Aviso de Privacidad para AfiliadosPrivacy Notice for Enrollees

1 · Identidad y domicilio del Responsable1 · Identity and domicile of the Data Controller

Mobile Ads and Rewards Corporation, S.A.P.I. de C.V. (en adelante "Tuki" o "MARC"), con domicilio en Calle 32 número 298, piso 3, colonia Montebello, C.P. 97113, Mérida, Yucatán, México, RFC MAR160524N62.Mobile Ads and Rewards Corporation, S.A.P.I. de C.V. (hereinafter "Tuki" or "MARC"), with domicile at Calle 32 No. 298, 3rd floor, Colonia Montebello, C.P. 97113, Mérida, Yucatán, Mexico, RFC MAR160524N62.

Para cualquier asunto relacionado con el presente Aviso o el tratamiento de sus datos personales, puede contactarnos en privacidad@tukicard.com.For any matter related to this Notice or the processing of your personal data, you may contact us at privacidad@tukicard.com.

2 · ¿A quién aplica este Aviso?2 · Who does this Notice apply to?

Este Aviso aplica a usted como persona física afiliada a un programa de lealtad operado por un comercio que utiliza la plataforma Tuki (en adelante, el "Comercio"). La afiliación puede ocurrir, entre otros, mediante:This Notice applies to you as an individual (natural person) enrolled in a loyalty program operated by a business that uses the Tuki platform (hereinafter, the "Business"). Enrollment may occur, among other ways, through:

• Inscripción en el punto de venta del Comercio.Enrollment at the Business's point of sale.
• Descarga e instalación de una aplicación móvil operada por Tuki (Tuki SC) o por el Comercio sobre la plataforma Tuki (Tuki BMP).Downloading and installing a mobile application operated by Tuki (Tuki SC) or by the Business on the Tuki platform (Tuki BMP).
• Registro en el portal web del programa del Comercio.Registration on the web portal of the Business's program.
• Vinculación a través de una billetera digital (Apple Wallet, Google Wallet) emitida por Tuki o por el Comercio.Linking through a digital wallet (Apple Wallet, Google Wallet) issued by Tuki or by the Business.

Este Aviso es distinto al Aviso de Privacidad para Comercios y al Aviso de Privacidad para Partners, los cuales pueden consultarse en tukicard.com/privacidadcomercios y tukicard.com/partners/privacidad, respectivamente.This Notice is distinct from the Privacy Notice for Businesses and the Privacy Notice for Partners, which can be consulted at tukicard.com/privacidadcomercios and tukicard.com/partners/privacidad, respectively.

Menores de edadMinors

Los servicios y programas de lealtad operados sobre Tuki no están dirigidos a menores de edad. Si usted es menor de 18 años, deberá contar con la autorización de su madre, padre o tutor para registrarse o participar en un programa de lealtad operado mediante Tuki.The services and loyalty programs operated on Tuki are not directed at minors. If you are under 18 years of age, you must have the authorization of your mother, father or guardian to register or participate in a loyalty program operated through Tuki.

MARC no recaba intencionalmente datos personales de menores de edad sin la autorización antes señalada. Si MARC identifica que ha recabado datos de un menor sin dicha autorización, podrá bloquearlos, suprimirlos o restringir su tratamiento.MARC does not intentionally collect personal data from minors without the authorization indicated above. If MARC identifies that it has collected data from a minor without such authorization, it may block, delete or restrict the processing of such data.

3 · Datos personales que recabamos3 · Personal data we collect

MARC podrá recabar y tratar las siguientes categorías de datos personales, de manera directa, a través del Comercio o mediante fuentes de acceso público:MARC may collect and process the following categories of personal data, directly, through the Business or through publicly accessible sources:

