Aviso de Privacidad Integral

el titular y operador de SAL 91 (en adelante, el «Operador», el «Responsable» o «Nosotros»), con domicilio en el que consta en el contrato de suscripción, es el responsable del uso, tratamiento, resguardo y protección de los datos personales que recaba a través de la plataforma SAL 91 (E-commerce + WMS + POS), accesible en https://app.lasombradetusalas.com, https://app-r1.lasombradetusalas.com, https://app-r2.lasombradetusalas.com, https://app-w1.lasombradetusalas.com.

El tratamiento se realiza conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, su Reglamento, los Lineamientos del Aviso de Privacidad y los criterios del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales.

Medios de contacto en materia de datos personales

• Privacidad y cumplimiento: [email protected]
• Derechos ARCO y revocación del consentimiento: [email protected]
• Asuntos legales y requerimientos de autoridad: [email protected]
• Denuncia de contenido ilícito o abuso: [email protected]
• Soporte técnico: [email protected]

Estas direcciones se construyen automáticamente sobre el dominio con el que opera esta instalación (lasombradetusalas.com), de modo que el aviso siempre apunte al operador que realmente presta el servicio y no a un tercero.

La razón social y el domicilio completos del operador de esta instalación, así como el nombre de su encargado de datos personales, se proporcionan a solicitud expresa en [email protected] y constan en el contrato de suscripción celebrado con cada cliente.

El presente aviso aplica a los datos recabados por la navegación en los sitios públicos, el registro de cuentas, la solicitud de demostraciones y cotizaciones, la contratación y operación de suscripciones, el uso de la tienda en línea de cada empresa usuaria, el consumo de la API y de los servidores MCP, y la atención de soporte técnico.

SAL 91 es una plataforma multiempresa: cada negocio que la contrata opera su propio espacio de datos. Por eso el Operador tiene dos papeles jurídicos distintos y no debe confundirlos quien evalúe una reclamación.

1. El Operador como Responsable

El Operador es responsable únicamente de los datos personales que recaba en su relación comercial y contractual directa: los de sus suscriptores, prospectos, representantes legales, proveedores, personal y visitantes de sus sitios públicos. Esos datos se rigen por este aviso.

2. El Operador como Encargado técnico

RESPECTO DE LOS DATOS PERSONALES DE CLIENTES, CONSUMIDORES, COMENSALES, PACIENTES, PROVEEDORES, EMPLEADOS Y TERCEROS QUE UNA EMPRESA USUARIA CAPTURE, IMPORTE, GENERE O ALMACENE DENTRO DE SU PROPIA INSTANCIA, ESA EMPRESA USUARIA ES EL RESPONSABLE ÚNICO Y EXCLUSIVO DEL TRATAMIENTO FRENTE A LOS TITULARES Y FRENTE A LAS AUTORIDADES. EL OPERADOR ACTÚA ÚNICAMENTE COMO ENCARGADO TÉCNICO —PROCESADOR NEUTRAL DE ALOJAMIENTO Y SOFTWARE— Y TRATA ESOS DATOS SÓLO POR CUENTA, POR INSTRUCCIÓN Y BAJO LA DETERMINACIÓN DE LA EMPRESA USUARIA.

En su carácter de encargado, el Operador no decide las finalidades de esos datos, no los explota comercialmente, no los vende, no los cede, no los enriquece con fuentes externas por iniciativa propia, no los usa para publicidad propia, no clasifica ni audita su contenido, y no los consulta salvo cuando sea estrictamente necesario para prestar soporte solicitado, atender un incidente de seguridad, corregir un defecto o cumplir una obligación legal.

En consecuencia, corresponde a cada empresa usuaria —y no al Operador— contar con su propio aviso de privacidad, obtener el consentimiento de sus titulares, atender las solicitudes de derechos ARCO que éstos le presenten, designar a su encargado de datos personales, definir sus plazos de conservación y responder por cualquier uso indebido, divulgación o incumplimiento relativo a esa información. Una solicitud de un consumidor dirigida al Operador respecto de datos alojados por una empresa usuaria será orientada hacia esa empresa, que es quien puede y debe resolverla.

Los datos se recaban de forma directa —cuando el titular los proporciona por medios electrónicos, por escrito o en persona— y de forma indirecta cuando derivan del uso técnico de la plataforma.

