Privacy policy

Effective 4 September 2026 · Version 1.0 · Applies to origenlink.co, go.origenlink.co, every workspace served under those domains, and any business's own domain that runs Origen.

1. Who we are

Origen is operated by Estudio Creativo, Cabo San Lucas, Baja California Sur, Mexico ("Origen", "we"). For privacy matters write to privacy@origenlink.co.

2. Two kinds of people, two roles

Businesses (account holders)

If you create an Origen workspace, we are the controller (Mexico: responsable) of your account data.

Guests (people who open a business's link)

When you fill in a page at go.origenlink.co/<business>/… or on a business's own domain, the business you are contacting is the controller of the details you leave. Origen stores and processes them on that business's behalf as a processor (Mexico: encargado), and additionally uses them in de-identified, aggregated form for the analytics described in section 5. Requests about your details can go to the business or to us; we will route them.

3. What we collect

From businesses

• Account: email address, password (stored hashed by our authentication provider), language, workspace name, logo and images you upload, brand colour, the addresses you want leads sent to (email or WhatsApp).
• Billing (Premium): handled by Stripe. We store your Stripe customer and subscription identifiers and plan status — never your card number.
• Referrers you add: name, an optional email address, and a link code. If you enter a referrer's email we send them one invitation to create a referrer account.

From guests

• Whatever the business's form asks for — typically name, phone, email, party size and a message — plus which referrer or channel the link belonged to, and the consent boxes as you left them (contact consent and marketing opt-in, each with a timestamp and policy version).
• A coupon code, if the business offers one, and whether and when it was redeemed.

Automatically, when a link is opened ("scan data")

• Time of the visit, the link code, the referring page if your browser sends one, and a coarse classification of your device (phone/desktop), operating system and browser, including whether the link was opened inside an app such as Instagram or WhatsApp.
• Approximate location from the network edge: country, region and city only. We do not collect GPS coordinates, and we do not store IP addresses in the scan record.
• No advertising cookies. We use browser storage only to remember your language and, for account holders, your sign-in session.

4. Why we use it (purposes and legal bases)

• Running the service for the business — delivering leads to the business, showing referrers their own results, verifying coupons, calculating what a business owes its referrers. Basis: performance of a contract (businesses) and the consent you give on the form (guests).
• Platform analytics and improvement — we analyse usage across all workspaces in aggregate (for example, how many scans convert to leads, which device types are common, which features are used) to understand and improve Origen. Basis: our legitimate interest; the data is de-identified for this use and never used to make decisions about an individual.
• Security, fraud prevention and abuse limits — rate limits, coupon-lookup throttling, logging failed attempts. Basis: legitimate interest.
• Marketing to guests — only by the business you contacted, only if you left the "keep me posted" box ticked, and only until you untick it or tell the business to stop. Origen itself does not send marketing to guests.
• Legal obligations — tax records for paid plans; responding to lawful requests.

5. What we do not do

• We do not sell personal data and have not done so in the preceding 12 months.
• We do not "share" personal data for cross-context behavioural advertising (as those terms are defined in California law).
• We do not use personal data for automated decisions with legal or similarly significant effects.
• We do not knowingly collect data from anyone under 16. Businesses agree not to direct Origen pages at children.

6. Who receives data

• The business whose link you used (guest data) — this is the whole point of the form.
• Service providers that host and run Origen under contract and only on our instructions: Supabase (database and authentication, United States), Netlify (web hosting and serverless functions, United States, with edge locations worldwide), Resend (transactional email, United States), Stripe (payments, for Premium accounts). Each is bound by a data-processing agreement.
• Authorities when the law requires it.
• A successor if Origen is sold or merged — you would be notified and this policy would continue to apply to data collected under it.

7. International transfers

Origen is operated from Mexico and hosted in the United States. Data collected in Mexico is transferred to our processors in the United States; data collected in the United States may be accessed from Mexico. Transfers happen under contracts that require the same level of protection this policy describes.

