Aviso de Privacidad Sistema de Agendamiento de Citas vía WhatsApp

1. Identidad y domicilio del responsable

[NOMBRE O RAZÓN SOCIAL DEL RESPONSABLE — EL NEGOCIO] (en adelante, «el Responsable»), con domicilio en [DOMICILIO COMPLETO: CALLE, NÚMERO, COLONIA, CÓDIGO POSTAL, MUNICIPIO/ALCALDÍA, ENTIDAD FEDERATIVA], es el responsable del tratamiento de sus datos personales y del uso que se dé a los mismos.

Datos de contacto:

Estos datos se proporcionan también en cumplimiento del artículo 76 BIS, fracción III de la Ley Federal de Protección al Consumidor, que obliga al proveedor a informar, previamente a la celebración de la transacción electrónica, el domicilio físico, números telefónicos y demás medios para presentar reclamaciones o solicitar aclaraciones.

2. Persona encargada del tratamiento y relación entre las partes

El Responsable utiliza un sistema tecnológico de agendamiento y confirmación de citas operado por Brian Isaias Villeda Rojas, que opera bajo el nombre comercial Zynte Axiom, con domicilio fiscal en Manzana 1, Lote 3, Calle Ojo de Agua, Colonia Ex-Ejido de Santa Cecilia, Tlalnepantla de Baz, Estado de México, C.P. 54130 (en adelante, «la Persona Encargada»), quien trata sus datos personales exclusivamente por cuenta y bajo instrucciones documentadas del Responsable, en términos del artículo 2, fracción XII de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

Le informamos con claridad:

• Usted es cliente del Responsable, no de la Persona Encargada. Su relación jurídica —la cita, el servicio contratado y el pago— se entabla exclusivamente con el negocio identificado en la sección 1.
• La Persona Encargada no decide sobre las finalidades del tratamiento, no utiliza sus datos para fines propios, no los comercializa y no los transfiere a terceros distintos de los señalados en la sección 9.
• La comunicación de sus datos del Responsable a la Persona Encargada no constituye una transferencia en términos del artículo 2, fracción XX de la citada Ley, el cual excluye expresamente de dicho concepto las comunicaciones dirigidas a la persona encargada del tratamiento. Se le informa por transparencia.
• La Persona Encargada está sujeta a un deber de confidencialidad que subsiste aun después de concluida su relación con el Responsable, conforme al artículo 20 de la Ley.
• Si desea ejercer cualquier derecho sobre sus datos, diríjase al Responsable, por los medios de la sección 11. Si por error dirige su solicitud a la Persona Encargada, ésta la canalizará al Responsable y se lo hará saber a usted, conforme al artículo 32, segundo párrafo de la Ley.

3. Datos personales sometidos a tratamiento

3.1 Datos de identificación y contacto

• Número telefónico asociado a su cuenta de WhatsApp
• Nombre de perfil público de WhatsApp
• Nombre que usted proporcione para la reserva
• Contenido de los mensajes que usted envíe por el canal de WhatsApp (texto y, en su caso, elementos multimedia que voluntariamente remita)

3.2 Datos de la cita

• Servicio solicitado, conforme al catálogo del Responsable
• Fecha y hora de la cita
• Sucursal o establecimiento
• Persona prestadora asignada, en su caso
• Historial de citas previas, asistencias, cancelaciones e inasistencias
• Notas o preferencias operativas que usted manifieste

3.3 Datos de transacción y pago

• Monto, moneda, concepto, fecha y estatus del cobro
• Identificador de la operación generado por la pasarela de pago

Véase sección 8.

3.4 Datos técnicos operativos

• Identificadores de sesión y de conversación
• Marcas de tiempo de los mensajes
• Registros de entrega y lectura provistos por la plataforma de mensajería
• Bitácoras de acceso y auditoría del sistema

3.5 Datos personales sensibles

4. Finalidades del tratamiento

4.1 Finalidades primarias

Necesarias para la existencia y cumplimiento de la relación jurídica entre usted y el Responsable. Sin ellas no es posible prestarle el servicio.