• Datos de identificación: nombre, fecha de nacimiento (cuando se solicita para promociones específicas), género (opcional).Identification data: name, date of birth (when requested for specific promotions), gender (optional).
• Datos de contacto: correo electrónico, número de teléfono móvil, ciudad y, cuando aplique, dirección postal.Contact data: email, mobile phone number, city and, where applicable, postal address.
• Datos de identificadores de programa: número de afiliación, código de cliente asignado por el Comercio, identificadores únicos del programa.Program identifier data: enrollment number, customer code assigned by the Business, unique program identifiers.
• Datos transaccionales y de consumo en el Comercio: historial de visitas, tickets, montos consumidos, productos consumidos, frecuencia, preferencias declaradas, puntos acumulados, recompensas canjeadas. Estos datos los recaba el Comercio y MARC los procesa como Encargado.Transactional and consumption data at the Business: history of visits, receipts, amounts spent, products consumed, frequency, declared preferences, points accrued, rewards redeemed. This data is collected by the Business and MARC processes it as data processor.
• Datos técnicos y de uso (cuando interactúa con apps o portales de Tuki): dirección IP, identificador de dispositivo, sistema operativo, versión de aplicación, token de notificaciones push, identificador publicitario (IDFA/AAID).Technical and usage data (when you interact with Tuki apps or portals): IP address, device identifier, operating system, application version, push notification token, advertising identifier (IDFA/AAID).
• Geolocalización (opcional): datos de geolocalización aproximada cuando usted la habilita expresamente desde su dispositivo. La geolocalización es siempre opcional; negarse a compartirla no impedirá participar en el programa de lealtad, aunque podrá limitar funciones como mostrar sucursales cercanas o promociones disponibles por zona. MARC procura usar geolocalización aproximada (no precisa) salvo que la finalidad lo exija.Geolocation (optional): approximate geolocation data when you expressly enable it from your device. Geolocation is always optional; refusing to share it will not prevent you from participating in the loyalty program, although it may limit features such as showing nearby branches or promotions available by area. MARC endeavors to use approximate (not precise) geolocation unless the purpose requires otherwise.
• Datos de comunicación: aperturas y clics en correos transaccionales, interacciones con notificaciones push, preferencias de canal de comunicación.Communication data: opens and clicks in transactional emails, interactions with push notifications, communication channel preferences.
• Datos de soporte: contenido de tickets, mensajes y solicitudes de atención que usted nos envía.Support data: content of tickets, messages and support requests that you send us.

Cautela frente a inferencias sensibles: MARC es consciente de que ciertos hábitos de consumo (por ejemplo, productos sin alcohol, alimentos halal o kosher, restricciones alimentarias específicas) podrían interpretarse como indicios sobre creencias religiosas, estado de salud u otras categorías sensibles. Por política interna, MARC no realizará perfilado, segmentación ni análisis con base en inferencias sensibles (salud, religión, origen étnico u otras categorías protegidas) derivadas del comportamiento de consumo del titular.Caution regarding sensitive inferences: MARC is aware that certain consumption habits (for example, alcohol-free products, halal or kosher foods, specific dietary restrictions) could be interpreted as indications of religious beliefs, health status or other sensitive categories. As a matter of internal policy, MARC will not carry out profiling, segmentation or analysis based on sensitive inferences (health, religion, ethnic origin or other protected categories) derived from the data subject's consumption behavior.

4 · Finalidades del tratamiento4 · Purposes of processing

a) Finalidades primarias (necesarias para la relación)a) Primary purposes (necessary for the relationship)

• Operar el programa de lealtad del Comercio al que usted se afilió: identificación al momento de la compra, acumulación y canje de puntos, validación de recompensas.Operate the loyalty program of the Business you enrolled in: identification at the time of purchase, accrual and redemption of points, validation of rewards.
• Comunicarle información operativa del programa: confirmaciones, recordatorios de vencimiento de puntos, recompensas reclamables, cambios al programa, alertas críticas.Communicate operational information about the program to you: confirmations, reminders of point expiration, claimable rewards, program changes, critical alerts.
• Atender sus solicitudes, dudas, reclamaciones y derechos ARCO.Handle your requests, questions, claims and ARCO rights (access, rectification, cancellation, objection).
• Operar las aplicaciones, portales y billeteras digitales de Tuki, incluyendo autenticación, sesión y mantenimiento del servicio.Operate Tuki's applications, portals and digital wallets, including authentication, session and service maintenance.
• Mostrarle sus propios datos personalizados (puntos, recompensas, historial, comercios favoritos del titular) dentro de las aplicaciones y portales de Tuki.Display your own personalized data (points, rewards, history, the data subject's favorite businesses) within Tuki's applications and portals.
• Prevenir fraude, uso indebido, suplantación de identidad y violaciones a los términos de uso.Prevent fraud, misuse, identity theft and violations of the terms of use.
• Realizar analítica técnica (errores, desempeño, adopción de funcionalidades) necesaria para mantener, asegurar y mejorar funcionalmente el servicio que usted utiliza.Perform technical analytics (errors, performance, feature adoption) necessary to maintain, secure and functionally improve the service you use.
• Cumplir con obligaciones legales, fiscales y regulatorias aplicables a MARC o al Comercio.Comply with legal, tax and regulatory obligations applicable to MARC or the Business.
• Atender requerimientos de autoridades competentes en los casos legalmente previstos.Respond to requirements of competent authorities in the cases provided for by law.

