Aviso de Privacidad Integral

1. Identidad y domicilio del responsable

Zaguán Tecnologías, S.A.S. de C.V. (en adelante, “Zaguán” o “nosotros”), RFC ZTE260624TP8, con domicilio en Ciudad de México, México, es responsable del tratamiento de los datos personales que usted nos proporcione a través de la plataforma Zaggy (en adelante, “el Servicio”), conforme a la LFPDPPP 2025, su Reglamento, los lineamientos aplicables y demás disposiciones legales vigentes.

Contacto en materia de privacidad:

• Correo electrónico: privacidad@zaguan.mx
• Sitio del aviso: https://zaguan.mx/privacy

El presente aviso cubre las relaciones en las que Zaguán actúa como responsable: visitantes del sitio público zaguan.mx, administradores de clínicas que se registran en la plataforma, contactos de facturación y de soporte. Cuando Zaguán trata datos personales de clientes finales (dueños de mascotas) por instrucción de la clínica contratante, actúa como encargado; en ese caso, el aviso de privacidad aplicable lo publica la clínica bajo su propio nombre y la relación se rige por el contrato de suscripción celebrado entre Zaguán y la clínica.

2. Datos personales que serán tratados

2.1. Datos personales identificativos y de contacto

• Nombre completo
• Número de teléfono móvil vinculado a su cuenta de WhatsApp
• Correo electrónico
• Idioma de preferencia
• Foto de perfil de WhatsApp, cuando esté disponible públicamente

2.2. Datos personales fiscales

Para emitir los Comprobantes Fiscales Digitales por Internet (CFDI) de la suscripción de la clínica:

• Registro Federal de Contribuyentes (RFC)
• Razón social o nombre fiscal
• Régimen fiscal
• Código postal fiscal
• Uso del CFDI predeterminado
• Correo electrónico para envío de comprobantes

2.3. Datos de mascotas y registros veterinarios

Información sobre sus mascotas (nombre, especie, raza, edad, peso, historial de vacunación, citas y observaciones clínicas). Si bien los animales no son titulares en términos de la LFPDPPP, estos registros se vinculan a usted como dueño y reciben el mismo nivel de protección que sus datos personales.

2.4. Datos de comunicaciones y comportamiento

• Contenido de los mensajes intercambiados con el asistente virtual Zaggy a través de WhatsApp.
• Historial de citas, cancelaciones, recordatorios enviados y respuestas.
• Datos técnicos de envío y entrega de mensajes (identificadores asignados por Meta/WhatsApp, marcas temporales, estados de entrega).
• Registros de auditoría (eventos del sistema vinculados a su cuenta).

2.5. Datos que NO recabamos

Zaguán NO recaba datos personales sensibles en términos del Artículo 2, Fracción VI de la LFPDPPP 2025 — incluidos origen racial o étnico, estado de salud presente o futura, información genética, creencias religiosas, filosóficas o morales, opiniones políticas, ni preferencia sexual. Tampoco recabamos datos biométricos ni geolocalización en tiempo real. La información veterinaria de la mascota no constituye dato sensible por referirse a animales, no a personas.

3. Finalidades del tratamiento

Distinguimos entre finalidades necesarias para la prestación del servicio y finalidades voluntarias a las que usted puede oponerse sin afectar la prestación principal.

3.1. Finalidades necesarias

• Gestionar la reserva, modificación, confirmación y cancelación de sus citas con la clínica que usted eligió.
• Enviarle recordatorios de citas y de cuidados recurrentes (por ejemplo, vacunación anual) por WhatsApp.
• Responder consultas automatizadas sobre horarios, servicios y precios de la clínica.
• Emitir los CFDI de la suscripción y de los demás cobros que Zaguán realice a la clínica.
• Procesar pagos, cuando aplique, a través de procesadores autorizados, incluido el cobro de la suscripción mediante Stripe.
• Sincronizar sus citas con Google Calendar cuando la clínica conecta la integración (sección 7).
• Mantener un historial mínimo de interacciones para continuidad de la atención.
• Atender el ejercicio de derechos ARCO, revocación de consentimiento y oposición.
• Cumplir obligaciones legales, fiscales y regulatorias aplicables.

