Aviso de Privacidad

Este Aviso de Privacidad describe cómo poply.org, operador de la plataforma Popadvise, con domicilio en Agrarismo 63, Escandón II, Ciudad de México, México (en adelante "Popadvise", "nosotros"), trata tus datos personales como responsable, de conformidad con la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y su Reglamento.

Aplica a la plataforma Popadvise: micrositios de negocios, reservaciones, membresías y programas de lealtad, reseñas, comunicaciones, asistente conversacional y tarjetas Poply Connect.

1. Datos que recabamos

Recabamos únicamente los datos necesarios para operar la Plataforma:

Identificación y contacto: nombre, número de teléfono y correo electrónico, junto con los códigos de verificación de un solo uso que se envían por SMS, WhatsApp o correo al crear o acceder a tu cuenta.
Datos de cuenta y seguridad: sesiones activas, dispositivos desde los que accedes y eventos de seguridad relacionados con tu cuenta (por ejemplo, intentos de acceso).
Datos de operación con negocios: tus reservaciones (fecha, hora, número de personas, ocasión y canal de origen), la validación de tu asistencia mediante códigos QR o tarjetas NFC, tus membresías, la acumulación y uso de puntos y, cuando el negocio lo registra, el monto de consumo asociado a esas operaciones.
Contenido que generas: reseñas y calificaciones, así como las conversaciones que mantienes con los negocios por el chat web o por los canales de mensajería que éstos conecten (WhatsApp, Messenger, Instagram), incluidas las interacciones con el asistente de inteligencia artificial.
Datos de pago: los pagos se procesan a través de Stripe, un proveedor independiente. No almacenamos el número completo de tu tarjeta; conservamos únicamente referencias de la transacción (monto, fecha, estado e identificadores del procesador).
Datos técnicos y de uso: dirección IP, tipo de dispositivo y navegador, y registros técnicos necesarios para la operación y seguridad del servicio.
Datos de navegación en micrositios: las páginas que visitas en el micrositio de un negocio, de dónde llegas (por ejemplo, un anuncio, un buscador o un código QR) y acciones como iniciar una reservación, ver una promoción o tocar el botón para llamar al negocio. Se recaban mediante cookies y tecnologías similares, conforme a lo descrito en la sección 6.
Integraciones que conecta un negocio: si administras un negocio y conectas servicios de terceros (como Google Analytics, Google Tag Manager, Meta o TikTok), guardamos los identificadores y las credenciales de acceso necesarios para operar cada integración y, en el caso de Google Analytics y Google Tag Manager, el correo de la cuenta de Google con la que autorizas la conexión.
Métricas de páginas Connect: al visitar la tarjeta digital de una persona registramos métricas agregadas (fuente de la visita, tipo de dispositivo, navegador y sistema operativo) usando una huella técnica diaria no reversible, sin almacenar tu identidad para ese fin.

2. Finalidades del tratamiento

Finalidades primarias (necesarias para el servicio)

Crear y administrar tu cuenta, y verificar tu identidad.
Operar reservaciones, eventos, pagos, membresías, puntos y pases de Apple Wallet y Google Wallet.
Publicar y moderar tus reseñas, y gestionar tus conversaciones con los negocios, incluida la generación de respuestas del asistente de inteligencia artificial.
Enviarte comunicaciones operativas sobre tus reservaciones, compras y membresías (confirmaciones, recordatorios, cambios y avisos).
Operar las integraciones que conecta un negocio y mostrarle, en su panel, los informes de sus propias herramientas de analítica.
Mantener la seguridad de la Plataforma, prevenir fraudes y cumplir obligaciones legales.

Finalidades secundarias (requieren tu consentimiento)

Enviarte promociones, novedades y campañas de los negocios con los que interactúas. Este consentimiento se administra por marca y por canal, y puedes retirarlo en cualquier momento desde tu cuenta o mediante el enlace de baja incluido en cada comunicación.
Medir cómo se usan los micrositios y la efectividad de las campañas de los negocios mediante herramientas de analítica (Google Analytics y Google Tag Manager) y píxeles publicitarios (Meta y TikTok), conforme a lo que elijas en el aviso de cookies (ver sección 6). Cuando los eventos publicitarios incluyen datos de contacto, se transmiten en forma irreversible (hasheada).

Negarte a las finalidades secundarias no afecta tu acceso a la Plataforma.

