En cumplimiento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y demás disposiciones aplicables, este Aviso de Privacidad Integral (el «Aviso») informa cómo se recaban, utilizan, conservan, comparten y protegen los datos personales en el servicio Novaro (el «Servicio»).

1. Identidad y domicilio del Responsable

Novaro AI (el «Responsable», «nosotros»), RFC N/A (Fase de Validación Comercial), con domicilio en Guadalajara, Jalisco, México. Para cualquier asunto relacionado con este Aviso o con sus datos personales puede escribir a: [email protected].

2. A quién se dirige este Aviso: dos situaciones distintas

(a) Si usted es usuario o cliente del Servicio (es decir, el dueño o personal de un negocio que contrata la plataforma): nosotros somos el Responsable de sus datos de cuenta, de pago y de seguridad.

(b) Si usted es una persona que escribe por WhatsApp a un negocio que usa el Servicio (un «Cliente Final»): el Responsable de sus datos es el negocio con el que usted conversa, que decide para qué los usa. Nosotros actuamos únicamente como Encargado, es decir, tratamos sus datos por cuenta y conforme a las instrucciones de ese negocio, para operar la plataforma. En ese caso, debe consultar también el aviso de privacidad del propio negocio, y dirigir a él en primer lugar sus solicitudes (véase la sección 10).

3. Datos personales que tratamos

Categoría	Datos	De quién
Cuenta	Nombre completo; correo electrónico; teléfono (opcional); nombre del negocio; contraseña (la guardamos únicamente en forma de hash, nunca en texto legible); horarios de atención y configuración del asistente que usted capture.	Usuarios del Servicio
Suscripción y pagos	Estatus de la suscripción; fechas de inicio y vencimiento; identificadores de operación y de referencia generados por el procesador de pagos. No recibimos ni almacenamos números de tarjeta ni datos bancarios.	Usuarios del Servicio
Conexión de WhatsApp	Número de WhatsApp vinculado y estado de la conexión; código QR o de emparejamiento (temporal); identificador de la instancia y su clave de acceso (esta última se almacena cifrada).	Usuarios del Servicio
Evidencia de aceptación	Fecha y hora, dirección IP, agente de usuario del navegador, versión y huella (hash) de los documentos legales aceptados.	Usuarios del Servicio
Datos técnicos y de seguridad	Dirección IP; agente de usuario; cookie de sesión; registros de actividad y de intentos rechazados; solicitudes de recuperación de contraseña (correo y dirección IP).	Visitantes y usuarios
Clientes Finales (por encargo del negocio)	Número de WhatsApp; nombre que el Cliente Final proporcione en la conversación; contenido íntegro de los mensajes de texto recibidos y de las respuestas enviadas por el asistente, con fecha y hora; identificador del mensaje en WhatsApp (para evitar duplicados); datos de las citas (fecha, hora, estado, notas); y la indicación de si el negocio pausó el asistente para esa persona.	Clientes Finales

El Servicio no procesa ni almacena notas de voz, imágenes, documentos ni otros archivos multimedia, ni atiende conversaciones de grupo. Si usted envía contenido de ese tipo, el Servicio lo ignora; sin embargo, dicho contenido sí es tratado por WhatsApp conforme a sus propias políticas.

4. Datos personales sensibles

El Servicio no solicita datos personales sensibles (por ejemplo, de salud, origen racial o étnico, creencias religiosas, afiliación política, preferencia sexual o datos biométricos). Sin embargo, como los Clientes Finales escriben libremente a los negocios —y algunos de estos, como clínicas o consultorios, operan en sectores donde es frecuente mencionar información de salud—, el contenido de una conversación podría contener datos sensibles aportados voluntariamente por la persona. Corresponde al negocio (Responsable) obtener, cuando proceda, el consentimiento expreso y por escrito de los titulares. Le recomendamos no compartir por este medio información sensible que no sea estrictamente necesaria para agendar su cita.

5. Finalidades del tratamiento

Finalidades primarias (necesarias para el Servicio)

• Crear y administrar su cuenta, y autenticar su identidad.
• Operar la plataforma: vincular su número de WhatsApp, recibir los mensajes de sus clientes, generar y enviar respuestas mediante el asistente automatizado, registrar citas y conservar el historial de conversaciones para que el negocio pueda consultarlo.
• Procesar los pagos de la suscripción, activar, renovar, suspender y reactivar el acceso, y administrar los periodos de prueba.
• Enviarle comunicaciones transaccionales del Servicio: confirmaciones, recuperación de contraseña, recordatorios de próximo vencimiento y avisos de suspensión.
• Brindar soporte y atender sus solicitudes y aclaraciones.
• Garantizar la seguridad del Servicio: prevenir fraude, abuso y accesos no autorizados, y limitar solicitudes repetidas.
• Conservar la evidencia de su aceptación de los documentos legales y defender nuestros derechos.
• Cumplir obligaciones legales, fiscales y requerimientos de autoridades competentes.