• Recibir, interpretar y atender su solicitud de cita a través del canal de WhatsApp.
• Verificar disponibilidad de agenda, confirmar, reprogramar o cancelar la cita.
• Enviarle confirmaciones, recordatorios y notificaciones operativas relativas a su cita.
• Generar y dar seguimiento a la solicitud de cobro o anticipo asociado a la cita.
• Identificarlo como cliente y mantener el historial de sus citas para efectos de continuidad y calidad del servicio.
• Atender sus dudas, aclaraciones, quejas y solicitudes.
• Cumplir obligaciones legales, fiscales y contables a cargo del Responsable, y atender requerimientos de autoridad competente.
• Acreditar la existencia y términos de la relación jurídica, así como el cumplimiento de las obligaciones de protección de datos personales.

Fundamento del tratamiento sin necesidad de consentimiento adicional: artículo 9, fracción IV de la Ley —los datos se requieren para ejercer un derecho o cumplir obligaciones derivadas de la relación jurídica entre usted y el Responsable— y fracción I, tratándose de obligaciones fiscales.

4.2 Ausencia de finalidades secundarias

El Responsable no trata sus datos personales para ninguna finalidad distinta de las señaladas en el numeral 4.1.

En particular, sus datos no se utilizan para enviarle promociones, descuentos, campañas ni avisos comerciales; no se emplean para programas de lealtad, referidos o membresías; no se utilizan para encuestas de satisfacción; y no se someten a perfilamiento con fines mercadotécnicos o publicitarios. Tampoco se comercializan, ceden a terceros con fines promocionales ni se enriquecen con información proveniente de fuentes externas.

Esta limitación no depende de una decisión discrecional revocable del Responsable. El Sistema tecnológico mediante el cual se tratan sus datos opera bajo instrucciones documentadas que prohíben expresamente cualquier finalidad distinta de las primarias —incluidas la comercialización, la cesión, el enriquecimiento y el uso publicitario—, en términos del artículo 2, fracción XII de la Ley.

Qué significa esto para usted. No existe finalidad secundaria a la que deba oponerse, ni plazo de cinco días hábiles que deba observar para manifestar una negativa. Los mecanismos de la sección 7 permanecen íntegramente a su disposición, tanto como garantía adicional frente a este compromiso como para el ejercicio de los derechos que le reconoce por sí misma la Ley Federal de Protección al Consumidor.

Sobre información estadística. Si el Responsable elabora estadísticas de demanda, horarios o tipos de servicio para su propia operación, lo hace exclusivamente sobre información previamente sometida a un procedimiento de disociación en términos del artículo 2, fracción IX de la Ley. Una vez disociada, esa información deja de ser dato personal y su tratamiento no se rige por este aviso ni requiere su consentimiento.

5. Consentimiento

Conforme al artículo 7 de la Ley, el consentimiento será tácito cuando, habiéndose puesto a su disposición este aviso, usted no manifieste su voluntad en sentido contrario. Al continuar la conversación por WhatsApp y proporcionar los datos requeridos para agendar, usted consiente el tratamiento descrito para las finalidades primarias.

Requieren consentimiento expreso, y así se recaba:

Respecto de los datos financieros o patrimoniales, el propio artículo 7 exceptúa los supuestos de los artículos 9 y 36 de la Ley. El cobro o anticipo asociado a su cita se ubica en el artículo 9, fracción IV, por derivar directamente de la relación jurídica que usted entabla con el Responsable al reservar. Aun así, el Responsable le informa de forma previa, clara y destacada el monto, concepto y momento del cargo antes de generar cualquier solicitud de pago.

Si el servicio contratado implica cobros automáticos recurrentes, el Responsable le informará de forma clara, destacada y accesible su periodicidad, monto y fecha de cobro, y recabará su consentimiento expreso e informado, conforme al artículo 76 BIS, fracción VIII de la Ley Federal de Protección al Consumidor. Cuando proceda renovación automática, se le notificará con al menos cinco días naturales de anticipación, permitiendo su cancelación sin penalización.

6. Tratamiento automatizado y asistencia por sistemas de inteligencia artificial

El Sistema utilizado por el Responsable realiza operaciones automatizadas sobre sus datos: interpreta su solicitud, verifica disponibilidad de agenda, genera confirmaciones y envía recordatorios.

6.1 Medida de minimización aplicada

En determinados planes de servicio, el Sistema emplea un componente de inteligencia artificial para redactar respuestas automáticas. Ese componente opera bajo una restricción de diseño verificable:

Esta arquitectura materializa los principios de proporcionalidad y calidad del artículo 5 de la Ley, y da cumplimiento al artículo 12, conforme al cual el tratamiento debe ser el que resulte necesario, adecuado y relevante en relación con las finalidades previstas.

