Aviso de privacidad integral

FÁBRICA DE INDICADORES, S.A. DE C.V. (en adelante, “EL PROVEEDOR” o, cuando corresponda por la finalidad concreta, “el Responsable”), con domicilio en Calle 29 Núm. 147, Interior 3, Colonia Buenavista, Mérida, Yucatán, México, C.P. 97127, RFC FIN1704055Z2, es responsable de los datos personales cuyo tratamiento determine para finalidades propias vinculadas con la operación de la plataforma tecnológica Xooka (la “Plataforma”), la administración de cuentas, la relación contractual, facturación, soporte, seguridad, prevención de fraude, cumplimiento y demás finalidades previstas en este Aviso.

La Plataforma también permite que Clientes Empresariales configuren agentes de inteligencia artificial, widgets, formularios, catálogos, documentos, conversaciones, contactos, integraciones y otras funcionalidades para interactuar con sus propios Usuarios Finales. Cuando el Cliente Empresarial determine las finalidades del tratamiento y EL PROVEEDOR trate los datos exclusivamente por cuenta y bajo instrucciones de dicho Cliente, el Cliente Empresarial será el Responsable y EL PROVEEDOR actuará como Persona Encargada.

Este Aviso regula los tratamientos en los que EL PROVEEDOR actúa como Responsable y Encargado. No sustituye el Aviso de Privacidad que cada Cliente Empresarial debe poner a disposición de sus Usuarios Finales respecto de los tratamientos que éste determine.

Para efectos del presente Aviso se entenderá por:

• EL PROVEEDOR: FÁBRICA DE INDICADORES, S.A. DE C.V.
• La Plataforma: conjunto tecnológico SaaS Xooka, incluidos sus agentes, interfaces, widgets, módulos, integraciones, infraestructura y funcionalidades habilitadas.
• Cliente Empresarial: persona física con actividad empresarial o profesional, o persona moral, que contrata, configura, administra o utiliza La Plataforma para su negocio, profesión u organización.
• Usuario Autorizado: persona física designada por un Cliente Empresarial para acceder y operar su Cuenta mediante roles y permisos determinados.
• Usuario Final: persona física que interactúa con un agente, widget o canal habilitado por un Cliente Empresarial.
• Responsable: persona física o moral que decide sobre el tratamiento de datos personales y sus finalidades.
• Persona Encargada: persona física o jurídica que trata datos personales por cuenta del Responsable y conforme a sus instrucciones.
• Datos del Cliente: información, registros, documentos, conversaciones, contactos y demás datos cargados o tratados por cuenta del Cliente Empresarial mediante La Plataforma.
• Agente de IA: asistente conversacional configurado por el Cliente Empresarial mediante La Plataforma para interactuar con Usuarios Finales.
• Proveedor Tecnológico o Subencargado: tercero que presta servicios de nube, inteligencia artificial, almacenamiento, correo, seguridad, comunicaciones u otros componentes necesarios para operar La Plataforma.

2.1 Regla general de asignación de responsabilidades

Las reglas generales pueden variar, en tal caso, EL PROVEEDOR notificará esto al titular de los datos recabados.

3.1 Clientes Empresariales, representantes y contactos

• Datos de identificación y representación: nombre, apellidos, cargo, puesto y, cuando resulte necesario, información para acreditar facultades.
• Datos de contacto: correo electrónico, teléfono y medios corporativos de contacto.
• Datos fiscales y de facturación de personas físicas, cuando resulten aplicables a la relación contractual.
• Datos contractuales y comerciales: empresa vinculada, Plan, servicios contratados, historial de contratación, soporte y comunicaciones relacionadas con la cuenta.
• Datos de pago y transacción que resulten necesarios para acreditar pagos, cargos o facturación, procurando que la información completa de instrumentos de pago sea tratada por proveedores especializados cuando corresponda.

3.2 Usuarios Autorizados de La Plataforma

• Datos de identificación y perfil: nombre, apellidos, fotografía cuando sea proporcionada y datos de perfil.
• Datos de contacto: correo electrónico y teléfono.
• Datos de cuenta y seguridad: identificadores de usuario, credenciales protegidas, roles, permisos, empresas a las que pertenece, sesiones y registros de autenticación.
• Datos técnicos: dirección IP, navegador, sistema operativo, identificadores de sesión, fecha, hora, dispositivo y registros de actividad necesarios para seguridad, soporte y evidencia.