Finalidades secundarias

No tratamos sus datos para finalidades secundarias: no los utilizamos para publicidad ni mercadotecnia propia o de terceros, no los vendemos y no utilizamos el contenido de las conversaciones de los Clientes Finales para entrenar modelos de inteligencia artificial. Si en el futuro se incorporara alguna finalidad secundaria, se lo informaremos y le ofreceremos un medio para oponerse antes de que se aplique.

6. Inteligencia artificial y tratamiento automatizado

Las respuestas del Servicio a los Clientes Finales las genera un asistente automatizado de inteligencia artificial. Para producirlas, el contenido de los mensajes, junto con las instrucciones y la información que el negocio configuró (servicios, horarios, precios) y, en la confirmación de una cita, el nombre y la fecha, se envían a un proveedor de inteligencia artificial (véase la sección 7). El asistente puede registrar una cita de forma automática en la agenda del negocio. No adopta decisiones con efectos jurídicos significativos sobre las personas. Las respuestas pueden contener errores. Usted puede pedir al negocio que lo atienda una persona, y ejercer ante él sus derechos conforme a la sección 10.

7. Transferencias, remisiones y terceros que intervienen

No vendemos, rentamos ni cedemos sus datos personales con fines comerciales. La información se trata de forma confidencial y solo intervienen los terceros siguientes, indispensables para operar el Servicio:

Tercero	Para qué	Datos que recibe	Naturaleza
OpenAI, L.L.C. (Estados Unidos de América)	Generación de las respuestas del asistente	Contenido de los mensajes de Clientes Finales; instrucciones e información del negocio; nombre y fecha de las citas	Encargado / remisión internacional. Conforme a las condiciones publicadas por el proveedor para su API, los datos enviados por este medio no se usan para entrenar sus modelos por defecto y pueden conservarse por un periodo limitado para fines de monitoreo de abuso; esas condiciones pueden cambiar.
Mercado Pago	Procesamiento de los pagos de la suscripción	Nombre y correo del pagador; monto; referencia de la operación	Procesador de pagos independiente; trata los datos de pago como responsable propio, conforme a su aviso de privacidad.
WhatsApp / Meta Platforms	Transporte de los mensajes	Los mensajes y metadatos propios de WhatsApp	Tercero independiente que opera la red de mensajería; trata los datos conforme a sus propias políticas. No tenemos ninguna afiliación con WhatsApp ni con Meta.
Hetzner Cloud / VPS	Alojamiento de servidores, base de datos y del motor de mensajería	Todos los datos tratados en el Servicio	Encargado (proveedor de infraestructura).
Proveedor de correo electrónico	Envío de correos transaccionales	Correo y nombre del destinatario; contenido del mensaje	Encargado.
Proveedor de la red de distribución de contenido (CDN) de la hoja de estilos del panel	Entrega de recursos de diseño al navegador	Dirección IP y agente de usuario del navegador (datos técnicos inherentes a cualquier petición web)	Tercero que recibe la petición del navegador.
Autoridades competentes	Cumplimiento de obligaciones legales	Los estrictamente requeridos	Solo ante requerimiento legalmente fundado y motivado.

Las remisiones y transferencias descritas son necesarias para la relación jurídica con usted o para prestar el Servicio, por lo que, en lo que la ley lo permite, no requieren un consentimiento adicional. Cualquier otra transferencia se la informaremos y, cuando la ley lo exija, solicitaremos su consentimiento.

8. Medidas de seguridad

Aplicamos medidas de seguridad administrativas, técnicas y físicas razonables para proteger los datos contra daño, pérdida, alteración, destrucción o acceso, uso o tratamiento no autorizados, entre ellas:

• Aislamiento lógico por negocio: cada negocio solo puede acceder a sus propios datos.
• Cifrado en tránsito (HTTPS/TLS) en las comunicaciones del sitio y con los proveedores descritos.
• Cifrado en reposo de las credenciales de conexión (claves de acceso de la instancia de WhatsApp) con algoritmo AES-256.
• Contraseñas almacenadas con hash (nunca en texto legible) y tokens de recuperación de contraseña de un solo uso, almacenados con hash y con vigencia de 30 minutos.
• Gestión de sesiones: cookie de sesión protegida (HttpOnly, SameSite), regeneración del identificador al iniciar sesión y protección contra solicitudes falsificadas (CSRF).
• Autenticación de las notificaciones entrantes del motor de mensajería mediante secretos únicos por instancia.
• Limitación de solicitudes en la recuperación de contraseña, y registros de seguridad.
• Credenciales de infraestructura fuera del código fuente, y acceso restringido a los sistemas.

