firestore se consume mediante su endpoint global y las solicitudes podrán transitar temporalmente por infraestructura ubicada fuera de esa multirregión durante su enrutamiento. Firebase Cloud Messaging es un servicio global y no permite seleccionar una región específica.

d) Stripe y sus entidades afiliadas

Cuando la integración sea habilitada, Stripe podrá intervenir para:

i. procesar pagos de suscripciones a los Servicios;

ii. procesar pagos relacionados con Monedas CETB;

iii. procesar las demás operaciones que sean habilitadas;

iv. autenticar y autorizar pagos;

v. prevenir fraude;

vi. realizar conciliaciones;

vii. procesar reembolsos, contracargos y disputas; y

viii. cumplir obligaciones jurídicas.

Stripe recabará directamente los datos completos del instrumento de pago. ASN recibirá únicamente los identificadores, importes, estados, referencias, datos parciales del método de pago y demás información descrita en el apartado 5.6.

La integración con Stripe se encuentra en etapa de pruebas y actualmente no utiliza Stripe Connect.

e) Quom, PagaAquí o el proveedor habilitado para Operaciones Integradas

Finalidades generales:

i. ejecutar recargas, pagos de servicios u otras Operaciones Integradas;

ii. verificar y administrar operaciones;

iii. realizar conciliaciones;

iv. atender aclaraciones;

v. procesar reversos o devoluciones;

vi. prevenir fraude; y

vii. cumplir obligaciones jurídicas.

Las categorías de Datos podrán incluir la identificación del Negocio Participante y Usuario, referencias, importes, fecha y hora, servicio solicitado y demás información necesaria para ejecutar o aclarar la operación.

La identidad jurídica exacta del proveedor y sus condiciones deberán informarse mediante la interfaz, contrato, listado de proveedores o documentación correspondiente antes de habilitar el servicio.

f) Proveedores de distribución de aplicaciones y sistemas operativos

El operador de la tienda de aplicaciones o del sistema operativo podrá tratar Datos conforme a sus propios términos y avisos de privacidad.

ASN podrá recibir identificadores de instalación, información sobre versión y compatibilidad, estado de descarga o actualización y demás información necesaria para operar la aplicación.

Estos proveedores podrán actuar como Responsables independientes respecto de las finalidades que determinen por cuenta propia.

14.4. Listado actualizado de proveedores

ASN mantendrá un listado razonablemente actualizado de los proveedores que intervengan materialmente en el tratamiento de Datos Personales.

El listado podrá ponerse a disposición mediante:

a) el sitio o sección de privacidad de CETB;

b) la Plataforma;

c) la aplicación;

d) el Acuerdo o Anexo de Tratamiento de Datos Personales;

e) documentación técnica o de seguridad;

f) la interfaz del Servicio Integrado; o

g) solicitud enviada a privacidad@cetb.mx.

El listado deberá identificar, cuando corresponda:

a) proveedor o categoría;

b) servicio proporcionado;

c) finalidad;

d) categorías generales de Datos;

e) calidad jurídica;

f) país o región de procesamiento; y

g) fecha de actualización.

14.5. Incorporación o sustitución de proveedores

ASN podrá incorporar, sustituir o dejar de utilizar proveedores por razones relacionadas con:

a) disponibilidad;

b) seguridad;

c) calidad;

d) cumplimiento;

e) costo;

f) continuidad;

g) capacidad;

h) evolución tecnológica; o

i) terminación de la relación con el proveedor.

Cuando el cambio no modifique materialmente las finalidades, categorías de Datos, garantías o condiciones de tratamiento, ASN podrá actualizar el listado de proveedores sin solicitar un nuevo consentimiento.

Cuando el cambio produzca una modificación material, ASN deberá:

a) actualizar el presente Aviso o la documentación correspondiente;

b) informar a las personas o al Negocio Participante cuando resulte necesario;

c) identificar las consecuencias relevantes;

d) actualizar el instrumento de tratamiento, cuando corresponda;

e) garantizar que el nuevo proveedor quede sujeto a obligaciones adecuadas; y

f) obtener consentimiento o autorización cuando resulte jurídicamente necesario.

15. Procesamiento internacional de Datos Personales

La operación de CETB puede implicar que determinados Datos Personales sean almacenados, consultados, respaldados o procesados fuera de México.

El procesamiento internacional podrá derivarse de la utilización de:

a) infraestructura en la nube;

b) bases de datos;

c) respaldos;

d) sistemas de autenticación;

e) herramientas de monitoreo;

f) servicios de comunicación;

g) notificaciones;

h) mapas y ubicación;

i) sistemas de seguridad;

j) servicios de inteligencia artificial;

k) Exebia CETB; y

l) otros proveedores tecnológicos.

15.1. Regiones de procesamiento

Los Datos Personales podrán procesarse en México, Estados Unidos y en las demás jurisdicciones en las que operen los proveedores utilizados por ASN, conforme a la configuración de cada servicio.

Actualmente:

a) Amazon S3 y determinados servicios de Amazon Web Services se encuentran configurados en la región us-east-1, Virginia del Norte, Estados Unidos;

b) MongoDB Atlas se encuentra alojado sobre infraestructura ubicada en Virginia del Norte, Estados Unidos;

c) Cloud Firestore se encuentra configurado en la multirregión estadounidense nam5;

d) las solicitudes dirigidas a Cloud Firestore utilizan el endpoint global firestore.googleapis.com y pueden transitar temporalmente por infraestructura ubicada fuera de nam5 durante su enrutamiento;

e) Firebase Cloud Messaging opera como un servicio global sin selección de región; y

f) Stripe podrá procesar información mediante su infraestructura internacional cuando la integración sea habilitada.

ASN deberá mantener razonablemente actualizada la información sobre proveedores y regiones materiales de procesamiento y actualizar este Aviso cuando ocurra un cambio que modifique sustancialmente las condiciones informadas.

15.2. Diferencia entre procesamiento internacional y transferencia

El almacenamiento o procesamiento de Datos fuera de México por una Persona Encargada o Subencargado que actúe conforme a instrucciones no constituirá automáticamente una transferencia a un tercero para finalidades propias.

Deberá distinguirse entre:

a) procesamiento internacional realizado por cuenta del Responsable; y

b) transferencia internacional a un tercero que determine finalidades propias.

Las transferencias internacionales se sujetarán a las reglas del apartado 13.

15.3. Condiciones del procesamiento internacional

ASN deberá procurar contractualmente que el procesamiento internacional realizado por Personas Encargadas o Subencargados contemple, según corresponda:

a) finalidad determinada;

b) minimización de Datos;

c) confidencialidad;

d) controles de acceso;

e) medidas de seguridad;

f) conservación, bloqueo y eliminación;

g) tratamiento de copias, redundancia y mecanismos de continuidad efectivamente utilizados;

h) comunicación de incidentes;

i) restricciones de utilización;

j) participación de Subencargados; y

k) colaboración para atender los derechos de las Personas Titulares.

La ubicación internacional de la infraestructura no autoriza a un proveedor a utilizar los Datos para finalidades propias incompatibles, venderlos, divulgarlos indebidamente ni utilizar las conversaciones de Exebia CETB para entrenar modelos generales, salvo que ASN lo informe previamente y exista una base jurídica válida.

15.4. Cambios de región

ASN podrá modificar una región de procesamiento cuando:

a) resulte necesario para mantener disponibilidad o continuidad;

b) mejore la seguridad;

c) permita cumplir obligaciones jurídicas;

d) responda a cambios del proveedor;

e) resulte necesaria para proporcionar una funcionalidad; o

f) exista otra causa legítima.

El cambio deberá:

a) mantener garantías razonables de protección;

b) actualizarse en la documentación correspondiente;

c) comunicarse cuando resulte material; y

d) sujetarse a consentimiento o autorización cuando resulte jurídicamente necesario.

15.5. Solicitud de información

La persona titular o el Negocio Participante podrá solicitar información sobre los principales proveedores y regiones de procesamiento mediante el correo privacidad@cetb.mx.

ASN proporcionará información razonablemente suficiente, sin revelar configuraciones, credenciales, medidas específicas de seguridad, secretos comerciales u otros elementos cuya divulgación pueda incrementar el riesgo para CETB, ASN, los Negocios Participantes o las personas titulares.

16. Conservación, bloqueo y eliminación de Datos Personales

ASN conservará los Datos Personales únicamente durante el periodo necesario para:

a) cumplir las finalidades informadas;

b) mantener la relación con la persona titular o el Negocio Participante;

c) proporcionar los Servicios;

d) cumplir obligaciones legales;

e) conservar evidencia contractual, fiscal, contable o de seguridad;

f) atender derechos, solicitudes o reclamaciones;

g) resolver controversias;

h) prevenir fraude o abuso; y

i) ejercer o defender derechos.

Los plazos de conservación podrán variar de acuerdo con:

a) la categoría de Datos;

b) la finalidad;

c) la calidad de ASN como Responsable o Persona Encargada;

d) la duración de la Cuenta, Plan o Servicio;

e) la existencia de obligaciones legales;

f) los plazos de prescripción;

g) la existencia de una controversia, investigación o incidente; y

h) las instrucciones válidas del Negocio Participante.

La terminación de una Cuenta o Servicio no producirá automáticamente la eliminación inmediata de todos los Datos Personales. ASN podrá conservar la información necesaria durante los plazos señalados en este Aviso.

16.1. Ciclo de vida de los Datos Personales

El tratamiento de los Datos podrá comprender las siguientes etapas:

a) recopilación;

b) registro;

c) organización;

d) utilización;

e) consulta;

f) actualización;

g) almacenamiento;

h) bloqueo;

i) disociación;

j) eliminación; y

k) destrucción o sobrescritura de copias residuales.

Cuando los Datos dejen de ser necesarios para las finalidades que justificaron su tratamiento, ASN deberá:

a) eliminarlos de los sistemas activos;

b) bloquearlos cuando deban conservarse temporalmente para atender responsabilidades;

c) devolverlos al Negocio Participante cuando ASN actúe como Persona Encargada y ello resulte procedente;

d) disociarlos cuando exista una finalidad estadística o analítica legítima; o

e) aplicar cualquier otra medida prevista en la Legislación Aplicable.

16.2. Plazo general para Datos identificables

Salvo que este Aviso establezca un plazo específico o exista una obligación jurídica diferente, ASN conservará ordinariamente los Datos Personales identificables durante la vigencia de la relación y hasta por veinticuatro (24) meses después de:

a) la terminación de la Cuenta;

b) la conclusión del Servicio correspondiente;

c) la última interacción relacionada con la finalidad para la cual fueron recabados; o

d) la fecha en que hayan dejado de ser necesarios,

según resulte aplicable.

Durante este periodo, ASN podrá conservar los Datos para:

a) atender solicitudes;

b) facilitar una posible reactivación;

c) resolver aclaraciones;

d) mantener seguridad;

e) prevenir fraude;

f) atender responsabilidades derivadas de la relación;

g) cumplir obligaciones; y

h) ejercer o defender derechos.

El plazo de veinticuatro (24) meses no será aplicable cuando:

a) la Legislación Aplicable establezca un periodo diferente;

b) exista una obligación de conservación;

c) los Datos formen parte de evidencia contractual, fiscal o contable;

d) exista una controversia;

e) se encuentre en curso una investigación;

f) deban atenderse derechos de terceros;

g) los Datos se encuentren bloqueados durante un plazo de responsabilidad; o

h) ASN actúe como Persona Encargada y deba seguir instrucciones válidas del Negocio Participante.

16.3. Cuentas activas

Mientras una Cuenta se encuentre activa, ASN podrá conservar los Datos necesarios para:

a) identificar a sus Usuarios;

b) administrar roles y permisos;

c) proporcionar los Servicios;

d) mantener seguridad;

e) conservar configuraciones;

f) registrar operaciones;

g) facturar;

h) atender soporte; y

i) cumplir obligaciones.

La existencia de una Cuenta activa no autoriza la conservación indefinida de Datos que hayan dejado de ser necesarios para las finalidades informadas.

ASN podrá eliminar o disociar registros históricos dentro de una Cuenta activa cuando haya concluido el plazo correspondiente y no exista una causa válida para conservarlos.

16.4. Registros incompletos, prospectos y solicitudes comerciales

La información proporcionada por personas que:

a) inicien un registro y no lo concluyan;

b) soliciten una cotización;

c) pidan información;

d) participen en una demostración;

e) inicien una negociación que no se formalice; o

f) manifiesten interés en CETB,

podrá conservarse hasta por veinticuatro (24) meses contado desde la última interacción relevante.

Cuando la persona haya autorizado comunicaciones comerciales, sus Datos podrán conservarse hasta que:

a) revoque el consentimiento;

b) manifieste su oposición;

c) solicite la eliminación; o

d) transcurran veinticuatro (24) meses sin interacción comercial relevante,

lo que ocurra primero, salvo que exista otra causa jurídica válida de conservación.

16.5. Datos de la Cuenta y Usuarios Autorizados

Los Datos relacionados con Titulares de Cuenta, Administradores y Usuarios Autorizados podrán conservarse:

a) mientras la persona mantenga acceso a CETB;

b) durante la vigencia de la Cuenta del Negocio Participante; y

c) hasta por veinticuatro (24) meses después de la eliminación del Usuario, revocación de su acceso o terminación de la Cuenta.

Determinada información podrá conservarse por un plazo mayor cuando resulte necesaria para acreditar:

a) acciones realizadas;

b) asignaciones de permisos;

c) cambios de configuración;

d) operaciones;

e) aceptaciones;

f) autorizaciones;

g) incidentes;

h) responsabilidades; o

i) cualquier acto que produzca consecuencias jurídicas.

16.6. Documentos de identificación y verificación

Las identificaciones, poderes, actas, constancias y demás documentos utilizados para verificar identidad, representación o facultades deberán conservarse únicamente durante el periodo necesario para:

a) concluir la verificación;

b) mantener evidencia razonable de su resultado;

c) cumplir obligaciones jurídicas;

d) prevenir fraude;

e) atender controversias; o

f) ejercer o defender derechos.

Cuando no resulte necesario conservar una copia íntegra, ASN podrá mantener únicamente:

a) resultado de la verificación;

b) tipo de documento;

c) fecha de revisión;

d) vigencia;

e) identificador parcial;

f) persona que realizó la validación; y

g) demás elementos mínimos necesarios.

Como regla general, las copias identificables que no deban conservarse por obligación legal se sujetarán al plazo máximo de veinticuatro (24) meses previsto en este Aviso.

16.7. Registros de aceptación y documentación mercantil

Los registros relacionados con:

a) contratación;

b) Aceptación Electrónica;

c) versiones de Términos y Condiciones;

d) consentimiento;

e) autorizaciones;

f) Planes;

g) órdenes;

h) pagos;

i) modificaciones contractuales;

j) cancelaciones;

k) notificaciones jurídicas;

l) comprobantes; y

m) demás documentos que generen derechos u obligaciones,

podrán conservarse durante un plazo mínimo de diez (10) años cuando tengan naturaleza mercantil o cuando dicho plazo resulte exigible conforme a la Legislación Aplicable.

Durante su conservación, ASN deberá procurar mantener:

a) integridad;

b) disponibilidad;

c) accesibilidad para consulta posterior;

d) trazabilidad;

e) vinculación con la persona y Cuenta correspondientes; y

f) protección contra alteración, pérdida, destrucción o acceso no autorizado.

Los Datos conservados exclusivamente como evidencia no deberán utilizarse para nuevas finalidades comerciales o promocionales.

16.8. Información fiscal, contable y de pagos

Los Datos relacionados con facturación, comprobantes fiscales, pagos, transferencias, devoluciones, reembolsos, contracargos, disputas, créditos, impuestos, registros contables, Monedas CETB, Recursos Operativos y Operaciones Integradas podrán conservarse durante los plazos establecidos por la legislación fiscal, contable, mercantil y demás disposiciones aplicables.

Las referencias generadas por Stripe, incluyendo identificadores de PaymentIntent, cargos, clientes, reembolsos, disputas y eventos de webhook, así como los importes, estados y datos parciales del método de pago, podrán conservarse mientras resulten necesarios para:

a) cumplir obligaciones contractuales, fiscales, contables o mercantiles;

b) conciliar operaciones;

c) atender aclaraciones, reembolsos, contracargos o disputas;

d) prevenir y acreditar fraude;

e) cumplir requerimientos de autoridad; o

f) ejercer o defender derechos.

Cuando existan distintos plazos, ASN aplicará el periodo más extenso que resulte jurídicamente necesario. La inexistencia de una regla técnica de eliminación automática no autorizará la conservación indefinida de las referencias de pago.

Concluidos los plazos aplicables, la información deberá eliminarse, bloquearse o disociarse de manera segura, salvo que exista una causa jurídica documentada para conservarla durante un periodo adicional.

ASN no conservará el número completo de la tarjeta, código de seguridad, contraseñas bancarias ni claves dinámicas.

16.9. Solicitudes de soporte

Las solicitudes, tickets, conversaciones, archivos y evidencias de soporte podrán conservarse hasta por veinticuatro (24) meses contado desde el cierre de la solicitud.

Podrán conservarse durante un plazo mayor cuando se relacionen con:

a) una controversia;

b) una reclamación;

c) un incidente de seguridad;

d) una operación económica;

e) fraude o abuso;

f) un defecto recurrente que requiera conservar evidencia; o

g) una obligación legal.

Cuando una captura, archivo o conversación contenga Datos excesivos, ASN podrá eliminar o minimizar dichos elementos antes de concluir el plazo general.

16.10. Carritos y procesos no concluidos

Los Datos relacionados con carritos, selecciones temporales o procesos comerciales no concluidos se conservarán durante un plazo máximo de noventa (90) días contado desde su creación o última modificación necesaria para completar la operación.

La realización de una nueva operación independiente no reiniciará el plazo de carritos anteriores.

Al concluir dicho plazo, la información deberá:

a) eliminarse; o

b) disociarse cuando exista una finalidad estadística legítima.

Cuando un carrito se convierta en una venta, pedido, contratación u operación concluida, la información necesaria pasará a formar parte de los registros correspondientes y se sujetará al plazo aplicable a dicha operación.

16.11. Eventos de utilización y registros técnicos

Los eventos ordinarios de utilización se conservarán únicamente durante el plazo necesario para operar la funcionalidad, mantener trazabilidad, investigar errores, prevenir fraude y cumplir las finalidades informadas.

Respecto de Cloud Firestore:

a) los registros de la colección “sessions” se eliminarán automáticamente cuando se desvincule la sesión entre la computadora y el dispositivo móvil;

b) los registros de la colección “redeems” se conservarán durante un plazo máximo de seis (6) meses contado desde su creación, salvo que deban conservarse durante un periodo adicional para acreditar una redención, atender una controversia, prevenir fraude o cumplir una obligación legal; y

c) al concluir el plazo aplicable, los registros se eliminarán o transformarán en información agregada o disociada.

Estos eventos podrán contener únicamente:

a) identificador interno del Usuario;

b) identificador del Negocio o tenant;

c) módulo utilizado;

d) tipo de evento;

e) fecha y hora; y

f) identificador del cupón o producto relacionado.

No se almacenarán en dichas colecciones nombres, correos electrónicos, números telefónicos, ubicación, domicilios, direcciones IP ni contenido de compras.

La actividad posterior no reiniciará el plazo correspondiente a eventos anteriores.

16.14. Redundancia del almacenamiento de Exebia CETB

La información y los archivos de Exebia CETB almacenados en Amazon S3 podrán contar con la redundancia nativa proporcionada por dicho servicio entre distintas zonas de disponibilidad.

Esta redundancia tiene por objeto mantener la disponibilidad y durabilidad de los objetos y no constituye un respaldo independiente, una copia histórica ni un sistema de versionado.

ASN no genera respaldos adicionales o programados ni mantiene versionado general de los objetos almacenados en Amazon S3.

La eliminación del contenido de Exebia CETB se ejecutará sobre los objetos almacenados en los sistemas activos conforme a los plazos indicados en los apartados 10.6 y 16.13. Una vez eliminado un objeto, no deberá restaurarse desde una copia de respaldo independiente, debido a que ASN no mantiene dicha copia.

16.12. Registros de monitoreo y seguridad

Los registros ordinarios de monitoreo, rendimiento, errores y seguridad se conservarán durante un plazo máximo de seis (6) meses contado desde su generación.

Cuando un registro se relacione con:

a) un incidente de seguridad;

b) un acceso no autorizado;

c) fraude;

d) una vulnerabilidad;

e) una reclamación;

f) una investigación;

g) una obligación legal; o

h) una controversia,

ASN podrá conservarlo durante el periodo necesario para investigar, mitigar, documentar y atender las responsabilidades correspondientes.

Durante la conservación adicional, los registros deberán mantenerse con acceso restringido y no utilizarse para finalidades incompatibles.

16.13. Historial de Exebia CETB

Los Prompts, Consultas, Resultados, respuestas, archivos y demás contenido completo del historial de Exebia CETB se conservarán durante un plazo máximo de seis (6) meses contado desde la creación de cada interacción.

El plazo se calculará individualmente. La continuación de una conversación no reiniciará el plazo de las interacciones anteriores.

Al concluir el periodo, el contenido deberá:

a) eliminarse de los sistemas activos; o

b) disociarse de manera que no permita identificar a una persona, Negocio o conversación específica ni reconstruir su contenido.

La persona titular o el Usuario con facultades suficientes podrá solicitar la eliminación anticipada mediante:

a) la funcionalidad habilitada dentro de CETB;

b) solicitud enviada a privacidad@cetb.mx; o

c) cualquier otro mecanismo indicado por ASN.

La eliminación anticipada se sujetará a la identidad y facultades de la persona solicitante, la calidad de ASN como Responsable o Persona Encargada, las obligaciones de conservación, los derechos de terceros y la Legislación Aplicable.

16.14. Respaldos de Exebia CETB

Las copias residuales contenidas exclusivamente en respaldos o sistemas de continuidad que incluyan conversaciones eliminadas de Exebia CETB deberán eliminarse o sobrescribirse dentro de un plazo máximo de treinta (30) días naturales contado desde la eliminación del contenido de los sistemas activos.

Durante dicho periodo, los respaldos deberán:

a) mantenerse protegidos;

b) tener acceso restringido;

c) no utilizarse para nuevas finalidades;

d) no reincorporarse a los sistemas activos, salvo cuando resulte necesario para una recuperación técnica autorizada; y

e) permanecer sujetos a las reglas de seguridad y confidencialidad.

Si un respaldo fuera restaurado, ASN deberá aplicar nuevamente las reglas de conservación y eliminación, evitando que información cuyo plazo haya concluido vuelva a permanecer activa de manera indefinida.

16.15. Archivos almacenados en Amazon S3 y copias técnicas

Los objetos almacenados en Amazon S3 se conservarán mientras sean necesarios para proporcionar la funcionalidad correspondiente y durante los plazos establecidos en este Aviso, en el contrato aplicable o en las instrucciones válidas del Negocio Participante.

Actualmente:

a) ASN no genera respaldos independientes o programados de dichos objetos;

b) no se encuentra habilitado el versionado general de los objetos;

c) no existen reglas generales de ciclo de vida para su eliminación automática;

d) los objetos se conservan hasta que son eliminados mediante el proceso técnico aplicable; y

e) la replicación nativa entre zonas de disponibilidad constituye un mecanismo de redundancia y no un respaldo.

La ausencia de una regla automática de ciclo de vida no autoriza la conservación indefinida de los Datos Personales. ASN deberá ejecutar procesos manuales o programáticos específicos para eliminar, bloquear o disociar la información cuando concluya su plazo de conservación.

Las cachés, archivos temporales u otras copias estrictamente técnicas deberán mantenerse protegidos, con acceso restringido y sin utilizarse para finalidades incompatibles.

16.16. Comunicaciones comerciales

Los Datos utilizados para comunicaciones comerciales o promocionales podrán conservarse mientras:

a) permanezca vigente el consentimiento;

b) exista interacción comercial relevante; y

c) no transcurra el plazo máximo de veinticuatro (24) meses sin interacción.

ASN deberá dejar de utilizar los Datos para estas finalidades cuando la persona:

a) retire su consentimiento;

b) manifieste oposición;

c) utilice el mecanismo de cancelación de suscripción; o

d) solicite la eliminación correspondiente.

ASN podrá conservar una lista mínima de exclusión para acreditar y respetar la decisión de no recibir comunicaciones. Esta lista podrá contener:

a) correo electrónico;

b) número telefónico;

c) fecha de la solicitud;

d) canal afectado; y

e) evidencia de la decisión.

La lista de exclusión no deberá utilizarse para enviar nuevas comunicaciones promocionales.

16.17. Eventos, capacitaciones y actividades de comunidad

Los Datos relacionados con eventos, capacitaciones, programas o actividades de comunidad podrán conservarse hasta por veinticuatro (24) meses después de concluir la actividad.

Podrán conservarse durante un plazo mayor cuando:

a) exista una obligación de mantener constancias;

b) la persona haya autorizado la utilización de un testimonio;

c) la información forme parte de un acuerdo o relación vigente;

d) resulte necesaria para acreditar asistencia, beneficios o compromisos; o

e) exista otra causa jurídica válida.

Las fotografías, grabaciones o testimonios deberán eliminarse o dejar de utilizarse cuando termine la autorización aplicable, salvo que exista un derecho adquirido, obligación legal o material publicado cuya conservación resulte jurídicamente procedente.

16.18. Datos Encomendados por el Negocio Participante

Cuando ASN actúe como Persona Encargada, conservará los Datos Personales Encomendados durante:

a) la vigencia del Servicio;

b) el plazo establecido en el Acuerdo o Anexo de Tratamiento de Datos Personales;

c) el periodo necesario para atender instrucciones válidas; y

d) el plazo adicional que resulte obligatorio.

Al concluir el Servicio, ASN deberá, conforme a las instrucciones aplicables:

a) devolver los Datos;

b) proporcionar una exportación disponible;

c) eliminarlos;

d) bloquearlos; o

e) aplicar otra medida acordada.

ASN podrá conservar determinados elementos cuando resulte necesario para cumplir una obligación legal, preservar evidencia, atender una controversia o ejercer y defender derechos.

El Negocio Participante no podrá instruir a ASN para eliminar información cuya conservación sea obligatoria o para realizar una acción contraria a la Legislación Aplicable.

16.19. Cancelación, desactivación y eliminación de la Cuenta

La Persona Titular o el representante autorizado del Negocio Participante podrá solicitar la cancelación o eliminación de la Cuenta y de los Datos Personales relacionados mediante el procedimiento establecido en este Aviso.

Cuando la solicitud resulte procedente, ASN podrá ejecutar inicialmente las siguientes medidas:

a) cambiar el estado de los registros de MongoDB Atlas mediante un mecanismo de baja lógica o soft delete;

b) bloquear la identidad correspondiente en Amazon Cognito;

c) deshabilitar el acceso de la Cuenta a los registros o servicios relacionados con Cloud Firestore;

d) eliminar los tokens de Firebase Cloud Messaging; y

e) eliminar automáticamente los registros de vinculación de sesiones cuando la sesión sea desvinculada.

Estas acciones podrán ejecutarse en segundos, pero la desactivación de la Cuenta, el bloqueo de accesos o la baja lógica no equivalen por sí mismos a la supresión definitiva de todos los Datos Personales.

Después de la desactivación podrán permanecer temporalmente:

a) registros de redención de cupones;

b) historial de Exebia CETB;

c) archivos almacenados en Amazon S3;

d) referencias y estados de pago conservados por ASN o Stripe;

e) registros de monitoreo y seguridad de Amazon CloudWatch; y

f) demás Datos que deban conservarse por una obligación legal, contractual, fiscal o contable, una controversia, prevención de fraude, seguridad o defensa de derechos.

La información que permanezca deberá conservarse únicamente durante el plazo específico previsto en este Aviso o durante el plazo jurídicamente necesario, con acceso restringido y sin utilizarse para publicidad, personalización u operaciones ordinarias de una Cuenta desactivada.

Cuando no exista una causa válida de conservación, ASN deberá proceder a la supresión, anonimización o disociación definitiva de la información.

ASN podrá negar o limitar total o parcialmente la cancelación cuando:

a) exista una relación jurídica vigente;

b) los Datos sean necesarios para cumplir una obligación;

c) puedan afectarse derechos de terceros;

d) exista una controversia, reclamación o investigación;

e) la información sea necesaria para prevenir o acreditar fraude;

f) deba cumplirse un periodo de bloqueo;

g) sea necesario ejercer o defender derechos;

h) exista una orden o requerimiento de autoridad; o

i) se actualice otra excepción prevista en la Legislación Aplicable.

ASN informará a la Persona Titular la determinación correspondiente dentro de los plazos legalmente aplicables.

16.20. Bloqueo

El bloqueo consiste en identificar y conservar temporalmente determinados Datos Personales después de que hayan dejado de utilizarse para finalidades ordinarias, con el propósito de atender posibles responsabilidades.

Durante el bloqueo, los Datos:

a) no deberán utilizarse para marketing;

b) no deberán utilizarse para personalización;

c) no deberán reincorporarse a operaciones ordinarias;

d) deberán permanecer con acceso restringido; y

e) únicamente podrán utilizarse para cumplir obligaciones, atender autoridades, resolver controversias o ejercer y defender derechos.

