Sección de Proveedores de Datos y Servicios de Terceros

1Art. 1 Definiciones

Para los efectos de la presente Sección y del Aviso de Privacidad de la Aplicación ACENCY, se entenderá por los términos siguientes:

• Responsable: ACENCY MX, S.A.S. (nombre comercial Acency), RFC AMX260629C59, con domicilio para oír y recibir notificaciones en Calle Higueras, Manzana 2, Casa 9, Colonia San Francisco Coacalco Sección Hacienda, Coacalco de Berriozábal, Estado de México, C.P. 55712; persona moral particular que, de manera autónoma, determina el objeto, medios y fines del tratamiento de los datos personales recabados a través de la Aplicación. Conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (en adelante "LFPDPPP", publicada en el DOF el 20 de marzo de 2025), el Responsable también asume obligaciones directas de supervisión respecto de los Encargados que designe.
• Titular: la persona física a quien corresponden los datos personales objeto del tratamiento (usuario cliente o especialista de la Aplicación).
• Datos personales: cualquier información concerniente a una persona física identificada o identificable, directa o indirectamente, a través de cualquier identificador como nombre, número de identificación, datos de localización, identificadores en línea, o elementos relativos a identidad física, fisiológica, genética, psíquica, económica, cultural o social.
• Datos personales sensibles: aquellos que afectan la esfera más íntima del titular o cuya utilización indebida pueda dar origen a discriminación o conlleve un riesgo grave. Se incluyen, de manera enunciativa pero no limitativa: origen racial o étnico, estado de salud presente y futuro, información genética, creencias religiosas, filosóficas y morales, afiliación sindical, opiniones políticas, preferencia sexual, datos biométricos utilizados con fines de identificación, datos relativos a infracciones o condenas penales. Su tratamiento exige consentimiento expreso y, en los supuestos que indique la Ley, por escrito.
• Tratamiento: cualquier operación o conjunto de operaciones efectuadas sobre datos personales o conjuntos de datos personales, ya sea de forma automatizada o no, tales como la recogida, registro, organización, estructuración, almacenamiento, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.
• Aviso de privacidad: documento físico, electrónico o en cualquier otro formato generado por el Responsable, que es puesto a disposición del Titular con carácter previo al tratamiento de sus datos personales, en el que se comunican las finalidades del tratamiento, la identidad del Responsable, los mecanismos de ejercicio de los derechos ARCO+ y demás información legalmente requerida.
• Encargado: persona física o moral, ajena a la organización del Responsable, que trata datos personales por cuenta del Responsable y bajo sus instrucciones documentadas, sin que tenga poder de decisión sobre el alcance, objeto o fines del tratamiento. Los Encargados quedan directamente sujetos a las obligaciones de la LFPDPPP respecto de los datos que traten.
• Remisión: comunicación de datos personales realizada entre el Responsable y un Encargado, con independencia de que esta ocurra dentro o fuera del territorio nacional. Las remisiones no requieren consentimiento del Titular, pero están sujetas a contrato o instrumento jurídico equivalente con el Encargado y, cuando son internacionales, a que el Encargado se obligue contractualmente a proteger los datos conforme a los principios y deberes de la Ley.
• Transferencia: toda comunicación de datos personales a una persona distinta del Titular, del Responsable o del Encargado, dentro o fuera del territorio nacional, donde el receptor actúa por cuenta propia. Requiere, en regla general, el consentimiento previo del Titular, salvo que opere alguna de las excepciones previstas en la LFPDPPP.
• Proveedor: persona moral o plataforma que suministra al Responsable capacidades tecnológicas, operativas o de procesamiento que pueden implicar el tratamiento de datos personales de los Titulares, ya sea en calidad de Encargado o de tercero receptor.
• Derechos ARCO+: derechos de Acceso, Rectificación, Cancelación y Oposición reconocidos al Titular por la LFPDPPP, así como el derecho a la revocación del consentimiento, la portabilidad de datos y la limitación del tratamiento, conforme a la nueva Ley y su normativa secundaria.
• DPA: Data Processing Agreement o Acuerdo de Tratamiento de Datos; contrato o adenda celebrado entre el Responsable y un Encargado que regula las condiciones del tratamiento encomendado y materializa las obligaciones de la remisión conforme a la Ley.
• Aplicación / App: la aplicación móvil denominada ACENCY, a través de la cual el Responsable presta servicios de intermediación en el mercado de servicios a domicilio.

2Art. 2 Qué es un Proveedor de Servicios

Para los efectos de este documento, se entiende por Proveedor de Servicios toda persona moral o plataforma que suministra al Responsable capacidades operativas —incluyendo, de manera enunciativa, cómputo en la nube, autenticación de identidad, almacenamiento de archivos, mensajería asincrónica, procesamiento de pagos, geolocalización, análisis de datos, inteligencia artificial u otras funciones análogas— en la medida en que dicha provisión implique, directa o indirectamente, el tratamiento de datos personales de los Titulares.

La calificación jurídica del Proveedor —como Encargado o como tercero receptor— no depende de la denominación contractual adoptada, sino de la autonomía decisoria real que el Proveedor ejerza sobre el objeto y fines del tratamiento. El Responsable documenta esta calificación en el instrumento contractual correspondiente y la revisa periódicamente, al menos con frecuencia anual o cuando el Proveedor modifica sus condiciones de servicio.

3Art. 3 Qué es un Proveedor de Datos

Para los efectos de este documento, se entiende por Proveedor de Datos todo Proveedor de Servicios cuyo servicio implique efectivamente el acceso, almacenamiento, tránsito, procesamiento, análisis o disposición de datos personales de los usuarios de ACENCY, independientemente de la naturaleza técnica del componente (librería, SDK, API, servicio administrado, etc.).