b) Finalidades secundarias (no necesarias para la relación; usted puede manifestar su negativa)b) Secondary purposes (not necessary for the relationship; you may object)

• Enviarle comunicaciones comerciales del propio Tuki: novedades del producto, lanzamientos, contenido promocional, invitaciones a eventos.Send you Tuki's own commercial communications: product news, launches, promotional content, event invitations.
• Realizar encuestas comerciales y estudios para campañas o marketing.Conduct commercial surveys and studies for campaigns or marketing.
• Cross-promoción entre comercios usuarios de Tuki, en los términos descritos a continuación.Cross-promotion among businesses that use Tuki, under the terms described below.
• Publicidad, retargeting y campañas en plataformas de terceros bajo seudónimo o identificadores anonimizados.Advertising, retargeting and campaigns on third-party platforms under pseudonym or anonymized identifiers.
• Publicar testimoniales o reseñas con su nombre/iniciales, previo consentimiento expreso adicional.Publish testimonials or reviews with your name/initials, subject to additional express consent.

Si no desea que sus datos sean tratados para alguna o todas las finalidades secundarias, puede manifestarlo en cualquier momento desde el centro de preferencias de la aplicación Tuki, a través del correo privacidad@tukicard.com, o respondiendo "BAJA" a cualquier comunicación comercial que reciba. La negativa al tratamiento para finalidades secundarias no afectará en modo alguno su participación en el programa de lealtad del Comercio.If you do not wish your data to be processed for some or all of the secondary purposes, you may express this at any time from the preferences center of the Tuki application, via the email privacidad@tukicard.com, or by replying "BAJA" (unsubscribe) to any commercial communication you receive. Objecting to processing for secondary purposes will in no way affect your participation in the Business's loyalty program.

5 · Acceso, comunicación y transferencias de datos5 · Access, disclosure and transfer of data

MARC podrá compartir o dar acceso a sus datos personales con terceros únicamente en los supuestos permitidos por la legislación aplicable, cuando sea necesario para operar el programa de lealtad del Comercio, para la prestación de los servicios Tuki, para el cumplimiento de obligaciones legales o cuando exista su consentimiento, según corresponda. Distinguimos entre proveedores que tratan datos por cuenta de MARC (encargados o subencargados, que actúan bajo nuestras instrucciones) y transferencias propiamente dichas (a terceros que actúan con finalidades propias).MARC may share or give access to your personal data to third parties only in the cases permitted by applicable law, when necessary to operate the Business's loyalty program, to provide Tuki services, to comply with legal obligations or where your consent exists, as applicable. We distinguish between providers that process data on MARC's behalf (processors or subprocessors, acting under our instructions) and transfers in the strict sense (to third parties acting for their own purposes).

5.A · Encargados, subencargados y proveedores de servicios5.A · Processors, subprocessors and service providers

Los siguientes proveedores tratan datos por cuenta de MARC, bajo instrucciones documentadas y obligaciones contractuales de confidencialidad y protección de datos equivalentes a las establecidas en este Aviso. No utilizan sus datos para finalidades propias:The following providers process data on MARC's behalf, under documented instructions and contractual confidentiality and data protection obligations equivalent to those set out in this Notice. They do not use your data for their own purposes:

• Amazon Web Services, Inc. (AWS) — alojamiento, almacenamiento y cómputo (Estados Unidos).hosting, storage and computing (United States).
• Cloudflare, Inc. — entrega de contenido (CDN), seguridad y enrutamiento (Estados Unidos).content delivery (CDN), security and routing (United States).
• Resend, Inc. — entrega de correo transaccional por cuenta de MARC (Estados Unidos).transactional email delivery on MARC's behalf (United States).
• Proveedores de notificaciones push y analítica móvil (Firebase, Apple Push Notification Service, Google Cloud Messaging) — entrega de notificaciones y métricas operativas de aplicación.Push notification and mobile analytics providers (Firebase, Apple Push Notification Service, Google Cloud Messaging) — delivery of notifications and operational application metrics.

