El presente Aviso de Privacidad se emite en cumplimiento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (la “Ley”), su Reglamento y los Lineamientos del Aviso de Privacidad vigentes en México. Buscamos tratar tus datos personales de forma lícita, informada y con medidas de seguridad razonables; sin embargo, ningún sistema es completamente infalible.
1. Identidad y domicilio del Responsable
Edgar Saúl Aramburo Jiménez (RFC AAJE9509093I3), quien opera bajo el nombre comercial “OtterFlow” (en adelante, “nosotros”, “la Plataforma” o el “SaaS”), con domicilio en Av. Reforma 1533, Int. 1, Col. Nueva, C.P. 21100, Mexicali, Baja California, México, es el responsable del tratamiento de los datos personales descritos en este Aviso. Para cualquier asunto relacionado con tus datos personales, contáctanos en [email protected] (Departamento de Datos Personales).
2. Alcance y roles: Responsable vs. Encargado
Para entender este Aviso es clave distinguir dos roles que asumimos según el tipo de datos:
- Somos Responsable respecto de los datos de: (i) visitantes de nuestro sitio; (ii) prospectos que solicitan información; (iii) los negocios o personas que contratan la Plataforma (“Clientes”); (iv) los usuarios administradores de cada cuenta; y (v) los datos de facturación.
- Somos Encargado respecto de los datos de los pacientes/clientes finales que cada Cliente atiende a través de la Plataforma. En ese caso, el Cliente (negocio) es el Responsable de esos datos y nosotros los tratamos únicamente por su cuenta y bajo sus instrucciones, conforme al Anexo de Tratamiento de Datos Personales por Encargo (DPA). Cada Cliente debe contar con su propio Aviso de Privacidad y obtener el consentimiento de sus pacientes/clientes.
Este Aviso describe principalmente el tratamiento en el que actuamos como Responsable. El tratamiento por encargo se rige por el DPA México.
3. Datos personales que tratamos
Según la categoría de titular, podemos tratar:
- Visitantes y prospectos: nombre, correo, teléfono, mensaje o solicitud, y datos de navegación (IP, dispositivo, navegador, páginas visitadas).
- Clientes contratantes y usuarios administradores: nombre, correo, teléfono, nombre del negocio, credenciales de acceso (cifradas), rol dentro de la cuenta y registros de actividad (logs).
- Facturación: datos fiscales y de pago necesarios para cobrar el servicio, cuando aplique, incluyendo RFC, razón social, domicilio fiscal, régimen fiscal, constancias de situación fiscal, comprobantes, facturas o información de CFDI que nos proporciones.
- Pacientes/clientes finales (como Encargado, por cuenta del Cliente): nombre, número de WhatsApp, contenido de los mensajes, citas, notas, audios, imágenes, documentos, comprobantes de pago, datos de agenda y cualquier archivo que el Cliente o el propio paciente proporcionen dentro de la Plataforma.
4. Datos personales sensibles (salud)
La Plataforma no exige datos personales sensibles (como datos de salud) para funcionar. No obstante, en clínicas médicas o dentales pueden llegar a tratarse datos sensibles de salud si el paciente los comparte voluntariamente por WhatsApp o si el negocio los registra en la conversación o en las notas.
Cuando esto ocurra, el Cliente (negocio) actúa como Responsable de dichos datos sensibles y es el obligado a obtener el consentimiento expreso de sus pacientes/clientes y a contar con las medidas y avisos que la Ley exige para datos sensibles. El Cliente debe evitar ingresar datos sensibles, clínicos, fiscales o financieros que no sean estrictamente necesarios para la atención o gestión solicitada.
OtterFlow no es un expediente clínico electrónico, sistema hospitalario, repositorio fiscal oficial ni sustituto de los sistemas internos del Cliente. Si el Cliente decide recibir o conservar recetas, estudios, imágenes, constancias fiscales, facturas, identificaciones o documentos similares dentro de la Plataforma, lo hace bajo su propia responsabilidad y debe contar con base legal, aviso de privacidad, consentimiento y controles internos adecuados.
5. Finalidades primarias (necesarias)
Tratamos tus datos para las siguientes finalidades necesarias para la relación:
- Crear, identificar y administrar tu cuenta y el acceso al panel.
- Prestar el servicio: agente de atención por WhatsApp, agenda, panel e integraciones que actives.
- Facturación, cobranza, soporte y atención a solicitudes.