• Identificación y contacto: nombre completo, denominación o razón social, acta constitutiva y poderes de representación, Registro Federal de Contribuyentes, régimen fiscal, comprobante de domicilio, teléfonos fijos y móviles, correos electrónicos y perfiles profesionales de negocios.
• Datos de la cuenta y del negocio: nombre de la empresa dada de alta, giro, sucursales, zona horaria, plan contratado, módulos habilitados, preferencias de idioma y formato, historial de soporte y registros de capacitación.
• Conexión, técnicos y de uso: direcciones IP públicas, identificadores de red y de dispositivo, agente de usuario, sistema operativo, fecha y hora de acceso, geolocalización aproximada derivada de la IP, cookies técnicas de sesión, bitácoras de autenticación y de actividad, métricas de consumo de cómputo, de API y de inteligencia artificial.
• Datos financieros y de facturación: cuentas bancarias para transferencia o depósito, constancia de situación fiscal, referencias comerciales, datos de facturación y comprobantes de pago.

El Operador no almacena números completos de tarjeta, fechas de vencimiento ni códigos de seguridad. Cuando exista cobro con tarjeta, la transacción se procesa en la infraestructura de pasarelas de pago certificadas, que actúan como responsables o encargados independientes conforme a sus propias políticas.

Para que el servicio funcione, la plataforma almacena la información que cada empresa usuaria decide capturar. De manera enunciativa, puede incluir datos de sus clientes y consumidores (nombre, teléfono, correo, domicilio de entrega, historial de compra, saldos, puntos de lealtad, mensualidades y conversaciones), de su personal (nombre, usuario, rol, turnos, movimientos de caja y bitácoras de actividad), de sus proveedores y de sus documentos fiscales.

• La decisión de qué datos capturar, con qué finalidad, con qué consentimiento y por cuánto tiempo conservarlos es exclusivamente de la empresa usuaria.
• El Operador no requiere, no sugiere y no necesita que una empresa usuaria capture datos sensibles, datos de menores ni más datos personales de los mínimos necesarios para su operación. Si lo hace, lo hace por decisión propia y bajo su propia responsabilidad.
• Las notas, comentarios, campos libres y archivos adjuntos que una empresa usuaria llene con información ajena a la operación —o con datos que la ley le prohíbe tratar— son de su exclusiva responsabilidad; el Operador no inspecciona su contenido.
• El personal del Operador que por excepción acceda a esa información con motivo de soporte, mantenimiento o seguridad está sujeto a deberes de confidencialidad y a control de acceso mínimo necesario, y su intervención queda registrada.

El Operador no recaba de forma directa datos personales sensibles de los titulares con los que se relaciona comercialmente: origen étnico o racial, estado de salud, información genética, creencias religiosas, filosóficas o morales, afiliación sindical, opiniones políticas, preferencia sexual ni datos biométricos.

CUANDO UNA EMPRESA USUARIA UTILICE SAL 91 —O CUALQUIER MÓDULO, CAMPO LIBRE, ADJUNTO O INTEGRACIÓN SUYA— PARA TRATAR DATOS DE SALUD, EXPEDIENTES CLÍNICOS, RECETAS, DATOS BIOMÉTRICOS O CUALQUIER OTRO DATO SENSIBLE, ESA EMPRESA ASUME EN EXCLUSIVA EL CARÁCTER DE RESPONSABLE DEL TRATAMIENTO Y DE CUSTODIO DE ESA INFORMACIÓN, CON TODAS LAS OBLIGACIONES REFORZADAS QUE LA LEY IMPONE, INCLUIDO EL CONSENTIMIENTO EXPRESO Y POR ESCRITO DEL TITULAR Y, EN SU CASO, LAS NORMAS OFICIALES MEXICANAS APLICABLES AL EXPEDIENTE CLÍNICO.

El Operador es, en ese supuesto, un simple proveedor de tecnología y alojamiento sin acceso, lectura, interpretación, diagnóstico, explotación comercial ni interés alguno en dicha información. No presta servicios médicos ni farmacéuticos, no valida prescripciones y no responde por el uso, la divulgación, la pérdida o el aprovechamiento indebido de datos de salud capturados por una empresa usuaria o por el profesional tratante.

Las empresas que necesiten tratar datos sensibles deben solicitar previamente al Operador, en [email protected], la suscripción de un convenio específico de encargado con las cláusulas reforzadas que su caso requiera. Sin ese convenio, ese uso queda fuera de las condiciones bajo las que se contrató el servicio.