El tratamiento mediante herramientas de inteligencia artificial (Anthropic, PBC) se describe específicamente en la sección 5.C.Processing through artificial intelligence tools (Anthropic, PBC) is described specifically in section 5.C.

5.B · Transferencias propiamente dichas5.B · Transfers in the strict sense

MARC podrá transferir datos personales a los siguientes terceros, que los tratarán con finalidades propias bajo su propio régimen de privacidad o conforme a obligaciones legales:MARC may transfer personal data to the following third parties, which will process it for their own purposes under their own privacy regime or in accordance with legal obligations:

• Al Comercio del que usted es afiliado — para la operación del programa de lealtad, atención y derechos ARCO ejercidos directamente ante el Comercio. El Comercio es Responsable de los datos generados en su establecimiento.To the Business you are enrolled with — for the operation of the loyalty program, support and ARCO rights exercised directly before the Business. The Business is the Data Controller of the data generated at its establishment.
• Stripe, Inc. y Stripe Payments México — procesamiento de pagos cuando aplica; Stripe actúa como Responsable independiente bajo certificación PCI-DSS Level 1 (Estados Unidos / México).Stripe, Inc. and Stripe Payments México — payment processing where applicable; Stripe acts as an independent Data Controller under PCI-DSS Level 1 certification (United States / México).
• POS Providers (Soft Restaurant® y similares) — únicamente cuando es indispensable para coordinar la integración técnica del programa o escalar tickets de soporte.POS Providers (Soft Restaurant® and similar) — only when indispensable to coordinate the technical integration of the program or escalate support tickets.
• Asesores legales, contables, fiscales y auditores externos, sujetos a deberes de confidencialidad.External legal, accounting, tax advisors and auditors, subject to confidentiality duties.
• Sociedades controladoras, subsidiarias o afiliadas de MARC, así como entidades resultantes de operaciones corporativas (fusión, escisión, adquisición), siempre que asuman los compromisos del presente Aviso.Holding companies, subsidiaries or affiliates of MARC, as well as entities resulting from corporate transactions (merger, spin-off, acquisition), provided they assume the commitments of this Notice.
• Autoridades competentes, en los casos legalmente previstos.Competent authorities, in the cases provided for by law.

Las transferencias internacionales hacia Estados Unidos de América y otras jurisdicciones se realizan bajo cláusulas contractuales tipo o mecanismos equivalentes que garantizan un nivel adecuado de protección. Cualquier otra comunicación de datos distinta a las anteriores requerirá su consentimiento expreso cuando legalmente corresponda.International transfers to the United States of America and other jurisdictions are carried out under standard contractual clauses or equivalent mechanisms that guarantee an adequate level of protection. Any other disclosure of data other than the foregoing will require your express consent where legally applicable.

5.C · Tratamiento mediante herramientas de inteligencia artificial5.C · Processing through artificial intelligence tools

Cuando el Comercio utilice funcionalidades de análisis, reportes, predicciones, segmentaciones, recomendaciones, automatización o asistencia basadas en inteligencia artificial dentro de la plataforma Tuki (incluyendo Tukimetrics), MARC podrá procesar consultas, métricas y datos necesarios para generar la funcionalidad solicitada, principalmente a través del proveedor Anthropic, PBC (Estados Unidos), entendido como proveedor tecnológico de inteligencia artificial que tratará datos únicamente bajo instrucciones de MARC y para las finalidades habilitadas en Tuki/Tukimetrics, salvo que contractualmente actúe bajo un régimen distinto informado al titular.When the Business uses analysis, reporting, prediction, segmentation, recommendation, automation or assistance features based on artificial intelligence within the Tuki platform (including Tukimetrics), MARC may process queries, metrics and data necessary to generate the requested functionality, primarily through the provider Anthropic, PBC (United States), understood as an artificial intelligence technology provider that will process data solely under MARC's instructions and for the purposes enabled in Tuki/Tukimetrics, unless it contractually acts under a different regime disclosed to the data subject.

