Política de Privacidad
Última actualización: 19 de mayo de 2026
1. Identidad y domicilio del Responsable
Grupo Empresarial Alpha-Higgs S.A. de C.V. (en adelante "Voltoch" o "el Responsable"), con domicilio en Jordan 1512, Col. Mitras Centro, Monterrey, Nuevo León, C.P. 64460, México, es responsable del tratamiento de sus datos personales recopilados a través del servicio "Atribuye" (en adelante "el Servicio") accesible en https://atribuye.com.
Para cualquier consulta o ejercicio de derechos relacionados con sus datos personales: hola@atribuye.com
2. Qué es Atribuye y qué datos procesa
Atribuye es una plataforma SaaS B2B que conecta los datos de ventas y conversiones de nuestros Clientes (empresas anunciantes) con la API de Conversiones de Meta (Meta CAPI), permitiendo optimizar campañas publicitarias basadas en conversiones reales.
Distinguimos dos categorías de datos personales:
a) Datos del Cliente (cuenta Atribuye)
Cuando una empresa contrata Atribuye, recopilamos:
- Nombre y apellido del usuario administrador
- Correo electrónico corporativo
- Contraseña (cifrada con bcrypt vía Supabase Auth)
- Nombre de la organización y datos fiscales
- Tokens de acceso a Meta Ads (cifrados en almacén seguro tipo Vault)
- Información de facturación cuando aplique (RFC, dirección fiscal)
b) Datos de Usuarios Finales del Cliente (data de conversiones)
Cuando un Cliente sube su archivo de ventas o conecta su CRM, procesamos datos personales de los usuarios finales de ese Cliente:
- Número telefónico (formato E.164)
- Correo electrónico
- Nombre y apellido
- Ciudad y país
- Identificador interno del CRM
- Fecha y monto de la conversión
Importante: Estos datos personales NUNCA se almacenan en texto plano en nuestros servidores. Inmediatamente al recibirlos, se aplica el algoritmo de hash criptográfico SHA-256 antes de cualquier persistencia. Solo el hash se guarda. Esta práctica cumple con los requerimientos de Meta CAPI y minimiza riesgo de exposición en caso de incidente.
Datos personales sensibles
Atribuye NO procesa datos personales sensibles según la definición del artículo 3 fracción VI de la LFPDPPP (datos relacionados con origen racial o étnico, estado de salud presente o futuro, información genética, creencias religiosas o filosóficas, afiliación sindical, opiniones políticas, preferencia sexual, etc.). El Servicio está diseñado para procesar exclusivamente datos identificativos y de contacto para fines de atribución publicitaria.
3. Finalidades del tratamiento y base legal
Conforme al artículo 6 del Reglamento General de Protección de Datos (GDPR), cada finalidad de tratamiento se ampara en una base legal específica:
Finalidades primarias (necesarias para el Servicio):
| # | Finalidad | Base legal |
|---|---|---|
| 1 | Crear y mantener la cuenta del Cliente | Ejecución de contrato (Art. 6.1.b GDPR) |
| 2 | Procesar datos de conversiones del Cliente y enviarlos hasheados a Meta CAPI | Ejecución de contrato + interés legítimo (Art. 6.1.b y 6.1.f GDPR) |
| 3 | Calcular métricas de atribución y mostrarlas en el dashboard del Cliente | Ejecución de contrato (Art. 6.1.b GDPR) |
| 4 | Emitir facturas y procesar pagos cuando aplique | Obligación legal (Art. 6.1.c GDPR) |
| 5 | Enviar comunicaciones operacionales (avisos de servicio, cambios técnicos) | Interés legítimo (Art. 6.1.f GDPR) |
| 6 | Cumplir obligaciones fiscales mexicanas | Obligación legal (Art. 6.1.c GDPR) |
| 7 | Detectar fraude, uso indebido y proteger la seguridad del Servicio | Interés legítimo (Art. 6.1.f GDPR) |
Finalidades secundarias (requieren consentimiento expreso):
| # | Finalidad | Base legal |
|---|---|---|
| 1 | Enviar comunicaciones de marketing sobre nuevas funcionalidades | Consentimiento (Art. 6.1.a GDPR) |
| 2 | Realizar encuestas de satisfacción | Consentimiento (Art. 6.1.a GDPR) |
Usted puede negarse al tratamiento para finalidades secundarias en cualquier momento enviando un correo a hola@atribuye.com.