La condición de Proveedor de Datos no se acredita por la mera inclusión de una librería en el proyecto de software, sino por el tratamiento efectivo de datos personales durante la operación del servicio en producción. El Responsable mantiene un Registro de Actividades de Tratamiento actualizado que refleja, para cada Proveedor de Datos, la categoría de datos tratados, la base legal del tratamiento, el rol del Proveedor y el DPA aplicable.

4Art. 4 Infraestructura Tecnológica

La infraestructura de back-end de la Aplicación ACENCY se sustenta en la plataforma Firebase / Google Cloud de Google LLC. Sus componentes incluyen: Firebase Core SDK (firebase_core), Cloud Functions (cloud_functions) y Firebase App Check (firebase_app_check), que en conjunto proveen las capacidades de ejecución de lógica de servidor y atestación de integridad de la aplicación.

Adicionalmente, la Aplicación emplea Google Cloud Tasks (servicio de Google Cloud Platform, Google LLC) para orquestar tareas programadas del back-end, entre ellas el reparto escalonado de solicitudes entre especialistas. El mecanismo interno de dicho reparto es secreto comercial de la Plataforma. Google LLC actúa como Encargado en esta función.

• Proveedor principal: Google LLC, con domicilio en 1600 Amphitheatre Parkway, Mountain View, CA 94043, Estados Unidos de América.
• Rol jurídico: Encargado del tratamiento en su función de proveedor de infraestructura administrada bajo instrucciones del Responsable.
• DPA aplicable: Google Cloud Data Processing Addendum y Firebase Data Processing Terms, disponibles en cloud.google.com/terms/data-processing-addendum, aplicables al Responsable por el uso de los servicios.
• Región de almacenamiento: la infraestructura de Google/Firebase que da servicio a la Aplicación está configurada en la región us-central1 (Estados Unidos de América).

El Responsable no opera infraestructura propia adicional (servidores dedicados) fuera de la plataforma Firebase / Google Cloud descrita en esta sección.

5Art. 5 Servicios de Autenticación e Identidad

• Firebase Authentication (firebase_auth): servicio de gestión de identidad y credenciales de usuarios. Actúa como Encargado del Responsable en esta función.
  • Datos potencialmente tratados: dirección de correo electrónico, número de teléfono, identificador único de usuario (UID), contraseña encriptada (hash administrado por Google), tokens de sesión, dirección IP de acceso, marcas de tiempo de autenticación, metadatos del dispositivo.
  • Base legal: ejecución del contrato con el Titular (creación y gestión de la cuenta de usuario).
• Google Sign-In (google_sign_in): autenticación federada mediante cuentas de Google. En este flujo, Google actúa también como proveedor de identidad por cuenta propia —al margen de sus funciones como Encargado de Firebase— configurándose una transferencia a un tercero respecto de los datos que Google procesa para sus propios fines.
  • Datos potencialmente tratados: nombre completo, dirección de correo electrónico, fotografía de perfil, identificador de la cuenta de Google (Google ID), y número de teléfono si el usuario lo ha asociado a su cuenta de Google.
  • Base legal: consentimiento del Titular, obtenido en el flujo de autenticación con Google.
  • Política de privacidad de Google: policies.google.com/privacy
  • Información al Titular: el Aviso de Privacidad Integral (Sección 20) informa al Titular, con anterioridad a la autenticación con Google, que sus datos son tratados por Google conforme a su propia política de privacidad.

La verificación de número de teléfono mediante SMS utiliza el servicio de Firebase Phone Authentication, que delega la entrega del mensaje en operadoras de telecomunicaciones a través de la infraestructura de Google. Los datos transmitidos se limitan al número de teléfono y al código de verificación de seis dígitos.

6Art. 6 Bases de Datos

• Cloud Firestore (cloud_firestore): base de datos principal de la Aplicación, alojada en la nube de Google. Actúa como Encargado. Almacena, de manera enunciativa: perfiles de usuarios (clientes y especialistas), solicitudes y pedidos de servicio, historial de conversaciones de chat, reseñas, garantías, reportes, configuraciones y preferencias. La configuración de las reglas de seguridad de Firestore —que determinan quién puede leer o escribir cada colección— es responsabilidad del Responsable, que las mantiene en configuración restrictiva conforme al principio de minimización de datos.
• Hive / hive_flutter (hive): base de datos NoSQL de almacenamiento local en el dispositivo del usuario. Almacena exclusivamente una copia temporal (caché) de las citas y solicitudes de la propia cuenta del Titular, identificada por dicha cuenta, con la finalidad de agilizar la carga y permitir la consulta sin conexión. Estos datos no se transmiten a terceros, permanecen en el dispositivo del Titular, se sustituyen con la información vigente del servidor y se suprimen al desinstalar la Aplicación o al borrar sus datos desde los ajustes del sistema operativo.
• Consultas geoespaciales: la Aplicación realiza búsquedas por cercanía sobre Cloud Firestore. No constituyen un proveedor independiente; los datos son procesados en Cloud Firestore como se describe en el punto anterior. El método de indexado geográfico es secreto comercial de la Plataforma.

