Legal

Aviso de Privacidad Integral

Así cuidamos tus datos cuando cotizas, reservas o formas parte del equipo de Turisteando Xtar. Sin letras chiquitas que no puedas encontrar.

Última actualización: 3 de noviembre de 2026

En resumen

Solo pedimos los datos necesarios para cotizar, reservar y confirmar tu tour por WhatsApp: nombre, contacto y composición de tu grupo.
Cuando pagas en línea (Boletos Flash, cotizaciones o reservas), tu tarjeta se captura directo en Openpay, una plataforma de pagos certificada — nunca pasa por nuestros servidores ni queda almacenada por nosotros.
No vendemos tus datos. Los compartimos solo con la infraestructura que hace funcionar el sitio (alojamiento, base de datos, correo, WhatsApp, pagos), con Google Analytics, que mide el uso del sitio, y con los proveedores de tu experiencia cuando lo necesitan para darte acceso.
Puedes pedirnos acceder, corregir, borrar u oponerte al uso de tus datos cuando quieras, escribiendo a turisteandoxtar@gmail.com.

I. Identidad y domicilio del responsable

«Turisteando Xtar» es el nombre comercial bajo el cual se prestan los servicios turísticos descritos en este sitio. El responsable del tratamiento de tus datos personales, conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP, publicada el 20 de marzo de 2025) y la normativa que de ella deriva, es Turisteando Xtar, S. de R.L. de C.V., RFC TXT260724257, que opera bajo el nombre comercial Turisteando Xtar, con domicilio fiscal en Calle Montecristo número 32, Colonia Cuauhtémoc, Alcaldía La Magdalena Contreras, C.P. 10020, Ciudad de México, México.

Contacto: turisteandoxtar@gmail.com · WhatsApp +52 55 2702 6826

II. Datos personales que recabamos

A. Si eres visitante o cliente

Identificación: nombre completo del titular de la reserva y de cada acompañante o pasajero de tu grupo (incluye menores de edad que viajan con un adulto responsable).
Contacto: WhatsApp/teléfono y correo electrónico.
Datos de la reserva: fecha, número de personas, composición del grupo, tour elegido, precio, método de pago elegido y notas o solicitudes especiales.
Tarjetas de regalo: nombre y contacto de quien compra y de quien la recibe.
Referidos: tu nombre y correo, y los de la persona que refieres.
Boletín «Diario»: tu correo electrónico, si te suscribes.

Datos de pago: para reservas coordinadas por WhatsApp o transferencia, el pago se acuerda directo contigo y no pasa por este sitio. Para Boletos Flash, cotizaciones y reservas pagadas con tarjeta, el pago se procesa dentro de Openpay (plataforma certificada bajo los estándares de seguridad PCI DSS): el número de tarjeta y el CVV se capturan y transmiten cifrados directo a Openpay, nunca llegan a nuestros servidores ni quedan almacenados por Turisteando Xtar. Nosotros recibimos el resultado del cobro (aprobado o, si no pasó, el motivo: fondos insuficientes, tarjeta rechazada o falla), un identificador de la transacción y el nombre del titular de la tarjeta, que guardamos aparte del titular de la reserva como constancia del pago.

Aceptación de Términos: cuando pagas o confirmas en el sitio guardamos la fecha, la hora, el idioma y la versión de los Términos y de este Aviso que aceptaste.

B. Si formas parte de nuestro equipo (guías, promotores, staff)

Identificación y contacto: nombre, teléfono, correo electrónico, rol.
Credenciales de acceso: tu contraseña se guarda siempre cifrada; nadie en el equipo puede leerla en texto plano.
Perfil público (solo si decides publicarlo en la página de Equipo): fotografía, biografía, credenciales, especialidades y comentarios de clientes.
Datos operativos: calendario de disponibilidad, historial de ventas y comisiones, fotografías de tours enviadas para créditos, mensajes internos entre compañeros, y bitácora de auditoría de tu actividad dentro de los portales internos.

C. Datos técnicos y de navegación (todos los visitantes)

Idioma preferido y si ya aceptaste este aviso — guardado únicamente en tu propio dispositivo, no en nuestros servidores.
Google Analytics (ver sección V): dirección IP, tipo de navegador, páginas visitadas y acciones dentro del sitio (por ejemplo, abrir WhatsApp o generar un folio de cotización).
El sitio carga tipografías de Google Fonts, lo que implica el envío de tu dirección IP a Google al cargar la página.

