Aviso de Privacidad Integral

1. Identidad y domicilio del responsable

Zaguán Tecnologías, S.A.S. de C.V. (en adelante, “Zaguán” o “nosotros”), RFC ZTE260624TP8, con domicilio en Ciudad de México, México, es responsable del tratamiento de los datos personales que usted nos proporcione, conforme a la LFPDPPP 2025, su Reglamento, los lineamientos aplicables y demás disposiciones legales vigentes.

Contacto en materia de privacidad:

• Correo electrónico: privacidad@zaguan.mx
• Sitio del aviso: https://zaguan.mx/privacy

El presente aviso cubre las relaciones en las que Zaguán actúa como responsable: visitantes del sitio público zaguan.mx, administradores de clínicas que se registran en la plataforma, contactos de facturación y de soporte. Cuando Zaguán trata datos personales de clientes finales (dueños de mascotas) por instrucción de la clínica contratante, actúa como encargado; en ese caso, el aviso de privacidad aplicable lo publica la clínica bajo su propio nombre y la relación se rige por el contrato de suscripción celebrado entre Zaguán y la clínica.

2. Datos personales que serán tratados

2.1. Datos personales identificativos y de contacto

• Nombre completo
• Número de teléfono móvil vinculado a su cuenta de WhatsApp
• Correo electrónico
• Idioma de preferencia
• Foto de perfil de WhatsApp, cuando esté disponible públicamente

2.2. Datos personales fiscales (consentimiento expreso para fines de facturación)

Cuando solicite la emisión de Comprobantes Fiscales Digitales por Internet (CFDI):

• Registro Federal de Contribuyentes (RFC)
• Razón social o nombre fiscal
• Régimen fiscal
• Código postal fiscal
• Uso del CFDI predeterminado
• Correo electrónico para envío de comprobantes

2.3. Datos de mascotas y registros veterinarios

Información sobre sus mascotas (nombre, especie, raza, edad, peso, historial de vacunación, citas y observaciones clínicas). Si bien los animales no son titulares en términos de la LFPDPPP, estos registros se vinculan a usted como dueño y reciben el mismo nivel de protección que sus datos personales.

2.4. Datos de comunicaciones y comportamiento

• Contenido de los mensajes intercambiados con el asistente virtual Zaggy a través de WhatsApp.
• Historial de citas, cancelaciones, recordatorios enviados y respuestas.
• Datos técnicos de envío y entrega de mensajes (identificadores asignados por Meta/WhatsApp, marcas temporales, estados de entrega).
• Registros de auditoría (eventos del sistema vinculados a su cuenta).

2.5. Datos que NO recabamos

Zaguán NO recaba datos personales sensibles en términos del Artículo 2, Fracción VI de la LFPDPPP 2025 — incluidos origen racial o étnico, estado de salud presente o futura, información genética, creencias religiosas, filosóficas o morales, opiniones políticas, ni preferencia sexual. Tampoco recabamos datos biométricos ni geolocalización en tiempo real. La información veterinaria de la mascota no constituye dato sensible por referirse a animales, no a personas.

3. Finalidades del tratamiento

Distinguimos entre finalidades necesarias para la prestación del servicio y finalidades voluntarias a las que usted puede oponerse sin afectar la prestación principal.

3.1. Finalidades necesarias

• Gestionar la reserva, modificación, confirmación y cancelación de sus citas con la clínica que usted eligió.
• Enviarle recordatorios de citas y de cuidados recurrentes (por ejemplo, vacunación anual) por WhatsApp.
• Responder consultas automatizadas sobre horarios, servicios y precios de la clínica.
• Emitir CFDI cuando usted los solicite y aceptemos su consentimiento expreso para tratar sus datos fiscales.
• Procesar pagos, cuando aplique, a través de procesadores autorizados.
• Sincronizar sus citas con Google Calendar cuando la clínica conecta la integración (sección 7).
• Mantener un historial mínimo de interacciones para continuidad de la atención.
• Atender el ejercicio de derechos ARCO, revocación de consentimiento y oposición.
• Cumplir obligaciones legales, fiscales y regulatorias aplicables.