8Art. 8 Notificaciones Push

• Firebase Cloud Messaging — FCM (firebase_messaging): servicio de envío de notificaciones push a dispositivos de usuarios y especialistas. Actúa como Encargado. Datos potencialmente tratados: token de registro del dispositivo (FCM Token), identificadores técnicos del dispositivo, metadatos del mensaje (tipo de notificación, estado del pedido), y marca de tiempo. Los FCM Tokens son datos de carácter personal en la medida en que permiten identificar un dispositivo asociado a un usuario determinado. El Responsable implementa limpieza automática de tokens inválidos.
• Notificaciones locales (flutter_local_notifications): las notificaciones generadas y mostradas exclusivamente en el dispositivo del Titular, sin intervención de servidores externos, no implican comunicación de datos personales a terceros.
• Apple Push Notification Service — APNs (Apple Inc.): en compilaciones destinadas a dispositivos iOS, FCM enruta las notificaciones push a través de APNs, infraestructura propiedad de Apple Inc., que participa en el tránsito de las notificaciones como sub-Encargado. Los datos transmitidos se limitan al token del dispositivo y a los metadatos del mensaje.

9Art. 9 Servicios de Mapas y Geolocalización

• Google Maps Platform (google_maps_flutter): visualización de mapas interactivos para selección de ubicación de servicio y confirmación de llegada del especialista. Provisto por Google LLC.
• Geocodificación y ubicación (geocoding, geolocator): conversión bidireccional entre coordenadas GPS y direcciones textuales, y obtención de la ubicación precisa del dispositivo mediante GPS, WiFi y redes móviles.

Datos potencialmente tratados: ubicación geográfica precisa (coordenadas GPS), términos de búsqueda geográfica, dirección IP de la solicitud e información del dispositivo. La ubicación precisa constituye un dato de alto riesgo bajo los principios de la LFPDPPP, dado el nivel de intrusión que su tratamiento puede representar en la vida privada del Titular. Su tratamiento exige: (i) información clara y específica al Titular sobre la finalidad concreta de la recolección; (ii) obtención del permiso del sistema operativo del dispositivo (when in use o always, según la finalidad); (iii) minimización de la precisión y frecuencia de recolección; y (iv) prohibición de uso para fines distintos a los declarados.

Para ciertos usos de Google Maps Platform —en particular el procesamiento de búsquedas y rutas con fines propios de mejora de los servicios de Google— Google puede actuar por cuenta propia conforme a sus condiciones de servicio y a su política de privacidad, en cuyo caso los datos técnicos de la consulta que el dispositivo del Titular envía directamente a Google se rigen por dichas condiciones. En dispositivos iOS, la conversión entre coordenadas y direcciones puede realizarse, en su caso, mediante el servicio de geocodificación nativo del sistema operativo, provisto por Apple Inc.

12Art. 12 APIs y Servicios Externos

• APIs de Google (Maps Platform, Geocoding API, Firebase REST API): identificadas conforme a las dependencias declaradas en las secciones anteriores.
• Stripe API: identificada y sujeta a la declaración de la Sección 10.
• API de Anthropic: identificada y declarada en la Sección 13.
• Proveedor autorizado de certificación (PAC) — Facturapi: API de timbrado, cancelación y descarga de CFDI y de comprobantes de retenciones, y de validación del RFC ante los servicios del SAT. El intercambio ocurre exclusivamente del lado del servidor. Actúa como Encargado. Véase el Art. 16.
• Servicio de correo electrónico — Zoho Mail (Zoho Corporation): servidor de envío (SMTP) utilizado exclusivamente del lado del servidor para los correos transaccionales. Actúa como Encargado. Véase el Art. 16.
• Cliente HTTP genérico (http) y WebView (webview_flutter): permiten a la Aplicación consumir endpoints de API externos y cargar contenido web de terceros, respectivamente. Las claves de acceso a servicios externos se gestionan mediante variables de entorno y no se exponen en el cliente.
• UI Avatars API (https://ui-avatars.com/api/): servicio externo utilizado para la generación automática de avatares de usuario a partir de las iniciales del nombre. Los datos transmitidos se limitan a la inicial del nombre del usuario, incorporada en una URL pública sin creación de cuenta.
• Integración con el calendario del dispositivo (add_2_calendar): permite que el usuario, por acción voluntaria, agregue el evento de una cita de servicio a su calendario nativo (título, descripción, ubicación, fechas y recordatorio). La función opera en el dispositivo del Titular, no lee eventos existentes del calendario y no transmite datos a servidores del Responsable.

14Art. 14 Transferencias Nacionales

Conforme a la LFPDPPP, cuando el Responsable comunique datos personales a un tercero distinto del Encargado (un receptor que actúe por cuenta propia) domiciliado en territorio mexicano, se configura una transferencia nacional. Las transferencias nacionales, en regla general, requieren el consentimiento previo del Titular, salvo que opere alguno de los supuestos de excepción previstos en la Ley (previsión en ley, entre sociedades del mismo grupo bajo políticas comunes reconocidas, o para la procuración y administración de justicia, entre otros). El Responsable está obligado a comunicar al tercero receptor el Aviso de Privacidad y las finalidades a las que el Titular sujetó el tratamiento, y a procurar que asuma las mismas obligaciones derivadas de la Ley.

En el ámbito nacional, el Responsable remite datos al proveedor autorizado de certificación (PAC) del SAT, que actúa como Encargado para el timbrado de comprobantes fiscales (Art. 16). Asimismo, por obligación legal, el Responsable transfiere datos fiscales al Servicio de Administración Tributaria (SAT) para la emisión de CFDI y el entero de retenciones de ISR e IVA; esta transferencia se ampara en el cumplimiento de una obligación legal y subsiste incluso tras la baja de la cuenta. El Responsable no realiza otras transferencias nacionales a terceros; cualquier transferencia adicional se declarará y cumplirá los requisitos legales antes de efectuarse.