• La plataforma no está dirigida a menores de edad y el Operador no recaba a sabiendas datos personales de menores en su relación directa con suscriptores.
• Si una empresa usuaria trata datos de menores —por su giro, por un programa de lealtad, por una escuela, por un servicio de salud o por cualquier otra razón—, es su obligación exclusiva obtener el consentimiento de quien ejerza la patria potestad o la tutela, aplicar las protecciones reforzadas que la ley exige y abstenerse de perfilar o publicitar a menores.
• El Operador no verifica la edad de las personas cuyos datos captura una empresa usuaria, ni la de los compradores de una tienda en línea, y no responde por el tratamiento de datos de menores realizado por una empresa usuaria.
• Quien advierta que se han recabado datos de un menor sin el consentimiento debido puede reportarlo a [email protected] para que el Operador lo canalice a la empresa responsable y, en su caso, lo suprima de su infraestructura.

Los datos que el Operador recaba como Responsable se tratan para las siguientes finalidades, necesarias para la existencia, mantenimiento y cumplimiento de la relación jurídica:

• Verificar y confirmar la identidad de solicitantes, representantes legales y empresas contratantes, y prevenir fraude, suplantación y abuso del servicio.
• Elaborar y formalizar cotizaciones, contratos de servicio, pólizas de nivel de servicio y convenios de encargado.
• Dar de alta, aprovisionar, parametrizar y configurar cuentas, empresas, dominios, bases de datos, credenciales de acceso, llaves de API y asistentes de inteligencia artificial.
• Operar, mantener, respaldar, actualizar y asegurar la plataforma y su infraestructura.
• Emitir comprobantes fiscales, gestionar cobranza, administrar cuentas por cobrar y cumplir obligaciones contables y fiscales propias del Operador.
• Brindar soporte técnico, atender tickets, resolver incidencias, notificar ventanas de mantenimiento, interrupciones, cambios de versión y avisos de seguridad.
• Medir el consumo de recursos, aplicar los límites del plan contratado y facturar servicios medidos.
• Atender requerimientos de autoridades competentes y cumplir obligaciones legales, incluidas las de conservación de registros.
• Ejercer o defender derechos del Operador en procedimientos administrativos, judiciales o arbitrales.

La negativa al tratamiento para estas finalidades impide prestar el servicio, por ser indispensables para la relación contractual.

Adicionalmente, y sólo si el titular no manifiesta su negativa, los datos pueden tratarse para finalidades que no son necesarias para el servicio contratado:

• Envío de boletines, avisos de nuevas funciones, actualizaciones de producto y contenidos informativos.
• Encuestas de satisfacción, estudios estadísticos internos y evaluaciones de calidad del servicio.
• Invitaciones a demostraciones, seminarios, capacitaciones y eventos organizados o patrocinados por el Operador.
• Elaboración de casos de éxito y testimonios, siempre con autorización previa y específica del titular.

El titular puede negar u oponerse al tratamiento para estas finalidades secundarias en cualquier momento, enviando su solicitud a [email protected] o utilizando el enlace de baja incluido en cada comunicación. Esa negativa no afecta la prestación de los servicios contratados ni es motivo para negarlos.

La plataforma emplea cookies, almacenamiento local del navegador y tecnologías similares con fines técnicos indispensables:

• Sesión y seguridad: mantener la sesión autenticada, identificar la empresa activa y proteger contra falsificación de peticiones entre sitios.
• Preferencias de presentación: recordar el tema claro u oscuro, el idioma, el formato regional de cifras y fechas, y el estado de paneles y menús. Estas preferencias viven en el navegador y en cookies del propio sitio.
• Desempeño: acelerar la carga mediante caché y medir tiempos de respuesta para dimensionar la infraestructura.
• Diagnóstico: registrar errores y trazas técnicas que permitan reproducir y corregir defectos.

El titular puede deshabilitar, restringir o eliminar cookies desde la configuración de privacidad de su navegador. Deshabilitar las cookies técnicas impide iniciar sesión y limita la operabilidad de la plataforma.

Las tiendas en línea públicas de cada empresa usuaria pueden incorporar, por decisión de esa empresa, códigos de medición, analítica o publicidad de terceros. Esa incorporación, su licitud, su aviso al visitante y la obtención del consentimiento que en su caso proceda son responsabilidad exclusiva de la empresa usuaria que los activó.

