Aviso de Privacidad Integral

1. Identidad y domicilio del Responsable

Pedro Abdiel Villatoro Chávez, persona física con Registro Federal de Contribuyentes VICP040613RW6 y domicilio en Tulipanes 21, 3er sector de Fidelac, Lázaro Cárdenas, Michoacán, México, quien comercializa el software bajo el nombre comercial "AP One" (en adelante, el "Responsable"), es responsable del tratamiento y protección de los datos personales que recibe, conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), su Reglamento y demás legislación mexicana aplicable.

Para el ejercicio de derechos ARCO y cualquier comunicación relacionada con sus datos personales, el correo de contacto es abdiel.pedro2004@gmail.com.

2. Doble rol del Responsable

AP One es una herramienta de software (SaaS) que el Responsable pone a disposición de empresas que prestan servicios técnicos en campo. Por la naturaleza del Servicio, el rol del Responsable en materia de protección de datos personales es doble:

• Responsable respecto de los datos de la persona o empresa que abre la cuenta de AP One (en adelante, el "Cliente"), así como respecto de los datos técnicos de uso de la plataforma.
• Encargado del tratamiento respecto de toda la información que el Cliente carga dentro del Servicio (datos de sus propios clientes finales, técnicos, órdenes, evidencias, inventario, etc.). En estos casos, el Cliente es el Responsable de dichos datos personales y AP One actúa únicamente bajo sus instrucciones.

El Responsable no comercializa, ni utiliza para finalidades propias los datos personales que el Cliente carga en el Servicio.

3. Datos personales que recabamos

Para las finalidades señaladas, podemos recabar las siguientes categorías de datos personales:

A) Como Responsable, del Cliente (titular de la cuenta):

• Identificación: nombre completo o razón social, RFC.
• Contacto: correo electrónico, teléfono.
• Facturación: domicilio fiscal, régimen, uso de CFDI. El método de pago (tarjeta) es procesado y almacenado directamente por Stripe; el Responsable no tiene acceso a los datos completos de la tarjeta y sólo conserva una referencia del método de pago (marca y últimos cuatro dígitos) para mostrarla en el panel.
• Datos técnicos de uso: dirección IP, tipo de dispositivo, navegador, registros de acceso y de auditoría.

B) Como Encargado, por cuenta del Cliente, podemos almacenar:

• Datos de los clientes finales del Cliente (nombre, contacto, dirección y, cuando el Cliente la captura, la ubicación geográfica del domicilio de servicio).
• Datos del personal técnico del Cliente: nombre, contacto, fotografía de perfil, firmas, evidencias fotográficas y ubicación geográfica únicamente mientras ejecuta trabajo de campo, en los términos estrictos de la sección 4 bis.
• Datos operativos cargados por el Cliente: órdenes de servicio, cotizaciones, programas de actividades recurrentes, inventario, agenda, asistencias y cobros internos.

No se recaban datos personales sensibles. En caso de ser necesario, se solicitará consentimiento expreso y por escrito.

4. Finalidades del tratamiento

Finalidades primarias (sin las cuales no es posible prestar el Servicio):

• Creación, verificación y administración de la cuenta del Cliente.
• Prestación, operación, mantenimiento y soporte técnico del Servicio.
• Procesamiento de pagos y, cuando aplique, emisión de comprobantes.
• Comunicación de avisos operativos, administrativos y de seguridad relacionados con la cuenta.
• Prevención de fraude, abuso y uso no autorizado del Servicio.
• Cumplimiento de obligaciones legales aplicables.

Finalidades secundarias (no son necesarias para el Servicio; requieren consentimiento que puede revocarse):

• Envío de comunicaciones comerciales y novedades del producto.
• Encuestas de satisfacción y calidad.
• Elaboración de estadísticas internas de uso.

Si usted no desea que sus datos personales sean tratados para las finalidades secundarias, puede manifestarlo enviando un correo a abdiel.pedro2004@gmail.com con el asunto "Oposición — Finalidades secundarias". Negarse a las finalidades secundarias no es motivo para negarle el Servicio.

