Aviso de Privacidad Integral

1. Responsable y alcance

La persona física o moral que opera Theta y decide sobre el tratamiento de datos es la responsable. Su nombre legal y domicilio deben añadirse a este aviso; mientras tanto, las solicitudes pueden enviarse a info@theta.mx. Este aviso cubre theta.mx, las aplicaciones de Theta, reservas, sesiones, tienda, pagos y atención al cliente.

Este aviso se emite conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y demás disposiciones mexicanas aplicables. También describe las prácticas exigidas para transparentar el tratamiento de datos ante Apple App Store y Google Play.

2. Datos personales que podemos tratar

Según la función que utilices, podemos recopilar:

• Identificación y contacto: nombre, fecha de nacimiento, edad, correo, teléfono, domicilio, país, contacto de emergencia y, cuando sea necesario para asistir a un retiro, imagen de una identificación oficial con fotografía, tipo de documento, número, vigencia y datos visibles en éste;
• Cuenta y comunicación: credenciales protegidas, preferencias, solicitudes, mensajes, soporte y evidencia de aceptación de avisos y términos;
• Reservación y servicio: retiro elegido, fechas, asistentes, itinerario, alojamiento, transporte, preferencias alimentarias, accesibilidad e incidencias;
• Transacción: importe, moneda, referencia, estado, método general de pago, reembolsos y prevención de fraude. Mercado Pago procesa los datos completos de tarjeta; Theta no debe recibir ni almacenar el número completo o código de seguridad;
• Datos técnicos: dirección IP, identificadores de dispositivo o aplicación, sistema operativo, idioma, zona horaria, registros de acceso, fallos, seguridad y uso de funciones;
• Contenido opcional: fotografías, video, audio, reseñas o testimonios que decidas compartir.

No recopilaremos contactos, inventario de otras aplicaciones, mensajes, llamadas, ubicación precisa, cámara, micrófono, fotografías, calendario, datos de salud del dispositivo ni identificadores publicitarios salvo que una función concreta lo necesite, se explique antes y otorgues el permiso correspondiente. Negar un permiso opcional no impedirá usar las funciones que no lo requieran.

3. Datos personales sensibles

Para protegerte durante un retiro podemos solicitar datos de salud presente o futura, alergias, restricciones alimentarias vinculadas con salud o creencias, embarazo, discapacidad, movilidad, medicación, condiciones emocionales y necesidades de atención. Estos datos son sensibles.

Su tratamiento se limitará a evaluar ajustes razonables, seguridad, alimentación, atención de emergencias y cumplimiento de obligaciones relacionadas con el retiro. Salvo una excepción legal o una emergencia, Theta obtendrá consentimiento expreso y por escrito —incluida firma electrónica o mecanismo de autenticación válido— antes de tratarlos. No se utilizarán datos de salud o bienestar para publicidad, perfiles comerciales ni venta a terceros.

4. Finalidades necesarias

Los datos serán utilizados para:

• crear y administrar, cuando exista, una cuenta de usuario;
• cotizar, reservar, cobrar mediante Mercado Pago, confirmar y prestar retiros, sesiones y experiencias;
• gestionar alojamiento, transporte, alimentación, accesibilidad, soporte, cancelaciones, reembolsos y facturación;
• verificar identidad, prevenir fraude, mantener la seguridad de la plataforma y conservar evidencia contractual;
• proteger la salud y seguridad del grupo, responder a incidentes y contactar servicios de emergencia;
• cumplir obligaciones fiscales, contables, turísticas, sanitarias, de protección civil y requerimientos de autoridad;
• atender derechos de privacidad, reclamaciones y controversias.

Cuando solicitemos datos indispensables para una reservación, no proporcionarlos puede impedir que confirmemos o adaptemos el servicio de forma segura.

5. Finalidades opcionales y cómo rechazarlas

Con consentimiento separado, podremos enviar promociones, encuestas, novedades o invitaciones, realizar analítica no esencial y publicar material audiovisual o testimonios. Estas finalidades no son necesarias para recibir el servicio.

Puedes rechazarlas desde el control mostrado al recopilar los datos, desde las preferencias de la aplicación, mediante el enlace de baja de cada mensaje o escribiendo a info@theta.mx. Retirar este consentimiento no afectará una reservación ya contratada ni tendrá efectos retroactivos.

6. Cómo obtenemos los datos y consentimiento

Obtenemos datos directamente de ti mediante el sitio, la aplicación, formularios, llamadas, WhatsApp, correo, pagos y actividades presenciales; automáticamente mediante tecnologías necesarias de operación y seguridad; o de la persona que hace una reservación grupal, proveedores autorizados y Mercado Pago cuando sea necesario completar el servicio.

Antes de una recopilación sensible o inesperada, la aplicación mostrará una explicación visible de qué dato se solicita, para qué se usará y con quién se compartirá, y solicitará una acción afirmativa antes del permiso del sistema. Una finalidad nueva o incompatible requerirá un aviso actualizado y, cuando corresponda, nuevo consentimiento.