Al concluir el plazo de bloqueo, los Datos deberán eliminarse, salvo que exista una nueva causa jurídica de conservación.

16.21. Conservación por controversias, incidentes o requerimientos

ASN podrá suspender temporalmente la eliminación de determinados Datos cuando:

a) exista una reclamación;

b) se encuentre en curso una aclaración;

c) exista una controversia;

d) se investigue fraude;

e) se investigue un incidente de seguridad;

f) exista un requerimiento de autoridad;

g) sea necesario preservar evidencia; o

h) resulte necesario ejercer o defender derechos.

La conservación adicional deberá:

a) limitarse a la información relacionada;

b) documentar la causa;

c) restringir el acceso;

d) impedir usos incompatibles;

e) revisarse periódicamente; y

f) concluir cuando desaparezca la causa que la justifique.

16.22. Supresión y eliminación segura

La baja lógica, desactivación o bloqueo de una Cuenta constituye una medida inicial de restricción y no deberá presentarse como eliminación definitiva de los Datos Personales.

Cuando concluya el plazo de conservación o bloqueo y no exista una causa jurídica para mantener la información, ASN aplicará el mecanismo técnicamente apropiado para suprimirla, destruirla o disociarla, considerando:

a) la naturaleza y sensibilidad de los Datos;

b) el tipo de sistema o soporte;

c) los riesgos asociados;

d) la existencia de copias técnicas o mecanismos de redundancia;

e) las instrucciones válidas del Negocio Participante; y

f) las obligaciones legales aplicables.

Los mecanismos podrán comprender:

a) eliminación lógica seguida de depuración definitiva;

b) eliminación del objeto o registro;

c) sobrescritura, cuando técnicamente proceda;

d) destrucción de soportes;

e) revocación definitiva de accesos;

f) eliminación de llaves o medios de recuperación; o

g) disociación irreversible.

ASN deberá verificar razonablemente que los Datos eliminados no sean reincorporados posteriormente a los sistemas activos mediante procesos ordinarios de recuperación.

16.23. Disociación y agregación

ASN podrá transformar información mediante procesos de disociación o agregación para:

a) elaborar estadísticas;

b) conocer tendencias;

c) analizar utilización;

d) evaluar desempeño;

e) mejorar funcionalidades;

f) planear capacidad;

g) realizar investigación técnica o empresarial; y

h) generar conocimiento general del ecosistema.

La disociación deberá procurar eliminar o transformar:

a) nombres;

b) correos electrónicos;

c) números telefónicos;

d) identificadores directos;

e) direcciones específicas;

f) credenciales;

g) referencias individuales;

h) identificadores persistentes innecesarios; y

i) cualquier elemento que permita identificar razonablemente a una persona.

ASN deberá evaluar el riesgo de que la información pueda reidentificarse mediante su combinación con otros Datos razonablemente disponibles.

16.24. Umbrales preventivos para información externa

Cuando ASN publique, comunique o comparta estadísticas externas derivadas del ecosistema CETB, procurará aplicar, como medida preventiva, umbrales mínimos de agregación de:

a) veinte (20) Usuarios; o

b) diez (10) Negocios Participantes,

según la naturaleza de la información.

Los umbrales no serán la única medida de protección. ASN también deberá considerar:

a) categorías poco frecuentes;

b) localidades pequeñas;

c) periodos reducidos;

d) información comercial sensible;

e) posibilidad de combinación;

f) riesgo de inferencia; y

g) cualquier otra circunstancia que permita identificar indirectamente a una persona o Negocio.

Cuando el umbral no resulte suficiente, ASN deberá:

a) agrupar categorías;

b) ampliar el periodo;

c) eliminar variables;

d) aplicar ruido o redondeo;

e) incrementar el número mínimo; o

f) abstenerse de publicar la información.

16.25. Prohibición de reidentificación

ASN no deberá utilizar mecanismos deliberados para reidentificar información efectivamente disociada cuando ello resulte contrario a la finalidad, compromisos o medidas bajo las cuales se realizó la disociación.

Los proveedores, aliados o destinatarios de información disociada deberán quedar sujetos, cuando corresponda, a restricciones que impidan:

a) intentar reidentificar personas;

b) combinar información para recuperar identidades;

c) utilizar Datos para finalidades incompatibles; o

d) divulgar información que permita la identificación.

16.26. Revisión de los plazos de conservación

ASN revisará periódicamente sus plazos de conservación considerando:

a) finalidades vigentes;

b) cambios legales;

c) riesgos;

d) capacidades técnicas;

e) contratos con proveedores;

f) ciclos de respaldo;

g) funcionamiento real de CETB; y

h) derechos de las personas titulares.

Una modificación que amplíe materialmente un plazo de conservación deberá:

a) responder a una causa legítima;

b) documentarse;

c) actualizarse en este Aviso o en la política correspondiente;

d) comunicarse cuando resulte necesario; y

e) obtener consentimiento cuando la Legislación Aplicable lo requiera.

La ampliación de un plazo no autorizará la utilización de los Datos para finalidades nuevas o incompatibles.

17. DERECHOS DE ACCESO, RECTIFICACIÓN, CANCELACIÓN Y OPOSICIÓN

17.1. Derechos ARCO

Cuando Asesoría y Sofisticación de Negocios, S.A. de C.V. actúe como Responsable del tratamiento, la Persona Titular o, en su caso, su representante legal podrá ejercer en cualquier momento los derechos de acceso, rectificación, cancelación y oposición, en adelante los “Derechos ARCO”, respecto de los datos personales que le conciernan.

El ejercicio de cualquiera de los Derechos ARCO no constituye un requisito previo ni impide el ejercicio de otro.

17.2. Derecho de acceso

La Persona Titular podrá solicitar confirmación acerca de si ASN trata sus datos personales y, en caso afirmativo, acceder a dichos datos y conocer las condiciones y generalidades de su tratamiento, incluyendo, cuando resulte aplicable:

a) las categorías de datos personales tratadas;

b) las finalidades del tratamiento;

c) el origen de los datos;

d) los destinatarios o categorías de destinatarios a quienes hayan sido comunicados;

e) los periodos o criterios de conservación aplicables; y

f) cualquier otra información que deba proporcionarse conforme a la legislación aplicable.

El acceso podrá cumplirse mediante la puesta a disposición de los datos personales, copias simples, documentos electrónicos u otro medio legible, comprensible y razonablemente accesible para la Persona Titular.

17.3. Derecho de rectificación

La Persona Titular podrá solicitar la corrección o actualización de sus datos personales cuando sean inexactos, incompletos, incorrectos o no se encuentren actualizados.

La solicitud deberá indicar claramente:

a) los datos personales que deben rectificarse;

b) la corrección o actualización solicitada; y

c) los documentos o elementos que acrediten la procedencia de la modificación, cuando resulten necesarios.

Cuando la Plataforma permita modificar directamente determinada información desde la configuración de la Cuenta, la Persona Titular podrá utilizar dicha funcionalidad sin perjuicio de su derecho a presentar una solicitud formal de rectificación.

17.4. Derecho de cancelación

La Persona Titular podrá solicitar la cancelación de sus datos personales para que dejen de ser tratados y sean suprimidos de los archivos, registros, expedientes, bases de datos y sistemas en los que se encuentren.

Cuando la cancelación resulte procedente, los datos personales serán sometidos previamente a un periodo de bloqueo durante el cual se conservarán únicamente para determinar o atender posibles responsabilidades legales, contractuales, administrativas o judiciales derivadas del tratamiento. Concluido el periodo de bloqueo aplicable, los datos serán suprimidos de manera segura.

La cancelación no procederá, total o parcialmente, cuando los datos personales:

a) sean necesarios para el desarrollo, cumplimiento o exigibilidad de una relación contractual;

b) deban conservarse por disposición legal;

c) sean necesarios para cumplir obligaciones fiscales, contables, mercantiles, administrativas, regulatorias o de seguridad;

d) se encuentren relacionados con procedimientos judiciales, administrativos, investigaciones, auditorías, reclamaciones o controversias;

e) sean necesarios para proteger derechos o intereses jurídicamente tutelados de la Persona Titular o de terceros;

f) sean necesarios para cumplir una obligación legalmente adquirida; o

g) se actualice cualquier otra excepción reconocida por la legislación aplicable.

En estos casos, ASN informará a la Persona Titular los motivos de la conservación y limitará el tratamiento a las finalidades que justifiquen dicha conservación.

17.5. Derecho de oposición

La Persona Titular podrá oponerse al tratamiento de sus datos personales o solicitar que éste cese cuando exista una causa legítima derivada de su situación particular y la continuación del tratamiento pueda causarle un daño o perjuicio.

También podrá oponerse cuando sus datos sean utilizados en un tratamiento automatizado que produzca efectos jurídicos no deseados o afecte de manera significativa sus intereses, derechos o libertades, y tenga por objeto evaluar, analizar o predecir aspectos personales sin una intervención humana valorativa.

El derecho de oposición no procederá cuando el tratamiento sea necesario para cumplir una obligación legal aplicable a ASN, ejecutar una relación contractual solicitada por la Persona Titular, ejercer o defender derechos, proteger la seguridad de la Plataforma o atender otros supuestos permitidos por la legislación aplicable.

La oposición a finalidades secundarias, publicitarias, promocionales o de prospección comercial podrá ejercerse sin necesidad de justificar una causa particular.

17.6. Medios para presentar solicitudes

Las solicitudes para ejercer Derechos ARCO podrán presentarse gratuitamente por cualquiera de los siguientes medios:

a) mediante correo electrónico dirigido a privacidad@cetb.mx, con el asunto “Solicitud de Derechos ARCO”;

b) mediante las herramientas o formularios que, en su caso, se habiliten dentro de la Plataforma CETB; o

c) mediante escrito presentado en el domicilio de ASN señalado en este Aviso de Privacidad, una vez que dicho domicilio haya sido incorporado.

La Persona Titular podrá solicitar orientación sobre el procedimiento a través de privacidad@cetb.mx.

Las solicitudes enviadas únicamente a correos de soporte técnico, facturación o atención comercial podrán ser canalizadas al área de privacidad, pero se recomienda utilizar directamente el correo señalado en este apartado para facilitar su identificación y atención.

17.7. Contenido de la solicitud

La solicitud deberá incluir, como mínimo:

a) nombre completo de la Persona Titular;

b) domicilio, correo electrónico u otro medio para recibir notificaciones;

c) documentos o elementos que permitan acreditar su identidad;

d) cuando la solicitud sea presentada por un representante, los documentos que acrediten la identidad de la Persona Titular, la identidad del representante y la representación correspondiente;

e) descripción del Derecho ARCO que desea ejercer o de la acción concreta que solicita;

f) descripción clara y precisa de los datos personales involucrados, salvo que se ejerza el derecho de acceso respecto de todos los datos tratados por ASN;

g) nombre del Negocio, identificador de la Cuenta, correo registrado, número de operación o cualquier otro dato que facilite la localización de la información, cuando corresponda; y

h) cualquier documento o elemento adicional que sustente o facilite la atención de la solicitud.

No será obligatorio utilizar un formato específico siempre que la solicitud contenga la información necesaria para identificar a la Persona Titular, localizar los datos y comprender el derecho que pretende ejercer.

17.8. Acreditación de identidad y representación

ASN deberá verificar razonablemente la identidad de la Persona Titular antes de entregar, modificar, cancelar o restringir datos personales.

La acreditación podrá realizarse mediante identificación oficial, mecanismos de autenticación de la Cuenta, firma electrónica, validación del correo registrado, códigos de verificación u otros medios razonables y proporcionales al riesgo de la solicitud.

ASN procurará no conservar copias completas de documentos de identidad cuando la verificación pueda realizarse mediante cotejo, exhibición, versiones testadas u otros mecanismos menos invasivos. Cuando sea necesario conservarlos para documentar la atención de la solicitud, serán utilizados exclusivamente para verificar la identidad, acreditar el trámite y atender obligaciones legales.

La representación podrá acreditarse mediante instrumento público, carta poder, documento electrónico válido o cualquier otro medio reconocido por la legislación aplicable.

17.9. Solicitudes incompletas o incorrectas

Cuando la información proporcionada resulte insuficiente o incorrecta, o no se acompañen los documentos necesarios, ASN podrá requerir por una sola ocasión, dentro de los cinco días hábiles siguientes a la recepción de la solicitud, la información o documentación necesaria para continuar con el trámite.

La Persona Titular contará con diez días hábiles, contados a partir del día siguiente a aquel en que reciba el requerimiento, para atenderlo. Si no proporciona la información dentro de dicho plazo, la solicitud podrá tenerse por no presentada.

El requerimiento de información interrumpirá el plazo de respuesta, el cual continuará una vez que la Persona Titular haya atendido el requerimiento.

17.10. Plazos de respuesta y cumplimiento

ASN comunicará a la Persona Titular la determinación adoptada respecto de su solicitud dentro de un plazo máximo de veinte días hábiles, contado desde la fecha en que la solicitud completa haya sido recibida.

Si la solicitud resulta procedente, ASN hará efectivo el derecho correspondiente dentro de los quince días hábiles siguientes a la fecha en que comunique su respuesta.

Los plazos anteriores podrán ampliarse una sola vez por un periodo igual cuando las circunstancias del caso lo justifiquen. ASN informará a la Persona Titular sobre la ampliación y su justificación.

Tratándose del derecho de acceso, la entrega de los datos procederá una vez acreditada la identidad de la Persona Titular o la identidad y representación de quien actúe en su nombre.

17.11. Respuesta, entrega y motivación

ASN comunicará su respuesta, preferentemente, a través del medio señalado por la Persona Titular en su solicitud.

Si ASN determina que la solicitud no resulta procedente, total o parcialmente, informará los motivos de su decisión y, cuando corresponda, acompañará los elementos que la sustenten.

Cuando sólo una parte de la solicitud se encuentre sujeta a una causa de improcedencia, ASN atenderá los aspectos que sí resulten procedentes.

Si ASN no posee los datos personales respecto de los cuales se presenta la solicitud, lo informará a la Persona Titular.

17.12. Gratuidad

El ejercicio de los Derechos ARCO será gratuito.

ASN únicamente podrá solicitar el pago de los costos justificados de reproducción, expedición de copias o envío. Cuando la Persona Titular proporcione el medio electrónico, magnético o mecanismo necesario para la reproducción, la entrega deberá realizarse sin costo.

En caso de solicitudes reiteradas por la misma Persona Titular o su representante dentro de un periodo menor a doce meses, ASN podrá recuperar los costos permitidos por la legislación aplicable, salvo que existan modificaciones sustanciales al Aviso de Privacidad o al tratamiento que justifiquen la nueva solicitud.

17.13. Datos tratados por cuenta de un Negocio

Cuando ASN trate datos personales por cuenta e instrucciones de un Negocio Participante y, por tanto, actúe como Persona Encargada y no como Responsable, el Negocio correspondiente será quien deba resolver la solicitud relacionada con dichos datos.

Si ASN recibe directamente una solicitud vinculada con información respecto de la cual actúa como Persona Encargada, podrá:

a) informar a la Persona Titular que el Negocio correspondiente es el Responsable;

b) proporcionar, cuando sea posible y procedente, los datos de contacto del Negocio;

c) remitir la solicitud al Negocio correspondiente; y

d) brindar la asistencia técnica razonablemente necesaria para que el Negocio atienda la solicitud, conforme a sus instrucciones, al contrato aplicable y a la legislación vigente.

La remisión de la solicitud no implicará que ASN asuma la calidad de Responsable respecto de datos tratados exclusivamente por cuenta del Negocio.

17.14. Comunicación a terceros y Personas Encargadas

Cuando una rectificación, cancelación, oposición o revocación resulte procedente y los datos personales hayan sido comunicados previamente a terceros o continúen siendo tratados por Personas Encargadas, ASN les comunicará la determinación correspondiente para que adopten las medidas procedentes, siempre que resulte legal, técnica y materialmente posible.

17.15. Procedimiento de protección de derechos

Si la Persona Titular no recibe respuesta dentro del plazo aplicable, considera que la respuesta es improcedente o incompleta, o estima que se ha vulnerado su derecho a la protección de datos personales, podrá presentar la solicitud, reclamación o procedimiento de protección de derechos correspondiente ante la autoridad competente, dentro de los plazos y mediante los mecanismos previstos en la legislación aplicable.

18. REVOCACIÓN DEL CONSENTIMIENTO Y LIMITACIÓN DEL USO O DIVULGACIÓN

18.1. Revocación del consentimiento

La Persona Titular podrá revocar en cualquier momento el consentimiento que haya otorgado para el tratamiento de sus datos personales, siempre que el consentimiento sea la base que legitime dicho tratamiento y no exista una disposición legal, obligación contractual u otra causa jurídica que permita o exija su continuación.

La revocación podrá solicitarse:

a) mediante correo electrónico dirigido a privacidad@cetb.mx, con el asunto “Revocación del consentimiento”;

b) mediante las herramientas de privacidad o configuración que, en su caso, se habiliten en la Plataforma;

c) utilizando el mismo medio mediante el cual se otorgó el consentimiento, cuando se encuentre disponible; o

d) mediante escrito presentado en el domicilio de ASN indicado en este Aviso de Privacidad.

La solicitud deberá contener la información necesaria para identificar a la Persona Titular, localizar los datos y determinar el consentimiento o tratamiento que desea revocar.

18.2. Efectos de la revocación

La revocación no tendrá efectos retroactivos y no afectará la licitud del tratamiento realizado antes de que resulte efectiva.

La revocación del consentimiento no implica necesariamente la eliminación inmediata de todos los datos personales. ASN podrá conservar y tratar aquellos datos que resulten necesarios para:

a) cumplir obligaciones legales, fiscales, mercantiles, administrativas o regulatorias;

b) acreditar operaciones, consentimientos, contratos o comunicaciones;

c) atender reclamaciones, controversias o responsabilidades;

d) prevenir fraude, abuso o incidentes de seguridad;

e) proteger derechos de ASN, de la Persona Titular o de terceros; o

f) cumplir cualquier otra finalidad permitida o exigida por la legislación aplicable.

Los datos que deban conservarse quedarán sujetos a las limitaciones, periodos de bloqueo y plazos de conservación establecidos en este Aviso de Privacidad.

18.3. Plazo para atender la revocación

Las solicitudes de revocación serán atendidas dentro de los plazos máximos aplicables al ejercicio de los Derechos ARCO.

Cuando la Persona Titular solicite confirmación del cese del tratamiento, ASN comunicará expresamente la determinación adoptada y, en su caso, la fecha a partir de la cual la revocación haya resultado efectiva.

18.4. Limitación del uso o divulgación

La Persona Titular podrá solicitar en cualquier momento que ASN limite el uso o divulgación de sus datos personales para determinadas finalidades, especialmente para finalidades publicitarias, promocionales, de mercadotecnia, prospección comercial, encuestas no indispensables o comunicaciones secundarias.

La solicitud podrá presentarse a través de privacidad@cetb.mx, mediante las configuraciones habilitadas en la Plataforma o utilizando los mecanismos de cancelación de suscripción incorporados en las comunicaciones electrónicas.

18.5. Listado interno de exclusión

ASN podrá mantener un listado interno de exclusión con los datos mínimos necesarios para identificar a las personas que hayan solicitado no recibir comunicaciones publicitarias, promocionales o comerciales.

La inclusión en dicho listado será gratuita. Los datos incorporados se utilizarán exclusivamente para cumplir y acreditar la preferencia de exclusión, evitando que la Persona Titular vuelva a ser incorporada a campañas incompatibles con su solicitud.

La conservación de los datos mínimos dentro del listado de exclusión no se considerará una continuación de las actividades promocionales rechazadas.

18.6. Comunicaciones necesarias

La limitación o revocación respecto de finalidades secundarias no impedirá que ASN envíe comunicaciones necesarias relacionadas con:

a) seguridad de la Cuenta;

b) autenticación, recuperación de acceso o prevención de fraude;

c) cambios materiales en el servicio, en los Términos y Condiciones o en este Aviso de Privacidad;

d) operaciones, pagos, facturación o cumplimiento contractual;

e) solicitudes de soporte iniciadas por la Persona Titular;

f) mantenimiento, disponibilidad o funcionamiento de la Plataforma; o

g) obligaciones legales o regulatorias.

Estas comunicaciones no se considerarán publicidad o prospección comercial cuando sean estrictamente necesarias para administrar la relación jurídica, prestar los servicios o proteger la Plataforma y a sus usuarios.

18.7. Cookies, identificadores y notificaciones

La Persona Titular podrá limitar las cookies no necesarias, identificadores publicitarios, permisos de ubicación y notificaciones mediante:

a) la configuración de su navegador;

b) los controles de privacidad disponibles en la Plataforma;

c) la configuración del sistema operativo o dispositivo;

d) la desactivación del permiso de notificaciones o ubicación; o

e) los mecanismos descritos en la sección relativa a cookies y tecnologías similares.

Firebase Cloud Messaging se utiliza exclusivamente para notificaciones push relacionadas con cupones y promociones. Cuando la Persona Titular desactive las notificaciones, ASN dejará de utilizar el token correspondiente para enviar dichas comunicaciones.

La desactivación del permiso no implica necesariamente que el token sea eliminado inmediatamente de MongoDB. Los tokens inválidos, vencidos o no registrados se eliminarán automáticamente y el token asociado también será eliminado cuando se elimine la Cuenta.

Las comunicaciones contractuales, jurídicas, fiscales, de seguridad o de soporte que resulten necesarias podrán enviarse por otros medios autorizados, como correo electrónico, mensaje dentro de la Plataforma o los datos de contacto proporcionados por la Persona Titular.

18.8. Relación entre revocación, limitación y Derechos ARCO

La revocación del consentimiento, la limitación del uso o divulgación y el ejercicio de los Derechos ARCO son mecanismos distintos.

La Persona Titular podrá utilizar uno o varios de ellos según el resultado que pretenda obtener. La presentación de una solicitud de revocación o limitación no impedirá que posteriormente ejerza sus Derechos ARCO, ni el ejercicio de un Derecho ARCO impedirá solicitar la revocación del consentimiento o la limitación de determinadas finalidades.

19. SEGURIDAD DE LOS DATOS PERSONALES Y ATENCIÓN DE VULNERACIONES

19.1. Medidas de seguridad

ASN establecerá y mantendrá medidas de seguridad administrativas, técnicas y físicas razonables y proporcionales para proteger los datos personales contra:

a) daño, pérdida, alteración o destrucción;

b) robo, extravío o copia no autorizada;

c) uso, acceso, divulgación o tratamiento no autorizado; y

d) cualquier otra afectación que comprometa su confidencialidad, integridad o disponibilidad.

Las medidas se determinarán considerando, entre otros factores:

a) la naturaleza y sensibilidad de los datos personales;

b) las finalidades y modalidades del tratamiento;

c) el volumen de datos y número de Personas Titulares involucradas;

d) los riesgos internos y externos identificados;

e) las posibles consecuencias de una vulneración;

f) el estado de la tecnología disponible; y

g) las capacidades técnicas, organizativas y económicas razonablemente aplicables.

ASN no adoptará medidas de protección menores a las empleadas para proteger información propia de naturaleza comparable.

19.2. Medidas administrativas

Las medidas administrativas podrán comprender, según resulte aplicable:

a) políticas y procedimientos internos de privacidad y seguridad;

b) definición de funciones y responsabilidades del personal que intervenga en el tratamiento;

c) controles para la autorización, modificación y revocación de accesos;

d) inventarios de datos personales y sistemas de tratamiento;

e) análisis de riesgos y análisis de brechas;

f) planes de trabajo para corregir deficiencias identificadas;

g) obligaciones contractuales de confidencialidad;

h) evaluación y supervisión razonable de Personas Encargadas y proveedores;

i) capacitación y sensibilización del personal;

j) procedimientos para atender Derechos ARCO y solicitudes de privacidad;

k) protocolos de respuesta a incidentes; y

l) revisiones, evaluaciones o auditorías periódicas.

19.3. Medidas técnicas

Las medidas técnicas podrán comprender, de acuerdo con el riesgo y la naturaleza de cada sistema:

a) autenticación y control de acceso;

b) gestión de roles, permisos y privilegios;

c) separación lógica de información entre Negocios o espacios de trabajo;

d) registro y monitoreo de eventos relevantes;

e) mecanismos para detectar comportamientos anómalos o intentos de acceso no autorizado;

f) redundancia, disponibilidad y mecanismos de continuidad operativa;

g) protección de comunicaciones y almacenamiento mediante controles de seguridad apropiados;

h) actualización y mantenimiento de infraestructura y componentes tecnológicos;

i) mecanismos de bloqueo, eliminación o disociación;

j) protección de interfaces, integraciones y credenciales técnicas; y

k) procedimientos de recuperación y respuesta ante incidentes.

La replicación o redundancia nativa de Amazon S3 entre zonas de disponibilidad no deberá interpretarse como la existencia de respaldos independientes o versionados.

La descripción anterior es general y no obliga a ASN a revelar configuraciones, arquitecturas, credenciales, reglas internas o detalles cuya divulgación pudiera comprometer la seguridad de CETB, sus Usuarios, los Negocios Participantes o sus proveedores.

19.4. Medidas físicas

Cuando exista tratamiento en instalaciones, equipos o soportes físicos bajo control de ASN, podrán aplicarse controles de acceso físico, resguardo de documentos y dispositivos, administración de soportes, restricciones de ingreso y procedimientos de destrucción segura.

Tratándose de centros de datos, infraestructura en la nube o instalaciones administradas por proveedores, se aplicarán las medidas físicas establecidas por dichos proveedores conforme a los servicios contratados y a sus obligaciones de seguridad.

19.5. Acceso limitado y confidencialidad

El acceso a datos personales estará limitado al personal, colaboradores, Personas Encargadas y proveedores que necesiten conocerlos para cumplir funciones autorizadas.

Quienes intervengan en cualquier fase del tratamiento deberán guardar confidencialidad respecto de los datos personales. Esta obligación subsistirá aun después de que concluya su relación laboral, profesional, comercial o contractual con ASN.

19.6. Gestión de proveedores

ASN procurará contratar proveedores que ofrezcan garantías razonables de privacidad, confidencialidad, disponibilidad y seguridad.

Los proveedores deberán tratar los datos personales únicamente conforme a las instrucciones, contratos y finalidades autorizadas, salvo que una disposición legal les imponga obligaciones propias.

ASN podrá solicitar información, documentación, reportes o evidencias razonables relacionadas con las medidas de seguridad de los proveedores, atendiendo a la naturaleza del servicio y al nivel de riesgo.

19.7. Revisión y mejora de las medidas

ASN revisará y actualizará sus medidas de seguridad cuando:

a) cambien sustancialmente los sistemas, procesos o finalidades del tratamiento;

b) se incorporen nuevas tecnologías o categorías de datos;

c) se identifiquen nuevos riesgos o vulnerabilidades;

d) ocurra un incidente de seguridad;

e) se modifiquen las obligaciones legales aplicables; o

f) las evaluaciones internas o externas identifiquen oportunidades de mejora.

19.8. Vulneraciones de seguridad

Para efectos de este Aviso de Privacidad, se considerará vulneración de seguridad cualquier evento confirmado que ocasione:

a) pérdida o destrucción no autorizada;

b) robo, extravío o copia no autorizada;

c) uso, acceso, adquisición, divulgación o tratamiento no autorizado; o

d) daño, alteración o modificación no autorizada de datos personales.

La indisponibilidad temporal de un sistema, una alerta técnica o un intento fallido de acceso no constituirán necesariamente una vulneración de datos personales. ASN analizará cada evento para determinar su naturaleza, alcance, impacto y las medidas que correspondan.

19.9. Atención de incidentes

Cuando ASN tenga conocimiento de un posible incidente, realizará, de acuerdo con las circunstancias, las siguientes acciones:

a) registrar y analizar el evento;

b) adoptar medidas razonables de contención;

c) identificar los sistemas, datos y Personas Titulares posiblemente afectados;

d) determinar la naturaleza, alcance y posibles consecuencias;

e) preservar las evidencias necesarias para la investigación;

f) coordinarse con proveedores, Negocios y terceros involucrados;

g) implementar medidas correctivas y de recuperación;

h) valorar la procedencia de notificar a las Personas Titulares y autoridades; y

i) documentar las causas y adoptar medidas preventivas para reducir la posibilidad de repetición.

19.10. Notificación a las Personas Titulares

Cuando ASN actúe como Responsable y confirme una vulneración que afecte de manera significativa los derechos patrimoniales o morales de las Personas Titulares, les informará sin dilación indebida, una vez que haya confirmado el incidente e iniciado las acciones necesarias para analizar y contener sus efectos.

La notificación podrá realizarse mediante correo electrónico, mensaje dentro de la Plataforma, notificación en la aplicación, llamada telefónica, aviso público u otro medio apropiado, considerando la información de contacto disponible, el número de personas afectadas, la urgencia y la naturaleza del incidente.

La comunicación incluirá, cuando resulte aplicable y se encuentre disponible:

a) la naturaleza general del incidente;

b) las categorías de datos personales comprometidos;

c) las posibles consecuencias o riesgos identificados;

d) las recomendaciones que la Persona Titular pueda adoptar para proteger sus intereses;

e) las acciones correctivas o de contención realizadas por ASN; y

f) los medios para solicitar información o asistencia adicional.