III. Cómo obtenemos tus datos

Directamente de ti, cuando usas el cotizador, el formulario de reserva, la tarjeta de regalo, la solicitud para unirte al equipo o el boletín del Diario.
Cuando nos escribes por WhatsApp o correo electrónico.
De un hotel, agencia o miembro de nuestro equipo que te recomienda y registra tu solicitud por ti.
De forma automática, a través del almacenamiento local de tu navegador y de Google Analytics.

IV. Finalidades del tratamiento

Primarias (necesarias para darte el servicio)

Generar tu cotización y confirmar tu reserva.
Coordinar contigo por WhatsApp o correo antes, durante y después del tour.
Asignar guía, transporte y logística según el tamaño y composición de tu grupo.
Procesar tarjetas de regalo, créditos por referidos y solicitudes de incorporación al equipo.
Cumplir obligaciones fiscales, contables y legales de la operación turística.
Administrar el acceso y las funciones internas de nuestro equipo de guías y promotores.

Secundarias (opcionales — puedes oponerte sin que se afecte tu servicio)

Enviarte contenido del Diario o promociones, si te suscribiste.
Medición y analítica del uso del sitio, para mejorar la experiencia.
Mostrar tu perfil público en la página de Equipo (solo colaboradores que lo publiquen).

Si no deseas que tratemos tus datos para finalidades secundarias, escríbenos a turisteandoxtar@gmail.com y lo excluimos de inmediato.

V. Transferencias de datos personales

Para operar el sitio y el servicio, compartimos datos únicamente con estos destinatarios:

Destinatario	Qué recibe	Para qué
Supabase Inc. (base de datos e infraestructura)	Reservas, cuentas del equipo, tarjetas de regalo, referidos, mensajes internos	Alojar de forma segura nuestra base de datos operativa. Sus servidores pueden estar ubicados fuera de México.
Openpay (Grupo BBVA)	Número de tarjeta, fecha de expiración y CVV — recibidos directamente por Openpay, nunca por nuestros servidores —, más tu nombre, correo y teléfono para identificar el cobro	Procesar el cobro con tarjeta de Boletos Flash, cotizaciones y reservas de forma segura y certificada (PCI DSS). Nosotros solo recibimos el resultado de la transacción (aprobado/rechazado) y un identificador, nunca los datos de tu tarjeta.
Meta Platforms, Inc. (WhatsApp)	Tu nombre, teléfono y detalles de tu reserva, dentro del mensaje que tú envías	Confirmar tu reserva y darte soporte por chat
Google LLC (Google Fonts)	Tu dirección IP	Cargar las tipografías del sitio
Google LLC (Google Analytics)	IP, tipo de navegador, páginas visitadas y acciones en el sitio	Medir el uso del sitio para mejorarlo
Cloudflare, Inc. (alojamiento del sitio)	Tu dirección IP y los datos de los formularios que envías	Publicar el sitio y procesar de forma segura cotizaciones, reservas y pagos. Sus servidores pueden estar fuera de México.
Google LLC (correo y calendario)	Los correos que nos envías y los datos de tu reserva	Recibir y contestar tus correos y agendar tu experiencia
Proveedores de tu experiencia (recintos, museos, restaurantes, transportistas, boleteras)	Nombre de las personas que asisten y, si el acceso lo exige, el dato de contacto mínimo	Emitir boletos o accesos nominativos y operar la experiencia que contrataste. Es necesario para darte el servicio.
Hotel, agencia o miembro del equipo que te recomendó	Estado de tu solicitud o reserva	Dar seguimiento a la recomendación que ellos hicieron

No vendemos, rentamos ni compartimos tus datos con fines publicitarios de terceros ajenos a esta lista.