Ninguna medida es infalible. Si ocurriera una vulneración de seguridad que afecte de forma significativa sus derechos patrimoniales o morales, se lo notificaremos, junto con las medidas que puede adoptar, conforme a la ley.

9. Plazos de conservación

Información	Plazo
Datos de cuenta, configuración y conversaciones (Contenido del Cliente)	Durante la vigencia de la relación y hasta noventa (90) días naturales después de su terminación o suspensión; transcurridos, se suprimen o anonimizan, salvo obligación legal.
Datos de suscripción y pagos	El plazo que establezcan las leyes fiscales y mercantiles aplicables.
Evidencia de aceptación de documentos legales	Durante la relación y por el plazo de prescripción de las acciones derivadas del contrato.
Solicitudes de recuperación de contraseña (correo e IP, para limitar solicitudes)	Una ventana de 15 minutos, tras la cual se depuran automáticamente.
Tokens de recuperación de contraseña	Vencen a los 30 minutos y se eliminan al usarse o al emitirse uno nuevo.
Identificadores de mensaje (para evitar procesar duplicados)	Aproximadamente dos (2) días.
Registros técnicos y de seguridad	El tiempo estrictamente necesario para fines de seguridad y diagnóstico.

10. Derechos ARCO, revocación del consentimiento y limitación del uso

Usted tiene derecho a Acceder a sus datos personales y conocer su tratamiento; a Rectificarlos si son inexactos o incompletos; a Cancelarlos cuando considere que no se requieren para las finalidades señaladas o que se están tratando de forma ilícita; y a Oponerse a su tratamiento para fines específicos (derechos ARCO). También puede revocar el consentimiento que haya otorgado y limitar el uso o la divulgación de sus datos. La revocación puede impedir que sigamos prestándole el Servicio.

Cómo ejercerlos

Envíe su solicitud a [email protected], indicando: (i) su nombre y un correo o domicilio para recibir la respuesta; (ii) los documentos que acrediten su identidad o, en su caso, la representación legal; (iii) la descripción clara y precisa de los datos y del derecho que desea ejercer; y (iv) cualquier elemento que facilite localizar sus datos (por ejemplo, el número de WhatsApp con el que escribió). Le comunicaremos la determinación adoptada dentro de los plazos que establece la ley, contados desde la recepción de su solicitud completa, y si resulta procedente la haremos efectiva dentro del plazo legal. El ejercicio de estos derechos es gratuito, salvo los costos justificados de reproducción o envío que la ley permita.

Si usted es un Cliente Final

Dirija su solicitud primero al negocio con el que conversó, que es el Responsable de sus datos. Si nos la envía a nosotros, la remitiremos al negocio y lo asistiremos para atenderla. Usted también puede solicitar al negocio que lo atienda una persona en lugar del asistente automatizado.

11. Cookies y tecnologías de almacenamiento

El panel utiliza únicamente una cookie de sesión estrictamente necesaria. Consulte el detalle en nuestro Aviso de Cookies.

12. Menores de edad

El Servicio está dirigido a personas mayores de edad que operan un negocio. No recabamos intencionalmente datos de menores como usuarios; el negocio es responsable de las conversaciones que sostenga con ellos. Si considera que un menor nos proporcionó datos, escríbanos para suprimirlos.

13. Cambios a este Aviso

Podemos modificar este Aviso por cambios legales, de operación o de los terceros que intervienen. Publicaremos la versión vigente en https://somosnovaro.com y, cuando el cambio sea sustancial, lo notificaremos al correo registrado. Conservamos las versiones anteriores y la evidencia de su aceptación.

14. Autoridad

Si considera que su derecho a la protección de datos personales ha sido vulnerado, puede acudir ante la autoridad competente en la materia, actualmente la Secretaría Anticorrupción y Buen Gobierno, sin perjuicio de las vías judiciales que le correspondan.

15. Consentimiento

Al marcar la casilla de aceptación del registro y utilizar el Servicio, usted manifiesta que leyó y comprendió este Aviso y consiente el tratamiento de sus datos en los términos aquí descritos. No recabamos datos personales sensibles de usted como usuario del Servicio.

Fecha de entrada en vigor: 12 de octubre de 2026.