Política de Privacidad

Última actualización: 7 de octubre de 2026 Fecha de entrada en vigor: 15 de abril de 2026

Esta Política de Privacidad describe cómo Rodrigo de la Torre González (persona física con actividad empresarial) (en adelante, "nosotros", "la Empresa" o "Xtarly"), con domicilio en Av. Vallarta 4327, Col. Camino Real, C.P. 45040, Zapopan, Jalisco, México, recopila, usa, almacena y protege la información personal de los usuarios ("tú", "usuario") de las aplicaciones móviles Xtarly Rewards y las aplicaciones de marca blanca operadas sobre la plataforma Xtarly (incluyendo Caffenio Rewards, Dolce Beauty y otras apps de lealtad con marca propia de negocios que operan sobre la plataforma Xtarly), así como del sitio web https://www.xtarly.com (en conjunto, los "Servicios").

Al descargar, instalar o usar los Servicios aceptas las prácticas descritas en esta Política.

1. Responsable del tratamiento

Responsable: Rodrigo de la Torre González (persona física con actividad empresarial)
Domicilio: Av. Vallarta 4327, Col. Camino Real, C.P. 45040, Zapopan, Jalisco, México
Correo de contacto / Oficial de Privacidad: atencion@xtarly.com
Soporte: atencion@xtarly.com

Quién es responsable de qué. Xtarly es el responsable del tratamiento de los datos de tu cuenta en los Servicios, de los datos de los dueños y representantes de negocios que usan la plataforma o nos contactan por el sitio web, y de los datos de quienes visitan xtarly.com. Si tu cuenta pertenece a un programa de lealtad operado por un negocio (por ejemplo, Caffenio Rewards), ese negocio (el "Operador del Programa") es el responsable de los datos que tú compartes con su programa y de las decisiones sobre su uso (reglas, premios, comunicaciones), y Xtarly actúa como persona encargada: trata esos datos por cuenta y bajo las instrucciones del Operador del Programa, conforme a lo pactado con él. La identidad del Operador del Programa se muestra dentro de la aplicación. Para ejercer tus derechos respecto de ese programa puedes dirigirte al Operador o escribirnos a atencion@xtarly.com, y canalizaremos tu solicitud.

2. Datos personales que recopilamos

Recopilamos únicamente la información necesaria para operar el programa de lealtad:

2.1 Datos que tú nos proporcionas

Datos de registro y cuenta: nombre completo, correo electrónico, contraseña (almacenada cifrada mediante hash), número de teléfono (opcional), idioma y país preferidos.
Foto de perfil / avatar: imagen opcional que puedes subir desde tu galería o cámara.
Código de referido: código que puedes introducir o compartir.
Datos de inicio de sesión social: si eliges iniciar sesión con Google o con Apple, recibimos de esos proveedores únicamente tu nombre y correo electrónico verificado (y, en el caso de Google, tu foto de perfil). No recibimos tu contraseña de Google ni de Apple. Apple puede proporcionarnos una dirección de correo relay si eliges ocultar tu correo real.
Fecha de cumpleaños (opcional): si la registras en tu perfil, para que el negocio te felicite o te dé un beneficio de cumpleaños.

2.2 Datos generados por el uso del Servicio

Datos del programa de lealtad: saldo de puntos, sellos, nivel/tier, historial de transacciones, canjes de recompensas, cupones redimidos.
Notificaciones push: token de dispositivo de Expo/FCM/APNs, plataforma (iOS/Android) y estado de lectura de notificaciones.
Datos técnicos: identificador anónimo de sesión, versión de la app, sistema operativo, tipo de dispositivo, dirección IP y marcas de tiempo de acceso.

2.3 Datos que no recopilamos

No accedemos a tu ubicación GPS.
No accedemos a tus contactos.
No accedemos al micrófono.
No recopilamos datos de pago en la app (la app no procesa pagos de clientes finales). Si contratas un plan de Xtarly para tu negocio, el pago lo procesa Stripe (ver sección 6).
No usamos SDKs de publicidad de terceros en la app móvil. (Para el sitio web, consulta la sección 12: usamos cookies de publicidad opcionales, sujetas a tu consentimiento.)
No integramos analítica de comportamiento de terceros (Google Analytics, Facebook SDK, etc.) en la app móvil.