La comunicación podrá omitir detalles técnicos, evidencias, configuraciones o información cuya revelación incremente el riesgo de seguridad, afecte investigaciones en curso, vulnere derechos de terceros o contravenga una obligación legal.

19.11. Incidentes relacionados con datos tratados por cuenta de un Negocio

Cuando el incidente involucre datos personales respecto de los cuales ASN actúe como Persona Encargada, ASN informará al Negocio Responsable conforme a los medios, plazos y condiciones establecidos en el contrato aplicable y le proporcionará la información razonablemente disponible para que pueda valorar y cumplir sus obligaciones.

El Negocio será responsable de determinar y realizar las notificaciones a sus clientes, consumidores, trabajadores, proveedores u otras Personas Titulares cuando legalmente le corresponda, sin perjuicio de la asistencia técnica y documental que ASN pueda proporcionarle.

ASN podrá realizar directamente una comunicación cuando:

a) el Negocio lo instruya expresamente;

b) resulte necesario para contener el incidente o proteger a las Personas Titulares;

c) ASN también actúe como Responsable respecto de los datos afectados; o

d) una disposición legal o autoridad competente así lo exija.

19.12. Colaboración del Negocio y de las personas usuarias

Los Negocios y las personas usuarias autorizadas deberán adoptar medidas razonables para proteger sus Cuentas, incluyendo:

a) mantener en confidencialidad sus contraseñas, códigos y medios de autenticación;

b) utilizar contraseñas seguras y distintas para cada persona usuaria;

c) asignar únicamente los permisos necesarios;

d) eliminar o suspender oportunamente accesos de personas que dejen de colaborar con el Negocio;

e) mantener actualizados sus dispositivos, sistemas y datos de contacto;

f) evitar compartir Cuentas o credenciales;

g) revisar periódicamente los usuarios y permisos activos; y

h) reportar oportunamente actividades sospechosas, pérdida de dispositivos, accesos no reconocidos o posibles incidentes.

Los posibles incidentes podrán reportarse a soporte@cetb.mx. Cuando el reporte involucre datos personales o una solicitud de privacidad, también podrá enviarse a privacidad@cetb.mx.

El reporte deberá incluir únicamente la información necesaria para identificar y atender el evento, evitando enviar contraseñas, claves privadas, códigos completos de autenticación u otras credenciales confidenciales.

19.13. Alcance razonable de la seguridad

Ningún sistema o mecanismo de transmisión, almacenamiento o procesamiento de información puede garantizar seguridad absoluta.

ASN adoptará medidas razonables y proporcionales, pero no será responsable de incidentes derivados exclusivamente de actos imputables al Negocio, a sus administradores o a sus personas usuarias, como compartir credenciales, configurar permisos incorrectamente, utilizar dispositivos comprometidos o incumplir las recomendaciones de seguridad, salvo que el incidente también derive de una acción u omisión atribuible a ASN.

Lo anterior no limitará las responsabilidades que legalmente correspondan a ASN ni impedirá a las Personas Titulares ejercer sus derechos.

20. MODIFICACIONES, CONTACTO Y DISPOSICIONES FINALES

20.1. Modificaciones al Aviso de Privacidad

ASN podrá modificar o actualizar este Aviso de Privacidad como consecuencia de:

a) cambios legales, regulatorios o administrativos;

b) nuevos criterios o requerimientos de autoridades competentes;

c) modificaciones en los servicios, módulos o funcionalidades de CETB;

d) incorporación, sustitución o eliminación de proveedores e integraciones;

e) cambios en las categorías de datos, finalidades, tecnologías o procesos de tratamiento;

f) modificaciones en las medidas de seguridad o conservación; o

g) cambios en la estructura corporativa u operación de ASN.

20.2. Comunicación de los cambios

Las modificaciones serán comunicadas mediante uno o varios de los siguientes medios:

a) publicación del Aviso actualizado en la sección de privacidad de la Plataforma CETB;

b) mensaje o aviso dentro de la Cuenta;

c) notificación en las aplicaciones móviles;

d) correo electrónico enviado a la dirección registrada;

e) comunicación dirigida al administrador del Negocio; o

f) cualquier otro medio de contacto disponible y apropiado.

Las modificaciones menores, aclaraciones, correcciones de formato o actualizaciones que no alteren sustancialmente el tratamiento podrán comunicarse mediante la publicación de la nueva versión.

Cuando los cambios impliquen nuevas finalidades que requieran consentimiento, categorías de datos especialmente relevantes, transferencias que necesiten autorización o modificaciones sustanciales que afecten las decisiones de la Persona Titular, ASN proporcionará el aviso correspondiente y obtendrá nuevamente el consentimiento cuando legalmente resulte necesario.

20.3. Consulta de versiones

Cada versión del Aviso de Privacidad deberá identificar, por lo menos:

a) su número o identificador de versión;

b) la fecha de última actualización; y

c) la fecha de entrada en vigor.

Cuando resulte razonable y técnicamente posible, ASN podrá conservar un registro de versiones anteriores para consulta y evidencia del contenido informado en cada periodo.

Versión: 01
Fecha de última actualización: 10/10/2026
Fecha de entrada en vigor: 10/10/2026

20.4. Datos de contacto de privacidad

Para consultas, aclaraciones, solicitudes o reclamaciones relacionadas con este Aviso de Privacidad o con el tratamiento de datos personales, la Persona Titular podrá comunicarse con el área responsable de privacidad de ASN mediante:

Responsable: Asesoría y Sofisticación de Negocios, S.A. de C.V.
Correo de privacidad: privacidad@cetb.mx
Correo de soporte: soporte@cetb.mx
Domicilio: Cerrada del Manzano No. 14A, La Magdalena Panoaya, Texcoco C.P. 56203, estado de México.

El correo legal@cetb.mx podrá utilizarse para notificaciones contractuales o asuntos jurídicos generales; sin embargo, las solicitudes relacionadas específicamente con datos personales deberán enviarse preferentemente a privacidad@cetb.mx para facilitar su identificación y atención.

20.5. Autoridad competente

Si la Persona Titular considera que su derecho a la protección de datos personales ha sido vulnerado, podrá acudir ante la Secretaría Anticorrupción y Buen Gobierno o ante la autoridad que legalmente la sustituya o resulte competente, utilizando los medios y procedimientos establecidos en la legislación aplicable.

La Persona Titular podrá solicitar previamente orientación o presentar su reclamación directamente ante ASN mediante privacidad@cetb.mx, sin que ello constituya un requisito para acudir ante la autoridad cuando la legislación reconozca el derecho de hacerlo directamente.

20.6. Puesta a disposición y evidencia

ASN pondrá este Aviso de Privacidad a disposición de las Personas Titulares antes o al momento de recabar sus datos personales, mediante formatos impresos, electrónicos, visuales o cualquier otra tecnología permitida.

Cuando los datos sean recabados electrónicamente, ASN podrá presentar un Aviso de Privacidad simplificado que permita consultar este Aviso Integral.

ASN podrá conservar evidencia de la puesta a disposición del Aviso y, cuando corresponda, de los consentimientos otorgados, incluyendo:

a) fecha y hora;

b) versión del Aviso presentada;

c) identificador de la Cuenta o sesión;

d) dirección IP o información técnica equivalente;

e) mecanismo utilizado para manifestar la decisión;

f) preferencias seleccionadas; y

g) registros de modificación, revocación u oposición.

La aceptación de los Términos y Condiciones de CETB no sustituirá los consentimientos específicos que deban obtenerse en materia de datos personales.

La consulta, recepción o puesta a disposición de este Aviso tampoco se interpretará, por sí sola, como consentimiento expreso para tratamientos que legalmente requieran una manifestación específica.

20.7. Disponibilidad del Aviso

Este Aviso Integral de Privacidad deberá permanecer disponible para consulta en la Plataforma CETB, en https://cetb.com.mx/aviso y mediante los demás medios que ASN determine.

El Negocio Participante deberá facilitar su consulta a las personas usuarias autorizadas cuyos Datos Personales sean recabados directamente por ASN.

La disponibilidad de este Aviso no sustituye la obligación del Negocio Participante de proporcionar su propio aviso de privacidad a clientes, consumidores, trabajadores, proveedores y demás personas cuyos Datos incorpore o trate mediante CETB bajo su propia responsabilidad.

20.8. Interpretación y cumplimiento

Este Aviso de Privacidad se interpretará conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, su Reglamento y demás disposiciones aplicables.

Los encabezados se incluyen únicamente para facilitar su lectura y no limitarán el alcance de sus disposiciones.

Si alguna disposición resulta inválida, inaplicable o contraria a una norma obligatoria, se interpretará o ajustará en la medida necesaria para cumplir la legislación, sin afectar la validez de las demás disposiciones.

En caso de contradicción entre este Aviso y los Términos y Condiciones respecto del tratamiento de datos personales, prevalecerá este Aviso de Privacidad, sin perjuicio de las obligaciones contractuales legítimas que correspondan.

AVISO DE PRIVACIDAD INTEGRAL PARA USUARIOS FINALES DE CETB

Versión: 01
Fecha de publicación: 01/10/2026
Fecha de entrada en vigor: 01/10/2026

1. IDENTIDAD DE LA RESPONSABLE

1.1. Responsable del tratamiento

Asesoría y Sofisticación de Negocios, S.A. de C.V., en adelante “ASN”, es la persona moral responsable del tratamiento de los datos personales recabados mediante CETB, conforme a las finalidades, condiciones y alcances establecidos en este Aviso de Privacidad.

CETB, también identificada comercialmente como “Compra en tu Barrio”, es una plataforma tecnológica y ecosistema digital operado por ASN. La utilización de las denominaciones “CETB” o “la Plataforma” en este Aviso se refiere al medio tecnológico mediante el cual ASN presta sus servicios y realiza los tratamientos descritos.

1.2. Domicilio de la responsable

Para efectos del presente Aviso de Privacidad, ASN señala como domicilio:

Cerrada del Manzano No. 14A, La Magdalena Panoaya, Texcoco C.P. 56203, estado de México.

1.3. Departamento de datos personales

Las Personas Usuarias podrán presentar solicitudes, dudas, aclaraciones, quejas o comunicaciones relacionadas con el tratamiento de sus datos personales mediante:

Correo electrónico: privacidad@cetb.mx
Teléfono: 55 28489316

Las solicitudes de soporte operativo que no estén relacionadas con datos personales deberán enviarse a soporte@cetb.mx. Las notificaciones contractuales o asuntos jurídicos generales deberán dirigirse a legal@cetb.mx.

2. OBJETO DEL AVISO DE PRIVACIDAD

2.1. Finalidad del documento

Este Aviso de Privacidad tiene por objeto informar a las Personas Usuarias:

a) qué datos personales recaba ASN;

b) por qué medios se obtienen;

c) para qué finalidades son tratados;

d) qué tecnologías y proveedores intervienen;

e) con quién pueden compartirse;

f) durante cuánto tiempo pueden conservarse;

g) qué medidas generales se adoptan para protegerlos; y

h) cómo pueden ejercer sus derechos en materia de protección de datos personales.

2.2. Alcance personal

Este Aviso es aplicable a las personas físicas que:

a) visiten, consulten o naveguen en CETB;

b) creen o administren una Cuenta de usuario final;

c) consulten el Directorio Digital;

d) sigan o se suscriban a Negocios Participantes;

e) consulten, obtengan o utilicen promociones, Cupones o beneficios;

f) realicen o intenten realizar Pedidos, compras, reservaciones o solicitudes;

g) utilicen opciones de entrega o recolección;

h) participen en actividades, grupos, eventos o espacios de la Comunidad CETB;

i) publiquen reseñas, calificaciones, comentarios u otros contenidos;

j) utilicen Monedas CETB;

k) interactúen con Exebia CETB u otras funciones de inteligencia artificial;

l) soliciten soporte, presenten aclaraciones o reclamaciones; o

m) utilicen cualquier otra funcionalidad dirigida a clientes, consumidores o usuarios finales de CETB.

2.3. Personas que no quedan comprendidas

Las personas que utilicen CETB en representación de un Negocio Participante para administrar un punto de venta, inventario, sucursales, ventas, clientes, personal, facturación u otros módulos empresariales estarán sujetas adicionalmente al Aviso de Privacidad Integral para Negocios Participantes de CETB.

Cuando una misma persona utilice CETB como representante de un Negocio y también como consumidora o usuaria final, cada tratamiento se regirá por el aviso correspondiente según la función, Cuenta o contexto en que se obtengan los datos.

2.4. Uso sin Cuenta

Determinadas funciones podrán utilizarse sin crear una Cuenta. En esos casos, ASN podrá tratar información técnica, de navegación, dispositivo, seguridad, ubicación momentánea o interacción, de acuerdo con las funcionalidades utilizadas y las finalidades descritas en este Aviso.

El uso sin Cuenta no significa que toda la información sea necesariamente anónima. Algunos identificadores técnicos podrían considerarse datos personales cuando permitan identificar directa o indirectamente a una persona.

2.5. Negocios Participantes como responsables independientes

Los Negocios Participantes son personas físicas o morales jurídicamente independientes de ASN. Cuando un Negocio reciba datos de una Persona Usuaria para preparar, entregar, facturar o atender un Pedido, podrá actuar como responsable independiente respecto de los tratamientos que realice bajo su propio control.

Cada Negocio será responsable de:

a) utilizar los datos únicamente para finalidades legítimas relacionadas con la operación;

b) proteger la información recibida;

c) evitar su uso para publicidad no autorizada;

d) atender los derechos que correspondan respecto de los tratamientos realizados directamente por el Negocio; y

e) proporcionar su propio aviso de privacidad cuando legalmente resulte necesario.

La intervención de un Negocio no elimina las responsabilidades que correspondan a ASN respecto de los datos tratados directamente mediante CETB.

2.6. Proveedores que actúan por cuenta de ASN

ASN podrá utilizar proveedores de infraestructura, alojamiento, bases de datos, mensajería, pagos, mapas, seguridad, soporte, notificaciones, análisis técnico e inteligencia artificial.

Cuando dichos proveedores traten datos personales siguiendo instrucciones de ASN y exclusivamente para prestar los servicios contratados, actuarán como encargados o prestadores de servicios. Las transferencias y remisiones correspondientes se explicarán en los apartados posteriores de este Aviso.

3. MARCO NORMATIVO Y PRINCIPIOS DEL TRATAMIENTO

3.1. Legislación aplicable

ASN tratará los datos personales conforme a la Constitución Política de los Estados Unidos Mexicanos, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, sus disposiciones reglamentarias y demás normas aplicables.

3.2. Principios aplicables al tratamiento

ASN tratará los datos personales observando los principios de licitud, finalidad, lealtad, consentimiento, calidad, proporcionalidad, información y responsabilidad, conforme a la legislación aplicable.

Para cumplir estos principios, ASN deberá:

a) obtener y tratar los datos personales de manera lícita, leal y conforme a las condiciones informadas a la Persona Usuaria;

b) recabar únicamente los datos personales que resulten adecuados, relevantes y necesarios para las finalidades descritas en este Aviso;

c) utilizar los datos exclusivamente para las finalidades informadas, compatibles o legalmente permitidas;

d) obtener el consentimiento de la Persona Usuaria cuando resulte legalmente necesario y conservar evidencia de su otorgamiento, modificación o retiro;

e) mantener los datos exactos, completos, correctos y actualizados cuando la naturaleza del tratamiento lo requiera;

f) limitar la conservación de los datos al periodo necesario para cumplir las finalidades informadas, las obligaciones aplicables y los plazos de prescripción correspondientes;

g) bloquear, eliminar o disociar los datos cuando dejen de ser necesarios, conforme a los plazos y excepciones señalados en este Aviso;

h) implementar medidas administrativas, técnicas y físicas razonables para proteger los datos contra daño, pérdida, alteración, destrucción, uso, acceso, divulgación o tratamiento no autorizado;

i) proporcionar a las Personas Usuarias información clara, suficiente y accesible sobre las condiciones del tratamiento;

j) respetar las decisiones, consentimientos, preferencias y derechos de las Personas Usuarias;

k) limitar el acceso a los datos al personal, proveedores y terceros que necesiten tratarlos para una finalidad autorizada;

l) supervisar que las personas encargadas y proveedores actúen conforme a las instrucciones de ASN y a las obligaciones de privacidad y seguridad aplicables; y

m) documentar las políticas, decisiones, controles y medidas adoptadas para acreditar el cumplimiento de sus obligaciones en materia de protección de datos personales.

ASN será responsable de garantizar el cumplimiento de estos principios durante todo el ciclo de tratamiento de los datos personales, desde su obtención hasta su eliminación o disociación definitiva.

3.3. Consentimiento

El consentimiento podrá obtenerse mediante mecanismos electrónicos, incluyendo casillas, botones, configuraciones, permisos del dispositivo, códigos de verificación o cualquier otro medio que permita atribuir razonablemente la manifestación a la Persona Usuaria.

Cuando el tratamiento sea necesario para proporcionar una función solicitada, ejecutar una relación jurídica o cumplir una obligación legal, se aplicarán las bases y excepciones reconocidas por la legislación.

El consentimiento para finalidades secundarias, datos sensibles, transferencias o tratamientos que requieran una autorización especial se solicitará de manera diferenciada cuando resulte necesario.

3.4. Independencia respecto de los Términos y Condiciones

La aceptación de los Términos y Condiciones para Usuarios Finales de CETB no sustituye los consentimientos específicos que deban obtenerse en materia de datos personales.

Asimismo, la negativa o revocación del consentimiento para finalidades secundarias no impedirá utilizar las funciones esenciales de CETB, salvo que el tratamiento sea indispensable para proporcionar una funcionalidad solicitada expresamente por la Persona Usuaria.

4. DATOS PERSONALES QUE PUEDE TRATAR CETB

Los datos personales tratados por ASN dependerán de las funcionalidades que utilice la Persona Usuaria. CETB no necesariamente recabará todas las categorías descritas en este apartado respecto de todas las personas.

4.1. Datos de identificación

ASN podrá recabar:

a) nombre y apellidos;

b) nombre de usuario o alias;

c) fotografía o imagen de perfil;

d) fecha de nacimiento o confirmación de mayoría de edad, cuando resulte necesaria;

e) identificador interno de la Persona Usuaria;

f) firma autógrafa o electrónica, cuando alguna operación la requiera; y

g) documentos de identificación, únicamente cuando sean necesarios para verificar identidad, atender una reclamación, prevenir fraude o cumplir una obligación legal.

4.2. Datos de contacto

ASN podrá tratar:

a) correo electrónico;

b) número telefónico;

c) domicilio de entrega;

d) direcciones guardadas voluntariamente;

e) referencias para localizar un domicilio;

f) entidad federativa, municipio, alcaldía, colonia y código postal; y

g) medios de contacto seleccionados por la Persona Usuaria.

4.3. Datos de registro, Cuenta y autenticación

Para crear, proteger y administrar una Cuenta, CETB podrá tratar:

a) identificador de Cuenta;

b) fecha y hora de registro;

c) estado de la Cuenta;

d) métodos de autenticación habilitados;

e) contraseñas protegidas o elementos técnicos de autenticación;

f) códigos temporales de verificación;

g) registros de inicio y cierre de sesión;

h) intentos de acceso;

i) dispositivos vinculados;

j) cambios de contraseña o recuperación de acceso;

k) aceptación de Términos, avisos, permisos y consentimientos; y

l) versión de los documentos aceptados.

ASN no solicitará que la Persona Usuaria proporcione mediante correo electrónico, llamadas, mensajes o formularios de soporte sus contraseñas completas, códigos de autenticación vigentes o claves privadas.

4.4. Datos de ubicación y entrega

Cuando la Persona Usuaria habilite una función que requiera ubicación, CETB podrá tratar:

a) ubicación aproximada o precisa proporcionada momentáneamente por el dispositivo;

b) coordenadas necesarias para identificar Negocios cercanos, cobertura o rutas;

c) ubicación de origen o destino para una entrega;

d) domicilio seleccionado;

e) referencias de entrega;

f) sucursal o punto de recolección; y

g) evidencia de ubicación relacionada con la entrega, cuando resulte necesaria.

La ubicación utilizada para mostrar Negocios cercanos o calcular cobertura se procesará de manera momentánea y no se conservará como un historial continuo de desplazamientos.

Lo anterior no impide conservar:

a) domicilios guardados voluntariamente por la Persona Usuaria;

b) ubicación asociada a un Pedido o entrega;

c) información necesaria para acreditar una operación;

d) registros indispensables para seguridad o prevención de fraude; o

e) datos que deban conservarse por obligación legal.

4.5. Datos de carritos, Pedidos, compras y operaciones

ASN podrá tratar información relacionada con:

a) productos y servicios consultados;

b) productos añadidos al carrito;

c) cantidades, presentaciones, medidas o pesos;

d) Negocio y sucursal seleccionados;

e) fecha y hora de la operación;

f) precio, impuestos, descuentos, comisiones, propinas y cargos;

g) promociones o Cupones aplicados;

h) modalidad de entrega, recolección o consumo;

i) estado del Pedido;

j) modificaciones, sustituciones o cancelaciones;

k) comprobantes;

l) entregas, códigos, confirmaciones, fotografías o evidencia de recepción;

m) devoluciones, garantías y reembolsos;

n) aclaraciones y reclamaciones; y

o) historial de operaciones.

Los carritos identificables podrán conservarse temporalmente hasta por noventa días, salvo que una operación, reclamación, medida de seguridad u obligación legal justifique un periodo distinto.

4.6. Datos fiscales y de facturación

Cuando la Persona Usuaria solicite una factura, ASN o el Negocio responsable podrán tratar:

a) nombre o razón social;

b) Registro Federal de Contribuyentes;

c) domicilio o código postal fiscal;

d) régimen fiscal;

e) uso del comprobante fiscal;

f) correo para envío de la factura;

g) constancia de situación fiscal, cuando resulte necesaria; y

h) demás información requerida por la normativa fiscal aplicable.

La obligación de emitir la factura corresponderá al proveedor que haya realizado la venta o prestado el servicio. CETB podrá facilitar la captura, transmisión o consulta de la información.

4.7. Datos relacionados con pagos

Actualmente, las funciones de pago mediante Stripe se encuentran en etapa de pruebas y no están disponibles de manera general para las Personas Usuarias.

Cuando estas funciones sean habilitadas, podrán utilizarse para pagar suscripciones al punto de venta, adquirir Monedas CETB y realizar otras operaciones o pagos expresamente disponibles en la Plataforma.

Para administrar estas operaciones, ASN podrá recibir y tratar los siguientes datos:

a) identificador del PaymentIntent generado por Stripe;

b) identificador del cargo;

c) estado de autorización, procesamiento, confirmación, rechazo, cancelación, devolución, reembolso, disputa o contracargo;

d) importe de la operación;

e) moneda utilizada;

f) comisión cobrada por Stripe;

g) importe neto de la operación;

h) fecha y hora de creación, autorización y confirmación del pago;

i) identificador de cliente asignado por Stripe;

j) identificador interno de la Persona Usuaria;

k) identificador del Negocio, cuenta o tenant correspondiente;

l) concepto, producto o servicio pagado, incluyendo, según corresponda, suscripciones, adquisición de Monedas CETB, recargas o pagos de servicios;

m) proveedor, carrier, número o referencia relacionada con el servicio pagado, cuando resulte aplicable;

n) identificador del pedido, recarga, transacción u operación interna;

o) tipo general del método de pago;

p) marca de la tarjeta;

q) últimos cuatro dígitos de la tarjeta;

r) mes y año de vencimiento;

s) tipo de fondeo, como crédito, débito o prepago;

t) país de emisión de la tarjeta;

u) código y mensaje de error o rechazo, cuando corresponda;

v) identificador, importe, motivo y estado de reembolsos o devoluciones;

w) identificador, importe, motivo y estado de disputas o contracargos;

x) identificador del evento o notificación webhook generado por Stripe; y

y) demás información estrictamente necesaria para conciliar la operación, prevenir fraude, proporcionar soporte, atender aclaraciones o cumplir obligaciones legales.

ASN no recibe ni almacena el número completo de la tarjeta, el código de seguridad, el NIP, contraseñas bancarias ni otras credenciales que permitan utilizar directamente el medio de pago.

Los datos completos de la tarjeta serán recabados y procesados directamente por Stripe mediante sus propios sistemas y medidas de seguridad.

4.8. Datos relacionados con promociones, Cupones y Monedas CETB

ASN podrá tratar:

a) promociones y Cupones consultados, obtenidos o utilizados;

b) códigos o identificadores de canje;

c) Negocio que emitió o aceptó el beneficio;

d) fecha, hora y sucursal de uso;

e) cumplimiento de requisitos promocionales;

f) historial de recompensas;

g) saldo de Monedas CETB;

h) origen de las Monedas;

i) movimientos, usos, ajustes y reversiones;

j) fechas de vencimiento; y

k) aclaraciones relacionadas con saldos o beneficios.

4.9. Datos de navegación, interacción y comportamiento

CETB podrá registrar eventos relacionados con la forma en que la Persona Usuaria utiliza la Plataforma, incluyendo:

a) módulos o secciones visitados;

b) Negocios consultados o seguidos;

c) Cupones vistos, seleccionados o canjeados;

d) productos consultados;

e) búsquedas realizadas;

f) interacciones con promociones;

g) intereses y preferencias manifestados;

h) compras y frecuencia de uso;

i) acciones realizadas dentro de la Cuenta;

j) identificador interno de la Persona Usuaria;

k) identificador del Negocio, Cupón, campaña o módulo relacionado;

l) tipo de evento; y

m) fecha y hora del evento.

Estos eventos se almacenan como registros operativos dentro de la infraestructura de CETB. Actualmente no se exportan a Google Analytics 4 ni a BigQuery.

La información de comportamiento únicamente se utilizará para publicidad o recomendaciones personalizadas cuando la Persona Usuaria haya otorgado el consentimiento correspondiente.

4.10. Preferencias y suscripciones

ASN podrá tratar:

a) Negocios seguidos;

b) categorías de interés;

c) productos preferidos;

d) preferencias de entrega;

e) configuración de idioma;

f) preferencias de comunicación;

g) suscripciones a notificaciones;

h) consentimiento para promociones;

i) consentimiento para recomendaciones personalizadas;

j) canales autorizados; y

k) registros de consentimiento, negativa o revocación.

4.11. Datos de comunicaciones, soporte y reclamaciones

Cuando la Persona Usuaria se comunique con ASN o con un Negocio mediante CETB, podrán tratarse:

a) nombre y datos de contacto;

b) contenido de mensajes;

c) correos electrónicos;

d) solicitudes de soporte;

e) números de reporte o folio;

f) archivos, fotografías, audios o documentos adjuntos;

g) comunicaciones relacionadas con Pedidos;

h) descripción de incidencias;

i) respuestas y seguimiento;

j) fecha, hora y canal de comunicación; y

k) evidencia necesaria para resolver una aclaración o reclamación.

La Persona Usuaria deberá evitar enviar contraseñas, códigos de autenticación, información financiera completa o datos personales de terceros que no sean necesarios para resolver el asunto.

4.12. Datos publicados en la Comunidad CETB

Cuando la Persona Usuaria participe en funciones comunitarias, ASN podrá tratar:

a) nombre, alias e imagen de perfil;

b) reseñas y calificaciones;

c) comentarios;

d) fotografías, videos, audios o archivos;

e) respuestas a publicaciones;

f) participación en grupos;

g) reportes de contenido;

h) interacciones con otras personas;

i) historial de moderación; y

j) demás Contenido publicado voluntariamente.

La Persona Usuaria deberá considerar que determinados contenidos podrán ser visibles para otras Personas Usuarias, Negocios o visitantes, de acuerdo con la configuración y naturaleza de la función utilizada.

4.13. Datos relacionados con eventos y actividades

Cuando la Persona Usuaria se registre o participe en un evento, ASN podrá tratar:

a) nombre;

b) datos de contacto;

c) evento seleccionado;

d) registro, asistencia y acceso;

e) pago, cuando corresponda;

f) preferencias o requerimientos comunicados;

g) participación en dinámicas;

h) fotografías, audio o video captados durante el evento; e

i) información necesaria para seguridad y atención de incidencias.

Las entrevistas, testimonios, primeros planos o utilización promocional individualizada de la imagen o voz requerirán la autorización correspondiente. Las tomas generales del evento se tratarán conforme a la legislación y a la información proporcionada a las personas asistentes.

4.14. Datos tratados mediante Exebia CETB

Cuando la Persona Usuaria utilice Exebia CETB, ASN podrá tratar:

a) preguntas, instrucciones o prompts;

b) respuestas generadas;

c) archivos o contenidos proporcionados voluntariamente;

d) historial de conversaciones;

e) fecha y hora de cada interacción;

f) identificador interno de la Persona Usuaria;

g) funcionalidad, agente o herramienta utilizada;

h) contexto necesario para generar la respuesta;

i) modelo o configuración técnica utilizada;

j) número de solicitudes;

k) consumo aproximado de recursos o tokens;

l) latencia;

m) errores y registros de ejecución; y

n) reportes o evaluaciones sobre las respuestas.

Los prompts y respuestas completas que se conserven para proporcionar historial, continuidad, soporte, seguridad y trazabilidad estarán sujetos a los plazos establecidos en este Aviso.