3. Con quién compartimos tus datos

No vendemos tus datos personales. Compartimos información únicamente en estos supuestos:

Con los negocios con los que interactúas: cada negocio accede a los datos de su relación contigo — tus reservaciones, membresía, historial, reseñas y conversaciones con ese negocio — para operarla. El negocio es responsable del tratamiento que realice fuera de la Plataforma y de sus propias obligaciones de privacidad.
Con plataformas de analítica y publicidad: cuando un negocio conecta Google Analytics, Google Tag Manager o sus píxeles de Meta o TikTok, los datos de navegación de su micrositio se envían a las cuentas de ese negocio en esas plataformas, conforme a lo que elijas en el aviso de cookies. Esas plataformas los tratan además conforme a sus propios avisos de privacidad.
Con proveedores que actúan por nuestra cuenta (encargados): procesamiento de pagos (Stripe), envío de mensajes y verificación telefónica, plataformas de mensajería cuando conversas por canales de Meta (WhatsApp, Messenger, Instagram), emisión de pases digitales (Apple Wallet y Google Wallet), infraestructura y almacenamiento en la nube, proveedores de modelos de inteligencia artificial que procesan los mensajes del asistente para generar respuestas, y servicios de envío de correo. Estos proveedores tratan los datos siguiendo nuestras instrucciones y sus propias obligaciones de seguridad.
Por requerimiento legal: cuando una autoridad competente lo solicite conforme a la legislación aplicable.

Fuera de estos casos, cualquier transferencia que requiera tu consentimiento te será informada para obtenerlo. Al usar canales de terceros (como WhatsApp o Instagram), el tratamiento que esas plataformas hagan de tus mensajes se rige además por sus propios avisos de privacidad.

Datos de Google de los negocios. Lo que recibimos de Google cuando un negocio conecta su cuenta, cómo lo usamos, protegemos, conservamos y eliminamos se describe en la sección 4.

4. Datos de usuario de Google

Esta sección aplica cuando una persona que administra un negocio en Popadvise conecta su cuenta de Google desde el panel, en las integraciones de Google Analytics y Google Tag Manager. No aplica a quienes visitan los micrositios.

4.1 Qué datos de Google recibimos

Solicitamos únicamente estos permisos, todos de solo lectura:

Identidad básica (openid, email): el identificador de la cuenta de Google y su correo electrónico, para mostrarle al negocio con qué cuenta está conectado.
Google Analytics (https://www.googleapis.com/auth/analytics.readonly): los nombres e identificadores de sus cuentas, propiedades y flujos de datos web, incluido el ID de medición (G-XXXXXXX), y los informes agregados de la propiedad que elige: usuarios, usuarios nuevos y activos, sesiones, duración y tasa de interacción, vistas de página, eventos y eventos clave, canal y fuente/medio del tráfico, páginas, ciudades, categoría de dispositivo y usuarios activos en tiempo real. Son cifras agregadas: no recibimos datos que identifiquen a una persona.
Google Tag Manager (https://www.googleapis.com/auth/tagmanager.readonly), solo cuando el negocio conecta desde la integración de Tag Manager: los nombres e identificadores de sus cuentas y, de cada contenedor web, su nombre y su identificador público (GTM-XXXXXXX). No leemos sus etiquetas, activadores, variables ni versiones.

Nunca creamos, modificamos ni borramos nada en las cuentas de Google del negocio.

4.2 Para qué los usamos

Para que el negocio elija qué propiedad, flujo de datos o contenedor se carga en su micrositio, y configurar la medición con el identificador elegido.
Para mostrarle, solo a ese negocio y dentro de su panel, los informes de su propia propiedad de Google Analytics.
Para indicarle con qué cuenta de Google está conectado y avisarle si la conexión deja de funcionar.

No usamos los datos de Google para publicidad, no los vendemos, no creamos perfiles de personas con ellos, no los combinamos con datos de otros negocios y no los usamos para desarrollar, mejorar ni entrenar modelos de inteligencia artificial o de aprendizaje automático.

4.3 Con quién los compartimos

Solo los ven los usuarios del propio negocio: conectar, cambiar o desconectar la integración requiere el rol de administrador, y los informes se muestran a administradores y socios del negocio. No los compartimos con terceros, salvo con los proveedores de infraestructura en la nube que alojan la Plataforma (servidores, base de datos y caché), que los tratan por nuestra cuenta, o cuando una autoridad competente lo requiera conforme a la ley.