Cuando se ofrezca inicio de sesión mediante un proveedor de identidad externo, el Operador recibe únicamente los identificadores mínimos necesarios para autenticar al usuario: el correo verificado, un identificador único de cuenta, el nombre público del perfil y un token temporal de sesión.

• El uso y la transferencia de información recibida de esas interfaces se apega estrictamente a las políticas de datos de usuario y a los requisitos de uso limitado del proveedor correspondiente.
• Esos identificadores se usan sólo para verificar la identidad y autenticar el acceso. No se venden, no se transfieren con fines publicitarios, no se usan para perfilado de mercadotecnia y no se emplean para entrenar modelos de lenguaje o de aprendizaje automático ajenos al servicio.
• El Operador no responde por las políticas de privacidad, las vulnerabilidades, las interrupciones ni las cancelaciones unilaterales de los proveedores de identidad, de nube, de mensajería, de pagos o de certificación fiscal, sobre los que no tiene control técnico ni participación societaria.

Cuando una empresa usuaria habilita asistentes, bots o funciones de inteligencia artificial, la plataforma envía a proveedores externos de modelos únicamente los fragmentos de información necesarios para atender cada consulta, por instrucción de esa empresa.

• El Operador no vende esa información, no la usa para publicidad y no la aporta para el entrenamiento de modelos comerciales de terceros ajenos a la prestación del servicio.
• La empresa usuaria decide qué módulos, permisos y datos quedan al alcance de cada asistente. Ampliar esos permisos amplía lo que puede salir hacia el proveedor del modelo, y esa decisión es suya.
• Cuando la empresa usuaria conecte la plataforma a un cliente de inteligencia artificial de un tercero mediante llaves de API o servidores MCP, la información que llegue a esa herramienta queda sujeta a los términos y a la política de privacidad de ese tercero. El Operador no controla ese tratamiento posterior.
• Se recomienda no capturar datos sensibles, datos de salud ni datos innecesarios en campos que alimenten a un asistente. Quien los capture asume el riesgo de que sean procesados por ese proveedor externo.
• Los asistentes de atención al público operan bajo la marca y por cuenta de la empresa usuaria. El aviso al consumidor de que está conversando con un sistema automatizado, cuando la ley lo exija, corresponde a esa empresa.

El detalle de proveedores de modelos vigentes y de las regiones en que procesan se proporciona a solicitud en [email protected].

Para prestar el servicio, el Operador se apoya en proveedores que actúan como encargados o subencargados, obligados por contrato a tratar la información únicamente conforme a sus instrucciones y con deberes de confidencialidad y seguridad: centros de datos y proveedores de cómputo en la nube, servicios de correo y mensajería, pasarelas de pago, proveedores autorizados de certificación fiscal, proveedores de modelos de inteligencia artificial y herramientas de monitoreo y respaldo.

• La infraestructura puede operar en varias sedes, con replicación entre nodos y mecanismos de relevo automático, incluyendo nodos en distintas entidades federativas o países. Esa arquitectura existe para la continuidad del servicio, no para ampliar las finalidades del tratamiento.
• Los respaldos, las réplicas y las bitácoras pueden residir en ubicaciones distintas de la del nodo principal y conservarse por los plazos técnicos y legales aplicables.
• El Operador puede sustituir, agregar o retirar encargados por necesidades técnicas, manteniendo condiciones de protección equivalentes.
• La transmisión de datos a un encargado para que preste servicios por cuenta del Responsable no constituye una transferencia que requiera consentimiento en términos de la ley aplicable.

EL OPERADOR NO VENDE, NO RENTA, NO COMERCIALIZA NI CEDE DATOS PERSONALES A TERCEROS PARA FINES AJENOS AL SERVICIO, Y NO TRANSFIERE LOS DATOS QUE ALOJA POR CUENTA DE UNA EMPRESA USUARIA A NINGÚN TERCERO, SALVO POR INSTRUCCIÓN DE ESA EMPRESA O POR MANDATO DE AUTORIDAD COMPETENTE.

Sólo se realizan las transferencias que no requieren consentimiento del titular conforme al artículo 37 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, entre ellas:

• A autoridades judiciales, administrativas, fiscales, laborales o ministeriales competentes, en cumplimiento de mandatos debidamente fundados y motivados.
• A entidades financieras y pasarelas de pago, para procesar las transacciones que el propio titular o la empresa usuaria solicitan.
• A abogados externos, auditores y despachos fiscales sujetos a secreto profesional, para la defensa de los intereses legítimos del Operador.
• A la sociedad adquirente o resultante en caso de fusión, escisión, reestructura o transmisión de activos del Operador, conservando el adquirente las mismas obligaciones de este aviso.
• Cuando sea necesario para prevenir un daño inminente, un fraude o la comisión de un delito, o para proteger la vida o la integridad de una persona.

