Aviso de Privacidad Integral

Identidad y datos de contacto del Responsable

En cumplimiento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) de los Estados Unidos Mexicanos, del Reglamento General de Protección de Datos de la Unión Europea (GDPR), de la Lei Geral de Proteção de Dados brasileña (LGPD), y de los demás ordenamientos jurídicos aplicables según la jurisdicción del titular, ALOPROT S.A. de C.V. pone a disposición el presente Aviso de Privacidad Integral con carácter de documento jurídico vinculante.

Para los efectos del GDPR y del UK GDPR, el Responsable actúa como Data Controller. Para los efectos de la LGPD, actúa como Controlador. Para los efectos del PIPEDA canadiense, actúa como Organization. Para los efectos de la CCPA/CPRA de California, actúa como Business. El Responsable no actúa como simple Encargado del Tratamiento respecto a los datos recabados directamente a través de su sitio web.

Datos personales objeto de tratamiento

El Responsable recaba únicamente los datos personales que resultan adecuados, pertinentes y limitados a lo necesario en relación con las finalidades para las que son tratados, de conformidad con el principio de minimización de datos reconocido en el GDPR, la LGPD y sus equivalentes en cada jurisdicción.

A. Datos proporcionados directamente por el titular

Datos de identificación y contacto

• Nombre completo
• Número de teléfono fijo, móvil o de mensajería instantánea
• Dirección de correo electrónico

Datos de perfil agrícola y geográfico

• Estado o provincia y municipio de residencia o de actividad productiva
• Región agrícola o zona de producción
• Cultivos principales y superficie en producción expresada en hectáreas
• Modalidad del sistema productivo: convencional, orgánico certificado o en proceso de conversión
• Información sobre prácticas agronómicas actuales, cuando el titular la aporte voluntariamente

Datos de carácter empresarial, cuando el titular actúa en nombre de una persona moral

• Razón social de la empresa
• Clave de registro fiscal: RFC (México), NIT (Colombia), CNPJ (Brasil), CUIT (Argentina), RUT (Chile) u equivalente en cada jurisdicción
• Nombre del representante legal o del contacto técnico designado por la empresa

B. Datos recabados automáticamente mediante tecnologías de seguimiento

• Dirección IP del dispositivo desde el que se accede al Sitio
• Identificadores únicos de dispositivo
• Tipo de navegador web, versión y sistema operativo del dispositivo
• Páginas visitadas dentro del Sitio, duración de la sesión y páginas de entrada y salida
• Origen de la visita: búsqueda orgánica, enlace referido, campaña publicitaria de pago o acceso directo
• Interacciones con el contenido del Sitio: clics en elementos, desplazamiento vertical y descarga de materiales
• Datos derivados de cookies y tecnologías de rastreo equivalentes, conforme a lo descrito en la Sección VII
• Geolocalización aproximada derivada del análisis de la dirección IP

C. Datos sensibles

El Responsable no solicita ni recaba datos personales de naturaleza sensible —entendidos conforme a cada legislación como aquellos que revelan origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, datos biométricos con fines de identificación univoca, datos relativos a la salud, orientación sexual o vida sexual, condena penal o infracción administrativa— a través del sitio web. En el supuesto excepcional de que el titular los aportara voluntariamente en un campo de texto libre, se entenderá que otorga consentimiento expreso para su tratamiento limitado a la finalidad de la consulta concreta, y serán eliminados una vez resuelta dicha consulta.

D. Datos de personas menores de edad

El sitio web no está dirigido a personas menores de dieciocho (18) años. El Responsable no recaba intencionalmente datos personales de menores. En jurisdicciones donde la mayoría de edad digital difiera —trece (13) años bajo COPPA en Estados Unidos; dieciséis (16) años por defecto conforme al GDPR, salvo disposición nacional en contrario— se aplicará en todo caso el estándar más protector. Si el Responsable tuviera conocimiento de que un menor ha proporcionado datos sin la autorización del titular de la patria potestad o tutela, procederá a su eliminación inmediata sin necesidad de solicitud previa.