MARC se compromete a:MARC undertakes to:

• Procurar el uso de datos agregados, anonimizados o seudonimizados antes que datos personales identificables.Favor the use of aggregated, anonymized or pseudonymized data over identifiable personal data.
• No autorizar a los proveedores de IA a utilizar los datos personales de afiliados para entrenar modelos generales, conforme a las políticas comerciales pactadas con dichos proveedores.Not authorize AI providers to use enrollees' personal data to train general models, in accordance with the commercial policies agreed with those providers.
• Cuando sea necesario procesar datos personales identificables, limitar el tratamiento a lo estrictamente necesario para la finalidad informada al titular.When it is necessary to process identifiable personal data, limit processing to what is strictly necessary for the purpose disclosed to the data subject.
• Aplicar controles de minimización antes del envío de datos a herramientas de IA.Apply minimization controls before sending data to AI tools.

6 · Derechos ARCO6 · ARCO rights

Como titular de los datos personales, usted o su representante legal debidamente acreditado tiene derecho a:As the data subject, you or your duly accredited legal representative have the right to:

• Acceder a sus datos personales en posesión de MARC y conocer los detalles de su tratamiento.Access your personal data held by MARC and learn the details of its processing.
• Rectificar sus datos personales cuando sean inexactos, incompletos o estén desactualizados.Rectify your personal data when it is inaccurate, incomplete or outdated.
• Cancelar sus datos personales cuando considere que no se requieren para alguna finalidad legal, contractual o legítima.Cancel your personal data when you consider it is not required for any legal, contractual or legitimate purpose.
• Oponerse al tratamiento de sus datos para finalidades específicas.Object to the processing of your data for specific purposes.

Adicionalmente, usted puede revocar el consentimiento que en su caso haya otorgado, así como limitar el uso o divulgación de sus datos.Additionally, you may revoke the consent you may have granted, as well as limit the use or disclosure of your data.

7 · Procedimiento para ejercer derechos ARCO o revocación7 · Procedure to exercise ARCO rights or revocation

Para ejercer sus derechos ARCO o revocar su consentimiento, envíe una solicitud por escrito al correo privacidad@tukicard.com indicando lo siguiente. MARC funciona como ventanilla única: si la solicitud corresponde a un Comercio (donde MARC actúa como Encargado), MARC la canalizará al Comercio responsable y le asistirá técnicamente conforme al contrato aplicable.To exercise your ARCO rights or revoke your consent, send a written request to the email privacidad@tukicard.com stating the following. MARC acts as a single point of contact: if the request corresponds to a Business (where MARC acts as data processor), MARC will channel it to the Business as Data Controller and provide technical assistance in accordance with the applicable contract.

Su solicitud debe incluir:Your request must include:

• Nombre completo del titular y, en su caso, del representante legal, así como domicilio o medio para recibir la respuesta.Full name of the data subject and, where applicable, of the legal representative, as well as an address or means to receive the response.
• Documento que acredite la identidad del titular (copia de identificación oficial vigente) y, en su caso, la representación legal.A document proving the data subject's identity (copy of valid official ID) and, where applicable, legal representation.
• Descripción clara y precisa de los datos personales sobre los que busca ejercer el derecho y del derecho específico (acceso, rectificación, cancelación, oposición o revocación de consentimiento).A clear and precise description of the personal data over which you seek to exercise the right and of the specific right (access, rectification, cancellation, objection or revocation of consent).
• Cualquier otro elemento o documento que facilite la localización de los datos personales (número de afiliación, Comercio donde se inscribió, etc.).Any other element or document that facilitates locating the personal data (enrollment number, Business where you registered, etc.).
• Tratándose de solicitudes de rectificación, deberá adjuntar la documentación que sustente el cambio solicitado.In the case of rectification requests, you must attach the documentation supporting the requested change.

MARC dará respuesta a su solicitud dentro de los veinte (20) días hábiles siguientes a la fecha de recepción. Cuando la solicitud sea procedente, se hará efectiva dentro de los quince (15) días hábiles posteriores a la respuesta. Los plazos podrán ampliarse una sola vez por un periodo igual cuando las circunstancias lo justifiquen.MARC will respond to your request within twenty (20) business days following the date of receipt. Where the request is well-founded, it will take effect within fifteen (15) business days after the response. These periods may be extended once for an equal period when circumstances justify it.