4.4 Cómo los protegemos

Las credenciales de acceso que emite Google se guardan cifradas con AES-256-GCM, nunca se muestran en el panel y nunca se envían al navegador.
Toda comunicación con Google y con el panel viaja cifrada mediante HTTPS (TLS).
El acceso interno está limitado al personal técnico que opera la Plataforma.

4.5 Cuánto tiempo los conservamos

Los informes de Google Analytics solo se guardan en una caché temporal: 10 minutos los informes y 45 segundos los de tiempo real. No los almacenamos de forma permanente.
El correo de la cuenta, los nombres e identificadores de la cuenta, propiedad, flujo de datos y contenedor elegidos, y las credenciales cifradas se conservan mientras la conexión esté activa.

4.6 Cómo se eliminan

Al desconectar Google Analytics desde el panel, revocamos el acceso ante Google y eliminamos de inmediato la conexión junto con sus credenciales, el correo y los identificadores guardados.
Al quitar el contenedor de Google Tag Manager, eliminamos el contenedor guardado y deja de cargarse en el micrositio.
El acceso también puede revocarse en cualquier momento desde la configuración de la cuenta de Google; la conexión deja de funcionar y el panel lo indica.
Para solicitar la eliminación de cualquier dato de Google que conservemos, escribe a [email protected] desde el correo de la cuenta de Google conectada o desde una cuenta de administrador del negocio.

4.7 Uso Limitado

El uso que Popadvise hace de la información recibida de las API de Google, y su transferencia a cualquier otra aplicación, se apega a la Política de Datos del Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado.

4.8 Google user data (English version)

This subsection is the English version of section 4. It applies when a person who manages a business on Popadvise (operated by poply.org) connects their Google Account from the dashboard, in the Google Analytics and Google Tag Manager integrations. It does not apply to microsite visitors.

Data we access. We request only these read-only permissions:

Basic identity (openid, email): the Google Account identifier and email address, to show the business which account is connected.
Google Analytics (https://www.googleapis.com/auth/analytics.readonly): the names and IDs of its accounts, properties and web data streams, including the measurement ID (G-XXXXXXX), and aggregated reports for the property it selects: users, new and active users, sessions, engagement duration and rate, page views, events and key events, traffic channel and source/medium, pages, cities, device category and real-time active users. These are aggregated figures; we receive no data that identifies an individual.
Google Tag Manager (https://www.googleapis.com/auth/tagmanager.readonly), only when the business connects from the Tag Manager integration: the names and IDs of its accounts and, for each web container, its name and public ID (GTM-XXXXXXX). We do not read tags, triggers, variables or versions.

We never create, modify or delete anything in the business's Google accounts.

How we use it. To let the business choose which property, data stream or container loads on its microsite and to set up measurement with that ID; to show that business, and only that business, the reports of its own Google Analytics property inside its dashboard; and to show which Google Account is connected and alert it when the connection stops working. We do not use Google user data for advertising, do not sell it, do not build profiles of people with it, do not combine it with other businesses' data, and do not use it to develop, improve or train artificial intelligence or machine learning models.

How we share it. Only the business's own users see it: connecting, changing or disconnecting the integration requires the administrator role, and reports are shown to the business's administrators and partners. We do not share it with third parties, except with the cloud infrastructure providers that host the Platform (servers, database and cache), which process it on our behalf, or when a competent authority requires it by law.

How we protect it. The access credentials issued by Google are stored encrypted with AES-256-GCM, are never shown in the dashboard and are never sent to the browser. All communication with Google and with the dashboard is encrypted over HTTPS (TLS). Internal access is limited to the technical staff that operates the Platform.

How long we keep it. Google Analytics reports are only held in a temporary cache: 10 minutes for reports and 45 seconds for real-time data. We do not store them permanently. The account email, the names and IDs of the selected account, property, data stream and container, and the encrypted credentials are kept while the connection is active.

How it is deleted. When the business disconnects Google Analytics from the dashboard, we revoke access with Google and immediately delete the connection with its credentials, email and stored IDs. Removing the Google Tag Manager container deletes the stored container and stops loading it on the microsite. Access can also be revoked at any time from the Google Account settings; the connection then stops working and the dashboard says so. To request deletion of any Google user data we hold, write to [email protected] from the connected Google Account's email or from a business administrator account.

Limited Use. Popadvise's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

5. Derechos ARCO y revocación del consentimiento

Tienes derecho a Acceder a tus datos, Rectificarlos, Cancelarlos y Oponerte a su tratamiento, así como a revocar el consentimiento que nos hayas otorgado y a limitar su uso o divulgación.

