Aviso de Privacidad para ComerciosPrivacy Notice for Businesses

1 · Identidad y domicilio del Responsable1 · Identity and address of the Data Controller

Mobile Ads and Rewards Corporation, S.A.P.I. de C.V. (en adelante "Tuki" o "MARC"), con domicilio en Calle 32 número 298, piso 3, colonia Montebello, C.P. 97113, Mérida, Yucatán, México, RFC MAR160524N62.Mobile Ads and Rewards Corporation, S.A.P.I. de C.V. (hereinafter "Tuki" or "MARC"), with address at Calle 32 No. 298, 3rd floor, Colonia Montebello, C.P. 97113, Mérida, Yucatán, Mexico, RFC MAR160524N62.

Para cualquier asunto relacionado con el presente Aviso, puede contactarnos en privacidad@tukicard.com.For any matter related to this Notice, you may contact us at privacidad@tukicard.com.

2 · ¿A quién aplica este Aviso?2 · Who does this Notice apply to?

Este Aviso aplica a las personas físicas o representantes de personas morales que contratan la plataforma Tuki en cualquiera de sus modalidades (Tuki, Tuki SC o Tuki BMP), así como a las personas físicas que las representan, operan el panel de administración o son contacto operativo durante la relación comercial con MARC (en adelante, los "Comercios").This Notice applies to the individuals or representatives of legal entities that contract the Tuki platform in any of its modalities (Tuki, Tuki SC, or Tuki BMP), as well as to the individuals who represent them, operate the administration panel, or act as operational contacts during the commercial relationship with MARC (hereinafter, the "Businesses").

Este Aviso es distinto al Aviso de Privacidad para Afiliados (clientes finales de los programas de lealtad) y al Aviso de Privacidad para Partners (canal indirecto), que tienen sus propias URLs accesibles.This Notice is distinct from the Privacy Notice for Affiliates (end customers of the loyalty programs) and the Privacy Notice for Partners (indirect channel), which have their own accessible URLs.

Cuando MARC trate datos de clientes finales del Comercio únicamente para operar el programa de lealtad que el Comercio le encargó, lo hará como Encargado del Comercio, conforme a las instrucciones documentadas del propio Comercio y a los términos pactados en el contrato. Sin embargo, cuando MARC trate datos de dichos clientes finales para finalidades propias del ecosistema Tuki —por ejemplo, cuenta Tuki cross-comercio, billetera digital, soporte directo al titular, seguridad de la plataforma, prevención de fraude o interoperabilidad entre comercios— MARC actuará como Responsable independiente conforme al Aviso de Privacidad para Afiliados.When MARC processes data of the Business's end customers solely to operate the loyalty program that the Business entrusted to it, it will do so as the Business's data processor, in accordance with the Business's own documented instructions and the terms agreed in the contract. However, when MARC processes data of such end customers for purposes of its own within the Tuki ecosystem —for example, cross-business Tuki account, digital wallet, direct support to the data subject, platform security, fraud prevention, or interoperability between businesses— MARC will act as an independent data controller in accordance with the Privacy Notice for Affiliates.

3 · Datos personales que recabamos3 · Personal data we collect

MARC podrá recabar y tratar las siguientes categorías de datos personales, de manera directa, indirecta o a través de fuentes de acceso público:MARC may collect and process the following categories of personal data, directly, indirectly, or through publicly accessible sources:

3.1 Datos del Comercio (persona moral o física)3.1 Business data (legal entity or individual)

• De identificación: denominación o razón social, nombre comercial, identificación oficial cuando es persona física con actividad empresarial.Identification: legal or corporate name, trade name, official identification when the subject is an individual with business activity.
• Fiscales: RFC, régimen fiscal, constancia de situación fiscal (CSF), uso de CFDI, datos de facturación, domicilio fiscal.Tax: RFC, tax regime, tax status certificate (CSF), CFDI usage, billing data, tax domicile.
• De contacto operativo: dirección comercial, correo electrónico institucional, teléfono, sitio web, redes sociales profesionales.Operational contact: business address, institutional email, phone, website, professional social media.
• Comerciales: giro, número y ubicación de sucursales, marcas que opera, POS Provider utilizado, volumen de operación, métricas del programa de lealtad.Commercial: line of business, number and location of branches, brands operated, POS Provider used, operating volume, loyalty program metrics.
• De pago: referencia del método de pago registrado en Stripe (no almacenamos el número de tarjeta completo ni el CVV, los cuales son procesados directamente por Stripe).Payment: reference of the payment method registered in Stripe (we do not store the full card number or the CVV, which are processed directly by Stripe).

