Aviso de privacidad de la plataforma BlueNavyCabo

BlueNavyCabo emite el presente aviso en su carácter de responsable del tratamiento de los datos personales de sus operadores-clientes y del personal de estos.

A.1 Identidad y domicilio del responsable

Santiago Tangassi García, persona física con actividad empresarial (régimen RESICO), que opera bajo la marca comercial BlueNavyCabo, es el responsable del tratamiento de los datos personales que se describen en este aviso.

• RFC: TAGS0711265B6
• Domicilio (para efectos de este aviso): Calle Isla San Marcos, Mz. 5, Lt. 10, Fracc. Cumbres del Tezal, C.P. 23454, Cabo San Lucas, Baja California Sur, México.
• Plataforma: https://bluenavycabo.com (el dominio anterior, bluenavycabo.cabowebsites.com, redirige a esta dirección).
• Correo de contacto para datos personales (derechos ARCO y dudas de privacidad): santiagotangassi@gmail.com

En adelante, el correo de contacto antes señalado se denomina el «Contacto de Privacidad».

A.2 Personas cuyos datos trata BlueNavyCabo bajo este aviso

Este aviso cubre los datos del operador que contrata o prueba la plataforma y del personal que el operador da de alta como usuarios del panel (titular, gerentes, personal de mostrador, capitanes). No cubre los datos de los turistas que reservan: esos los trata el operador como responsable, y BlueNavyCabo solo como encargado.

Cubre también los datos de los prospectos que piden una demostración desde la página pública (formulario «Solicitar demo»): nombre, correo y nombre del negocio. Se usan únicamente para dar seguimiento comercial a esa solicitud; si la contratación no se concreta, se suprimen a más tardar a los doce (12) meses.

A.3 Datos personales que tratamos

Para dar de alta al operador, operar la plataforma y cobrar la comisión, tratamos:

1. Identificación y contacto del titular y de los usuarios: nombre, correo electrónico y teléfono.

2. Datos del negocio: nombre comercial, razón social o denominación, RFC, domicilio, permisos y registros aplicables (por ejemplo, el Registro Nacional de Turismo del operador) y datos operativos que el operador carga (embarcaciones, servicios, horarios, precios).

3. Credenciales de acceso: la contraseña no se almacena en texto claro; se guarda protegida mediante un algoritmo de derivación de contraseñas (hash). En su caso, la configuración de verificación en dos pasos (2FA).

4. Datos de la cuenta de cobros (Stripe Connect): el operador conecta su propia cuenta de Stripe. Los datos bancarios y de verificación de identidad los recaba y resguarda Stripe directamente; BlueNavyCabo ve el estado de la cuenta e identificadores técnicos, no los números de cuenta bancaria completos. Si el operador pacta una cuota mensual, la tarjeta con la que se paga también la recaba y resguarda Stripe (Stripe Billing): BlueNavyCabo solo ve el estado de la suscripción y la referencia y monto de cada factura — nunca el número de la tarjeta.

5. Datos fiscales del operador, para emitir el CFDI de la comisión y cumplir obligaciones contables.

6. Datos técnicos que el sistema recolecta y que se conservan como evidencia y por seguridad:

• Dirección IP y agente de usuario (user-agent) del navegador en el momento en que el titular acepta los Términos del servicio de la plataforma. Se conservan junto con la versión exacta del texto aceptado y su huella (hash SHA-256) como evidencia de la aceptación electrónica (click-wrap), en cumplimiento de lo que exige el Código de Comercio para que un mensaje de datos se mantenga íntegro y accesible para ulterior consulta (arts. 89 bis, 90 bis y 93 del Código de Comercio).
• Bitácora de auditoría (registros de actividad relevante en el panel) y estos mismos indicios (IP, user-agent, fecha y hora) con fines de seguridad y prevención de fraude.

No solicitamos datos personales sensibles del operador ni de su personal para las finalidades de este aviso.

A.4 Finalidades del tratamiento

Finalidades necesarias (dan origen y sustento a la relación; no requieren consentimiento adicional):

1. Crear y administrar la cuenta del operador y de sus usuarios, y controlar el acceso al panel.

2. Operar el sistema de reservas, cobros, boletos y avisos por correo por cuenta del operador.

3. Calcular, retener y facturar la comisión de la plataforma.

4. Brindar soporte y responder aclaraciones.

5. Registrar y conservar la evidencia de la aceptación de los Términos (incluidos IP y user-agent, véase A.3.6) y mantener las bitácoras de seguridad.

6. Cumplir obligaciones legales, fiscales, contables y de conservación mercantil (art. 49 del Código de Comercio: conservación por 10 años).