ASN no utilizará los prompts, respuestas, conversaciones, archivos, documentos, contenidos ni demás datos personales de la Persona Usuaria para entrenar o realizar ajustes especializados —fine-tuning— de modelos de inteligencia artificial, sean modelos generales, especializados, propios o de terceros.

Esta prohibición no impide el tratamiento estrictamente necesario para generar una respuesta, ejecutar una función solicitada, mantener la continuidad de una conversación, medir el funcionamiento técnico, controlar consumos, prevenir abusos, resolver errores, brindar soporte o mantener la seguridad de Exebia CETB.

La Persona Usuaria deberá abstenerse de introducir datos personales sensibles, información confidencial, secretos empresariales, datos financieros completos, contraseñas, credenciales o información personal de terceros que no resulte indispensable y respecto de la cual no cuente con autorización.

4.15. Datos técnicos, del dispositivo y de seguridad

ASN podrá tratar:

a) dirección IP;

b) sistema operativo;

c) navegador;

d) versión de la aplicación;

e) modelo o tipo de dispositivo;

f) idioma y zona horaria;

g) identificadores técnicos de sesión;

h) identificadores de instalación o dispositivo;

i) token técnico de Firebase Cloud Messaging, cuando la Persona Usuaria haya autorizado las notificaciones promocionales;

j) fecha y hora de acceso;

k) registros de solicitudes y respuestas;

l) errores, fallas y diagnósticos;

m) eventos de seguridad;

n) intentos de autenticación;

o) actividad potencialmente fraudulenta o automatizada;

p) información sobre rendimiento, latencia y disponibilidad; y

q) registros necesarios para proteger la Cuenta y la infraestructura.

Los tokens de Firebase Cloud Messaging se utilizarán exclusivamente para enviar notificaciones push relacionadas con Cupones y promociones previamente autorizadas por la Persona Usuaria.

Firebase Cloud Messaging no se utiliza actualmente para enviar códigos de autenticación, avisos de recuperación de Cuenta, comprobantes, información sobre Pedidos o entregas, alertas de seguridad, respuestas de soporte ni otras comunicaciones operativas.

Las comunicaciones operativas podrán enviarse mediante correo electrónico, SMS, avisos dentro de CETB u otros canales distintos de Firebase Cloud Messaging que se encuentren habilitados e informados en este Aviso.

4.16. Datos inferidos y perfiles de preferencias

A partir de las interacciones realizadas dentro de CETB, ASN podrá generar inferencias sobre:

a) categorías o productos de interés;

b) Negocios preferidos;

c) frecuencia de compra;

d) preferencias de ubicación o entrega;

e) promociones relevantes;

f) patrones de navegación;

g) probabilidad de interés en determinados contenidos; y

h) recomendaciones de Negocios, productos o beneficios.

Estos perfiles no se utilizarán para adoptar decisiones exclusivamente automatizadas que produzcan efectos jurídicos o afecten significativamente a la Persona Usuaria.

La utilización de perfiles para marketing, publicidad o recomendaciones personalizadas requerirá el consentimiento correspondiente y podrá desactivarse conforme a este Aviso.

5. DATOS PERSONALES SENSIBLES

5.1. Regla general

CETB no requiere ordinariamente datos personales sensibles para crear una Cuenta, consultar Negocios, obtener Cupones o realizar compras comunes.

ASN no solicitará de manera general información sobre origen racial o étnico, estado de salud, información genética, creencias religiosas, opiniones políticas, preferencia sexual o cualquier otra información cuya utilización indebida pueda generar discriminación o un riesgo grave para la Persona Usuaria.

5.2. Datos sensibles proporcionados voluntariamente

Es posible que una Persona Usuaria proporcione voluntariamente información sensible mediante:

a) solicitudes de soporte;

b) reclamaciones;

c) participación en determinados eventos;

d) comunicaciones con un Negocio;

e) archivos adjuntos; o

f) conversaciones con Exebia CETB.

Cuando ASN reciba dicha información, la tratará únicamente en la medida necesaria para atender la solicitud, proteger intereses legítimos o cumplir obligaciones legales. Cuando la legislación requiera consentimiento expreso, éste será solicitado mediante el mecanismo correspondiente.

ASN podrá solicitar que se elimine, o podrá eliminar de forma segura, información sensible que no resulte necesaria para atender la finalidad informada.

5.3. Datos biométricos del dispositivo

CETB podrá permitir que la Persona Usuaria utilice funciones de autenticación biométrica disponibles en su dispositivo, como huella digital o reconocimiento facial.

Salvo que se informe expresamente lo contrario, ASN no recibirá ni almacenará las plantillas biométricas utilizadas por el sistema operativo del dispositivo. CETB únicamente podrá recibir la confirmación de que la autenticación local fue aprobada o rechazada.

6. DATOS DE MENORES DE EDAD Y DE TERCEROS

6.1. Personas menores de edad

CETB no está dirigida a la creación autónoma de Cuentas por personas menores de edad. Las operaciones deberán ser realizadas por una persona mayor de edad con capacidad legal.

Si ASN identifica que una Cuenta fue creada directamente por una persona menor sin autorización suficiente, podrá restringirla y adoptar medidas razonables para verificar la situación, obtener la autorización correspondiente o eliminar los datos cuando proceda.

6.2. Uso supervisado y datos de personas menores de edad

Las personas menores de edad no podrán crear, administrar ni utilizar autónomamente una Cuenta CETB, aceptar los Términos y Condiciones, otorgar consentimientos en materia de privacidad ni realizar operaciones por sí mismas dentro de la Plataforma.

Una persona menor de edad únicamente podrá consultar contenidos o utilizar funciones apropiadas para su edad bajo la supervisión directa y responsabilidad de su madre, padre, tutor o representante legal. Dicha supervisión no convertirá a la persona menor en titular autónoma de una Cuenta ni la facultará para administrar credenciales, modificar configuraciones de privacidad o actuar jurídicamente en nombre propio.

Las compras, Pedidos, pagos, solicitudes de entrega y demás operaciones que puedan generar obligaciones deberán ser realizadas y confirmadas por una persona mayor de edad con capacidad legal, quien asumirá la responsabilidad correspondiente.

En ningún caso una persona menor de edad podrá realizar, solicitar o intervenir en operaciones relacionadas con productos o servicios cuya adquisición, posesión, consumo, entrega o utilización se encuentre legalmente restringida por razón de edad. ASN y los Negocios podrán aplicar medidas razonables de verificación y rechazar, suspender o cancelar cualquier operación cuando existan dudas sobre la edad o capacidad de la persona que la realiza.

Una Persona Usuaria adulta únicamente podrá proporcionar datos personales de una persona menor de edad cuando:

a) sean indispensables para una finalidad legítima, específica e informada;

b) cuente con la patria potestad, tutela, representación legal o autorización necesaria;

c) el tratamiento resulte apropiado considerando el interés superior de la persona menor de edad;

d) se proporcione únicamente la información estrictamente necesaria; y

e) se otorguen los consentimientos exigidos por la legislación aplicable.

ASN podrá solicitar información o documentación razonable para verificar la edad, la identidad, la relación con la persona menor y las facultades de quien otorgue la autorización. La información solicitada deberá limitarse a lo necesario para realizar dicha verificación.

ASN aplicará medidas reforzadas de protección cuando tenga conocimiento de que trata datos personales de una persona menor de edad. Dichas medidas podrán incluir:

a) restricciones de acceso o funcionalidad;

b) mecanismos de autorización o control parental;

c) limitaciones a la personalización y a las comunicaciones promocionales;

d) revisión de la necesidad y proporcionalidad del tratamiento;

e) periodos de conservación reducidos cuando resulte procedente; y

f) eliminación, bloqueo o disociación de la información cuando haya dejado de ser necesaria.

Los datos de personas menores de edad no deberán utilizarse para publicidad comportamental, elaboración de perfiles comerciales ni personalización promocional, salvo que el tratamiento sea legalmente procedente, resulte apropiado para su edad y se cuente con la autorización válida de quien ejerza la patria potestad, tutela o representación legal.

Si ASN identifica que una persona menor de edad creó o utiliza una Cuenta sin supervisión o autorización suficiente, podrá restringir o suspender la Cuenta, impedir la realización de operaciones, solicitar la intervención de una persona adulta responsable y eliminar o bloquear los datos personales cuando corresponda.

El ejercicio de los derechos de acceso, rectificación, cancelación y oposición respecto de datos de personas menores de edad deberá realizarse por quien acredite la patria potestad, tutela o representación legal, sin perjuicio de los derechos que correspondan directamente a la persona menor conforme a su edad, grado de madurez y legislación aplicable.

6.3. Datos de otras personas

La Persona Usuaria podrá proporcionar datos de terceros, por ejemplo:

a) nombre y teléfono de una persona autorizada para recibir un Pedido;

b) datos de un destinatario;

c) información contenida en una reclamación;

d) datos necesarios para una factura; o

e) contenido publicado con autorización.

La Persona Usuaria deberá proporcionar únicamente los datos indispensables e informar a la persona correspondiente cuando resulte necesario. ASN utilizará dichos datos exclusivamente para cumplir la finalidad relacionada con su recepción o cualquier obligación legal aplicable.

7. FUENTES DE OBTENCIÓN

7.1. Datos proporcionados directamente

ASN podrá obtener datos cuando la Persona Usuaria:

a) crea o actualiza su Cuenta;

b) completa formularios;

c) guarda un domicilio;

d) realiza un Pedido;

e) solicita una factura;

f) utiliza Cupones o Monedas CETB;

g) publica Contenido;

h) participa en eventos;

i) utiliza Exebia CETB;

j) configura sus preferencias; o

k) se comunica con soporte.

7.2. Datos obtenidos automáticamente

CETB podrá generar o recibir automáticamente información cuando la Persona Usuaria:

a) accede a la Plataforma;

b) inicia sesión;

c) navega por módulos;

d) consulta Negocios, productos o Cupones;

e) utiliza funciones de ubicación;

f) recibe o abre notificaciones;

g) realiza operaciones;

h) interactúa con Exebia CETB; o

i) utiliza funciones de seguridad o autenticación.

7.3. Datos proporcionados por Negocios y prestadores de servicios

ASN podrá recibir información de:

a) Negocios Participantes;

b) proveedores de pago;

c) prestadores de entrega;

d) servicios de facturación;

e) proveedores de mapas y ubicación;

f) servicios de mensajería y notificaciones;

g) proveedores de autenticación;

h) tiendas de aplicaciones;

i) proveedores de infraestructura tecnológica; y

j) otras integraciones solicitadas por la Persona Usuaria.

La información recibida se limitará, en la medida razonablemente posible, a la necesaria para proporcionar el servicio, actualizar el estado de una operación, prevenir fraude, atender reclamaciones o cumplir obligaciones legales.

7.4. Datos obtenidos mediante permisos del dispositivo

Determinadas funciones podrán solicitar acceso a:

a) ubicación;

b) cámara;

c) fotografías o archivos;

d) notificaciones;

e) micrófono; o

f) cualquier otro recurso necesario para una funcionalidad específica.

La Persona Usuaria podrá aceptar o rechazar estos permisos desde su dispositivo. La negativa podrá impedir el uso de la función relacionada, pero no deberá bloquear funcionalidades que no dependan del permiso.

La autorización otorgada al sistema operativo no implica por sí misma que ASN acceda permanentemente a todo el contenido del dispositivo. CETB únicamente deberá acceder a la información seleccionada o necesaria para ejecutar la función solicitada.

8. FINALIDADES PRIMARIAS O NECESARIAS

ASN tratará los datos personales de las Personas Usuarias para las finalidades primarias descritas en este apartado. Estas finalidades son necesarias para proporcionar las funcionalidades solicitadas, administrar la relación jurídica, mantener la seguridad y cumplir obligaciones legales.

8.1. Registro y administración de la Cuenta

ASN podrá tratar datos personales para:

a) registrar a la Persona Usuaria;

b) crear y administrar su Cuenta;

c) asignar un identificador interno;

d) verificar el correo electrónico o número telefónico;

e) autenticar el acceso;

f) recuperar el acceso a la Cuenta;

g) actualizar datos y preferencias;

h) administrar sesiones y dispositivos vinculados;

i) registrar la aceptación de Términos, avisos y permisos;

j) atender solicitudes de cancelación; y

k) mantener el historial indispensable de la relación jurídica.

8.2. Verificación de identidad y capacidad

Cuando resulte necesario, ASN podrá tratar datos para:

a) verificar que la Persona Usuaria sea mayor de edad;

b) comprobar la identidad de quien solicita acceso, recuperación o modificación de una Cuenta;

c) confirmar la representación o autorización para actuar en nombre de otra persona;

d) prevenir suplantaciones;

e) validar requisitos aplicables a productos o servicios restringidos; y

f) cumplir solicitudes legítimas de autoridades competentes.

ASN procurará utilizar mecanismos proporcionales al riesgo y evitará solicitar documentos de identificación cuando existan medios menos invasivos razonablemente suficientes.

8.3. Operación del Directorio Digital

ASN podrá utilizar datos personales para:

a) mostrar Negocios cercanos o relevantes;

b) permitir búsquedas y filtros;

c) presentar ubicaciones, horarios y medios de contacto;

d) mostrar productos, servicios, promociones y Cupones;

e) identificar sucursales disponibles;

f) calcular cobertura; y

g) permitir que la Persona Usuaria consulte o siga Negocios.

La ubicación utilizada para estas funciones se procesará momentáneamente, salvo que la Persona Usuaria guarde voluntariamente una dirección o que la información deba vincularse con una operación.

8.4. Administración de carritos

ASN podrá tratar datos para:

a) crear y conservar temporalmente un carrito;

b) recuperar productos seleccionados;

c) calcular importes estimados;

d) aplicar promociones o Cupones;

e) identificar el Negocio y sucursal seleccionados;

f) mostrar disponibilidad y condiciones; y

g) permitir que la Persona Usuaria revise o modifique su selección antes de confirmar.

Los carritos identificables podrán conservarse hasta por noventa días, salvo que se conviertan en una operación, sean necesarios para atender una incidencia o deban conservarse por otra causa legítima informada.

8.5. Gestión de Pedidos, compras y servicios

ASN podrá tratar datos para:

a) recibir y transmitir Pedidos;

b) identificar a la Persona Usuaria y al Negocio responsable;

c) confirmar productos, cantidades, precios y condiciones;

d) verificar disponibilidad;

e) registrar la aceptación o rechazo del Pedido;

f) comunicar cambios de estado;

g) gestionar modificaciones o sustituciones autorizadas;

h) administrar cancelaciones;

i) conservar el historial de la operación;

j) generar comprobantes; y

k) acreditar las condiciones bajo las cuales se celebró la operación.

8.6. Procesamiento y conciliación de pagos

Cuando las funciones de pago mediante Stripe sean habilitadas, ASN podrá tratar datos personales y transaccionales para:

a) presentar los medios de pago disponibles;

b) vincular la operación con la Persona Usuaria, el Negocio, la cuenta o el tenant correspondiente;

c) transmitir a Stripe las instrucciones necesarias para iniciar y procesar el pago;

d) verificar la autorización, confirmación, rechazo o cancelación de la operación;

e) registrar el importe, moneda, comisión de Stripe y monto neto de la operación;

f) identificar la suscripción, adquisición de Monedas CETB, recarga, producto, servicio u operación pagada;

g) conciliar los pagos recibidos por ASN con las operaciones registradas en CETB;

h) detectar cobros duplicados, incorrectos, no reconocidos o potencialmente fraudulentos;

i) atender errores, rechazos e incidencias relacionados con el pago;

j) gestionar cancelaciones, devoluciones y reembolsos;

k) atender aclaraciones, disputas y contracargos;

l) generar comprobantes y mantener evidencia de la operación;

m) proporcionar soporte a la Persona Usuaria;

n) cumplir obligaciones contractuales, fiscales, contables y legales; y

o) ejercer o defender los derechos de ASN, de la Persona Usuaria o de terceros involucrados.

El dinero de las operaciones procesadas mediante Stripe será recibido inicialmente por ASN, de acuerdo con la configuración de la cuenta y las condiciones aplicables al servicio.

ASN no utiliza actualmente Stripe Connect. La habilitación futura de Stripe Connect o de cualquier modalidad que modifique la forma en que se distribuyen o reciben los pagos será evaluada y, cuando resulte necesario, informada mediante la actualización de este Aviso de Privacidad.

Stripe podrá tratar directamente los datos financieros y del medio de pago conforme a sus propios términos, políticas de seguridad y aviso de privacidad. ASN únicamente recibirá los datos necesarios para identificar, administrar, conciliar y acreditar la operación.

8.7. Entrega, recolección y confirmación de recepción

ASN podrá tratar datos para:

a) proporcionar el domicilio o punto de entrega al responsable correspondiente;

b) calcular cobertura y ruta;

c) comunicar referencias e instrucciones;

d) coordinar al Negocio, persona repartidora o prestador de entrega;

e) enviar actualizaciones sobre el Pedido;

f) contactar a la Persona Usuaria cuando exista una incidencia;

g) utilizar códigos, PIN o QR de entrega;

h) registrar la recepción;

i) obtener evidencia razonable de entrega; y

j) atender reclamaciones por pérdida, daño, retraso o entrega incorrecta.

Los datos proporcionados para una entrega deberán utilizarse únicamente para completar la operación, atender incidencias y cumplir obligaciones relacionadas.

8.8. Facturación y cumplimiento fiscal

ASN podrá tratar y transmitir datos fiscales para:

a) recibir solicitudes de factura;

b) validar que se proporcione la información requerida;

c) transmitirla al Negocio o proveedor obligado a facturar;

d) generar, consultar o enviar comprobantes fiscales;

e) corregir errores de facturación;

f) conservar registros fiscales; y

g) cumplir obligaciones ante autoridades competentes.

Cuando la factura sea emitida por un Negocio, éste será responsable del tratamiento que realice para cumplir sus obligaciones fiscales.

8.9. Administración de promociones y Cupones

ASN podrá tratar datos para:

a) asignar promociones o Cupones;

b) verificar elegibilidad;

c) controlar límites de uso;

d) validar códigos o mecanismos de canje;

e) registrar el uso de un beneficio;

f) prevenir duplicidad, falsificación o abuso;

g) restaurar o sustituir beneficios cuando proceda;

h) comunicar vencimientos; y

i) atender aclaraciones.

Esta finalidad no implica autorización para enviar publicidad o personalizar promociones con base en el comportamiento de la Persona Usuaria sin el consentimiento correspondiente.

8.10. Administración de Monedas CETB

Cuando la funcionalidad se encuentre habilitada, ASN podrá tratar datos para:

a) registrar la obtención de Monedas CETB;

b) identificar su origen;

c) administrar saldos;

d) mostrar equivalencias y condiciones;

e) aplicar Monedas a operaciones autorizadas;

f) registrar movimientos;

g) controlar vigencias;

h) realizar ajustes, restituciones o reversiones;

i) prevenir fraude o comercialización no autorizada;

j) atender aclaraciones; y

k) cumplir las obligaciones legales que correspondan al modelo operativo.

El tratamiento de esta información no modifica la naturaleza jurídica que corresponda a las Monedas CETB conforme a la legislación y al modelo autorizado para su operación.

8.11. Seguimiento de Negocios y preferencias funcionales

ASN podrá tratar datos para:

a) registrar los Negocios que la Persona Usuaria decida seguir;

b) mostrar en su Cuenta las suscripciones activas;

c) facilitar el acceso a sus perfiles;

d) recordar configuraciones seleccionadas;

e) enviar comunicaciones operativas expresamente solicitadas; y

f) permitir que la Persona Usuaria modifique o cancele el seguimiento.

El seguimiento de un Negocio no autoriza por sí mismo el envío ilimitado de publicidad. Las comunicaciones comerciales estarán sujetas a las preferencias y consentimientos correspondientes.

8.12. Comunicaciones operativas

ASN podrá utilizar datos de contacto, identificadores internos de Cuenta y demás información necesaria para enviar comunicaciones operativas mediante correo electrónico, mensajes SMS, avisos dentro de CETB u otros canales habilitados distintos de Firebase Cloud Messaging.

Estas comunicaciones podrán incluir:

a) códigos de autenticación;

b) avisos de recuperación de Cuenta;

c) confirmaciones de registro;

d) tickets, comprobantes o recibos;

e) información sobre el estado de Pedidos;

f) cambios, cancelaciones o incidencias;

g) información relacionada con entregas;

h) alertas de seguridad;

i) respuestas de soporte;

j) avisos contractuales;

k) información sobre cambios relevantes en los servicios; y

l) comunicaciones indispensables para administrar la Cuenta o la relación con la Persona Usuaria.

Estas comunicaciones son necesarias para proporcionar los servicios solicitados, mantener la seguridad, cumplir obligaciones y administrar la relación con la Persona Usuaria, por lo que no se consideran publicidad.

Firebase Cloud Messaging no se utiliza actualmente para enviar estas comunicaciones operativas. Su utilización se limita a notificaciones push de Cupones y promociones previamente autorizadas por la Persona Usuaria, conforme al apartado 18 de este Aviso.

La negativa o retiro del consentimiento para recibir promociones no impedirá que ASN envíe las comunicaciones operativas que resulten necesarias mediante los canales correspondientes.

8.13. Operación de la Comunidad CETB

ASN podrá tratar datos para:

a) permitir la publicación de reseñas, comentarios y calificaciones;

b) mostrar el perfil o alias seleccionado;

c) administrar grupos y espacios comunitarios;

d) permitir la interacción entre participantes;

e) vincular reseñas con operaciones verificadas;

f) recibir reportes;

g) moderar contenido;

h) aplicar reglas comunitarias;

i) prevenir acoso, fraude o conductas ilícitas; y

j) atender aclaraciones relacionadas con la moderación.

ASN no utilizará el contenido publicado por la Persona Usuaria en campañas publicitarias externas, testimonios o materiales promocionales sin obtener previamente la autorización específica que corresponda.

En ningún caso ASN utilizará las reseñas, comentarios, calificaciones, publicaciones, imágenes, archivos, interacciones u otros contenidos de la Comunidad CETB para entrenar o realizar ajustes especializados —fine-tuning— de modelos de inteligencia artificial, sean modelos generales, especializados, propios o de terceros.

Lo anterior no impedirá que ASN trate el contenido en la medida necesaria para publicarlo, almacenarlo, moderarlo, atender reportes, prevenir conductas ilícitas, proteger a los participantes, cumplir obligaciones legales o ejecutar las funciones comunitarias solicitadas por la Persona Usuaria.

8.14. Organización y participación en eventos

Cuando ASN organice o facilite un evento, podrá tratar datos para:

a) registrar participantes;

b) verificar requisitos de acceso;

c) administrar capacidad y asistencia;

d) procesar pagos, cuando corresponda;

e) enviar información logística;

f) comunicar cambios o cancelaciones;

g) entregar constancias, beneficios o materiales;

h) preservar la seguridad;

i) documentar la actividad mediante tomas generales; y

j) atender reclamaciones.

Las entrevistas, testimonios, primeros planos o utilización promocional individualizada de imagen o voz requerirán la autorización correspondiente.

8.15. Operación de Exebia CETB

ASN podrá tratar prompts, respuestas, archivos, contexto y registros técnicos para:

a) recibir y procesar la consulta;

b) generar y mostrar una respuesta;

c) consultar fuentes o utilizar herramientas conectadas autorizadas;

d) mantener el historial disponible para la Persona Usuaria;

e) preservar la continuidad de una conversación;

f) medir latencia, consumo y funcionamiento;

g) detectar y corregir errores;

h) prevenir usos prohibidos, fraude o abuso;

i) atender reportes o solicitudes de soporte;

j) mantener trazabilidad técnica; y

k) cumplir obligaciones legales.

Los prompts y respuestas completas podrán conservarse durante un plazo de hasta seis meses. Después de ese periodo deberán eliminarse o transformarse conforme a la Política de Conservación y Disociación de CETB, salvo que deban preservarse temporalmente para atender una reclamación, investigación de seguridad, requerimiento de autoridad, obligación legal o defensa de derechos.

Las métricas técnicas podrán conservarse separadamente durante el periodo correspondiente a su finalidad, procurando que no reproduzcan ni permitan reconstruir razonablemente el contenido de las conversaciones.

ASN no utilizará los prompts, respuestas, conversaciones, archivos, documentos, contexto ni demás datos personales tratados mediante Exebia CETB para entrenar o realizar ajustes especializados —fine-tuning— de modelos de inteligencia artificial, sean modelos generales, especializados, propios o de terceros.

El análisis permitido se limitará a la operación de la herramienta, la generación de respuestas, la ejecución de funciones solicitadas, la medición de desempeño técnico, el control de consumos, la resolución de errores, la prevención de abusos, la atención de soporte y la protección de la seguridad.

8.16. Atención, soporte y servicio a la Persona Usuaria

ASN podrá tratar datos para:

a) identificar a la Persona Usuaria;

b) recibir y clasificar solicitudes;

c) asignar folios;

d) diagnosticar problemas;

e) consultar registros relacionados;

f) responder dudas;

g) recuperar una Cuenta;

h) corregir errores;

i) dar seguimiento;

j) comprobar la solución proporcionada; y

k) evaluar internamente el cumplimiento del servicio.

El acceso a datos para soporte se limitará al personal o proveedores autorizados que necesiten conocer la información para atender el caso.

8.17. Aclaraciones, devoluciones, garantías y reclamaciones

ASN podrá tratar datos para:

a) recibir una reclamación;

b) identificar la operación;

c) revisar comprobantes y evidencia;

d) comunicarse con el Negocio o proveedor involucrado;

e) verificar entrega, pago o cumplimiento;

f) gestionar cancelaciones, reposiciones o reembolsos;

g) preservar evidencia;

h) atender requerimientos de autoridades; y

i) ejercer o defender derechos.

La información se conservará durante el periodo necesario para resolver la reclamación y cumplir los plazos legales aplicables.

8.18. Seguridad y prevención de fraude

ASN podrá tratar datos para:

a) autenticar accesos;

b) detectar intentos de suplantación;

c) identificar actividad inusual;

d) prevenir cuentas falsas;

e) detectar automatización abusiva;

f) impedir el uso fraudulento de promociones, Cupones o Monedas;

g) proteger pagos y Pedidos;

h) investigar vulnerabilidades o incidentes;

i) bloquear temporalmente operaciones;

j) proteger a las Personas Usuarias, Negocios y terceros;

k) mantener la integridad y disponibilidad de la Plataforma; y

l) colaborar con autoridades competentes.

Las medidas deberán ser proporcionales al riesgo y sujetarse a controles razonables de acceso y conservación.

8.19. Moderación, cumplimiento y protección de derechos

ASN podrá tratar datos para:

a) verificar el cumplimiento de los Términos y reglas comunitarias;

b) investigar reportes;

c) retirar contenido ilícito o infractor;

d) recibir avisos y contraavisos de derechos de autor;

e) atender reclamaciones de privacidad o propiedad intelectual;

f) identificar infractores reincidentes;

g) documentar medidas adoptadas;

h) proteger derechos de terceros; y

i) cumplir órdenes de autoridad.

8.20. Cumplimiento de obligaciones legales

ASN podrá tratar, conservar y revelar datos cuando resulte necesario para:

a) cumplir obligaciones fiscales, mercantiles, administrativas o de protección al consumidor;

b) responder requerimientos legalmente emitidos;

c) atender procedimientos judiciales o administrativos;

d) cumplir medidas de autoridades competentes;

e) conservar mensajes de datos y evidencia contractual;

f) prevenir o denunciar posibles delitos;

g) ejercer o defender derechos; y

h) cumplir cualquier otra obligación aplicable.

ASN verificará razonablemente la competencia y fundamento de las solicitudes de información antes de atenderlas, salvo que la legislación impida comunicar dicha verificación a la Persona Usuaria.

8.21. Conservación de evidencia contractual

ASN podrá conservar registros para acreditar:

a) creación y titularidad de la Cuenta;

b) aceptación de Términos y Avisos;

c) otorgamiento o retiro de consentimientos;

d) condiciones mostradas antes de una operación;

e) Pedidos y pagos;

f) comunicaciones relevantes;

g) entregas y cancelaciones;

h) solicitudes de derechos;

i) medidas de seguridad; y

j) cumplimiento de obligaciones legales.

La conservación se limitará al periodo necesario para atender responsabilidades, plazos de prescripción y obligaciones aplicables.

8.22. Funcionamiento, mantenimiento y mejora técnica

ASN podrá utilizar registros técnicos y datos estrictamente necesarios para:

a) mantener la disponibilidad de CETB;

b) detectar errores;

c) corregir fallas;

d) medir rendimiento y latencia;

e) administrar capacidad;

f) mantener compatibilidad con dispositivos;

g) desarrollar actualizaciones de seguridad;

h) verificar que las funcionalidades operen correctamente; e

i) mejorar la experiencia técnica general.

Cuando sea posible, estas actividades se realizarán con información agregada o disociada.

Esta finalidad no autoriza a ASN para utilizar el comportamiento individual con fines de publicidad o recomendaciones comerciales personalizadas. Dichos tratamientos solamente podrán realizarse cuando la Persona Usuaria haya otorgado el consentimiento específico correspondiente.

