Edición autorizada para publicación por CÓDIGO 6.9, 27-oct-2026. Los extremos señalados como pendiente de prueba final no acreditan funcionamiento ni cierre del censo.
1. Quién es el responsable y qué es una cookie
Zona Off Road es el nombre comercial de Jorge Humberto Burciaga Beyer, persona física con actividad empresarial, RFC BUBJ891226450. Es el responsable de los datos personales de la tienda.
Esta política aporta información complementaria sobre cookies y almacenamiento; no sustituye al aviso de privacidad integral ni al simplificado que deba facilitarse al recabar datos. Consulta el domicilio completo del responsable para notificaciones en el apartado 1, «Responsable y contacto», del Aviso de privacidad integral. Esta política de cookies no reproduce la dirección.
En las comunicaciones comerciales y en los correos usamos Zona Off Road. En el pie solo se muestran colonia, municipio y estado, además del teléfono, sin calle ni número. Atendemos por WhatsApp y entregamos por paquetería, solo en México; no hay atención presencial ni recolección.
Canal de datos personales: privacidad@zonaoffroad.com.
Una cookie almacena información en el navegador. Otras tecnologías pueden recordar preferencias o comunicar eventos. El Aviso de privacidad integral explica el tratamiento de datos y los derechos de sus titulares.
2. Tecnologías
El inventario es provisional. La sonda del 27-oct-2026 observó nueve cookies en la portada del tema publicado bajo contraseña, sin una elección acreditada y sin recorrer todos los servicios. No es censo definitivo del borrador ni de la tienda abierta. Las fechas Expires son vencimientos devueltos en esa lectura; no prueban duración inicial, Max-Age, renovación o eliminación. El almacenamiento del navegador no fue inspeccionado en ese censo. La igualdad del código local con el guardado en Shopify quedó sin acreditar: los tres píxeles diferían en el corte del acta.
| Tecnología | Quién | Para qué | Duración y evidencia |
|---|---|---|---|
| Shopify: _shopify_essential, localization y cart_currency; _shop_app_essential en .shop.app | Shopify | Operación, país/idioma y moneda; necesidad concreta de Shop/Shop Pay por comprobar según función | Observadas en portada publicada bajo contraseña el 27-oct-2026. Expires parciales: _shopify_essential/localization/_shop_app_essential el 27-oct-2027; cart_currency el 10-nov-2026. No se midieron creación, Max-Age ni renovación. Pendiente de prueba final. |
| Shopify: _shopify_test, cart, discount_code y __Host-Http-shop_binding | Shopify | Funciones necesarias de tienda, carrito, descuentos o seguridad, según se utilicen | Referencias documentales condicionales; no observadas en la lectura parcial de nueve cookies. Presencia y duración pendientes de prueba final. |
| Shopify: _shopify_analytics y _shopify_marketing | Shopify | Analítica y marketing opcionales de plataforma, sujetos al modelo regional y a tu elección | Expires observado el 27-oct-2027 en la sonda del 27-oct-2026; no acredita plazo inicial exacto, renovación ni efecto del rechazo. Pendiente de prueba final. |
| zor-dispositivo, almacenamiento local | Zona Off Road | Identificador aleatorio de protección del acceso de anunciantes; distinto del código de acceso. Huella derivada en servidor: 30 días | Sin expiración automática según el funcionamiento documentado, hasta borrar los datos del sitio. Aparición y borrado actuales pendientes de prueba final. |
| viewedProducts, almacenamiento local | Zona Off Road | Recordar hasta cuatro identificadores de productos vistos | Sin expiración automática según el funcionamiento documentado, hasta borrar los datos del sitio. Pendiente de prueba final. |
| Sesión funcional del tema: cart-count, product-grid-view-* y custom-transition-type | Zona Off Road | Cantidad del carrito, vista de productos y transiciones | Durante la sesión de la pestaña; cierre/restauración y aparición actuales pendientes de prueba final. |
| Origen opcional: zor_origen_analytics_v1 y zor_origen_marketing_v1, sessionStorage | Zona Off Road; consumidores Google Analytics 4 y Meta según categoría | UTM validadas, primera y última llegada, versión y fechas mínimas; separado del almacenamiento funcional y del permiso del boletín | 30 minutos de inactividad y tope absoluto de 24 horas desde creación del mismo registro; vence al primer límite. Revocación acorta el plazo. Construcción local leída; instalación, continuidad y borrado real pendientes de prueba final. |
