1. Responsable del tratamiento
CARWA, S.A. de C.V., con domicilio en Prolongación Acueducto 500, Col. Colegio del Aire, C.P. 45138, Zapopan, Jalisco, México, México, y correo electrónico de contacto jcarrillowatanabe@gmail.com, en su carácter de responsable, es quien decide sobre el tratamiento de los datos personales recabados a través de la plataforma Rentas Cloud, disponible en rentas.cloud y en la aplicación Rentas Cloud para iPhone (art. 15 fr. I).
La autoridad encargada de vigilar el cumplimiento en materia de protección de datos personales en posesión de los particulares es la Secretaría Anticorrupción y Buen Gobierno (arts. 38 y 39). El extinto INAI ya no ejerce esa función.
2. Datos personales que tratamos
Según el uso que usted haga del servicio, podemos tratar las siguientes categorías de datos (art. 15 fr. II):
- Identificación: nombre, fecha de nacimiento, CURP, RFC e imágenes de identificación oficial (INE o pasaporte) cuando usted las carga.
- Contacto: correo electrónico, teléfono y domicilio.
- Patrimoniales y financieros: montos de renta, términos del arrendamiento, valor del inmueble, historial de pagos y los datos bancarios que usted registre para conciliar transferencias.
- Documentales: contratos de arrendamiento, comprobantes de pago, comprobantes de domicilio e identificaciones cargadas a la plataforma.
- Fotografías y contenido: fotos de inmuebles, de incidencias de mantenimiento y los mensajes que escribe en tickets y en el asistente.
- Técnicos: dirección IP, cookies, identificador de dispositivo y registros de acceso.
- Inferidos por inteligencia artificial: resúmenes y sugerencias generadas a partir de los datos anteriores.
Datos sensibles. No pedimos datos de salud, origen étnico, creencias, afiliación sindical ni preferencias sexuales, y el servicio no los necesita para funcionar. Si un documento que usted carga llegara a contenerlos, aplica la sección 6. Consentimiento.
3. Datos recabados por la aplicación de iOS
Esta sección corresponde una a una con la etiqueta de privacidad que declaramos en el App Store. La aplicación recaba, vinculados a su cuenta y únicamente para el funcionamiento del propio servicio:
- Correo electrónico — es su identificador de inicio de sesión y el vínculo entre su cuenta y su contrato.
- Nombre — para mostrarlo en tickets, contratos y recibos.
- Teléfono — cuando usted lo registra, para contacto operativo y avisos.
- Fotos y videos — las imágenes que usted adjunta a un reporte de mantenimiento, a una propiedad o a un documento.
- Otro contenido del usuario — los textos que escribe: descripciones de tickets, notas y mensajes al asistente.
- Identificador de dispositivo — el token de notificaciones push, para poder avisarle de un ticket o de un pago.
No hacemos rastreo. La app no usa el identificador de publicidad (IDFA), no pide permiso de seguimiento (ATT), no incorpora SDK de analítica de terceros y no comparte datos con corredores de datos. Su archivo de privacidad declara NSPrivacyTracking = false y ningún dominio de rastreo.
Permisos, y por qué son pocos.
- Cámara — sólo si usted decide tomar la foto de una incidencia dentro de la app. Puede negarlo y seguir usando todo lo demás.
- Fototeca — la app no pide acceso a su fototeca. El selector de fotos se ejecuta fuera de la aplicación y sólo nos entrega las imágenes que usted eligió; el resto de su carrete nunca es visible para nosotros.
- Face ID— es opcional y se resuelve dentro de su iPhone. Su rostro nunca sale del dispositivo ni llega a nuestros servidores: iOS sólo nos responde “sí” o “no”.
- Notificaciones — si las acepta, guardamos el token push para enviárselas a través de Apple (ver la sección 7. Transferencias).
- Ubicación — la app no la solicita.
La app guarda localmente preferencias suyas (la última sesión, ajustes de la interfaz) mediante el almacenamiento estándar de iOS, declarado con el motivo CA92.1: sirven sólo dentro de la app y no se usan para identificarle en otros lugares. Al cerrar sesión o borrar la aplicación, esa información local desaparece del dispositivo.