• Los datos se conservan durante la vigencia de la relación contractual y, después, por los plazos que exijan las obligaciones fiscales, contables, mercantiles y probatorias aplicables, tras lo cual se bloquean y posteriormente se suprimen o se anonimizan.
• Las bitácoras técnicas y de seguridad se conservan por el periodo necesario para investigar incidentes, atender requerimientos y demostrar el cumplimiento de medidas de seguridad.
• Los datos que una empresa usuaria aloja se conservan mientras su suscripción esté vigente y durante el periodo de gracia posterior previsto en los términos y condiciones; concluido éste, pueden depurarse definitivamente. Es carga de la empresa usuaria exportar su información antes de ese plazo.
• La plataforma opera preferentemente con archivado en lugar de borrado físico para preservar la trazabilidad contable y de auditoría. El ejercicio del derecho de cancelación se atiende mediante bloqueo y posterior supresión, en la medida en que no exista una obligación legal de conservación que lo impida.
• Los respaldos conservan copias de la información por sus propios ciclos de retención; una supresión puntual se refleja en los respaldos conforme éstos se reciclan, sin que ello suponga un uso activo de esos datos.

Cualquier duda sobre plazos de conservación aplicables a un caso concreto puede plantearse en [email protected].

El Operador aplica medidas comercialmente razonables y proporcionales al riesgo, entre las que se encuentran:

• Cifrado de la información en tránsito mediante protocolos vigentes de seguridad de la capa de transporte.
• Cifrado de credenciales y de secretos sensibles en reposo, y contraseñas almacenadas mediante funciones de derivación de clave, nunca en texto claro.
• Aislamiento de instancias y segmentación de los datos de cada empresa, con control de acceso basado en roles y permisos verificados en el servidor.
• Cortafuegos perimetrales, límites de tasa de peticiones y monitoreo de disponibilidad.
• Bitácoras de auditoría de las operaciones relevantes y del acceso administrativo.
• Respaldos periódicos y procedimientos de recuperación, con verificación de integridad.
• Políticas internas de acceso mínimo necesario, confidencialidad del personal y revisión de dependencias y actualizaciones de seguridad.

Estas medidas no constituyen garantía de inviolabilidad y pueden evolucionar conforme cambien las amenazas y la tecnología disponible.

El titular y la empresa usuaria reconocen expresamente que ningún sistema conectado a internet es completamente impenetrable y que la seguridad de la información es una responsabilidad compartida.

EN LA MEDIDA MÁXIMA QUE PERMITA LA LEY, EL OPERADOR QUEDA EXONERADO DE RESPONSABILIDAD CIVIL, MERCANTIL, ADMINISTRATIVA, LABORAL Y PENAL POR INCIDENTES DERIVADOS DE CASO FORTUITO O FUERZA MAYOR, ATAQUES INFORMÁTICOS AVANZADOS, VULNERABILIDADES DE DÍA CERO, CÓDIGO MALICIOSO, SECUESTRO DE DATOS, ATAQUES DE DENEGACIÓN DE SERVICIO, ROBO DE CREDENCIALES MEDIANTE ENGAÑO O SUPLANTACIÓN, FUGAS ORIGINADAS EN CONTRASEÑAS DÉBILES, COMPARTIDAS O FILTRADAS POR EL PROPIO USUARIO, EQUIPOS DEL CLIENTE COMPROMETIDOS, O INTRUSIONES A ESCALA GLOBAL EN PROVEEDORES DE INFRAESTRUCTURA.

La obligación del Operador se limita a la diligencia técnica comercialmente viable en el mantenimiento, la actualización y la respuesta a incidentes. Corresponde a la empresa usuaria y a cada usuario mantener contraseñas robustas e individuales, habilitar la autenticación de doble factor disponible, revocar accesos que ya no deban existir, resguardar sus llaves de API y no operar desde equipos o redes comprometidos.