Finalidades del tratamiento y base legal

Todo tratamiento de datos personales realizado por el Responsable se sustenta en una base legal válida conforme a la normativa aplicable en cada jurisdicción.

A. Finalidades primarias

Son aquellas que resultan necesarias para la atención de la solicitud del titular y para el cumplimiento de la relación precontractual o contractual establecida. El titular no puede oponerse a estas finalidades sin que ello impida la prestación del servicio solicitado.

Base legal: ejecución de medidas precontractuales o contractuales a solicitud del interesado; cumplimiento de una obligación legal impuesta al Responsable.

• Atender solicitudes de información técnica sobre los productos del Responsable
• Elaborar y remitir al titular protocolos de aplicación agronómica personalizados conforme al cultivo, la región y las condiciones productivas declaradas
• Coordinar y gestionar visitas técnicas de campo y el acompañamiento agronómico posterior a la primera aplicación
• Enviar los materiales técnicos descargables solicitados por el titular: fichas técnicas, hojas de datos de seguridad y guías de aplicación por cultivo
• Procesar cotizaciones, pedidos y contratos de distribución en los casos en que el titular los solicite
• Dar cumplimiento a las obligaciones legales del Responsable ante las autoridades competentes en cada jurisdicción: fiscales, sanitarias, agroalimentarias y laborales

B. Finalidades secundarias

Son aquellas que no resultan necesarias para la atención de la solicitud principal del titular. Requieren el consentimiento expreso del titular. El titular puede negarse a estas finalidades sin que ello afecte la prestación del servicio solicitado.

Base legal: consentimiento expreso del titular, libremente otorgado, específico, informado e inequívoco.

• Envío de comunicaciones periódicas sobre novedades técnicas, alertas agronómicas y actualizaciones de productos
• Realización de estudios de mercado y análisis estadístico del perfil productivo de la base de usuarios
• Investigación y desarrollo de nuevos productos
• Ejecución de acciones de mercadotecnia directa, campañas de retargeting publicitario y personalización de contenidos
• Elaboración de casos de éxito o testimoniales para uso en materiales de comunicación del Responsable, previa autorización expresa e individualizada del titular

Si el titular no desea que sus datos sean tratados para las finalidades secundarias, podrá manifestarlo de las siguientes formas: (a) no marcando la casilla de consentimiento correspondiente en el formulario de contacto; (b) enviando solicitud al correo contacto@nutrisurco.com con el asunto "Rechazo de finalidades secundarias"; (c) en cualquier momento posterior, mediante el mismo mecanismo. El rechazo de estas finalidades no condicionará en ningún caso el acceso al servicio de asesoría técnica.

C. Finalidades basadas en interés legítimo del Responsable

Base legal: interés legítimo del Responsable, previo análisis de ponderación que acredita que dicho interés no prevalece sobre los derechos y libertades fundamentales del titular (GDPR art. 6.1.f y equivalentes en cada jurisdicción).

• Seguridad del sitio web: detección y prevención de fraude, ataques informáticos y accesos no autorizados
• Mejora de la experiencia de usuario mediante el análisis anonimizado del comportamiento de navegación
• Defensa de los derechos e intereses legítimos del Responsable en procedimientos judiciales, arbitrales o administrativos

D. Periodos de conservación

Los datos personales no se conservarán por un periodo superior al necesario para el cumplimiento de la finalidad que justifica su tratamiento:

• Datos de contacto para asesoría técnica: durante el tiempo que dure la relación comercial activa, más un periodo adicional de cinco (5) años desde la última interacción, a efectos de garantía y responsabilidad
• Datos de navegación y cookies analíticas: un periodo máximo de trece (13) meses desde su recopilación, en línea con el estándar fijado por la CNIL francesa y la ICO británica
• Registros de consentimiento: cinco (5) años desde la fecha de obtención del consentimiento, como evidencia del cumplimiento de la obligación de transparencia
• Datos sujetos a obligaciones de conservación legal: el plazo que corresponda en cada jurisdicción; en México, un mínimo de cinco (5) años conforme a NOM-151-SCFI-2016 y de diez (10) años para obligaciones tributarias
• Datos cuyo consentimiento haya sido revocado: eliminación dentro de los treinta (30) días calendario siguientes a la recepción de la solicitud, salvo que una norma legal exija su conservación