4 bis. Aplicación móvil para técnicos

La aplicación móvil de AP One está dirigida exclusivamente a técnicos y personal operativo de las empresas que contratan el Servicio. Para esta aplicación aplican las siguientes precisiones:

• Responsable de los datos del técnico: la empresa empleadora del técnico es quien determina las finalidades y medios del tratamiento de sus datos (asignación de órdenes, evaluación de desempeño, registro de actividades, etc.). AP One actúa como encargado del tratamiento por cuenta de dicha empresa y no utiliza ni comercializa los datos personales del técnico para finalidades propias.

Ubicación geográfica (GPS): cuándo se comparte y cuándo no

El seguimiento de ubicación está deliberadamente acotado. La aplicación accede a la ubicación del dispositivo del técnico únicamente cuando se cumplen las dos condiciones siguientes:

• el técnico otorgó previamente su consentimiento explícito dentro de la aplicación, revocable en cualquier momento desde su perfil; y
• está ejecutando trabajo de campo: una orden de servicio a domicilio, o una actividad de campo asignada, que se encuentre en estado en camino o en proceso.

Fuera de ese supuesto no se recopila la ubicación, y el servidor rechaza cualquier posición que recibiera. En concreto:

• Antes de iniciar: una cita meramente agendada o pendiente no activa el seguimiento, por próxima que esté.
• Al posponer: si el técnico deja el trabajo pendiente, el seguimiento se detiene, aunque la orden siga abierta. Se reanuda sólo si el técnico retoma el trabajo.
• En taller: las órdenes cuya modalidad no implica traslado al domicilio del cliente no activan el seguimiento en ningún momento, porque el técnico permanece en las instalaciones propias.
• Al finalizar o cancelar: el seguimiento se detiene al instante.

El horario laboral no interviene en esta decisión, en ninguna de las dos direcciones: un trabajo que se prolonga más allá del turno o de la hora de comida sigue reportando mientras siga en ejecución, y estar dentro del horario sin trabajo iniciado no reporta nada.

Mientras dura el trabajo la recolección puede continuar con la aplicación en segundo plano, señalizada con una notificación permanente visible en el dispositivo.

Historial de ubicaciones. Cada posición registrada se conserva en un historial asociado a la orden o actividad correspondiente, junto con la precisión reportada por el sensor, altitud, rumbo, velocidad y el nivel de batería del dispositivo (este último se utiliza para advertir al despacho de que el equipo puede quedarse sin señal). Dicho historial se elimina automáticamente a los 90 días mediante un proceso diario. Al revocar el consentimiento se borra además, de inmediato, la última posición conocida del técnico.

• Fotografías, firmas y evidencias: la cámara y los archivos del dispositivo se utilizan sólo cuando el técnico decide adjuntar evidencia a una orden. Se envían a la empresa empleadora como parte del expediente de servicio.
• Notificaciones push: se utilizan para alertar al técnico de nuevas órdenes, cambios de estado y avisos operativos. El identificador del dispositivo (token de Firebase Cloud Messaging) se asocia exclusivamente al usuario para enviarle dichas notificaciones y se elimina al cerrar sesión.
• Ejercicio de derechos por parte del técnico: al tratarse de datos cuyo Responsable es la empresa empleadora, cualquier solicitud ARCO deberá dirigirse en primera instancia a dicha empresa. Sin perjuicio de ello, el técnico puede contactar a AP One en el correo señalado para asistencia técnica y para el traslado de la solicitud al Responsable.

5. Fundamento legal

El tratamiento se sustenta en el consentimiento del titular, en la relación contractual derivada del uso del Servicio y en el cumplimiento de las obligaciones legales aplicables, conforme a la legislación mexicana en materia de protección de datos personales en posesión de los particulares.