8. How long we keep it

• Guest leads and scan data: for as long as the business's workspace exists, so the business can report on its referrers. A business can delete individual leads at any time and can ask us to delete its whole workspace.
• Business accounts: until you close the account; billing records for the period tax law requires (Mexico: five years).
• Coupon-lookup attempt logs: 24 hours.
• Aggregated analytics: indefinitely, because they no longer identify anyone.

9. Security

Encryption in transit everywhere (HTTPS). Database access is enforced per workspace at the database level (row-level security) so one business can never read another's data. Referrers see only initials of the guests they referred. Passwords must be 12+ characters with mixed character types. Privileged keys live only on the server, never in the browser. Coupon codes are generated by a cryptographic random generator and lookups are rate-limited. No system is perfectly secure; if a breach affects you we will notify you and, where required, the relevant authority without undue delay.

10. Your rights

If you are in Mexico (LFPDPPP)

You have the ARCO rights: to Access your personal data, to Rectify it, to Cancel it (deletion) and to Oppose its processing; and you may revoke consent and limit use or disclosure at any time. Send your request to privacy@origenlink.co with your name, a way to contact you, a description of the data and, if you are a guest, the business whose page you used. We answer within 20 business days and act within 15 business days of answering. If you are not satisfied you may complain to the INAI (Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales) or its successor authority. This section, together with the rest of this document, is our Aviso de Privacidad Integral. The consent lines on every guest form are the aviso simplificado.

If you are in the United States

Depending on your state (including California, Colorado, Connecticut, Delaware, Florida, Indiana, Iowa, Kentucky, Maryland, Minnesota, Montana, Nebraska, New Hampshire, New Jersey, Oregon, Rhode Island, Tennessee, Texas, Utah and Virginia) you may have the right to: know what personal data we hold about you and receive a copy in a portable format; correct it; delete it; opt out of sale, targeted advertising and profiling (we do none of these, so there is nothing to opt out of, but you may still ask); and not be discriminated against for exercising these rights. Email privacy@origenlink.co; we verify requests by confirming control of the email address or phone number on file and answer within 45 days (extendable once by 45 days where the law allows). If we refuse a request you may appeal by replying to our decision, and we will answer the appeal within 45 days with the reasons and, where applicable, how to contact your state attorney general. An authorised agent may submit a request on your behalf with written permission. Because guest data is held for the business you contacted, we may forward your request to that business and help them fulfil it.

Everyone

You can untick either consent box on a form before sending; you can tell a business to stop contacting you at any time; and a business can delete your record from its dashboard.

11. Cookies and similar

On the marketing site (origenlink.co, including the blog) we use Google Analytics 4 to count visits and see which pages are read; IP addresses are truncated and the data is not used for advertising. Guest pages, the dashboard and the referrer portal (go.origenlink.co and businesses' own domains) carry no analytics or advertising cookies. First-party browser storage is used for: your language choice, your sign-in session (account holders and referrers), and short-lived form state. You can clear it in your browser at any time, and you can block Google Analytics with the browser add-on.

12. Changes

When this policy changes we update the version and date at the top. Material changes to how guest data is used are announced to account holders by email and reflected in the policy version recorded with each new consent.

13. Contact

privacy@origenlink.co · Estudio Creativo, Cabo San Lucas, Baja California Sur, Mexico.

Aviso de privacidad

Vigente desde el 4 de septiembre de 2026 · Versión 1.0 · Aplica a origenlink.co, go.origenlink.co, todos los espacios de trabajo servidos bajo esos dominios y cualquier dominio propio de un negocio que use Origen.

1. Quiénes somos

Origen es operado por Estudio Creativo, Cabo San Lucas, Baja California Sur, México ("Origen", "nosotros"). Para asuntos de privacidad escriba a privacy@origenlink.co.

2. Dos tipos de personas, dos roles

Negocios (titulares de cuenta)

Si crea un espacio de trabajo en Origen, somos el responsable de los datos de su cuenta.