3.2 Datos del representante legal y operadores3.2 Data of the legal representative and operators

• Del representante legal: nombre completo, RFC, cargo, identificación oficial vigente, datos del poder o documento que acredite la representación.Of the legal representative: full name, RFC, position, valid official identification, details of the power of attorney or document evidencing the representation.
• De los operadores del panel (personas que día a día usan Tuki en nombre del Comercio): nombre completo, correo electrónico, teléfono, puesto, identificador interno asignado.Of the panel operators (people who use Tuki on a day-to-day basis on behalf of the Business): full name, email, phone, position, assigned internal identifier.
• De los firmantes electrónicos del contrato y del Aviso de Privacidad: nombre, correo, fecha y hora de aceptación, dirección IP, user agent y demás datos previstos en el procedimiento de click-wrap.Of the electronic signatories of the contract and the Privacy Notice: name, email, date and time of acceptance, IP address, user agent, and other data provided for in the click-wrap procedure.

3.3 Datos técnicos y de uso3.3 Technical and usage data

• Registros de acceso al panel (logs de inicio de sesión, dirección IP, identificador de dispositivo, navegador).Panel access records (login logs, IP address, device identifier, browser).
• Configuraciones del programa, plantillas, contenidos cargados.Program settings, templates, uploaded content.
• Interacciones dentro de la herramienta Tukimetrics (consultas, reportes generados, plantillas guardadas).Interactions within the Tukimetrics tool (queries, generated reports, saved templates).
• Registros de tickets de soporte y comunicaciones con el equipo Tuki.Support ticket records and communications with the Tuki team.

4 · Finalidades del tratamiento4 · Purposes of the processing

a) Finalidades primarias (necesarias y dan origen a la relación)a) Primary purposes (necessary and giving rise to the relationship)

• Evaluar su solicitud de contratación, capacidad operativa y elegibilidad para el servicio Tuki.Evaluate your application to contract, operational capacity, and eligibility for the Tuki service.
• Formalizar, ejecutar y dar seguimiento al contrato de prestación de servicios.Formalize, perform, and follow up on the services agreement.
• Habilitar accesos al panel de administración, herramientas, módulos y aplicaciones de Tuki conforme al plan contratado.Enable access to the administration panel, tools, modules, and Tuki applications according to the contracted plan.
• Configurar el programa de lealtad: parametrización de niveles, recompensas, sucursales, branding, integraciones con el POS Provider.Configure the loyalty program: setup of tiers, rewards, branches, branding, integrations with the POS Provider.
• Cobrar la suscripción, setup fees y servicios adicionales mediante Stripe y emitir los CFDIs correspondientes.Charge the subscription, setup fees, and additional services via Stripe and issue the corresponding CFDIs.
• Brindar soporte técnico y comercial, atender solicitudes, tickets, reclamaciones y derechos ARCO.Provide technical and commercial support, handle requests, tickets, complaints, and ARCO rights.
• Operar las apps móviles (Tuki SC, Tuki BMP) sobre la marca del Comercio cuando aplique.Operate the mobile apps (Tuki SC, Tuki BMP) under the Business's brand where applicable.
• Analizar el uso de la plataforma, desempeño, errores, adopción de funcionalidades y métricas operativas, con el fin de mantener, mejorar, asegurar y optimizar los servicios contratados.Analyze platform usage, performance, errors, feature adoption, and operational metrics, in order to maintain, improve, secure, and optimize the contracted services.
• Cumplir con obligaciones legales, fiscales, contables, regulatorias y de auditoría aplicables a MARC.Comply with legal, tax, accounting, regulatory, and audit obligations applicable to MARC.
• Atender requerimientos de autoridades competentes y proteger los derechos e intereses legítimos de MARC.Respond to requests from competent authorities and protect MARC's rights and legitimate interests.

b) Finalidades secundarias (no necesarias para la relación; el titular puede manifestar su negativa)b) Secondary purposes (not necessary for the relationship; the data subject may object)