15Art. 15 Transferencias Internacionales y Tratamiento Transfronterizo

Los proveedores de servicios principales —Google LLC, Stripe, Inc., Anthropic, PBC y Zoho Corporation— son entidades con infraestructura ubicada principalmente en los Estados Unidos de América y potencialmente en otras jurisdicciones internacionales. Esto activa el régimen de tratamiento transfronterizo de datos personales conforme a la LFPDPPP.

El régimen aplicable varía según el rol del proveedor:

• Cuando el proveedor actúa como Encargado (Firebase Authentication, Cloud Firestore, Firebase Storage, Firebase Cloud Messaging, Cloud Functions, Firebase App Check y, según configuración, Stripe en su función de procesador de pagos): la comunicación de datos constituye una remisión internacional. No requiere consentimiento del Titular ni comunicación previa, pero exige: (i) la suscripción de un DPA con el Encargado; y (ii) que el Encargado se obligue contractualmente a proteger los datos personales conforme a los principios y deberes de la LFPDPPP. En la práctica, esta obligación se instrumenta mediante los acuerdos de procesamiento de datos (DPA) que ofrecen Google y Stripe en sus plataformas.
• Proveedores cartográficos del enlace público de seguimiento (unpkg.com, tile.openstreetmap.org y www.openstreetmap.org): la conexión la establece directamente el navegador de quien abre el enlace, sin que el Responsable comunique dato alguno. Dichos terceros reciben la dirección IP de ese navegador y la zona geográfica consultada, y actúan por cuenta propia conforme a sus propios términos. Se declara expresamente por el principio de información, y por tratarse de infraestructura ubicada fuera del territorio nacional. Véanse los Arts. 9 y 16.
• Tratamiento estructural fuera del territorio nacional. Con independencia de que el servicio se preste físicamente en México, la totalidad de las funciones de servidor del Responsable se ejecutan en infraestructura de Google ubicada en los Estados Unidos de América. Por ellas transitan, entre otros, el domicilio y las coordenadas del lugar del servicio y los documentos de verificación de identidad (fotografía del rostro e identificación oficial). Toda afirmación relativa a que la Plataforma opera dentro del territorio nacional debe entenderse referida al ámbito de prestación del servicio, y no al lugar del tratamiento, que se declara aquí conforme a los artículos 36 y 37 de la LFPDPPP.
• Cuando el proveedor actúa por cuenta propia (ciertos usos de Google Sign-In como proveedor de identidad propio; y ciertos usos de Google Maps Platform para mejora de sus servicios): la comunicación constituye una transferencia internacional, que requiere, según el supuesto, el consentimiento del Titular o la operación de alguna excepción legal, así como la comunicación del Aviso de Privacidad al tercero receptor y la procuración de que asuma las mismas obligaciones legales. En el caso de Anthropic, PBC, el tratamiento se limita a procesar las consultas para prestar el asistente conversacional; las conversaciones no se utilizan para entrenar ni reentrenar sus modelos, por lo que el proveedor no trata los datos para fines propios.

16Art. 16 Información Compartida con Proveedores

Conforme a los servicios integrados y descritos en las secciones precedentes, la información que puede ser comunicada a los Proveedores durante la operación normal de la Aplicación ACENCY incluye, de manera enunciativa:

• Google LLC (Firebase): identificadores de usuario (UID, correo, teléfono), datos de autenticación y credenciales, contenido y archivos generados por el usuario (incluyendo fotografías, videos y documentos de verificación de identidad), historial de pedidos y servicios, mensajes de chat entre usuarios, datos de geolocalización, tokens de dispositivo para notificaciones push, configuraciones de la cuenta, y eventos de uso de la Aplicación.
• Stripe, Inc.: datos de tarjeta bancaria (procesados mediante tokenización; el número completo de la tarjeta no es accesible para el Responsable), nombre del titular, datos de facturación, montos de transacciones, y datos bancarios de los especialistas gestionados a través de Stripe Connect.
• Google LLC (Maps Platform): coordenadas GPS del dispositivo del usuario en el momento de solicitar el servicio, términos de búsqueda geográfica, y dirección IP de la solicitud.
• Anthropic, PBC: texto de los mensajes enviados al asistente de IA por el usuario, tipo de usuario (cliente o especialista), y metadatos de la solicitud; y, cuando se encuentre habilitada la función de resumen técnico, los datos de la solicitud descritos en el Art. 13.
• Zoho Mail (Zoho Corporation): dirección de correo electrónico del Titular y datos del servicio o trámite estrictamente necesarios para el envío de correos transaccionales (confirmación de pago; envío de la factura CFDI y de la nota de crédito, con su PDF y XML adjuntos; y constancia de la baja de cuenta). Actúa como Encargado en su función de proveedor del servicio de correo.
• Proveedor autorizado de certificación (PAC) del SAT — Facturapi: datos fiscales del usuario (RFC, razón social o nombre, código postal del domicilio fiscal, régimen fiscal y uso del CFDI) e importes de la operación, necesarios para timbrar y, en su caso, cancelar comprobantes fiscales (CFDI) y comprobantes de retenciones ante el SAT y para validar el RFC. El intercambio ocurre exclusivamente del lado del servidor. Actúa como Encargado del Responsable para la certificación fiscal.
• Apple Inc.: en dispositivos iOS, en su caso, identificadores técnicos del dispositivo para la atestación de App Check (DeviceCheck), el token del dispositivo para el enrutamiento de notificaciones (APNs) y las coordenadas que el sistema operativo convierte en direcciones.
• Proveedores cartográficos del enlace público de seguimiento (unpkg.com y tile.openstreetmap.org, así como www.openstreetmap.org y, en su caso, www.google.com): reciben la dirección IP del navegador de la persona que abre el enlace y la zona geográfica consultada, por efecto de la conexión directa que su navegador establece con ellos. No reciben datos de identificación del Titular. Actúan por cuenta propia, conforme a sus propios términos, y no como Encargados del Responsable. Véase el Art. 9.

