I. Identidad y Domicilio del Responsable

Grupo Carbón Parrillas & Restaurantes, con domicilio en Guadalajara, Jalisco, México, es el responsable del tratamiento de sus datos personales, conforme a lo establecido en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y su Reglamento, así como en los Lineamientos del Aviso de Privacidad emitidos por el INAI.

II. Datos Personales Recabados

Para los fines señalados en este aviso, recabamos los siguientes datos personales de manera directa cuando usted se registra en el programa CARBÓN REWARDS:

Datos de identificación

• Nombre completo
• Fecha de nacimiento

Datos de contacto

• Correo electrónico
• Número de teléfono móvil

Datos de geolocalización

• Ubicación geográfica aproximada al momento del registro (latitud y longitud), únicamente cuando el usuario otorga permiso expreso en su dispositivo.

Datos de uso del programa

• Historial de visitas registradas en sucursales
• Puntos acumulados y canjes realizados
• Fecha y hora de acceso al sistema
• Dirección IP al momento del registro y aceptación
• Sucursal de captación (inferida por geolocalización)

No recabamos datos personales sensibles conforme al Artículo 3, fracción VI de la LFPDPPP (datos de salud, biométricos, religiosos, políticos, etc.).

III. Finalidades del Tratamiento

Finalidades primarias — necesarias para el servicio

• Crear, administrar y mantener su cuenta en CARBÓN REWARDS
• Registrar y acreditar visitas a sucursales
• Administrar la acumulación y canje de puntos y recompensas
• Enviar comunicaciones transaccionales: confirmación de registro, alertas de visita, estados de cuenta
• Verificar su identidad y prevenir usos fraudulentos
• Atender solicitudes de derechos ARCO y aclaraciones
• Cumplir obligaciones legales y fiscales aplicables

Finalidades secundarias — opcionales

• Enviar promociones, ofertas y comunicaciones de marketing por correo electrónico o WhatsApp
• Realizar encuestas de satisfacción
• Elaborar estadísticas y análisis de comportamiento de consumo (datos anonimizados o agregados)
• Personalizar contenidos y ofertas según su perfil de visitas

Si no desea que sus datos sean tratados para las finalidades secundarias, puede manifestarlo en cualquier momento enviando un correo a privacidad@grupocarbon.mx con el asunto "Opt-out marketing". Lo anterior no afectará su participación en el programa.

IV. Base Legal del Tratamiento

El tratamiento de sus datos personales se realiza con base en:

• Consentimiento: otorgado expresamente al aceptar este Aviso de Privacidad durante el registro.
• Relación contractual: ejecución del programa de lealtad CARBÓN REWARDS.
• Obligación legal: cumplimiento de disposiciones fiscales y legales aplicables en México.

V. Transferencia de Datos Personales

Sus datos personales no serán transferidos a terceros sin su consentimiento, salvo en los casos previstos en el Artículo 37 de la LFPDPPP. Los proveedores de servicios tecnológicos que actúan como encargados del tratamiento bajo instrucciones de CARBÓN son:

• Brevo (Sendinblue) — plataforma de envío de correos electrónicos transaccionales
• Twilio Inc. — plataforma de comunicaciones por WhatsApp
• Google LLC (Analytics 4) — análisis de comportamiento de usuarios con IP anonimizada. Política: policies.google.com/privacy

Todos los proveedores están obligados contractualmente a mantener la confidencialidad de los datos y a tratarlos únicamente conforme a las instrucciones de CARBÓN.

VI. Derechos ARCO

Conforme al Artículo 28 de la LFPDPPP, usted tiene derecho a:

• Acceso: conocer qué datos personales tenemos sobre usted y cómo los usamos.
• Rectificación: solicitar la corrección de datos inexactos o incompletos.
• Cancelación: solicitar la supresión de sus datos cuando no sean necesarios para el fin que motivó su obtención.
• Oposición: oponerse al tratamiento de sus datos para finalidades secundarias.

Para ejercer sus derechos ARCO, envíe su solicitud a privacidad@grupocarbon.mx incluyendo: nombre completo, correo electrónico registrado, descripción del derecho a ejercer y copia de identificación oficial. Daremos respuesta en un plazo máximo de 20 días hábiles.

VII. Revocación del Consentimiento

Puede revocar su consentimiento para el tratamiento de sus datos en cualquier momento enviando su solicitud a privacidad@grupocarbon.mx. Tenga en cuenta que la revocación para finalidades primarias implicará la cancelación de su cuenta en CARBÓN REWARDS y la eliminación permanente de sus datos y puntos acumulados.

VIII. Cookies y Tecnologías de Rastreo

Nuestro sistema utiliza únicamente cookies de sesión estrictamente necesarias para el funcionamiento del programa (autenticación y seguridad). No utilizamos cookies publicitarias ni compartimos datos de navegación con redes de publicidad de terceros.

Google Analytics 4 puede utilizar cookies con IP anonimizada. Puede desactivar esta recopilación instalando el complemento de inhabilitación de Google Analytics en su navegador.

IX. Seguridad de los Datos

CARBÓN implementa las siguientes medidas de seguridad para proteger sus datos personales:

• Cifrado de contraseñas mediante algoritmo bcrypt
• Transmisión de datos bajo protocolo HTTPS/TLS 1.2+
• Acceso a base de datos restringido y autenticado
• Tokens de sesión seguros con expiración automática
• Registros de auditoría de accesos al sistema

En caso de una violación de seguridad que afecte significativamente sus derechos, CARBÓN le notificará de forma inmediata conforme al Artículo 20 de la LFPDPPP.

X. Conservación de Datos

Sus datos personales serán conservados durante el tiempo que su cuenta permanezca activa en el programa y por el período adicional que la legislación fiscal y mercantil mexicana exija (generalmente 5 años). Transcurrido dicho plazo, los datos serán eliminados o anonimizados de forma segura.

XI. Modificaciones al Aviso de Privacidad

Cualquier cambio a este aviso será notificado a través del correo electrónico registrado y publicado en rewards.grupocarbon.mx/privacidad con al menos 30 días naturales de anticipación. El uso continuado del programa tras la notificación implica la aceptación de las modificaciones.

XII. Autoridad Competente

Si considera que su derecho a la protección de datos personales ha sido vulnerado o que CARBÓN no ha atendido correctamente su solicitud, puede presentar una queja ante el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI):

• Sitio web: www.inai.org.mx
• Sistema de quejas en línea: Plataforma Nacional de Transparencia (PNT)