3.3 Usuarios Finales: datos tratados por cuenta del Cliente Empresarial

La Plataforma puede tratar, por instrucciones del Cliente Empresarial, datos de Usuarios Finales que sean capturados de manera progresiva durante las conversaciones o mediante funcionalidades configuradas por el Cliente, entre ellos:

• Datos de identificación y contacto, como nombre, correo electrónico y teléfono.
• Contenido de conversaciones, solicitudes, preferencias e información proporcionada voluntariamente al Agente de IA.
• Datos de sesión, canal, identificadores técnicos, fecha y hora de interacción y continuidad de conversación.
• Información contenida en Documentos, formularios, catálogos, acciones o integraciones que el Cliente Empresarial habilite.
• Registros de confirmaciones, acciones transaccionales, cambios y demás evidencias técnicas que el Cliente solicite conservar.

Respecto de estos datos, el Aviso de Privacidad principal aplicable al Usuario Final será el del Cliente Empresarial cuando éste determine las finalidades y medios esenciales del tratamiento. EL PROVEEDOR los tratará en calidad de Persona Encargada conforme a las instrucciones, Condiciones Específicas y, cuando exista, el Anexo de Tratamiento de Datos.

3.4 Datos personales sensibles, financieros y patrimoniales

EL PROVEEDOR no solicita ni recaba datos personales sensibles de Usuarios Finales para finalidades propias de La Plataforma. La Plataforma no está diseñada para que EL PROVEEDOR determine por cuenta propia finalidades que requieran datos sensibles en los términos de la legislación aplicable.

Si un Cliente Empresarial configura La Plataforma, sus formularios, Agentes de IA, Documentos o integraciones para tratar datos personales sensibles, financieros o patrimoniales, dicho Cliente será responsable de determinar la necesidad y licitud del tratamiento, informar adecuadamente a los titulares, obtener el consentimiento que corresponda y cumplir las medidas reforzadas exigibles. EL PROVEEDOR actuará únicamente como Persona Encargada cuando procese dichos datos por cuenta y bajo instrucciones del Cliente Empresarial.

Tratándose de datos personales sensibles, el Cliente Empresarial deberá obtener el consentimiento expreso y por escrito de la persona titular cuando resulte legalmente exigible. EL PROVEEDOR podrá restringir o suspender tratamientos que sean manifiestamente ilícitos, inseguros o contrarios a sus condiciones de uso, sin asumir por ello la obligación de auditar la regulación sectorial del Cliente Empresarial.

4.1 Finalidades primarias o necesarias

• Crear, administrar, autenticar y proteger cuentas de Clientes Empresariales y Usuarios Autorizados.
• Gestionar la contratación, Planes, Condiciones Específicas, facturación, pagos, renovaciones y demás aspectos de la relación comercial.
• Prestar soporte técnico, atender solicitudes, resolver incidencias y administrar comunicaciones operativas.
• Mantener la seguridad de La Plataforma, prevenir fraude, abuso, accesos no autorizados, incidentes y usos ilícitos.
• Registrar evidencias técnicas de autenticación, aceptación, cambios, publicaciones, confirmaciones, accesos y operaciones para seguridad, auditoría y defensa de derechos.
• Cumplir obligaciones legales, fiscales, contractuales, judiciales o administrativas y atender requerimientos de autoridad competente.
• Gestionar proveedores tecnológicos, infraestructura y continuidad operativa necesarios para prestar La Plataforma.
• Realizar análisis técnicos de desempeño, disponibilidad, errores y seguridad necesarios para mantener y mejorar la prestación contratada, procurando utilizar información agregada o disociada cuando sea suficiente.

4.2 Finalidades secundarias que requieren elección de la persona titular

• Enviar comunicaciones comerciales, promociones, novedades, invitaciones o información de productos y servicios de EL PROVEEDOR que no sea necesaria para la relación vigente.
• Realizar encuestas de satisfacción, estudios de mercado o investigación comercial no indispensable para prestar La Plataforma.
• Elaborar perfiles comerciales para personalizar campañas o comunicaciones de mercadotecnia de EL PROVEEDOR.

La negativa o revocación respecto de estas finalidades secundarias no afectará el acceso a los Servicios contratados ni las finalidades primarias. La persona titular podrá manifestar su negativa o limitación mediante los mecanismos indicados en las secciones 6 y 7.

4.3 Finalidades cuando EL PROVEEDOR actúe como Persona Encargada

Cuando EL PROVEEDOR trate Datos del Cliente, las finalidades serán determinadas por el Cliente Empresarial y deberán estar informadas en su propio Aviso de Privacidad. EL PROVEEDOR podrá, según las instrucciones y funcionalidades contratadas, almacenar, organizar, consultar, transmitir, estructurar, analizar, generar respuestas, mantener historiales, ejecutar integraciones, conservar evidencias y suprimir datos exclusivamente para prestar los Servicios.