4. Finalidades primarias
Son las necesarias para prestarle el servicio; sin ellas no podemos operar su cuenta (art. 15 fr. III):
- Administrar propiedades, unidades, contratos e inquilinos.
- Generar, gestionar y conservar contratos de arrendamiento.
- Registrar, conciliar y dar seguimiento a los pagos de renta.
- Atender tickets de mantenimiento y coordinar al personal.
- Autenticarle y mantener la seguridad de la cuenta.
- Enviarle comunicaciones operativas, avisos y soporte.
- Ofrecerle funciones asistidas por inteligencia artificial (ver la sección 7. Inteligencia artificial).
- Cumplir obligaciones legales, fiscales y regulatorias.
5. Finalidades secundarias y cómo oponerse
No son necesarias para el servicio. Puede oponerse a ellas sin que eso afecte lo que tiene contratado (art. 15 fr. III y IV):
- Mejora del producto y desarrollo de nuevas funciones.
- Comunicaciones de marketing y promociones.
- Estadísticas internas de uso.
- Medición de la efectividad de nuestra publicidad y presentación de anuncios en Facebook e Instagram (ver la sección 13. Cookies).
Medios para limitar el uso o divulgación. Para las cookies de medición y publicidad, el banner del sitio y el botón de la sección 13 son el medio directo: surten efecto de inmediato y no requieren trámite. Para el correo de marketing, cada mensaje lleva su enlace de baja. Para cualquier otra finalidad secundaria, escriba a jcarrillowatanabe@gmail.com. Su negativa nunca será motivo para negarle el servicio contratado.
6. Consentimiento
Regla general. Conforme al art. 7, el consentimiento puede ser expreso o tácito, y el tácito es válido por regla general: si usted tiene a la vista este aviso y no manifiesta lo contrario, entendemos que consiente el tratamiento descrito.
Datos patrimoniales y financieros: consentimiento expreso. El mismo art. 7 exige consentimiento expreso para ellos. Al aceptar este aviso al crear su cuenta, usted lo otorga respecto de los montos de renta, términos del arrendamiento, RFC, valor del inmueble e información de pagos necesarios para prestarle el servicio.
Datos sensibles: expreso y por escrito. Si carga un documento que contenga datos personales sensibles, el art. 8 exige su consentimiento expreso y por escrito, que se manifiesta mediante la casilla específica que le presentamos al momento de la carga. Sin esa casilla, no tratamos datos sensibles.
Revocación. Puede revocar su consentimiento en cualquier momento, sin efectos retroactivos, escribiendo a jcarrillowatanabe@gmail.com. Le confirmaremos la revocación en el mismo plazo previsto para los derechos ARCO. Algunas obligaciones legales — señaladamente la conservación de comprobantes fiscales — pueden impedir el borrado inmediato de cierta información; el detalle está en la sección 8. Conservación.
7. Inteligencia artificial
Las funciones de asistente y de resumen usan modelos de Anthropic (Claude), en los Estados Unidos de América. En relación con ese tratamiento:
- Anthropic actúa como encargado: trata los datos únicamente conforme a nuestras instrucciones y para prestarnos el servicio.
- Anthropic no entrena sus modelos con los datos que enviamos por su API.
- Enviamos el mínimo necesario para responder a su solicitud, y no enviamos documentos de identificación ni datos bancarios completos.
- Las sugerencias no se ejecutan solas: usted o una persona de su equipo revisa y confirma antes de cualquier acción material. Por eso no hay decisiones automatizadas con efectos jurídicos en el sentido del art. 26 fr. II — y aun así, ese artículo le reconoce el derecho a oponerse.
Puede oponerse al uso de inteligencia artificial sobre sus datos escribiendo a jcarrillowatanabe@gmail.com. Deshabilitaremos las funciones asistidas por IA en su cuenta, sin que ello afecte el resto del servicio.
8. Encargados y transferencias
Un encargado trata datos por cuenta nuestra y bajo nuestras instrucciones; una transferencia es una entrega a un tercero que decide por sí mismo. La ley distingue las dos cosas (arts. 35 y 36) y aquí también.