3. Permisos del dispositivo

Permiso	Uso	Obligatorio
Notificaciones	Enviar avisos de puntos ganados, recompensas, cupones y cambios de nivel	No
Cámara	Tomar una foto para tu avatar y escanear códigos QR en el punto de venta para acumular puntos	No
Galería / Fotos	Seleccionar una imagen para tu avatar	No
Internet	Conexión con nuestros servidores	Sí

Puedes revocar cualquier permiso en cualquier momento desde los ajustes de tu dispositivo.

4. Finalidades del tratamiento

Finalidades primarias (necesarias para prestar el Servicio)

Crear y administrar tu cuenta.
Autenticarte mediante correo y contraseña, o a través de Google Sign-In / Iniciar sesión con Apple (JWT/refresh token almacenados de forma segura en expo-secure-store).
Acreditar puntos, sellos y nivel; registrar transacciones y canjes.
Mostrar menú, sucursales, banners y contenido del programa al que perteneces.
Enviarte notificaciones transaccionales del programa (puntos ganados, recompensas disponibles, cupones nuevos, cambio de nivel, mensajes del programa) por la app, tu tarjeta de wallet, correo electrónico o WhatsApp al número que registraste.
Prevenir fraude, abuso y usos indebidos.
Cumplir con obligaciones legales.
Si contratas un plan de pago para tu negocio: cobrar tu suscripción a través de Stripe, avisarte antes de cada renovación y conservar el registro de cada cargo para cumplir obligaciones fiscales.

Finalidades secundarias (puedes oponerte sin afectar el Servicio)

Comunicaciones promocionales del programa de lealtad al que estás inscrito, que el negocio puede dirigir según tu actividad en el programa (por ejemplo, si estás cerca de un premio, si tus puntos están por vencer, si tienes tiempo sin visitarlo o en tu mes de cumpleaños).
Encuestas de satisfacción.

Puedes oponerte a las finalidades secundarias escribiendo a atencion@xtarly.com o desde los ajustes de notificaciones de la app.

Si recibes estos mensajes por WhatsApp, también puedes darte de baja de ese canal respondiendo BAJA al propio mensaje.

Si recibes estos mensajes por correo electrónico, cada correo promocional lleva un enlace de baja: al usarlo dejas de recibir promociones de ese negocio.

Prospectos y contactos comerciales (negocios)

Si eres dueño o representante de un negocio, tratamos tus datos de contacto (nombre, teléfono, correo, datos públicos del negocio y los datos de operación que tú captures en nuestras herramientas, como giro, ticket promedio, visitas por cliente y margen) para: (a) atender tu solicitud; (b) enviarte información comercial, precios y promociones de Xtarly por WhatsApp, correo o teléfono, cuando lo hayas autorizado; y (c) conservar el registro de tu autorización y de tu baja. Puedes revocar tu autorización en cualquier momento respondiendo BAJA por WhatsApp, respondiendo "baja" a cualquier correo, o escribiendo a atencion@xtarly.com.

5. Base legal del tratamiento (GDPR / usuarios en la UE)

Ejecución del contrato: para operar tu cuenta y el programa de lealtad.
Consentimiento: para notificaciones push y comunicaciones promocionales (revocable en cualquier momento).
Interés legítimo: para seguridad, prevención de fraude y mejora del Servicio.
Obligación legal: para cumplir requerimientos fiscales y de autoridades competentes.

