Aviso de privacidad — Empresas

Quién es responsable

BNB TRUST, S.A.P.I. de C.V., que opera la marca Banx, es la responsable del tratamiento.

Domicilio: Blvd. Miguel Hidalgo 70-E, Colonia Centenario, Hermosillo, Sonora, C.P. 83260. Correo para temas de privacidad: soporte@banxnotbanks.com.

Qué datos tratamos

De la empresa: razón social, RFC, tipo de sociedad, fecha y país de constitución, giro y descripción de su actividad, sitio web, correo y teléfono, domicilio fiscal, domicilio del acta y domicilio donde opera, origen de sus recursos, para qué va a usar la cuenta y cuánto espera mover al mes. Y los documentos: acta constitutiva, poder, constancia de situación fiscal y comprobante de domicilio.

Del representante legal: nombre, identificación oficial, el poder con el que actúa, y —cuando hace falta para el expediente que exige la ley— CURP, RFC, fecha de nacimiento, nacionalidad, domicilio, ocupación y si desempeña o desempeñó funciones públicas relevantes. Si además verifica su identidad, se le pide su consentimiento aparte para el tratamiento de datos biométricos, en el Aviso correspondiente.

Del beneficiario controlador: su nombre y el porcentaje o la forma de control que ejerce, más lo que él mismo aporte al identificarse. La LFPIORPI nos obliga a identificar a la persona física que en última instancia recibe los beneficios o ejerce el control de la empresa; declararlo con veracidad es responsabilidad de quien firma.

De la estructura de propiedad: los nombres de los socios o accionistas y su participación, tal como el representante los captura o como aparecen en los documentos.

De quienes la empresa autoriza a usar la cuenta —quien captura pagos y quien los autoriza—: su nombre y su correo, qué papel le dio la empresa, quién lo invitó y cuándo entró; y después, cada cosa que hace dentro de la cuenta: qué pago capturó, cuál autorizó o rechazó, con qué motivo y a qué hora. Ese registro no se puede borrar y se conserva diez años, porque es lo que permite reconstruir quién instruyó cada movimiento de dinero.

El primer dato de esas personas —su correo— nos lo da la empresa al invitarlas, no ellas. Por eso el aviso viaja en el correo de invitación y se acepta antes de poder entrar.

De cada aceptación de un documento legal: la fecha, la dirección IP y el navegador desde el que se aceptó. Es lo que permite demostrar quién aceptó qué y cuándo.

Dentro del acta constitutiva y del poder aparecen datos de OTRAS personas — socios, apoderados, fedatarios. El representante declara que está facultado para compartir esos documentos y para capturar los datos de socios y beneficiarios que este aviso menciona, y que ha informado a esas personas cuando la ley lo exija.

Para qué los usamos

Para integrar el expediente de identificación de la empresa que exige la LFPIORPI antes de abrirle cuenta (el expediente KYB), y para decidir sobre la solicitud.

Para operar la cuenta empresarial: alta, contacto con el asesor asignado, avisos sobre el estado de la solicitud y del servicio.

Para saber quién instruyó cada movimiento. Una cuenta de empresa la usan varias personas, y el registro de quién capturó y quién autorizó cada pago es lo que hace que un movimiento se pueda explicar después — a la propia empresa, o a una autoridad que lo pregunte.

Para prevenir fraude y responder requerimientos de autoridades mexicanas hechos por escrito y conforme a la ley.

No vendemos estos datos ni los usamos para publicidad.

Dónde viven y con quién se comparten

Los documentos del expediente se suben a almacenamiento privado, sin acceso público, y solo el personal autorizado puede abrirlos; cada apertura queda registrada.

Con el proveedor que emite las cuentas para recibir y ejecuta los movimientos hacia bancos y redes. Para poder abrirle cuenta a la empresa, ese proveedor necesita los datos de identificación de la sociedad, del representante y del beneficiario controlador, y sus documentos. Es lo estrictamente necesario para prestar el servicio: sin eso no hay cuenta. El proveedor tiene sus propios términos, que el representante acepta aparte — Banx no puede aceptarlos por él.

Con el proveedor de verificación de identidad, que coteja a la empresa contra el registro público y verifica la identidad de las personas. Cuando una persona se verifica, lo hace en el entorno de ese proveedor, con su propio aviso de privacidad, y aporta ahí sus datos directamente.

Con proveedores que revisan listas de sanciones, personas políticamente expuestas y notas públicas adversas. Es una obligación de prevención de lavado de dinero, no una decisión comercial.

Proveedores de infraestructura tecnológica establecidos fuera de México alojan la base de datos y envían los correos, con la obligación de tratar los datos solo para lo que se les encarga.

Autoridades mexicanas competentes, cuando lo requieran conforme a la ley.