4. Transferencias de datos personales
Para operar el Servicio, transferimos datos personales a los siguientes encargados ("sub-procesadores"), quienes están contractualmente obligados a proteger sus datos:
| Encargado | Finalidad | Ubicación de servidores |
|---|---|---|
| Vercel Inc. | Hosting de la aplicación | Estados Unidos / Unión Europea |
| Supabase Inc. | Base de datos, autenticación, almacenamiento de tokens cifrados | Estados Unidos |
| Meta Platforms Inc. | Recepción de eventos de conversión (datos ya hasheados SHA-256) | Estados Unidos |
| Resend Inc. | Envío de correos transaccionales | Estados Unidos |
| Functional Software Inc. (Sentry) | Monitoreo de errores y logs técnicos del Servicio | Estados Unidos |
Transferencias internacionales
Para titulares de datos residentes en el Espacio Económico Europeo (EEE) o en Reino Unido, las transferencias de datos personales hacia Estados Unidos se realizan al amparo de:
- EU-US Data Privacy Framework (para encargados certificados como adheridos al marco), y/o
- Cláusulas Contractuales Tipo (Standard Contractual Clauses) aprobadas por la Comisión Europea, en su versión vigente al momento de cada transferencia
Estas salvaguardas garantizan un nivel de protección equivalente al exigido por el GDPR.
Eliminación a solicitud del titular en sistemas de Meta
A solicitud expresa del titular, Voltoch ejecuta la API de Eliminación de Eventos de Meta para remover datos previamente enviados a Meta CAPI. El procedimiento detallado se describe en https://atribuye.com/data-deletion.
Lo que NO hacemos
No vendemos, alquilamos ni comercializamos sus datos personales con terceros para fines publicitarios o de monetización. No utilizamos sus datos para entrenar modelos de inteligencia artificial ajenos al Servicio.
5. Plazos de conservación
Conservamos sus datos personales solo por el tiempo necesario para cumplir las finalidades señaladas. Específicamente:
- Datos de la cuenta del Cliente: mientras la cuenta esté activa más 6 meses después de la cancelación
- Datos de conversiones hasheados: 18 meses desde la fecha del evento
- Logs operacionales del sistema: 90 días
- Registro de solicitudes de derechos ARCO: 5 años (cumplimiento legal mexicano)
- Información fiscal (facturas): 5 años por requisito de SAT
Vencidos estos plazos, los datos se eliminan o se anonimizan irreversiblemente.
6. Derechos del titular
6.1 Derechos ARCO (LFPDPPP)
Como titular de datos personales conforme a la LFPDPPP, usted tiene derecho a:
- Acceso (A): conocer qué datos suyos tenemos y cómo los tratamos
- Rectificación (R): corregir datos inexactos o incompletos
- Cancelación (C): solicitar la eliminación de sus datos cuando ya no sea necesario conservarlos
- Oposición (O): oponerse al tratamiento para fines específicos
6.2 Derechos adicionales bajo GDPR
Si usted reside en la Unión Europea, además tiene derecho a:
- Portabilidad de datos: recibir sus datos en formato estructurado y reutilizable
- Limitación del tratamiento: restringir cómo se procesan sus datos en circunstancias específicas
- No ser sometido a decisiones automatizadas con efectos jurídicos significativos
- Retirar el consentimiento en cualquier momento cuando el tratamiento se base en él, sin que ello afecte la licitud del tratamiento realizado previamente al retiro
- Presentar reclamación ante la autoridad de protección de datos de su país
6.3 Mecanismos para limitar uso o divulgación
Conforme al artículo 16 de la LFPDPPP, usted puede solicitar limitar el uso o divulgación de sus datos personales sin necesidad de cancelar la cuenta o el tratamiento completo. Para ejercer este derecho, envíe un correo a hola@atribuye.com indicando:
- Las finalidades específicas a las que NO desea consentir
- El alcance de la limitación (parcial o total para esa finalidad)
- Sus datos identificativos para localizar su registro
Voltoch atenderá la solicitud en un plazo máximo de 20 días hábiles, y a partir de la limitación se abstendrá de utilizar sus datos para las finalidades restringidas.