7. Mercado Pago y datos financieros

Mercado Pago procesa los datos financieros y de autenticación necesarios para cobrar servicios físicos consumidos fuera de la aplicación. Theta normalmente recibe sólo la referencia de operación, importe, moneda, método general, pagador, estado, comprobante, reembolso e indicadores de riesgo necesarios para conciliar y proteger la transacción.

El tratamiento realizado directamente por Mercado Pago se rige también por sus propios términos y aviso de privacidad. Theta utilizará integraciones seguras para evitar que el número completo de tarjeta y el código de seguridad lleguen a sus servidores, y no reutilizará información de pago para publicidad.

8. Verificación de identidad y resguardo temporal de identificación

Para verificar que la persona que se presenta al retiro sea la misma que realizó o recibió la reservación, Theta podrá solicitar, después de confirmar la reservación y antes del ingreso, una copia legible de una identificación oficial vigente con fotografía. Esta verificación de identidad se denomina “KYC” únicamente de manera descriptiva; no es una revisión financiera ni implica que Theta sea una institución regulada.

La copia y los datos visibles se utilizarán exclusivamente para:

• comparar la identidad de la persona asistente con la reservación y prevenir suplantación o acceso no autorizado;
• identificar y auxiliar a la persona en una emergencia, evacuación, extravío o reporte de desaparición;
• proteger a participantes, personal e instalaciones ante una incidencia concreta de seguridad; y
• responder a una solicitud de autoridad competente que esté debidamente fundada y motivada, o a una emergencia permitida por la ley.

La identificación no se utilizará para publicidad, perfiles comerciales, reconocimiento facial, entrenamiento de sistemas de inteligencia artificial ni consultas indiscriminadas a bases externas. No se hará pública ni se entregará automáticamente a terceros. Cuando baste verificarla visualmente, Theta registrará el resultado y evitará conservar una copia completa.

Cuando sea indispensable conservarla, se solicitará mediante un canal cifrado, con aviso visible y consentimiento afirmativo antes de la carga. El acceso quedará limitado al personal expresamente autorizado para privacidad y seguridad. La copia se eliminará de manera segura a más tardar treinta días naturales después de concluir el retiro, salvo que exista un incidente, solicitud válida de autoridad, controversia u obligación legal; en ese caso quedará bloqueada y se conservará sólo hasta que termine la causa aplicable.

La exigencia de identificación y su plazo de conservación se informarán antes del pago. Si una persona no desea entregarla, puede escribir a info@theta.mx para solicitar una alternativa razonable de verificación. Cuando la identificación sea objetivamente indispensable para la seguridad del retiro y no exista alternativa adecuada, Theta podrá negar el acceso conforme a la política previamente aceptada y a los derechos del consumidor.

9. Encargados, terceros y transferencias

Podemos permitir acceso limitado a proveedores que tratan datos por instrucciones de Theta, como alojamiento en la nube, mensajería, soporte, seguridad, analítica de fallos y administración de reservaciones. Deberán guardar confidencialidad, usar los datos sólo para el servicio contratado, aplicar medidas de seguridad y ofrecer una protección equivalente a la descrita en este aviso.

Podemos transferir los datos necesarios a Mercado Pago; hoteles, transportistas, guías o facilitadores que intervengan en la reservación; aseguradoras o servicios de emergencia; asesores sujetos a confidencialidad; Apple o Google cuando sus servicios de plataforma lo requieran; y autoridades competentes cuando exista fundamento legal. Algunos destinatarios o servidores pueden estar fuera de México.

Las transferencias necesarias para cumplir la relación jurídica, proteger a la persona, atender una emergencia o cumplir una obligación legal se realizarán en los casos permitidos por la ley. Para cualquier transferencia opcional que requiera consentimiento mostraremos una elección separada: “Sí autorizo la transferencia descrita” o “No autorizo”. No vendemos datos personales.

10. Aplicaciones, permisos y transparencia en las tiendas

Este aviso estará disponible mediante un enlace accesible dentro de la aplicación y en las fichas de App Store y Google Play. Las declaraciones de privacidad de App Store Connect y la sección Seguridad de los datos de Play Console deberán coincidir con el comportamiento real de la aplicación, incluidos todos los SDK de terceros.

Theta solicitará sólo los permisos necesarios y mostrará una finalidad clara antes de acceder a datos sensibles del dispositivo. No condicionará funciones no relacionadas a permisos opcionales. Si en el futuro se realiza rastreo entre aplicaciones o sitios con fines publicitarios, se solicitará la autorización exigida por Apple mediante App Tracking Transparency y el consentimiento aplicable; mientras no exista esa autorización, no se realizará dicho rastreo.

Si la aplicación ofrece funciones relacionadas con salud, Theta completará las declaraciones requeridas por la tienda, minimizará la recopilación, no hará afirmaciones médicas engañosas y no utilizará datos de salud para publicidad. Los datos obtenidos mediante servicios de Apple o Google se sujetarán además a sus restricciones específicas de uso.