5.1 Remisiones a Personas Encargadas y Subencargados

EL PROVEEDOR podrá apoyarse en Proveedores Tecnológicos nacionales o extranjeros para nube, almacenamiento, inteligencia artificial, correo, seguridad, comunicaciones, soporte técnico u otros componentes indispensables. Cuando dichos terceros traten datos personales por cuenta de EL PROVEEDOR o del Cliente Empresarial, actuarán como personas encargadas o subencargadas bajo obligaciones contractuales de confidencialidad, seguridad y tratamiento limitado.

Las remisiones de datos entre un Responsable y una Persona Encargada no constituyen transferencias a terceros en términos de la LFPDPPP. Cuando EL PROVEEDOR actúe como Persona Encargada, la utilización de subencargados se sujetará a la autorización general o específica prevista en los Términos, Condiciones Específicas o DPA aplicable.

5.2 Transferencias cuando EL PROVEEDOR sea Responsable

5.3 Procesamiento internacional y ubicación de datos

La infraestructura o los Proveedores Tecnológicos pueden implicar procesamiento o almacenamiento fuera de México. EL PROVEEDOR adoptará medidas contractuales y de seguridad razonables conforme a su rol. Si un Cliente Empresarial requiere residencia geográfica específica, ésta deberá constar expresamente en las Condiciones Específicas o el DPA.

Para ejercer derechos ARCO respecto de tratamientos en los que EL PROVEEDOR sea Responsable, la persona titular o su representante podrá presentar una solicitud mediante la sección o mecanismo de “Privacidad” habilitado en La Plataforma o por escrito en el domicilio indicado en la sección 1.

La solicitud deberá contener, al menos: (i) nombre de la persona titular y medio para recibir notificaciones; (ii) documentos que acrediten identidad y, en su caso, representación; (iii) descripción clara de los datos personales involucrados; (iv) derecho que se pretende ejercer; y (v) elementos que faciliten la localización de los datos.

EL PROVEEDOR comunicará la determinación adoptada dentro de los veinte días hábiles siguientes a la recepción de la solicitud y, si resulta procedente, la hará efectiva dentro de los quince días hábiles siguientes a la comunicación de la respuesta. Estos plazos podrán ampliarse una sola vez por un periodo igual cuando las circunstancias lo justifiquen.

Cuando la solicitud se refiera a datos respecto de los cuales el Cliente Empresarial sea Responsable, el Usuario Final deberá ejercer sus derechos ante dicho Cliente conforme a su Aviso de Privacidad. EL PROVEEDOR proporcionará la asistencia técnica razonable que corresponda como Persona Encargada y, cuando resulte posible, orientará al titular hacia el Responsable correcto.

La persona titular podrá revocar el consentimiento otorgado para tratamientos en los que EL PROVEEDOR sea Responsable, así como solicitar la limitación del uso o divulgación de sus datos personales, mediante los mismos canales previstos para el ejercicio de derechos ARCO. La revocación no tendrá efectos retroactivos ni procederá cuando exista una obligación jurídica que requiera continuar el tratamiento.

Para finalidades secundarias de mercadotecnia, encuestas o perfilamiento comercial, la persona titular podrá solicitar en cualquier momento su exclusión, sin afectar la prestación principal contratada.

Cuando la revocación o limitación se refiera a un tratamiento determinado por un Cliente Empresarial, la solicitud deberá dirigirse a dicho Cliente. EL PROVEEDOR ejecutará las instrucciones válidas que éste comunique en su calidad de Responsable.

La Plataforma puede utilizar cookies, almacenamiento local, identificadores de sesión y tecnologías similares para autenticación, seguridad, preferencias, idioma, continuidad de conversación, reconocimiento de visitas recurrentes, funcionamiento del Widget Web y medición técnica del servicio.

Cuando el Widget Web se encuentre integrado en el sitio de un Cliente Empresarial y las tecnologías sean utilizadas para finalidades determinadas por dicho Cliente, será responsabilidad del Cliente informarlas en su Aviso de Privacidad y administrar los mecanismos de consentimiento o deshabilitación que correspondan. EL PROVEEDOR habilitará mecanismos técnicos razonables para incorporar o enlazar dicho aviso.