Clientes (personas que abren el enlace de un negocio)

Cuando llena una página en go.origenlink.co/<negocio>/… o en el dominio propio de un negocio, el negocio al que contacta es el responsable de los datos que deja. Origen los almacena y trata por cuenta de ese negocio como encargado, y además los usa de forma disociada y agregada para la analítica descrita en la sección 4. Puede dirigir solicitudes sobre sus datos al negocio o a nosotros; las canalizaremos.

3. Qué recabamos

De los negocios

• Cuenta: correo electrónico, contraseña (almacenada con hash por nuestro proveedor de autenticación), idioma, nombre del espacio, logotipo e imágenes que suba, color de marca, y las direcciones a las que quiere recibir los leads (correo o WhatsApp).
• Facturación (Premium): la gestiona Stripe. Guardamos sus identificadores de cliente y suscripción en Stripe y el estado del plan — nunca el número de su tarjeta.
• Referidores que agrega: nombre, correo opcional y un código de enlace. Si captura el correo de un referidor le enviamos una invitación para crear su cuenta.

De los clientes

• Lo que pida el formulario del negocio — normalmente nombre, teléfono, correo, número de personas y un mensaje — más el referidor o canal al que pertenecía el enlace, y las casillas de consentimiento tal como las dejó (consentimiento de contacto y opt-in de marketing, cada uno con fecha, hora y versión del aviso).
• Un código de cupón, si el negocio lo ofrece, y si se canjeó y cuándo.

Automáticamente, al abrir un enlace ("datos de escaneo")

• Hora de la visita, código del enlace, página de origen si su navegador la envía, y una clasificación general de su dispositivo (móvil/escritorio), sistema operativo y navegador, incluyendo si el enlace se abrió dentro de una app como Instagram o WhatsApp.
• Ubicación aproximada desde la red: sólo país, región y ciudad. No recabamos coordenadas GPS ni guardamos direcciones IP en el registro del escaneo.
• Sin cookies publicitarias. Usamos el almacenamiento del navegador sólo para recordar su idioma y, para titulares de cuenta, su sesión.

4. Finalidades

• Operar el servicio para el negocio — entregar leads al negocio, mostrar a cada referidor sus propios resultados, verificar cupones, calcular lo que un negocio debe a sus referidores. Finalidad primaria; base: la relación contractual (negocios) y el consentimiento que otorga en el formulario (clientes).
• Analítica y mejora de la plataforma — analizamos el uso de todos los espacios de forma agregada (por ejemplo, cuántos escaneos se convierten en leads, qué dispositivos son comunes, qué funciones se usan) para entender y mejorar Origen. Los datos se disocian para este uso y nunca se emplean para tomar decisiones sobre una persona.
• Seguridad y prevención de abuso — límites de frecuencia, límite de consultas de cupones, registro de intentos fallidos.
• Marketing a clientes — sólo por el negocio que contactó, sólo si dejó marcada la casilla "manténme al tanto", y sólo hasta que la desmarque o pida al negocio que deje de hacerlo. Origen no envía marketing a los clientes.
• Obligaciones legales — registros fiscales de los planes de pago; atención de requerimientos de autoridad.

5. Lo que no hacemos

• No vendemos datos personales.
• No compartimos datos personales para publicidad conductual de terceros.
• No tomamos decisiones automatizadas con efectos jurídicos sobre las personas.
• No recabamos a sabiendas datos de menores de 16 años. Los negocios se obligan a no dirigir páginas de Origen a menores.

6. Transferencias y encargados

• El negocio cuyo enlace usó (datos del cliente) — es el propósito del formulario.
• Proveedores que alojan y operan Origen bajo contrato y sólo por nuestras instrucciones: Supabase (base de datos y autenticación, Estados Unidos), Netlify (alojamiento web y funciones, Estados Unidos, con puntos de presencia en el mundo), Resend (correo transaccional, Estados Unidos), Stripe (pagos, cuentas Premium). Cada uno está sujeto a un contrato de tratamiento de datos.
• Autoridades cuando la ley lo exija. Estas transferencias no requieren su consentimiento conforme al artículo 37 de la LFPDPPP.
• Un adquirente si Origen se vende o fusiona — se le notificaría y este aviso seguiría aplicando a los datos recabados bajo él.

