Aviso de Privacidad Integral

1. Identidad y domicilio del Responsable

[Nombre del Responsable pendiente — Persona Física con Actividad Empresarial, cambio de régimen SAT en trámite] (en adelante, "AgendAgent", "nosotros" o "el Responsable"), con domicilio en [Domicilio fiscal pendiente — se publicará al concluir cambio de régimen SAT], es responsable del tratamiento de los Datos Personales que se detallan en este Aviso.

Correo electrónico para asuntos de privacidad y ejercicio de derechos ARCO: ldde.dev@gmail.com

Sitio web: https://agendagent.com

2. Definiciones

• Datos Personales: cualquier información concerniente a una persona física identificada o identificable.
• Datos Personales Sensibles: aquellos que puedan revelar aspectos como origen racial o étnico, estado de salud, información genética, creencias religiosas, opiniones políticas, preferencia sexual o información biométrica (art. 9 LFPDPPP 2025). AgendAgent no recaba Datos Personales Sensibles en sus flujos estándar.
• Titular: la persona física a quien corresponden los Datos Personales.
• Responsable: quien decide sobre el tratamiento de los Datos Personales. Ver sección 4 para el rol dual de AgendAgent.
• Encargado: quien trata los Datos Personales por cuenta del Responsable.
• Negocio: el usuario comercial de AgendAgent (barbería, salón, spa, consultorio u otro prestador de servicios) que contrata la Plataforma.
• Cliente Final: la persona física que agenda, confirma o cancela una cita con un Negocio a través de la Plataforma o de los canales integrados (WhatsApp, formulario web público).
• ARCO: derechos de Acceso, Rectificación, Cancelación y Oposición al tratamiento de Datos Personales.
• SABG: Secretaría Anticorrupción y Buen Gobierno, autoridad federal en materia de protección de datos personales del sector privado desde diciembre de 2024, que asumió las atribuciones del extinto Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI).

3. Marco normativo aplicable

Este Aviso se rige por:

• Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), DOF 20-mar-2025, última reforma 14-nov-2025.
• Reglamento de la LFPDPPP 2011, en lo no contradictorio con la LFPDPPP 2025 hasta la publicación del reglamento nuevo.
• Lineamientos del Aviso de Privacidad, DOF 17-ene-2013.
• Cuando aplique por internacionalización futura del servicio, el Reglamento General de Protección de Datos de la Unión Europea (GDPR — Reglamento UE 2016/679). Ver Anexo A.

4. Rol dual de AgendAgent

AgendAgent juega dos roles distintos según el flujo de Datos Personales:

4.1. Como Responsable directo

Respecto de los Datos Personales del Negocio y de su representante (registro, suscripción, facturación, uso de la Plataforma), AgendAgent decide sobre las finalidades y medios del tratamiento. En este ámbito, este Aviso es la base del tratamiento.

4.2. Como Encargado del Negocio

Respecto de los Datos Personales que el Negocio recaba de sus Clientes Finales (nombre, teléfono, historial de citas, historial de conversaciones por WhatsApp), el Negocio es el Responsable y AgendAgent actúa como Encargado, procesando dichos datos únicamente por instrucciones del Negocio conforme a los artículos 36 y siguientes de la LFPDPPP y al contrato de prestación de servicios (Términos y Condiciones + acuerdo de encargo del tratamiento).

Si eres Cliente Final y tienes preguntas sobre cómo se tratan tus datos, contacta directamente al Negocio con el que agendaste. AgendAgent procesa esos datos únicamente por instrucciones del Negocio.

5. Datos Personales que se recaban

5.1. Del Negocio (Responsable de sus Clientes Finales)

• Nombre completo y datos de contacto del representante legal o titular del Negocio.
• Correo electrónico, número de teléfono / WhatsApp.
• Razón social, RFC, domicilio fiscal, datos bancarios para facturación (procesados por Stripe — ver sección 8).
• Información pública del Negocio: nombre comercial, dirección física, coordenadas GPS, horarios, servicios, precios, fotos, redes sociales.
• Credenciales de acceso a la Plataforma (correo + contraseña cifrada mediante hash bcrypt).
• Registros de uso: fechas y horas de acceso, direcciones IP, tipo de dispositivo y navegador, acciones realizadas dentro de la Plataforma.