6.4 Cómo ejercer estos derechos
Envíe un correo a hola@atribuye.com con:
- Su nombre completo y datos de contacto
- Identificación oficial vigente (INE, pasaporte, o equivalente)
- Descripción clara y precisa del derecho que desea ejercer
- Los datos personales sobre los cuales aplica su solicitud
- Cualquier otro documento que facilite la localización de sus datos
Responderemos en un plazo máximo de 20 días hábiles. Si la solicitud requiere acciones técnicas por parte de Voltoch (por ejemplo, modificar configuraciones), la respuesta podrá tomar hasta 15 días hábiles adicionales.
El ejercicio de estos derechos es gratuito. Solo se cobrarán los costos justificados de envío o reproducción si se solicita un soporte físico.
7. Cookies y tecnologías similares
Atribuye utiliza exclusivamente cookies esenciales de sesión para mantener la autenticación del usuario durante el uso del Servicio. Estas cookies:
- Son operadas por Supabase Auth (nuestro proveedor de autenticación)
- Se eliminan al cerrar sesión o expiran después de 7 días de inactividad
- No se utilizan para rastreo publicitario ni para construir perfiles del usuario
No utilizamos cookies de terceros para publicidad, analytics o tracking. Si en el futuro implementamos cookies adicionales, se actualizará esta política y se solicitará el consentimiento correspondiente conforme a la legislación aplicable.
8. Medidas de seguridad
Implementamos medidas administrativas, técnicas y físicas razonables para proteger sus datos personales, incluyendo:
- Cifrado en tránsito (TLS 1.3)
- Hash SHA-256 de datos personales sensibles antes de persistencia
- Cifrado en reposo de credenciales y tokens (Supabase Vault)
- Control de acceso basado en roles y políticas Row-Level Security
- Registro de auditoría de acciones administrativas
- Backups encriptados con retención limitada
En caso de incidente de seguridad que afecte sus datos personales, notificaremos a los titulares y a las autoridades competentes conforme lo exija la ley aplicable.
9. Cambios a este Aviso
Voltoch puede actualizar este Aviso de Privacidad cuando lo requiera la operación del Servicio o cambios legales. Los cambios entrarán en vigor a partir de su publicación en https://atribuye.com/privacy. Para cambios sustanciales, notificaremos al correo del titular registrado.
10. Consentimiento
Al utilizar el Servicio Atribuye, usted reconoce haber leído este Aviso de Privacidad y otorga su consentimiento expreso para el tratamiento de sus datos personales conforme a lo aquí descrito.
11. Autoridad de protección de datos
México: Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) — https://home.inai.org.mx
Unión Europea: la autoridad de protección de datos del Estado miembro de su residencia. Lista disponible en https://edpb.europa.eu/about-edpb/board/members_en
12. Cumplimiento con Meta Platform Terms
Voltoch cumple con los Términos de Plataforma de Meta (Meta Platform Terms) y las políticas de uso aceptable de la API de Conversiones de Meta. El procesamiento de datos personales para fines de atribución publicitaria se realiza conforme a las directrices publicadas por Meta en https://developers.facebook.com/docs/marketing-api/conversions-api.