Aviso de Privacidad – Boxha Boox App

Última actualización: 27 de julio de 2026 · Versión 2

1. Identidad y domicilio del responsable

Rafael Orozco Zamudio (en adelante, "Boxha Boox" o el "Responsable"), con domicilio en Agustín Melgar y Simón Morúa S/N, C.P. 83550, Puerto Peñasco, Sonora, México, es el responsable del tratamiento de los datos personales recabados a través de la aplicación móvil Boxha Boox (la "App"), conforme a la legislación mexicana en materia de protección de datos personales en posesión de los particulares.

2. Datos personales que recopilamos

2.1 Datos que el usuario proporciona

• Nombre y apellido: para identificar la cuenta y personalizar la comunicación.
• Número de teléfono: identificador principal de la cuenta; se verifica mediante código SMS.
• Correo electrónico: verificado mediante código; se utiliza para comunicaciones sobre la cuenta.
• Contraseña: almacenada únicamente de forma cifrada (hash); nunca en texto claro.
• Fecha de nacimiento (opcional): el usuario puede proporcionarla o no; ver finalidades secundarias.

2.2 Datos generados por el uso del servicio

• Datos de sesión y seguridad: fecha de último ingreso y dirección IP, para proteger la cuenta ante accesos no autorizados.
• Datos del dispositivo: sistema operativo, modelo y token de notificaciones push, para el envío de notificaciones; en tickets de soporte, también versión del sistema y de la App con fines de diagnóstico.
• Historial transaccional: órdenes realizadas (productos, notas, montos, estatus, código de entrega), movimientos y saldo de cashback, y cupones utilizados.
• Contenido enviado por el usuario: calificaciones, comentarios, fotografías y videos en el feedback de órdenes y en tickets de soporte.
• Registros de aceptación: constancia de la versión de los términos y de este aviso aceptados por el usuario, como prueba de consentimiento.
• Registros de prevención de fraude: asociados al número de teléfono, incluyendo fechas de registro, dirección IP de registro y número de registros realizados, para prevenir el abuso de bonos y beneficios.

2.3 Datos de pago

Los datos de tarjeta (número, vencimiento, código de seguridad) son capturados y procesados directamente por Stripe, nuestro procesador de pagos, desde el dispositivo del usuario y bajo el aviso de privacidad de Stripe (stripe.com/privacy). Boxha Boox no recibe, trata ni almacena datos de tarjeta; únicamente registra los montos y el estatus de pago de cada orden.

No recabamos datos personales sensibles.

3. Finalidades del tratamiento

3.1 Finalidades primarias (necesarias para el servicio)

• Crear, verificar, administrar y proteger la cuenta del usuario.
• Procesar órdenes y pagos, generar códigos de entrega y gestionar el ciclo de las órdenes.
• Operar el programa de cashback: acumulación, uso y ajustes del saldo.
• Aplicar cupones y promociones.
• Enviar comunicaciones transaccionales relacionadas con la cuenta y las órdenes (por ejemplo: códigos de verificación, confirmaciones, avisos de estado y notificaciones push).
• Brindar soporte y atender tickets, incluyendo el diagnóstico técnico.
• Prevenir fraudes y abusos, incluyendo el registro repetido de cuentas para obtener bonos.
• Cumplir obligaciones legales, fiscales y requerimientos de autoridad competente.

3.2 Finalidades secundarias (no necesarias para el servicio)

• Envío de comunicaciones promocionales, ofertas y novedades por correo electrónico o notificaciones push.
• Elaboración de estadísticas internas, incluyendo análisis con la fecha de nacimiento cuando el usuario la haya proporcionado.
• Eventuales beneficios o recompensas de cumpleaños que puedan implementarse a futuro.

El usuario puede negarse al tratamiento de sus datos para las finalidades secundarias sin que ello afecte el uso del servicio, ya sea desde las opciones disponibles en la App, mediante el enlace de baja incluido en cada comunicación promocional, o enviando su solicitud al correo de contacto indicado en la sección 9. La fecha de nacimiento es opcional y el usuario puede eliminarla de su perfil en cualquier momento.

4. Menores de edad

La App está dirigida a personas de 15 años o más. Tratándose de usuarios de entre 15 y 17 años, el tratamiento de sus datos personales se realiza en el entendido de que cuentan con la autorización de su padre, madre o tutor, quien podrá ejercer en su representación los derechos previstos en este aviso.

5. Encargados y transferencias

No vendemos datos personales. Para operar el servicio, compartimos datos con proveedores que los tratan por cuenta y bajo instrucciones de Boxha Boox (encargados):

• Twilio: envío de códigos de verificación por SMS.
• Google / Firebase: envío de notificaciones push.
• Stripe: procesamiento de pagos (actúa además como responsable respecto de los datos de tarjeta que captura directamente).
• DigitalOcean: infraestructura de servidores, base de datos y almacenamiento de archivos.
• Proveedor de correo electrónico: envío de correos transaccionales y, en su caso, promocionales.

