1. Responsable
El responsable del tratamiento es Decodifica.mx (el “servicio”, “nosotros”). El sitio es decodifica.mx.
Las solicitudes de derechos ARCO y cualquier límite al uso de los datos se envían por el formulario de contacto del sitio:
- Formulario: https://www.unitmedia.io/#contacto
2. Datos personales que tratamos
El alta del reporte pide solo el correo y una casilla de consentimiento. No pedimos nombre para mandar el reporte.
Datos del correo y de la suscripción
- Dirección de correo electrónico.
- Que la persona marcó la casilla, y la versión del texto que aceptó.
- Estado del envío: confirmación, prueba, prueba terminada, pago al corriente, pago rechazado, cancelación, baja, rebote o queja.
- Cuántos reportes de la prueba ya se enviaron.
- Identificadores de cliente y de suscripción en Stripe, y el estado del pago. El número completo de la tarjeta lo tiene Stripe. Decodifica no lo guarda.
- Avisos de entrega, rebote o queja que Resend nos regresa sobre ese correo.
Cuenta opcional. Si alguien crea cuenta en registro, además guardamos nombre, edad, ocupación y una contraseña. La contraseña la resguarda Supabase Auth con un hash. Nosotros no la vemos. Crear esa cuenta no abre la prueba ni un cobro. El reporte no necesita esa cuenta.
Uso del sitio. Varias páginas cargan Plausible al abrirse. Google Analytics (GA4) solo se carga si la persona acepta el aviso de cookies. En la página principal el navegador puede guardar en su propio almacenamiento local la última consulta del mercado, para mostrarla si la red falla. La elección del aviso de cookies queda en ese mismo almacenamiento del aparato, en las páginas que muestran el aviso. La página principal no carga Google Analytics ni Plausible.
No pedimos datos sensibles: origen racial o étnico, salud, información genética, creencias, afiliación sindical, opinión política ni preferencia sexual. Si un texto libre trajera algo así, no lo usamos para decidir el servicio.
3. Finalidades
3.1 Finalidades necesarias para el servicio. Dan origen a la relación. Sin ellas no hay reporte ni cobro:
- Confirmar que el correo es de quien lo dejó.
- Enviar los 5 reportes de prueba, uno por día hábil de la BMV. Un festivo de la BMV no cuenta.
- Enviar el reporte diario a quien paga y está al corriente.
- Enviar el resumen del domingo solo a quien está en la prueba o paga y está al corriente.
- Al acabar la prueba, escribir para ofrecer el plan de $99 MXN al mes, y un solo recordatorio si no hay respuesta. Si la persona no sigue, no hay cargo.
- Cobrar el plan por Stripe, guardar el estado del pago y dejar de enviar el mismo día si el pago falla. No hay periodo de gracia.
- Atender bajas, cambios de tarjeta por el portal de Stripe, y mensajes al contacto.
- Cuidar el servicio: límites de intentos, rebotes y quejas de spam.
La casilla del alta es el consentimiento para mandar el correo a esa dirección y tratarla con esas finalidades. El texto vigente de la casilla está en la página principal y dice que no es asesoría de inversión.
3.2 Finalidad que no hace falta para recibir el reporte. Medir cómo se usa el sitio, para mejorar páginas públicas. Plausible se carga en las páginas que lo incluyen. Google Analytics solo se carga si la persona acepta el aviso de cookies. No usamos esa medición para decidir a quién se le cobra ni qué dice el reporte.
No mandamos publicidad de otros productos. El correo de «seguir por $99 MXN al mes» es el aviso de que la prueba terminó, no una lista de promociones.
Quien no quiera Google Analytics pulsa «Rechazar» en el aviso, o bloquea las cookies de analítica en su navegador. También puede decirlo por el formulario de contacto. Rechazar o bloquear esa medición no corta el reporte. Para dejar de recibir el reporte, el camino es el enlace de baja de cada correo.
4. Encargados y transferencias
Para prestar el servicio, estos proveedores tratan datos en nuestro nombre. Pueden estar fuera de México. La transferencia es la necesaria para el contrato con la persona (mandar el correo y, si paga, cobrar) y para mantener esa relación. No vendemos, rentamos ni cedemos la lista.
- Stripe, Inc. Cobra el plan, guarda la tarjeta y manda el recibo y el aviso de un pago fallido. Recibe el correo y los identificadores de la suscripción. El cargo en el estado de cuenta aparece como DECO. Decodifica no emite CFDI.
- Resend, Inc. Manda los correos del reporte, del domingo, de confirmación, de la invitación a seguir y del recordatorio. Recibe la dirección y el contenido de ese correo, y nos avisa de rebotes y quejas.
- Supabase, Inc. Guarda la lista de suscriptores y, si alguien crea la cuenta opcional, los datos de esa cuenta.
- Netlify, Inc. Aloja el sitio y las funciones que reciben el alta, la baja y los avisos de Stripe y de Resend. El correo pasa por esas funciones para guardarse y para enviarse.
- Plausible y Google (Google Analytics, GA4). Miden visitas al sitio. Google puede usar cookies y recibir un identificador del navegador. El detalle está en la sección 6.
Anthropic. El texto del reporte se redacta con un modelo de Anthropic a partir de información pública de mercado y de instrucciones editoriales. Ese envío no lleva el correo ni otros datos personales de quien está suscrito. Si algún día un dato personal fuera a Anthropic, este aviso se actualiza antes de que eso ocurra.
Una autoridad competente puede exigir datos. En ese caso entregamos lo que la ley obligue.