6. Transferencias y comunicación con encargados

Para prestar el Servicio, el Responsable se apoya en los siguientes terceros que actúan como encargados, bajo sus instrucciones y con los resguardos contractuales correspondientes:

• Stripe, Inc. — procesamiento de pagos y almacenamiento de los datos de la tarjeta (finalidad: cobro del Servicio).
• Resend — envío de correos transaccionales (finalidad: notificaciones y avisos de la cuenta).
• Amazon Web Services, Inc. (Amazon S3) — almacenamiento de archivos e imágenes en un depósito privado, no accesible públicamente.
• Google LLC — servicios de mapas y geocodificación (Google Maps) y envío de notificaciones push a los dispositivos móviles (Firebase Cloud Messaging).
• Vercel Inc. — alojamiento del sitio y aplicación web.
• Railway Corp. — alojamiento del backend y de la base de datos.
• Autoridades competentes, cuando exista requerimiento fundado y motivado.

Acceso por parte de personal autorizado. Para operar la plataforma, brindar soporte, atender incidencias y prevenir fraude, el personal autorizado del Responsable puede acceder a la información alojada en el Servicio. Dicho acceso está limitado a lo estrictamente necesario, queda registrado en la bitácora de auditoría del sistema y está sujeto a deber de confidencialidad. No se utiliza para finalidades propias ni se comparte con terceros ajenos a los encargados aquí enumerados.

Cláusula de transferencias: se informa al titular que sus datos personales podrán ser transferidos y tratados dentro y fuera del territorio nacional por las personas señaladas. El titular NO podrá oponerse a las transferencias que sean necesarias para dar cumplimiento a la relación jurídica con el Responsable o a las obligaciones legales aplicables. Si usted no manifiesta oposición para que sus datos personales sean transferidos para las demás finalidades, se entenderá que ha otorgado su consentimiento.

7. Plazos de conservación

Los datos personales se conservan durante la vigencia de la Suscripción y, una vez terminada la relación, por los plazos legales aplicables (en particular, los de carácter fiscal). Adicionalmente, el sistema aplica los siguientes plazos automáticos:

• Historial de ubicaciones de técnicos: 90 días. Un proceso diario elimina los puntos más antiguos.
• Historial de órdenes cerradas en la aplicación móvil: 90 días. Pasado ese plazo dejan de descargarse al dispositivo del técnico; el expediente permanece en el Servicio a disposición del Cliente.
• Órdenes pendientes de firma: 60 días desde su finalización, tras los cuales dejan de figurar en la bandeja correspondiente.

Sobre la eliminación. Cuando se elimina un registro, el Servicio aplica primero una eliminación lógica: el dato deja de ser visible y accesible de inmediato para todos los usuarios. La supresión definitiva de los archivos asociados (fotografías, evidencias, documentos) la realiza un proceso automático posterior. Por ello, el ejercicio del derecho de Cancelación surte efecto funcional de inmediato, aunque la eliminación física pueda completarse en los días siguientes. Cuando la normativa aplicable exija conservar determinada información (por ejemplo, registros contables), ésta se bloquea en lugar de suprimirse, hasta que concluya el plazo legal.

8. Derechos ARCO

Usted tiene derecho a conocer qué datos personales tenemos de usted, para qué los utilizamos y las condiciones del uso que les damos (Acceso). Asimismo, es su derecho solicitar la corrección de su información (Rectificación), eliminar la que considere no es utilizada adecuadamente (Cancelación), así como oponerse al uso de sus datos para fines específicos (Oposición).

Para ejercer cualquiera de los derechos ARCO, deberá enviar su solicitud al correo abdiel.pedro2004@gmail.com incluyendo:

• Nombre completo del titular y medio para recibir la respuesta.
• Copia de identificación oficial que acredite su identidad.
• Descripción clara de los datos y el derecho que desea ejercer.
• Elementos adicionales que faciliten la localización de los datos.