5.2. Del Cliente Final (recabados por cuenta del Negocio)

• Nombre.
• Número de teléfono / WhatsApp.
• Correo electrónico (opcional).
• Fecha de nacimiento (opcional; se recaba únicamente si el Negocio la solicita expresamente en su ficha de cliente).
• Historial de citas: fecha, hora, servicio, colaborador, notas, estado, precio, pagos y reembolsos asociados.
• Historial de conversaciones por WhatsApp: contenido de mensajes intercambiados con el bot de agendamiento y con una persona del Negocio, metadatos (timestamps, identificador de mensaje, tipo de interacción con botones o listas), estado en la máquina conversacional.
• Notas libres que el Negocio agregue sobre el Cliente Final. Advertencia: el Negocio es responsable de no ingresar en este campo información sensible (condiciones médicas, alergias, datos financieros, etc.) sin obtener consentimiento expreso escrito del Titular.

5.3. Del visitante del sitio

• Dirección IP (procesada por Cloudflare para protección anti-DDoS y por Cloudflare Turnstile para verificar que no eres un bot al hacer una reserva).
• Cookies estrictamente necesarias para el funcionamiento del sitio (sesión, preferencias de idioma, aceptación de este mismo Aviso).
• Datos que voluntariamente envías en el formulario de contacto por WhatsApp: nombre, teléfono, tipo de negocio.

Declaración expresa (art. 9 LFPDPPP 2025): AgendAgent no recaba de forma sistemática Datos Personales Sensibles. Los Negocios que utilicen la plataforma para agendar servicios de salud (fisioterapia, nutrición, psicología, consulta médica) deberán obtener consentimiento expreso por escrito de sus Clientes Finales conforme al art. 9 LFPDPPP 2025 y al art. 8 de este Aviso.

6. Cómo usamos los datos de la plataforma WhatsApp Business

AgendAgent se integra con WhatsApp Business API y WhatsApp Cloud API, servicios provistos por Meta Platforms, Inc.("Meta") con domicilio en 1601 Willow Road, Menlo Park, CA 94025, Estados Unidos.

Los mensajes intercambiados a través de WhatsApp están cifrados extremo a extremo por Meta. Los metadatos (número de teléfono del Titular, timestamps, identificador de mensaje) son procesados por Meta conforme a sus propias políticas, disponibles en whatsapp.com/legal/business-privacy-policy.

Meta actúa como Encargado del tratamiento bajo el artículo 28 del GDPR (aplicable a Meta como controlador principal en la UE) y retiene los mensajes en su infraestructura por un máximo de 30 días. Meta no utiliza el contenido de los mensajes intercambiados vía Cloud API para fines publicitarios.

Datos concretos que se capturan a través de WhatsApp Business Platform:

• Número de teléfono del Cliente Final (identificador "wa_id").
• Nombre de perfil de WhatsApp.
• Contenido de los mensajes: texto, botones seleccionados, opciones de listas interactivas, adjuntos multimedia (cuando el Cliente Final los envía).
• Metadatos: timestamps, identificador de mensaje, estado de entrega y lectura.
• Respuestas a plantillas (templates) enviadas por el bot: recordatorios, confirmaciones, ofertas de reprogramación.
• Datos derivados: intención detectada por el modelo de comprensión de lenguaje natural (ver sección 8), estado del Titular en la máquina de conversación.

Compromiso anti-spam: el consentimiento otorgado por el Titular para recibir mensajes por WhatsApp, así como el número de teléfono asociado, no se comparte con terceros para fines de marketing bajo ninguna circunstancia.

Cómo darte de baja del bot de WhatsApp: responde "BAJA", "CANCELAR", "STOP" o "DETENER" a cualquier mensaje. Tu solicitud se procesa en un máximo de 24 horas.

Para más detalle operativo del uso de WhatsApp, consulta la Política de Uso de WhatsApp.