• Enviarle comunicaciones comerciales de Tuki: novedades de producto, casos de éxito, invitaciones a eventos, contenido educativo del programa.Send you Tuki commercial communications: product news, success stories, event invitations, educational program content.
• Realizar encuestas de satisfacción comerciales y estudios estadísticos para campañas o marketing.Conduct commercial satisfaction surveys and statistical studies for campaigns or marketing.
• Analizar patrones comerciales para identificar oportunidades de venta cruzada, venta adicional, campañas, eventos, contenido promocional o alianzas estratégicas.Analyze commercial patterns to identify cross-selling, up-selling, campaign, event, promotional content, or strategic alliance opportunities.
• Identificar oportunidades de cross-sell o up-sell de productos y servicios de MARC o de aliados estratégicos.Identify cross-sell or up-sell opportunities for products and services of MARC or strategic allies.
• Publicar el nombre, logotipo o referencia del Comercio en la sección de clientes de tukicard.com, redes sociales y materiales promocionales. El uso de marcas, logotipos, nombres comerciales, testimonios o casos de éxito podrá requerir autorización contractual o comercial adicional, independiente del presente Aviso.Publish the name, logo, or reference of the Business in the customers section of tukicard.com, on social media, and in promotional materials. The use of trademarks, logos, trade names, testimonials, or success stories may require additional contractual or commercial authorization, independent of this Notice.

Si no desea que sus datos sean tratados para alguna o todas las finalidades secundarias, puede manifestarlo en cualquier momento a través del correo privacidad@tukicard.com o desde el centro de preferencias del panel. La negativa al tratamiento para finalidades secundarias no podrá ser motivo para negar el servicio o concluir la relación con Tuki.If you do not want your data to be processed for any or all of the secondary purposes, you may state so at any time via the email privacidad@tukicard.com or from the panel's preference center. Objecting to processing for secondary purposes may not be grounds to deny the service or to terminate the relationship with Tuki.

5 · Acceso, comunicación y transferencias de datos5 · Access, disclosure, and transfers of data

MARC podrá compartir o dar acceso a sus datos personales con terceros únicamente en los supuestos permitidos por la legislación aplicable, cuando sea necesario para cumplir la relación jurídica con el Comercio, para la prestación de los servicios contratados, para el cumplimiento de obligaciones legales o cuando exista consentimiento del titular, según corresponda. Distinguimos a continuación entre proveedores que tratan datos por cuenta de MARC (encargados o subencargados, que actúan bajo nuestras instrucciones) y transferencias propiamente dichas (a terceros que actúan con finalidades propias).MARC may share or give access to your personal data with third parties only in the cases permitted by applicable law, when necessary to fulfill the legal relationship with the Business, for the provision of the contracted services, for compliance with legal obligations, or when the data subject consents, as applicable. Below we distinguish between providers that process data on MARC's behalf (data processors or sub-processors, acting under our instructions) and transfers in the strict sense (to third parties that act for their own purposes).

5.A · Encargados, subencargados y proveedores de servicios5.A · Data processors, sub-processors, and service providers

Los siguientes proveedores tratan datos por cuenta de MARC, bajo instrucciones documentadas y obligaciones contractuales de confidencialidad y protección de datos equivalentes a las establecidas en este Aviso. No utilizan sus datos para finalidades propias:The following providers process data on MARC's behalf, under documented instructions and contractual confidentiality and data-protection obligations equivalent to those set out in this Notice. They do not use your data for their own purposes:

• Amazon Web Services, Inc. (AWS) — alojamiento, almacenamiento, KMS y cómputo (Estados Unidos).Amazon Web Services, Inc. (AWS) — hosting, storage, KMS, and compute (United States).
• Cloudflare, Inc. — CDN, seguridad, Workers y enrutamiento (Estados Unidos).Cloudflare, Inc. — CDN, security, Workers, and routing (United States).
• Resend, Inc. — entrega de correo transaccional y comunicaciones por cuenta de MARC (Estados Unidos).Resend, Inc. — delivery of transactional email and communications on MARC's behalf (United States).
• Sanity, Inc. — gestión de contenidos públicos del sitio Tuki (Estados Unidos / Unión Europea).Sanity, Inc. — management of public content of the Tuki site (United States / European Union).
• Pipedrive OÜ — CRM interno para gestión comercial de MARC (Unión Europea).Pipedrive OÜ — internal CRM for MARC's commercial management (European Union).
• Google LLC (Workspace) — herramientas internas de productividad y colaboración (Estados Unidos).Google LLC (Workspace) — internal productivity and collaboration tools (United States).

El tratamiento mediante herramientas de inteligencia artificial (Anthropic, PBC) se describe específicamente en la sección 5.C.Processing by means of artificial intelligence tools (Anthropic, PBC) is described specifically in section 5.C.