6.2 Su derecho de oposición al tratamiento automatizado

El artículo 26, fracción II de la Ley le reconoce el derecho a oponerse cuando sus datos sean objeto de un tratamiento automatizado que le produzca efectos jurídicos no deseados o afecte de manera significativa sus intereses, derechos o libertades, y esté destinado a evaluar, sin intervención humana, determinados aspectos personales suyos.

El Responsable le garantiza, en todo momento y a simple solicitud, atención humana directa. Basta con que escriba la palabra HUMANO por el canal de WhatsApp, o que lo solicite por los medios de la sección 11, para que su conversación sea atendida por una persona del Responsable sin procesamiento automatizado adicional. Esta opción no tiene costo, no requiere justificación y no altera las condiciones del servicio.

7. Opciones y medios para limitar el uso o divulgación de sus datos

Conforme al numeral 4.2, el Responsable no trata sus datos para ninguna finalidad secundaria. Los mecanismos siguientes no son, por tanto, la vía para oponerse a un tratamiento comercial que no se realiza: operan como garantía verificable de ese compromiso y como cauce de los derechos que la Ley Federal de Protección al Consumidor le reconoce con independencia de este aviso.

Además del ejercicio de los derechos ARCO, usted dispone de los siguientes mecanismos, todos gratuitos:

8. Datos de pago y pasarelas de procesamiento

El cobro o anticipo asociado a su cita se procesa a través de la pasarela [MERCADOPAGO / STRIPE], designada por el Responsable.

Lo que ocurre con sus datos de pago:

1. El Sistema genera una solicitud de cobro y le remite una liga o instrucción de pago.
2. Usted captura sus datos de tarjeta o medio de pago directamente en el entorno de la pasarela. Ni el Responsable ni la Persona Encargada intervienen en esa captura.
3. La pasarela devuelve al Sistema únicamente el resultado de la operación: identificador, monto, moneda, fecha y estatus. El Sistema no conserva los últimos dígitos ni la marca de su tarjeta, aun cuando la pasarela llegara a devolverlos: no existe campo alguno destinado a almacenarlos.

En ningún momento el Responsable ni la Persona Encargada almacenan, procesan, transmiten ni visualizan el número completo de su tarjeta, su fecha de vencimiento, su código de seguridad ni sus credenciales bancarias.

La pasarela es la entidad regulada y responsable del tratamiento de esos datos, y actúa como responsable independiente bajo su propio aviso de privacidad, que le recomendamos consultar. Su relación con la pasarela se rige por los términos y condiciones que ésta le imponga.

Seguridad de la transacción. En cumplimiento del artículo 76 BIS, fracción II de la Ley Federal de Protección al Consumidor, se le informa que la información que proporcione se protege mediante cifrado en tránsito, control de acceso al entorno de procesamiento y segregación lógica de la información por establecimiento. Conforme a la fracción I del mismo artículo, la información que usted proporcione se utilizará de forma confidencial y no será difundida ni transmitida a proveedores ajenos a la transacción sin su autorización expresa o requerimiento de autoridad competente.

9. Transferencias de datos personales

9.1 Distinción previa: remisiones que no son transferencias

La comunicación de sus datos a Brian Isaias Villeda Rojas, que opera bajo el nombre comercial Zynte Axiom, en su carácter de persona encargada, no constituye transferencia conforme al artículo 2, fracción XX de la Ley, que excluye de ese concepto las comunicaciones dirigidas a la persona encargada del tratamiento. Se trata de una remisión, y no requiere su consentimiento ni cláusula de aceptación.

Sub-encargados autorizados. La Persona Encargada se apoya, para prestar el servicio, en los siguientes proveedores, autorizados por el Responsable en las instrucciones documentadas de tratamiento. Actúan también como encargados —no deciden finalidades propias sobre sus datos— y están sujetos a las mismas obligaciones de confidencialidad y seguridad:

Sobre el proveedor de inteligencia artificial. El proveedor de servicios de inteligencia artificial que interviene en la asistencia para la redacción de respuestas del plan Premium es OpenAI OpCo, LLC («OpenAI»), con quien la Persona Encargada formalizó contratación directa bajo los términos de servicio de la API de OpenAI. Dicho proveedor no recibe datos personales identificables del Cliente Final: opera bajo la restricción de diseño verificable descrita en la sección 6 de este aviso —no recibe el texto íntegro de sus mensajes ni su nombre de perfil de WhatsApp, sino únicamente datos previamente verificados y estructurados por el servidor—. La activación del plan Premium en producción con Clientes Finales reales permanece condicionada —ya no a la identificación de este proveedor, que queda resuelta con lo anterior, sino a que se complete y se declare en este aviso el sub-encargado de nube/hosting señalado como pendiente en la fila anterior de esta misma tabla.