Asimismo, esta finalidad no autoriza el uso de comportamientos, registros, interacciones, conversaciones, contenidos ni datos personales para entrenar o realizar ajustes especializados —fine-tuning— de modelos de inteligencia artificial. ASN no realizará este tratamiento aunque los datos hayan sido obtenidos originalmente para mantenimiento, análisis técnico o mejora de la Plataforma.

La prohibición anterior no impide utilizar métricas técnicas agregadas o debidamente disociadas que no permitan identificar, individualizar ni reconstruir razonablemente la actividad de una Persona Usuaria.

8.23. Elaboración de estadísticas internas

ASN podrá transformar información en datos agregados o disociados para:

a) conocer el funcionamiento general de CETB;

b) medir adopción de módulos;

c) identificar errores recurrentes;

d) conocer tendencias generales de uso;

e) evaluar capacidad e infraestructura;

f) mejorar procesos internos; y

g) elaborar reportes estadísticos.

ASN aplicará medidas razonables para evitar que los resultados permitan identificar o individualizar nuevamente a una Persona Usuaria.

9. NECESIDAD DE LAS FINALIDADES PRIMARIAS

9.1. Datos indispensables

La negativa a proporcionar datos indispensables podrá impedir:

a) crear o recuperar una Cuenta;

b) autenticar el acceso;

c) completar un Pedido;

d) procesar un pago;

e) realizar una entrega;

f) emitir una factura;

g) utilizar un Cupón o Monedas CETB;

h) participar en un evento;

i) utilizar Exebia CETB;

j) recibir soporte; o

k) atender una reclamación.

ASN deberá identificar, cuando resulte posible, qué datos son obligatorios y cuáles son opcionales.

9.2. Funciones opcionales

La negativa a proporcionar datos para una función opcional únicamente impedirá utilizar esa función y no deberá afectar injustificadamente las demás funcionalidades.

Por ejemplo:

a) si no se autoriza la ubicación, la Persona Usuaria podrá ingresar manualmente una dirección cuando la función lo permita;

b) si no se autoriza la cámara, no podrán utilizarse funciones de escaneo o carga directa de fotografías;

c) si no se autorizan notificaciones push, las comunicaciones podrán mostrarse dentro de la Cuenta o enviarse por otro medio disponible; y

d) si no se utiliza Exebia CETB, las demás funciones de CETB continuarán disponibles conforme a sus condiciones.

9.3. Tratamientos sin consentimiento

ASN podrá realizar los tratamientos que no requieran consentimiento conforme a la legislación, incluyendo aquellos necesarios para cumplir obligaciones derivadas de una relación jurídica, atender emergencias, cumplir órdenes de autoridad, proteger derechos legalmente reconocidos o aplicar cualquier otra excepción válida.

La aplicación de una excepción legal no autoriza a tratar datos de manera ilimitada ni para finalidades incompatibles con las informadas.

10. FINALIDADES SECUNDARIAS DEL TRATAMIENTO

Además de las finalidades primarias descritas en el apartado anterior, ASN podrá tratar determinados datos personales para las finalidades secundarias señaladas a continuación. Estas finalidades no son indispensables para crear o utilizar una cuenta, realizar pedidos, efectuar pagos, obtener comprobantes, recibir productos o servicios, utilizar las funciones esenciales de CETB ni mantener la relación jurídica con la Persona Usuaria.

10.1. Publicidad, mercadotecnia y promociones

Siempre que la Persona Usuaria haya otorgado previamente su consentimiento, ASN podrá utilizar sus datos de identificación, contacto, cuenta, preferencias e interacción con la Plataforma para:

a) enviar promociones, descuentos, cupones, beneficios, campañas, novedades, recomendaciones comerciales y comunicaciones publicitarias relacionadas con CETB, los Negocios registrados o los productos y servicios disponibles en la Plataforma;

b) informar sobre programas de recompensas, campañas de Monedas CETB, concursos, dinámicas promocionales, lanzamientos, eventos y beneficios comerciales;

c) enviar comunicaciones promocionales por correo electrónico, mensajes SMS, notificaciones push, mensajes dentro de la Plataforma u otros canales expresamente habilitados y autorizados por la Persona Usuaria; y

d) medir, de manera interna, el alcance, apertura, visualización, interacción y efectividad de las comunicaciones y campañas promocionales.

ASN únicamente enviará estas comunicaciones a Usuarios que cuenten con una cuenta CETB y que hayan otorgado su consentimiento para recibirlas, salvo aquellas comunicaciones estrictamente operativas o necesarias para proporcionar los servicios solicitados.

10.2. Personalización de contenidos, ofertas y recomendaciones

Con el consentimiento previo, separado y afirmativo dla Persona Usuaria, ASN podrá analizar sus interacciones con CETB para personalizar la experiencia dentro de la Plataforma y mostrarle contenidos, establecimientos, productos, servicios, cupones, promociones u ofertas que puedan resultar de su interés.

Para esta finalidad podrán utilizarse, según las funciones habilitadas por la Persona Usuaria:

a) los Negocios que sigue, visita o consulta dentro de CETB;

b) los productos, servicios, categorías o cupones que visualiza, guarda, selecciona o utiliza;

c) su historial de compras y pedidos;

d) sus preferencias, intereses y configuraciones;

e) su interacción con promociones, notificaciones y contenidos de la Plataforma;

f) los carritos creados o abandonados durante el plazo de conservación correspondiente;

g) su ubicación aproximada, únicamente cuando haya autorizado el permiso correspondiente en su dispositivo; y

h) inferencias generales sobre intereses o preferencias obtenidas a partir de los datos anteriores.

La personalización comercial estará desactivada mientras la Persona Usuaria no otorgue su consentimiento. ASN no utilizará datos personales sensibles para crear perfiles publicitarios o comerciales ni empleará esta personalización para adoptar decisiones que produzcan efectos jurídicos o que afecten significativamente a la Persona Usuaria.

10.3. Encuestas, estudios y mejora no esencial de la experiencia

ASN podrá invitar a la Persona Usuaria, de manera voluntaria, a participar en:

a) encuestas de satisfacción;

b) estudios de experiencia de usuario;

c) pruebas de nuevas funciones o servicios;

d) investigaciones de mercado;

e) grupos de opinión o entrevistas; y

f) evaluaciones relacionadas con campañas, productos, Negocios o servicios disponibles en CETB.

La participación será opcional. La Persona Usuaria podrá abstenerse de responder sin que ello afecte el acceso a las funciones esenciales de CETB.

Cuando los resultados puedan utilizarse mediante información agregada o disociada, ASN procurará que no permitan identificar directamente a la Persona Usuaria.

10.4. Invitaciones a eventos y actividades promocionales

Con el consentimiento de la Persona Usuaria, ASN podrá utilizar sus datos de contacto y preferencias para invitarlo a eventos, presentaciones, ferias, experiencias, campañas, concursos, sorteos, dinámicas o actividades promocionales organizadas por ASN, por CETB o conjuntamente con Negocios participantes.

Cuando una actividad cuente con términos, condiciones o reglas específicas, estos serán puestos a disposición de la Persona Usuaria antes de su participación.

10.5. Testimonios, imagen, voz y contenidos promocionales

ASN solamente podrá utilizar el nombre, imagen, voz, fotografía, testimonio, reseña o contenido identificable de un Usuario en publicidad externa, redes sociales, campañas institucionales o materiales promocionales cuando haya obtenido previamente una autorización específica para ese uso.

La publicación voluntaria de una reseña o contenido dentro de las áreas habilitadas de CETB no autoriza automáticamente a ASN para utilizarlo en campañas publicitarias externas.

La autorización deberá indicar, cuando resulte aplicable, el contenido autorizado, los medios de difusión, la finalidad y las condiciones generales de utilización. La Persona Usuaria podrá solicitar la terminación de usos futuros, sin perjuicio de los materiales legítimamente producidos o difundidos antes de la recepción de su solicitud y de las obligaciones legales aplicables.

11. CONSENTIMIENTO PARA FINALIDADES SECUNDARIAS

11.1. Consentimiento separado y granular

ASN solicitará el consentimiento de la Persona Usuaria de forma separada para las finalidades secundarias que lo requieran. La autorización podrá solicitarse mediante casillas, interruptores, botones, pantallas de configuración u otros mecanismos electrónicos que permitan registrar una manifestación afirmativa de la Persona Usuaria.

Las opciones de consentimiento no deberán aparecer premarcadas ni activarse automáticamente.

La Persona Usuaria podrá decidir por separado si autoriza:

a) la recepción de publicidad y promociones;

b) la personalización comercial basada en su comportamiento e intereses;

c) la participación en encuestas, estudios o pruebas voluntarias, cuando se requiera consentimiento; y

d) el uso publicitario externo de su imagen, voz, testimonio o contenido identificable.

ASN conservará evidencia razonable de la manifestación otorgada, incluyendo, según corresponda, la fecha, hora, versión del Aviso de Privacidad, finalidad autorizada, cuenta asociada y mecanismo utilizado.

11.2. Negativa y consecuencias

La Persona Usuaria puede negar su consentimiento para cualquiera o todas las finalidades secundarias. Dicha negativa no será motivo para negarle el registro, acceso o uso de las funciones esenciales de CETB ni los productos o servicios que solicite.

La negativa únicamente podrá ocasionar que la Persona Usuaria:

a) no reciba promociones o publicidad;

b) reciba contenidos y recomendaciones generales no personalizadas;

c) no sea invitado a determinadas encuestas, estudios, eventos o actividades promocionales; o

d) no participe en usos publicitarios que requieran autorización específica.

11.3. Retiro o modificación del consentimiento

La Persona Usuaria podrá retirar o modificar su consentimiento en cualquier momento mediante:

a) las opciones disponibles en su cuenta o en la sección de privacidad y preferencias de CETB;

b) la configuración de notificaciones de la Plataforma o del dispositivo;

c) el enlace para cancelar la suscripción incluido en los correos electrónicos promocionales;

d) las instrucciones de baja incluidas en los mensajes correspondientes; o

e) una solicitud enviada a privacidad@cetb.mx.

La solicitud deberá permitir identificar a la Persona Usuaria y la finalidad respecto de la cual desea retirar o modificar su consentimiento.

ASN aplicará la modificación dentro del plazo razonablemente necesario para procesarla y conforme a la legislación aplicable. El retiro del consentimiento no tendrá efectos retroactivos ni afectará la licitud del tratamiento realizado antes de que la solicitud produzca efectos.

Cuando existan obligaciones legales, contractuales, de seguridad, prevención de fraude, conservación de evidencia o atención de controversias, ASN podrá continuar tratando los datos estrictamente necesarios para cumplirlas, incluso después del retiro del consentimiento.

12. COMUNICACIONES PROMOCIONALES Y COMUNICACIONES OPERATIVAS

12.1. Comunicaciones promocionales

Las comunicaciones promocionales podrán enviarse por correo electrónico, SMS, notificaciones push, mensajes dentro de CETB u otros canales expresamente autorizados por la Persona Usuaria.

La Persona Usuaria podrá elegir los canales por los que desea recibir promociones, cuando la Plataforma ofrezca esta configuración, y podrá cancelar su suscripción en cualquier momento.

ASN procurará que las comunicaciones promocionales permitan identificar al remitente y contengan un mecanismo razonable para dejar de recibirlas.

12.2. Comunicaciones relacionadas con Negocios seguidos

Cuando la Persona Usuaria decida seguir, guardar o suscribirse a las novedades de un Negocio, podrá recibir comunicaciones, publicaciones, novedades, cupones u ofertas relacionadas con dicho Negocio, siempre que haya autorizado las notificaciones o comunicaciones promocionales correspondientes.

La Persona Usuaria podrá dejar de seguir al Negocio o desactivar esas comunicaciones desde las funciones disponibles en CETB, sin que ello implique la cancelación de su cuenta.

12.3. Comunicaciones operativas

Las comunicaciones necesarias para administrar la cuenta, prestar los servicios solicitados o proteger a la Persona Usuaria no se consideran publicidad. Entre ellas pueden encontrarse:

a) confirmaciones y actualizaciones de pedidos;

b) comprobantes, recibos y documentos relacionados con operaciones;

c) mensajes sobre pagos, devoluciones, cancelaciones o aclaraciones;

d) códigos y comunicaciones de autenticación o recuperación de cuenta;

e) avisos de seguridad, actividad inusual o prevención de fraude;

f) respuestas a solicitudes de soporte;

g) comunicaciones indispensables sobre cambios que afecten un servicio contratado o una operación en curso; y

h) avisos legales que deban ser comunicados conforme a la normativa aplicable.

La Persona Usuaria podrá recibir estas comunicaciones aun cuando haya rechazado o retirado su consentimiento para publicidad, en la medida en que sean necesarias para proporcionar el servicio, proteger su cuenta o cumplir obligaciones legales.

12.4. Uso de datos por parte de los Negocios

Los datos de contacto que un Negocio reciba para atender un pedido, realizar una entrega, emitir una factura, prestar un servicio o resolver una aclaración no podrán ser utilizados por dicho Negocio para enviar publicidad propia, salvo que:

a) la Persona Usuaria haya otorgado al Negocio un consentimiento válido para esa finalidad;

b) el Negocio haya puesto a disposición de la Persona Usuaria su propio aviso de privacidad; y

c) el tratamiento se realice bajo la responsabilidad del Negocio y conforme a la legislación aplicable.

ASN no autoriza a los Negocios a reutilizar para publicidad los datos obtenidos exclusivamente a través de una operación realizada en CETB.

13. PERSONALIZACIÓN COMERCIAL Y PERFILES DE PREFERENCIAS

13.1. Elaboración de perfiles

Cuando la Persona Usuaria lo autorice, ASN podrá asociar sus interacciones dentro de CETB para formar un perfil general de preferencias e intereses comerciales.

Este perfil podrá utilizarse para:

a) ordenar o destacar productos, servicios, Negocios o categorías;

b) recomendar cupones, promociones y beneficios;

c) adaptar determinadas secciones de CETB;

d) determinar la relevancia de una comunicación promocional; y

e) evitar mostrar de manera reiterada contenido que la Persona Usuaria haya descartado o que razonablemente no resulte de su interés.

13.2. Límites de la personalización

La personalización no implicará que la Persona Usuaria tenga acceso garantizado a una promoción, precio, existencia, producto, servicio o beneficio determinado.

ASN no utilizará perfiles comerciales para discriminar ilícitamente a la Persona Usuaria ni para restringir injustificadamente su acceso a las funciones esenciales de CETB.

Las decisiones relacionadas con disponibilidad, aceptación de pedidos, condiciones de venta, precios, inventarios y prestación de productos o servicios pueden depender de cada Negocio y no necesariamente serán determinadas por ASN.

13.3. Desactivación de la personalización

La Persona Usuaria podrá desactivar la personalización comercial mediante los controles de privacidad de CETB o enviando una solicitud a privacidad@cetb.mx.

A partir de que la desactivación resulte efectiva:

a) ASN dejará de utilizar nuevas interacciones para personalizar publicidad o recomendaciones comerciales;

b) la Persona Usuaria podrá continuar viendo contenidos, promociones o recomendaciones generales;

c) podrán conservarse los datos previamente obtenidos cuando sean necesarios para otras finalidades legítimas, para cumplir obligaciones legales o durante los plazos de conservación aplicables; y

d) la desactivación no equivale automáticamente a la cancelación o eliminación de todos los datos personales de la Persona Usuaria, la cual podrá solicitarse mediante los procedimientos correspondientes.

14. NO COMERCIALIZACIÓN DE DATOS PERSONALES

ASN no vende, renta ni comercializa los datos personales de las Personas Usuarias como bases de datos o listas de contactos.

ASN tampoco proporcionará datos personales identificables a los Negocios o a terceros para que realicen actividades publicitarias propias ajenas a las finalidades informadas, salvo que:

a) la Persona Usuaria haya otorgado el consentimiento correspondiente;

b) la transferencia sea necesaria para una finalidad primaria solicitada por la Persona Usuaria;

c) exista una relación jurídica que permita realizarla conforme a la legislación aplicable; o

d) se actualice alguna otra excepción legal.

El uso de proveedores tecnológicos para enviar comunicaciones autorizadas, alojar información, procesar eventos, administrar notificaciones o prestar servicios auxiliares no se considerará venta de datos personales, siempre que dichos proveedores actúen por cuenta de ASN, bajo las instrucciones correspondientes y sujetos a obligaciones de privacidad y seguridad.

15. TECNOLOGÍAS UTILIZADAS PARA LA OPERACIÓN DE CETB

15.1. Tratamiento automático de información técnica

CETB utiliza tecnologías necesarias para operar la Plataforma, autenticar Usuarios, conservar sesiones, habilitar funcionalidades, procesar solicitudes, prevenir fraudes, identificar errores, mantener la seguridad y mejorar el desempeño técnico.

Estas tecnologías pueden generar o recopilar automáticamente datos como:

a) identificadores internos de Usuario y cuenta;

b) dirección IP;

c) tipo de dispositivo, sistema operativo, versión de la aplicación y navegador;

d) fecha y hora de acceso;

e) módulos y funciones consultados;

f) acciones realizadas dentro de CETB;

g) identificadores de sesión;

h) eventos técnicos y operativos;

i) errores, interrupciones, tiempos de respuesta y registros de diagnóstico;

j) identificadores de cupones, promociones, Negocios, pedidos o contenidos con los que interactúa la Persona Usuaria; y

k) información necesaria para detectar accesos no autorizados, usos anómalos o incidentes de seguridad.

La recopilación de esta información se limitará a los datos razonablemente necesarios para las finalidades informadas en el presente Aviso.

15.2. Registros operativos almacenados en Cloud Firestore

CETB utiliza Cloud Firestore, servicio proporcionado por Google, para almacenar determinados registros operativos necesarios para el funcionamiento de la Plataforma, tanto en el ambiente de producción como en los ambientes de desarrollo y pruebas.

La base de datos utilizada se encuentra configurada en la ubicación multirregional nam5, en Estados Unidos. Los datos almacenados en reposo permanecen en dicha ubicación; no obstante, las solicitudes pueden transitar temporalmente por infraestructura ubicada en otros territorios debido al funcionamiento del punto de acceso global de Firestore.

CETB utiliza las siguientes colecciones:

a) redeems: destinada a registrar la redención o utilización de Cupones, promociones, productos o beneficios dentro de la Plataforma.

b) sessions: destinada a vincular temporalmente una sesión utilizada en una computadora con el dispositivo móvil de la Persona Usuaria.

Según la operación, los registros almacenados en estas colecciones pueden incluir:

a) identificador interno de la Persona Usuaria;

b) identificador del Negocio, cuenta o tenant;

c) módulo o función utilizada;

d) tipo de evento o interacción;

e) fecha y hora;

f) identificador del Cupón, promoción, producto o beneficio relacionado;

g) identificadores técnicos de la sesión o vinculación; y

h) demás datos técnicos estrictamente necesarios para asociar el registro con la operación correspondiente.

Cloud Firestore no se utiliza para almacenar nombres, correos electrónicos, números telefónicos, domicilios, ubicación de la Persona Usuaria, direcciones IP, números completos de tarjetas, credenciales financieras ni el contenido completo de sus compras.

La información almacenada en Cloud Firestore podrá utilizarse para:

a) registrar y validar la redención de Cupones, promociones o beneficios;

b) evitar redenciones duplicadas, fraudulentas o no autorizadas;

c) vincular temporalmente dispositivos y sesiones;

d) comprobar el funcionamiento de los módulos correspondientes;

e) resolver errores e incidencias;

f) proporcionar soporte;

g) documentar interacciones operativas relevantes;

h) proteger la seguridad de la Plataforma; y

i) generar estadísticas internas, preferentemente mediante información agregada o disociada.

Los registros de la colección sessions se eliminan automáticamente mediante un procedimiento programático cuando la sesión es desvinculada.

Los registros de la colección redeems se sujetarán al periodo de conservación establecido en el apartado 29.4 de este Aviso de Privacidad.

Actualmente, CETB no utiliza Google Analytics para Firebase, Google Analytics 4, BigQuery, Crashlytics, Performance Monitoring, Remote Config, App Check ni Firebase In-App Messaging. Tampoco existe una exportación automática de información desde Cloud Firestore hacia otros sistemas con fines analíticos.

Si ASN incorpora posteriormente alguno de estos servicios o realiza un tratamiento que implique nuevas finalidades, categorías de datos o destinatarios, efectuará la evaluación correspondiente y actualizará este Aviso de Privacidad cuando resulte necesario.

15.3. Registros técnicos y de seguridad

CETB puede generar registros técnicos relacionados con solicitudes, errores, accesos, rendimiento, seguridad e interacción entre los componentes de la Plataforma.

Determinados registros de infraestructura se administran mediante Amazon CloudWatch y pueden contener:

a) fecha y hora de la solicitud;

b) servicio o componente involucrado;

c) identificadores técnicos;

d) dirección IP, cuando resulte necesaria;

e) mensajes de error;

f) tiempos de respuesta;

g) resultados de ejecución;

h) información relacionada con incidentes o intentos de acceso; y

i) metadatos necesarios para diagnóstico, auditoría y seguridad.

Los registros de CloudWatch tendrán, como regla interna, un periodo de conservación de hasta seis meses, salvo que resulte necesario conservarlos durante un plazo mayor para investigar un incidente, atender una obligación legal, documentar una operación o ejercer o defender derechos.

ASN procurará evitar que estos registros incorporen más datos personales de los estrictamente necesarios para sus finalidades técnicas y de seguridad.

16. COOKIES, ALMACENAMIENTO LOCAL, IDENTIFICADORES Y SDK

16.1. Cookies y tecnologías equivalentes

La versión web de CETB podrá utilizar cookies, almacenamiento local, almacenamiento de sesión, etiquetas, identificadores y otras tecnologías equivalentes necesarias para:

a) mantener iniciada la sesión de la Persona Usuaria;

b) recordar configuraciones esenciales;

c) autenticar solicitudes;

d) prevenir accesos no autorizados;

e) conservar temporalmente información necesaria para el funcionamiento de la Plataforma;

f) mantener la seguridad;

g) distribuir cargas y asegurar la disponibilidad del servicio; y

h) recordar las elecciones de privacidad realizadas por la Persona Usuaria.

Las tecnologías estrictamente necesarias podrán operar sin requerir una autorización adicional cuando sean indispensables para prestar un servicio solicitado, autenticar a la Persona Usuaria o mantener la seguridad de CETB.

16.2. Tecnologías no esenciales

Si CETB incorpora cookies, SDK, etiquetas o tecnologías no esenciales con fines publicitarios, de medición comercial, seguimiento entre servicios o personalización, ASN deberá:

a) informar su existencia y finalidad;

b) identificar las categorías de información tratadas;

c) solicitar el consentimiento correspondiente antes de activarlas, cuando resulte legalmente necesario;

d) ofrecer mecanismos para rechazarlas o desactivarlas; y

e) actualizar el presente Aviso o el mecanismo informativo correspondiente.

El rechazo de tecnologías no esenciales no impedirá utilizar las funciones básicas de CETB, aunque determinadas funciones personalizadas podrían no estar disponibles.

16.3. Configuración del navegador o dispositivo

La Persona Usuaria podrá eliminar o bloquear determinadas cookies y tecnologías equivalentes mediante la configuración de su navegador o dispositivo.

La eliminación de tecnologías estrictamente necesarias puede provocar el cierre de sesión, la pérdida de preferencias o el funcionamiento incorrecto de ciertas características.

Las instrucciones específicas dependen del sistema operativo, navegador o dispositivo utilizado por la Persona Usuaria.

17. UBICACIÓN Y DOMICILIOS DE ENTREGA

17.1. Acceso momentáneo a la ubicación

CETB podrá solicitar acceso a la ubicación del dispositivo cuando sea necesario para una función solicitada por la Persona Usuaria, por ejemplo:

a) mostrar Negocios cercanos;

b) identificar la zona aproximada en la que se encuentra;

c) facilitar la selección de un domicilio o punto de entrega;

d) calcular disponibilidad, cobertura o alternativas de entrega;

e) ordenar resultados por proximidad; o

f) mostrar promociones cercanas, cuando la Persona Usuaria haya autorizado la personalización correspondiente.

El acceso a la ubicación dependerá del permiso otorgado por la Persona Usuaria en su dispositivo.

17.2. Ausencia de seguimiento continuo

CETB no conserva un historial continuo de desplazamientos ni realiza seguimiento permanente de la ubicación de la Persona Usuaria.

La ubicación del dispositivo se utilizará de forma momentánea para ejecutar la función solicitada. CETB no accederá deliberadamente a la ubicación cuando la aplicación se encuentre cerrada o en segundo plano, salvo que en el futuro se habilite una función específica que lo requiera, se informe previamente a la Persona Usuaria y se obtenga la autorización correspondiente.

17.3. Ubicación aproximada para personalización

Cuando la Persona Usuaria haya autorizado tanto el acceso a la ubicación como la personalización comercial, CETB podrá utilizar temporalmente su ubicación aproximada para mostrar Negocios, promociones, cupones, productos o contenidos cercanos.

La Persona Usuaria podrá desactivar esta utilización retirando el permiso de ubicación o el consentimiento para personalización.

17.4. Domicilios proporcionados por la Persona Usuaria

La ubicación momentánea del dispositivo es distinta de los domicilios que la Persona Usuaria proporcione o guarde voluntariamente para realizar pedidos, recibir entregas, solicitar facturas o utilizar otros servicios.

Los domicilios proporcionados por la Persona Usuaria podrán conservarse:

a) como parte de su cuenta, si decide guardarlos;

b) durante la preparación y entrega de un pedido;

c) como parte de los registros de una operación;

d) para atender aclaraciones, devoluciones o controversias; y

e) durante los plazos legales o contractuales aplicables.

La Persona Usuaria podrá modificar o eliminar de su cuenta los domicilios guardados, sin perjuicio de la conservación de aquellos que formen parte de pedidos, comprobantes, facturas, obligaciones legales o evidencia de operaciones previamente realizadas.

17.5. Administración del permiso

La Persona Usuaria podrá negar o retirar el permiso de ubicación mediante la configuración de su dispositivo.

La negativa o retiro no impedirá utilizar las demás funciones de CETB, pero puede limitar aquellas que dependan de conocer la ubicación para mostrar resultados cercanos, verificar cobertura o facilitar una entrega.

18. NOTIFICACIONES PUSH Y MENSAJERÍA

18.1. Firebase Cloud Messaging

CETB utiliza Firebase Cloud Messaging, también denominado FCM, exclusivamente para enviar notificaciones push relacionadas con Cupones y promociones previamente autorizadas por la Persona Usuaria.

Para habilitar esta función se genera un token o identificador técnico asociado con la instalación de la aplicación en el dispositivo. CETB almacena dicho token en MongoDB Atlas, vinculado con la Cuenta correspondiente, con la finalidad de dirigir la notificación al dispositivo autorizado.

El token constituye un identificador técnico y no se utiliza para identificar públicamente a la Persona Usuaria.

El contenido o payload de las notificaciones podrá incluir:

a) identificador del Cupón;

b) descripción de la promoción;

c) imagen relacionada; y

d) datos técnicos indispensables para mostrar o dirigir la notificación.

El payload enviado mediante FCM no deberá incluir nombres, correos electrónicos, números telefónicos, ubicaciones, domicilios, información de pago ni otros datos personales que no resulten necesarios para entregar la notificación.

18.2. Naturaleza promocional de las notificaciones

Las notificaciones enviadas mediante Firebase Cloud Messaging tendrán carácter promocional y podrán comunicar:

a) Cupones disponibles;

b) promociones de CETB o de los Negocios participantes;

c) descuentos o beneficios; y

d) información directamente relacionada con el Cupón o promoción correspondiente.

Estas notificaciones solamente se enviarán cuando la Persona Usuaria haya otorgado el consentimiento correspondiente y mantenga habilitado el permiso de notificaciones en su dispositivo.

Firebase Cloud Messaging no se utiliza actualmente para enviar notificaciones sobre Pedidos, pagos, entregas, recuperación de Cuenta, seguridad, soporte u otras comunicaciones operativas.

Las comunicaciones operativas podrán enviarse mediante otros canales informados en este Aviso, cuando resulten necesarios y se encuentren habilitados.

18.3. Control de notificaciones y eliminación de tokens

La Persona Usuaria podrá autorizar, rechazar o retirar el permiso para recibir notificaciones push mediante la configuración de su dispositivo y, cuando dicha función se encuentre disponible, desde las opciones de CETB.

CETB utiliza Firebase Cloud Messaging exclusivamente para enviar notificaciones push relacionadas con Cupones y promociones. El contenido enviado a Firebase Cloud Messaging podrá incluir:

a) identificador del Cupón o promoción;

b) descripción del Cupón o promoción; y

c) imagen asociada.

El contenido de la notificación no incluirá nombres, correos electrónicos, números telefónicos, domicilios, ubicación, información financiera, datos completos de compras ni otros datos que permitan identificar directamente a la Persona Usuaria.

El token técnico necesario para enviar las notificaciones se almacena en MongoDB Atlas y se conserva mientras la cuenta permanezca activa y la Persona Usuaria mantenga habilitadas las notificaciones.

Cuando un token sea identificado como inválido, vencido o no registrado, será eliminado automáticamente de MongoDB y dejará de utilizarse. El token también será eliminado cuando la Persona Usuaria elimine su cuenta.