5.B · Transferencias propiamente dichas5.B · Transfers in the strict sense

MARC podrá transferir datos personales a los siguientes terceros, que los tratarán con finalidades propias bajo su propio régimen de privacidad o conforme a obligaciones legales:MARC may transfer personal data to the following third parties, which will process it for their own purposes under their own privacy regime or in accordance with legal obligations:

• Stripe, Inc. y Stripe Payments México — procesamiento de pagos y emisión de comprobantes; Stripe actúa como Responsable independiente bajo certificación PCI-DSS Level 1 (Estados Unidos / México).Stripe, Inc. and Stripe Payments México — payment processing and issuance of receipts; Stripe acts as an independent data controller under PCI-DSS Level 1 certification (United States / Mexico).
• POS Providers con quienes integra el Comercio (Soft Restaurant® / National Soft, entre otros) — únicamente cuando exista intercambio de datos necesario para coordinar la integración técnica del programa o escalar tickets de soporte vinculados.POS Providers with which the Business integrates (Soft Restaurant® / National Soft, among others) — only when there is a data exchange necessary to coordinate the technical integration of the program or to escalate related support tickets.
• Partners del Tuki Partner Program que hayan referido al Comercio — únicamente datos estrictamente necesarios para el cálculo y pago de comisiones del Partner. Se detalla el alcance permitido en la sección 5.D.Partners of the Tuki Partner Program that have referred the Business — only data strictly necessary for the calculation and payment of the Partner's commissions. The permitted scope is detailed in section 5.D.
• Asesores legales, contables, fiscales y auditores externos, sujetos a deberes de confidencialidad.External legal, accounting, and tax advisors and auditors, subject to confidentiality duties.
• Instituciones bancarias y financieras, para la conciliación y reconciliación de pagos.Banking and financial institutions, for the reconciliation of payments.
• Sociedades controladoras, subsidiarias o afiliadas de MARC, así como entidades resultantes de operaciones corporativas (fusión, escisión, adquisición), siempre que asuman los compromisos del presente Aviso.MARC's holding companies, subsidiaries, or affiliates, as well as entities resulting from corporate transactions (merger, spin-off, acquisition), provided that they assume the commitments of this Notice.
• Autoridades competentes, en los casos legalmente previstos (SAT, autoridades judiciales y administrativas, entre otras).Competent authorities, in the cases legally provided for (SAT, judicial and administrative authorities, among others).

Las transferencias internacionales hacia Estados Unidos de América y otras jurisdicciones se realizan bajo cláusulas contractuales tipo o mecanismos equivalentes que garantizan un nivel adecuado de protección. Cualquier otra comunicación de datos distinta a las anteriores requerirá su consentimiento expreso cuando legalmente corresponda.International transfers to the United States of America and other jurisdictions are carried out under standard contractual clauses or equivalent mechanisms that guarantee an adequate level of protection. Any other disclosure of data other than the above will require your express consent where legally applicable.

5.C · Tratamiento mediante herramientas de inteligencia artificial5.C · Processing by means of artificial intelligence tools

Cuando el Comercio utilice funcionalidades de análisis, reportes, predicciones, segmentaciones, recomendaciones, automatización o asistencia basadas en inteligencia artificial dentro de la plataforma Tuki, incluyendo Tukimetrics, MARC podrá procesar consultas, instrucciones, métricas, reportes y datos necesarios para generar la funcionalidad solicitada, principalmente a través del proveedor Anthropic, PBC (Estados Unidos), entendido como proveedor tecnológico de inteligencia artificial que tratará datos únicamente bajo instrucciones de MARC y para las finalidades habilitadas en Tuki, salvo que contractualmente actúe bajo un régimen distinto informado al titular.When the Business uses analysis, reporting, prediction, segmentation, recommendation, automation, or assistance features based on artificial intelligence within the Tuki platform, including Tukimetrics, MARC may process the queries, instructions, metrics, reports, and data necessary to generate the requested feature, mainly through the provider Anthropic, PBC (United States), understood as an artificial intelligence technology provider that will process data solely under MARC's instructions and for the purposes enabled in Tuki, unless it contractually acts under a different regime disclosed to the data subject.

MARC se compromete a:MARC undertakes to:

• Procurar el uso de datos agregados, anonimizados, disociados, seudonimizados o minimizados antes que datos personales identificables.Seek to use aggregated, anonymized, dissociated, pseudonymized, or minimized data rather than identifiable personal data.
• Cuando sea necesario tratar datos personales identificables, limitar el tratamiento a lo estrictamente necesario para la finalidad informada, bajo controles de seguridad y minimización.When it is necessary to process identifiable personal data, limit the processing to what is strictly necessary for the stated purpose, under security and minimization controls.
• No autorizar a sus proveedores de inteligencia artificial a utilizar datos personales de Comercios, operadores o afiliados para entrenar modelos generales, salvo consentimiento expreso, instrucción documentada o habilitación legal aplicable.Not authorize its artificial intelligence providers to use personal data of Businesses, operators, or affiliates to train general models, except with express consent, documented instruction, or applicable legal authorization.
• Aplicar controles previos de minimización antes del envío de datos a herramientas de IA.Apply prior minimization controls before sending data to AI tools.

