Aviso de privacidad integral

Última actualización: 2 de noviembre de 2026

Este aviso se emite en cumplimiento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y su normativa derivada. Describe qué datos personales tratamos, con qué finalidad, con quién los compartimos y cómo puede usted ejercer sus derechos.

1. Quién es el responsable

2. Dos papeles distintos, y la diferencia importa

Nechicoa trata datos personales en dos calidades jurídicas distintas, y de cuál se trate depende a quién debe usted dirigirse:

• Como responsable, respecto de los datos de quienes nos contactan, solicitan una demostración o contratan el servicio: el titular de la cuenta, sus datos de contacto y sus datos fiscales. Esos datos los decidimos nosotros y este aviso los cubre.
• Como encargado, respecto de los datos que cada negocio captura dentro del sistema: sus clientes, proveedores, empleados y ventas. Esos datos no son nuestros y no decidimos nada sobre ellos. El responsable es el negocio que contrató el servicio, y es a él a quien debe dirigirse el titular de esos datos. Nosotros los tratamos únicamente siguiendo sus instrucciones y para prestarle el servicio.

Dicho de otra forma: si usted es cliente de una ferretería que usa Nechicoa POS y quiere ejercer sus derechos sobre los datos que esa ferretería tiene de usted, la solicitud va dirigida a la ferretería. Si aun así nos escribe, la canalizaremos con ella y se lo haremos saber.

3. Datos que tratamos

Cuando usted solicita información, una demostración o contrata el servicio:

• Identificación y contacto: nombre, teléfono o WhatsApp, correo electrónico.
• Del negocio: nombre comercial, giro, número de sucursales y de cajas, ciudad.
• Fiscales, solo si requiere factura: RFC, razón social, régimen fiscal, código postal y uso de CFDI.
• De acceso: nombre de usuario y una huella irreversible de su contraseña. Nunca la contraseña.
• Técnicos, generados automáticamente al usar el sistema: dirección IP, fecha y hora de los accesos y de las operaciones sensibles, y registro de auditoría de quién hizo qué.

Lo que NO tratamos

No recabamos datos personales sensibles —origen racial o étnico, estado de salud, creencias, opiniones políticas, preferencia sexual o datos biométricos— y el sistema no tiene campos para capturarlos.

Tampoco almacenamos datos completos de tarjetas bancarias. Los cobros con tarjeta se procesan en la terminal del banco o del agregador de pagos; nuestro sistema guarda a lo sumo los últimos cuatro dígitos y la marca, nunca el número completo, la fecha de vencimiento ni el código de seguridad.

Y no conservamos la llave privada de su sello digital (.key). Al activar la facturación, el certificado y la llave se envían directamente a la bóveda del Proveedor Autorizado de Certificación; en nuestros servidores queda únicamente el número de certificado y su fecha de vencimiento.

4. Para qué los usamos

Finalidades primarias, necesarias para la relación con usted:

• Atender su solicitud de información o de demostración.
• Crear y administrar su cuenta y las de sus empleados.
• Prestar el servicio contratado y darle soporte técnico.
• Facturarle y cobrarle la suscripción.
• Verificar su identidad, prevenir accesos no autorizados y dejar registro de auditoría.
• Cumplir obligaciones fiscales y responder requerimientos de autoridad competente.

Finalidades secundarias, que no son necesarias y a las que usted puede negarse sin que eso afecte el servicio:

• Enviarle avisos de funciones nuevas, mejoras o contenido de utilidad para su negocio.
• Invitarle a encuestas para mejorar el producto.

Para negarse a las finalidades secundarias basta con escribir a [email protected] con el asunto "Finalidades secundarias". Su negativa no es motivo para negarle, limitarle ni encarecerle el servicio, y puede manifestarla en cualquier momento.