Sobre Google Calendar — qué sale exactamente

Esta función es opcional y está apagada por omisión: si nadie conectó un calendario de Google, ningún dato suyo llega a Google. Cuando sí hay calendario conectado, el Sistema crea un evento cuyo contenido es exactamente el siguiente, sin que intervenga persona alguna en su redacción:

Lo que NUNCA sale hacia Google, en ningún caso: su número telefónico en claro; la referencia, el monto o cualquier dato de su pago; el nombre comercial del Responsable —deliberadamente omitido, porque en un establecimiento cuyo nombre ya revela una especialidad médica el nombre filtraría más que la propia etiqueta—; la etiqueta de un Responsable del sector salud que no haya sido verificada como neutra; y su correo electrónico, que el Sistema no recaba. El texto del evento no se almacena en el Sistema: se compone al enviarlo y se descarta.

Por qué se le informa esto. Estas comunicaciones tampoco constituyen transferencias, por dirigirse a encargados; se le informan por transparencia y para que usted sepa con precisión qué terceros intervienen materialmente en el tratamiento de sus datos. La plataforma de mensajería trata sus datos también bajo su propio aviso de privacidad y sus propios términos, en la relación que usted mantiene directamente con ella como usuario del servicio de mensajería, la cual es ajena al Responsable y le recomendamos consultar. Lo mismo vale para Google respecto de la cuenta con la que se haya conectado el calendario.

El listado vigente de sub-encargados puede consultarse en todo momento solicitándolo por los medios de la sección 11. Cualquier alta de un nuevo sub-encargado se rige por el procedimiento de cambios de la sección 15.

9.2 Transferencias que sí se realizan

Fundamento de las exenciones invocadas. El artículo 36 permite transferir sin consentimiento cuando la transferencia esté prevista en una Ley (fr. I), sea necesaria por virtud de un contrato celebrado o por celebrar en interés de la persona titular (fr. IV), sea necesaria para la salvaguarda de un interés público o la administración de justicia (fr. V), sea precisa para la defensa de un derecho en proceso judicial (fr. VI), o sea precisa para el mantenimiento o cumplimiento de la relación jurídica entre el Responsable y la persona titular (fr. VII).

Obligación del receptor. Conforme al artículo 35, segundo párrafo de la Ley, todo tercero receptor asume las mismas obligaciones que corresponden al Responsable que transfirió los datos, y el tratamiento se hará conforme a lo convenido en este aviso.

9.3 Cláusula expresa de aceptación

Si usted NO desea que sus datos personales sean transferidos a los destinatarios señalados en el último renglón de la tabla anterior (transferencias que requieren consentimiento), márquelo aquí o manifiéstelo por los medios de la sección 11:

Su negativa no afectará la prestación del servicio ni las condiciones del mismo. Las transferencias exentas de consentimiento conforme al artículo 36 subsistirán, por ser legalmente necesarias.

10. Plazos de conservación, bloqueo y supresión

Qué significa esta tabla, y cómo se practica la depuración. Los plazos anteriores son la política de conservación del Responsable: el tiempo máximo durante el cual cada categoría se conserva, y el criterio conforme al cual debe depurarse una vez vencido. No describen un borrado que hoy se ejecute por sí solo. Con una única excepción —la traza de diagnóstico de siete días, que sí se elimina de forma automatizada y sin intervención humana—, la depuración al vencimiento del plazo se practica mediante procedimiento interno del Responsable, y no mediante un proceso que corra por su cuenta dentro del Sistema. Se le informa así, y no de otra forma, porque afirmar una supresión automática que no está en operación sería inexacto, y el artículo 15 de la Ley exige que esta información sea veraz.