5.D · Alcance permitido de los datos compartidos con Partners5.D · Permitted scope of data shared with Partners

Cuando el Comercio haya sido referido por un Partner del Tuki Partner Program, MARC compartirá con dicho Partner únicamente la información estrictamente necesaria para el cálculo y pago de comisiones: nombre comercial del Comercio, plan contratado, fecha de activación, monto base comisionable, estatus de pago, fecha de cancelación cuando aplique, y métricas agregadas a nivel del Comercio.When the Business has been referred by a Partner of the Tuki Partner Program, MARC will share with that Partner only the information strictly necessary for the calculation and payment of commissions: the Business's trade name, contracted plan, activation date, commissionable base amount, payment status, cancellation date where applicable, and aggregated metrics at the Business level.

En ningún caso se compartirán con el Partner: datos personales de los clientes finales del Comercio (afiliados al programa), datos de consumo individual, información transaccional identificable, credenciales de acceso al panel, información bancaria completa, ni información fiscal no estrictamente necesaria para el pago de la comisión.In no case will the following be shared with the Partner: personal data of the Business's end customers (program affiliates), individual consumption data, identifiable transactional information, panel access credentials, full banking information, or tax information not strictly necessary for the payment of the commission.

6 · Derechos ARCO6 · ARCO rights

Como Comercio (titular o representante de los datos personales), usted tiene derecho a:As a Business (data subject or representative of the personal data), you have the right to:

• Acceder a sus datos personales en posesión de MARC y conocer los detalles de su tratamiento.Access your personal data held by MARC and learn the details of its processing.
• Rectificar sus datos personales cuando sean inexactos, incompletos o estén desactualizados.Rectify your personal data when it is inaccurate, incomplete, or out of date.
• Cancelar sus datos personales cuando considere que no se requieren para alguna finalidad legal, contractual o legítima.Cancel your personal data when you consider that it is not required for any legal, contractual, or legitimate purpose.
• Oponerse al tratamiento de sus datos para finalidades específicas.Object to the processing of your data for specific purposes.

Adicionalmente, puede revocar el consentimiento que en su caso haya otorgado, así como limitar el uso o divulgación de sus datos.Additionally, you may revoke the consent you may have granted, as well as limit the use or disclosure of your data.

7 · Procedimiento para ejercer derechos ARCO o revocación7 · Procedure to exercise ARCO rights or revocation

Para ejercer sus derechos ARCO o revocar su consentimiento, envíe una solicitud por escrito al correo privacidad@tukicard.com indicando:To exercise your ARCO rights or revoke your consent, send a written request to privacidad@tukicard.com indicating:

• Nombre completo del titular y, en su caso, del representante legal, así como domicilio o medio para recibir la respuesta.Full name of the data subject and, where applicable, of the legal representative, as well as the address or means to receive the response.
• Documento que acredite la identidad del titular (copia de identificación oficial vigente) y, en su caso, la representación legal (poder notarial o documento equivalente).A document evidencing the data subject's identity (copy of valid official identification) and, where applicable, the legal representation (notarial power of attorney or equivalent document).
• Descripción clara y precisa de los datos personales sobre los que busca ejercer el derecho y del derecho específico (acceso, rectificación, cancelación, oposición o revocación de consentimiento).A clear and precise description of the personal data over which you seek to exercise the right and of the specific right (access, rectification, cancellation, objection, or revocation of consent).
• Cualquier otro elemento o documento que facilite la localización de los datos personales (RFC del Comercio, fecha aproximada de contratación, etc.).Any other element or document that facilitates locating the personal data (the Business's RFC, approximate contracting date, etc.).
• Tratándose de solicitudes de rectificación, deberá adjuntar la documentación que sustente el cambio solicitado.In the case of rectification requests, you must attach the documentation supporting the requested change.

MARC dará respuesta a su solicitud dentro de los veinte (20) días hábiles siguientes a la fecha de recepción. Cuando la solicitud sea procedente, se hará efectiva dentro de los quince (15) días hábiles posteriores a la respuesta. Los plazos podrán ampliarse una sola vez por un periodo igual cuando las circunstancias lo justifiquen.MARC will respond to your request within twenty (20) business days following the date of receipt. When the request is well-founded, it will be made effective within fifteen (15) business days after the response. The periods may be extended once for an equal period when the circumstances justify it.