Transferencias de datos personales

A. Transferencias nacionales

El Responsable podrá comunicar datos personales a los siguientes destinatarios en territorio mexicano, sin requerir el consentimiento del titular conforme al artículo 37 de la LFPDPPP:

• Autoridades gubernamentales mexicanas: SADER, SENASICA, SAT, IMSS, INFONAVIT, PROFECO y demás autoridades competentes, cuando sea requerido por disposición legal o resolución de autoridad
• Distribuidores técnicos autorizados por el Responsable, exclusivamente para los fines de prestación de asesoría técnica de campo en el marco de la relación comercial establecida con el titular
• Proveedores de servicios que actúan como Encargados del Tratamiento bajo contrato escrito que les impone obligaciones equivalentes a las del Responsable: plataformas de CRM, servicios de alojamiento web, sistemas de correo electrónico transaccional y herramientas de análisis web

B. Transferencias internacionales

El Responsable puede transferir datos personales a proveedores de servicios ubicados en otros países para fines operativos. Las garantías aplicadas a cada flujo transfronterizo son las siguientes:

Transferencias entre México y la Unión Europea

México cuenta con decisión de adecuación emitida por la Comisión Europea. Las transferencias en ambos sentidos se amparan en dicho reconocimiento sin necesidad de garantías adicionales.

Transferencias hacia proveedores en Estados Unidos

Se realizan mediante Cláusulas Contractuales Tipo (Standard Contractual Clauses — SCCs) adoptadas por la Comisión Europea mediante Decisión 2021/914 y, cuando el proveedor se encuentra adherido, mediante el marco EU-US Data Privacy Framework. Los proveedores que reciben datos de usuarios californianos actúan como Service Providers bajo CCPA/CPRA con prohibición contractual de vender o utilizar los datos para fines propios.

Transferencias hacia proveedores en Canadá

Canadá cuenta con decisión de adecuación de la Comisión Europea. Las transferencias se realizan bajo contratos que incorporan los principios del PIPEDA. Para destinatarios en Quebec, se incorporan adicionalmente las exigencias de la Loi 25.

Transferencias dentro de América Latina

Se realizan mediante contratos que incorporan garantías equivalentes a las exigidas por la legislación nacional de cada país involucrado, con referencia a los Estándares de Protección de Datos de la Red Iberoamericana de Protección de Datos (RIPD, 2017).

Transferencias hacia el Reino Unido y Suiza

El Reino Unido cuenta con decisión de adecuación de la Comisión Europea post-Brexit. Las transferencias se respaldan adicionalmente mediante el International Data Transfer Agreement (IDTA) emitido por la ICO cuando el destinatario opera desde un tercer país sin adecuación. Suiza cuenta con reconocimiento mutuo de adecuación con la Unión Europea.

C. Prohibición de venta de datos

El Responsable declara expresamente que no vende, cede, arrienda ni comercializa datos personales de sus titulares a terceros con fines lucrativos propios o de terceros. Esta declaración es aplicable en todas las jurisdicciones cubiertas por el presente Aviso y tiene especial relevancia para el cumplimiento de la CCPA/CPRA de California, la LGPD brasileña y el GDPR europeo.

Derechos de los titulares y procedimiento de ejercicio

A. Catálogo de derechos reconocidos

El titular de los datos personales tiene reconocidos los derechos que se enumeran a continuación. La disponibilidad efectiva de cada derecho en una jurisdicción concreta dependerá de la normativa aplicable en el país de residencia del titular; no obstante, el Responsable reconoce y aplica el catálogo más amplio como estándar general.