• Si el Operador detecta una vulneración de seguridad que afecte de forma significativa los datos de los que es Responsable, lo notificará sin demora injustificada a los titulares afectados por los medios de contacto registrados, informando la naturaleza del incidente, los datos comprometidos, las recomendaciones al titular y las acciones correctivas emprendidas.
• Si la vulneración afecta datos alojados por cuenta de una empresa usuaria, el Operador notificará a esa empresa usuaria, que en su carácter de Responsable es quien debe valorar y realizar la notificación a los titulares afectados y, en su caso, a la autoridad garante. El Operador colaborará razonablemente con la información técnica de que disponga.
• La empresa usuaria se obliga a informar al Operador, en [email protected], de cualquier incidente que detecte en su propia operación y que involucre credenciales, llaves de API o datos alojados en la plataforma, para que puedan tomarse medidas de contención.
• El reporte responsable de vulnerabilidades encontradas en la plataforma se recibe en [email protected]. Las pruebas de intrusión requieren autorización previa y por escrito; sin ella constituyen un acceso no autorizado.

Todo titular tiene derecho a conocer qué datos personales suyos se tienen, para qué se usan y en qué condiciones (Acceso); a solicitar su corrección cuando sean inexactos, incompletos o estén desactualizados (Rectificación); a solicitar su eliminación cuando su uso no se ajuste a los principios y deberes legales (Cancelación); y a oponerse al tratamiento para finalidades específicas (Oposición).

Dónde presentar la solicitud

• Datos en poder del Operador como Responsable: la solicitud se envía a [email protected].
• Datos capturados por una empresa usuaria: la solicitud debe presentarse directamente a esa empresa, que es el Responsable. Si el titular no sabe cómo contactarla, puede escribir a [email protected] y el Operador lo orientará y trasladará la solicitud a la empresa correspondiente, sin poder resolverla por ella.

Requisitos de la solicitud

• Nombre completo del titular y un medio para comunicarle la respuesta (correo electrónico o domicilio).
• Documento que acredite de manera fehaciente su identidad —copia digital legible de identificación oficial vigente o pasaporte— o, en su caso, el instrumento que acredite la representación legal.
• Descripción clara y precisa de los datos personales respecto de los que se ejerce el derecho y del derecho que se pretende ejercer.
• Cualquier otro elemento que facilite la localización de los datos.
• Para rectificación, además, la indicación de las modificaciones solicitadas y la documentación que sustente la procedencia de lo pedido.

Plazos

El Operador comunicará la resolución motivada en un plazo máximo de veinte (20) días hábiles contados a partir del acuse de recibo de la solicitud completa. Si resulta procedente, se hará efectiva dentro de los quince (15) días hábiles siguientes. Cuando la información sea insuficiente, se podrá requerir al titular que la complete dentro de los cinco (5) días hábiles siguientes a la recepción.

El ejercicio de estos derechos es gratuito; sólo podrán cobrarse los gastos justificados de envío o de reproducción en copias u otros formatos. El derecho de cancelación u oposición puede resultar improcedente cuando exista una obligación legal de conservar los datos, cuando obstaculice actuaciones de autoridad, cuando sean necesarios para cumplir una obligación contractual vigente o en los demás casos que prevé la ley; en tal supuesto, la negativa se comunicará debidamente motivada.

El titular puede revocar en cualquier momento el consentimiento otorgado para el tratamiento de sus datos personales, en la medida en que la ley lo permita, enviando su solicitud a [email protected] con los mismos requisitos de identificación previstos para los derechos ARCO.

• La revocación no tendrá efectos retroactivos y no procederá cuando el tratamiento sea necesario para cumplir una obligación legal o para mantener la relación contractual vigente. En ese caso, la revocación equivale a solicitar la terminación del servicio.
• Para limitar el uso o la divulgación de sus datos —por ejemplo, dejar de recibir comunicaciones promocionales— basta solicitarlo a [email protected] o usar el enlace de baja de cada comunicación.
• El Operador mantiene un registro interno de las personas que han solicitado limitación del uso de sus datos, a fin de respetar esa decisión.
• El titular puede además inscribirse en los registros públicos para excluir publicidad que la legislación mexicana prevé.