| GA4: _ga y _ga_YQB7PWWSDZ | Medición opcional de visitas, acciones y compras | Expires observado el 1-dic-2027 en la lectura parcial del 27-oct-2026; no prueba plazo inicial ni renovación. Los 14 meses son retención de datos, no duración de cookie. Pendiente de prueba final. | |
| Meta: fr en .facebook.com; referencias _fbp y _fbc | Meta por dominio; productor concreto pendiente de confirmar | fr observada en la sonda parcial; finalidad concreta y creador NO VERIFICADOS. _fbp y _fbc no observadas en esa lectura, sin concluir ausencia universal | fr mostró Expires el 25-ene-2027. Plazo inicial, renovación y funciones pendientes de prueba final; no se atribuye creación de _fbp/_fbc al ajuste de cookies de origen. |
| NID de Google en pago con carteras | Clasificación documental necesaria para la función solicitada de Google Pay; no autoriza publicidad contra tu elección | Observación histórica; aparición, alcance y duración actuales pendientes de prueba final. No se recorrió la cartera en el censo parcial. | |
| hCaptcha: __cf_bm en .hcaptcha.com | hCaptcha y su proveedor de protección | Protección antirobots del formulario de exclusión de Shopify | Observación histórica de 30 minutos. Aparición actual y duración pendientes de prueba final; formulario no recorrido en el censo parcial. |
| YouTube en artículos del blog con video | Google/YouTube | Reproducción incrustada en youtube-nocookie.com; Google recibe IP y datos de conexión al cargar el recurso y puede guardar información al reproducir | El modo de privacidad mejorada no significa ausencia de transmisión. Según la descripción del proveedor, no personaliza recomendaciones ni publicidad externa con esas visitas; comportamiento actual pendiente de prueba final. |
3. Tu elección
En la tienda puedes Aceptar, Rechazar o Administrar preferencias. En México y el resto del mundo, excepto los 27 países de la Unión Europea, Islandia, Liechtenstein, Noruega, Reino Unido y Suiza, las cookies de análisis y publicidad están activadas desde la entrada y puedes rechazarlas. En esas regiones europeas se activan solo cuando aceptas la categoría correspondiente; allí también se muestra el banner del pago. Desde México no se muestra en el pago.
Puedes cambiar tu decisión en «Preferencias de cookies», en el pie de página. Rechazar no impide comprar. Las cookies necesarias y el almacenamiento funcional propio no dependen de las categorías opcionales.
«Tus opciones de privacidad», también en el pie, abre la página de exclusión en todas las regiones para excluir venta o compartición publicitaria. Shopify respeta la señal Global Privacy Control del navegador. Esto es distinto de borrar tus datos. Shopify Network Intelligence permanece encendido, con los mecanismos descritos en el Aviso de privacidad.
La conservación del origen es opcional y separada de las funciones necesarias. GA4 requiere analyticsProcessingAllowed y saleOfDataAllowed; Meta requiere marketingAllowed y saleOfDataAllowed. Si un permiso requerido es falso, desconocido o no disponible, no se habilita esa ruta. La revocación o GPC que determine sale=false invalida el origen afectado y detiene nuevos envíos según el código local; no se reproduce un historial previo al permiso ni se reconstruye al volver a aceptar. El bloqueo real, las carreras asíncronas y el borrado están pendientes de prueba final. Retirar no borra automáticamente datos ya recibidos por terceros ni retira una solicitud que ya salió a la red.
4. Medición y publicidad
Origen de visitas y códigos de aviso
La construcción local conserva únicamente las entradas de campaña permitidas utm_source, utm_medium, utm_campaign, utm_content, utm_term y utm_id, validadas con vocabulario y formatos cerrados. No se usa utm_term para copiar el texto del buscador. Sirven para entender el origen de visitas y la eficacia de campañas y del servicio de promoción de Avisos. Jorge gestiona las campañas en Meta; no hay un registro local nuevo de campañas o anuncios.