3.2. Finalidades voluntarias

Salvo que usted manifieste su negativa según la sección 9, sus datos podrán tratarse para:

• Análisis estadístico agregado del uso del servicio.
• Mejora de la calidad del asistente virtual mediante análisis de patrones de interacción.
• Comunicaciones informativas a la clínica sobre nuevas funciones del servicio.

Su oposición a las finalidades voluntarias no afecta la prestación del servicio principal.

4. Procesamiento automatizado mediante inteligencia artificial

Zaguán utiliza un asistente virtual basado en inteligencia artificial, denominado Zaggy, para interpretar sus mensajes y generar respuestas en lenguaje natural. La LFPDPPP 2025 le reconoce derechos específicos respecto del tratamiento automatizado.

• Identificación. El primer mensaje que reciba de Zaggy lo identificará como un asistente virtual.
• Procesamiento por proveedores. Su contenido será procesado por los proveedores de modelos de lenguaje listados en la sección 6 bajo acuerdos de tratamiento que prohíben el entrenamiento de modelos con su información (retención cero habilitada).
• Validación determinística. Las decisiones con efectos vinculantes (creación, modificación o cancelación de citas) son validadas por un sistema determinístico antes de ejecutarse. Usted recibe una confirmación explícita por escrito antes de que cualquier reserva quede registrada.
• Intervención humana. Puede solicitar la intervención de una persona de la clínica respondiendo con la palabra HUMANO o ASESOR. La clínica atenderá su solicitud en su horario de operación.
• Derecho de oposición al tratamiento automatizado. Conforme al Artículo 26, Fracción II de la LFPDPPP 2025, si el procesamiento automatizado produce efectos jurídicos no deseados o afecta de manera significativa sus intereses, derechos o libertades, usted puede oponerse en términos de la sección 8. Excepción: el último párrafo del Art. 26 dispone que el derecho de oposición no procede cuando el tratamiento sea necesario para el cumplimiento de una obligación legal — esto aplica al tratamiento de RFC y demás datos CFDI exigidos por el Código Fiscal de la Federación.
• Posibilidad de error. El sistema puede equivocarse. Si recibe una confirmación que no coincide con su solicitud, comuníquese inmediatamente con la clínica.

5. Consentimiento

5.1. Consentimiento general

Conforme a la LFPDPPP 2025, su consentimiento debe ser libre, específico e informado. Al continuar utilizando el servicio después de tomar conocimiento de este aviso, usted otorga su consentimiento para el tratamiento de sus datos para las finalidades necesarias descritas en la sección 3.1.

5.2. Datos fiscales

Los datos fiscales de la sección 2.2 se tratan para emitir el CFDI de cada cobro, obligación derivada de la relación jurídica entre la clínica y Zaguán, por lo que no requieren su consentimiento (Artículo 9, Fracción IV de la LFPDPPP 2025). Si la clínica no los proporciona, el CFDI se emite a nombre de «público en general».

5.3. Consentimiento para cookies y tecnologías de seguimiento

En el sitio web público (zaguan.mx y los subdominios /p/:slug de cada clínica), recabamos su consentimiento expreso para el uso de cookies analíticas y tecnologías de identificación o seguimiento. Puede revocar este consentimiento en cualquier momento desde el panel de cookies.

5.4. Revocación del consentimiento

Usted puede revocar su consentimiento en cualquier momento siguiendo el procedimiento de la sección 8. La revocación opera hacia el futuro y no afecta el tratamiento ya realizado.

6. Encargados del tratamiento y receptores

Los terceros de la siguiente tabla tratan sus datos personales por cuenta de Zaguán bajo acuerdos contractuales que les imponen obligaciones equivalentes de protección. Estos terceros actúan como encargados o subencargados y no como destinatarios independientes.