Al contratar la plataforma, la empresa usuaria declara conocer y asumir que, respecto de los datos personales que trate dentro de ella, le corresponden íntegramente las obligaciones que la ley impone al Responsable. En particular se obliga a:

• Publicar y poner a disposición de sus titulares su propio aviso de privacidad, con sus finalidades, sus transferencias y su domicilio, sin limitarse a remitir a este documento, que es el aviso del Operador y no el suyo.
• Obtener el consentimiento que en cada caso proceda, expreso y por escrito cuando se trate de datos sensibles, financieros o patrimoniales.
• Tratar únicamente los datos mínimos necesarios para su finalidad y mantenerlos exactos y actualizados.
• Atender y resolver, en los plazos legales, las solicitudes de derechos ARCO, de revocación y de limitación que le presenten sus titulares.
• Designar a su encargado de datos personales y capacitar a su personal en el manejo de la información.
• Administrar con diligencia los accesos, roles y permisos de sus usuarios, y revocarlos oportunamente.
• No utilizar la plataforma para tratar datos que la ley le prohíba tratar, ni para finalidades ilícitas, discriminatorias o engañosas.
• Indemnizar al Operador por cualquier reclamación, procedimiento o sanción derivada del tratamiento de datos personales que ella determine, conforme a los términos y condiciones.

Las empresas que requieran un convenio específico de encargado, una descripción detallada de medidas de seguridad o información para su propia evaluación de impacto pueden solicitarlo en [email protected].

Queda estrictamente prohibido utilizar la plataforma para almacenar, procesar, publicar, transmitir o enlazar contenido relacionado con material de abuso sexual infantil o explotación de menores; comercio ilícito de armas, municiones o explosivos; narcotráfico, estupefacientes, psicotrópicos y precursores químicos; terrorismo, trata de personas, extorsión, lavado de dinero y delincuencia organizada; o fraude, suplantación de identidad y usurpación de marcas.

Ante sospecha fundada, hallazgo técnico o denuncia, el Operador podrá aislar forensemente la información, suspender de inmediato la cuenta sin derecho a reembolso y notificar a las autoridades ministeriales y judiciales competentes, cooperando plenamente con los peritajes legales. En esos supuestos, la conservación y la entrega de la información a la autoridad prevalecen sobre cualquier solicitud de supresión. Denuncias: [email protected].

• Notificación al cliente: el Operador informará oportunamente a la empresa usuaria sobre la situación legal de su cuenta, servidores o bases de datos cuando reciba un requerimiento, salvo que el mandato o la legislación procesal ordenen expresamente el secreto de la investigación.
• Plazo de entrega: los respaldos, registros y bitácoras se pondrán a disposición de la autoridad requirente o del cliente legitimado dentro de una ventana formal de DIEZ (10) A NOVENTA (90) DÍAS HÁBILES, contados desde que se verifique la legitimidad de la orden y la ausencia de impedimento legal o de retención precautoria. El plazo responde a la complejidad operativa, al volumen de datos, al aislamiento de información colocada en infraestructura compartida y a los tiempos de procesamiento de imágenes de disco.
• Costos: los costos extraordinarios de recuperación, peritaje, ingeniería especializada y entrega en medios forenses pueden repercutirse a quien solicita la información.
• Contacto: [email protected]

Si el titular considera que su derecho a la protección de datos personales ha sido lesionado por alguna conducta u omisión del Operador, o presume alguna violación a las disposiciones de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, su Reglamento y demás normatividad aplicable, podrá interponer la queja o denuncia correspondiente ante la autoridad garante competente en materia de protección de datos personales, en los términos y plazos que esa normatividad establece.

Cuando la inconformidad se refiera a datos capturados por una empresa usuaria, la queja debe dirigirse contra esa empresa, que es el Responsable del tratamiento.

El Operador se reserva el derecho de modificar, adicionar o actualizar el presente aviso en cualquier momento, para atender reformas legislativas, criterios de la autoridad garante, políticas internas, nuevos módulos, nuevas integraciones o nuevas prácticas de mercado.

• La versión vigente se publica de forma permanente en https://app.lasombradetusalas.com/aviso-de-privacidad, con la fecha de última actualización visible en el encabezado. Se recomienda su revisión periódica.
• Las modificaciones sustanciales que amplíen las finalidades o los destinatarios se comunicarán además por los medios de contacto registrados o mediante un aviso dentro de la propia plataforma.
• La versión en español de este aviso es la única oficial y vinculante; cualquier traducción se ofrece por conveniencia y, en caso de discrepancia, prevalece el texto en español.
• Este aviso se complementa con los términos y condiciones de uso publicados en https://app.lasombradetusalas.com/terminos-y-condiciones, que forman parte integrante de la relación contractual.

Cualquier duda sobre el alcance de este aviso puede plantearse en [email protected].