Cuando la Persona Usuaria desactive o revoque el permiso para recibir notificaciones, CETB dejará de utilizar el token para el envío de comunicaciones push. La desinstalación de la aplicación o la invalidación del token por Firebase Cloud Messaging también impedirá que el dispositivo continúe recibiendo estas notificaciones.

Firebase Cloud Messaging es un servicio global que no permite seleccionar una región específica para el procesamiento de las notificaciones. Por ello, el token, el contenido de la notificación y los datos técnicos indispensables para su entrega podrán ser procesados temporalmente mediante infraestructura ubicada fuera de México.

CETB no utiliza actualmente la exportación de métricas de entrega de Firebase Cloud Messaging ni vincula esta información con Google Analytics o BigQuery.

La desactivación de las notificaciones push no implica la cancelación automática de correos electrónicos, mensajes SMS u otros canales que la Persona Usuaria haya autorizado. Cada canal deberá administrarse mediante los mecanismos correspondientes.

19. PERFILES, INFERENCIAS Y TRATAMIENTOS AUTOMATIZADOS

19.1. Perfiles de preferencias

Con el consentimiento de la Persona Usuaria, CETB podrá analizar sus interacciones para inferir preferencias generales, categorías de interés y afinidad con determinados Negocios, productos, servicios, promociones o cupones.

Para ello podrán considerarse, entre otros elementos:

a) productos y categorías consultados;

b) cupones visualizados, guardados o utilizados;

c) Negocios visitados o seguidos;

d) compras y pedidos realizados;

e) interacciones con promociones;

f) preferencias expresamente seleccionadas;

g) carritos creados o abandonados durante su plazo de conservación; y

h) ubicación aproximada, cuando la Persona Usuaria la haya autorizado.

Estas inferencias se utilizarán únicamente para las finalidades consentidas y no deberán revelar ni procurar inferir datos personales sensibles.

19.2. Recomendaciones automatizadas

CETB podrá utilizar reglas, clasificaciones o modelos automatizados para ordenar resultados y recomendar contenidos, productos, Negocios, promociones o funciones.

Las recomendaciones:

a) tendrán carácter informativo;

b) no garantizarán disponibilidad, precio o aceptación de una operación;

c) no obligarán a la Persona Usuaria a contratar o adquirir ningún producto o servicio;

d) podrán contener errores o no corresponder con las preferencias reales de la Persona Usuaria; y

e) podrán desactivarse cuando dependan de la personalización comercial consentida.

19.3. Decisiones con efectos significativos

Actualmente, CETB no utiliza perfiles comerciales ni recomendaciones automatizadas para adoptar, sin intervención humana, decisiones que produzcan efectos jurídicos o afecten significativamente a la Persona Usuaria.

Si ASN incorpora en el futuro un tratamiento automatizado con dichas características, deberá informar previamente, según corresponda:

a) la existencia del tratamiento automatizado;

b) los tipos de datos utilizados;

c) su finalidad;

d) las consecuencias relevantes para la Persona Usuaria;

e) las opciones disponibles para solicitar revisión o intervención humana; y

f) los mecanismos para oponerse o ejercer los derechos aplicables.

20. EXEBIA CETB E INTELIGENCIA ARTIFICIAL

20.1. Naturaleza de Exebia CETB

Exebia CETB es una herramienta de asistencia basada en inteligencia artificial integrada en la Plataforma. Puede ayudar a la Persona Usuaria a consultar información, localizar funciones, obtener explicaciones, recibir orientación general o interactuar con determinados servicios habilitados dentro de CETB.

La utilización de Exebia CETB es voluntaria. La Persona Usuaria deberá decidir si desea iniciar una conversación y qué información proporciona durante la interacción.

20.2. Datos tratados durante la interacción

Cuando la Persona Usuaria utiliza Exebia CETB podrán tratarse:

a) las preguntas, instrucciones o mensajes enviados por la Persona Usuaria, también denominados prompts;

b) las respuestas generadas por el sistema;

c) el identificador interno de la cuenta o sesión;

d) la fecha y hora de la interacción;

e) los módulos, funciones o herramientas consultados;

f) los documentos, registros o fuentes autorizadas utilizados para generar la respuesta;

g) información necesaria para ejecutar una acción solicitada por la Persona Usuaria;

h) datos técnicos de la solicitud y de la respuesta;

i) duración, latencia y resultado de la operación;

j) cantidad de tokens u otras unidades técnicas de consumo; y

k) errores, eventos de seguridad y registros necesarios para soporte y trazabilidad.

Exebia CETB únicamente deberá acceder a los datos y funciones que resulten necesarios para atender la solicitud de la Persona Usuaria y para los cuales existan permisos válidos dentro de la Plataforma.

20.3. Tecnologías utilizadas

Exebia CETB puede utilizar modelos de inteligencia artificial disponibles mediante Amazon Bedrock, incluyendo modelos Amazon Nova Micro, Amazon Nova Lite y Amazon Nova Pro, según la complejidad y naturaleza de la solicitud.

Asimismo, puede utilizar:

a) técnicas de generación aumentada por recuperación o RAG, para consultar información autorizada antes de formular una respuesta;

b) herramientas o conectores basados en MCP u otros mecanismos equivalentes, para interactuar con funciones y fuentes permitidas; y

c) componentes internos de CETB para obtener contexto, consultar información o ejecutar acciones autorizadas por la Persona Usuaria.

La intervención de estas tecnologías no significa que los proveedores puedan utilizar libremente la información para sus propios fines. Su participación, ubicación y condiciones de tratamiento se describen en el apartado correspondiente a proveedores, remisiones y procesamiento internacional.

20.4. Conservación y eliminación del historial

Los prompts y respuestas identificables de Exebia CETB podrán conservarse durante un plazo de hasta seis meses para:

a) permitir que la Persona Usuaria consulte su historial;

b) mantener la continuidad de las conversaciones;

c) proporcionar soporte;

d) investigar errores;

e) atender incidentes de seguridad;

f) documentar el funcionamiento de la herramienta; y

g) ejercer o defender derechos.

Transcurrido este plazo, la información deberá eliminarse o disociarse, salvo que sea necesario conservar temporalmente registros específicos para cumplir una obligación legal, atender una controversia, investigar un incidente de seguridad o ejercer o defender derechos.

La Persona Usuaria podrá eliminar su historial de conversaciones mediante la función disponible en CETB. La eliminación del historial visible iniciará el proceso de supresión de los registros activos asociados, considerando:

a) el tiempo técnicamente necesario para propagar la eliminación entre los sistemas relacionados;

b) la conservación separada de registros técnicos o de seguridad que no reproduzcan innecesariamente el contenido completo de la conversación;

c) la eliminación manual de los archivos asociados que se encuentren almacenados en Amazon S3; y

d) el bloqueo temporal de la información que deba conservarse para cumplir obligaciones legales, atender reclamaciones, investigar incidentes o ejercer o defender derechos.

Los archivos y objetos de Exebia CETB almacenados en Amazon S3 no cuentan actualmente con respaldos programados ni con versionado habilitado.

La replicación automática de Amazon S3 entre distintas zonas de disponibilidad constituye un mecanismo de redundancia y continuidad operativa, pero no una copia de respaldo independiente ni una versión histórica recuperable por ASN.

La eliminación de los archivos almacenados en Amazon S3 se realizará mediante el procedimiento manual o técnico correspondiente. Una vez eliminado un objeto y siempre que no exista otra copia legítimamente conservada en un sistema distinto, ASN no podrá recuperarlo mediante las funciones ordinarias de la Plataforma.

20.5. No utilización para entrenamiento o ajuste de modelos

ASN no utilizará los prompts, respuestas, conversaciones, documentos, archivos, contenidos, comportamientos ni demás datos personales de las Personas Usuarias para entrenar o realizar ajustes especializados —fine-tuning— de modelos de inteligencia artificial.

Esta prohibición será aplicable a modelos generales, especializados, propios, de terceros y a cualquier modelo utilizado directa o indirectamente por Exebia CETB.

Los datos solamente podrán analizarse en la medida estrictamente necesaria para:

a) recibir y procesar una solicitud;

b) generar y mostrar una respuesta;

c) ejecutar una función autorizada por la Persona Usuaria;

d) mantener la continuidad y el historial de una conversación;

e) medir el desempeño técnico de Exebia CETB;

f) controlar consumos y capacidad;

g) resolver errores;

h) brindar soporte;

i) prevenir fraude, usos indebidos o abusos;

j) mantener la seguridad; y

k) cumplir las demás finalidades expresamente informadas en este Aviso que no impliquen entrenamiento o ajuste de modelos.

Las métricas técnicas que no reproduzcan el contenido de las conversaciones podrán conservarse separadamente durante el plazo correspondiente a su finalidad operativa, contable, contractual o de seguridad.

Cuando sea posible, ASN deberá utilizar métricas agregadas o disociadas para evaluar el desempeño general de Exebia CETB.

La utilización de un modelo de inteligencia artificial para procesar una solicitud y generar una respuesta no significa que la información sea utilizada para entrenar dicho modelo. ASN deberá configurar y contratar los servicios tecnológicos correspondientes de manera congruente con esta prohibición.

20.6. Acceso por personal autorizado

El contenido de una conversación podrá ser consultado por personal expresamente autorizado de ASN únicamente cuando resulte necesario para:

a) atender una solicitud de soporte formulada por la Persona Usuaria;

b) investigar una falla o incidente de seguridad;

c) verificar el funcionamiento de una herramienta o acción solicitada;

d) atender una queja, aclaración o controversia;

e) cumplir una obligación legal; o

f) proteger los derechos de la Persona Usuaria, de ASN o de terceros.

Dicho acceso deberá sujetarse a controles de permisos, confidencialidad, registro y necesidad de conocimiento.

20.7. Recomendaciones para la Persona Usuaria

La Persona Usuaria deberá evitar ingresar en Exebia CETB:

a) contraseñas;

b) códigos de autenticación;

c) números completos de tarjetas o credenciales bancarias;

d) datos personales sensibles que no sean indispensables;

e) información confidencial de terceros sin autorización;

f) documentos de identidad completos cuando no sean solicitados mediante una función segura; o

g) cualquier información ilícita o que no tenga derecho a utilizar.

Si la Persona Usuaria proporciona datos personales de otra persona, será responsable de contar con la autorización o fundamento correspondiente.

20.8. Limitaciones de la inteligencia artificial

Las respuestas generadas por Exebia CETB pueden ser incompletas, imprecisas o no corresponder con la situación particular de la Persona Usuaria.

Exebia CETB no sustituye la asesoría profesional, legal, fiscal, médica, financiera, contable o técnica especializada. Cuando una decisión pueda producir consecuencias relevantes, la Persona Usuaria deberá verificar la información y, en su caso, consultar a un profesional competente.

Las respuestas de Exebia CETB no constituyen por sí mismas una decisión definitiva de ASN o de un Negocio, salvo que la Plataforma lo indique expresamente y exista un proceso autorizado para ello.

21. CAMBIOS EN LAS TECNOLOGÍAS UTILIZADAS

ASN podrá sustituir, actualizar o incorporar tecnologías necesarias para operar CETB, siempre que el tratamiento permanezca dentro de las finalidades y condiciones informadas.

Cuando una nueva tecnología implique:

a) nuevas categorías de datos personales;

b) finalidades incompatibles o sustancialmente distintas;

c) seguimiento no informado;

d) nuevas transferencias que requieran consentimiento;

e) decisiones automatizadas con efectos significativos; o

f) cambios relevantes en los riesgos para la privacidad de la Persona Usuaria,

ASN deberá evaluar la necesidad de actualizar el presente Aviso, informar a la Persona Usuaria y obtener un nuevo consentimiento cuando corresponda.

22. ENCARGADOS, PROVEEDORES Y TERCEROS

Para operar CETB, ASN puede apoyarse en proveedores tecnológicos, empresas de infraestructura, servicios de comunicación, procesadores de pago, servicios de entrega, asesores y otros prestadores relacionados con las funciones de la Plataforma.

La participación de estas personas se sujetará a alguna de las siguientes figuras:

22.1. Encargados

Son las personas físicas o morales que tratan datos personales por cuenta de ASN, conforme a sus instrucciones y únicamente para prestar un servicio determinado.

Cuando un proveedor actúe como encargado, ASN procurará establecer obligaciones relacionadas con:

a) confidencialidad;

b) seguridad de la información;

c) tratamiento limitado a las instrucciones de ASN;

d) prohibición de utilizar los datos para finalidades propias no autorizadas;

e) atención de incidentes;

f) eliminación, devolución o bloqueo de información al terminar el servicio, según corresponda;

g) cooperación para atender solicitudes de las Personas Usuarias; y

h) supervisión de los subencargados que, en su caso, intervengan.

El acceso o comunicación de datos a un encargado para prestar servicios por cuenta de ASN no tendrá el carácter de venta de datos personales.

22.2. Terceros responsables independientes

Determinadas personas pueden recibir datos personales y decidir, bajo su propia responsabilidad, las finalidades y medios de su tratamiento. Esto puede ocurrir, entre otros casos, con:

a) los Negocios que reciben pedidos o solicitudes de la Persona Usuaria;

b) procesadores de pago o instituciones financieras;

c) proveedores de entrega o logística que actúen por cuenta propia;

d) autoridades competentes; y

e) personas que intervengan en una operación corporativa legalmente autorizada.

Estos terceros deberán tratar los datos conforme a su propio aviso de privacidad, obligaciones legales y relación con la Persona Usuaria.

22.3. Obligación de evaluación

ASN procurará seleccionar proveedores que ofrezcan condiciones razonables de privacidad y seguridad de acuerdo con:

a) la naturaleza del servicio;

b) las categorías de datos involucradas;

c) el nivel de riesgo;

d) la ubicación del tratamiento;

e) los mecanismos de seguridad disponibles; y

f) las obligaciones legales aplicables.

La contratación de un proveedor no libera a ASN de las obligaciones que le correspondan como responsable del tratamiento.

23. PROVEEDORES TECNOLÓGICOS Y REMISIONES DE DATOS

ASN puede remitir datos personales a proveedores nacionales o extranjeros que actúen por su cuenta para prestar servicios tecnológicos y operativos.

Las categorías de proveedores y finalidades correspondientes incluyen las siguientes:

23.1. Infraestructura en la nube

ASN utiliza servicios de infraestructura en la nube para:

a) alojar la Plataforma;

b) procesar solicitudes;

c) almacenar información;

d) mantener bases de datos;

e) ejecutar procesos y funciones necesarias para prestar los servicios;

f) distribuir contenidos;

g) mantener mecanismos de redundancia, disponibilidad y continuidad operativa;

h) monitorear el funcionamiento;

i) investigar errores e incidentes; y

j) proteger la disponibilidad, integridad y seguridad de CETB.

Entre los proveedores utilizados se encuentra Amazon Web Services, Inc. o las entidades de su grupo que resulten aplicables conforme a los servicios contratados y a la ubicación de la infraestructura.

Dependiendo de la arquitectura y configuración de cada servicio, podrán intervenir herramientas de almacenamiento, procesamiento, autenticación, ejecución de funciones, monitoreo, mensajería, correo electrónico, inteligencia artificial, administración de registros, redundancia y recuperación frente a fallas de infraestructura.

La redundancia o replicación interna proporcionada por un servicio de infraestructura no será considerada una copia de respaldo independiente cuando ASN no pueda acceder a ella, restaurarla o administrar versiones históricas de la información.

Actualmente, respecto de los objetos almacenados en Amazon S3, ASN no utiliza respaldos programados ni tiene habilitado el versionado.

Si posteriormente ASN implementa un servicio independiente de respaldo, versionado o recuperación de información que modifique las condiciones descritas en este Aviso, evaluará sus finalidades, datos tratados, ubicación y periodos de conservación, y actualizará el presente documento cuando resulte necesario.

23.2. Bases de datos y almacenamiento de archivos

CETB utiliza MongoDB Atlas para administrar determinadas bases de datos necesarias para el funcionamiento de la Plataforma. La infraestructura actualmente utilizada para este servicio se encuentra alojada sobre Amazon Web Services en la región de Virginia del Norte, Estados Unidos de América.

MongoDB Atlas podrá almacenar información relacionada con:

a) cuentas y perfiles de las Personas Usuarias;

b) configuraciones y preferencias;

c) operaciones realizadas en la Plataforma;

d) pedidos y transacciones;

e) registros de soporte;

f) tokens técnicos para notificaciones;

g) historiales relacionados con las funciones utilizadas; y

h) demás información necesaria para operar CETB.

CETB también utiliza Amazon Simple Storage Service, conocido como Amazon S3, para almacenar archivos y objetos digitales necesarios para la operación de la Plataforma. Estos objetos se almacenan actualmente en la región us-east-1, ubicada en Estados Unidos de América.

Según las funciones utilizadas, Amazon S3 podrá almacenar:

a) imágenes;

b) documentos;

c) archivos proporcionados por las Personas Usuarias;

d) archivos relacionados con productos, Cupones, promociones o Negocios;

e) archivos generados mediante las funciones de CETB;

f) archivos relacionados con Exebia CETB; y

g) demás objetos digitales necesarios para prestar los servicios.

Amazon S3 replica de manera nativa los objetos entre distintas zonas de disponibilidad dentro de la región configurada. Esta replicación tiene como finalidad proporcionar redundancia, disponibilidad y protección frente a fallas de infraestructura.

La replicación interna de Amazon S3 no constituye una copia de respaldo independiente y recuperable por ASN. Actualmente, ASN no utiliza respaldos programados ni tiene habilitado el versionado de los objetos almacenados en Amazon S3.

El acceso a las bases de datos y archivos estará limitado al personal, sistemas y proveedores autorizados que necesiten utilizarlos para operar la Plataforma, proporcionar soporte, mantener la seguridad, atender incidentes o cumplir obligaciones legales.

23.3. Servicios de Amazon Web Services

CETB utiliza servicios de Amazon Web Services para las siguientes funciones:

a) Amazon Cognito, para administrar la autenticación, las credenciales y el acceso a las Cuentas;

b) AWS Lambda, para ejecutar procesos, solicitudes y funciones necesarias para la operación de la Plataforma;

c) Amazon CloudWatch, para monitoreo, registros técnicos, diagnóstico, rendimiento y seguridad;

d) Amazon Simple Email Service —SES—, para enviar comprobantes, tickets, mensajes de recuperación de Cuenta y otras comunicaciones por correo electrónico;

e) Amazon Simple Notification Service —SNS—, para enviar mensajes SMS, códigos y comunicaciones operativas;

f) Amazon Bedrock, para habilitar los modelos de inteligencia artificial utilizados por Exebia CETB; y

g) Amazon Simple Storage Service —S3—, para almacenar imágenes, documentos, archivos y objetos digitales necesarios para la operación de CETB.

Los datos tratados por estos servicios dependerán de la función utilizada y podrán incluir:

a) identificadores internos de Cuenta;

b) credenciales técnicas de autenticación;

c) direcciones de correo electrónico;

d) números telefónicos;

e) mensajes y comunicaciones;

f) registros técnicos y de seguridad;

g) prompts y respuestas de Exebia CETB;

h) metadatos; e

i) información indispensable para ejecutar la solicitud o proporcionar la función correspondiente.

Amazon S3 almacena actualmente los objetos en la región us-east-1 y proporciona redundancia nativa mediante la replicación de la información entre distintas zonas de disponibilidad dentro de dicha región.

Esta replicación tiene como finalidad mantener la disponibilidad y durabilidad del servicio, pero no constituye un respaldo independiente administrado o recuperable por ASN.

ASN no utiliza actualmente respaldos programados ni tiene habilitado el versionado de los objetos almacenados en Amazon S3. Los objetos se conservan hasta que son eliminados mediante el procedimiento manual o técnico correspondiente.

ASN procurará que cada servicio reciba únicamente la información necesaria para cumplir su función y aplicará medidas razonables para proteger los datos personales involucrados.

23.4. Cloud Firestore y Firebase Cloud Messaging

CETB utiliza únicamente los siguientes servicios de Firebase o Google Cloud:

a) Cloud Firestore, para registrar eventos operativos relacionados con la redención de Cupones y la vinculación de sesiones entre dispositivos; y

b) Firebase Cloud Messaging, para enviar notificaciones push de Cupones y promociones autorizadas.

CETB mantiene proyectos separados para los ambientes de desarrollo o pruebas y de producción. En ambos casos se utiliza la base de datos predeterminada de Cloud Firestore.

Los datos almacenados en Cloud Firestore se limitan a identificadores internos de la Persona Usuaria y del Negocio, módulo utilizado, tipo de evento, fecha y hora e identificador del Cupón o producto relacionado.

Los tokens utilizados para Firebase Cloud Messaging se almacenan en MongoDB Atlas y no en Cloud Firestore.

Actualmente, CETB no utiliza Firebase Authentication, Cloud Functions, Cloud Storage, Google Analytics para Firebase, Google Analytics 4, BigQuery, Crashlytics, Performance Monitoring, Remote Config, App Check ni Firebase In-App Messaging. Tampoco existe una exportación automática de información desde Firebase hacia BigQuery u otros sistemas.

La base de datos de Cloud Firestore se encuentra configurada en la ubicación multirregional nam5, correspondiente a infraestructura ubicada en Estados Unidos.

Cloud Firestore se consume mediante el endpoint global del servicio. Aunque los datos almacenados permanecen en la ubicación configurada, las solicitudes pueden transitar temporalmente por infraestructura ubicada fuera de dicha multirregión durante su enrutamiento.

Firebase Cloud Messaging funciona mediante infraestructura global y no permite seleccionar una región exclusiva para su operación. Por ello, los tokens, mensajes y datos técnicos indispensables para la entrega de notificaciones pueden procesarse transitoriamente mediante infraestructura distribuida fuera de México.

23.5. Comunicaciones electrónicas

ASN podrá utilizar proveedores de correo electrónico, mensajes SMS, mensajería y comunicaciones dentro de la Plataforma para enviar:

a) códigos de autenticación;

b) avisos de recuperación de Cuenta;

c) confirmaciones de registro o de Pedidos;

d) tickets, comprobantes y recibos;

e) actualizaciones operativas;

f) información sobre entregas, cambios o cancelaciones;

g) alertas de seguridad;

h) respuestas de soporte;

i) avisos contractuales; y

j) demás comunicaciones necesarias para operar CETB y administrar la relación con la Persona Usuaria.

Para estas comunicaciones, los proveedores correspondientes podrán recibir:

a) nombre, cuando resulte necesario;

b) correo electrónico;

c) número telefónico;

d) identificador interno de Cuenta;

e) contenido de la comunicación;

f) identificador del mensaje; y

g) datos técnicos relacionados con su envío, entrega, rechazo, apertura o interacción, cuando la tecnología utilizada permita obtenerlos.

De manera separada, CETB utiliza Firebase Cloud Messaging exclusivamente para enviar notificaciones push relacionadas con Cupones y promociones previamente autorizadas.

Para esta finalidad, Firebase Cloud Messaging podrá tratar:

a) token técnico del dispositivo;

b) identificador del Cupón o promoción;

c) descripción;

d) imagen asociada; y

e) datos técnicos indispensables para dirigir y mostrar la notificación.

El contenido enviado mediante Firebase Cloud Messaging no incluirá nombres, correos electrónicos, números telefónicos, domicilios, ubicación, información financiera, datos completos de compras ni información que no resulte necesaria para entregar la notificación.

CETB no utiliza actualmente Firebase Cloud Messaging para comunicaciones operativas ni tiene habilitada la exportación de métricas de entrega hacia Google Analytics o BigQuery.

23.6. Soporte, mantenimiento y desarrollo

ASN podrá permitir acceso limitado a información a proveedores o personal especializado que preste servicios de:

a) desarrollo de software;

b) mantenimiento;

c) soporte técnico;

d) diseño y experiencia de usuario;

e) pruebas;

f) seguridad informática;

g) recuperación de información; o

h) investigación de incidentes.

El acceso deberá limitarse a las personas autorizadas y a la información necesaria para realizar la actividad encomendada.

Cuando sea posible, se utilizarán datos ficticios, disociados o ambientes de prueba que no contengan información personal real.

23.7. Procesamiento de pagos mediante Stripe

Actualmente, la integración de pagos con Stripe se encuentra en etapa de pruebas. Cuando esta función sea habilitada, Stripe podrá recabar y tratar directamente los datos financieros necesarios para procesar los pagos disponibles en CETB.

ASN podrá comunicar a Stripe los datos indispensables para iniciar, identificar y conciliar la operación, incluyendo:

a) identificador interno de la Persona Usuaria;

b) identificador del Negocio, cuenta o tenant;

c) correo electrónico u otros datos de contacto, cuando sean necesarios para el pago o la emisión de comprobantes;

d) importe y moneda;

e) concepto del pago;

f) identificador del pedido, suscripción, adquisición de Monedas CETB, recarga, servicio u operación interna; y

g) metadatos técnicos y operativos necesarios para prevenir fraude, solucionar errores y conciliar la transacción.

Como resultado del procesamiento, ASN podrá recibir de Stripe:

a) identificadores del PaymentIntent y del cargo;

b) estado de la operación;

c) importe, moneda, comisión y monto neto;

d) fechas de creación y confirmación;

e) identificador de cliente en Stripe;

f) marca, últimos cuatro dígitos, vigencia, tipo de fondeo y país de la tarjeta;

g) códigos y mensajes de error o rechazo;

h) información relacionada con reembolsos, devoluciones, disputas y contracargos; e

i) identificadores de los eventos o notificaciones webhook.

Stripe recabará directamente los números completos de tarjeta, códigos de seguridad y demás credenciales financieras. ASN no recibirá ni almacenará estos datos completos.

Stripe podrá actuar como encargado, prestador de servicios o responsable independiente respecto de determinados tratamientos, de acuerdo con la naturaleza de la operación, los servicios contratados y las disposiciones legales aplicables.

El tratamiento realizado directamente por Stripe se sujetará también a sus propios términos y aviso de privacidad.

24. TRANSFERENCIAS DE DATOS PERSONALES

ASN podrá transferir datos personales a terceros nacionales o extranjeros en los casos descritos a continuación.

24.1. Negocios registrados en CETB

Cuando la Persona Usuaria realice un pedido, solicite un producto o servicio, pida una factura, utilice un cupón, solicite una entrega, presente una aclaración o interactúe de manera directa con un Negocio, ASN podrá transferir al Negocio los datos necesarios para atender la solicitud.

Según la operación, estos datos pueden incluir:

a) nombre;

b) número telefónico;

c) correo electrónico;

d) domicilio o punto de entrega;

e) ubicación compartida para una entrega específica;

f) productos o servicios solicitados;

g) instrucciones del pedido;

h) datos de facturación;

i) información sobre cupones o beneficios utilizados;

j) estado general del pago; y

k) información necesaria para aclaraciones, devoluciones o atención posterior.

El Negocio será responsable del tratamiento que realice para preparar y entregar el pedido, prestar el servicio, emitir la factura, atender garantías, cumplir obligaciones legales o resolver controversias.

El Negocio no deberá utilizar los datos recibidos exclusivamente para una operación con el fin de enviar publicidad propia, salvo que obtenga directamente el consentimiento de la Persona Usuaria y ponga a su disposición su propio aviso de privacidad.

24.2. Servicios de entrega y logística

Cuando una entrega sea realizada por un tercero, ASN o el Negocio podrán comunicarle los datos estrictamente necesarios, como:

a) nombre de la persona que recibe;

b) número telefónico de contacto;

c) domicilio o punto de entrega;

d) referencias de ubicación;

e) instrucciones de entrega;

f) identificador del pedido; y

g) datos necesarios para acreditar la entrega.

El proveedor de entrega deberá utilizar la información para completar la entrega, atender incidentes, mantener la seguridad y cumplir las obligaciones aplicables.

Cuando el servicio de entrega sea seleccionado y contratado directamente por el Negocio, dicho Negocio será responsable de la comunicación de los datos al proveedor correspondiente.

24.3. Stripe, procesadores de pago e instituciones financieras

Cuando se habiliten las funciones de pago, ASN podrá comunicar datos personales y transaccionales a Stripe y, cuando corresponda, a bancos, emisores, adquirentes, redes de tarjetas, instituciones financieras y demás participantes necesarios para:

a) crear y administrar la operación de pago;

b) verificar, autorizar y confirmar la transacción;

c) identificar a la Persona Usuaria, cuenta o Negocio relacionado con la operación;

d) procesar cargos, cancelaciones, devoluciones y reembolsos;

e) detectar y prevenir fraude, uso indebido o actividades ilícitas;

f) investigar pagos rechazados, duplicados, incorrectos o no reconocidos;

g) gestionar disputas y contracargos;

h) conciliar los pagos recibidos por ASN;

i) proporcionar soporte y atender aclaraciones;

j) conservar evidencia de la operación;

k) cumplir obligaciones contractuales, fiscales, contables, regulatorias y legales; y

l) ejercer o defender derechos relacionados con la operación.

La comunicación de información podrá incluir datos de identificación y contacto, identificadores internos de la Persona Usuaria y del Negocio, concepto de pago, importe, moneda, referencias de la operación y demás datos estrictamente necesarios para procesarla.