El Responsable declara que no comparte datos personales con proveedores distintos a los identificados en el presente documento, y que la enumeración anterior comprende tanto a quienes reciben datos por comunicación directa del Responsable como a aquellos con los que el navegador del usuario o de un tercero establece conexión al abrir una página servida por el Responsable. En caso de que se incorporen nuevos proveedores que impliquen tratamiento de datos personales, se actualizará este documento con anterioridad a la comunicación de dichos datos.

17Art. 17 Finalidades del Tratamiento a través de Proveedores

La LFPDPPP exige que el Aviso de Privacidad distinga las finalidades que requieren el consentimiento del Titular de aquellas que no lo requieren (por ser necesarias para la ejecución del contrato o por estar previstas en la Ley), e identifique los datos tratados para cada finalidad, incluyendo los datos sensibles. Las finalidades que se describen a continuación son las finalidades técnicas instrumentales derivadas de los servicios de terceros integrados.

Finalidades necesarias para la prestación del servicio (no requieren consentimiento autónomo):

• Crear, autenticar y gestionar el acceso de los usuarios a la plataforma (Firebase Authentication, Google Sign-In).
• Almacenar, organizar y sincronizar el contenido, los perfiles y los datos de la aplicación (Cloud Firestore, Firebase Storage).
• Enviar notificaciones operativas relacionadas con el estado del servicio contratado (Firebase Cloud Messaging).
• Procesar los pagos de los servicios contratados y gestionar los pagos a los especialistas (Stripe).
• Ejecutar la lógica de negocio del servidor y proteger la integridad de la Aplicación frente a accesos no autorizados (Cloud Functions, Firebase App Check).
• Proveer funcionalidad geográfica y de ubicación para el matching entre clientes y especialistas disponibles en la zona (Google Maps Platform, Geocoding API, Geolocator).

Finalidades que requieren consentimiento expreso del Titular:

• Tratamiento de datos de identidad de especial protección (fotografía de rostro e imágenes del INE) con fines de verificación de identidad y mayoría de edad.
• Tratamiento de datos de salud, cuando resulten aplicables a la categoría de servicio (por ejemplo, alergias y sensibilidades en Belleza).
• Registro del interés del Titular en la lista de espera de un país en el que la Plataforma aún no presta servicios (Cloud Firestore).

La asistencia conversacional mediante inteligencia artificial (API de Anthropic) es un servicio que el Titular utiliza a su iniciativa y cuyo tratamiento se sustenta en la relación jurídica con el Titular; el Titular puede abstenerse de usarlo sin afectación alguna del servicio.

Finalidades secundarias (voluntarias; el Titular puede oponerse): el envío de comunicaciones comerciales y promociones —incluido el programa de referidos "Invita y gana"— mediante notificaciones push (Firebase Cloud Messaging), el análisis estadístico de uso (Firebase Analytics) y los reportes de estabilidad (Firebase Crashlytics, solo en compilaciones de producción). Estas finalidades no son necesarias para la prestación del servicio y el Titular puede negarlas conforme al Aviso de Privacidad.

18Art. 18 Medidas de Seguridad

El Responsable y sus Encargados implementan las siguientes medidas de seguridad técnicas y organizativas, en cumplimiento del deber de seguridad establecido en la LFPDPPP:

Medidas técnicas:

• Cifrado de datos en tránsito mediante TLS/HTTPS en todas las comunicaciones entre la Aplicación y los servidores de Firebase/Google Cloud y Stripe.
• Cifrado de datos en reposo en las infraestructuras de Firebase/Google Cloud y Stripe, conforme a sus respectivos términos de servicio.
• Firebase App Check: mecanismo de atestación de integridad de la Aplicación que mitiga el abuso de los endpoints por parte de clientes no autorizados, mediante el proveedor de atestación del sistema operativo: Play Integrity (Android) y, en su caso, DeviceCheck (iOS).
• Almacenamiento local cifrado: los datos almacenados en el dispositivo del Titular mediante flutter_secure_storage se protegen con EncryptedSharedPreferences (Android) o Keychain con acceso configurado como first_unlock (iOS).
• Cumplimiento PCI-DSS: Stripe, Inc. opera bajo el estándar PCI-DSS Nivel 1, el más alto disponible, para el procesamiento de datos de tarjetas de pago. Los datos de tarjeta en texto plano no son accesibles para el Responsable.
• Separación de datos sensibles: los datos de máxima sensibilidad (NIP de materiales, código de seguridad de llegada, PIN de administrador —almacenado con hashing seguro—) se almacenan en un almacén privado del lado del servidor accesible únicamente mediante credenciales de administrador, inaccesible para los clientes de la Aplicación.
• Minimización en el acceso a datos de verificación de identidad: los documentos de identidad (selfie, INE anverso y reverso) se almacenan en Firebase Storage bajo rutas privadas, accesibles únicamente por administradores mediante URLs firmadas (Signed URLs de Google Cloud Storage) de vigencia temporal breve.
• Documentos fiscales en almacenamiento privado: las facturas, comprobantes de servicio, notas de crédito y acuses de cancelación (CFDI: PDF y XML) se conservan en Storage privado; su descarga se realiza mediante enlaces firmados de vigencia temporal breve, disponibles únicamente para el titular del documento o para administradores.