El Responsable comunicará la determinación adoptada en un plazo máximo de veinte (20) días hábiles contados a partir de la recepción de la solicitud y, de resultar procedente, la hará efectiva dentro de los quince (15) días hábiles siguientes. El ejercicio de estos derechos es gratuito; sólo deberán cubrirse, en su caso, los gastos justificados de envío o reproducción.

Si los datos pertenecen a un técnico o cliente final cuyo Responsable es la empresa que contrató el Servicio, la solicitud deberá dirigirse en primera instancia a dicha empresa.

9. Revocación del consentimiento

En todo momento podrá revocar el consentimiento que nos ha otorgado para el tratamiento de sus datos, a fin de que dejemos de hacer uso de los mismos. La solicitud deberá enviarse a abdiel.pedro2004@gmail.com. Se le informa que la revocación podrá impedir la continuación del Servicio o implicar la terminación de la relación contractual.

En el caso específico del seguimiento de ubicación, el técnico puede revocar su consentimiento directamente desde su perfil en la aplicación móvil, sin necesidad de enviar solicitud alguna y con efecto inmediato.

10. Limitación del uso y divulgación

Puede limitar el uso o divulgación de sus datos personales enviando una solicitud al correo señalado. Asimismo, puede inscribirse en el Registro Público para Evitar Publicidad (REPEP) de la PROFECO.

11. Medidas de seguridad

Hemos implementado medidas de seguridad administrativas, técnicas y físicas razonables para proteger sus datos personales, incluyendo: cifrado en tránsito (TLS 1.2+), cifrado irreversible de contraseñas (bcrypt), controles de acceso por rol, separación estricta de la información entre empresas, almacenamiento de archivos en un depósito privado con enlaces firmados y de acceso revocable, bitácora de auditoría de eventos, políticas internas de manejo de información y resguardos contractuales con nuestros encargados.

12. Vulneraciones de seguridad

En caso de que ocurra una vulneración de seguridad que afecte de forma significativa los derechos patrimoniales o morales de los titulares, el Responsable la informará sin demora al titular afectado, por el correo electrónico registrado, a fin de que pueda tomar las medidas correspondientes. El aviso incluirá la naturaleza del incidente, los datos comprometidos, las recomendaciones al titular y las acciones correctivas adoptadas. Cuando la vulneración afecte datos cuyo Responsable sea el Cliente, AP One notificará al Cliente en su carácter de Responsable, para que éste realice la comunicación a los titulares que corresponda.

13. Uso de cookies y tecnologías similares

El Servicio utiliza únicamente cookies y almacenamiento local estrictamente necesarios para su funcionamiento:

• Cookies de sesión (marcadas como httpOnly, no legibles por scripts) que mantienen la sesión iniciada y permiten renovarla.
• Almacenamiento local del navegador para conservar la sesión activa y preferencias de la interfaz, como la sucursal seleccionada.

No utilizamos cookies de publicidad, de terceros ni herramientas de analítica o seguimiento del comportamiento (no hay Google Analytics, píxeles de redes sociales ni servicios equivalentes). El usuario puede deshabilitar las cookies desde su navegador, aunque ello impedirá iniciar sesión en el Servicio.

14. Menores de edad

El Servicio no está dirigido a menores de dieciocho (18) años y no recabamos deliberadamente sus datos personales. Si detectamos que hemos recibido datos de un menor sin el consentimiento de quien ejerce la patria potestad o tutela, procederemos a su eliminación.

15. Cambios al Aviso de Privacidad

El presente Aviso podrá actualizarse en cualquier momento para atender novedades legislativas, políticas internas o nuevos requerimientos. Las modificaciones serán comunicadas a través del propio Servicio o del correo registrado por el titular, con una antelación razonable. La fecha de última actualización se indica al inicio de este documento.

16. Autoridad competente

Si considera que su derecho a la protección de datos personales ha sido lesionado por alguna conducta u omisión de nuestra parte, o presume alguna violación a las disposiciones aplicables, podrá interponer la denuncia o queja correspondiente ante la autoridad competente en materia de protección de datos personales en posesión de los particulares de los Estados Unidos Mexicanos.