7. Transferencias internacionales

Origen se opera desde México y se aloja en Estados Unidos. Los datos recabados en México se transfieren a nuestros encargados en Estados Unidos; los datos recabados en Estados Unidos pueden consultarse desde México. Las transferencias se hacen bajo contratos que exigen el mismo nivel de protección que describe este aviso.

8. Conservación

• Leads y datos de escaneo: mientras exista el espacio de trabajo del negocio, para que pueda reportar a sus referidores. El negocio puede borrar leads individuales en cualquier momento y pedirnos borrar todo su espacio.
• Cuentas de negocio: hasta que cierre la cuenta; registros de facturación por el plazo que exige la ley fiscal (cinco años).
• Registro de intentos de consulta de cupones: 24 horas.
• Analítica agregada: indefinidamente, porque ya no identifica a nadie.

9. Seguridad

Cifrado en tránsito en todo el servicio (HTTPS). El acceso a la base de datos se aplica por espacio de trabajo a nivel de base de datos (seguridad por fila), de modo que un negocio nunca puede leer los datos de otro. Los referidores sólo ven iniciales de los clientes que refirieron. Las contraseñas deben tener 12+ caracteres con tipos mixtos. Las llaves privilegiadas viven sólo en el servidor, nunca en el navegador. Los códigos de cupón se generan con un generador aleatorio criptográfico y las consultas tienen límite de frecuencia. Ningún sistema es perfectamente seguro; si una vulneración le afecta, le notificaremos y, cuando corresponda, a la autoridad, sin dilación indebida.

10. Derechos ARCO y revocación

Usted tiene derecho a Acceder a sus datos personales, Rectificarlos, Cancelarlos y Oponerse a su tratamiento, así como a revocar su consentimiento y limitar el uso o divulgación de sus datos. Envíe su solicitud a privacy@origenlink.co con su nombre, un medio para contactarle, una descripción de los datos y, si es cliente, el negocio cuya página usó. Respondemos en un plazo máximo de 20 días hábiles y, de ser procedente, hacemos efectiva la solicitud dentro de los 15 días hábiles siguientes. Si no está conforme puede acudir al INAI o a la autoridad que lo sustituya. Este documento constituye nuestro Aviso de Privacidad Integral; las líneas de consentimiento en cada formulario son el aviso simplificado. Si usted se encuentra en Estados Unidos, aplican además los derechos descritos en la versión en inglés de este aviso (conocer, corregir, eliminar, oponerse y no ser discriminado), con respuesta en 45 días y derecho de apelación.

11. Cookies y similares

En el sitio de marketing (origenlink.co, incluido el blog) usamos Google Analytics 4 para contar visitas y ver qué páginas se leen; las direcciones IP se truncan y los datos no se usan para publicidad. Las páginas de clientes, el panel y el portal de referidores (go.origenlink.co y los dominios propios de los negocios) no llevan cookies analíticas ni publicitarias. El almacenamiento propio del navegador se usa para: su idioma, su sesión (titulares de cuenta y referidores) y el estado temporal de formularios. Puede borrarlo desde su navegador cuando quiera, y puede bloquear Google Analytics con el complemento del navegador.

12. Cambios

Cuando este aviso cambie, actualizamos la versión y la fecha al inicio. Los cambios sustanciales en el uso de datos de clientes se notifican por correo a los titulares de cuenta y quedan reflejados en la versión del aviso registrada con cada nuevo consentimiento.

13. Contacto

privacy@origenlink.co · Estudio Creativo, Cabo San Lucas, Baja California Sur, México.