GA4 usa los campos separados campaign_source, campaign_medium, campaign_name, campaign_content, campaign_term y campaign_id. Meta contempla zor_source, zor_medium, zor_campaign y zor_content en PageView y, cuando existe origen permitido y vigente, en Purchase; creativo_codigo se contempla en PageView de Meta y en page_view/clic_whatsapp de GA4. No se añaden utm_term ni utm_id a Meta. Recepción y adquisición efectivas: pendiente de prueba final.
El origen se separa por categoría en sessionStorage: zor_origen_analytics_v1 para analítica y zor_origen_marketing_v1 para marketing. Conserva primera y última llegada válida y fechas mínimas. El máximo es 30 minutos de inactividad y 24 horas absolutas desde la creación del mismo registro: la actividad solo renueva la inactividad. Al vencer o revocar, el código local invalida y solicita borrar el estado correspondiente; no se promete borrado físico inmediato mientras una pestaña esté suspendida. El cierre o la restauración de pestañas, el cambio de dominio y la continuidad hasta checkout están pendientes de prueba final. Si falla el almacenamiento se limita a memoria de página; puede perderse el origen.
La ruta propia de origen no captura, conserva ni transmite gclid, gbraid, wbraid o fbclid, ni fabrica o propaga _fbp/_fbc como identificadores de atribución. Esto no demuestra ausencia de cookies de terceros o de tratamientos nativos de Shopify. La medición usa direcciones y referentes saneados, sin consulta ni fragmento, y títulos fijos; la ficha se normaliza a /avisos/ficha. Las UTM viajan por campos separados, no dentro de la dirección de página. La ausencia efectiva de fugas en red está pendiente de prueba final.
El código público opaco por aviso previsto es aviso_codigo, con formato av_ seguido de 32 caracteres hexadecimales; utm_content puede distinguir el creativo mediante el sufijo _adNN. Es seudónimo público correlacionable con la ficha, no anónimo ni código secreto de acceso. El aviso visitado se debe resolver independientemente del creativo de origen: una campaña para A puede llevar a una visita posterior a B. El estudio prevé correspondencia privada código↔UUID hasta la purga del aviso conforme a P37 y reserva digest sin UUID que sobrevive para impedir reutilización; no hereda el plazo de diez años de las constancias.
Ese desglose por código y el evento visita_aviso no están acreditados como construidos ni guardados en el corte consultado. El código local todavía contempla aviso_id (UUID) en clic_whatsapp de GA4; Meta Contact lleva solo ubicación. La sustitución por aviso_codigo y su cobertura quedan pendientes de entrega técnica y prueba final. No se declara eliminado el UUID de todos los campos de medición por haber saneado las direcciones.
Los informes por aviso y creativo están destinados a Jorge, con periodicidad semanal. Esta decisión fija destinatario y frecuencia; no acredita que el desglose por código, la recepción o los informes ya estén construidos o probados. No se establece otro plazo de entrega ni se promete una cobertura completa.
Una UTM o un código copiados o modificados no prueban clic pagado, identidad, conversación ni venta. El clic de WhatsApp mide apertura/intención, no envío de mensaje. Purchase de un paquete mide la compra del servicio, no la venta del vehículo anunciado. Rechazo, bloqueadores y pérdida de contexto reducen cobertura; no garantizamos conteos completos ni atribución nativa en Ads.
Google Analytics 4
La ruta documentada contempla page_view, view_item, add_to_cart, begin_checkout y purchase; además clic_whatsapp (ubicación y el identificador de Avisos descrito arriba) y vehiculo_completado (marca, modelo y año, nunca VIN). La suscripción preparatoria busqueda_numero_parte solo admite resultado y número que pertenezca al catálogo; no tiene publicador mientras no exista catálogo aprobado. No afirmamos que se estén registrando búsquedas generales ni que los eventos propios tengan recepción final comprobada.
En compras comunica productos, cantidad, importe y moneda, sin contactos del comprador. GA4 usa el valor sin IVA aprobado para México: subtotal con IVA del 16% dividido entre 1.16 y redondeado; Meta usa el total con IVA. No se equipara el valor de medición con el precio final mostrado al cliente. El corte local no aporta price por artículo ni el embudo ampliado completo; no se anuncian como activos.