- Seguridad de la Plataforma, prevención de fraude y abuso.
- Cumplir obligaciones legales y requerimientos de autoridad.
6. Finalidades secundarias (no necesarias) y cómo negarlas
De forma adicional, podemos usar tus datos de contacto para enviarte comunicaciones sobre novedades, mejoras, encuestas y promociones de la Plataforma.
Si no deseas que tus datos se usen para estas finalidades secundarias, puedes manifestarlo en cualquier momento enviando un correo a [email protected] con el asunto “No finalidades secundarias”. Tu negativa no será motivo para negarte el servicio.
7. Uso de inteligencia artificial
La Plataforma utiliza sistemas automatizados y modelos de inteligencia artificial de terceros para asistir en tareas como redactar respuestas, clasificar mensajes, gestionar la agenda y leer mensajes o comprobantes. Estos sistemas son una herramienta de apoyo: pueden cometer errores o generar información imprecisa, no sustituyen la revisión humana y no toman decisiones clínicas, diagnósticas, legales o financieras definitivas. La validación final (por ejemplo, confirmar un pago o una indicación profesional) corresponde a una persona autorizada del negocio.
No usamos el contenido de conversaciones, documentos, comprobantes, facturas o datos de pacientes/clientes finales para entrenar modelos de inteligencia artificial propios. Cuando se utilizan proveedores de IA para prestar el Servicio, el tratamiento se limita a las funciones solicitadas por el Cliente y se sujeta a las condiciones aplicables de dichos proveedores.
8. Remisiones a encargados, subencargados y transferencias
Para operar la Plataforma compartimos datos con proveedores que los tratan por nuestra cuenta y bajo nuestras instrucciones (“remisiones” a encargados/subencargados). Una remisión a un encargado no constituye una transferencia y no requiere tu consentimiento. Entre estos proveedores se encuentran, de forma enunciativa:
- Meta Platforms (WhatsApp Business / Cloud API): envío y recepción de mensajes.
- Proveedores de inteligencia artificial (Anthropic, OpenAI): procesamiento de texto e imágenes de las conversaciones.
- Google (Calendar / OAuth): sincronización de agenda, si se conecta.
- Proveedor de infraestructura, hosting y base de datos: un servidor (VPS) bajo nuestra administración, donde la información se almacena de forma cifrada.
- Proveedores de correo y de pagos, cuando apliquen.
Hablamos de transferencia cuando los datos se comunican a un tercero distinto que actúa como responsable independiente. No realizamos transferencias que requieran tu consentimiento salvo en los supuestos permitidos por la Ley vigente (por ejemplo, cumplimiento de obligaciones derivadas de una relación jurídica, requerimientos de autoridad o protección de un interés legítimo). No vendemos tus datos personales ni los usamos para entrenar modelos de IA propios. Algunos proveedores pueden ubicarse fuera de México; adoptamos medidas contractuales y técnicas para que traten los datos conforme a este Aviso.
9. Datos fiscales, comprobantes y documentos cargados por clientes
En algunos casos los Clientes, sus usuarios o sus pacientes/clientes finales pueden enviar constancias de situación fiscal, facturas, comprobantes de pago, identificaciones, documentos clínicos, imágenes, audios u otros archivos por WhatsApp o por el panel. OtterFlow trata esos archivos solo para prestar el Servicio, facilitar la gestión del Cliente y conservar la evidencia operativa necesaria.
El Cliente es responsable de definir qué documentos solicita, recibe, conserva o elimina; de verificar su autenticidad y exactitud; de limitar su recolección a lo necesario; y de cumplir con las obligaciones fiscales, sanitarias, profesionales y de protección de datos que le resulten aplicables. No debes enviar ni pedir por la Plataforma contraseñas, llaves privadas, e.firma, certificados de sello digital, datos bancarios completos o cualquier información innecesaria para la finalidad solicitada.
10. Derechos ARCO y procedimiento
Tienes derecho a Acceder a tus datos, Rectificarlos cuando sean inexactos, Cancelarlos cuando consideres que no se requieren, y Oponerte a su tratamiento por causa legítima (derechos ARCO).
Para ejercerlos, envía tu solicitud a [email protected] con:
- Nombre del titular y medio para recibir la respuesta.
- Documento que acredite tu identidad (o la representación legal).
- Descripción clara y precisa de los datos y del derecho que deseas ejercer.
- Cualquier elemento que facilite localizar los datos.