Derecho de Acceso

El titular tiene derecho a obtener confirmación de si el Responsable trata o no datos personales que le conciernan y, en caso afirmativo, a acceder a dichos datos y a la siguiente información: finalidades del tratamiento, categorías de datos tratados, destinatarios a los que se comunicaron o comunicarán, periodo previsto de conservación, existencia de decisiones automatizadas y lógica aplicada, y derechos reconocidos al titular.

Derecho de Rectificación

El titular tiene derecho a obtener sin dilación indebida la rectificación de los datos personales inexactos que le conciernan. Teniendo en cuenta los fines del tratamiento, el titular tiene derecho a que se completen los datos personales que sean incompletos.

Derecho de Cancelación o Supresión

El titular tiene derecho a solicitar la supresión de sus datos personales cuando: ya no sean necesarios para los fines para los que fueron recabados; el titular retire el consentimiento en el que se basa el tratamiento; el titular se oponga al tratamiento; los datos hayan sido tratados ilícitamente; o deban suprimirse para cumplir una obligación legal. Este derecho no es absoluto y puede estar limitado por obligaciones legales de conservación.

Derecho de Oposición

El titular tiene derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, al tratamiento de sus datos personales basado en el interés legítimo del Responsable, incluida la elaboración de perfiles. El titular tiene derecho a oponerse en todo momento al tratamiento de sus datos para fines de mercadotecnia directa, sin necesidad de justificación alguna.

Derecho a la Limitación del Tratamiento

El titular tiene derecho a obtener la limitación del tratamiento de sus datos cuando: impugne la exactitud de los datos; el tratamiento sea ilícito y el titular se oponga a su supresión; el Responsable ya no necesite los datos pero el titular los requiera para el ejercicio o la defensa de reclamaciones; o el titular se haya opuesto al tratamiento mientras se verifica si los motivos legítimos del Responsable prevalecen sobre los del titular.

Derecho a la Portabilidad de los Datos

El titular tiene derecho a recibir los datos personales que haya facilitado al Responsable, en un formato estructurado, de uso común y lectura mecánica, y a transmitirlos a otro responsable del tratamiento sin que el Responsable lo impida, cuando el tratamiento esté basado en el consentimiento o en un contrato, y se efectúe por medios automatizados. Este derecho está expresamente reconocido bajo el GDPR, la LGPD, la CCPA/CPRA y la LOPDP ecuatoriana, entre otras normativas.

Derecho a no ser objeto de decisiones exclusivamente automatizadas

El titular tiene derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en el titular o le afecte significativamente de modo similar. El Responsable no adopta en la actualidad decisiones de esta naturaleza respecto a los titulares de los datos recabados a través del sitio web.

Derecho al Retiro del Consentimiento

El titular podrá revocar en cualquier momento el consentimiento otorgado para el tratamiento de sus datos personales, sin que ello afecte a la licitud del tratamiento efectuado con anterioridad a dicha revocación.

Derechos adicionales bajo CCPA/CPRA (usuarios de California, EE. UU.)

• Derecho a conocer qué datos personales se recopilan, con qué finalidad y a quién se venden o divulgan
• Derecho a eliminar datos personales, con sujeción a las excepciones establecidas en la ley
• Derecho a corregir datos personales inexactos
• Derecho a ejercer opt-out de la venta y compartición de datos para publicidad de comportamiento cruzado. El enlace "Do Not Sell or Share My Personal Information" está permanentemente disponible en el pie de página del Sitio
• Derecho a limitar el uso de información personal sensible
• Derecho a no ser discriminado por el ejercicio de cualquiera de los derechos anteriores

B. Procedimiento para el ejercicio de derechos

Para ejercer cualquiera de los derechos anteriores, el titular deberá presentar solicitud por escrito al correo electrónico contacto@nutrisurco.com, indicando en el asunto: "Ejercicio de Derechos — [Nombre del país de residencia]".