Esto no acorta sus derechos ni alarga ningún plazo en su perjuicio: usted puede solicitar la cancelación de sus datos en cualquier momento conforme a la sección 11, sin esperar a que venza el plazo aplicable, y el Responsable debe atenderla en los términos del artículo 32 de la Ley. Si el Sistema incorpora más adelante la ejecución automatizada de estos plazos, este aviso se actualizará conforme a la sección 15.

Por qué diez años y no cinco. Este aviso fijaba antes cinco años para los registros de transacción, invocando el artículo 30, párrafo tercero del Código Fiscal de la Federación. Ese plazo es correcto para la documentación contable, pero no es el único aplicable: el artículo 38 del Código de Comercio obliga a quien tiene la calidad de comerciante a conservar los comprobantes originales de sus operaciones por un mínimo de diez años, y el artículo 1047 del mismo Código fija en diez años la prescripción ordinaria mercantil. Ante dos plazos concurrentes se adopta el mayor, que es la postura conservadora: conservar de más no infringe el artículo 10 de la Ley cuando existe una obligación legal que lo respalda, mientras que suprimir antes de tiempo sí infringiría la obligación mercantil. Este criterio está pendiente de confirmarse con contador público, y de reducirse el plazo se le informará conforme a la sección 15.

Categorías cuya depuración exige intervención expresa y documentada. Debe informársele con precisión, en cumplimiento del principio de información del artículo 15 de la Ley, que cuatro categorías de registros no cuentan hoy con un procedimiento automático de borrado: los registros de citas confirmadas, los ajustes practicados sobre ellos, los ajustes de pago y las liquidaciones mensuales.

La razón es deliberada y opera a favor de la exactitud de la información: esos cuatro registros son de solo-anexado. El Sistema rechaza por diseño toda modificación y todo borrado de un asiento ya escrito, sin excepción y para cualquier persona usuaria de la base de datos, incluida la de máximo privilegio. Una cifra mal registrada no se altera ni se elimina: se corrige registrando el asiento contrario, de modo que la corrección y su autor quedan a la vista. Es lo que permite reconstruir con fidelidad cuánto se cobró y por qué.

La consecuencia es que, cumplido el plazo de diez años, la supresión de esos registros no ocurrirá de forma automática: requerirá un acto expreso, deliberado y documentado, que levante la protección de solo-anexado, ejecute la depuración y deje constancia de ella en un libro que a su vez no admite alteración. Mientras ese acto no se practique, los registros se conservan por el plazo fiscal y mercantil señalado en esta tabla. Se le informa de esta característica en vez de omitirla, porque afecta el momento efectivo de la supresión de datos que le conciernen.

Esta salvedad no alcanza a los datos de contacto, al contenido de sus conversaciones, a su historial de citas no facturadas ni a sus preferencias, que sí siguen el régimen ordinario de la tabla anterior, ni limita en modo alguno sus derechos de acceso, rectificación, cancelación y oposición: una solicitud de cancelación sobre esos registros se atiende mediante bloqueo, en los términos del párrafo siguiente y del artículo 2, fracción III de la Ley.

Bloqueo previo a la supresión. Cumplida la finalidad o solicitada la cancelación, sus datos se someten a un periodo de bloqueo —identificación y conservación con el único propósito de determinar posibles responsabilidades, sin que puedan ser objeto de tratamiento— equivalente al plazo de prescripción de las acciones derivadas de la relación jurídica. Concluido, se procede a su cancelación y se le dará aviso, conforme a los artículos 2, fracción III y 24 de la Ley.

Supuestos en que el Responsable no está obligado a cancelar. El artículo 25 de la Ley exceptúa, entre otros, los datos que se refieran a las partes de un contrato y sean necesarios para su desarrollo y cumplimiento (fr. I), los que deban tratarse por disposición legal (fr. II), aquellos cuya cancelación obstaculice actuaciones vinculadas a obligaciones fiscales (fr. III) y —tratándose de tenants clínicos— los que sean objeto de tratamiento para la prevención, el diagnóstico médico o la gestión de servicios de salud, siempre que dicho tratamiento se realice por un profesional de la salud sujeto a un deber de secreto (fr. VII).

11. Mecanismos, medios y procedimientos para ejercer sus derechos ARCO

11.1 Qué puede solicitar

El ejercicio de cualquiera de estos derechos no es requisito previo ni impide el ejercicio de otro (Art. 21).