Medidas organizativas del Responsable: el Responsable aplica controles de acceso internos, políticas de seguridad de la información y procedimientos de respaldo y de gestión de incidentes acordes con la naturaleza y el volumen de los datos tratados.

19Art. 19 Responsabilidad del Responsable respecto de sus Encargados

El Responsable conserva en todo momento su carácter de responsable del tratamiento frente a los Titulares, con independencia de que el tratamiento efectivo de los datos sea llevado a cabo por Encargados. En consecuencia, el Responsable:

• Elige únicamente Encargados que ofrecen garantías suficientes de protección de datos personales, evaluando sus políticas de privacidad, estándares de seguridad e instrumentos de tratamiento de datos antes de contratarlos.
• Formaliza con cada Encargado que accede o trata datos personales de los Titulares el instrumento de tratamiento de datos correspondiente, en los términos descritos en la Sección 30 de este documento.
• Supervisa periódicamente —al menos una vez por año, o cuando el Encargado notifica cambios materiales en sus condiciones de servicio— el cumplimiento de las obligaciones del Encargado en materia de protección de datos.
• Informa a los Titulares, en los términos y plazos previstos en la Ley y en la Sección 29 de este documento, sobre cualquier vulneración de seguridad que afecte sus datos personales, independientemente de que dicha vulneración sea imputable al Responsable, a un Encargado o a un tercero.
• No podrá exonerarse de su responsabilidad alegando que la vulneración fue causada exclusivamente por el Encargado, salvo que demuestre que adoptó todas las medidas razonables para prevenir el incidente y que la causa fue exclusivamente atribuible al Encargado mediante dolo o culpa grave.

Cada Encargado trata los datos personales conforme a las instrucciones del Responsable, a sus propias políticas y términos de servicio y al instrumento de tratamiento de datos aplicable. Los Titulares podrán consultar las políticas de privacidad de los Encargados en los enlaces indicados en la Sección 20.

20Art. 20 Políticas de Privacidad y Términos de Proveedores

A continuación se enlistan las políticas de privacidad y términos de servicio de los Proveedores que intervienen en la Aplicación ACENCY a la fecha de este documento. Los enlaces se facilitan únicamente para consulta informativa del Titular; su contenido está sujeto a modificación por los propios Proveedores:

• Firebase (Google LLC) — Privacidad y seguridad: firebase.google.com/support/privacy
• Firebase (Google LLC) — Términos de Servicio: firebase.google.com/terms
• Google LLC — Política de Privacidad: policies.google.com/privacy
• Google Maps Platform — Términos de Servicio: cloud.google.com/maps-platform/terms
• Stripe, Inc. — Centro de Privacidad: stripe.com/legal/privacy-center
• Stripe, Inc. — Términos Legales: stripe.com/legal
• Anthropic, PBC — Política de Privacidad: anthropic.com/legal/privacy
• Zoho Corporation — Política de Privacidad: zoho.com/privacy.html
• Facturapi (PAC) — Sitio del proveedor, términos y aviso de privacidad: facturapi.io
• OpenStreetMap Foundation — Política de Privacidad: osmfoundation.org/wiki/Privacy_Policy
• Apple Inc. — Política de Privacidad: apple.com/legal/privacy
• Google Play — Política de Datos del Usuario: support.google.com/googleplay/android-developer/answer/10144311

21Art. 21 Limitación de Responsabilidad frente a Actos de Proveedores

Sin perjuicio de las responsabilidades propias del Responsable establecidas en la LFPDPPP y demás normativa aplicable, y sin que esta cláusula pueda interpretarse en perjuicio de los derechos irrenunciables de los Titulares:

• El Responsable no será responsable por incumplimientos, actos u omisiones de los Proveedores que sean atribuibles exclusivamente a la voluntad, dolo o negligencia de dichos Proveedores, en la medida en que el Responsable haya cumplido con sus deberes de selección, contratación, supervisión y aviso establecidos en la Ley y en este documento.
• El Responsable no será responsable por interrupciones, modificaciones o ceses en los servicios de los Proveedores que sean consecuencia de caso fortuito, fuerza mayor, o decisiones unilaterales de los Proveedores adoptadas al margen de las instrucciones del Responsable.
• El Responsable no garantiza la continuidad, disponibilidad, exactitud ni seguridad de los servicios prestados por los Proveedores, los cuales se rigen por sus propias garantías, términos y condiciones.
• La presente limitación de responsabilidad no exime al Responsable de sus obligaciones establecidas en la LFPDPPP, incluyendo el deber de notificación de vulneraciones de seguridad y el deber de atender los Derechos ARCO+ de los Titulares, aun cuando la causa de la vulneración o del incumplimiento sea atribuible a un Encargado.
• En los supuestos en que un Proveedor actúe como tercero receptor (no como Encargado), cada parte responderá de las obligaciones que le sean propias conforme a la Ley y a los acuerdos suscritos.

22Art. 22 Cambios de Proveedor

El Responsable podrá sustituir, añadir o discontinuar Proveedores por razones operativas, técnicas, de seguridad, económicas o de cumplimiento normativo. Ante cualquier cambio en la lista de Proveedores que implique una modificación en las condiciones del tratamiento de datos personales, el Responsable adoptará las siguientes medidas:

• Actualizará el Aviso de Privacidad y el presente documento con una anticipación mínima de 15 días naturales antes de que el nuevo tratamiento comience, o inmediatamente después de que haya concluido si se trata de una discontinuación de Proveedor.
• Comunicará el cambio a los Titulares mediante notificación push dentro de la Aplicación, correo electrónico a la dirección registrada en la cuenta, y/o aviso prominente en la pantalla de inicio de la Aplicación, según la materialidad del cambio.
• Cuando el cambio de Proveedor implique la comunicación de datos personales a un nuevo tercero receptor (no Encargado) respecto del cual el Titular no haya otorgado consentimiento previo, el Responsable obtendrá dicho consentimiento antes de efectuar la comunicación, salvo que opere alguna excepción legal.
• Conservará el historial de cambios de Proveedores con las fechas de vigencia correspondientes para facilitar la rendición de cuentas ante la autoridad competente.