Finalidades voluntarias (el operador puede negarse sin que afecte su servicio):

1. Informarle de mejoras, funciones nuevas y contenidos de la plataforma.

2. Invitarle a probar funciones en fase temprana.

Para negarse a las finalidades voluntarias basta con escribir al Contacto de Privacidad; no cambia nada de lo ya contratado.

A.5 Encargados y proveedores que tratan datos por nuestra cuenta

Para operar utilizamos proveedores que tratan datos siguiendo nuestras instrucciones, bajo contrato y sin usarlos para fines propios (encargados/subencargados):

- Stripe — alta y operación de la cuenta de cobros del operador, procesamiento de pagos y, si se pacta cuota mensual, su cobro recurrente (Stripe Billing). - Resend — envío de los correos transaccionales (confirmaciones, avisos, notificaciones al operador). Postmark puede actuar como proveedor de respaldo del mismo envío cuando el principal falla. - Proveedor de infraestructura (hoy Hostinger) — alojamiento del servidor donde se ejecuta el sistema. - Proveedores de calendario que el propio operador conecta (por ejemplo Google Calendar o Teamup) — reciben los datos de las salidas y reservas que el operador decide reflejar en su calendario operativo. Solo tratan datos si el operador activa la conexión y dejan de recibirlos al desconectarla. - Datos obtenidos de Google. Cuando el operador conecta Google Calendar, BlueNavyCabo accede únicamente al alcance «calendar.events» para leer y escribir los eventos del calendario que el operador elige. El uso y la transferencia a cualquier otra aplicación de la información recibida de las API de Google se ajustan a la Política de Datos de Usuario de los Servicios de API de Google (https://developers.google.com/terms/api-services-user-data-policy), incluidos los requisitos de Uso Limitado (Limited Use). Esa información no se vende, no se usa para publicidad y ninguna persona la lee, salvo con el consentimiento expreso del operador, por razones de seguridad o para cumplir con la ley.\n Alojamiento de la base de datos. La base de datos del sistema se aloja en un servidor administrado por BlueNavyCabo (un VPS bajo su control), no en un servicio de base de datos de un tercero. El proveedor de infraestructura suministra el servidor; la administración de la base de datos y de la aplicación corresponde a la plataforma.

Tratamiento fuera de México. Algunos de estos proveedores (Stripe, Resend, Postmark, Google, Teamup) procesan datos en centros de datos fuera de México, principalmente en Estados Unidos. Siguen siendo encargados: tratan los datos solo por instrucciones de BlueNavyCabo —o del operador, cuando es él quien conecta el servicio—, bajo sus propios acuerdos de tratamiento de datos, y no pueden usarlos para fines propios.

A.6 Transferencias

No vendemos ni rentamos datos personales. Solo los comunicamos: (a) a autoridades competentes cuando una ley o una orden fundada lo exige; y (b) a asesores contables o legales sujetos a deber de confidencialidad, en lo estrictamente necesario. Fuera de esos supuestos, cualquier transferencia que requiera consentimiento se informará para obtenerlo antes.

A.7 Derechos ARCO y revocación del consentimiento

El operador y sus usuarios pueden Acceder a sus datos, Rectificarlos, Cancelarlos y Oponerse a su tratamiento, y revocar el consentimiento otorgado. Para ejercerlos, envíe al Contacto de Privacidad una solicitud con: (i) nombre y medio para responderle; (ii) identificación oficial (o el documento que acredite la representación); y (iii) la descripción clara de los datos y el derecho que quiere ejercer.

Responderemos en los plazos que marca la ley. El ejercicio es gratuito; solo se cobran los costos justificados de envío o reproducción que la ley permita.

Hay datos que debemos conservar por obligación legal (fiscal, contable y la evidencia de aceptación de términos por 10 años, art. 49 del Código de Comercio) o para la defensa de reclamaciones, aun cuando se solicite su cancelación; en ese caso quedan bloqueados para cualquier otro uso hasta que venza el plazo aplicable.

A.8 Conservación y seguridad

Conservamos los datos mientras exista relación con el operador y por los plazos que exijan las obligaciones legales, fiscales, contables y de defensa de reclamaciones; después se suprimen o se anonimizan de forma segura. Al terminar la relación con el operador, el sistema ejecuta esa supresión a más tardar a los noventa (90) días naturales (proceso automático), dejando bloqueados —solo por su plazo legal— los registros que la ley obliga a conservar. La evidencia de aceptación de términos y los registros mercantiles se conservan por 10 años (art. 49 del Código de Comercio).

Mantenemos medidas de seguridad administrativas, técnicas y físicas razonables para proteger los datos (entre otras: cifrado del transporte, contraseñas resguardadas mediante hash, control de acceso por roles y bitácoras). No prometemos seguridad perfecta ni inviolabilidad absoluta —ninguna medida lo garantiza—: nos obligamos a un estándar razonable y acorde con la industria, y a exigir por contrato medidas equivalentes a nuestros encargados.