7. Finalidades del tratamiento

De conformidad con el artículo 15, fracción III de la LFPDPPP y los Lineamientos INAI/SABG, distinguimos entre finalidades primarias (necesarias para la relación jurídica; su rechazo impide el servicio) y secundarias (accesorias; puedes negarte sin afectar el servicio principal).

7.1. Finalidades primarias (necesarias)

• Alta y administración de la cuenta del Negocio en la Plataforma.
• Prestación del servicio de agendamiento de citas (recepción, confirmación, recordatorio, reprogramación, cancelación).
• Envío de mensajes transaccionales por WhatsApp (confirmaciones, recordatorios de cita, cambios).
• Cobro de la suscripción mediante Stripe y emisión de comprobantes fiscales.
• Atención al cliente y soporte técnico.
• Cumplimiento de obligaciones fiscales y contables (retención mínima 5 años conforme al Código Fiscal de la Federación).
• Prevención de fraude, seguridad de la Plataforma y auditoría interna.
• Cumplimiento de obligaciones legales, requerimientos de autoridad competente y resolución de controversias.

7.2. Finalidades secundarias (opcionales)

• Envío de comunicaciones comerciales sobre novedades, promociones y contenido educativo de AgendAgent.
• Análisis estadísticos agregados de uso de la Plataforma para mejora del producto.
• Envío de mensajes de marketing del Negocio a sus Clientes Finales por WhatsApp (procesado por cuenta del Negocio; requiere opt-in específico del Cliente Final).
• Envío del contenido de mensajes del bot a proveedores de modelos de lenguaje (Groq, Gemini) para extracción de intención cuando el modelo local no está disponible. Esta finalidad puede desactivarse configurando el proveedor de inteligencia artificial únicamente al modelo local (Ollama).

Cómo negarte a finalidades secundarias: escribe a ldde.dev@gmail.com desde el correo asociado a tu cuenta con el asunto "Negativa a finalidades secundarias". Tu solicitud se procesa en un máximo de 20 días hábiles.

8. Sub-encargados del tratamiento

Para prestar el servicio, AgendAgent contrata a los siguientes proveedores que procesan Datos Personales por nuestra cuenta bajo contrato escrito conforme al artículo 36 de la LFPDPPP:

La lista de sub-encargados puede actualizarse. Los cambios materiales se notificarán conforme a la sección 16. La versión vigente siempre está en https://agendagent.com/privacidad.

Puedes consultar la información ampliada de cada sub-encargado — con enlace a su propia política de privacidad, DPA firmado y certificaciones aplicables (SOC 2, ISO 27001, Data Privacy Framework) — en la página dedicada de Subprocesadores de AgendAgent.

9. Transferencias internacionales

Como se detalla en la sección 8, algunos sub-encargados están establecidos fuera de México, principalmente en Estados Unidos. México no cuenta con una decisión general de adecuación respecto de EE.UU., por lo que estas transferencias se amparan en:

• Los supuestos del artículo 37 de la LFPDPPP, en particular las transferencias necesarias para el cumplimiento de la relación jurídica entre el Titular y el Responsable y el cumplimiento de contrato celebrado en interés del Titular.
• Cláusulas contractuales suscritas por AgendAgent con cada sub-encargado, en las que se les obliga contractualmente a respetar el mismo nivel de protección exigido por la LFPDPPP mexicana.
• Cuando aplique, adhesión de los sub-encargados al marco EU-U.S. Data Privacy Framework (Meta, Google, Stripe) o al uso de Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea (Decisión 2021/914).

Al aceptar este Aviso, el Titular consiente las transferencias internacionales listadas en la sección 8. Puede oponerse en cualquier momento a transferencias a proveedores accesorios (como los proveedores de modelos de lenguaje Groq y Gemini) enviando solicitud a ldde.dev@gmail.com. La oposición a transferencias necesarias (Meta, Stripe, Hostinger, Cloudflare) implica la imposibilidad de prestar el servicio.

10. Plazos de conservación

Los Datos Personales se conservan solo durante el tiempo necesario para cumplir las finalidades declaradas, salvo obligación legal de conservación mayor. Plazos específicos:

Vencidos estos plazos, los datos serán suprimidos, anonimizados o disociados de forma segura.