11. Cookies, SDK y medición

El sitio y las aplicaciones pueden usar tecnologías estrictamente necesarias para sesión, preferencias, seguridad, prevención de fraude y funcionamiento. Las cookies o SDK de analítica, publicidad o medición no esenciales permanecerán desactivados hasta obtener el consentimiento requerido.

El panel de privacidad o la configuración del dispositivo permitirá modificar elecciones cuando corresponda. Desactivar tecnologías esenciales puede impedir ciertas funciones; rechazar las opcionales no impedirá reservar o consultar información básica.

12. Conservación y eliminación

Conservaremos los datos sólo durante el plazo necesario para la finalidad informada y después los bloquearemos o eliminaremos de forma segura. Los registros de reservación, pago, facturación, aceptación y controversias se conservarán durante los plazos fiscales, contractuales y de prescripción aplicables. Los datos sensibles de salud se conservarán por el periodo mínimo indispensable para la seguridad del retiro y la atención de incidentes o responsabilidades relacionadas. Las copias de identificación seguirán el plazo especial de treinta días y las excepciones limitadas descritas en la sección 8.

Los registros técnicos se conservarán por periodos breves definidos según su finalidad de seguridad o diagnóstico. Las copias de respaldo se eliminarán conforme a su ciclo seguro. Cuando la ley exija conservar información después de una solicitud de cancelación, quedará bloqueada y no se utilizará para otros fines.

13. Derechos ARCO, revocación y limitación

Puedes solicitar acceso, rectificación, cancelación u oposición al tratamiento de tus datos; revocar el consentimiento; limitar el uso o divulgación; y solicitar información sobre las transferencias realizadas. Envía tu solicitud a info@theta.mx con: nombre y medio para recibir respuesta, documento para acreditar identidad o representación, descripción clara de los datos y derecho que deseas ejercer, y cualquier elemento que ayude a localizarlos.

Theta comunicará su determinación en un máximo de veinte días hábiles desde la recepción y, si procede, la hará efectiva dentro de los quince días hábiles siguientes. Estos plazos podrán ampliarse una sola vez por un periodo igual cuando las circunstancias lo justifiquen. El ejercicio es gratuito, salvo costos permitidos de reproducción o envío.

Si consideras vulnerado tu derecho a la protección de datos, podrás acudir ante la Secretaría Anticorrupción y Buen Gobierno o la autoridad garante competente conforme a la legislación vigente.

14. Eliminación de cuenta y datos de la aplicación

Puedes solicitar la eliminación desde Perfil y verificación en la aplicación o desde la página pública de eliminación de cuenta, sin instalar la aplicación. En la página pública se verifica el control del correo antes de registrar la solicitud.

Un equipo revisa cada solicitud, incluidas las reservas, pagos, controversias y obligaciones de conservación. La solicitud no cancela reservas ni emite reembolsos automáticamente. La cuenta y los datos sin causa de retención se eliminarán; los registros justificados permanecerán bloqueados para fines limitados hasta el vencimiento del plazo aplicable. Cambiar o enmascarar el correo por sí solo no equivale a anonimizar todos los datos.

15. Seguridad y vulneraciones

Theta aplicará medidas administrativas, técnicas y físicas razonables según el riesgo y sensibilidad de los datos, incluyendo acceso por función, confidencialidad, cifrado durante la transmisión, gestión segura de credenciales, respaldo, actualización y revisión de proveedores.

Ningún sistema es infalible. Si ocurre una vulneración que afecte significativamente derechos patrimoniales o morales, Theta informará de inmediato a las personas afectadas con información útil para protegerse y realizará las notificaciones adicionales exigidas por la ley o las plataformas.

16. Menores de edad

Los servicios están dirigidos principalmente a personas adultas. Theta no recopilará deliberadamente datos de menores sin la autorización verificable de quien ejerza patria potestad o tutela y sin las medidas especiales aplicables. Si detectamos datos recabados sin autorización, los eliminaremos salvo obligación legal de conservación.

17. Decisiones automatizadas

Podremos usar señales automatizadas para detectar fraude, abuso o riesgos de seguridad. No adoptaremos una decisión que produzca efectos jurídicos significativos basándonos exclusivamente en un proceso automatizado sin revisión humana cuando la ley otorgue el derecho a solicitarla. Puedes pedir explicación y revisión mediante info@theta.mx.

18. Cambios al aviso y contacto

Publicaremos cualquier cambio en esta página e indicaremos la fecha de actualización. Cuando el cambio sea sustancial o requiera nuevo consentimiento, lo comunicaremos dentro del sitio o la aplicación antes de que entre en vigor y solicitaremos una nueva aceptación cuando corresponda.

Para consultas, derechos ARCO, revocación, limitación, incidentes o eliminación de cuenta, escribe a info@theta.mx. Antes de iniciar operaciones, la versión final deberá añadir y mantener visibles el nombre legal y domicilio de la persona física responsable.