3.2. Finalidades voluntarias

Salvo que usted manifieste su negativa según la sección 9, sus datos podrán tratarse para:

• Análisis estadístico agregado del uso del servicio.
• Mejora de la calidad del asistente virtual mediante análisis de patrones de interacción.
• Comunicaciones informativas a la clínica sobre nuevas funciones del servicio.

Su oposición a las finalidades voluntarias no afecta la prestación del servicio principal.

4. Procesamiento automatizado mediante inteligencia artificial

Zaguán utiliza un asistente virtual basado en inteligencia artificial, denominado Zaggy, para interpretar sus mensajes y generar respuestas en lenguaje natural. La LFPDPPP 2025 le reconoce derechos específicos respecto del tratamiento automatizado.

• Identificación. El primer mensaje que reciba de Zaggy lo identificará como un asistente virtual.
• Procesamiento por proveedores. Su contenido será procesado por los proveedores de modelos de lenguaje listados en la sección 6 bajo acuerdos de tratamiento que prohíben el entrenamiento de modelos con su información (retención cero habilitada).
• Validación determinística. Las decisiones con efectos vinculantes (creación, modificación o cancelación de citas) son validadas por un sistema determinístico antes de ejecutarse. Usted recibe una confirmación explícita por escrito antes de que cualquier reserva quede registrada.
• Intervención humana. Puede solicitar la intervención de una persona de la clínica respondiendo con la palabra HUMANO o ASESOR. La clínica atenderá su solicitud en su horario de operación.
• Derecho de oposición al tratamiento automatizado. Conforme al Artículo 26, Fracción II de la LFPDPPP 2025, si el procesamiento automatizado produce efectos jurídicos no deseados o afecta de manera significativa sus intereses, derechos o libertades, usted puede oponerse en términos de la sección 8. Excepción: el último párrafo del Art. 26 dispone que el derecho de oposición no procede cuando el tratamiento sea necesario para el cumplimiento de una obligación legal — esto aplica al tratamiento de RFC y demás datos CFDI exigidos por el Código Fiscal de la Federación.
• Posibilidad de error. El sistema puede equivocarse. Si recibe una confirmación que no coincide con su solicitud, comuníquese inmediatamente con la clínica.

5. Consentimiento

5.1. Consentimiento general

Conforme a la LFPDPPP 2025, su consentimiento debe ser libre, específico e informado. Al continuar utilizando el servicio después de tomar conocimiento de este aviso, usted otorga su consentimiento para el tratamiento de sus datos para las finalidades necesarias descritas en la sección 3.1.

5.2. Consentimiento expreso para datos fiscales

Antes de recabar su RFC y demás datos fiscales para la emisión de CFDI, le solicitaremos su consentimiento expreso mediante respuesta afirmativa por WhatsApp o por escrito. Sin su consentimiento expreso, no podremos emitir CFDI a su favor.

5.3. Consentimiento para cookies y tecnologías de seguimiento

En el sitio web público (zaguan.mx y los subdominios /p/:slug de cada clínica), recabamos su consentimiento expreso para el uso de cookies analíticas y tecnologías de identificación o seguimiento. Puede revocar este consentimiento en cualquier momento desde el panel de cookies.

5.4. Revocación del consentimiento

Usted puede revocar su consentimiento en cualquier momento siguiendo el procedimiento de la sección 8. La revocación opera hacia el futuro y no afecta el tratamiento ya realizado.

6. Encargados del tratamiento

Los siguientes terceros tratan sus datos personales por cuenta de Zaguán bajo acuerdos contractuales que les imponen obligaciones equivalentes de protección. Estos terceros actúan como encargados o subencargados y no como destinatarios independientes.

Las relaciones con encargados y subencargados se rigen por contratos que aseguran (i) el tratamiento exclusivamente por instrucciones de Zaguán, (ii) la confidencialidad incluso después de la terminación de la relación, (iii) medidas de seguridad equivalentes a las que Zaguán aplica y (iv) restricciones a la transferencia ulterior.