11. Derechos ARCO y revocación del consentimiento

Como Titular, tienes derecho a:

• Acceso: conocer qué Datos Personales tenemos y para qué los usamos.
• Rectificación: corregir datos inexactos o incompletos.
• Cancelación: pedir que suprimamos los datos cuando ya no sean necesarios.
• Oposición: oponerte al tratamiento para finalidades específicas.
• Revocar el consentimiento: retirar en cualquier momento el consentimiento otorgado, sin efectos retroactivos.
• Portabilidad: recibir tus Datos Personales en formato estructurado, legible por máquina (aplica en jurisdicciones GDPR).

Cómo ejercer estos derechos: envía tu solicitud al correo ldde.dev@gmail.com con el asunto "Derechos ARCO", incluyendo:

• Nombre completo y correo electrónico o teléfono de contacto.
• Copia de identificación oficial vigente (INE, pasaporte).
• Descripción clara del derecho que deseas ejercer y del dato al que se refiere.
• Cualquier documento que ayude a localizar tus datos (por ejemplo, nombre del Negocio con quien agendaste, fecha de la cita).

Plazos de respuesta (art. 31 LFPDPPP): comunicaremos la determinación adoptada en un plazo máximo de 20 días hábiles. De resultar procedente, la haremos efectiva dentro de los 15 días hábiles siguientes. Estos plazos pueden ampliarse por un periodo igual en casos justificados.

El ejercicio de estos derechos es gratuito. Únicamente deberán cubrirse gastos justificados de reproducción o envío de la información.

Si AgendAgent actúa como Encargado del Negocio, canalizaremos tu solicitud al Negocio Responsable y colaboraremos con él para atenderla.

11.1. Eliminación de tu cuenta y datos asociados

Si eres un Negocio contratante y deseas eliminar tu cuenta y todos los Datos Personales asociados que trata AgendAgent como Encargado, puedes solicitarlo directamente desde la sección Privacidad de tu panel: app.agendagent.com/settings/privacy/eliminar-cuenta. Al solicitar la eliminación:

• Confirmamos recibido en ≤72 horas hábiles vía correo electrónico.
• 7 días de gracia: puedes cancelar tu solicitud si te arrepientes durante este periodo desde la misma sección Privacidad.
• Ejecución garantizada en ≤30 días desde tu solicitud (LFPDPPP art. 32 permite hasta 20 días hábiles; nuestro compromiso es cumplir el plazo máximo).
• Puedes verificar el estado en cualquier momento en agendagent.com/privacy/status?code={tu-código} (recibirás el código por correo).

La eliminación comprende: datos del Negocio, cuentas de usuarios asociados, configuración, plantillas de mensajes personalizadas, historial de conversaciones, citas históricas y cualquier token de integración con terceros (Google Calendar, WhatsApp Business, Stripe Connect).

Alternativamente, puedes ejercer el derecho por correo escribiendo a ldde.dev@gmail.com con tu identificación oficial y solicitud clara (LFPDPPP art. 29).

Si eliminaste nuestra app desde tu cuenta de Meta/Facebook, procesaremos automáticamente tu solicitud según los términos de Meta Data Deletion Callback (con el mismo flujo de 7 días de gracia + máximo 30 días de ejecución).

Si eres Cliente Final (persona que agendó una cita con un Negocio que usa la Plataforma), la eliminación de tus datos debe solicitarse al Negocio Responsable de la cita (data controller). AgendAgent colaborará con el Negocio para ejecutar la eliminación en su rol de Encargado.

Retención residual obligatoria: tras la eliminación mantendremos únicamente los datos estrictamente necesarios para cumplir obligaciones fiscales (facturación conservada 5 años conforme al artículo 30 del Código Fiscal de la Federación), obligaciones de auditoría regulatoria y para la defensa o ejercicio de acciones legales, conforme a la sección 10 de este Aviso.