6. Con quién compartimos tus datos

No vendemos tus datos personales. En esta sección distinguimos tres situaciones: (a) personas encargadas, proveedores que tratan datos por nuestra cuenta y bajo nuestras instrucciones, lo que conforme a la ley no constituye una transferencia; (b) el Operador del Programa, responsable de los datos de su programa, para el cual Xtarly actúa como persona encargada (sección 1); y (c) terceros, a quienes transferimos datos solo en los casos que se indican y conforme a la sección 6.1. Compartimos tus datos únicamente con:

El Operador del Programa al que te inscribiste (por ejemplo, Caffenio): es el responsable de los datos de su programa y Xtarly se los trata como persona encargada (sección 1). Los recibe exclusivamente para operar su programa.
Proveedores que actúan como personas encargadas (tratan datos por nuestra cuenta):
- Vercel Inc. — alojamiento del backend y sitio web.
- Railway Corporation — alojamiento de los servidores de la plataforma (API).
- Sentry (Functional Software, Inc.) — monitoreo de errores y del rendimiento del sitio web, de la app y de nuestros servidores, para detectar y corregir fallas. Recibe la información técnica de cada error (qué falló, en qué página o pantalla, y el tipo de navegador y dispositivo), una muestra de mediciones de tiempo de carga y, como cualquier servidor que recibe una conexión, tu dirección IP. En el panel de los negocios y en la caja puede recibir una reproducción de la sesión con todo el texto oculto y las imágenes bloqueadas. Lo configuramos para no enviarle tu nombre, tu correo, tu teléfono ni tus cookies; no instala cookies en tu navegador y no usamos esta información para publicidad. Puede tratar estos datos en Estados Unidos (ver sección 7).
- Google LLC (Google Sign-In) — verificación de identidad cuando eliges iniciar sesión con Google.
- Apple Inc. (Iniciar sesión con Apple) — verificación de identidad cuando eliges iniciar sesión con Apple.
- Expo / Google Firebase Cloud Messaging / Apple Push Notification service — entrega de notificaciones push.
- Supabase (PostgreSQL gestionado) — almacenamiento de la base de datos.
- Supabase Storage — almacenamiento del avatar.
- Resend — envío de los correos de tu cuenta (verificación y recuperación de contraseña) y entrega de los correos que el negocio al que estás inscrito te envía a través de la plataforma: los avisos de tu tarjeta de lealtad y, si lo autorizaste, sus promociones. Salen desde el dominio del negocio o desde notificaciones@xtarly.com a nombre del negocio.
- Twilio Inc. — envío de mensajes de WhatsApp relacionados con tu cuenta (avisos de facturación y de estado del servicio) y, cuando lo hayas autorizado, comunicaciones comerciales.
- WhatsApp / Meta Platforms, Inc. — entrega de los mensajes en WhatsApp, tanto los relacionados con tu cuenta de Xtarly como los que el negocio al que estás inscrito te envía desde su propio número de WhatsApp Business a través de la plataforma.
Stripe (procesamiento de pagos) — persona encargada en cuanto procesa el pago por nuestra cuenta y tercero en cuanto usa los datos para su propia prevención de fraude. Si contratas un plan de pago de Xtarly para tu negocio, Stripe procesa el cobro de tu suscripción. Recibe los datos que capturas en el formulario de pago, como tu nombre, tu correo electrónico y los datos de tu tarjeta u otro método de pago, además del plan, el monto, la moneda y la fecha de cada cargo. Stripe los trata por nuestra cuenta para procesar el pago y también los usa para prevenir fraude, conforme a su propio aviso de privacidad (https://stripe.com/privacy). Stripe puede tratar estos datos en Estados Unidos (ver sección 7).
Plataformas de publicidad y analítica del sitio web (terceros; solo si aceptas las cookies opcionales, ver 6.1): Google LLC (Google Analytics y Google Ads) y Meta Platforms, Inc. (Pixel de Meta y API de conversiones) reciben la información de tu visita a xtarly.com que se detalla en la sección 12, para medir el uso del sitio y el resultado de nuestros anuncios y decidir a quién se muestran. Estas plataformas también usan esa información conforme a sus propias políticas de privacidad, enlazadas en la sección 12. El Pixel de Meta no se carga en la app móvil ni en las páginas de inscripción a los programas de lealtad de cada negocio.
Aplicaciones que tú decides conectar a tu cuenta (terceros elegidos por ti; por ejemplo, asistentes de IA como Claude, de Anthropic). Si administras un negocio y autorizas a una aplicación externa a acceder a tu cuenta de Xtarly, le entregamos —a petición tuya y solo mientras la conexión esté activa— lo que cubren los permisos que aceptaste en la pantalla de autorización: tu nombre, tu correo y tu foto de perfil, y la información de tu negocio que la aplicación consulte: la configuración del programa de lealtad (reglas, niveles, premios, cupones y avisos automáticos), los datos de tu negocio, tu menú, tus sucursales con su dirección, el nombre y el rol de tu personal, métricas generales del negocio por periodo (cuántos clientes, transacciones y canjes hubo, con sus montos totales y promedio), cuántos clientes hay en cada grupo de tu programa (por ejemplo, cerca de un premio, sin visitas recientes o con cumpleaños en el mes) y, si autorizaste el permiso de campañas, los borradores, el estado y los resultados generales de tus campañas (cuántos mensajes salieron, se entregaron o se leyeron), sin identificar a ningún cliente. Nunca le entregamos datos personales de los clientes del programa: los mensajes a tus clientes los personaliza y envía Xtarly, no la aplicación. Esa aplicación no es proveedor nuestro: la eliges y la usas tú, con tu propia cuenta, y trata lo que recibe conforme a sus propios términos y aviso de privacidad, posiblemente fuera de México (por ejemplo, en Estados Unidos). Puedes revocar la conexión en cualquier momento desde Ajustes de cuenta → Seguridad.
Autoridades competentes cuando exista una obligación legal.