El ejercicio de estos derechos es gratuito; únicamente deberá cubrir, en su caso, los gastos justificados de envío o reproducción.The exercise of these rights is free of charge; you will only need to cover, where applicable, justified shipping or reproduction costs.

MARC podrá negar el acceso a sus datos personales, su rectificación, cancelación u oposición, en los supuestos previstos por la LFPDPPP y su Reglamento, incluyendo cuando el solicitante no sea el titular o no acredite su representación, cuando los datos no se encuentren en su base de datos, cuando se lesionen derechos de un tercero, cuando exista impedimento legal o resolución de autoridad, o cuando la rectificación, cancelación u oposición ya se haya realizado.MARC may deny access to your personal data, or its rectification, cancellation or objection, in the cases provided for by the LFPDPPP and its Regulations, including when the applicant is not the data subject or does not prove their representation, when the data is not in its database, when the rights of a third party would be harmed, when there is a legal impediment or authority resolution, or when the rectification, cancellation or objection has already been carried out.

8 · Limitación del uso o divulgación de sus datos · Preferencias por canal8 · Limiting the use or disclosure of your data · Channel preferences

Usted puede limitar el uso o divulgación de sus datos personales solicitándolo por escrito al correo privacidad@tukicard.com. MARC mantiene una lista interna de exclusión de comunicaciones comerciales en la que lo inscribirá una vez recibida y procesada su solicitud.You may limit the use or disclosure of your personal data by requesting it in writing to the email privacidad@tukicard.com. MARC maintains an internal commercial-communications exclusion list in which it will enroll you once your request is received and processed.

Adicionalmente, en aplicaciones móviles y portales operados por Tuki usted podrá administrar por separado sus preferencias de cada canal de comunicación:Additionally, in mobile applications and portals operated by Tuki, you may manage your preferences for each communication channel separately:

• Correo electrónicoEmail
• SMSSMS
• WhatsApp u otras mensajeríasWhatsApp or other messaging
• Notificaciones push (apps y wallet)Push notifications (apps and wallet)
• Otros canales que se incorporen en el futuroOther channels added in the future

Las comunicaciones relacionadas con el programa de lealtad del Comercio podrán ser enviadas por el propio Comercio o por MARC/Tuki como proveedor tecnológico del Comercio. Las comunicaciones comerciales propias de MARC/Tuki se enviarán únicamente conforme a las finalidades secundarias y preferencias gestionadas en este Aviso.Communications related to the Business's loyalty program may be sent by the Business itself or by MARC/Tuki as the Business's technology provider. MARC/Tuki's own commercial communications will be sent solely in accordance with the secondary purposes and preferences managed in this Notice.

9 · Conservación9 · Retention

En cumplimiento del principio de proporcionalidad y minimización, MARC conservará sus datos personales conforme a plazos diferenciados según la naturaleza del dato:In compliance with the principles of proportionality and minimization, MARC will retain your personal data according to differentiated periods depending on the nature of the data:

Concluidos los plazos aplicables, los datos serán bloqueados y posteriormente suprimidos conforme a las políticas internas de retención y a los principios de finalidad, proporcionalidad y minimización.Once the applicable periods conclude, the data will be blocked and subsequently deleted in accordance with internal retention policies and the principles of purpose, proportionality and minimization.

10 · Medidas de seguridad10 · Security measures

MARC ha implementado medidas de seguridad administrativas, técnicas y físicas razonables para proteger sus datos personales contra daño, pérdida, alteración, destrucción, uso, acceso o tratamiento no autorizado, conforme a los principios y deberes establecidos en la LFPDPPP. Estas medidas incluyen, entre otras, cifrado en tránsito (TLS 1.2 o superior), cifrado en reposo para datos sensibles, controles de acceso por roles, auditoría de accesos, separación de ambientes, y respaldo periódico cifrado.MARC has implemented reasonable administrative, technical and physical security measures to protect your personal data against damage, loss, alteration, destruction, unauthorized use, access or processing, in accordance with the principles and duties established in the LFPDPPP. These measures include, among others, encryption in transit (TLS 1.2 or higher), encryption at rest for sensitive data, role-based access controls, access auditing, environment separation, and periodic encrypted backups.