11.2. Solicitudes iniciadas desde Meta (Data Deletion Callback)

Cuando escale al modelo Embedded Signup con Meta, AgendAgent habilitará un Data Deletion Callback conforme al programa Facebook Login / WhatsApp Business Platform de Meta. Si eliminas la aplicación AgendAgent desde tu configuración de Facebook o Meta Business Suite, Meta notificará automáticamente a AgendAgent tu solicitud de eliminación de datos, la cual se procesará dentro del plazo comprometido con Meta.

Endpoint del callback (uso interno de Meta): https://agendagent.com/api/v1/privacy/data-deletion-callback. Este endpoint acepta las notificaciones firmadas por Meta y devuelve un confirmation code con la URL donde puedes verificar el estatus de tu solicitud, conforme a la especificación de Data Deletion Callback del programa Meta for Developers.

Verificación manual de estatus: además del flujo automatizado con Meta, puedes consultar el estatus de una solicitud de eliminación enviando el confirmation code al correo ldde.dev@gmail.com con el asunto "Estatus de eliminación". Responderemos dentro de los 5 días hábiles siguientes.

Nota operativa: el callback se activa progresivamente conforme AgendAgent avanza en el proceso de aprobación como Tech Provider de Meta y en la configuración final del Embedded Signup. Mientras tanto, todas las solicitudes de eliminación pueden ejercerse desde el flujo self-service descrito en la sección 11.1, que ofrece las mismas garantías (7 días de gracia + ejecución ≤30 días + página pública de verificación de estatus).

12. Opciones para limitar el uso o divulgación

Además del ejercicio de derechos ARCO, puedes:

• Configurar tus preferencias de comunicación desde tu cuenta en la Plataforma.
• Solicitar tu inscripción en el Registro Público de Consumidores operado por la Procuraduría Federal del Consumidor (PROFECO) para no recibir publicidad no deseada: repep.profeco.gob.mx.
• Responder "BAJA", "CANCELAR" o "STOP" a cualquier mensaje de WhatsApp.
• Hacer clic en el enlace "darse de baja" incluido al pie de cada correo comercial que enviemos.

13. Uso de cookies y tecnologías similares

El sitio https://agendagent.com y las aplicaciones utilizan las siguientes tecnologías:

• Cookies estrictamente necesarias: mantenimiento de sesión de usuario (JWT y refresh token), verificación anti-CSRF, cookies de preferencia de aceptación de este Aviso. No requieren consentimiento (exención ePrivacy).
• Almacenamiento local (localStorage/sessionStorage): preferencias de interfaz, borrador de formularios en curso.
• Web beacons y pixels: no utilizamos actualmente. Si en el futuro incorporamos herramientas de analítica o marketing, se activarán previa solicitud de tu consentimiento mediante banner de cookies con opciones granulares y opción de rechazar todo con la misma prominencia.
• Fuentes tipográficas: Google Fonts (Poppins, Open Sans) se descargan durante la fase de compilación del sitio y se sirven desde nuestros propios servidores, por lo que no se hacen llamadas del navegador del Titular a servidores de Google al visitar el sitio.
• Cloudflare Turnstile: se activa únicamente al enviar el formulario de reserva pública para verificar que no eres un bot. Procesa tu dirección IP y datos de navegador de manera transitoria.

14. Medidas de seguridad

AgendAgent implementa medidas administrativas, técnicas y físicas proporcionales al riesgo de los datos que trata, incluyendo:

• Cifrado en tránsito con TLS 1.2 o superior en todas las comunicaciones.
• Cifrado en reposo de credenciales de terceros (tokens OAuth de Google Calendar con AES-GCM).
• Hasheo de contraseñas con bcrypt.
• Aislamiento multi-tenant por identificador de Negocio en todas las consultas a base de datos.
• Row Level Security de PostgreSQL como defensa adicional contra accesos cruzados entre Negocios.
• Enmascaramiento (masking) de teléfonos y contenido sensible en bitácoras de auditoría.
• Backups cifrados diarios con retención de 90 días.
• Control de acceso basado en roles (RBAC) con privilegio mínimo.
• Bitácoras de acceso a datos sensibles con posibilidad de auditoría.
• Rotación programada de credenciales de terceros (tokens Meta, secretos de API).