Historial de versiones de este documento. v1.0 — 25 de septiembre de 2026 — Versión inicial; 4 de octubre de 2026 — se precisa la frecuencia de la ubicación durante una emergencia. Cada modificación futura del listado de Proveedores se registrará aquí con su fecha de vigencia.

23Art. 23 Proveedores Futuros

A la fecha de publicación de este documento, el Responsable no ha integrado Proveedores distintos a los expresamente identificados en las secciones precedentes. Cualquier integración futura de un Proveedor que implique el tratamiento de datos personales se reflejará en una actualización de este documento y del Aviso de Privacidad antes de que dicho tratamiento comience, en los términos del Art. 22.

24Art. 24 Conservación y Supresión de Datos

Los datos personales serán conservados durante el tiempo estrictamente necesario para cumplir con las finalidades del tratamiento para las que fueron recabados y para dar cumplimiento a las obligaciones legales, fiscales, contables y contractuales aplicables. Transcurrido el período de conservación correspondiente, los datos serán bloqueados y posteriormente suprimidos o anonimizados de forma irreversible.

Los plazos de conservación aplicables son los siguientes:

• Datos de la cuenta de usuario (perfil, credenciales de autenticación): durante la vigencia de la relación contractual (cuenta activa); al ejecutarse la baja de la cuenta se eliminan o anonimizan, conforme a la Política de Eliminación de Cuenta, subsistiendo únicamente el registro seudónimo sin datos de identificación descrito en el Aviso de Privacidad Integral.
• Datos de transacciones, pedidos, pagos, comprobantes fiscales y registros contables: 120 meses (diez años) a partir de la fecha de la transacción, conforme al artículo 46 del Código de Comercio y al artículo 30 del Código Fiscal de la Federación (se aplica el plazo mayor).
• Historial de conversaciones de chat entre usuarios: el chat de un pedido se suprime a los 35 días sin actividad, plazo que se extiende a 90 días cuando hubo una disputa; el chat de soporte con Acency, a los 30 días desde el último mensaje, salvo que existan reclamaciones, disputas o procedimientos legales en curso que justifiquen una conservación más prolongada.
• Archivos multimedia en Firebase Storage (evidencias de trabajo, comprobantes, fotos de proyectos, avances): conforme a las políticas de retención automatizadas del sistema, de manera enunciativa: archivos de cambios pendientes: 30 días; archivos de reagendamientos: 60 días; archivos de promociones: 35 días; evidencias de garantía: 35 días; archivos de chats, solicitudes, proyectos y avances: 90 días.
• Datos de verificación de identidad (INE, selfie, CURP): durante el tiempo que la cuenta del Titular permanezca activa y, en su caso, durante el período de gracia aplicable tras la solicitud de eliminación de cuenta (15 días naturales), para fines de prevención de fraude y cumplimiento de obligaciones legales de identificación. La eliminación definitiva se ejecuta de forma automatizada al ejecutarse la baja.
• Historial de conversaciones con el asistente de IA: máximo 24 horas en el dispositivo del Titular; no se conserva en servidores del Responsable.
• Registro de actuaciones administrativas y notas internas sobre una cuenta: 36 meses, para fines de seguridad, prevención de fraude y rendición de cuentas.
• Alertas de emergencia (SOS), evidencias de disputas y registros de eventos de llegada: 24 meses desde el cierre del caso o del pedido.
• Registro de interés en la lista de espera internacional: 24 meses desde el último registro de interés; se elimina antes si el Titular solicita su cancelación o al ejecutarse la baja de la cuenta.

La tabla completa de plazos consta en la Sección 36 del Aviso de Privacidad Integral, que prevalece en caso de diferencia.

25Art. 25 Ejercicio de Derechos ARCO y Derechos Ampliados

El Titular o su representante legal podrá ejercer, en cualquier momento, los siguientes derechos reconocidos por la LFPDPPP:

• Derecho de Acceso: conocer qué datos personales trata el Responsable, con qué finalidades, la fuente de los datos y las transferencias o remisiones realizadas.
• Derecho de Rectificación: solicitar la corrección de datos personales inexactos o incompletos.
• Derecho de Cancelación: solicitar la supresión de datos personales cuando el tratamiento no sea conforme a la Ley o cuando el Titular revoque su consentimiento.
• Derecho de Oposición: oponerse al tratamiento de sus datos personales para finalidades específicas.
• Derecho de Revocación del Consentimiento: revocar en cualquier momento el consentimiento previamente otorgado para el tratamiento de sus datos, sin efecto retroactivo.
• Derecho a la Portabilidad de Datos: conforme a las disposiciones que resulten aplicables bajo la nueva LFPDPPP, obtener los datos personales en formato estructurado, de uso común y lectura mecánica.
• Derecho a la Limitación del Tratamiento: solicitar que el tratamiento de sus datos se limite a fines específicos, conforme a las disposiciones de la nueva LFPDPPP.