Notificación de incidentes de seguridadSecurity incident notification

En caso de vulneración de seguridad que afecte de forma significativa los derechos patrimoniales o morales de los titulares, MARC notificará a los titulares afectados sin demora injustificada y, en la medida de lo posible, dentro de las 72 horas siguientes a que MARC confirme la vulneración o tenga elementos razonables para determinarla. La notificación incluirá, conforme esté disponible, la naturaleza del incidente, los datos potencialmente afectados, las medidas adoptadas y los puntos de contacto.In the event of a security breach that significantly affects the property or moral rights of the data subjects, MARC will notify the affected data subjects without undue delay and, to the extent possible, within 72 hours after MARC confirms the breach or has reasonable grounds to determine it. The notification will include, as available, the nature of the incident, the potentially affected data, the measures adopted and the contact points.

La notificación inicial podrá complementarse conforme avance la investigación. Cuando corresponda por ley, MARC notificará adicionalmente a la autoridad competente dentro de los plazos legalmente previstos.The initial notification may be supplemented as the investigation progresses. Where required by law, MARC will additionally notify the competent authority within the legally established periods.

10.bis · Datos anonimizados, agregados o disociados10.bis · Anonymized, aggregated or dissociated data

MARC podrá generar y utilizar información estadística, agregada, anonimizada o disociada derivada del uso de la plataforma Tuki, siempre que dicha información no permita identificar razonablemente a una persona física. Esta información podrá utilizarse para análisis internos, mejora del producto, benchmarking entre programas, reportes comerciales, inteligencia de mercado, modelos estadísticos y desarrollo de nuevas funcionalidades.MARC may generate and use statistical, aggregated, anonymized or dissociated information derived from the use of the Tuki platform, provided that such information does not reasonably allow a natural person to be identified. This information may be used for internal analysis, product improvement, benchmarking among programs, commercial reports, market intelligence, statistical models and development of new features.

Cuando dicha información se comparta externamente, MARC procurará que no permita identificar directa o razonablemente a titulares.When such information is shared externally, MARC will endeavor to ensure that it does not allow data subjects to be identified directly or reasonably.

MARC no intentará reidentificar información anonimizada o disociada, ni permitirá que terceros lo hagan, salvo por razones de seguridad, auditoría, cumplimiento legal o atención de incidentes conforme a la legislación aplicable.MARC will not attempt to re-identify anonymized or dissociated information, nor allow third parties to do so, except for reasons of security, audit, legal compliance or incident response in accordance with applicable law.

La información así generada deja de considerarse dato personal en los términos del artículo 3, fracción XVII de la LFPDPPP y, por tanto, no está sujeta a los derechos ARCO ni a los plazos de conservación de la sección 9.Information generated in this way ceases to be considered personal data under the terms of article 3, section XVII of the LFPDPPP and, therefore, is not subject to ARCO rights or the retention periods of section 9.

11 · Cookies, SDKs, identificadores publicitarios y seguimiento11 · Cookies, SDKs, advertising identifiers and tracking

Cuando visite el sitio web de Tuki, utilice nuestras aplicaciones móviles o billeteras digitales, podremos utilizar cookies, web beacons, SDKs de analítica, identificadores publicitarios (IDFA en iOS / AAID en Android) y tecnologías similares para recopilar información sobre su navegación, preferencias, autenticación, rendimiento y métricas de uso.When you visit the Tuki website, use our mobile applications or digital wallets, we may use cookies, web beacons, analytics SDKs, advertising identifiers (IDFA on iOS / AAID on Android) and similar technologies to collect information about your browsing, preferences, authentication, performance and usage metrics.

CategoríasCategories

Control desde su dispositivo: en aplicaciones móviles, usted puede limitar o revocar el seguimiento publicitario desde los ajustes del sistema operativo (Apple App Tracking Transparency en iOS, "Restablecer ID publicitario" o "Excluir personalización" en Android), independientemente de lo que configure dentro de Tuki.Control from your device: in mobile applications, you can limit or revoke advertising tracking from the operating system settings (Apple App Tracking Transparency on iOS, "Reset advertising ID" or "Opt out of personalization" on Android), regardless of what you configure within Tuki.