Todos los proveedores que actúan como personas encargadas están sujetos a contratos de tratamiento de datos conforme a la legislación aplicable.

6.1 Cláusula de transferencias (artículos 35 y 36 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares)

Transferencias que requieren tu consentimiento. La única transferencia a terceros que realizamos para nuestras propias finalidades es la comunicación de los datos de tu visita a xtarly.com a Google LLC y a Meta Platforms, Inc. con fines de analítica y publicidad (sección 12). Al elegir «Aceptar» en el banner de cookies, o al marcar la casilla equivalente en nuestros formularios, manifiestas que aceptas esa transferencia. Al elegir «Rechazar», o si no la aceptas, manifiestas que no aceptas esa transferencia y no se realiza. Puedes cambiar tu decisión en cualquier momento desde «Preferencias de cookies» en el pie de página del sitio o escribiendo a atencion@xtarly.com.
Transferencias que no requieren tu consentimiento. Las demás comunicaciones descritas en esta sección se hacen a personas encargadas (no son transferencias) o están amparadas por el artículo 36 de la Ley: son necesarias para mantener o cumplir la relación jurídica contigo (por ejemplo, Stripe para cobrar la suscripción de tu negocio) o las exige una autoridad competente.
Aplicaciones que tú conectas. La entrega de información a una aplicación externa se hace únicamente a petición tuya, cuando la autorizas en nuestra pantalla de autorización; retirar la conexión equivale a revocar esa autorización.
Los terceros que reciben datos personales por transferencia asumen, respecto de esos datos, las mismas obligaciones que nos corresponden como responsable.

7. Transferencias internacionales

Algunos proveedores procesan datos fuera de tu país de residencia (principalmente Estados Unidos y la Unión Europea). En esos casos aplicamos las salvaguardas adecuadas (Cláusulas Contractuales Tipo, certificaciones equivalentes o consentimiento informado) para garantizar un nivel de protección adecuado.

8. Conservación de los datos

Conservamos tus datos mientras tu cuenta esté activa y durante el plazo adicional necesario para cumplir obligaciones legales y fiscales (hasta 10 años en México por normativa fiscal; 5 años en la UE salvo obligación mayor). Los tokens de sesión se eliminan al cerrar sesión o al expirar. Los tokens de notificación se eliminan al desinstalar la app o al dar de baja el dispositivo.