No vendemos datos personales a terceros.

7. Datos obtenidos vía Google OAuth (Google Calendar)

Cuando una clínica conecta Google Calendar a Zaguán:

Solicitamos los siguientes alcances (scopes):

• https://www.googleapis.com/auth/calendar — para crear un calendario dedicado denominado “Zaggy — Citas” dentro de la cuenta de Google de la clínica, y para crear, modificar y eliminar eventos en él.
• https://www.googleapis.com/auth/userinfo.email — para mostrar al administrador qué cuenta de Google quedó conectada (“Conectado como vet@example.com”).
• openid — alcance estándar de OpenID Connect requerido por la biblioteca OAuth de Google.

Uso y restricciones aplicables:

• El refresh token se almacena cifrado en reposo en nuestra base de datos para sincronizar citas.
• El correo de la cuenta conectada se muestra únicamente al administrador de esa clínica.
• NO accedemos a otros calendarios de la cuenta conectada — solo al calendario “Zaggy — Citas” que Zaguán provisiona.
• NO leemos eventos que no haya creado Zaguán.
• NO compartimos los datos obtenidos de Google con terceros.
• NO usamos los datos obtenidos de Google para entrenar modelos de inteligencia artificial.

Cuando una clínica desconecta la integración desde Ajustes → Integraciones, revocamos el token en Google y eliminamos las credenciales de nuestra base de datos. Los eventos previamente creados en el calendario “Zaggy — Citas” permanecen visibles para la clínica como historial.

Este uso cumple con la Política de Datos del Usuario de los Servicios de la API de Google, incluyendo los requisitos de “Uso Limitado” (Limited Use).

8. Derechos ARCO y otros derechos del titular

Conforme a los Artículos 21 a 34 de la LFPDPPP 2025, usted tiene derecho a:

• Acceder a sus datos personales en posesión de Zaguán y conocer las condiciones de su tratamiento.
• Rectificar sus datos en caso de que sean inexactos o incompletos.
• Cancelar sus datos cuando considere que no son necesarios para alguna de las finalidades o haya finalizado la relación.
• Oponerse al tratamiento, incluyendo el procesamiento automatizado que afecte significativamente sus intereses, derechos o libertades (Art. 26 Frac. II).
• Revocar el consentimiento otorgado.
• Limitar el uso o divulgación de sus datos.

8.1. Procedimiento

Envíe su solicitud a privacidad@zaguan.mx indicando:

1. Nombre completo y domicilio o medio para recibir respuesta.
2. Copia legible de identificación oficial vigente (INE, pasaporte, cédula profesional, FM3/FM2).
3. Indicación expresa del derecho que desea ejercer.
4. Descripción clara y precisa de los datos personales sobre los que recae su solicitud.
5. En caso de rectificación, la modificación específica solicitada y la documentación que la sustenta.
6. En caso de representación, el documento que acredite la personalidad del representante.

8.2. Plazos (Art. 31 LFPDPPP 2025)

• Acuse de recibo: dentro de 5 días hábiles.
• Respuesta sustantiva: dentro de 20 días hábiles desde la recepción de la solicitud.
• Materialización del derecho (entrega de datos, rectificación, supresión): dentro de los 15 días hábiles siguientes a la respuesta afirmativa.

Ambos plazos pueden ampliarse una sola vez por un periodo igual cuando las circunstancias del caso lo justifiquen.

8.3. Costos

El ejercicio de derechos es gratuito. Únicamente podrán cobrarse los gastos justificados de envío o reproducción en formatos distintos al electrónico, conforme al Art. 34 de la LFPDPPP 2025.

9. Mecanismo para limitar el uso o divulgación

Si desea oponerse a las finalidades voluntarias de la sección 3.2 o darse de baja de cualquier comunicación automatizada:

• Responda BAJA o STOP a cualquier mensaje de WhatsApp que reciba del bot. Procesaremos su baja dentro de 5 días hábiles.
• Envíe un correo a privacidad@zaguan.mx con el asunto “Limitar uso de datos”.