Cuánto tiempo y tus derechos

Diez años, igual que el expediente personal: es el plazo de conservación que exige la LFPIORPI, contado desde la última operación o el fin de la relación.

Los derechos ARCO sobre este expediente los ejerce el representante legal de la empresa, escribiendo a soporte@banxnotbanks.com desde el correo registrado, acreditando su personalidad. Las personas físicas cuyos datos aparecen en los documentos pueden ejercer los suyos por el mismo canal.

Aplica el mismo límite honesto del aviso general: lo que la LFPIORPI nos obliga a conservar no se puede borrar antes de plazo; sí podemos dejar de usarlo para cualquier otro fin.

Si a ti te nombraron beneficiario controlador

Puede que llegues aquí porque una empresa te declaró como su beneficiario controlador y te invitamos a identificarte. No estás abriendo una cuenta ni contratando nada: la ley nos obliga a identificar a la persona física que en última instancia controla a una empresa que sí la abre.

Tú aportas tus propios datos, en el entorno del proveedor de verificación y bajo su aviso de privacidad. Banx no los teclea por ti.

Si no eres esa persona, o no quieres identificarte, dínoslo por el correo de abajo: la empresa tendrá que corregir su declaración o su solicitud no avanza. Tus derechos sobre estos datos los ejerces tú directamente, sin pasar por la empresa.

Si te invitaron a usar la cuenta de una empresa

Puede que llegues aquí porque una empresa te invitó a capturar o a autorizar sus pagos. No estás abriendo una cuenta tuya ni te haces responsable de la de ella: usas una cuenta ajena con el permiso que su dueño te dio, y puede quitártelo cuando quiera.

Tu correo nos lo dio la empresa al invitarte; no lo sacamos de ningún otro lado. Lo que sí recogemos de ti a partir de ahí es lo que haces dentro de la cuenta: qué pago capturaste, cuál autorizaste o rechazaste y con qué motivo. Eso no se borra —lo conservamos diez años, como el resto del expediente— porque es la única forma de saber después quién instruyó un movimiento de dinero.

El dueño de la cuenta puede ver todo lo que haces dentro de ella. Es parte de lo que estás aceptando al entrar, y conviene tenerlo claro desde el principio.

Tus derechos sobre estos datos los ejerces tú directamente con nosotros, escribiendo a soporte@banxnotbanks.com desde tu correo — no tienes que pedírselo a la empresa. Lo que no podemos hacer es borrar el registro de lo que hiciste con el dinero antes de que se cumpla el plazo que la ley nos obliga a conservar.

Si no quieres entrar, simplemente no aceptes la invitación: vence sola en siete días y no pasa nada.

Si la empresa pide la tarjeta BanxNotBanks Visa

Esta sección aplica solo a las empresas que pidan la tarjeta BanxNotBanks Visa y a las personas a quienes la empresa le asigne una (sus usuarios autorizados). La tarjeta todavía no está disponible; explicamos desde ahora qué haremos con estos datos cuando la empresa la pida. Si la empresa no la pide, nada de esta sección se aplica. Lo que corresponde a las personas que piden la tarjeta para sí mismas está en el Aviso de privacidad.

Quién participa. La tarjeta la emite Lead Bank, un banco de Estados Unidos, bajo licencia de Visa. La administra Bridge Ventures LLC, también establecida en Estados Unidos, por cuenta de Lead Bank; la procesa Stripe, y cada compra se autoriza y se liquida por la red de Visa. BNB TRUST no es un banco ni emite la tarjeta: da la app para pedirla, verla y administrarla.

De la empresa: su expediente —razón social, RFC, documentos, representante, beneficiario controlador y estructura de propiedad—, que el banco emisor y Stripe reciben como información para decidir si emiten la tarjeta y para cumplir sus obligaciones legales.

De cada usuario autorizado: nombre completo, fecha de nacimiento, nacionalidad, correo e identificación oficial con fotografía. Antes de asignarle una tarjeta, cotejamos su nombre contra listas de personas sancionadas y de personas políticamente expuestas. Es lo que el banco emisor exige para emitir una tarjeta a nombre de una persona.

De cada tarjeta, Bridge nos comparte su estado, sus últimos cuatro dígitos, su vencimiento, si está congelada y sus movimientos: comercio, monto, fecha y estado de cada compra, y las aclaraciones que se hagan. El número completo de la tarjeta y su código de seguridad no pasan por nuestros servidores: cuando se piden en la app, se obtienen directamente del sistema seguro de Bridge y se descartan al salir de la pantalla. Los movimientos de una tarjeta son datos financieros.

Para qué los usamos. Para tramitar la solicitud y que el banco decida si emite la tarjeta; para que la empresa asigne, congele y cancele tarjetas y vea sus movimientos; para descontar esos movimientos del saldo de la empresa en dólares digitales; para atender aclaraciones, contracargos y quejas; para prevenir fraude y uso indebido, y para cumplir las obligaciones de prevención de lavado de dinero que nos aplican a nosotros y a los demás participantes. No usamos estos datos para publicidad.