Las relaciones con los encargados y subencargados de esta tabla se rigen por contratos que aseguran (i) el tratamiento exclusivamente por instrucciones de Zaguán, (ii) la confidencialidad incluso después de la terminación de la relación, (iii) medidas de seguridad equivalentes a las que Zaguán aplica y (iv) restricciones a la transferencia ulterior.

6.1. Transferencias

Además de actuar como encargado, Stripe trata los datos de pago de la clínica como responsable independiente para prevenir fraude y cumplir sus obligaciones legales, incluidas las de identificación del cliente y prevención de lavado de dinero, conforme a su propio aviso de privacidad (stripe.com/mx/privacy). Esta transferencia, que puede realizarse fuera de México, no requiere su consentimiento por ser precisa para el cumplimiento de la relación jurídica entre la clínica y Zaguán y estar prevista en ley (Artículo 36, Fracciones I y VII de la LFPDPPP 2025). Los CFDI se transmiten al Servicio de Administración Tributaria por disposición del Código Fiscal de la Federación (Artículo 36, Fracción I).

6.2. Receptores de avisos opcionales para el personal

Cuando el personal de la clínica activa web push o ntfy, Zaguán comunica a los receptores indicados abajo los datos necesarios para entregar los avisos que la clínica eligió. El texto solo contiene el tipo de evento y el nombre de la clínica; por ejemplo, «Alguien pidió hablar con una persona · Veterinaria X». No contiene el teléfono, nombre, mascota ni texto de mensajes de los clientes de la clínica. Los identificadores de dispositivos pueden ser datos personales del personal, aunque el texto del aviso sea genérico.

Estas comunicaciones se informan como transferencias internacionales a terceros receptores, sujetos a sus propios términos y políticas de privacidad. Se presentan por separado de los encargados de la tabla anterior. La ubicación indicada no garantiza que el tratamiento se limite a esos países.

Si usted recibe avisos por web push o ntfy, acepta el tratamiento y la transferencia de sus datos al receptor correspondiente al activar ese canal después de conocer este aviso. Si no acepta, deje el canal desactivado. Puede dejar de recibir avisos desactivando las notificaciones del dispositivo o dejando de usar ntfy; también puede revocar su consentimiento por el procedimiento de la sección 8. La conexión por otra persona de la clínica no sustituye su decisión sobre sus datos personales. Estos canales son opcionales y su rechazo no impide usar el panel del Servicio.

WhatsApp. El personal que lo acepta recibe en su número personal avisos de la clínica, enviados desde el número de WhatsApp Business de la propia clínica a través de Meta, ya listado arriba como encargado. Para este canal se tratan el nombre y teléfono del empleado y el nombre de la clínica. Los avisos incluyen el evento, el nombre y teléfono del cliente, el nombre de su mascota, un extracto de hasta 120 caracteres de su mensaje y un enlace «Abrir chat» que requiere iniciar sesión como personal de la clínica. La clínica es responsable de los datos de sus clientes; Zaguán los trata por cuenta de ella para que su personal atienda estos eventos.

Cada empleado agrega su propio número en su ficha de personal y marca «Es mi número y acepto recibir avisos de la clínica por WhatsApp»; después confirma que el número es suyo al tocar «Sí, es mío» en el mensaje de verificación que identifica a la clínica, o lo rechaza con «No soy yo». No enviamos ningún mensaje a un número antes de esa aceptación. Guardamos quién aceptó, cuándo, la versión del texto aceptado y el identificador del mensaje como constancia del consentimiento. No enviamos avisos a números sin confirmar. Puede dejar de recibirlos escribiendo BAJA al número de la clínica o pidiendo a la clínica que quite su número. La baja de estos avisos es independiente de sus preferencias de mensajes como cliente. Este canal es opcional y rechazarlo no impide usar el panel del Servicio.

No vendemos datos personales a terceros.