El ejercicio de estos derechos es gratuito; únicamente deberá cubrir, en su caso, los gastos justificados de envío o reproducción.The exercise of these rights is free of charge; you must only cover, where applicable, the justified costs of shipping or reproduction.

MARC podrá negar el acceso a sus datos personales, su rectificación, cancelación u oposición, en los supuestos previstos por la LFPDPPP y su Reglamento, incluyendo cuando el solicitante no sea el titular o no acredite su representación, cuando los datos no se encuentren en su base de datos, cuando se lesionen derechos de un tercero, cuando exista impedimento legal o resolución de autoridad, o cuando la rectificación, cancelación u oposición ya se haya realizado.MARC may deny access to your personal data, or its rectification, cancellation, or objection, in the cases provided for by the LFPDPPP and its Regulations, including when the applicant is not the data subject or does not evidence their representation, when the data is not in its database, when the rights of a third party would be harmed, when there is a legal impediment or an authority's resolution, or when the rectification, cancellation, or objection has already been carried out.

8 · Limitación del uso o divulgación de sus datos8 · Limitation of the use or disclosure of your data

Puede limitar el uso o divulgación de sus datos personales solicitándolo por escrito al correo privacidad@tukicard.com. MARC mantiene una lista interna de exclusión de comunicaciones comerciales en la que lo inscribirá una vez recibida y procesada su solicitud.You may limit the use or disclosure of your personal data by requesting it in writing to privacidad@tukicard.com. MARC maintains an internal exclusion list for commercial communications in which it will enroll you once your request has been received and processed.

9 · Conservación9 · Retention

En cumplimiento del principio de proporcionalidad y minimización, MARC conservará sus datos personales conforme a plazos diferenciados según la naturaleza del dato:In compliance with the principle of proportionality and minimization, MARC will retain your personal data according to differentiated periods based on the nature of the data:

Concluidos los plazos aplicables, los datos serán bloqueados y posteriormente suprimidos conforme a las políticas internas de retención y a los principios de finalidad, proporcionalidad y minimización.Once the applicable periods have elapsed, the data will be blocked and subsequently deleted in accordance with the internal retention policies and the principles of purpose, proportionality, and minimization.

10 · Medidas de seguridad10 · Security measures

MARC ha implementado medidas de seguridad administrativas, técnicas y físicas razonables para proteger sus datos personales contra daño, pérdida, alteración, destrucción, uso, acceso o tratamiento no autorizado, conforme a los principios y deberes establecidos en la LFPDPPP.MARC has implemented reasonable administrative, technical, and physical security measures to protect your personal data against damage, loss, alteration, destruction, and unauthorized use, access, or processing, in accordance with the principles and duties established in the LFPDPPP.

Medidas implementadas (no limitativas)Implemented measures (non-exhaustive)

• Cifrado en tránsito (TLS 1.2 o superior) en todos los servicios.Encryption in transit (TLS 1.2 or higher) across all services.
• Cifrado en reposo AES-256 con KMS gestionado para datos sensibles (CLABE bancarias, RFC, identificadores).AES-256 encryption at rest with managed KMS for sensitive data (bank CLABEs, RFC, identifiers).
• Llaves de cifrado separadas para PII general y datos financieros, con rotación periódica.Separate encryption keys for general PII and financial data, with periodic rotation.
• Control de acceso basado en roles (RBAC) con principio de mínimo privilegio.Role-based access control (RBAC) with the principle of least privilege.
• Registro de auditoría de accesos a datos sensibles.Audit logging of access to sensitive data.
• Separación de ambientes (producción, staging, desarrollo) con datos sintéticos en no-producción.Separation of environments (production, staging, development) with synthetic data in non-production.
• Respaldos cifrados con retención conforme a los plazos legales aplicables.Encrypted backups with retention in accordance with the applicable legal periods.
• Análisis periódicos de vulnerabilidades y respuesta documentada ante incidentes.Periodic vulnerability assessments and documented incident response.

Notificación de incidentes de seguridadNotification of security incidents

En caso de vulneración de seguridad ocurrida en cualquier fase del tratamiento que afecte de forma significativa los derechos patrimoniales o morales del Comercio, sus representantes u operadores, datos tratados por cuenta del Comercio, o la operación del programa, MARC notificará al Comercio sin demora injustificada y, en la medida de lo posible, dentro de las 72 horas siguientes a que MARC confirme la vulneración o tenga elementos razonables para determinarla. La notificación incluirá, conforme esté disponible, la naturaleza del incidente, los datos potencialmente afectados, las medidas adoptadas o propuestas, y los puntos de contacto para más información.In the event of a security breach occurring at any stage of the processing that significantly affects the economic or moral rights of the Business, its representatives or operators, data processed on behalf of the Business, or the operation of the program, MARC will notify the Business without undue delay and, to the extent possible, within the 72 hours following MARC's confirmation of the breach or its having reasonable grounds to determine it. The notification will include, as available, the nature of the incident, the potentially affected data, the measures adopted or proposed, and the contact points for further information.