5. Derechos ARCO y cómo ejercerlos
La persona puede Acceder, Rectificar, Cancelar u Oponerse al tratamiento de sus datos (derechos ARCO). Ejercer uno no impide ejercer otro. El trámite es gratuito, salvo el costo de copias o de envío si lo pide en un medio que lo tenga.
- Acceso: saber qué datos tenemos y las condiciones generales del tratamiento.
- Rectificación: corregir un dato inexacto o incompleto. Hay que decir qué debe quedar y, si hace falta, con qué se apoya.
- Cancelación: pedir que borremos los datos de nuestros registros, cuando la ley lo permita. Cancelar el dato no es lo mismo que cancelar el cobro de Stripe: el cobro se cancela en el portal, como dicen los Términos de uso.
- Oposición: oponerse a un uso concreto. La baja del correo es la oposición a seguir recibiéndolo.
La solicitud se manda por https://www.unitmedia.io/#contacto y conviene que traiga:
- Nombre de la persona y un medio para recibir la respuesta. Si el dato que tenemos es el correo, la respuesta sale a ese correo.
- Algo que acredite que ese correo es suyo. Pedimos que escriba desde la dirección registrada, o que responda a un mensaje que mandemos ahí. Si actúa un representante, pedimos la identidad y el poder.
- Qué derecho quiere ejercer y, si no es acceso, sobre qué datos.
- Cualquier dato que ayude a encontrar la fila, por ejemplo el correo con el que se dio de alta.
Respondemos en un plazo máximo de 20 días desde que recibimos la solicitud. Si procede, la hacemos efectiva dentro de los 15 días siguientes a esa respuesta. Esos plazos se pueden ampliar una sola vez por un periodo igual, si el caso lo justifica. Lo decimos por el mismo medio.
Revocar el consentimiento y limitar el uso. El enlace «Darme de baja» del reporte diario corta ese correo. El del resumen del domingo corta la lista. Ninguno de los dos cancela el cobro de Stripe. Para no cargar Google Analytics, se pulsa «Rechazar» en el aviso de cookies o se bloquean las cookies en el navegador. Para cualquier otro límite, el mismo formulario de contacto.
Si la respuesta no llega o no corresponde, se puede acudir a la autoridad de la sección 9.
6. Cookies y tecnologías parecidas
El reporte llega por correo. Leer el sitio no exige una cookie de sesión. Estas son las tecnologías de medición:
- Google Analytics (GA4). No se carga al abrir la página. En las páginas que lo usaban, un aviso al pie pregunta si se acepta. La elección se guarda en el almacenamiento local del navegador, con la clave
decodifica.cookies. Solo si la persona acepta, esas páginas cargan el script de Google con el identificador público G-WQYDCFKZ8D. Google puede guardar cookies (por ejemplo_ga) y recibir un identificador del navegador, las páginas vistas y datos técnicos de la visita. No es una medición anónima en sentido estricto. La política de Google describe lo que Google hace con eso. Si la persona rechaza, no cargamos ese script. Esta página y la principal no cargan Google Analytics, así que no muestran el aviso. - Plausible. Las páginas que lo incluyen cargan el script de Plausible al abrirse, sin esperar el aviso. Sirve para contar visitas de forma agregada. Plausible se presenta como analítica sin cookies de publicidad. Aun así el navegador habla con el servidor de Plausible al abrir esas páginas. La página principal no lo carga.
- Almacenamiento local. La página principal puede guardar en el navegador la última tabla de mercado, para no dejar la sección en blanco si la red falla. La elección del aviso de cookies también queda ahí. No es una cookie y no sale a nuestra base de suscriptores.
No usamos cookies de publicidad ni de redes para seguir a la persona por otros sitios. Se pueden bloquear las cookies y los scripts de analítica en el navegador. El correo del reporte no depende de esas cookies.
7. Medidas de seguridad
Cuidamos los datos con medidas administrativas y técnicas acordes al riesgo de una lista de correos y de un cobro:
- El sitio y las funciones van por HTTPS, con cifrado en tránsito.
- El alta del reporte no pide contraseña. Si alguien crea la cuenta opcional, Supabase Auth guarda la contraseña como hash.
- La base de suscriptores se consulta con llaves de servicio, no desde el navegador de quien lee el reporte.
- Los enlaces de baja, de pago y del portal van firmados. Un enlace de baja no abre un cobro.
Ningún sistema es infalible. Si una vulneración afecta de forma significativa los derechos de la persona, se lo informamos para que pueda defenderlos.
8. Modificaciones al aviso de privacidad
Podemos actualizar este aviso. Un cambio sustancial se avisa así:
- Publicamos la versión nueva en esta página, con la fecha de arriba.
- Si tenemos un correo confirmado, escribimos ahí cuando el cambio altera finalidades, encargados o la forma de ejercer ARCO.
Si el cambio necesita un consentimiento nuevo, lo pedimos antes de usar el dato para esa finalidad nueva. Seguir recibiendo el reporte no se toma como un sí a una finalidad distinta. Quien no esté de acuerdo puede darse de baja y pedir la cancelación de sus datos.
9. Marco legal
Este aviso se rige por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) vigente, reformada en 2025, y por las disposiciones que la desarrollen.
Si la persona considera que su derecho no fue respetado, puede acudir a la Secretaría Anticorrupción y Buen Gobierno, que quedó a cargo de la protección de datos de los particulares después de que el INAI dejó de existir. El procedimiento y el escritorio electrónico los publica esa Secretaría.