Procedimiento para el ejercicio de derechos:

La solicitud deberá presentarse al correo de atención a derechos ARCO acency.servicios@acencyservicios.com (o a los canales de atención disponibles en la Aplicación), acompañada de la siguiente información:

• Nombre completo del Titular y, en su caso, del representante legal con acreditación de dicha representación.
• Descripción clara del derecho que se desea ejercer y los datos personales sobre los que recae la solicitud.
• Copia de documento oficial de identificación del Titular (INE, pasaporte u otro equivalente).
• En caso de Rectificación: los datos incorrectos y los datos correctos con la documentación de soporte correspondiente.

Plazos de atención obligatorios conforme a la LFPDPPP:

• Derechos de Acceso, Rectificación, Cancelación y Oposición, y Revocación del Consentimiento: el Responsable comunicará al Titular la determinación adoptada en un plazo máximo de 20 días hábiles y, si resulta procedente, la hará efectiva dentro de los 15 días hábiles siguientes. Ambos plazos pueden prorrogarse por un período igual, una sola vez, cuando las circunstancias lo justifiquen, mediante aviso al Titular dentro del plazo original.
• Derechos de Portabilidad y Limitación del Tratamiento: en los plazos y condiciones que establezca la normativa secundaria de la nueva LFPDPPP.

La solicitud podrá ser desestimada cuando el Titular no sea el titular de los datos, la solicitud sea improcedente conforme a la Ley, los datos hayan sido anonimizados, o exista obligación legal de conservarlos. En caso de desestimación, el Responsable comunicará los motivos y los recursos disponibles.

El Titular que no reciba respuesta en los plazos indicados, o cuya solicitud sea desestimada de manera indebida, podrá presentar queja o denuncia ante la Secretaría Anticorrupción y Buen Gobierno, a través de la Dirección General de Datos Personales en el Sector Privado.

26Art. 26 Marco Legal Aplicable

• Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, vigente desde el 21 de marzo de 2025. Texto oficial disponible en: diputados.gob.mx/LeyesBiblio/pdf/LFPDPPP.pdf
• Disposiciones reglamentarias y lineamientos secundarios emitidos al amparo de la LFPDPPP que se encuentren vigentes, en lo que resulten compatibles con ella.
• Código Fiscal de la Federación y normativa tributaria aplicable, en lo relativo a la conservación de registros financieros y fiscales.
• Ley Federal del Consumidor, en lo relativo a los derechos de los usuarios en su calidad de consumidores.
• Ley Federal del Trabajo, Capítulo IX Bis, en lo relativo al régimen aplicable a los trabajadores de plataformas digitales, vigente desde junio de 2025.
• Autoridad competente en materia de protección de datos: Secretaría Anticorrupción y Buen Gobierno, a través de la Dirección General de Datos Personales en el Sector Privado. gob.mx

27Art. 27 Jurisdicción y Resolución de Controversias

Para la interpretación, cumplimiento y ejecución del presente documento y de los instrumentos jurídicos de los que forma parte integrante, las partes se someten a la legislación mexicana vigente y a las disposiciones aplicables de la LFPDPPP, así como a la supervisión y competencia de la Secretaría Anticorrupción y Buen Gobierno en materia de protección de datos personales, sin perjuicio de los derechos irrenunciables del Titular.

Resolución amigable: ante cualquier controversia o reclamación relacionada con el tratamiento de datos personales, el Titular deberá presentar su reclamación al Responsable por los medios indicados en la Sección 25, quien tendrá los plazos establecidos en dicha sección para resolverla. Las partes procurarán resolver de buena fe toda controversia de manera directa antes de acudir a instancias jurisdiccionales o administrativas.

Resolución administrativa: si la reclamación no fuere resuelta de manera satisfactoria por el Responsable dentro de los plazos legales, el Titular podrá presentar queja ante la Secretaría Anticorrupción y Buen Gobierno, a través de la Dirección General de Datos Personales en el Sector Privado.

Jurisdicción judicial: para las controversias de naturaleza civil o mercantil derivadas de los presentes instrumentos jurídicos que no sean materia de competencia de la autoridad de protección de datos, las partes se someten expresamente a la competencia y jurisdicción de los tribunales federales o locales competentes con sede en Coacalco de Berriozábal, Estado de México, renunciando a cualquier otro fuero que por razón de su domicilio presente o futuro pudiera corresponderles.

30Art. 30 Contratos con Encargados — Acuerdos de Tratamiento de Datos (DPA)

Conforme a los requisitos de la LFPDPPP, el Responsable suscribe o acepta formalmente un instrumento de tratamiento de datos con cada Encargado que accede o trata datos personales de los Titulares. Dichos instrumentos contemplan, en sustancia, las siguientes estipulaciones:

• Identificación precisa del objeto del tratamiento, las categorías de datos personales tratados y las finalidades por las que son tratados.
• Instrucción expresa de que el Encargado tratará los datos personales únicamente conforme a las instrucciones documentadas del Responsable.
• Obligación del Encargado de mantener medidas de seguridad técnicas y organizativas adecuadas al riesgo del tratamiento.
• Obligación del Encargado de notificar al Responsable sin demora injustificada de cualquier vulneración de seguridad que afecte los datos personales tratados.
• Régimen de subcontratación de sub-Encargados sujeto a autorización general o específica del Responsable y a obligaciones equivalentes a las del Encargado.
• Obligación del Encargado de eliminar o devolver todos los datos personales al Responsable al término de la prestación del servicio.
• Mecanismos de verificación del cumplimiento del Encargado, incluidos informes de auditoría o certificaciones de terceros independientes.
• Para remisiones internacionales: compromiso expreso del Encargado de proteger los datos conforme a los principios y deberes de la LFPDPPP.

Los instrumentos de tratamiento de datos aplicables son los siguientes:

El Responsable conservará evidencia documental de la aceptación de cada DPA y mantendrá esta información actualizada.