A.9 Cookies

La plataforma utiliza únicamente cookies estrictamente necesarias y una cookie de preferencia de tema. No usamos cookies de analítica, de rastreo ni de publicidad de terceros. El detalle está en la Parte C — Política de cookies.

A.10 Autoridad

Si el operador considera vulnerado su derecho a la protección de datos, puede acudir a la Secretaría Anticorrupción y Buen Gobierno, autoridad competente en la materia (el INAI fue extinguido por la reforma publicada en el DOF el 20 de marzo de 2025).

A.11 Cambios a este aviso

Cualquier cambio se publicará en la dirección donde se aloje este aviso, con su fecha y número de versión. Si un cambio implica nuevas finalidades que requieran consentimiento, se pedirá antes de aplicarlas.

Política de cookies

Esta política aplica a la plataforma BlueNavyCabo y describe las cookies que el sistema instala.

C.1 Qué es una cookie

Una cookie es un pequeño archivo de texto que un sitio guarda en tu navegador para recordar información entre páginas o visitas.

C.2 Qué cookies usamos (y cuáles NO)

El sistema solo usa cookies estrictamente necesarias para funcionar y una cookie de preferencia. No usamos cookies de analítica (no hay Google Analytics ni similares), ni de rastreo entre sitios, ni de publicidad de terceros, ni redes sociales. No vendemos ni compartimos información de navegación con terceros con fines publicitarios.

Estas son las cookies que instala la plataforma, con su nombre técnico, para qué sirven, si son estrictamente necesarias, sus atributos HttpOnly y SameSite, y su duración:

• Sesión — nombre técnico: thr_session. Sirve para mantener tu sesión iniciada en el panel (y en la app del operador) después de que entras con tu usuario y contraseña. Es estrictamente necesaria. HttpOnly: sí. SameSite: Lax. Duración: aproximadamente 12 horas.
• Pre-sesión (2FA) — nombre técnico: thr_pre_session. Es el paso intermedio de seguridad entre «la contraseña es correcta» y «tecleaste el código de verificación»; sin ella no se puede completar el segundo factor. Es estrictamente necesaria. HttpOnly: sí. SameSite: Lax. Duración: aproximadamente 10 minutos.
• Preferencia de tema — nombre técnico: bnc-tema. Sirve para recordar si elegiste el modo claro, oscuro o el del sistema, para no parpadear al cargar; guarda literalmente «claro», «oscuro» o «sistema». No es de rastreo: es una preferencia tuya. HttpOnly: no, de forma deliberada, porque el navegador debe leerla para pintar el tema sin parpadeo. SameSite: Lax. Duración: aproximadamente 1 año.

Las cookies thr_session y thr_pre_session se emiten con el atributo Secure en producción (solo viajan por HTTPS). La cookie de tema no es sensible (no identifica ni rastrea) y también se guarda en el almacenamiento local del navegador como respaldo.

C.3 El widget de reservas embebido

La página pública de reservas y el checkout (el widget que el operador incrusta en su sitio) no instala cookies propias para el turista conforme a la implementación actual: el pago lo procesa Stripe, que instala sus propias cookies estrictamente necesarias para operar el cobro y prevenir fraude (por ejemplo __stripe_mid y __stripe_sid), gobernadas por su política de cookies: https://stripe.com/legal/cookies-policy. Si el operador incrusta el widget dentro de su propio sitio, las cookies de ese sitio son responsabilidad del operador.

C.4 ¿Hace falta un banner de consentimiento de cookies?

Las cookies que usamos son estrictamente necesarias para prestar el servicio y una cookie de preferencia que tú mismo activas al elegir el tema. Por su naturaleza no requieren un banner de consentimiento previo, y por eso el sistema no muestra uno: sería declarar un consentimiento que estas cookies no necesitan. Esta política cumple la función de informarte con transparencia.

C.5 Cómo controlarlas

Puedes borrar o bloquear cookies desde la configuración de tu navegador. Ten en cuenta que si bloqueas las cookies estrictamente necesarias (thr_session y thr_pre_session), no podrás iniciar sesión en el panel. Bloquear la cookie de tema solo hará que no se recuerde tu preferencia de modo claro/oscuro.

C.6 Versión y lugar en el paquete legal

Esta política forma parte del paquete legal de la plataforma, junto con los Términos de la Plataforma y el Aviso de Privacidad. Cada versión se publica con su fecha y su número de versión, y se conserva con su huella criptográfica SHA-256; las versiones anteriores permanecen íntegras y disponibles para consulta, en los mismos términos que el resto de los documentos legales de la plataforma.