Si ocurre una vulneración de seguridad que afecte de forma significativa tus derechos patrimoniales o morales, te informaremos sin dilación indebida conforme al artículo 20 de la LFPDPPP, así como a la autoridad SABG cuando corresponda.

15. Menores de edad

La Plataforma está dirigida a personas mayores de 18 años que operan un negocio legalmente constituido. AgendAgent no recaba deliberadamente Datos Personales de menores de edad como usuarios de la Plataforma.

Cuando el Cliente Final que aparece en una cita sea un menor de edad (por ejemplo, cortes de cabello infantiles), se entiende que el adulto que agenda la cita manifiesta contar con la patria potestad, tutoría o autorización parental para proporcionar los datos del menor. El Negocio es corresponsable de obtener y conservar dicha autorización.

Bajo el GDPR (cuando aplique), la edad de consentimiento digital por defecto es 16 años, con variaciones nacionales entre 13 y 16 años.

16. Cambios al Aviso

AgendAgent se reserva el derecho de modificar el presente Aviso en cualquier momento para adecuarlo a novedades legislativas, jurisprudenciales, nuevos servicios o cambios en nuestras prácticas de tratamiento.

Los cambios materiales se comunicarán con al menos 30 días de anticipación al correo electrónico del Negocio registrado en la Plataforma y/o mediante aviso destacado en el sitio https://agendagent.com. La versión vigente siempre se publica en https://agendagent.com/privacidad con fecha de última actualización y número de versión visibles.

El uso continuado de la Plataforma después de la publicación de una nueva versión constituye aceptación de los cambios respecto de las finalidades primarias. Los cambios que afecten finalidades secundarias o transferencias que requieran consentimiento requerirán nueva manifestación afirmativa del Titular.

17. Contacto y autoridad de protección de datos

Para cualquier duda, comentario o queja relacionada con este Aviso:

• Responsable: [Nombre del Responsable pendiente — Persona Física con Actividad Empresarial, cambio de régimen SAT en trámite]
• Domicilio: [Domicilio fiscal pendiente — se publicará al concluir cambio de régimen SAT]
• Correo: ldde.dev@gmail.com

Si consideras que tu derecho a la protección de datos personales ha sido lesionado y no has recibido respuesta satisfactoria por parte de AgendAgent, puedes acudir a la Secretaría Anticorrupción y Buen Gobierno (SABG) — dependencia que asumió las funciones del extinto Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) — o promover juicio de amparo ante los jueces federales especializados, conforme al artículo 94 de la Constitución Política de los Estados Unidos Mexicanos y a la LFPDPPP 2025.

Anexo A. Titulares residentes en la Unión Europea (GDPR)

AgendAgent opera principalmente en México y no dirige activamente su oferta a residentes de la Unión Europea. No obstante, si eres residente de la UE y nos proporcionas Datos Personales, te reconocemos los derechos adicionales previstos en el GDPR (Reglamento UE 2016/679):

• Derecho a la portabilidad de tus datos en formato estructurado y legible por máquina (art. 20).
• Derecho a la limitación del tratamiento (art. 18).
• Derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado con efectos jurídicos o similarmente significativos (art. 22). Aunque AgendAgent utiliza modelos de lenguaje para extraer intención de mensajes, ninguna decisión legal significativa se toma sin intervención humana.
• Derecho a presentar reclamación ante tu autoridad supervisora nacional (AEPD en España, CNIL en Francia, etc.).
• Base legal por finalidad conforme al art. 6 GDPR: ejecución de contrato (6.1.b) para servicio y facturación; consentimiento (6.1.a) para marketing; obligación legal (6.1.c) para retención fiscal; interés legítimo (6.1.f) para seguridad y prevención de fraude.

Transferencias a EE.UU. de datos de residentes UE se amparan en el EU-U.S. Data Privacy Framework para sub-encargados certificados (Meta, Google, Stripe) y en Cláusulas Contractuales Tipo para el resto. Cuando AgendAgent amplíe operaciones a mercados de la UE de forma no ocasional, designará representante legal conforme al artículo 27 GDPR y publicará su información en este Aviso.