Stripe y los demás participantes del sistema de pagos podrán encontrarse o utilizar infraestructura ubicada fuera de México. Cuando resulte aplicable, ASN adoptará las medidas contractuales y legales necesarias para proteger los datos personales involucrados.

Stripe recabará directamente los datos completos del medio de pago. ASN no transmitirá ni conservará números completos de tarjeta, códigos de seguridad, NIP o contraseñas bancarias.

El proveedor correspondiente podrá tratar la información conforme a su propio aviso de privacidad y a las obligaciones legales y regulatorias que le resulten aplicables.

24.4. Autoridades competentes

ASN podrá comunicar datos personales a autoridades administrativas, fiscales, judiciales, regulatorias, ministeriales, de seguridad o protección civil cuando:

a) exista un requerimiento legal válido;

b) sea necesario cumplir una obligación;

c) deban investigarse posibles conductas ilícitas;

d) sea necesario proteger la vida, integridad o seguridad de una persona;

e) deba atenderse un procedimiento, auditoría o investigación; o

f) resulte necesario ejercer o defender derechos.

ASN procurará verificar la competencia y fundamento del requerimiento antes de entregar información, salvo en situaciones urgentes o cuando la legislación disponga otra cosa.

24.5. Asesores y profesionales

ASN podrá comunicar información a abogados, contadores, auditores, aseguradoras, peritos u otros asesores cuando sea necesario para:

a) obtener asesoría profesional;

b) cumplir obligaciones fiscales o contables;

c) realizar auditorías;

d) atender reclamaciones;

e) gestionar seguros;

f) investigar incidentes; o

g) ejercer o defender derechos.

Estas personas deberán estar sujetas a deberes legales, profesionales o contractuales de confidencialidad.

24.6. Operaciones corporativas

Si ASN participa en una fusión, escisión, adquisición, venta de activos, inversión, financiamiento, reestructura o transmisión de una unidad de negocio, podrá comunicar datos personales a asesores, inversionistas, financiadores, adquirentes o entidades participantes.

La información deberá limitarse a lo necesario para:

a) evaluar la operación;

b) realizar una revisión legal o financiera;

c) negociar y formalizar la operación; o

d) continuar prestando los servicios.

Antes de concretarse la operación, ASN procurará utilizar información agregada, disociada o limitada y exigir obligaciones de confidencialidad.

Si como resultado de la operación cambia el responsable del tratamiento, se informará a la Persona Usuaria conforme a la legislación aplicable.

24.7. Protección de derechos y seguridad

ASN podrá comunicar información cuando resulte razonablemente necesario para:

a) prevenir o investigar fraude;

b) detectar accesos no autorizados;

c) atender incidentes de seguridad;

d) proteger a las Personas Usuarias, Negocios o terceros;

e) hacer cumplir los Términos y Condiciones;

f) prevenir daños o conductas ilícitas; o

g) ejercer o defender derechos en un procedimiento.

La comunicación deberá encontrarse legalmente justificada y limitarse a la información necesaria.

25. CONSENTIMIENTO PARA TRANSFERENCIAS

Cuando una transferencia de datos personales requiera el consentimiento de la Persona Usuaria, ASN deberá solicitarlo mediante un mecanismo que permita acreditar su manifestación.

No será necesario solicitar consentimiento adicional cuando la transferencia:

a) sea necesaria para cumplir una solicitud, pedido, contrato o relación jurídica en interés de la Persona Usuaria;

b) se encuentre prevista o permitida por la legislación aplicable;

c) sea necesaria para la atención médica, prevención, diagnóstico o gestión de servicios sanitarios en los casos legalmente procedentes;

d) se realice a sociedades controladoras, subsidiarias, afiliadas o entidades sujetas a políticas y controles comunes compatibles, cuando legalmente corresponda;

e) sea necesaria para el reconocimiento, ejercicio o defensa de un derecho;

f) sea necesaria para mantener o cumplir una relación jurídica entre ASN y la Persona Usuaria; o

g) se encuentre comprendida en otra excepción legal.

Cuando una transferencia sea opcional y no resulte necesaria para utilizar las funciones esenciales de CETB, la Persona Usuaria podrá negarse sin perder el acceso general a la Plataforma.

La negativa no podrá impedir una operación cuando la transferencia sea indispensable para atender una solicitud concreta de la Persona Usuaria; por ejemplo, comunicar al Negocio los datos necesarios para preparar un pedido o proporcionar al servicio de entrega el domicilio correspondiente.

26. PROCESAMIENTO INTERNACIONAL DE DATOS

26.1. Infraestructura ubicada fuera de México

Debido a la naturaleza de los proveedores tecnológicos utilizados por CETB, determinados datos personales pueden almacenarse, transmitirse, consultarse o procesarse fuera de México.

Actualmente se ha confirmado que:

a) parte de la infraestructura de MongoDB Atlas utilizada por CETB se encuentra alojada sobre Amazon Web Services en la región de Virginia del Norte, Estados Unidos de América;

b) la base de datos de Cloud Firestore se encuentra configurada en la ubicación multirregional nam5, correspondiente a infraestructura ubicada en Estados Unidos de América;

c) las solicitudes dirigidas a Cloud Firestore utilizan el punto de acceso global del servicio y pueden transitar temporalmente por infraestructura distinta de la ubicación de almacenamiento durante su enrutamiento;

d) Firebase Cloud Messaging opera mediante infraestructura global y no permite seleccionar una región exclusiva para el procesamiento de las notificaciones; y

e) los archivos y objetos almacenados mediante Amazon S3 se encuentran actualmente en la región us-east-1, ubicada en Estados Unidos de América.

Amazon S3 mantiene redundancia nativa entre distintas zonas de disponibilidad dentro de la región configurada. Esta redundancia tiene como finalidad contribuir a la disponibilidad y durabilidad del servicio, pero no constituye una copia de respaldo independiente, un sistema de versionado ni una versión histórica recuperable por ASN.

Otros servicios de Amazon Web Services, Stripe y los demás proveedores tecnológicos utilizados por CETB podrán operar mediante infraestructura distribuida o regiones extranjeras, conforme a la configuración contratada, la naturaleza del servicio, sus condiciones aplicables y su disponibilidad.

ASN limitará los datos comunicados a cada proveedor a la información necesaria para cumplir la función correspondiente y aplicará las medidas administrativas, técnicas, contractuales y de seguridad señaladas en el apartado siguiente.

26.2. Medidas aplicables

Cuando el tratamiento se realice fuera de México, ASN procurará:

a) seleccionar proveedores con medidas razonables de seguridad;

b) celebrar contratos o aceptar condiciones que establezcan obligaciones de privacidad y confidencialidad;

c) limitar el tratamiento a finalidades determinadas;

d) controlar los permisos de acceso;

e) utilizar medidas de cifrado cuando resulten razonablemente aplicables;

f) mantener mecanismos para atender incidentes; y

g) exigir la eliminación, devolución o restricción de datos al concluir la prestación, cuando técnica y legalmente proceda.

26.3. Legislación extranjera

Los proveedores ubicados en otros países pueden estar sujetos a las leyes y requerimientos válidos de las autoridades de las jurisdicciones donde operan.

ASN evaluará razonablemente los riesgos asociados con sus proveedores y adoptará las medidas contractuales, administrativas y técnicas que correspondan conforme a la naturaleza de los datos y del servicio.

La utilización de infraestructura extranjera no autoriza a los proveedores a utilizar los datos personales para finalidades propias incompatibles con las instrucciones de ASN.

27. SITIOS, SERVICIOS Y AVISOS DE PRIVACIDAD DE TERCEROS

CETB puede contener enlaces, integraciones, botones o accesos a sitios, aplicaciones o servicios operados por terceros.

Cuando la Persona Usuaria abandone CETB o proporcione información directamente a un tercero, el tratamiento correspondiente se sujetará al aviso de privacidad, términos y medidas de seguridad de dicho tercero.

ASN no controla las prácticas de privacidad de responsables independientes. Por ello, la Persona Usuaria deberá revisar los avisos aplicables antes de proporcionar información o contratar un servicio externo.

Lo anterior no exime a ASN de sus responsabilidades respecto de las transferencias, remisiones o integraciones que realice directamente.

28. CAMBIO DE PROVEEDORES O DESTINATARIOS

ASN podrá sustituir, incorporar o retirar proveedores cuando resulte necesario para mejorar, mantener o proteger CETB.

Cuando el cambio no modifique sustancialmente las finalidades, categorías de datos, condiciones de tratamiento o transferencias informadas, podrá realizarse sin solicitar un nuevo consentimiento.

Si el cambio implica:

a) una nueva transferencia que requiera consentimiento;

b) finalidades distintas o incompatibles;

c) nuevas categorías de datos;

d) un riesgo sustancialmente diferente para la Persona Usuaria; o

e) el cambio de responsable del tratamiento,

ASN actualizará el presente Aviso y, cuando corresponda, informará a la Persona Usuaria y solicitará el consentimiento aplicable.

29. CONSERVACIÓN DE LOS DATOS PERSONALES

29.1. Criterios generales

ASN conservará los datos personales únicamente durante el tiempo necesario para:

a) cumplir las finalidades informadas;

b) mantener y administrar la cuenta de la Persona Usuaria;

c) prestar los servicios solicitados;

d) documentar operaciones;

e) atender solicitudes, reclamaciones y controversias;

f) cumplir obligaciones legales, fiscales, contables, contractuales o regulatorias;

g) prevenir fraude y proteger la seguridad de CETB;

h) ejercer o defender derechos; y

i) demostrar el cumplimiento de obligaciones en materia de protección de datos personales.

Al determinar el plazo de conservación se considerarán:

a) la naturaleza y sensibilidad de los datos;

b) la finalidad para la que fueron obtenidos;

c) la existencia de una relación activa con la Persona Usuaria;

d) los plazos legales de prescripción;

e) el riesgo asociado con su conservación;

f) la existencia de pedidos, pagos, aclaraciones o controversias; y

g) las capacidades técnicas efectivamente disponibles para bloquear, eliminar, disociar o restringir los datos, así como los mecanismos de redundancia, disponibilidad y continuidad operativa configurados en cada sistema.

La redundancia o replicación interna proporcionada por un servicio de infraestructura no justificará por sí misma la ampliación de los plazos de conservación ni será considerada una copia de respaldo independiente cuando ASN no pueda administrarla, restaurarla o utilizarla para recuperar versiones históricas de la información.

Cuando los datos personales dejen de ser necesarios, ASN deberá eliminarlos, disociarlos o bloquearlos durante el periodo necesario para atender responsabilidades legales o contractuales. Concluido el periodo de bloqueo, los datos deberán suprimirse definitivamente, salvo que exista otra causa jurídica vigente que justifique su conservación.

29.2. Datos generales de la cuenta

Los datos generales de la cuenta, perfil, preferencias, configuraciones, actividad e interacciones identificables podrán conservarse mientras la cuenta permanezca activa y hasta por veinticuatro meses contados desde la última interacción relevante o desde la conclusión de la relación con ASN, salvo que la Persona Usuaria solicite previamente la cancelación de sus datos o eliminación de su cuenta.

Cuando se solicite la eliminación de la cuenta, el plazo general de veinticuatro meses dejará de aplicarse a los datos que ya no resulten necesarios. ASN deberá:

a) desactivar el acceso a la cuenta;

b) bloquear los datos que deban conservarse temporalmente;

c) eliminar los datos que no estén sujetos a una obligación o causa legítima de conservación;

d) disociar la información que pueda conservarse sin identificar a la Persona Usuaria; y

e) suprimir definitivamente los datos bloqueados cuando concluya el plazo legal o contractual correspondiente.

La conservación podrá extenderse únicamente respecto de los datos concretos necesarios para:

a) cumplir obligaciones legales, fiscales, contables o contractuales;

b) acreditar pedidos, pagos u operaciones;

c) atender aclaraciones, reclamaciones, devoluciones, disputas o contracargos;

d) investigar incidentes de seguridad o posibles fraudes;

e) responder a requerimientos de autoridades competentes; o

f) ejercer o defender derechos.

El bloqueo o borrado lógico no autoriza la conservación indefinida de toda la cuenta. Concluida la causa que justificó la conservación, los datos deberán eliminarse o disociarse.

29.3. Carritos de compra

Los carritos de compra identificables, incluyendo los productos o servicios seleccionados y la cuenta asociada, podrán conservarse hasta por noventa días contados desde su creación o última actualización.

Al concluir ese plazo, la información deberá eliminarse o disociarse, salvo que:

a) el carrito se haya convertido en un pedido;

b) exista una solicitud activa de la Persona Usuaria;

c) resulte necesaria para investigar un error o incidente; o

d) exista otra causa legítima de conservación.

Cuando la Persona Usuaria haya autorizado la personalización comercial, los datos del carrito podrán utilizarse durante dicho periodo para recordatorios o recomendaciones. Si no existe ese consentimiento, solamente podrán utilizarse para mantener la funcionalidad solicitada por la Persona Usuaria.

29.4. Registros operativos de Cloud Firestore

Los registros almacenados en Cloud Firestore se conservarán de acuerdo con la colección y la finalidad para la que fueron generados.

a) Registros de sessions: se conservarán únicamente mientras resulte necesaria la vinculación entre la sesión utilizada en una computadora y el dispositivo móvil de la Persona Usuaria. Cuando la sesión sea desvinculada, el registro correspondiente será eliminado automáticamente mediante un procedimiento programático.

b) Registros de redeems: podrán conservarse hasta por seis meses contados desde la fecha en que se registre la redención del Cupón, promoción, producto o beneficio. La actividad posterior de la Persona Usuaria no reiniciará este periodo.

Concluido el plazo aplicable, los registros deberán eliminarse o disociarse, salvo que resulte necesario conservar temporalmente un registro específico para:

a) investigar un posible fraude o redención no autorizada;

b) atender una aclaración, reclamación o controversia;

c) investigar un incidente de seguridad;

d) cumplir una obligación legal o un requerimiento de autoridad competente; o

e) ejercer o defender derechos.

Cuando exista alguna de estas excepciones, el registro será bloqueado y su acceso quedará limitado al personal o proveedores autorizados que necesiten utilizarlo para la finalidad correspondiente. Concluida la causa que justificó su conservación y los plazos legales aplicables, el registro será eliminado o disociado.

Los registros disociados que ya no permitan identificar directa o indirectamente a una Persona Usuaria podrán conservarse para generar estadísticas, prevenir fraude, evaluar el funcionamiento de la Plataforma y mejorar los servicios de CETB.

29.5. Registros de CloudWatch

Los registros técnicos, operativos y de seguridad administrados mediante Amazon CloudWatch podrán conservarse hasta por seis meses.

El plazo podrá extenderse respecto de registros concretos relacionados con:

a) un incidente de seguridad;

b) una investigación;

c) un acceso no autorizado;

d) una falla relevante;

e) una reclamación; o

f) un procedimiento legal.

29.6. Conversaciones de Exebia CETB

Los prompts y respuestas identificables de Exebia CETB podrán conservarse hasta por seis meses.

Las métricas técnicas que no reproduzcan el contenido de las conversaciones podrán conservarse separadamente durante el plazo necesario para control de consumo, soporte, seguridad, contabilidad, evaluación técnica y cumplimiento de obligaciones.

La Persona Usuaria podrá solicitar o ejecutar la eliminación de su historial, sin perjuicio de las excepciones y ciclos técnicos descritos en este Aviso.

29.7. Pedidos, pagos, facturas y operaciones

Los datos relacionados con pedidos, pagos, suscripciones, adquisición de Monedas CETB, recargas, servicios, devoluciones, reembolsos, comprobantes, facturas, movimientos, disputas, contracargos, aclaraciones y demás operaciones se conservarán durante el tiempo necesario para administrar y acreditar la operación correspondiente.

Cuando intervenga Stripe, ASN podrá conservar los identificadores del PaymentIntent y del cargo, estado del pago, importe, moneda, comisión, monto neto, fechas de creación y confirmación, identificador de cliente en Stripe, referencias internas, datos parciales del método de pago, errores, rechazos, reembolsos, disputas, contracargos e identificadores de eventos webhook.

Esta información podrá conservarse después de la cancelación o eliminación de la cuenta cuando resulte necesaria para:

a) comprobar la existencia y condiciones de una operación;

b) cumplir obligaciones fiscales, contables, mercantiles, contractuales o regulatorias;

c) atender aclaraciones, devoluciones, reembolsos, garantías, disputas o contracargos;

d) detectar o prevenir fraude y operaciones ilícitas;

e) responder a requerimientos de autoridades competentes;

f) atender auditorías;

g) ejercer o defender derechos; o

h) cumplir los plazos de prescripción y conservación establecidos en la normativa aplicable.

ASN no conservará estos registros de manera indefinida por el solo hecho de haber existido una cuenta o una operación.

Cuando los datos dejen de ser necesarios, serán bloqueados durante los plazos de conservación o prescripción aplicables. Concluidos dichos plazos y siempre que no exista una obligación legal, reclamación, investigación, disputa, contracargo o procedimiento pendiente, los datos serán eliminados o disociados de manera que ya no puedan vincularse con una Persona Usuaria identificada o identificable.

La eliminación de la cuenta no implica la eliminación inmediata de los registros que ASN deba conservar para cumplir las finalidades y obligaciones señaladas en este apartado. Durante el periodo de bloqueo, el acceso a estos datos estará limitado al personal y a los proveedores autorizados que necesiten utilizarlos para dichas finalidades.

29.8. Solicitudes de soporte y reclamaciones

Las comunicaciones de soporte, aclaraciones, reclamaciones y documentación asociada podrán conservarse mientras se atiende la solicitud y durante el plazo razonablemente necesario para documentar la atención, cumplir obligaciones y atender posibles controversias.

29.9. Evidencias de consentimiento

ASN podrá conservar evidencia de los consentimientos otorgados, modificados o retirados por la Persona Usuaria durante el tiempo necesario para demostrar el cumplimiento de sus obligaciones.

La evidencia podrá incluir:

a) identificador de la Persona Usuaria;

b) finalidad autorizada;

c) fecha y hora;

d) versión del Aviso de Privacidad;

e) mecanismo utilizado;

f) canal autorizado; y

g) fecha de retiro o modificación.

La conservación de esta evidencia no autoriza a continuar realizando la finalidad respecto de la cual el consentimiento haya sido retirado.

29.10. Conservación de archivos almacenados en Amazon S3

Los archivos y objetos almacenados en Amazon S3 se conservarán mientras resulten necesarios para proporcionar la función para la cual fueron recopilados o generados, mantener activa la cuenta, atender una operación, proporcionar soporte, resolver una reclamación o cumplir obligaciones legales.

Actualmente, los objetos almacenados en Amazon S3 no cuentan con un periodo automático de expiración ni con reglas automáticas de ciclo de vida. Los objetos se conservan hasta que son eliminados mediante un procedimiento manual o mediante los procesos que ASN implemente posteriormente.

La ausencia de una regla automática de ciclo de vida no autoriza la conservación indefinida de los datos personales. ASN deberá revisar y eliminar los archivos cuando:

a) dejen de ser necesarios para la finalidad que motivó su almacenamiento;

b) concluya el plazo de conservación correspondiente;

c) proceda una solicitud de cancelación;

d) la Persona Usuaria elimine el archivo mediante las funciones disponibles;

e) se determine que el archivo fue almacenado indebidamente; o

f) concluya la obligación, reclamación o procedimiento que justificaba su conservación.

La eliminación podrá suspenderse respecto de archivos concretos cuando deban conservarse para:

a) cumplir una obligación legal;

b) atender una reclamación o controversia;

c) investigar un incidente de seguridad;

d) acreditar una operación;

e) responder a un requerimiento de autoridad competente; o

f) ejercer o defender derechos.

Mientras exista alguna de estas causas, el archivo deberá permanecer bloqueado y su acceso estará limitado a las personas autorizadas que necesiten utilizarlo para la finalidad correspondiente. Concluida la causa de conservación y los plazos aplicables, el archivo será eliminado.

Amazon S3 mantiene redundancia técnica de los objetos entre distintas zonas de disponibilidad dentro de la región us-east-1. Esta redundancia no constituye un respaldo separado, no permite a ASN acceder a versiones históricas y no modifica los plazos de conservación establecidos en este Aviso.

30. BLOQUEO, ELIMINACIÓN Y DESTRUCCIÓN

30.1. Bloqueo

Cuando los datos personales hayan dejado de ser necesarios para las finalidades ordinarias, pero deban conservarse temporalmente para determinar o atender posibles responsabilidades, ASN los someterá a un periodo de bloqueo.

Durante el bloqueo:

a) la cuenta permanecerá desactivada;

b) la Persona Usuaria no podrá acceder a la cuenta ni utilizar sus funciones;

c) los datos no podrán utilizarse para finalidades operativas, comerciales, publicitarias, de personalización o creación de perfiles;

d) el acceso quedará limitado al personal o proveedores autorizados que necesiten atender la obligación o responsabilidad correspondiente;

e) deberán mantenerse medidas de seguridad y confidencialidad; y

f) los datos deberán identificarse como información bloqueada o restringida.

El bloqueo podrá implementarse mediante el cambio de estado de la cuenta en MongoDB Atlas, la inhabilitación de las credenciales en Amazon Cognito, la restricción del acceso a los registros asociados en otros sistemas y cualquier otro mecanismo que impida el uso ordinario de los datos.

El cambio de estado, borrado lógico, suspensión de credenciales o restricción de acceso no constituye por sí mismo una eliminación definitiva.

El periodo de bloqueo corresponderá al plazo de prescripción de las responsabilidades legales o contractuales derivadas de la relación o del tratamiento. Concluido dicho periodo, los datos deberán suprimirse o disociarse, salvo que exista otra obligación legal vigente.

30.2. Eliminación y supresión definitiva

Concluido el periodo de conservación o bloqueo, ASN eliminará o disociará los datos personales mediante mecanismos adecuados al sistema, soporte y naturaleza de la información.

La eliminación podrá realizarse mediante:

a) borrado definitivo de registros;

b) eliminación de archivos;

c) supresión de cuentas o identidades técnicas;

d) sobrescritura segura;

e) eliminación de llaves de cifrado;

f) destrucción de soportes;

g) disociación irreversible; o

h) cualquier procedimiento que impida razonablemente recuperar la información o vincularla nuevamente con una Persona Usuaria.

De acuerdo con el sistema correspondiente:

a) los tokens de Firebase Cloud Messaging dejarán de utilizarse cuando la Persona Usuaria desactive o revoque el permiso para recibir notificaciones. Los tokens serán eliminados automáticamente de MongoDB Atlas cuando sean identificados como inválidos, vencidos o no registrados y también cuando la Persona Usuaria elimine su cuenta;

b) los registros de sessions en Cloud Firestore se eliminarán automáticamente cuando la sesión sea desvinculada;

c) los registros de redeems se eliminarán o disociarán al concluir el plazo señalado en el apartado 29.4;

d) los datos generales almacenados en MongoDB Atlas serán sometidos inicialmente a borrado lógico o bloqueo y deberán eliminarse o disociarse definitivamente cuando concluya la causa jurídica o responsabilidad que justifique su conservación;

e) las credenciales de Amazon Cognito serán bloqueadas al desactivar la cuenta y deberán eliminarse cuando ya no exista una obligación o responsabilidad que justifique conservarlas;

f) el historial identificable de Exebia CETB deberá eliminarse conforme al apartado 29.6, salvo los registros concretos que deban permanecer bloqueados por una causa legítima;

g) los archivos almacenados en Amazon S3 serán eliminados mediante el procedimiento manual o técnico correspondiente;

h) los registros de pago y las referencias de Stripe se eliminarán, bloquearán o disociarán al concluir los plazos fiscales, contables, contractuales, regulatorios y de prescripción aplicables; e

i) los registros de Amazon CloudWatch se eliminarán al concluir su ciclo de conservación, salvo aquellos vinculados con un incidente, investigación, reclamación o procedimiento pendiente.

ASN documentará los procesos de eliminación y, cuando resulte razonablemente posible, conservará evidencia de su ejecución sin mantener más datos personales de los necesarios.

30.3. Procedimientos y limitaciones técnicas

La eliminación de una cuenta no siempre produce la supresión simultánea de todos los datos relacionados, debido a que la información puede encontrarse distribuida entre distintos sistemas o sujeta a periodos diferentes de bloqueo y conservación.

La eliminación de un dato de los sistemas principales puede no producir su desaparición inmediata de:

a) registros técnicos o de seguridad;

b) información legalmente bloqueada;

c) archivos almacenados en Amazon S3 pendientes de eliminación manual;

d) registros de pago sujetos a obligaciones fiscales, contables o contractuales;

e) sistemas de terceros que actúen como responsables independientes;

f) información vinculada con investigaciones, disputas o procedimientos pendientes; o

g) documentos que deban conservarse por disposición legal.

En Amazon S3, la eliminación de archivos se realizará mediante un procedimiento manual o mediante los mecanismos técnicos que ASN implemente posteriormente. La replicación automática de Amazon S3 entre zonas de disponibilidad no constituye un respaldo independiente ni permite a ASN recuperar versiones históricas después de eliminar un objeto.

La información que no pueda eliminarse inmediatamente deberá permanecer bloqueada, con acceso restringido y sin utilizarse para finalidades ordinarias, comerciales o publicitarias.

La existencia de una limitación técnica no autoriza la conservación indefinida. ASN deberá eliminar o disociar la información cuando concluya la causa que impidió su supresión inmediata.

31. DISOCIACIÓN Y AGREGACIÓN

31.1. Disociación

ASN podrá conservar información después de los plazos de identificación cuando haya aplicado un procedimiento razonable para evitar que pueda atribuirse a una persona determinada o determinable.

La disociación podrá incluir:

a) eliminación de nombres y datos de contacto;

b) sustitución o eliminación de identificadores;

c) agrupación de resultados;

d) reducción de precisión;

e) eliminación de datos únicos;

f) generalización de fechas, ubicaciones o categorías; y

g) separación de información que permita volver a identificar a la Persona Usuaria.

Los datos únicamente se considerarán disociados cuando no resulte razonablemente posible identificar a la Persona Usuaria utilizando los medios disponibles para ASN o para un tercero que reciba la información.

31.2. Información agregada

ASN podrá generar estadísticas y reportes agregados para:

a) analizar el funcionamiento de CETB;

b) evaluar la adopción de funciones;

c) identificar tendencias generales;

d) planear mejoras;

e) medir el comportamiento general de categorías o zonas;

f) elaborar análisis comerciales; y

g) comunicar resultados que no identifiquen personas.

31.3. Umbrales preventivos para información externa

Como medida preventiva, los reportes agregados que se entreguen o publiquen externamente deberán procurar que cada grupo incluya, al menos:

a) veinte Personas Usuarias; o

b) diez Negocios,

según la naturaleza del análisis.

Cuando no se alcancen estos umbrales, ASN deberá considerar:

a) ampliar el periodo;

b) agrupar categorías;

c) reducir la precisión geográfica;

d) omitir el resultado;

e) integrar grupos adicionales; o

f) aplicar otras medidas que reduzcan el riesgo de identificación.

Estos umbrales constituyen una medida interna mínima y podrán incrementarse cuando la naturaleza o combinación de los datos represente un riesgo mayor.

31.4. Prohibición de reidentificación

ASN no autorizará a los destinatarios de información disociada o agregada a intentar identificar nuevamente a las Personas Usuarias.

Si ASN detecta un riesgo razonable de reidentificación, deberá suspender la divulgación o aplicar medidas adicionales antes de utilizar o compartir la información.

32. MEDIDAS DE SEGURIDAD

1. MEDIDAS DE SEGURIDAD

ASN mantendrá medidas administrativas, técnicas y físicas razonables para proteger los datos personales contra:

a) daño;

b) pérdida;

c) alteración;

d) destrucción;

e) acceso no autorizado;

f) uso indebido;

g) divulgación no autorizada; y

h) tratamiento contrario al presente Aviso.

Las medidas podrán incluir, según el sistema, su configuración y nivel de riesgo:

a) controles de acceso y permisos;

b) mecanismos de autenticación;

c) registro de actividades;

d) separación de ambientes de desarrollo, pruebas y producción;

e) cifrado durante la transmisión y, cuando corresponda, durante el almacenamiento;

f) mecanismos de redundancia, disponibilidad y continuidad operativa efectivamente configurados;

g) monitoreo técnico;

h) revisión y atención de vulnerabilidades;

i) procedimientos de respuesta a incidentes;

j) obligaciones de confidencialidad;

k) capacitación del personal;

l) políticas y procedimientos internos;

m) evaluación y revisión de proveedores; y

n) actualización y mantenimiento de los componentes tecnológicos.

La referencia a mecanismos de redundancia, disponibilidad o continuidad operativa no significa que todos los sistemas de CETB cuenten con copias de respaldo independientes, versionado o recuperación de versiones históricas.

En particular, los objetos almacenados en Amazon S3 cuentan actualmente con redundancia nativa entre zonas de disponibilidad dentro de la región configurada, pero ASN no utiliza respaldos programados ni tiene habilitado el versionado de dichos objetos.

Ningún sistema puede garantizar seguridad absoluta. No obstante, ASN deberá adoptar medidas proporcionales a la naturaleza de la información, los riesgos previsibles y sus capacidades técnicas y organizativas.