A quién se transfieren, fuera de México. A Lead Bank (Estados Unidos), los datos de identificación, los de la tarjeta y sus movimientos, para decidir la emisión, operarla y cumplir sus obligaciones legales. A Bridge Ventures LLC (Estados Unidos), los mismos datos, para administrar la tarjeta por cuenta de Lead Bank y el saldo con el que se paga. A Stripe (Estados Unidos), los necesarios para emitir la tarjeta, autorizar cada compra y prevenir fraude. A Visa (Estados Unidos), los de cada compra —número de tarjeta, comercio, monto, fecha y lugar—, para autorizarla y liquidarla. Y si quien tiene la tarjeta la agrega a Apple Pay o a Google Pay, Apple o Google reciben los datos necesarios para darla de alta en su teléfono, bajo sus propios términos.

Cada uno de ellos trata estos datos también como responsable, por su cuenta, conforme a su propio aviso de privacidad y a las leyes de Estados Unidos —por ejemplo, para prevenir fraude en toda su red—, y algunas decisiones, como aprobar la emisión o autorizar una compra, las toman con sistemas automatizados. Les comunicamos este aviso y las finalidades aceptadas. Sus avisos y contratos, en su versión oficial en inglés, están enlazados en banxnotbanks.com/legal/tarjeta-visa, y se muestran para aceptarse por separado antes de pedir la tarjeta.

Lo que declara la empresa. El representante declara que la empresa cuenta con la autorización de las personas cuyos datos entrega para la tarjeta —socios, beneficiario controlador y usuarios autorizados—, que les informó que esos datos se transfieren a Lead Bank, Bridge, Stripe y Visa en Estados Unidos, y que les dio a conocer este aviso. Cada usuario autorizado, además, acepta este aviso por su cuenta antes de usar su tarjeta.

El consentimiento. Estas transferencias son necesarias para cumplir el contrato de la tarjeta que la empresa pide (artículo 36, fracción IV, de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares). Aun así, antes de emitirla pedimos un consentimiento expreso, con una casilla: al representante, por la empresa, y a cada usuario autorizado, por sus propios datos. Sin él no podemos emitir la tarjeta, y la cuenta de la empresa sigue igual.

Cuánto tiempo. Lo que guardamos de la tarjeta forma parte del expediente y del registro de operaciones: diez años, como el resto, por la LFPIORPI. Lead Bank, Bridge, Stripe y Visa conservan lo suyo según sus propias obligaciones.

Los derechos. Los derechos ARCO sobre los datos de la empresa los ejerce su representante, y cada usuario autorizado ejerce los suyos directamente, sin pasar por la empresa, escribiendo a soporte@banxnotbanks.com. Sobre lo que tratan Lead Bank, Bridge, Stripe y Visa, se puede acudir directamente a cada uno por los medios que indica su aviso, o pedirnos que les hagamos llegar la solicitud: lo hacemos, pero su respuesta y sus plazos dependen de ellos. La empresa puede ver los movimientos de las tarjetas que asignó. Revocar el consentimiento equivale a cancelar la tarjeta, y no borra los movimientos que ya ocurrieron, que la ley nos obliga a conservar.

Cambios

Si cambiamos este aviso, publicamos la versión nueva con su fecha y pedimos aceptarla de nuevo cuando el cambio lo amerite.

Qué cambió el 29 de octubre de 2026: agregamos la sección «Si la empresa pide la tarjeta BanxNotBanks Visa», que solo aplica a las empresas que pidan la tarjeta y a sus usuarios autorizados. Quien ya aceptó la versión anterior y la empresa no pide la tarjeta no tiene que volver a aceptar: lo que hacemos con los datos de la cuenta no cambió. La empresa que la pida aceptará esta versión antes de que se emita.

Qué cambió el 23 de agosto de 2026: se nombró a las personas que la empresa autoriza a usar su cuenta —quien captura pagos y quien los autoriza—, qué datos suyos tratamos, de dónde salen y cuánto los conservamos. Antes este aviso hablaba solo de la empresa, su representante y su beneficiario controlador, y esas personas quedaban fuera de todo renglón aunque su actividad sí se registrara.

Qué cambió el 21 de agosto de 2026: se detalló todo lo que se recaba para el expediente empresarial —el perfil transaccional de la empresa, sus tres domicilios, el expediente del representante y la estructura de propiedad—, y se dijo con claridad que los datos se comparten con el proveedor que emite las cuentas, con el que verifica identidades y con los que revisan listas. La versión anterior decía que el expediente lo custodiaba solo Banx y prometía avisar antes de cambiarlo. Esto es ese aviso.