Desde tu cuenta puedes consultar y actualizar tu información, administrar tus consentimientos de comunicación y solicitar la eliminación de tu cuenta.
También puedes ejercer estos derechos escribiendo a [email protected], indicando tu nombre, el derecho que deseas ejercer y los datos de contacto para responderte. Te informaremos el procedimiento y los plazos aplicables conforme a la ley.
Si consideras que tu derecho a la protección de datos ha sido vulnerado, puedes acudir al Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI).

6. Cookies y tecnologías similares

La Plataforma y los micrositios de los negocios usan cookies y tecnologías similares, como el almacenamiento local del navegador y los píxeles. Cuando el micrositio de un negocio usa herramientas de medición o publicidad, verás un aviso de cookies que te indica cuáles son y te permite aceptarlas o rechazarlas.

Esenciales: mantienen tu sesión, protegen la Plataforma contra el abuso (por ejemplo, mediante Google reCAPTCHA), recuerdan tu decisión sobre cookies y hacen funcionar servicios como el chat. No requieren consentimiento y no pueden desactivarse.
De medición: indican, de forma agregada, cuántas personas visitan un micrositio, de dónde llegan y qué secciones usan.
- Google Analytics: cuando un negocio conecta su propiedad de Google Analytics, las mediciones de su micrositio se envían a la cuenta de ese negocio. No se envían tu nombre, tu correo ni tu teléfono.
- Google Tag Manager: cuando un negocio lo usa, carga en su micrositio las etiquetas de medición o publicidad que el propio negocio configura en su contenedor. El negocio es responsable de que esas etiquetas respeten tu decisión en el aviso de cookies.
Publicitarias: el píxel de Meta y el píxel de TikTok, junto con sus conexiones de servidor (API de Conversiones de Meta y Events API de TikTok), miden si los anuncios de un negocio en esas redes funcionan y pueden usarse para mostrarte anuncios relevantes. Solo se activan cuando aceptas en el aviso de cookies; mientras no lo hagas, tu navegador no se comunica con esas plataformas.

Cómo se aplica tu decisión. Google Analytics y Google Tag Manager usan el modo de consentimiento de Google. Si nos visitas desde el Espacio Económico Europeo, el Reino Unido o Suiza, no guardan cookies ni se usan con fines publicitarios hasta que aceptes. Desde otras regiones, incluido México, funcionan desde tu primera visita con base en tu consentimiento tácito, que puedes negar en cualquier momento. Si rechazas, dejan de guardar cookies y no vuelven a cargarse en tus siguientes visitas, y el sitio sigue funcionando con normalidad.

Tu decisión se guarda en tu navegador. Para cambiarla, borra las cookies y los datos del sitio desde la configuración de tu navegador: el aviso volverá a aparecer en tu siguiente visita.

7. Conservación y seguridad

Conservamos tus datos mientras tu cuenta esté activa y durante los plazos necesarios para cumplir obligaciones legales, resolver disputas o mantener registros contables.
Las métricas de visitas a páginas Connect se conservan de forma agregada; el detalle técnico se depura periódicamente.
Los datos de medición y publicidad que se envían a las cuentas de los negocios en Google, Meta o TikTok se conservan conforme a la configuración de cada negocio en esas plataformas.
Tu decisión sobre cookies se conserva en tu navegador hasta que borres sus datos.
Aplicamos medidas de seguridad administrativas, técnicas y físicas para proteger tus datos contra daño, pérdida, alteración o acceso no autorizado — incluyendo cifrado de credenciales sensibles, control de acceso por roles dentro de cada negocio y validación de las integraciones externas. El acceso a tus datos está limitado al personal y a los negocios autorizados.

8. Menores de edad

La Plataforma no está dirigida a menores de edad. Si detectamos una cuenta creada por un menor sin la autorización correspondiente, procederemos a su eliminación. Si eres madre, padre o tutor y detectas un uso no autorizado, escríbenos.

9. Cambios a este aviso

Podemos actualizar este Aviso de Privacidad para reflejar cambios en la Plataforma o en la legislación. La versión vigente estará siempre publicada en esta página con su fecha de actualización, y los cambios sustanciales se notificarán a través de la Plataforma o por correo electrónico.

10. Contacto

Para cualquier duda sobre este Aviso de Privacidad o el tratamiento de tus datos:

Correo: [email protected]
Domicilio: Agrarismo 63, Escandón II, Ciudad de México, México