Te responderemos sobre la procedencia de tu solicitud en un plazo máximo de 20 (veinte) días hábiles y, de resultar procedente, la haremos efectiva dentro de los 15 (quince) días hábiles siguientes. Estos plazos podrán ampliarse una sola vez por un periodo igual cuando el caso lo justifique, conforme a la Ley. El ejercicio de estos derechos es gratuito (podrían cubrirse, en su caso, gastos de envío o reproducción).
Si tu solicitud se refiere a datos de un paciente/cliente final (donde actuamos como Encargado), deberás dirigirla al Cliente (negocio) correspondiente, que es el Responsable; nosotros lo apoyaremos en lo que proceda.
11. Revocación del consentimiento
Puedes revocar el consentimiento que nos hayas otorgado para el tratamiento de tus datos, enviando tu solicitud a [email protected]. La revocación podría implicar que no podamos seguir prestándote el servicio y no tendrá efectos retroactivos.
12. Medios para limitar el uso o la divulgación
Además de los derechos ARCO, puedes solicitar la limitación del uso o divulgación de tus datos escribiendo a [email protected]. De ser procedente, te incluiremos en un listado interno de exclusión.
13. Cookies y tecnologías de rastreo
Usamos dos tipos de cookies y almacenamiento local. Las cookies necesarias (sesión y seguridad) están siempre disponibles porque sin ellas la Plataforma no puede iniciar sesión ni funcionar; no requieren tu consentimiento. Las cookies y el identificador anónimo de analítica (para medir visitas y mejorar el servicio) se activan únicamente después de que las aceptas en el aviso de cookies.
Si eliges “Solo necesarias” (o cierras el aviso de cookies), no activamos la analítica: no creamos ni conservamos el identificador anónimo de visitante y no registramos tu visita; si existiera uno previo, se elimina. Puedes cambiar tu decisión borrando el almacenamiento del sitio desde tu navegador. Deshabilitar además las cookies necesarias desde el navegador puede impedir el inicio de sesión u otras funciones.
14. Medidas de seguridad
Aplicamos medidas de seguridad administrativas, técnicas y físicas razonables para proteger tus datos contra daño, pérdida, alteración o acceso no autorizado, tales como cifrado de credenciales y secretos, control de acceso por roles, aislamiento de la información por organización (tenant) y registros de actividad. También procuramos limitar el acceso interno a personal autorizado y reducir la exposición de datos personales en logs, diagnósticos y herramientas operativas. Ninguna medida garantiza seguridad absoluta.
15. Conservación de los datos
Conservamos los datos mientras la cuenta o la relación esté vigente y por los plazos legales, contables o contractuales aplicables. Concluido el periodo, los datos se eliminan, devuelven o anonimizan de forma segura. Ciertos registros, facturas, comprobantes, respaldos, logs de seguridad o evidencia de operación pueden conservarse por más tiempo cuando sea necesario para cumplir obligaciones legales, fiscales, contables, resolver disputas, prevenir abuso o acreditar la prestación del Servicio.
16. Cambios al Aviso de Privacidad
Podemos actualizar este Aviso. La versión vigente estará disponible en esta misma dirección (/aviso-privacidad) con su fecha de última actualización. Los cambios sustanciales se comunicarán por correo o dentro de la Plataforma.
17. Autoridad competente
Si consideras que tu derecho a la protección de datos personales ha sido vulnerado, puedes acudir ante la autoridad competente en México en materia de protección de datos personales.
18. Uso limitado de datos de Google Workspace APIs
Cuando conectas tu cuenta de Google, OtterFlow accede a datos de Google Calendar únicamente para prestarte las funciones de agenda que solicitas dentro de la Plataforma; en particular, para:
- conectar el calendario del usuario;
- consultar la disponibilidad de horarios;
- crear, actualizar, cancelar y sincronizar citas dentro de la Plataforma.
Respecto de los datos recibidos de las Google Workspace APIs, OtterFlow:
- no vende los datos recibidos de Google;
- no usa esos datos para publicidad;
- no usa esos datos para entrenar, mejorar ni desarrollar modelos de inteligencia artificial generalizados;
- solo comparte esos datos con los proveedores estrictamente necesarios para operar, proteger y prestar las funciones solicitadas por el usuario.
The use and transfer of raw or derived user data received from Google Workspace APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
19. Aceptación
Al utilizar el sitio o la Plataforma, manifiestas que conoces y aceptas el presente Aviso de Privacidad.