La baja del servicio principal (terminación de la relación con la clínica) debe gestionarse directamente con la clínica.

10. Cookies, identificadores y tecnologías de seguimiento

• Cookies estrictamente necesarias (sesión, preferencias, seguridad) — no requieren consentimiento.
• Cookies de análisis e identificadores de seguimiento — sólo se activan con su consentimiento expreso, recabado mediante panel de cookies al primer acceso. Puede revocarlo en cualquier momento.

No utilizamos cookies de publicidad ni de rastreo de terceros con fines de mercadotecnia.

11. Conservación de los datos

Los datos personales serán suprimidos al término del plazo de conservación aplicable, con bloqueo previo cuando dejen de ser necesarios para las finalidades originales:

Los datos fiscales se conservan por el plazo legal aplicable y prevalecen sobre solicitudes de cancelación únicamente respecto a esos datos estrictamente fiscales. La base legal para no atender una solicitud de cancelación dirigida a estos datos durante el plazo fiscal es el Artículo 25, Fracción II de la LFPDPPP 2025 (“deban ser tratados por disposición legal”), en este caso los Artículos 30 y 67 del Código Fiscal de la Federación. Vencido el plazo fiscal, la información se suprime.

12. Medidas de seguridad

Aplicamos medidas administrativas, técnicas y físicas razonables y proporcionales al nivel de sensibilidad de los datos:

• Cifrado en tránsito (TLS 1.2 o superior) para todas las comunicaciones.
• Cifrado en reposo de la base de datos (AES-256 o equivalente).
• Cifrado en reposo de credenciales (tokens OAuth, tokens de API).
• Hash bcrypt para contraseñas.
• Controles de acceso por rol con principio de mínimo privilegio.
• Aislamiento multitenant a nivel de aplicación — los datos de una clínica nunca son accesibles desde otra.
• Bitácora de auditoría detallada con identificadores universales por turno.
• Respaldos cifrados periódicos.
• Procedimientos documentados de respuesta a incidentes.

Ante una vulneración de seguridad que afecte de forma significativa sus derechos patrimoniales o morales, le notificaremos de forma inmediata conforme al Artículo 19 de la LFPDPPP 2025, en la práctica dentro de las 72 horas desde la confirmación de la vulneración, con la información necesaria para que usted pueda tomar las medidas correspondientes.

13. Datos de menores de edad

El servicio está dirigido a personas mayores de edad. No recabamos a sabiendas datos de menores. Si usted es padre, madre o tutor y considera que un menor bajo su responsabilidad nos proporcionó datos sin su consentimiento, contáctenos en privacidad@zaguan.mx para proceder a su eliminación.

14. Cambios al aviso de privacidad

Nos reservamos el derecho de actualizar este aviso. Las modificaciones serán notificadas mediante:

• Publicación de la versión actualizada en https://zaguan.mx/privacy.
• En caso de cambios materiales que afecten derechos del titular, notificación directa por WhatsApp o correo electrónico al menos 15 días naturales antes de la entrada en vigor.

La fecha de última actualización al inicio del documento indica la versión vigente.

15. Autoridad de control

A partir del 21 de marzo de 2025, conforme a la reforma constitucional de diciembre de 2024 y la LFPDPPP 2025, la autoridad competente en materia de protección de datos personales en posesión de los particulares es la Secretaría Anticorrupción y Buen Gobierno del Gobierno Federal, que asumió las facultades materiales del extinto Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI).

Si considera que su derecho a la protección de datos personales ha sido vulnerado, puede presentar una denuncia ante la Unidad de Protección de Datos Personales de la Secretaría:

• Correo electrónico: proteccion.datos@buengobierno.gob.mx
• Portal de transparencia: https://portal-transparencia.buengobierno.gob.mx/proteccion-de-datos-personales/
• Sistema general de denuncias ciudadanas (SIDEC): https://sidec.buengobierno.gob.mx

16. Contacto

Para cualquier duda sobre este Aviso de Privacidad o el tratamiento de sus datos:

Correo: privacidad@zaguan.mx
Web: https://zaguan.mx