Encargados que hacen funcionar el servicio. No requieren su consentimiento adicional porque no son transferencias:
- Anthropic (EE. UU.) — funciones de asistente e inteligencia artificial. Ver la sección 7.
- Cloudflare (EE. UU. / global) — red de entrega, protección frente a ataques, almacenamiento de los archivos y documentos que usted carga.
- Resend (EE. UU.) — envío de los correos del servicio: invitaciones, recuperación de contraseña, avisos y recibos.
- Stripe (EE. UU.) — cobro de la suscripción. Los datos completos de su tarjeta los trata Stripe directamente; nosotros no los almacenamos.
- Apple (APNs) (EE. UU.) — entrega de las notificaciones push a su iPhone. Viaja el token del dispositivo y el texto del aviso; por eso los avisos push no incluyen información sensible.
- Nota (correoautomatico.com) — agenda de demostraciones del sitio. Cuando usted reserva una llamada de demostración, su navegador envía nombre, correo, teléfono y el horario elegido directamente a este proveedor. Operado por el mismo equipo que Rentas Cloud; sus servidores son de Cloudflare. Ver Sub-procesadores.
Canales de mensajería que usted elige activar. Sólo operan si usted conecta ese canal, y entonces el contenido de la conversación pasa necesariamente por él:
- WhatsApp (Meta Platforms, Inc.) (EE. UU.) — mensajes entre usted o su inquilino y el asistente, cuando el canal de WhatsApp está conectado. Se rige además por las políticas de Meta.
- Telegram — lo mismo, para el canal de Telegram.
Transferencias propiamente dichas. Se realizan cuando la ley lo permite (art. 36) o cuando usted lo autoriza:
- Meta Platforms, Inc. (EE. UU.) — únicamente si usted acepta las cookies de medición y publicidad, y sólo respecto de datos de navegación e identificadores seudónimos. El correo o el teléfono que llegara a compartirse para esta finalidad viaja cifrado con SHA-256, nunca en claro. No ocurre si elige “Solo lo necesario” o retira su consentimiento.
- Google LLC(Google Analytics, Estados Unidos), únicamente si usted acepta las cookies de medición y publicidad, y sólo respecto de identificadores de cookie y su dirección IP anonimizada, con finalidad de medición de audiencia. Misma base legal que la transferencia a Meta (art. 36): se realiza porque usted lo autoriza, y no ocurre si elige “Solo lo necesario” o retira su consentimiento.
- Notarios, abogados y asesores legales, cuando la operación lo requiere.
- Autoridades fiscales (SAT), incluido el portal SPPLD cuando exista una actividad vulnerable conforme a la LFPIORPI.
- Autoridades competentes, cuando exista un requerimiento fundado y motivado.
A todo tercero receptor le comunicamos este aviso y las finalidades a las que usted sujetó el tratamiento, y asume las mismas obligaciones que nos corresponden (art. 35). La lista viva de proveedores, con su propósito y ubicación, está en Sub-procesadores.
9. Conservación de los datos
Conservamos cada dato el tiempo necesario para su finalidad y para atender las responsabilidades que nazcan de ella, y después lo suprimimos o lo disociamos:
- Datos de la cuenta y del espacio de trabajo: mientras la cuenta esté activa. Tras la baja, hasta 90 días para permitir su recuperación, y luego se eliminan.
- Contratos, pagos y comprobantes fiscales: 5 años como mínimo, por el plazo de conservación contable y fiscal aplicable, aunque usted cause baja.
- Documentos e imágenes que usted carga: mientras exista el contrato o el ticket al que pertenecen; después siguen la regla de la cuenta, salvo que sirvan de soporte a un comprobante fiscal.
- Conversaciones con el asistente: hasta 12 meses, para poder darle continuidad y auditar el servicio.
- Registros de acceso y de seguridad: hasta 12 meses.
- Evidencia de consentimiento (cookies y marketing): mientras sea necesaria para acreditarlo, y al menos lo que dure la decisión registrada.
- Copias de respaldo: los borrados se propagan a los respaldos en el siguiente ciclo, dentro de 35 días.