11.2 Dónde presentar su solicitud

Departamento de Datos Personales del Responsable (designado conforme al artículo 29 de la Ley)

11.3 Qué debe contener su solicitud

1. Su nombre y domicilio, o cualquier otro medio para recibir la respuesta.
2. Documento que acredite su identidad —copia de identificación oficial vigente— o, en su caso, la personalidad e identidad de su representante.
3. Descripción clara y precisa de los datos respecto de los que ejerce el derecho. No se requiere si ejerce el derecho de acceso.
4. El derecho que pretende ejercer, o bien lo que solicita.
5. Cualquier otro elemento que facilite la localización de sus datos —por ejemplo, el número de WhatsApp con el que agendó o la fecha aproximada de la cita—.

Adicionalmente, si ejerce rectificación (Art. 30): indique las modificaciones a realizar y aporte la documentación que sustente su petición.

El Anexo B de este documento contiene un formato de solicitud que usted puede utilizar. Su uso es opcional; la solicitud puede presentarse por escrito libre.

11.4 Plazos de respuesta

Tratándose de solicitudes de acceso, la entrega procede previa acreditación de su identidad o la de su representante legal. La obligación se cumple poniendo los datos a su disposición, o mediante copias simples, documentos electrónicos o cualquier otro medio que el Responsable determine (Art. 32). Medio de entrega determinado por el Responsable: [FORMATO — p. ej. archivo PDF o CSV remitido al correo señalado por el titular].

11.5 Costo

El ejercicio de los derechos ARCO es gratuito. Solo podrán cobrarse los costos de reproducción, copias o envío. Si usted proporciona el medio magnético, electrónico o el mecanismo para reproducir los datos, se le entregarán sin costo. Si reitera su solicitud en un periodo menor a doce meses, los costos no excederán de tres veces la Unidad de Medida y Actualización vigente, salvo que existan modificaciones sustanciales a este aviso que motiven nuevas consultas.

11.6 Casos en que la solicitud puede negarse

Cuando usted o su representante no estén debidamente acreditados; cuando los datos no obren en posesión del Responsable; cuando se lesionen derechos de un tercero; cuando exista impedimento legal o resolución de autoridad competente; o cuando la rectificación, cancelación u oposición ya se hubiera realizado previamente.

La negativa puede ser parcial. En todos los casos el Responsable le informará el motivo de su decisión, por el mismo medio por el que usted presentó la solicitud, dentro de los plazos señalados y acompañando las pruebas pertinentes.

12. Revocación del consentimiento

Usted puede revocar en cualquier momento el consentimiento otorgado para el tratamiento de sus datos personales, sin efectos retroactivos, conforme al artículo 7, último párrafo de la Ley.

Procedimiento: presente su solicitud por los mismos medios señalados en la sección 11.2, indicando expresamente que desea revocar su consentimiento y respecto de qué finalidades. El Responsable le responderá en los plazos del artículo 31.

Alcance. La revocación no procede respecto de los tratamientos que el Responsable deba continuar por disposición legal, ni de aquellos necesarios para el cumplimiento de la relación jurídica que usted mantenga con el Responsable, ni de los datos sujetos a bloqueo por responsabilidades derivadas del tratamiento. Si revoca su consentimiento respecto de las finalidades primarias, el Responsable podrá verse imposibilitado para seguir prestándole el servicio, lo que se le hará saber.

13. Medidas de seguridad y vulneraciones

El Responsable, directamente y a través de la Persona Encargada, mantiene medidas de seguridad administrativas, técnicas y físicas para proteger sus datos contra daño, pérdida, alteración, destrucción o uso, acceso o tratamiento no autorizado, considerando el riesgo existente, las posibles consecuencias para usted, la sensibilidad de los datos y el desarrollo tecnológico.

De manera enunciativa: cifrado en tránsito, control de acceso basado en roles, segregación lógica de la información por establecimiento, bitácoras de acceso y auditoría, respaldos periódicos, acuerdos de confidencialidad con todo el personal que interviene en el tratamiento, y minimización de los datos expuestos a componentes automatizados conforme a la sección 6.

Notificación de vulneraciones. Ocurrida una vulneración de seguridad que afecte de forma significativa sus derechos patrimoniales o morales, el Responsable se lo informará de forma inmediata, a fin de que pueda tomar las medidas correspondientes a la defensa de sus derechos, conforme al artículo 19 de la Ley. La notificación incluirá la naturaleza del incidente, los datos comprometidos, las recomendaciones aplicables, las acciones correctivas y los medios para obtener más información.