VI. Cookies y almacenamiento local

No usamos cookies de rastreo publicitario. Usamos almacenamiento local de tu navegador (localStorage/sessionStorage) para recordar tu idioma, si aceptaste este aviso y, si iniciaste sesión como parte del equipo, tu sesión de trabajo. Al iniciar un pago, también recordamos tu nombre, WhatsApp y correo durante 30 días para que no tengas que escribirlos de nuevo; si llegaste por un cartel con código QR, recordamos ese código durante 7 días. Nunca guardamos ahí datos de tu tarjeta. Esa información vive solo en tu dispositivo y puedes borrarla desde la configuración de tu navegador cuando quieras. Si usas un equipo compartido, bórrala al terminar.

Usamos Google Analytics, que instala sus propias cookies de medición (por ejemplo _ga, _gid) conforme a la política de privacidad de Google. Puedes bloquearlas desde tu navegador o con extensiones como Google Analytics Opt-out.

VII. Medidas de seguridad

Conexión cifrada (HTTPS) en todo el sitio.
Contraseñas del equipo almacenadas siempre cifradas, nunca en texto plano.
Acceso a paneles internos restringido por rol (guía, promotor, administración).
Bitácora de auditoría de acciones relevantes dentro de los portales internos.
Cuando aceptas los Términos y este Aviso en el sitio (cotizador, reservas, Boletos Flash o pagos), guardamos la fecha, la hora y la versión que aceptaste, como constancia de la contratación.
Las personas del equipo que atienden nuestro WhatsApp o los portales internos solo ven los datos que necesitan para atenderte, y se comprometen por escrito a mantenerlos confidenciales.
Los pagos con tarjeta se procesan mediante los campos seguros de Openpay, certificados bajo el estándar PCI DSS — Turisteando Xtar nunca ve, transmite ni almacena el número completo de tu tarjeta ni el CVV.

Ningún sistema es infalible. Si detectamos una vulneración de seguridad que afecte tus datos, te lo notificaremos conforme a la ley aplicable.

VIII. Derechos ARCO

Tienes derecho a Acceder, Rectificar, Cancelar u Oponerte (ARCO) al tratamiento de tus datos, así como a limitar su uso o divulgación. Para ejercerlos, escríbenos a turisteandoxtar@gmail.com indicando:

Tu nombre completo y datos de contacto.
El derecho que deseas ejercer.
Documento que acredite tu identidad (o la de tu representante legal).
Descripción clara de los datos sobre los que ejerces el derecho.

Responderemos en un plazo máximo de 20 días hábiles, y de resultar procedente, haremos efectiva tu solicitud dentro de los 15 días hábiles siguientes, conforme a la LFPDPPP.

Si consideras que no atendimos tu solicitud conforme a la ley, puedes acudir a la autoridad federal de protección de datos personales (desde 2025, la Secretaría Anticorrupción y Buen Gobierno).

IX. Revocación del consentimiento

Puedes revocar el consentimiento que nos hayas otorgado en cualquier momento, escribiendo a turisteandoxtar@gmail.com. Ten en cuenta que la revocación puede implicar que no podamos continuar dando seguimiento a una reserva en curso.

X. Datos personales de menores de edad

Nuestros tours pueden incluir viajeros menores de edad cuando forman parte de un grupo familiar. En estos casos, el nombre del menor es proporcionado por el adulto responsable de la reserva, quien declara contar con la autoridad para hacerlo y consiente el tratamiento de esos datos con la única finalidad de operar el tour de forma segura. No recabamos directamente datos de menores no acompañados ni los usamos para fines distintos a la logística del tour.

XI. Cambios a este aviso

Podemos actualizar este aviso ante cambios en nuestros servicios, en la normativa aplicable o en nuestras prácticas de tratamiento de datos. Publicaremos cualquier cambio relevante en esta misma página con su nueva fecha de actualización. Te recomendamos revisarla de vez en cuando.

¿Dudas sobre tus datos?

Escríbenos y te respondemos directo, sin trámites eternos.

turisteandoxtar@gmail.com WhatsApp +52 55 2702 6826 @turisteandoxtar

Legal

Privacy Notice

How we handle your data when you get a quote, book, or join the Turisteando Xtar team. No fine print you can't find.

Last updated: November 3, 2026

In short

We only ask for what's needed to quote, book, and confirm your tour over WhatsApp: name, contact info, and your group's makeup.
When you pay online (Flash Tickets, quotes or bookings), your card is entered directly into Openpay, a certified payment platform — it never passes through our servers or gets stored by us.
We don't sell your data. We share it only with the infrastructure that runs the site (hosting, database, email, WhatsApp, payments), with Google Analytics, which measures site usage, and with the suppliers of your experience when they need it to give you access.
You can ask us to access, correct, delete, or object to the use of your data anytime by writing to turisteandoxtar@gmail.com.