9. Seguridad

Aplicamos medidas técnicas y organizativas razonables:

TLS/HTTPS para todas las comunicaciones.
Hash de contraseñas con algoritmos modernos (bcrypt/argon2).
Almacenamiento cifrado de tokens en expo-secure-store (Keychain en iOS, Keystore en Android).
Principio de mínimo privilegio en el acceso del personal.
Auditorías y respaldo periódicos.

Ningún sistema es 100 % invulnerable; te pedimos usar una contraseña robusta y no compartirla.

10. Tus derechos

Tienes derecho a:

Acceder a los datos personales que tenemos sobre ti.
Rectificar datos inexactos.
Cancelar / Suprimir tu cuenta y datos ("derecho al olvido").
Oponerte o limitar ciertos tratamientos.
Portabilidad de tus datos en formato estructurado.
Revocar el consentimiento en cualquier momento.
Presentar una queja ante la autoridad competente: en México, la Secretaría Anticorrupción y Buen Gobierno, autoridad en materia de protección de datos personales en posesión de los particulares (gob.mx/buengobierno); en la UE, tu autoridad de control.

Para ejercer cualquiera de estos derechos, o solicitar la eliminación de tu cuenta, escribe a atencion@xtarly.com desde el correo asociado a tu cuenta, indicando tu nombre, el derecho que quieres ejercer y una descripción clara de los datos a los que se refiere. Te responderemos en un plazo máximo de 20 días hábiles contados desde que recibamos tu solicitud y, si procede, la haremos efectiva dentro de los 15 días hábiles siguientes; estos plazos pueden ampliarse una sola vez por un periodo igual cuando las circunstancias lo justifiquen. Para atender solicitudes de acceso podremos pedirte acreditar tu identidad o la de tu representante. También puedes eliminar tu cuenta desde Ajustes → Cuenta → Eliminar cuenta dentro de la app.

Si tu solicitud se refiere a los datos del programa de lealtad de un Operador del Programa, puedes dirigirla también a ese negocio; si la recibimos nosotros, la canalizaremos y te lo informaremos.

Página pública para solicitar la eliminación de cuenta: https://www.xtarly.com/legal/delete-account

11. Menores de edad

Los Servicios están dirigidos a personas mayores de 13 años (o la edad mínima equivalente en tu jurisdicción, p. ej. 16 en la UE). No recopilamos conscientemente datos de menores sin consentimiento verificable de los padres o tutores. Si consideras que un menor nos ha proporcionado datos, escríbenos a atencion@xtarly.com y los eliminaremos.

12. Cookies y tecnologías similares (sitio web)

El sitio web xtarly.com utiliza las siguientes cookies:

Tipo	Nombre / Titular	Finalidad	Duración
Técnica necesaria	`session_token` — Xtarly (Better Auth)	Autenticación de sesión	Hasta cierre de sesión
Técnica necesaria	`xt_country` — Xtarly	Guardar el país desde el que te conectas (detectado por nuestro proveedor de alojamiento a partir de tu dirección IP; solo el código de país, por ejemplo «MX») para mostrarte la moneda, los precios y el número de contacto que te corresponden. No se comparte con terceros.	1 día
Medición propia	`xt_utm` — Xtarly	Se instala solo si llegas al sitio desde un enlace con parámetros de campaña (`utm_*`). Guarda la fuente, el medio, la campaña, la página por la que entraste, la página desde la que venías y la fecha de esa primera visita, para saber qué campaña trajo a quien después nos deja sus datos o registra su negocio. No se envía a plataformas de terceros. Puedes borrarla desde tu navegador o pedirnos que no la usemos escribiendo a atencion@xtarly.com.	90 días
Funcional (referidos)	`xt_ref` — Xtarly	Se instala solo si llegas con un enlace de referido (`?ref=CÓDIGO`) o tecleas un código de referido. Guarda únicamente el código, para acreditar la recomendación si registras tu negocio (ver Reglas del Programa de Referidos).	90 días
Preferencia necesaria	`consent` — Xtarly	Guardar tu elección sobre las cookies de analítica y publicidad de Google	30 días
Preferencia necesaria	`consent_v2` — Xtarly	Guardar tu elección sobre las cookies de publicidad de Meta	30 días
Preferencia necesaria	`NEXT_LOCALE` — Xtarly	Recordar el idioma que elegiste cuando es distinto del que indica tu navegador	Sesión (hasta cerrar el navegador)
Preferencia necesaria	Almacenamiento local del navegador (`xt-card-designer-v1`, `xt-calculator-v1`) — Xtarly	Recordar en este navegador los datos que dejaste en el diseñador de tarjetas o en la calculadora (nombre, negocio, correo y teléfono) y tu diseño, para no volver a pedírtelos. No se comparte con terceros. Puedes borrarlo con «Usar otros datos» o limpiando los datos del sitio en tu navegador.	30 días
Analítica (opcional)	Google Analytics 4 (`_ga`, `_ga_RDFRE8DCWG`) — Google LLC — ID: G-RDFRE8DCWG	Medir el uso del sitio de forma agregada	Hasta 2 años según Google; los navegadores actuales la limitan a 400 días
Publicidad (opcional)	Google Ads (`_gcl_au`) — Google LLC — ID: AW-18156222591	Medir si una visita que vino de un anuncio de Google termina en una solicitud o registro	90 días
Publicidad (opcional)	`test_cookie` — Google LLC (dominio doubleclick.net)	Cookie técnica que instala la etiqueta de Google Ads al cargarse	Minutos (caduca el mismo día)
Publicidad (opcional)	Pixel de Meta (`_fbp`, `_fbc`) y API de conversiones — Meta Platforms, Inc.	Medir si una visita a xtarly.com termina en una solicitud de diseño de tarjeta, un cálculo de programa de lealtad o un registro, y decidir a quién se muestran nuestros anuncios en Facebook e Instagram, incluidas personas que ya visitaron el sitio. Meta recibe las páginas que visitas, los botones en que haces clic, tu dirección IP y los datos de tu navegador. Cuando solicitas un diseño, haces un cálculo o te registras, nuestro servidor también le informa a Meta ese evento con tu dirección IP, los datos de tu navegador y estas cookies, para no contarlo dos veces. No le enviamos tu correo ni tu teléfono.	Hasta 90 días

Las cookies marcadas como opcionales solo se cargan si das tu consentimiento, ya sea mediante el banner que aparece en tu primera visita o marcando la casilla equivalente en los formularios del diseñador de tarjetas y de la calculadora. Puedes cambiar o revocar tu decisión en cualquier momento desde el enlace «Preferencias de cookies» que encontrarás en el pie de página de cualquier página del sitio, que vuelve a mostrarte el banner para que elijas de nuevo. También puedes hacerlo borrando las cookies consent y consent_v2 desde la configuración de tu navegador, o escribiendo a atencion@xtarly.com. Si revocas tu consentimiento, Google Analytics, Google Ads y el Pixel de Meta dejan de cargarse y nuestro servidor deja de enviar eventos a Meta; las cookies que esas plataformas ya instalaron puedes borrarlas desde tu navegador. La cookie de medición propia xt_utm no depende del banner porque no comparte datos con terceros; puedes oponerte a su uso como se indica en su fila.

Más información sobre el uso de datos de Google: policies.google.com/privacy. Más información sobre el uso de datos de Meta: facebook.com/privacy/policy.

La app móvil no utiliza cookies de terceros.

13. Cambios a esta Política

Podemos actualizar esta Política. Publicaremos la nueva versión en esta misma URL y, si los cambios son sustanciales, te lo notificaremos por correo o dentro de la app con al menos 15 días de anticipación.

14. Contacto

Rodrigo de la Torre González (persona física con actividad empresarial) Av. Vallarta 4327, Col. Camino Real, C.P. 45040, Zapopan, Jalisco, México 📧 atencion@xtarly.com 🌐 https://www.xtarly.com

15. Idioma de esta Política

Esta Política se publica en español y en inglés. En caso de discrepancia o duda de interpretación entre ambas versiones, prevalece la versión en español.