La Plataforma utiliza componentes de inteligencia artificial para generar respuestas, estructurar información y ejecutar funcionalidades configuradas por los Clientes Empresariales. La información que se comunique a modelos o Proveedores Tecnológicos se limitará razonablemente a lo necesario para prestar la funcionalidad correspondiente y estará sujeta a las obligaciones aplicables de confidencialidad y seguridad.

EL PROVEEDOR no utilizará, en su calidad de Persona Encargada, los Datos del Cliente para finalidades propias incompatibles con las instrucciones del Cliente. Cualquier utilización adicional para finalidades propias deberá contar con una base jurídica independiente y quedar informada conforme a la legislación aplicable.

EL PROVEEDOR no utiliza los datos personales que trata como Responsable para adoptar, por cuenta propia, decisiones automatizadas que produzcan efectos jurídicos adversos sobre Usuarios Finales. Si un Cliente Empresarial configura La Plataforma para evaluar, clasificar o decidir sobre personas de forma automatizada, dicho Cliente será responsable de analizar las obligaciones de información, oposición, intervención humana y demás salvaguardas aplicables.

Los datos personales tratados por EL PROVEEDOR como Responsable se conservarán únicamente durante el tiempo necesario para cumplir las finalidades informadas, la relación contractual y las obligaciones legales, fiscales, de seguridad, auditoría o defensa de derechos aplicables. Concluida la finalidad, se procederá al bloqueo y posterior supresión cuando corresponda.

Los Datos del Cliente tratados por EL PROVEEDOR como Persona Encargada se conservarán conforme a las instrucciones del Cliente Empresarial, Condiciones Específicas, DPA, ciclos razonables de respaldo y obligaciones legales aplicables. La terminación o desactivación de una Cuenta no autoriza la conservación indefinida de datos personales.

Los historiales, logs o registros diseñados operativamente como inmutables podrán conservarse para trazabilidad, seguridad y evidencia, pero permanecerán sujetos a las obligaciones legales de acceso, bloqueo, cancelación, supresión o conservación que resulten aplicables.

EL PROVEEDOR implementa y mantiene medidas administrativas, técnicas y físicas razonables y proporcionales a la naturaleza de la información, los riesgos, el desarrollo tecnológico y su función en el tratamiento. Entre ellas pueden incluirse controles de acceso, autenticación, cifrado, segregación lógica o estructural de información, registro de eventos, restricciones de privilegios, gestión de credenciales y medidas de continuidad.

Ningún sistema puede garantizar seguridad absoluta. El Cliente Empresarial deberá mantener sus propios controles internos, administrar adecuadamente Usuarios Autorizados, roles, permisos, dispositivos, redes e integraciones y comunicar sin demora incidentes o accesos no autorizados de los que tenga conocimiento.

Cuando EL PROVEEDOR detecte una vulneración que afecte Datos Personales tratados por cuenta de un Cliente Empresarial, le comunicará la información razonablemente disponible sin demora indebida y cooperará en la contención e investigación. El Cliente, como Responsable, determinará las notificaciones que correspondan a sus titulares o autoridades. Respecto de tratamientos propios de EL PROVEEDOR, éste realizará las notificaciones legalmente exigibles.

EL PROVEEDOR no dirige La Plataforma, para finalidades propias, a recabar deliberadamente datos personales de menores de edad. Cuando un Cliente Empresarial utilice La Plataforma en una actividad dirigida a menores o personas sujetas a representación, será responsable de implementar avisos, autorizaciones, verificación de representación y demás controles exigibles. EL PROVEEDOR actuará como Persona Encargada cuando trate esos datos por instrucciones del Cliente.

EL PROVEEDOR podrá modificar este Aviso por cambios legales, tecnológicos, de seguridad, operación, proveedores o tratamientos. Las modificaciones se comunicarán mediante un aviso visible en La Plataforma y, cuando sean materiales y exista un medio registrado, podrán comunicarse adicionalmente por correo electrónico u otro canal disponible.

Cuando una modificación implique nuevas finalidades que requieran consentimiento, nuevas categorías de datos personales sensibles o una transferencia sujeta a autorización, EL PROVEEDOR obtendrá el consentimiento que resulte legalmente exigible antes de iniciar el nuevo tratamiento.

El presente Aviso se rige por las leyes de los Estados Unidos Mexicanos, particularmente por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, su Reglamento, los Lineamientos del Aviso de Privacidad y demás disposiciones aplicables. La autoridad competente en materia de protección de datos personales en posesión de particulares es la Secretaría Anticorrupción y Buen Gobierno, conforme al marco legal vigente.