Google Signals está configurado como activo; medición mejorada y datos proporcionados por usuarios están apagados en el corte documental. Signals puede enriquecer la medición con información que Google ya tenga de quienes iniciaron sesión y habilitaron personalización. No enviamos a Analytics correo ni teléfono por ello. La ocultación de correos y de 30 parámetros está configurada. La retención de eventos y usuario es de 14 meses, sin reinicio por actividad nueva; es independiente del origen, las cookies y los informes agregados.
No enviamos a Google Analytics nombre, correo, teléfono, contactos de anuncios, VIN, fotos, datos fiscales, texto de formularios, texto del buscador ni títulos de anuncios. Emisión, recepción y adquisición son comprobaciones distintas; la solicitud de una compra histórica no acredita todos los eventos ni la configuración actual.
Meta: píxel, información de páginas y coincidencia avanzada
La ruta documentada contempla PageView, ViewContent, AddToCart, InitiateCheckout y Purchase; Contact comunica únicamente ubicación del clic de WhatsApp y VehiculoCompletado marca, modelo y año, nunca VIN. Compra comunica productos, cantidad, total con IVA y moneda. Los eventos propios, parámetros y ausencia de duplicados quedan pendientes de prueba final.
F1, información automática de páginas y productos, figura encendida en la configuración documentada. Su enriquecimiento efectivo con el transporte de imagen no está acreditado: no afirmamos que Meta esté recibiendo automáticamente títulos, descripciones, disponibilidad u otros metadatos por ese ajuste. Eventos automáticos y coincidencia avanzada automática siguen apagados en el corte documentado.
La coincidencia propia de compras contempla exclusivamente correo y teléfono válidos del comprador, transformados con SHA-256 antes del envío. El teléfono se toma de checkout.phone y, si no es válido, de billingAddress.phone, según el cambio comunicado por Jorge y el código local leído. No usa contactos de Avisos ni formularios. Un hash es un dato seudónimo, no anónimo. En la compra histórica se acreditó el hash de correo, no el telefónico; el efecto del cambio posterior sigue pendiente de prueba final, sin otra compra por esta edición.
El ajuste de medición de conversiones en el dispositivo figura encendido, con inicio anunciado para el 12 de noviembre de 2026. Al corte del 27 de octubre no se acredita su operación. La descripción del proveedor sobre cotejo local no elimina los eventos o hashes enviados por otras funciones.
No enviamos a la medición de Meta nombre, contactos de anuncios, VIN, datos fiscales, texto de formularios ni del buscador. Las listas aprobadas excluyen datos sensibles y las categorías prohibidas por las condiciones de las plataformas; no se incluyen números de tarjeta o cuenta. La difusión contratada del anuncio usa contenido y fotografías sin contacto ni VIN y es distinta de esta medición opcional.
La API de conversiones propia NO ESTÁ ACTIVA: estos eventos corresponden a la ruta de navegador documentada. Existe un diseño separado; su implementación y activación no están ejecutadas según el expediente. La activación exige apertura realizada, orden posterior, permiso por comprador, deduplicación y pruebas previas. Los plazos propuestos de contexto/material de 24 horas e idempotencia de 30 días no son retenciones activas ni el plazo del origen. El piloto de canales oficiales tampoco está ejecutado; no se describen sus click IDs, cookies o envíos de servidor como presentes.
Registro propio de búsquedas: propuesta no construida
Se propone medir demanda interna, calidad del buscador y cobertura del catálogo mediante códigos de una taxonomía revisada, resultados y conteos, sin perfiles, historial personal ni vínculo con pedidos. No se ha construido ni activado ese registro. No enviaría texto libre a Google o Meta. La búsqueda funcional y los posibles informes nativos de Shopify son tratamientos separados: su cobertura y metadatos requieren comprobación, sin prometer que el transporte nunca procese datos personales.
El diseño admite un máximo aprobado de 80 caracteres para clasificar; descarta contactos, VIN y números largos, salvo consulta completa normalizada que coincida exactamente con un PN del registro público revisado, sin VIN ni texto adicional. En esa excepción solo guardaría su código de taxonomía, nunca la consulta original o su hash. La coincidencia no garantiza anonimato: puede haber colisiones con datos personales y la cobertura será incompleta.