I. Who is responsible for your data
II. Data we collect
III. How we obtain your data
IV. Purposes of processing
V. Data transfers
VI. Cookies and local storage
VII. Security measures
VIII. Your rights (access, rectify, cancel, object)
IX. Withdrawing consent
X. Data of minors
XI. Changes to this notice

I. Who is responsible for your data

"Turisteando Xtar" is the trade name under which the tourism services described on this site are provided. Under Mexico's Federal Law on Protection of Personal Data Held by Private Parties (LFPDPPP, published March 20, 2025) and the rules derived from it, the party responsible for processing your personal data is Turisteando Xtar, S. de R.L. de C.V., tax ID (RFC) TXT260724257, operating under the trade name Turisteando Xtar, with its tax address at Calle Montecristo 32, Colonia Cuauhtémoc, La Magdalena Contreras, 10020, Mexico City, Mexico.

Contact: turisteandoxtar@gmail.com · WhatsApp +52 55 2702 6826

II. Personal data we collect

A. If you're a visitor or client

Identification: full name of the person booking and of every companion or traveler in your group (including minors traveling with a responsible adult).
Contact: WhatsApp/phone and email.
Booking details: date, party size, group makeup, tour selected, price, chosen payment method, and any special notes or requests.
Gift cards: name and contact info of the buyer and the recipient.
Referrals: your name and email, and those of the person you refer.
"Diario" newsletter: your email, if you subscribe.

Payment data: for bookings coordinated over WhatsApp or bank transfer, payment is arranged directly with you and never runs through this site. For Flash Tickets, quotes and bookings paid by card, payments are processed within Openpay (a platform certified under PCI DSS security standards): your card number and CVV are captured and transmitted encrypted directly to Openpay — they never reach our servers or get stored by Turisteando Xtar. We receive the payment result (approved or, if it failed, the reason: insufficient funds, card declined or processing failure), a transaction identifier and the cardholder's name, which we keep separately from the booking holder as a record of payment.

Acceptance of Terms: when you pay or confirm on the site we keep the date, time, language and version of the Terms and of this Notice that you accepted.

B. If you're part of our team (guides, promoters, staff)

Identification and contact: name, phone, email, role.
Access credentials: your password is always stored encrypted; no one on the team can read it in plain text.
Public profile (only if you choose to publish it on the Team page): photo, bio, credentials, specialties, and client comments.
Operational data: availability calendar, sales and commission history, tour photos submitted for credits, internal messages between teammates, and an activity log of your actions inside the internal portals.

C. Technical and browsing data (all visitors)

Preferred language and whether you've already accepted this notice — stored only on your own device, not on our servers.
Google Analytics (see section V): IP address, browser type, pages visited and actions on the site (for example, opening WhatsApp or generating a quote number).
The site loads fonts from Google Fonts, which sends your IP address to Google when the page loads.

III. How we obtain your data

Directly from you, when you use the quote tool, the booking form, the gift card, the team application, or the Diario newsletter.
When you write to us on WhatsApp or by email.
From a hotel, agency or member of our team who refers you and registers your request on your behalf.
Automatically, through your browser's local storage and Google Analytics.

IV. Purposes of processing

Primary purposes (necessary to provide the service)

Generate your quote and confirm your booking.
Coordinate with you via WhatsApp or email before, during, and after the tour.
Assign a guide, transport, and logistics based on your group's size and makeup.
Process gift cards, referral credits, and team-application requests.
Comply with applicable tax, accounting, and legal obligations.
Manage access to and functions of our internal guide and promoter portals.

Secondary purposes (optional — you can opt out without affecting your service)

Send you Diario content or promotions, if you subscribed.
Measure and analyze site usage to improve the experience.
Show your public profile on the Team page (only staff who choose to publish it).

If you don't want your data used for secondary purposes, write to turisteandoxtar@gmail.com and we'll exclude it right away.