Estos proveedores pueden estar ubicados fuera de México (principalmente en Estados Unidos) y están obligados contractualmente a proteger los datos conforme a este aviso. La plataforma de punto de venta que utiliza el establecimiento forma parte de la operación del mismo Responsable, por lo que el intercambio de información de órdenes y ventas con dicha plataforma constituye tratamiento interno y no una transferencia a terceros.

Fuera de lo anterior, únicamente transferiremos datos personales cuando sea legalmente exigido por autoridad competente o en los demás casos previstos por la ley, los cuales no requieren consentimiento del titular.

6. Conservación de los datos y eliminación de la cuenta

Conservamos los datos personales mientras la cuenta permanezca activa y durante los plazos necesarios para cumplir las finalidades descritas y las obligaciones legales aplicables.

Cuando el usuario solicita la eliminación de su cuenta, el proceso es el siguiente:

• Solicitud: se agenda la eliminación y se notifica por correo. Durante esta etapa la cuenta sigue siendo utilizable y la solicitud puede cancelarse, incluso iniciando sesión nuevamente.
• Desactivación: una vez que no existen órdenes activas, la cuenta se desactiva y todas las sesiones se cierran de inmediato.
• Eliminación: transcurrido un periodo de gracia de aproximadamente 30 días desde la desactivación, los datos identificativos se eliminan o anonimizan de forma definitiva e irreversible: nombre, correo, teléfono, contraseña, fecha de nacimiento, direcciones IP de sesión, comentarios, notas, mensajes, fotografías y videos, dispositivos registrados y sesiones.

Después de la eliminación conservamos, de forma disociada (sin posibilidad de identificar al usuario), registros transaccionales como montos e ítems de órdenes, calificaciones y movimientos de cashback, con fines estadísticos, contables y de integridad del sistema, así como las constancias de aceptación de documentos legales como prueba de consentimiento.

Retención por prevención de fraude: conservamos el número de teléfono y la dirección IP asociados al registro de cuentas, junto con las fechas y el número de registros, incluso después de la eliminación de la cuenta. Esta retención tiene como única finalidad prevenir el abuso de bonos y beneficios mediante la creación repetida de cuentas, y dichos datos no se utilizan para ningún otro propósito.

La eliminación de la cuenta conlleva la pérdida definitiva del saldo de cashback.

7. Medidas de seguridad

Aplicamos medidas administrativas, técnicas y físicas para proteger los datos personales, entre ellas: cifrado de las comunicaciones, almacenamiento de contraseñas exclusivamente mediante hash criptográfico, sesiones con vigencia limitada y revocables, controles de acceso y validación en el servidor, limitación de peticiones y gestión segura de credenciales de infraestructura. Ningún sistema es infalible, pero en caso de una vulneración de seguridad que afecte de forma significativa los derechos de los titulares, lo notificaremos conforme a la ley.

8. Derechos ARCO y revocación del consentimiento

El usuario (o su padre, madre o tutor, en el caso de menores) tiene derecho a Acceder a sus datos personales, Rectificarlos cuando sean inexactos, Cancelarlos y Oponerse a su tratamiento (derechos ARCO), así como a revocar su consentimiento y a limitar el uso o divulgación de sus datos.

Muchas de estas acciones pueden realizarse directamente desde la App: actualizar nombre, correo, teléfono y contraseña; eliminar la fecha de nacimiento; rechazar comunicaciones promocionales; y solicitar la eliminación de la cuenta.

Para ejercer formalmente los derechos ARCO, el titular deberá enviar una solicitud al correo indicado en la sección 9, incluyendo: (a) nombre del titular y medio para comunicarle la respuesta; (b) documentos o datos que acrediten su identidad (por ejemplo, poder verificar el control del teléfono o correo registrados); (c) descripción clara y precisa de los datos respecto de los que busca ejercer alguno de los derechos; y (d) cualquier elemento que facilite la localización de los datos. Responderemos en un plazo máximo de 20 días hábiles contados desde la recepción de la solicitud y, de resultar procedente, la haremos efectiva dentro de los 15 días hábiles siguientes a la respuesta.

La cancelación de datos puede no ser procedente respecto de aquellos que debamos conservar por obligación legal o para las finalidades de prevención de fraude descritas en la sección 6.

Si el titular considera que su derecho a la protección de datos ha sido vulnerado, puede acudir ante la autoridad competente en materia de protección de datos personales en México.

9. Contacto

Para cualquier duda sobre este aviso o para ejercer sus derechos, escribe a: boxhaboox@gmail.com, o acude al domicilio del Responsable señalado en la sección 1.

10. Usuarios en Estados Unidos

El servicio está disponible para usuarios ubicados en México y en Estados Unidos. Los usuarios en Estados Unidos gozan de los mismos derechos de acceso, rectificación, eliminación y rechazo de comunicaciones promocionales descritos en este aviso, y pueden ejercerlos por los mismos medios. La App no está dirigida a menores de 13 años.

11. Cambios a este aviso

Podemos actualizar este aviso de privacidad ocasionalmente. Publicaremos cualquier cambio en esta sección y, cuando la modificación afecte de manera sustancial el tratamiento de los datos personales, lo notificaremos mediante la App o el correo electrónico registrado y, en su caso, solicitaremos nuevamente el consentimiento del usuario. Recomendamos revisar periódicamente este aviso.