Confidencialidad. Toda persona que intervenga en cualquier fase del tratamiento está obligada a guardar confidencialidad, obligación que subsiste aun después de finalizada su relación con el Responsable (Art. 20).

14. Datos obtenidos de forma indirecta

Cuando una cita sea agendada por una persona distinta de usted —un familiar, acompañante o representante—, sus datos no habrán sido obtenidos directamente de usted. En ese supuesto, el Responsable le pondrá a disposición este aviso en el primer contacto directo que sostenga con usted, o instrumentará medidas compensatorias cuando ello resulte imposible o exija esfuerzos desproporcionados, conforme al artículo 17 de la Ley.

Menores de edad y personas bajo representación. Las citas de personas menores de edad o de personas que requieran representación deberán ser agendadas por quien ejerza la patria potestad, la tutela o la representación legal, quien manifestará esa calidad en el mismo canal. El Responsable no recaba deliberadamente datos de menores de edad de forma directa a través de WhatsApp.

15. Cambios al aviso de privacidad

Este aviso puede sufrir modificaciones derivadas de nuevos requerimientos legales, de cambios en los servicios del Responsable, de sus prácticas de privacidad o de la tecnología empleada.

Procedimiento y medio de comunicación de cambios:

• La versión vigente estará permanentemente publicada en [URL DEL AVISO INTEGRAL], identificada con número de versión y fecha de última actualización.
• Toda modificación sustancial —cambio en la identidad del Responsable, en las finalidades primarias, en las categorías de datos tratados, en las transferencias que requieren consentimiento, o la habilitación de cualquier finalidad secundaria— le será notificada de forma directa mediante mensaje por el mismo canal de WhatsApp con el que usted interactúa, con al menos quince (15) días naturales de anticipación a su entrada en vigor. El Sistema no recaba su correo electrónico, por lo que WhatsApp es el canal de notificación directa; si usted proporcionó un correo al presentar una solicitud ARCO, se utilizará además ese medio.
• Las modificaciones no sustanciales se harán del conocimiento mediante la actualización de la versión publicada en la liga señalada, indicando la fecha de vigencia.
• Si el Responsable pretende tratar sus datos para una finalidad distinta de las previstas en este aviso, recabará nuevamente su consentimiento, conforme al artículo 11 de la Ley.
• Se conservará un historial de versiones consultable en la misma liga.

16. Autoridad competente y medios de defensa

Si usted considera que su derecho a la protección de datos personales ha sido lesionado, o que el Responsable incurrió en alguna conducta contraria a la Ley, puede presentar una solicitud de protección de datos ante la Secretaría Anticorrupción y Buen Gobierno, autoridad competente en términos del artículo 2, fracción XV de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.

Plazo: dentro de los quince días hábiles siguientes a la fecha en que se le comunique la respuesta del Responsable. Si no recibe respuesta, la solicitud podrá presentarse a partir de que venza el plazo de respuesta previsto para el Responsable, bastando que acompañe el documento que pruebe la fecha en que presentó su solicitud ARCO (Art. 40).

Forma: por escrito libre o a través de los formatos y del sistema electrónico que al efecto proporcione la Secretaría (Art. 41).

En materia de consumo, puede acudir a la Procuraduría Federal del Consumidor (PROFECO) — teléfono del Consumidor 55 5568 8722 y 800 468 8722, y www.profeco.gob.mx.

17. Aceptación

Al proporcionar sus datos personales a través del canal de WhatsApp del Responsable, o al continuar la conversación después de que este aviso se puso a su disposición, usted manifiesta:

• Que le fue puesto a disposición el aviso de privacidad en su modalidad simplificada, con indicación del sitio de consulta del presente aviso integral, conforme al artículo 16, fracción II de la Ley.
• Que conoce el contenido y alcance de este aviso.
• Que otorga su consentimiento tácito para el tratamiento de sus datos personales conforme a las finalidades primarias, en términos del artículo 7 de la Ley.
• Que ha sido informado de que el Responsable no trata sus datos para finalidades secundarias, así como de los mecanismos para limitar el uso o divulgación de sus datos y para ejercer sus derechos ARCO.