V. Data transfers

To run the site and service, we share data only with these recipients:

Recipient	What they receive	Why
Supabase Inc. (database & infrastructure)	Bookings, team accounts, gift cards, referrals, internal messages	Securely host our operational database. Its servers may be located outside Mexico.
Openpay (BBVA Group)	Card number, expiration date, and CVV — received directly by Openpay, never by our servers — plus your name, email and phone to identify the charge	Securely process card payments for Flash Tickets, quotes and bookings (PCI DSS certified). We only receive the transaction result (approved/declined) and an identifier, never your card data.
Meta Platforms, Inc. (WhatsApp)	Your name, phone, and booking details, within the message you send	Confirm your booking and provide chat support
Google LLC (Google Fonts)	Your IP address	Load the site's typefaces
Google LLC (Google Analytics)	IP, browser type, pages visited and on-site actions	Measure site usage to improve it
Cloudflare, Inc. (site hosting)	Your IP address and the form data you submit	Serve the site and securely process quotes, bookings and payments. Its servers may be located outside Mexico.
Google LLC (email and calendar)	The emails you send us and your booking details	Receive and answer your emails and schedule your experience
Suppliers of your experience (venues, museums, restaurants, transport operators, ticketing companies)	Names of the people attending and, if access requires it, minimal contact details	Issue named tickets or admissions and run the experience you booked. Required to provide the service.
Hotel, agency or team member who referred you	Status of your request or booking	Follow up on the referral they made

We do not sell, rent, or share your data for third-party advertising purposes outside this list.

VI. Cookies and local storage

We don't use advertising-tracking cookies. We use your browser's local storage (localStorage/sessionStorage) to remember your language, whether you've accepted this notice, and — if you're logged in as staff — your work session. When you start a payment, we also remember your name, WhatsApp and email for 30 days so you don't have to enter them again; if you arrived through a poster with a QR code, we remember that code for 7 days. We never store your card details there. That information lives only on your device and you can clear it anytime from your browser settings. If you use a shared device, clear it when you finish.

We use Google Analytics, which sets its own measurement cookies (e.g. _ga, _gid) per Google's privacy policy. You can block these from your browser settings or with extensions like Google Analytics Opt-out.

VII. Security measures

Encrypted connection (HTTPS) across the whole site.
Team passwords always stored encrypted, never in plain text.
Access to internal panels restricted by role (guide, promoter, admin).
Activity log for relevant actions inside internal portals.
When you accept the Terms and this Notice on the site (quote tool, booking, Flash Tickets or payments), we keep the date, time and version you accepted, as a record of the booking.
Team members who handle our WhatsApp or the internal portals only see the data they need to assist you, and commit in writing to keep it confidential.
Card payments are processed through Openpay's secure fields, certified under the PCI DSS standard — Turisteando Xtar never sees, transmits, or stores your full card number or CVV.

No system is foolproof. If we detect a security breach affecting your data, we'll notify you as required by applicable law.

VIII. Your rights

Under Mexican law you have the right to Access, Rectify, Cancel, or Object (known as "ARCO" rights) to the processing of your personal data, and to limit its use or disclosure. To exercise any of these, write to turisteandoxtar@gmail.com including:

Your full name and contact details.
Which right you want to exercise.
A document proving your identity (or your legal representative's).
A clear description of the data the request concerns.

We'll respond within 20 business days and, if applicable, act on your request within the following 15 business days, as set out in the LFPDPPP.

If you believe we did not handle your request as the law requires, you may go to the federal personal-data protection authority (since 2025, the Ministry of Anti-Corruption and Good Governance).

IX. Withdrawing consent

You can withdraw any consent you've given us at any time by writing to turisteandoxtar@gmail.com. Keep in mind that withdrawing consent may mean we can no longer follow up on a booking in progress.

X. Data of minors

Our tours may include underage travelers when they're part of a family group. In those cases, the minor's name is provided by the responsible adult making the booking, who represents that they have the authority to do so and consents to processing that data solely to operate the tour safely. We do not collect data directly from unaccompanied minors or use it for anything beyond tour logistics.

XI. Changes to this notice

We may update this notice if our services, applicable regulations, or our data practices change. We'll publish any relevant change on this same page with a new update date. We recommend checking back occasionally.

Questions about your data?

Write to us and we'll answer directly, with no endless back-and-forth.