La notificación inicial podrá complementarse conforme avance la investigación. Cuando corresponda por ley, MARC notificará adicionalmente a la autoridad competente dentro de los plazos legalmente previstos.The initial notification may be supplemented as the investigation progresses. Where required by law, MARC will additionally notify the competent authority within the legally provided periods.

11 · Obligaciones del Comercio respecto a sus representantes, operadores y empleados11 · Obligations of the Business regarding its representatives, operators, and employees

El Comercio reconoce que, al utilizar la plataforma Tuki, proporciona a MARC datos personales de sus representantes legales, empleados, colaboradores u operadores autorizados del panel.The Business acknowledges that, by using the Tuki platform, it provides MARC with personal data of its legal representatives, employees, collaborators, or authorized panel operators.

El Comercio declara que cuenta con las bases legales, autorizaciones y avisos de privacidad necesarios para proporcionar a MARC dichos datos personales y se obliga a informar oportunamente a tales personas sobre el tratamiento de sus datos conforme al presente Aviso, incluyendo la posibilidad de que dichos datos se transfieran a los terceros señalados en la sección 5.The Business declares that it has the necessary legal bases, authorizations, and privacy notices to provide MARC with such personal data and undertakes to inform such persons in a timely manner about the processing of their data in accordance with this Notice, including the possibility that such data may be transferred to the third parties indicated in section 5.

MARC procurará la minimización en la recolección de datos de identificación oficial (por ejemplo, INE de representantes legales) y se reserva el derecho de aceptar versiones testadas o con datos parcialmente ocluidos cuando ello sea suficiente para acreditar identidad o representación.MARC will seek minimization in the collection of official identification data (for example, the INE of legal representatives) and reserves the right to accept redacted versions or versions with partially obscured data when this is sufficient to evidence identity or representation.

12 · Datos anonimizados, agregados o disociados12 · Anonymized, aggregated, or dissociated data

MARC podrá generar y utilizar información estadística, agregada, anonimizada o disociada derivada del uso de la plataforma Tuki, siempre que dicha información no permita identificar razonablemente a una persona física. Esta información podrá utilizarse para análisis internos, mejora del producto, benchmarking entre programas o clientes, reportes comerciales, inteligencia de mercado, modelos estadísticos y desarrollo de nuevas funcionalidades.MARC may generate and use statistical, aggregated, anonymized, or dissociated information derived from the use of the Tuki platform, provided that such information does not reasonably allow identifying an individual. This information may be used for internal analysis, product improvement, benchmarking across programs or clients, commercial reports, market intelligence, statistical models, and the development of new features.

Cuando dicha información se comparta externamente, MARC procurará que no revele información confidencial individualizada de un Comercio ni permita identificar directa o razonablemente a titulares.When such information is shared externally, MARC will seek to ensure that it does not reveal individualized confidential information of a Business or allow directly or reasonably identifying data subjects.

MARC no intentará reidentificar información anonimizada o disociada, ni permitirá que terceros lo hagan, salvo por razones de seguridad, auditoría, cumplimiento legal o atención de incidentes conforme a la legislación aplicable.MARC will not attempt to re-identify anonymized or dissociated information, nor will it allow third parties to do so, except for reasons of security, audit, legal compliance, or incident response in accordance with applicable law.

La información así generada deja de considerarse dato personal en los términos del artículo 3, fracción XVII de la LFPDPPP y, por tanto, no está sujeta a los derechos ARCO ni a los plazos de conservación de la sección 9.Information generated in this way ceases to be considered personal data under the terms of article 3, section XVII of the LFPDPPP and is therefore not subject to ARCO rights or to the retention periods in section 9.

13 · Uso de cookies y tecnologías similares13 · Use of cookies and similar technologies

El panel de administración Tuki (mytukicard.com) y los sitios web relacionados utilizan cookies y tecnologías similares con las siguientes finalidades:The Tuki administration panel (mytukicard.com) and related websites use cookies and similar technologies for the following purposes:

El panel operativo (mytukicard.com) no utiliza cookies de marketing de terceros. Las cookies de marketing aplican únicamente al sitio público tukicard.com y se gestionan mediante el banner de consentimiento del sitio.The operational panel (mytukicard.com) does not use third-party marketing cookies. Marketing cookies apply only to the public site tukicard.com and are managed through the site's consent banner.