La propuesta exige analyticsProcessingAllowed y saleOfDataAllowed, sin depender de marketing o del boletín; revocar cancelaría pendientes y nuevos envíos, sin rescatar consultas anteriores. No propone almacenamiento persistente del navegador: deduplicación solo en memoria hasta cinco minutos. Los agregados diarios de 30 días y los informes semanales de 90 días están aprobados como plazos del diseño, no ejecutados. Tras agregación irreversible no se podría localizar y restar una contribución individual. Proveedor, alojamiento, eliminación de exportaciones/respaldos y controles efectivos quedan Pendiente antes de cualquier activación.
5. Enlaces externos y borrado desde el navegador
El video de cada anuncio es un enlace externo y no se carga dentro de la ficha: el servicio de video solo recibe tu navegación si lo abres. Google Maps es únicamente el enlace «Ver ubicación en Google Maps», con ciudad, estado y país, sin mapa incrustado; ese servicio recibe tu navegación cuando lo abres. WhatsApp se abre para contactar al anunciante y tú decides si envías el mensaje; nosotros no recibimos esa conversación.
El inventario combina referencias documentales condicionales y observaciones históricas identificadas; no todas las tecnologías aparecen en cada recorrido. El censo definitivo sigue pendiente de prueba final. Puedes borrar el almacenamiento local y las cookies desde tu navegador, aunque algunas funciones pueden dejar de operar.
La configuración del navegador puede permitir limitar o eliminar cookies; sus efectos dependen de las tecnologías implicadas y de las funciones solicitadas. La eliminación local no equivale a eliminar datos previamente recibidos por Google, Meta, Shopify u otro tercero. Sus políticas y mecanismos de derechos se indican en el Aviso de privacidad.
6. Tus derechos
Para saber quién recibe tus datos, en qué países y con qué fin, consulta el Aviso de privacidad.
Puedes retirar tu consentimiento a las cookies de medición y publicidad en cualquier momento desde «Preferencias de cookies». El retiro aplica desde ese momento; no borra lo que ya se envió antes. Para acceder a tus datos, corregirlos, cancelarlos u oponerte a su uso, escribe a privacidad@zonaoffroad.com como indica el Aviso de privacidad.
Para ejercer tus derechos, escribe a privacidad@zonaoffroad.com. La respuesta y la verificación se hacen desde el mismo correo electrónico o número de WhatsApp que usaste en tu compra o aviso. Solo si existe duda razonable solicitaremos una identificación oficial, limitada a lo necesario. Si actúas mediante representante, deberá acreditarse también su identidad y representación. No envíes identificaciones por los formularios comerciales; si se requiere documentación adicional, te indicaremos cómo aportarla para atender esta solicitud.
Los plazos y el procedimiento son los del Aviso de privacidad integral, con fundamento en los artículos 2 VIII, 28 II, 31 y 34 de la LFPDPPP; no se fija un plazo adicional para Cookies.
Receptores y derechos relacionados
El aviso integral distingue Shopify International Limited y sus proveedores (Canadá, Estados Unidos y otros países), Google LLC para Analytics/YouTube (Estados Unidos y otros países) y Meta Platforms, Inc. para herramientas de medición (Estados Unidos y otros países). Meta Platforms Ireland Limited corresponde a la campaña contratada según la documentación de cuenta, no identifica por sí sola al receptor de cada evento. El dominio de una cookie no demuestra país ni papel contractual. La clasificación de Google según opciones y vinculaciones efectivas y los receptores/rutas finales siguen Pendiente (P-20 y C-06).
Shopify Network Intelligence permanece encendido con usos propios del prestador, conforme al aviso integral: combinación de interacciones entre comercios, exclusión mediante preferencias, página de exclusión y GPC, y solicitudes de eliminación aplicables comunicadas a ese sistema. También puedes ejercer opciones sobre esos usos en el portal de privacidad de Shopify y consultar su Política del consumidor. No se crea un procedimiento ARCO distinto del aviso integral. Borrar cookies o rechazar nuevos envíos no elimina por sí solo datos ya recibidos por Shopify, Google o Meta.
7. Cambios a esta política
La fecha de actualización aparece al inicio de esta política. Los cambios de finalidad o de tecnología se informarán y, cuando corresponda, requerirán el consentimiento aplicable antes de su uso.
Versión: 2026-10-27-c69.