Adicionalmente, puede deshabilitar cookies no necesarias desde la configuración de su navegador, o desde el banner / centro de preferencias presente en el sitio o la aplicación. La desactivación de cookies necesarias puede limitar funcionalidades esenciales.Additionally, you can disable non-necessary cookies from your browser settings, or from the banner / preferences center present on the site or the application. Disabling necessary cookies may limit essential functionality.

12 · Cambios al presente Aviso12 · Changes to this Notice

MARC se reserva el derecho de modificar, actualizar, ampliar o adicionar el contenido del presente Aviso de Privacidad. Cualquier cambio será publicado en tukicard.com/privacidad indicando la fecha de su última actualización. Cuando los cambios sean sustanciales, le notificaremos adicionalmente por los medios de contacto que usted nos haya proporcionado (correo electrónico, notificación dentro de la aplicación o aviso destacado en el portal del programa).MARC reserves the right to modify, update, expand or add to the content of this Privacy Notice. Any change will be published at tukicard.com/privacidad indicating the date of its last update. When the changes are substantial, we will additionally notify you through the contact means you have provided to us (email, in-app notification or prominent notice on the program's portal).

13 · Autoridad de protección de datos13 · Data protection authority

Si considera que su derecho a la protección de datos personales ha sido vulnerado por alguna conducta u omisión de MARC, o presume alguna violación a las disposiciones aplicables, podrá acudir ante la Secretaría Anticorrupción y Buen Gobierno, a través de la autoridad competente en materia de protección de datos personales, o ante la autoridad que legalmente la sustituya o resulte competente. La información de contacto de la autoridad podrá consultarse en su sitio oficial.If you believe that your right to the protection of personal data has been violated by any conduct or omission of MARC, or presume any violation of the applicable provisions, you may turn to the Secretaría Anticorrupción y Buen Gobierno (Mexico's Secretariat of Anti-Corruption and Good Governance), through the authority competent in matters of personal data protection, or to the authority that legally replaces it or is competent. The authority's contact information can be consulted on its official site.

14 · Consentimiento14 · Consent

Al inscribirse al programa de lealtad de un Comercio que utiliza Tuki, al descargar e instalar una aplicación móvil operada por Tuki, al crear una cuenta en cualquier portal de Tuki, al agregar una tarjeta digital a su billetera, o al proporcionar sus datos personales por cualquier otro medio, usted manifiesta haber leído, entendido y aceptado los términos del presente Aviso de Privacidad, otorgando su consentimiento para el tratamiento de sus datos personales conforme a las finalidades primarias aquí descritas.By enrolling in the loyalty program of a Business that uses Tuki, by downloading and installing a mobile application operated by Tuki, by creating an account on any Tuki portal, by adding a digital card to your wallet, or by providing your personal data by any other means, you declare that you have read, understood and accepted the terms of this Privacy Notice, granting your consent to the processing of your personal data in accordance with the primary purposes described herein.

Respecto a las finalidades secundarias, usted podrá manifestar su negativa al tratamiento desde el momento en que se pone a su disposición este Aviso, o en cualquier momento posterior, a través de los siguientes mecanismos:With respect to the secondary purposes, you may object to processing from the moment this Notice is made available to you, or at any later time, through the following mechanisms:

• Centro de preferencias dentro de la aplicación Tuki o del portal del programa.Preferences center within the Tuki application or the program's portal.
• Correo electrónico a privacidad@tukicard.com.Email to privacidad@tukicard.com.
• Mecanismos de baja incluidos en cualquier comunicación comercial que reciba.Unsubscribe mechanisms included in any commercial communication you receive.

Cuando MARC solicite consentimiento expreso para finalidades específicas (por ejemplo, marketing directo, retargeting o cross-promoción multi-comercio), lo hará mediante casilla, toggle, banner o mecanismo equivalente que permita su manifestación clara e informada.When MARC requests express consent for specific purposes (for example, direct marketing, retargeting or multi-business cross-promotion), it will do so through a checkbox, toggle, banner or equivalent mechanism that allows a clear and informed expression.

Para cualquier duda o aclaración sobre el presente Aviso, escríbanos a privacidad@tukicard.com.For any question or clarification about this Notice, write to us at privacidad@tukicard.com.