La solicitud deberá contener, como mínimo:

• Nombre completo del titular y, en su caso, del representante o causahabiente legitimado
• Dirección de correo electrónico registrada en el Sitio o utilizada en la solicitud original
• Descripción clara y precisa de los datos respecto de los cuales se pretende ejercer el derecho
• Descripción del derecho que se desea ejercer y las razones que lo motivan, en los casos en que la normativa lo requiera
• Copia de documento de identificación oficial vigente que acredite la identidad del titular o, en su caso, del representante y del poder o autorización que lo habilita
• Cualquier documento adicional que facilite la localización de los datos objeto de la solicitud

El Responsable acusará recibo de la solicitud dentro del plazo establecido por la normativa de la jurisdicción del titular e informará al titular de la decisión adoptada dentro del plazo máximo legal aplicable, conforme a la tabla de plazos siguiente.

C. Plazos de respuesta por jurisdicción

D. Autoridades de control ante las que puede presentarse reclamación

• México: Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) — www.inai.org.mx
• Unión Europea: Autoridad de control del Estado miembro del interesado — directorio: www.edpb.europa.eu
• Alemania: Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) — www.bfdi.bund.de
• Reino Unido: Information Commissioner's Office (ICO) — www.ico.org.uk
• Suiza: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) — www.edoeb.admin.ch
• Brasil: Autoridade Nacional de Proteção de Dados (ANPD) — www.gov.br/anpd
• Colombia: Superintendencia de Industria y Comercio (SIC) — www.sic.gov.co
• Argentina: Agencia de Acceso a la Información Pública (AAIP) — www.argentina.gob.ar/aaip
• Chile: Consejo para la Transparencia (CPLT) — www.cplt.cl
• Perú: Autoridad Nacional de Protección de Datos Personales — www.gob.pe/anpd
• Ecuador: Superintendencia de Protección de Datos Personales
• Uruguay: Unidad Reguladora y de Control de Datos Personales (URCDP) — www.datospersonales.gub.uy
• Panamá: Autoridad Nacional de Transparencia y Acceso a la Información (ANTAI)
• Costa Rica: Agencia de Protección de Datos de los Habitantes (PRODHAB)
• Canadá: Office of the Privacy Commissioner of Canada (OPC) — www.priv.gc.ca
• Canadá, Quebec: Commission d'accès à l'information (CAI) — www.cai.gouv.qc.ca
• Estados Unidos: California Privacy Protection Agency (CPPA) — www.cppa.ca.gov — y autoridades estatales equivalentes

Medidas de seguridad

El Responsable ha implementado medidas de seguridad de carácter técnico, administrativo y físico orientadas a proteger los datos personales contra la pérdida, el uso indebido, el acceso no autorizado, la divulgación, la alteración o la destrucción, conforme a lo exigido por cada legislación aplicable.

A. Medidas técnicas

• Cifrado en tránsito de la totalidad de las comunicaciones mediante protocolo TLS 1.3
• Cifrado en reposo de las bases de datos que contienen datos personales mediante algoritmo AES-256
• Control de acceso basado en roles (RBAC) con autenticación de múltiples factores (MFA) para todo el personal con acceso a datos personales
• Sistemas de detección de intrusiones y monitoreo continuo de accesos
• Evaluaciones periódicas de vulnerabilidades y pruebas de penetración realizadas por terceros independientes con periodicidad anual
• Copias de seguridad cifradas con verificación automática de integridad

B. Medidas administrativas y organizativas

• Política interna de protección de datos personales con revisión anual obligatoria
• Cláusulas contractuales de confidencialidad y protección de datos personales en los contratos suscritos con empleados y con todos los proveedores que actúan como Encargados del Tratamiento
• Programa de formación y sensibilización en materia de privacidad y ciberseguridad dirigido a todo el personal
• Designación de un Punto de Contacto de Privacidad con funciones equivalentes a las del Delegado de Protección de Datos (DPO) conforme al GDPR
• Mantenimiento de un Registro de Actividades de Tratamiento (ROPA) actualizado y disponible para inspección por las autoridades de control
• Realización de Evaluaciones de Impacto relativas a la Protección de Datos (DPIA) para todo nuevo tratamiento que pudiera entrañar alto riesgo para los derechos y libertades de los titulares