33. INCIDENTES Y VULNERACIONES DE SEGURIDAD

33.1. Atención de incidentes

Cuando ASN tenga conocimiento de una posible vulneración, deberá realizar las acciones razonables para:

a) contener el incidente;

b) determinar su alcance;

c) identificar los datos y personas afectadas;

d) preservar evidencia;

e) corregir la causa;

f) reducir posibles daños;

g) documentar lo ocurrido; y

h) prevenir incidentes similares.

33.2. Notificación a la Persona Usuaria

Cuando una vulneración afecte de forma significativa los derechos patrimoniales o morales de la Persona Usuaria, ASN deberá informarle sin demora injustificada y conforme a la legislación aplicable.

La comunicación podrá incluir:

a) la naturaleza del incidente;

b) los datos posiblemente comprometidos;

c) las posibles consecuencias;

d) las medidas adoptadas por ASN;

e) las acciones recomendadas a la Persona Usuaria; y

f) los medios de contacto disponibles para obtener información adicional.

ASN podrá retrasar o limitar determinada información cuando su divulgación comprometa una investigación, aumente el riesgo, afecte a terceros o exista una instrucción válida de autoridad.

33.3. Obligaciones de la Persona Usuaria

La Persona Usuaria deberá:

a) proteger sus contraseñas y códigos;

b) evitar compartir credenciales;

c) mantener actualizados sus dispositivos;

d) cerrar sesiones en equipos compartidos;

e) revisar comunicaciones sospechosas; y

f) informar a ASN sobre posibles accesos no autorizados.

Los incidentes podrán reportarse a soporte@cetb.mx o privacidad@cetb.mx.

34. DERECHOS ARCO

La Persona Usuaria, o su representante legal, podrá ejercer los derechos de acceso, rectificación, cancelación y oposición respecto de sus datos personales.

34.1. Derecho de acceso

La Persona Usuaria podrá solicitar información sobre:

a) los datos personales que ASN conserva;

b) las categorías de datos tratadas;

c) las finalidades del tratamiento;

d) el origen de los datos, cuando corresponda;

e) las condiciones generales de su tratamiento; y

f) las transferencias o comunicaciones aplicables, en los términos permitidos por la legislación.

34.2. Derecho de rectificación

La Persona Usuaria podrá solicitar la corrección o actualización de datos inexactos, incompletos o desactualizados.

ASN podrá solicitar documentación que permita acreditar la información correcta.

34.3. Derecho de cancelación

La Persona Usuaria podrá solicitar la cancelación de sus datos cuando considere que no están siendo tratados conforme a los principios y obligaciones aplicables.

La cancelación dará lugar al bloqueo y posterior eliminación, salvo cuando exista una causa legal o legítima para conservarlos.

34.4. Derecho de oposición

La Persona Usuaria podrá oponerse al tratamiento cuando:

a) exista una causa legítima y su situación específica lo justifique;

b) desee impedir el uso para determinadas finalidades no indispensables;

c) el tratamiento le cause un daño o perjuicio; o

d) resulte aplicable respecto de perfiles, personalización o tratamientos automatizados.

La oposición no procederá cuando el tratamiento sea necesario para cumplir una obligación legal, ejecutar una solicitud de la Persona Usuaria, mantener una relación jurídica o proteger derechos de terceros.

35. PROCEDIMIENTO PARA EJERCER DERECHOS ARCO

35.1. Presentación de la solicitud

La Persona Usuaria podrá presentar su solicitud:

a) por correo electrónico a privacidad@cetb.mx; o

b) por escrito en el domicilio de ASN ubicado en Cerrada del Manzano No. 14A, La Magdalena Panoaya, Texcoco C.P. 56203, estado de México.

.

En el asunto podrá indicarse: “Solicitud de derechos ARCO”.

35.2. Contenido de la solicitud

La solicitud deberá incluir:

a) nombre del titular;

b) medio para comunicar la respuesta;

c) documentos que acrediten su identidad;

d) cuando corresponda, documentos que acrediten la representación legal;

e) descripción clara de los datos respecto de los que desea ejercer un derecho;

f) derecho que pretende ejercer;

g) elementos que permitan localizar la información; y

h) cualquier dato adicional que facilite la atención.

En solicitudes de rectificación deberán indicarse las modificaciones solicitadas y acompañarse, cuando resulte necesario, los documentos que las sustenten.

En solicitudes de oposición deberá explicarse la situación que motiva la petición y la finalidad respecto de la cual se formula.

35.3. Verificación de identidad

ASN deberá verificar razonablemente la identidad del solicitante antes de entregar, modificar, bloquear o eliminar datos.

La verificación no deberá implicar la recopilación de información excesiva. ASN podrá solicitar información adicional cuando sea necesaria para evitar fraudes o afectaciones a terceros.

Cuando la solicitud sea presentada por un representante, deberá acreditarse la identidad del titular, la identidad del representante y la representación correspondiente.

35.4. Prevención por información incompleta

Cuando la información proporcionada en la solicitud sea insuficiente o errónea para atenderla, o cuando no se acompañen los documentos necesarios para acreditar la identidad del titular, la representación legal o la procedencia de la solicitud, ASN podrá requerir al solicitante, por una sola vez y dentro de los cinco días hábiles siguientes a la recepción de la solicitud, que proporcione los elementos, aclaraciones o documentos necesarios para darle trámite.

El requerimiento será comunicado mediante el medio señalado por el solicitante para recibir notificaciones.

El solicitante contará con un plazo de diez días hábiles, contado a partir del día hábil siguiente a aquel en que haya recibido el requerimiento, para proporcionar la información o documentación solicitada.

Durante este periodo se interrumpirá el cómputo del plazo con el que cuenta ASN para responder la solicitud. Cuando el solicitante atienda el requerimiento, el plazo para que ASN emita su respuesta comenzará a computarse a partir del día hábil siguiente a aquel en que se haya recibido la información o documentación correspondiente.

Si el solicitante no atiende el requerimiento dentro del plazo señalado, la solicitud se tendrá por no presentada. Esto no impedirá que el titular formule posteriormente una nueva solicitud para ejercer sus derechos ARCO.

Cuando ASN no requiera documentación adicional para acreditar la identidad del titular o la personalidad de su representante, se entenderá que la documentación presentada inicialmente resulta suficiente para continuar con el trámite, sin perjuicio de las verificaciones razonables que sean necesarias para proteger los datos personales y los derechos de terceros.

35.5. Plazos y respuesta a la solicitud

ASN comunicará al solicitante la determinación adoptada respecto de su solicitud para ejercer derechos ARCO dentro de un plazo máximo de veinte días hábiles, contado a partir de la fecha en que haya recibido la solicitud.

Cuando ASN haya formulado el requerimiento de información adicional previsto en el apartado 35.4 y este sea atendido dentro del plazo correspondiente, el plazo de veinte días hábiles comenzará a computarse a partir del día hábil siguiente a aquel en que el solicitante haya proporcionado la información o documentación requerida.

La respuesta deberá indicar si la solicitud resulta procedente total o parcialmente o, en su caso, las razones legales, contractuales o materiales por las que no resulte procedente.

Si la solicitud resulta procedente, ASN hará efectivo el derecho correspondiente dentro de los quince días hábiles siguientes a la fecha en que haya comunicado su determinación al solicitante.

Cuando se trate del derecho de acceso, la entrega o puesta a disposición de los datos personales se realizará previa acreditación de la identidad del titular o, en su caso, de la identidad y personalidad de su representante legal.

Los plazos de veinte días hábiles para comunicar la determinación y de quince días hábiles para hacer efectivo el derecho podrán ampliarse una sola vez por un periodo igual, siempre que las circunstancias del caso lo justifiquen.

ASN deberá comunicar al solicitante la ampliación y las causas que la justifican antes de que concluya el plazo original correspondiente. La ampliación no podrá utilizarse de manera automática ni injustificada.

La respuesta y, en su caso, la documentación correspondiente se proporcionarán a través del medio señalado por el solicitante o mediante cualquier otro medio acordado con este, procurando que la información sea legible, comprensible, segura y accesible.

35.6. Forma de atención

La respuesta podrá entregarse mediante:

a) correo electrónico;

b) archivos electrónicos;

c) consulta dentro de la cuenta;

d) copias simples;

e) acceso directo, cuando sea viable; o

f) cualquier otro medio acordado con la Persona Usuaria.

El acceso se proporcionará en forma comprensible y respecto de los datos que correspondan al solicitante, protegiendo la información de terceros.

35.7. Costos

El ejercicio de los derechos ARCO será gratuito. La Persona Usuaria únicamente podrá cubrir los gastos justificados de reproducción, certificación o envío cuando solicite una modalidad que los genere y la legislación permita cobrarlos.

35.8. Improcedencia o negativa

ASN podrá negar total o parcialmente una solicitud cuando:

a) el solicitante no sea el titular o no acredite su representación;

b) los datos no se encuentren en los sistemas de ASN;

c) se lesionen derechos de terceros;

d) exista un impedimento legal;

e) sea necesario conservar los datos para cumplir una obligación;

f) la rectificación, cancelación u oposición ya haya sido realizada; o

g) se actualice otra causa permitida por la legislación.

La respuesta deberá explicar las razones de la determinación y, cuando corresponda, acompañarse de los elementos que la sustenten.

36. REVOCACIÓN DEL CONSENTIMIENTO

La Persona Usuaria podrá revocar el consentimiento otorgado para tratamientos que dependan de este, enviando una solicitud a privacidad@cetb.mx o utilizando las opciones disponibles en CETB.

La solicitud deberá indicar:

a) la identidad de la Persona Usuaria;

b) el tratamiento o finalidad respecto de la cual revoca el consentimiento; y

c) información suficiente para localizar su cuenta.

La revocación:

a) no tendrá efectos retroactivos;

b) no afectará la licitud del tratamiento realizado previamente;

c) no impedirá tratamientos sustentados en una obligación legal o relación jurídica distinta del consentimiento; y

d) podrá ocasionar que determinadas funciones opcionales dejen de estar disponibles.

Cuando la revocación impida proporcionar una función solicitada, ASN informará a la Persona Usuaria antes de hacerla efectiva, cuando resulte posible.

37. LIMITACIÓN DEL USO O DIVULGACIÓN

La Persona Usuaria podrá solicitar que ASN limite el uso o divulgación de sus datos personales, especialmente para dejar de recibir publicidad o comunicaciones promocionales.

La solicitud podrá realizarse mediante:

a) las preferencias de privacidad de CETB;

b) el enlace de cancelación incluido en correos promocionales;

c) la configuración de notificaciones;

d) los mecanismos de baja incluidos en los mensajes; o

e) un correo enviado a privacidad@cetb.mx.

ASN mantendrá un listado interno de exclusión con la información mínima necesaria para evitar nuevos envíos promocionales a quienes hayan solicitado la baja.

La inclusión en este listado no implicará la eliminación completa de la cuenta ni impedirá el envío de comunicaciones operativas indispensables.

38. ELIMINACIÓN DE LA CUENTA

38.1. Solicitud de eliminación de la cuenta

La Persona Usuaria podrá solicitar la eliminación de su cuenta:

a) mediante la función disponible dentro de CETB; o

b) enviando una solicitud a privacidad@cetb.mx.

ASN podrá solicitar la información estrictamente necesaria para verificar la identidad de la Persona Usuaria y evitar eliminaciones fraudulentas o no autorizadas.

Antes de iniciar el proceso, ASN podrá informar:

a) las consecuencias de la eliminación;

b) las funciones y contenidos que dejarán de estar disponibles;

c) los datos que serán eliminados;

d) los datos que deberán permanecer temporalmente bloqueados;

e) las causas y periodos aplicables a su conservación; y

f) la información que se encuentre bajo el control de terceros responsables independientes.

La solicitud de eliminación de la cuenta también será considerada, respecto de los datos que proceda cancelar, como una solicitud de cancelación de datos personales.

ASN comunicará a la Persona Usuaria la procedencia de su solicitud y, cuando corresponda, las categorías de información que deban conservarse temporalmente por una obligación legal, contractual o responsabilidad pendiente.

38.2. Efectos de la solicitud de eliminación

Una vez validada la solicitud, ASN iniciará la desactivación de la cuenta y aplicará las siguientes medidas:

a) impedirá el acceso de la Persona Usuaria a la cuenta;

b) cambiará el estado de la cuenta en MongoDB Atlas para impedir su uso ordinario;

c) bloqueará las credenciales asociadas en Amazon Cognito;

d) restringirá el acceso a los datos asociados en Cloud Firestore;

e) eliminará los tokens de Firebase Cloud Messaging;

f) desvinculará las sesiones activas;

g) suspenderá las comunicaciones promocionales vinculadas con la cuenta;

h) dejará de utilizar los datos para personalización y creación de perfiles; e

i) iniciará los procesos de bloqueo, eliminación o disociación correspondientes en los demás sistemas.

La desactivación y restricción inicial del acceso podrá realizarse de manera inmediata. Sin embargo, esta medida constituye el inicio del proceso y no significa que todos los datos hayan sido eliminados definitivamente en ese mismo momento.

Como consecuencia de la eliminación:

a) la Persona Usuaria perderá el acceso a su perfil;

b) dejarán de estar disponibles sus preferencias y configuraciones;

c) terminarán las funciones personalizadas;

d) se desvincularán los Negocios seguidos;

e) podrá perderse el acceso al historial visible; y

f) la información eliminada definitivamente no podrá recuperarse mediante las funciones ordinarias de CETB.

Los datos que no deban conservarse por una causa legítima serán eliminados o disociados. Los que deban conservarse temporalmente permanecerán bloqueados y serán suprimidos al concluir el plazo aplicable.

38.3. Información que podrá conservarse después de desactivar la cuenta

Después de desactivar la cuenta, ASN podrá conservar únicamente los datos concretos que resulten necesarios para:

a) acreditar pedidos, pagos, suscripciones o adquisición de Monedas CETB;

b) conservar facturas y registros fiscales o contables;

c) atender devoluciones, aclaraciones, garantías, disputas o contracargos;

d) prevenir o investigar fraude;

e) investigar incidentes de seguridad;

f) cumplir obligaciones legales o regulatorias;

g) responder a requerimientos de autoridades competentes;

h) proteger derechos de terceros; o

i) ejercer o defender derechos.

Según el sistema y la categoría de información:

a) los datos generales de MongoDB Atlas podrán permanecer bloqueados mientras exista una responsabilidad legal o contractual;

b) las credenciales de Amazon Cognito permanecerán bloqueadas hasta que proceda su eliminación definitiva;

c) los registros de redeems podrán conservarse hasta por seis meses, salvo una excepción debidamente justificada;

d) el contenido identificable de Exebia CETB podrá conservarse hasta por seis meses, salvo que deba eliminarse antes o permanecer bloqueado por una causa legítima;

e) los archivos de Amazon S3 permanecerán únicamente mientras resulten necesarios y deberán eliminarse manualmente cuando concluya su finalidad o causa de conservación;

f) las referencias de Stripe y demás registros de pago se conservarán durante los plazos fiscales, contables, contractuales y de prescripción aplicables; y

g) los registros de Amazon CloudWatch podrán conservarse hasta por seis meses, salvo aquellos relacionados con un incidente, investigación, reclamación o procedimiento pendiente.

Los datos conservados permanecerán bloqueados o limitados a la finalidad que justifique su conservación. No podrán utilizarse para publicidad, personalización, creación de perfiles ni reactivación de la cuenta.

La conservación no podrá extenderse de manera indefinida. Al concluir la causa y el plazo aplicable, los datos deberán eliminarse o disociarse.

38.4. Datos tratados por Negocios y terceros independientes

La eliminación de la cuenta CETB no elimina automáticamente la información que un Negocio, procesador de pago, institución financiera, proveedor de entrega u otro tercero conserve como responsable independiente.

Los Negocios podrán conservar información relacionada con pedidos, facturas, entregas, garantías, devoluciones, aclaraciones o relaciones comerciales directas cuando sea necesaria para cumplir sus propias obligaciones legales o contractuales.

Stripe, las instituciones financieras y demás participantes en los pagos podrán conservar información conforme a sus obligaciones legales, regulatorias, contractuales, de prevención de fraude, atención de disputas y contracargos.

Cuando el tratamiento se encuentre bajo la responsabilidad independiente de un tercero, la Persona Usuaria deberá ejercer sus derechos directamente ante dicho tercero conforme a su aviso de privacidad.

Cuando legal y técnicamente corresponda, ASN comunicará a los encargados o terceros que continúen tratando los datos la solicitud de cancelación o eliminación, para que adopten las medidas procedentes dentro del ámbito de su responsabilidad.

39. SOLICITUDES RELACIONADAS CON MENORES O TERCEROS

Los derechos correspondientes a menores de edad deberán ejercerse por quien acredite la patria potestad, tutela o representación legal aplicable.

Cuando una solicitud involucre información de varias personas, ASN deberá proteger los derechos y datos de los demás titulares y podrá proporcionar versiones parciales, testadas o separadas.

ASN podrá negar el acceso a información que revele secretos comerciales, información confidencial, datos de terceros o elementos cuya entrega se encuentre legalmente restringida, sin perjuicio de proporcionar a la Persona Usuaria los datos personales que legítimamente le correspondan.

40. MODIFICACIONES AL AVISO DE PRIVACIDAD

ASN podrá modificar o actualizar el presente Aviso de Privacidad cuando resulte necesario debido a:

a) cambios legales o regulatorios;

b) criterios emitidos por autoridades competentes;

c) incorporación, modificación o eliminación de funcionalidades de CETB;

d) cambios en las finalidades del tratamiento;

e) incorporación de nuevas categorías de datos personales;

f) modificación de proveedores, encargados o destinatarios;

g) cambios en la infraestructura tecnológica;

h) implementación de nuevas tecnologías, herramientas de inteligencia artificial o tratamientos automatizados;

i) cambios en las medidas o procedimientos de seguridad;

j) modificaciones corporativas de ASN; o

k) mejoras en las prácticas de privacidad.

40.1. Cambios que no requieren nuevo consentimiento

ASN podrá actualizar el Aviso sin solicitar nuevamente el consentimiento cuando los cambios:

a) sean de forma, redacción o claridad;

b) actualicen datos de contacto;

c) corrijan errores;

d) reflejen cambios de proveedores que no alteren sustancialmente las finalidades o condiciones del tratamiento;

e) mejoren la protección de la Persona Usuaria; o

f) no impliquen nuevas finalidades ni tratamientos incompatibles.

40.2. Cambios sustanciales

Se considerarán relevantes o sustanciales, entre otros, los cambios que impliquen:

a) nuevas finalidades incompatibles con las originalmente informadas;

b) nuevas categorías de datos personales sensibles;

c) transferencias que requieran consentimiento;

d) utilización de datos para publicidad o personalización no autorizada previamente;

e) seguimiento continuo de ubicación;

f) decisiones automatizadas que produzcan efectos jurídicos o afecten significativamente a la Persona Usuaria;

g) utilización de conversaciones o datos para entrenamiento de modelos de inteligencia artificial; o

h) un cambio de responsable del tratamiento.

Cuando la legislación exija un nuevo consentimiento, ASN deberá solicitarlo antes de iniciar el tratamiento correspondiente.

La falta de consentimiento para una nueva finalidad opcional no afectará el acceso a las funciones esenciales de CETB.

40.3. Comunicación de modificaciones

ASN podrá informar las modificaciones mediante:

a) un aviso dentro de CETB;

b) correo electrónico;

c) notificación push;

d) mensaje en la cuenta de la Persona Usuaria;

e) publicación en el sitio oficial de CETB; o

f) cualquier otro medio de contacto disponible.

ASN determinará el medio de comunicación considerando la relevancia del cambio y los datos de contacto disponibles.

Las modificaciones menores podrán comunicarse mediante la publicación de la versión actualizada. Los cambios sustanciales deberán destacarse de manera razonable para que la Persona Usuaria pueda conocerlos antes de que produzcan efectos.

40.4. Historial y versión vigente

Cada versión del Aviso deberá identificar, al menos:

a) número o clave de versión;

b) fecha de última actualización; y

c) fecha de entrada en vigor.

ASN procurará conservar evidencia de las versiones anteriores y del periodo durante el cual estuvieron vigentes, con el fin de identificar las condiciones aplicables en una fecha determinada.

41. CONSULTAS, DUDAS Y RECLAMACIONES ANTE ASN

41.1. Canal de privacidad

La Persona Usuaria podrá presentar preguntas, solicitudes, inconformidades o reclamaciones relacionadas con el tratamiento de sus datos personales mediante:

Correo electrónico: privacidad@cetb.mx
Domicilio: Cerrada del Manzano No. 14A, La Magdalena Panoaya, Texcoco C.P. 56203, estado de México.

La comunicación deberá incluir información suficiente para identificar a la Persona Usuaria, comprender la solicitud y localizar los datos relacionados.

ASN podrá solicitar información adicional cuando resulte necesaria para verificar la identidad, prevenir fraude o atender correctamente la petición.

41.2. Soporte e incidentes

Los problemas técnicos, accesos no autorizados, pérdida de credenciales o incidentes relacionados con la cuenta podrán reportarse mediante:

Correo electrónico: soporte@cetb.mx

Cuando el reporte involucre una posible vulneración de datos personales, el área de soporte deberá canalizarlo a la persona o área responsable de privacidad y seguridad.

41.3. Notificaciones legales

Las notificaciones contractuales, requerimientos formales o comunicaciones jurídicas dirigidas a ASN podrán enviarse a:

Correo electrónico: legal@cetb.mx
Domicilio: Cerrada del Manzano No. 14A, La Magdalena Panoaya, Texcoco C.P. 56203, estado de México.

La utilización de este correo no sustituye los requisitos legales de una notificación cuando la legislación, una autoridad o un contrato exijan una forma distinta.

41.4. Atención interna

ASN procurará:

a) registrar la fecha de recepción;

b) asignar la solicitud al área correspondiente;

c) verificar la identidad cuando sea necesario;

d) investigar los hechos;

e) conservar evidencia de la atención;

f) responder mediante el canal proporcionado; y

g) adoptar medidas correctivas cuando proceda.

La presentación de una consulta o reclamación ante ASN no limita el derecho de la Persona Usuaria de acudir ante la autoridad competente.

42. AUTORIDAD COMPETENTE Y PROCEDIMIENTO DE PROTECCIÓN DE DERECHOS

Si la Persona Usuaria considera que ASN ha tratado sus datos personales en contravención de la legislación aplicable o no ha atendido debidamente una solicitud de derechos ARCO, podrá acudir ante la Secretaría Anticorrupción y Buen Gobierno, o ante la autoridad que legalmente la sustituya o resulte competente en materia de protección de datos personales en posesión de particulares.

La Persona Usuaria podrá promover el procedimiento, queja, denuncia o medio de defensa correspondiente conforme a:

a) los requisitos legales aplicables;

b) los plazos establecidos;

c) los canales oficiales habilitados por la autoridad; y

d) la documentación que permita acreditar su identidad, solicitud y respuesta recibida.

ASN recomienda consultar los medios oficiales de la autoridad al momento de presentar la petición, debido a que sus procedimientos, domicilios, plataformas electrónicas y datos de contacto pueden modificarse.

La mención de la autoridad en el presente Aviso no limita otros derechos o medios de defensa que correspondan a la Persona Usuaria.

43. MARCO JURÍDICO APLICABLE

El tratamiento de datos personales realizado por ASN se sujetará a:

a) la Constitución Política de los Estados Unidos Mexicanos;

b) la Ley Federal de Protección de Datos Personales en Posesión de los Particulares;

c) las disposiciones reglamentarias que resulten aplicables;

d) los lineamientos, criterios y disposiciones emitidos por la autoridad competente; y

e) las demás leyes mexicanas aplicables a las operaciones y servicios de CETB.

Si alguna disposición del presente Aviso ofrece una protección inferior a la establecida por una norma obligatoria, prevalecerá la protección prevista en la legislación.

Ninguna disposición del Aviso deberá interpretarse como renuncia de la Persona Usuaria a sus derechos de protección de datos personales.

44. RELACIÓN CON OTROS DOCUMENTOS

El presente Aviso de Privacidad deberá interpretarse conjuntamente con:

a) los Términos y Condiciones para Usuarios Finales de CETB;

b) las reglas o condiciones particulares de promociones, eventos o programas;

c) las autorizaciones específicas solicitadas a la Persona Usuaria;

d) los avisos breves o simplificados presentados en formularios o pantallas; y

e) las políticas de privacidad de los terceros responsables con los que la Persona Usuaria decida interactuar.

En caso de contradicción sobre el tratamiento realizado por ASN:

a) prevalecerá este Aviso respecto de las prácticas de privacidad de ASN;

b) prevalecerá una autorización específica respecto de la finalidad concreta para la que fue otorgada, siempre que sea válida y no disminuya los derechos de la Persona Usuaria; y

c) prevalecerá la legislación aplicable sobre cualquier disposición contractual o informativa.

Los Términos y Condiciones regulan la utilización de CETB, mientras que este Aviso informa las condiciones bajo las cuales ASN trata los datos personales.

45. AVISOS DE PRIVACIDAD DE LOS NEGOCIOS

Cada Negocio será responsable de poner a disposición de la Persona Usuaria su propio aviso de privacidad cuando recabe o trate datos personales para finalidades determinadas por él, incluyendo:

a) preparación y entrega de pedidos;

b) emisión de facturas;

c) garantías;

d) devoluciones;

e) programas propios de lealtad;

f) reservaciones;

g) servicios posteriores a la venta;

h) publicidad propia; o

i) cumplimiento de sus obligaciones legales.

El presente Aviso no sustituye el aviso de privacidad de los Negocios.

ASN no será responsable de finalidades determinadas independientemente por un Negocio. Sin embargo, deberá cumplir las obligaciones que le correspondan respecto de la comunicación inicial de los datos a través de CETB.

La Persona Usuaria podrá solicitar al Negocio información sobre sus prácticas y ejercer directamente ante este los derechos correspondientes.

46. DISPONIBILIDAD Y ACCESIBILIDAD DEL AVISO

El Aviso de Privacidad estará disponible, según corresponda:

a) dentro de la aplicación CETB;

b) en el sitio oficial https://cetb.com.mx/aviso;

c) durante el registro de la cuenta;

d) en las configuraciones de privacidad;

e) mediante los enlaces incluidos en formularios relevantes; y

f) previa solicitud a privacidad@cetb.mx.

ASN procurará que el Aviso se presente en idioma español, con una estructura clara y razonablemente accesible.

Si se publica una traducción, la versión en español prevalecerá en caso de diferencias, salvo que la legislación disponga otra cosa.

La falta de acceso temporal al sitio no impedirá que la Persona Usuaria solicite una copia mediante el correo de privacidad.

47. CONSENTIMIENTO Y PUESTA A DISPOSICIÓN

ASN pondrá este Aviso a disposición de la Persona Usuaria antes o al momento de obtener sus datos personales, salvo los casos permitidos por la legislación.

Cuando el tratamiento requiera consentimiento expreso o una manifestación afirmativa, ASN deberá proporcionar un mecanismo adecuado para obtenerlo y conservar evidencia.

La simple utilización de CETB no se considerará consentimiento para:

a) recibir publicidad;

b) activar personalización comercial;

c) tratar datos personales sensibles;

d) utilizar imagen, voz o testimonios en publicidad externa;

e) realizar transferencias opcionales que requieran autorización; o

f) iniciar nuevas finalidades para las que la legislación exija consentimiento.

Determinados tratamientos podrán realizarse sin consentimiento adicional cuando sean necesarios para:

a) crear y administrar la cuenta;

b) atender una solicitud de la Persona Usuaria;

c) ejecutar una operación;

d) cumplir una relación jurídica;

e) proteger la seguridad;

f) cumplir obligaciones legales; o

g) actualizarse alguna excepción prevista por la legislación.

48. DATOS DE IDENTIFICACIÓN DEL AVISO

Responsable: Asesoría y Sofisticación de Negocios, S.A. de C.V.
Plataforma: CETB — Compra en tu Barrio
Domicilio: Cerrada del Manzano No. 14A, La Magdalena Panoaya, Texcoco C.P. 56203, estado de México.

Correo de privacidad: privacidad@cetb.mx
Correo de soporte: soporte@cetb.mx
Correo para notificaciones legales: legal@cetb.mx
Sitio oficial: https://cetb.com.mx/aviso
Versión: 01
Fecha de última actualización: 10/10/2026
Fecha de entrada en vigor: 10/10/2026

49. DISPOSICIÓN FINAL

El presente Aviso de Privacidad Integral describe las condiciones generales bajo las cuales ASN obtiene, utiliza, almacena, protege, comparte, conserva y elimina los datos personales de las Personas Usuarias Finales de CETB.

Las áreas, empleados, colaboradores, proveedores y encargados que intervengan en el tratamiento deberán observar las obligaciones que les correspondan conforme a este Aviso, las políticas internas de ASN, los contratos aplicables y la legislación vigente.

ASN deberá revisar periódicamente la correspondencia entre este Aviso y la operación real de CETB. Si se detectan diferencias, deberá:

a) corregir la práctica;

b) actualizar el Aviso;

c) obtener el consentimiento que resulte necesario; o

d) adoptar las medidas legales, técnicas y administrativas correspondientes.

La publicación del presente Aviso no sustituye la implementación efectiva de controles de privacidad, seguridad, conservación, atención de derechos y gestión de proveedores.