Cuando técnicamente sea posible, podrá configurar sus preferencias de cookies analíticas y funcionales desde un centro de preferencias dentro del propio panel o sitio. Adicionalmente, podrá deshabilitar el uso de cookies no necesarias desde la configuración de su navegador. La desactivación de cookies necesarias puede limitar funcionalidades esenciales.Where technically possible, you may configure your analytics and functional cookie preferences from a preference center within the panel or site itself. Additionally, you may disable the use of non-necessary cookies from your browser settings. Disabling necessary cookies may limit essential functionalities.

14 · Cambios al presente Aviso14 · Changes to this Notice

MARC se reserva el derecho de modificar, actualizar, ampliar o adicionar el contenido del presente Aviso de Privacidad. Cualquier cambio será publicado en tukicard.com/privacidadcomercios indicando la fecha de su última actualización. Cuando los cambios sean sustanciales, le notificaremos adicionalmente por correo electrónico al contacto registrado, mediante un aviso destacado en el panel de administración, o por ambos medios, con al menos treinta (30) días naturales de anticipación.MARC reserves the right to modify, update, expand, or add to the content of this Privacy Notice. Any change will be published at tukicard.com/privacidadcomercios indicating the date of its last update. When the changes are substantial, we will additionally notify you by email to the registered contact, through a prominent notice in the administration panel, or by both means, at least thirty (30) calendar days in advance.

15 · Autoridad de protección de datos15 · Data protection authority

Si considera que su derecho a la protección de datos personales ha sido vulnerado por alguna conducta u omisión de MARC, o presume alguna violación a las disposiciones aplicables, podrá acudir ante la Secretaría Anticorrupción y Buen Gobierno, a través de la autoridad competente en materia de protección de datos personales, o ante la autoridad que legalmente la sustituya o resulte competente. La información de contacto de la autoridad podrá consultarse en su sitio oficial.If you consider that your right to the protection of personal data has been violated by any conduct or omission of MARC, or you presume any breach of the applicable provisions, you may turn to the Secretaría Anticorrupción y Buen Gobierno (Secretariat of Anti-Corruption and Good Governance), through the authority with competence in matters of personal data protection, or before the authority that legally replaces it or becomes competent. The authority's contact information may be consulted on its official website.

16 · Consentimiento16 · Consent

Al contratar la plataforma Tuki —ya sea a través del checkout en línea, formulario, contrato firmado físicamente o cualquier otro medio— usted manifiesta haber leído, entendido y aceptado los términos del presente Aviso de Privacidad, otorgando su consentimiento para el tratamiento de sus datos personales conforme a las finalidades primarias aquí descritas.By contracting the Tuki platform —whether through the online checkout, a form, a physically signed contract, or any other means— you state that you have read, understood, and accepted the terms of this Privacy Notice, granting your consent to the processing of your personal data in accordance with the primary purposes described herein.

La aceptación electrónica del Aviso (click-wrap), cuando corresponda, queda registrada con fecha, hora, dirección IP, user agent y hash del documento aceptado, conforme a los artículos 89 a 95 del Código de Comercio y a la NOM-151-SCFI-2016. Esta evidencia se conserva de forma inmutable.The electronic acceptance of the Notice (click-wrap), where applicable, is recorded with the date, time, IP address, user agent, and hash of the accepted document, in accordance with articles 89 to 95 of the Código de Comercio (Commercial Code) and NOM-151-SCFI-2016. This evidence is kept immutably.

Respecto a las finalidades secundarias, el titular podrá manifestar su negativa para el tratamiento de sus datos personales para tales finalidades desde el momento en que se pone a su disposición el presente Aviso, o en cualquier momento posterior, a través del correo privacidad@tukicard.com o del centro de preferencias disponible en el panel de administración. La negativa al tratamiento para finalidades secundarias no afectará el servicio contratado.With respect to the secondary purposes, the data subject may state their refusal for the processing of their personal data for such purposes from the moment this Notice is made available to them, or at any time thereafter, via the email privacidad@tukicard.com or the preference center available in the administration panel. Refusal of processing for secondary purposes will not affect the contracted service.

Para cualquier duda o aclaración sobre el presente Aviso, escríbanos a privacidad@tukicard.com.For any question or clarification about this Notice, write to us at privacidad@tukicard.com.