C. Notificación de violaciones de seguridad

En caso de producirse una violación de la seguridad de los datos personales, el Responsable actuará conforme al siguiente protocolo:

• Notificación a la autoridad de control competente en la jurisdicción del titular afectado dentro de las setenta y dos (72) horas siguientes al conocimiento de la violación, conforme al art. 33 del GDPR y sus equivalentes en cada legislación
• Notificación directa a los titulares afectados sin dilación indebida, cuando la violación pueda entrañar un alto riesgo para sus derechos y libertades, con descripción de la naturaleza de la violación, datos de contacto del Responsable, consecuencias previsibles y medidas adoptadas o propuestas
• Registro documentado de toda violación de seguridad en el registro interno de incidentes del Responsable, con independencia de su gravedad, a efectos de evidencia de cumplimiento

Cookies y tecnologías de rastreo

El sitio web utiliza cookies y tecnologías de rastreo similares. A continuación se describe su naturaleza, finalidad y el modo en que el titular puede gestionar sus preferencias.

Clasificación de las cookies utilizadas

Gestión del consentimiento y periodo de vigencia

Al primer acceso al Sitio se presenta al titular un panel de gestión de consentimiento que le permite aceptar, rechazar o personalizar las categorías de cookies de forma granular. La decisión del titular queda registrada con marca de tiempo como evidencia del consentimiento otorgado o denegado. El titular puede modificar sus preferencias en cualquier momento desde el panel de gestión de cookies accesible en el pie de página. Las cookies de sesión se eliminan al cerrar el navegador. Las cookies persistentes tienen una vigencia máxima de trece (13) meses.

El Sitio reconoce y respeta las señales Do Not Track (DNT) y Global Privacy Control (GPC) del navegador del titular. Cuando se detecta una señal GPC activa, se desactivan automáticamente todas las cookies no esenciales.

Disposiciones específicas por jurisdicción

Las disposiciones contenidas en este apartado complementan el marco general del presente Aviso y son aplicables de forma específica a los titulares residentes en cada jurisdicción indicada. En ningún caso reducen los derechos reconocidos en las secciones precedentes.

Modificaciones al Aviso de Privacidad

El Responsable se reserva el derecho de modificar el presente Aviso de Privacidad en cualquier momento para adecuarlo a cambios legislativos, jurisprudenciales, regulatorios, tecnológicos o de negocio. Las modificaciones que afecten de manera sustancial los derechos de los titulares serán comunicadas mediante aviso destacado en el sitio web www.nutrisurco.com con una antelación mínima de treinta (30) días calendario a su entrada en vigor. Las modificaciones menores se comunicarán con una antelación mínima de cinco (5) días hábiles.

El uso continuado del sitio web www.nutrisurco.com con posterioridad a la fecha de entrada en vigor de una modificación constituye aceptación de la nueva versión del Aviso. Si el titular no estuviera de acuerdo con la modificación, deberá abstenerse de utilizar el Sitio y solicitar, en su caso, la eliminación de sus datos conforme al procedimiento establecido en la Sección V.

Las versiones anteriores del Aviso quedarán archivadas y podrán ser consultadas mediante solicitud al correo contacto@nutrisurco.com.

Aceptación y vigencia

El acceso y uso del sitio web www.nutrisurco.com implica la lectura, comprensión y aceptación íntegra del presente Aviso de Privacidad. El titular que no acepte las condiciones aquí establecidas deberá abstenerse de proporcionar sus datos personales y de utilizar los servicios del Sitio.

El presente Aviso de Privacidad entra en vigor el 1 de julio de 2025 y permanece vigente de forma indefinida hasta su derogación o sustitución por una versión posterior publicada conforme al procedimiento descrito en la Sección IX.

Este Aviso de Privacidad, en su versión completa e íntegra, está disponible de forma permanente en: www.nutrisurco.com/privacidad.