7. Datos obtenidos vía Google OAuth (Google Calendar)

Cuando una clínica conecta Google Calendar al Servicio:

Solicitamos los siguientes alcances (scopes):

• https://www.googleapis.com/auth/calendar.app.created — para crear un calendario secundario llamado «Zaggy — Citas» en la cuenta de Google de la clínica y crear, modificar y borrar solo los eventos de ese calendario. Zaguán no lee ni modifica ningún otro calendario.
• https://www.googleapis.com/auth/userinfo.email — para mostrar al administrador qué cuenta de Google quedó conectada (“Conectado como vet@example.com”).
• openid — alcance estándar de OpenID Connect requerido por la biblioteca OAuth de Google.

Uso y restricciones aplicables:

• El refresh token se almacena cifrado en reposo en nuestra base de datos para sincronizar citas.
• El correo de la cuenta conectada se muestra únicamente al administrador de esa clínica.
• NO accedemos a otros calendarios de la cuenta conectada — solo al calendario “Zaggy — Citas” que Zaguán provisiona.
• NO leemos eventos que no haya creado Zaguán.
• NO compartimos los datos obtenidos de Google con terceros.
• NO usamos los datos obtenidos de Google para entrenar modelos de inteligencia artificial.

Cuando una clínica desconecta la integración desde Ajustes → Integraciones, revocamos el token en Google y eliminamos las credenciales de nuestra base de datos. Los eventos previamente creados en el calendario “Zaggy — Citas” permanecen visibles para la clínica como historial.

Este uso cumple con la Política de Datos del Usuario de los Servicios de la API de Google, incluyendo los requisitos de “Uso Limitado” (Limited Use).

8. Derechos ARCO y otros derechos del titular

Conforme a los Artículos 21 a 34 de la LFPDPPP 2025, usted tiene derecho a:

• Acceder a sus datos personales en posesión de Zaguán y conocer las condiciones de su tratamiento.
• Rectificar sus datos en caso de que sean inexactos o incompletos.
• Cancelar sus datos cuando considere que no son necesarios para alguna de las finalidades o haya finalizado la relación.
• Oponerse al tratamiento, incluyendo el procesamiento automatizado que afecte significativamente sus intereses, derechos o libertades (Art. 26 Frac. II).
• Revocar el consentimiento otorgado.
• Limitar el uso o divulgación de sus datos.

8.1. Procedimiento

Envíe su solicitud a privacidad@zaguan.mx indicando:

1. Nombre completo y domicilio o medio para recibir respuesta.
2. Copia legible de identificación oficial vigente (INE, pasaporte, cédula profesional, FM3/FM2).
3. Indicación expresa del derecho que desea ejercer.
4. Descripción clara y precisa de los datos personales sobre los que recae su solicitud.
5. En caso de rectificación, la modificación específica solicitada y la documentación que la sustenta.
6. En caso de representación, el documento que acredite la personalidad del representante.

8.2. Plazos (Art. 31 LFPDPPP 2025)

• Acuse de recibo: dentro de 5 días hábiles.
• Respuesta sustantiva: dentro de 20 días hábiles desde la recepción de la solicitud.
• Materialización del derecho (entrega de datos, rectificación, supresión): dentro de los 15 días hábiles siguientes a la respuesta afirmativa.

Ambos plazos pueden ampliarse una sola vez por un periodo igual cuando las circunstancias del caso lo justifiquen.

8.3. Costos

El ejercicio de derechos es gratuito. Únicamente podrán cobrarse los gastos justificados de envío o reproducción en formatos distintos al electrónico, conforme al Art. 34 de la LFPDPPP 2025.

9. Mecanismo para limitar el uso o divulgación

Si desea oponerse a las finalidades voluntarias de la sección 3.2 o darse de baja de cualquier comunicación automatizada:

• Responda BAJA o STOP a cualquier mensaje de WhatsApp que reciba del bot. Procesaremos su baja dentro de 5 días hábiles.
• Envíe un correo a privacidad@zaguan.mx con el asunto “Limitar uso de datos”.

La baja del servicio principal (terminación de la relación con la clínica) debe gestionarse directamente con la clínica.