10. Derechos ARCO
Usted puede Acceder a sus datos (art. 22), Rectificarlos cuando sean inexactos o incompletos (art. 23), solicitar su Cancelación (art. 24) y Oponerse a su tratamiento por causa legítima o cuando sean objeto de decisiones automatizadas que le afecten significativamente (art. 26). Ejercer uno no es requisito ni impedimento para ejercer otro (art. 21).
Cómo ejercerlos. Envíe su solicitud a jcarrillowatanabe@gmail.com incluyendo lo que pide el art. 28:
- Su nombre y un medio para recibir la respuesta.
- Documento que acredite su identidad (o la personalidad de su representante).
- Descripción clara de los datos sobre los que ejerce el derecho — salvo que se trate del derecho de acceso.
- El derecho que desea ejercer o lo que solicita.
- Cualquier elemento que ayude a localizar los datos. Si pide rectificación, indique además la corrección y aporte el documento que la sustente (art. 30).
Plazos (art. 31). Le comunicaremos la determinación en un máximo de 20 días desde que recibamos la solicitud y, de resultar procedente, la haremos efectiva dentro de los 15 días siguientes. Ambos plazos pueden ampliarse una sola vez por un periodo igual cuando las circunstancias lo justifiquen, y se lo informaremos. El ejercicio de estos derechos es gratuito; sólo podríamos cobrar los gastos de envío o de reproducción (art. 34).
La cancelación alcanza los sistemas y registros donde estén sus datos, incluidas las copias de respaldo, con la propagación descrita en la sección 9. Podemos negar el ejercicio en los supuestos tasados del art. 33 — por ejemplo, si no se acredita la identidad o si una disposición legal nos obliga a conservar el dato — y en ese caso le explicaremos por qué.
11. Medidas de seguridad
Mantenemos medidas administrativas, técnicas y físicas para proteger sus datos contra daño, pérdida, alteración, destrucción o uso, acceso o tratamiento no autorizados (art. 18):
- Cifrado en tránsito y en reposo.
- Control de acceso por rol y aislamiento entre espacios de trabajo.
- Registros de auditoría de las operaciones sensibles.
- Copias de respaldo cifradas.
- Deber de confidencialidad para todo el que interviene en el tratamiento, que subsiste después de terminar la relación (art. 20).
Tomamos marcos reconocidos como ISO/IEC 27001 de referencia para definir esos controles, sin que ello implique que contemos con una certificación vigente. El detalle está en Seguridad.
12. Vulneraciones de seguridad
Si ocurriera una vulneración que afecte de forma significativa sus derechos patrimoniales o morales, se lo informaremos de forma inmediata para que pueda tomar medidas en defensa de sus derechos (art. 19). El aviso describirá, en la medida de lo posible, la naturaleza del incidente, los datos comprometidos, las recomendaciones para protegerse y las acciones correctivas en curso. Como buena práctica, daremos aviso también a la Secretaría Anticorrupción y Buen Gobierno cuando corresponda.
14. Cambios a este aviso
Podemos modificar este aviso. Cualquier cambio material se le comunicará con al menos 15 días de anticipación por correo electrónico y con un aviso dentro de la aplicación, y la fecha de arriba se actualizará (art. 15 fr. VI). Cuando el cambio afecte a las cookies, el banner vuelve a preguntarle: por eso la versión que aparece en la sección 13 es la misma fecha de este aviso.
Cuando recabamos datos por medios electrónicos le mostramos el aviso en modalidad simplificada con un enlace a este texto integral, como exige el art. 16 fr. II.
15. Autoridad y medios de defensa
Si considera que su derecho a la protección de datos ha sido lesionado, o si no está conforme con nuestra respuesta, puede iniciar una solicitud de protección de datos ante la Secretaría Anticorrupción y Buen Gobierno dentro de los 15 días siguientes a la respuesta, o cuando no la haya recibido en los plazos de la sección 10 (arts. 40 y 41).
16. Contacto
Para cualquier duda sobre el tratamiento de sus datos o sobre este aviso:
- Responsable: CARWA, S.A. de C.V.
- Domicilio: Prolongación Acueducto 500, Col. Colegio del Aire, C.P. 45138, Zapopan, Jalisco, México, México
- Correo: jcarrillowatanabe@gmail.com
Última actualización: 9 de septiembre de 2026