5. Con quién los compartimos

No vendemos, ni rentamos, ni comercializamos datos personales. Las únicas transferencias y remisiones son las indispensables para prestar el servicio:

• Proveedor Autorizado de Certificación (PAC): los datos fiscales que van dentro de un CFDI, para timbrarlo. Es una obligación legal derivada del propio comprobante.
• Servicio de Administración Tributaria (SAT): por ministerio de ley, a través del timbrado.
• Proveedor de infraestructura en la nube: los servidores donde se ejecuta el sistema, ubicados en México o en Estados Unidos según el plan contratado.
• Proveedor de correo transaccional: únicamente la dirección de destino y el contenido del mensaje que usted originó (confirmación de correo, recuperación de contraseña, alertas que usted activó).
• Autoridad competente, cuando exista requerimiento fundado y motivado.

Estas transferencias son de las que no requieren su consentimiento por ser necesarias para cumplir la relación jurídica con usted o una obligación legal. Cualquier transferencia distinta a las anteriores se le solicitaría de manera expresa y previa.

En el plan Local, la base de datos vive en el servidor del propio negocio: ahí no hay transferencia a infraestructura nuestra, y los datos no salen de sus instalaciones salvo el timbrado de facturas y la validación de la licencia.

6. Sus derechos ARCO

Usted puede Acceder a sus datos, Rectificarlos cuando sean inexactos, Cancelarlos cuando considere que no se requieren, y Oponerse a su tratamiento para fines específicos. También puede revocar su consentimiento y limitar el uso o divulgación de sus datos.

La cancelación o la revocación pueden no proceder cuando la ley nos obligue a conservar los datos —por ejemplo, la información que respalda un comprobante fiscal, que debe conservarse cinco años—. En ese caso se lo diremos, con el fundamento.

7. Cuánto tiempo los conservamos

• Mientras dure la relación y durante el plazo de prescripción de las obligaciones que de ella deriven.
• Cinco años para la información con efectos fiscales, por mandato del Código Fiscal de la Federación.
• Al terminar el servicio, usted puede exportar toda su información en formatos abiertos desde el propio sistema, y después solicitar su eliminación.

8. Cómo los protegemos

Mantenemos medidas de seguridad administrativas, técnicas y físicas razonables. Entre las técnicas, y porque decirlo en concreto vale más que prometer "los más altos estándares":

• Cifrado en tránsito con TLS en todas las conexiones.
• Contraseñas guardadas como huella irreversible, nunca en claro.
• Aislamiento por negocio a nivel de base de datos: cada negocio solo puede leer sus propios renglones, y la restricción la impone el motor, no la aplicación.
• Registro de auditoría de las operaciones sensibles, con usuario, fecha y hora.
• Respaldos periódicos y cifrado en reposo de la información sensible.
• Acceso del personal limitado a lo necesario para dar soporte, y solo a petición del cliente.

Ningún sistema es invulnerable. Si llegara a ocurrir una vulneración que afecte de forma significativa sus derechos, se lo comunicaremos sin dilación para que pueda tomar medidas.

9. Cookies y medición

Este sitio usa Cloudflare Web Analytics, que mide visitas de forma agregada y sin cookies de seguimiento ni identificadores personales. No usamos Google Analytics, ni píxeles publicitarios, ni cookies de terceros.

Dentro del sistema sí se usa almacenamiento local del navegador, pero solo para lo indispensable: mantener su sesión iniciada y recordar preferencias de la pantalla. No se usa para perfilar ni para publicidad.

10. Menores de edad

El servicio está dirigido a negocios y no a menores de edad. No recabamos deliberadamente datos de menores; si detectamos que se capturaron sin el consentimiento de quien ejerce la patria potestad, los eliminaremos.

11. Cambios a este aviso

Cualquier cambio se publicará en esta misma página, con la fecha de actualización al inicio. Si el cambio afecta de manera sustancial la finalidad del tratamiento, se lo haremos saber por correo antes de aplicarlo.

12. Si no queda conforme

Si considera que su derecho a la protección de datos personales no fue atendido debidamente, puede acudir ante la autoridad federal competente en la materia. Puede escribirnos primero a [email protected]: casi siempre es más rápido y nos interesa resolverlo.