10. Cookies, identificadores y tecnologías de seguimiento

• Cookies estrictamente necesarias (sesión, preferencias, seguridad) — no requieren consentimiento.
• Cookies de análisis e identificadores de seguimiento — sólo se activan con su consentimiento expreso, recabado mediante panel de cookies al primer acceso. Puede revocarlo en cualquier momento.

No utilizamos cookies de publicidad ni de rastreo de terceros con fines de mercadotecnia.

11. Conservación de los datos

Los datos personales serán suprimidos al término del plazo de conservación aplicable, con bloqueo previo cuando dejen de ser necesarios para las finalidades originales:

Los datos fiscales se conservan por el plazo legal aplicable y prevalecen sobre solicitudes de cancelación únicamente respecto a esos datos estrictamente fiscales. La base legal para no atender una solicitud de cancelación dirigida a estos datos durante el plazo fiscal es el Artículo 25, Fracción II de la LFPDPPP 2025 (“deban ser tratados por disposición legal”), en este caso los Artículos 30 y 67 del Código Fiscal de la Federación. Vencido el plazo fiscal, la información se suprime.

12. Medidas de seguridad

Aplicamos medidas administrativas, técnicas y físicas razonables y proporcionales al nivel de sensibilidad de los datos:

• Cifrado en tránsito (TLS 1.2 o superior) para todas las comunicaciones.
• Cifrado en reposo de la base de datos (AES-256 o equivalente).
• Cifrado en reposo de credenciales (tokens OAuth, tokens de API).
• Hash bcrypt para contraseñas.
• Controles de acceso por rol con principio de mínimo privilegio.
• Aislamiento multitenant a nivel de aplicación — los datos de una clínica nunca son accesibles desde otra.
• Bitácora de auditoría detallada con identificadores universales por turno.
• Respaldos cifrados periódicos.
• Procedimientos documentados de respuesta a incidentes.

Ante una vulneración de seguridad que afecte de forma significativa sus derechos patrimoniales o morales, le notificaremos de forma inmediata conforme al Artículo 19 de la LFPDPPP 2025, en la práctica dentro de las 72 horas desde la confirmación de la vulneración, con la información necesaria para que usted pueda tomar las medidas correspondientes.

13. Datos de menores de edad

El servicio está dirigido a personas mayores de edad. No recabamos a sabiendas datos de menores. Si usted es padre, madre o tutor y considera que un menor bajo su responsabilidad nos proporcionó datos sin su consentimiento, contáctenos en privacidad@zaguan.mx para proceder a su eliminación.

14. Cambios al aviso de privacidad

Nos reservamos el derecho de actualizar este aviso. Las modificaciones serán notificadas mediante:

• Publicación de la versión actualizada en https://zaguan.mx/privacy.
• En caso de cambios materiales que afecten derechos del titular, notificación directa por WhatsApp o correo electrónico al menos 15 días naturales antes de la entrada en vigor.

La fecha de última actualización al inicio del documento indica la versión vigente.

15. Autoridad de control

A partir del 21 de marzo de 2025, conforme a la reforma constitucional de diciembre de 2024 y la LFPDPPP 2025, la autoridad competente en materia de protección de datos personales en posesión de los particulares es la Secretaría Anticorrupción y Buen Gobierno del Gobierno Federal, que asumió las facultades materiales del extinto Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI).

Si considera que su derecho a la protección de datos personales ha sido vulnerado, puede presentar una denuncia ante la Unidad de Protección de Datos Personales de la Secretaría:

• Correo electrónico: proteccion.datos@buengobierno.gob.mx
• Portal de transparencia: https://portal-transparencia.buengobierno.gob.mx/proteccion-de-datos-personales/
• Sistema general de denuncias ciudadanas (SIDEC): https://sidec.buengobierno.gob.mx

16. Contacto

Para cualquier duda sobre este Aviso de Privacidad o el tratamiento de sus datos:

Correo: privacidad@zaguan.mx
Web: https://zaguan.mx