Aviso de Privacidad Integral

1. Identidad y carácter del Responsable y del Encargado

SDC — Sistema de Citas (en adelante, “SDC”), con domicilio operativo en Ciudad de México, México y correo de privacidad [email protected], opera bajo un modelo tecnológico multi-empresa (SaaS) en el que intervienen dos figuras jurídicas conforme a la LFPDPPP:

• Respecto a los titulares de negocios suscritos y su personal: SDC actúa como Responsable del tratamiento de los datos personales de los administradores de empresa (admin_empresa), empleados registrados (empleado) y suscriptores que contratan el uso de la plataforma.
• Respecto a los clientes finales que agendan citas en la página pública de un establecimiento (/[slug]): El establecimiento comercial titular de dicha página es el Responsable del tratamiento de los datos personales de sus clientes, mientras que SDC actúa exclusivamente como Encargado (proveedor de infraestructura tecnológica en términos del artículo 3, fracción IX de la LFPDPPP), tratando los datos únicamente conforme a las instrucciones del establecimiento para gestionar sus reservas y avisos transaccionales.

2. Principio de minimización: datos personales que recabamos

Aplicamos estrictamente el principio de minimización de datos. Solo recabamos los datos indispensables para ejecutar el servicio solicitado:

• Clientes que agendan citas, compran paquetes o se anotan en lista de espera: nombre, teléfono de contacto (opcional o requerido según el canal de aviso elegido), correo electrónico y, únicamente si el establecimiento lo habilitó y el cliente decide proporcionarla de forma voluntaria, fecha de nacimiento. Asimismo, se registra el servicio o paquete reservado, sucursal, fecha, horario, especialista asignado y, en su caso, la reseña posterior a la cita.
• Titulares de negocio y personal del establecimiento: nombre completo, correo electrónico de acceso, contraseña almacenada mediante hash criptográfico irreversible (bcrypt), puesto, teléfono laboral, horario laboral y, de manera opcional, identificador de chat de Telegram (telegramChatId) para recibir alertas operativas.
• Datos financieros y de pago: SDC jamás solicita, procesa ni almacena números completos de tarjetas de crédito o débito, códigos de seguridad (CVV) ni NIP en sus servidores. Los pagos en línea (tanto de suscripciones a la plataforma como de anticipos o citas) se procesan directamente en los servidores certificados PCI-DSS de Mercado Pago, recibiendo SDC únicamente la referencia del estado de pago (paymentId / preapprovalId y estado de aprobación).

Datos personales sensibles: SDC no solicita ni exige datos personales sensibles (origen racial o étnico, estado de salud presente y futuro, información genética, creencias religiosas, filosóficas y morales, afiliación sindical, opiniones políticas o preferencia sexual) en sus formularios públicos.

3. Finalidades del tratamiento

Sus datos personales son utilizados exclusivamente para las siguientes finalidades primarias y necesarias para la existencia, mantenimiento y cumplimiento de la relación jurídica entre usted, el establecimiento y la plataforma:

1. Verificar la disponibilidad real de horarios y asignar automáticamente o de forma elegida al especialista del establecimiento sin traslapes de agenda.
2. Reconocer al cliente en visitas subsecuentes dentro del mismo establecimiento mediante coincidencia de correo o teléfono normalizado (mostrando en pantalla pública únicamente el nombre abreviado por privacidad).
3. Enviar confirmaciones de reserva, enlaces únicos de confirmación o cancelación, avisos de liberación de cupo en lista de espera y recordatorios transaccionales a través de correo electrónico, WhatsApp Business Cloud API o Telegram, según la configuración del negocio.
4. Generar enlaces de pago de anticipos, liquidación de citas, paquetes de sesiones o suscripciones mediante Mercado Pago y conciliar automáticamente su confirmación.
5. Enviar, una sola vez y únicamente tras haberse completado efectivamente una cita, una invitación con enlace único para calificar la atención recibida.

Finalidades secundarias o publicitarias de terceros: SDC no vende, alquila ni cede bases de datos a terceros con fines de mercadotecnia, publicidad comportamental ni perfilamiento externo. Si el cliente proporciona opcionalmente su fecha de nacimiento al establecimiento donde agenda, dicho dato solo es visible para ese establecimiento específico con fines de atención y promociones propias de su negocio.

4. Ausencia de rastreadores analíticos y transferencias de datos

Esta plataforma web no incorpora scripts de seguimiento analítico de terceros (como Google Analytics, Meta Pixel o equivalentes) ni realiza llamadas en tiempo de ejecución a servidores externos de fuentes tipográficas. Sus datos solo se transmiten a encargados de infraestructura tecnológica estrictamente necesarios para ejecutar la operación solicitada (con fundamento en el artículo 37 de la LFPDPPP):

• Mercado Pago: cuando el usuario elige pagar en línea un anticipo, servicio, paquete o suscripción.
• Meta Platforms (WhatsApp Business Cloud API): únicamente si el establecimiento tiene activo el envío de notificaciones transaccionales por WhatsApp y el cliente proporcionó su número telefónico.
• Telegram Messenger API: únicamente para notificaciones operativas al personal o administrador que haya vinculado voluntariamente su propio Chat ID.

5. Medios y procedimiento para ejercer los Derechos ARCO y revocar el consentimiento

Usted tiene derecho a conocer qué datos personales tenemos de usted, para qué los utilizamos y las condiciones del uso que les damos (Acceso). Asimismo, es su derecho solicitar la corrección de su información personal en caso de que esté desactualizada, sea inexacta o incompleta (Rectificación); que la eliminemos de nuestros registros o bases de datos cuando considere que la misma no está siendo utilizada adecuadamente (Cancelación); así como oponerse al uso de sus datos personales para fines específicos (Oposición), o revocar el consentimiento otorgado.

Para ejercer cualquiera de los Derechos ARCO o revocar su consentimiento:

1. Si usted es cliente de un establecimiento específico, puede presentar su solicitud directamente a través del correo o teléfono de contacto publicado en la página pública de dicho establecimiento (/[slug]), o bien enviarla a [email protected] indicando el nombre del establecimiento.
2. La solicitud deberá contener (artículo 29 de la LFPDPPP): nombre del titular, medio para comunicarle la respuesta, documento que acredite su identidad y la descripción clara de los datos personales respecto de los que busca ejercer alguno de los derechos ARCO.
3. Plazos legales de respuesta (artículo 32 de la LFPDPPP): Se comunicará la determinación adoptada en un plazo máximo de 20 (veinte) días hábiles contados desde la fecha en que se recibió la solicitud. De resultar procedente, se hará efectiva dentro de los 15 (quince) días hábiles siguientes a la fecha en que se comunique la respuesta.

6. Medidas de seguridad y conservación de datos

Implementamos medidas de seguridad administrativas, técnicas y físicas para proteger sus datos personales, incluyendo aislamiento estricto por empresa (empresaId derivado del token criptográfico de sesión), contraseñas cifradas con bcrypt, tokens de acción de un solo uso almacenados mediante hash SHA-256, cabeceras de seguridad HTTP (Helmet), limitación de tasa contra sondeo de datos (Throttler) y almacenamiento privado de archivos multimedia.

7. Cambios al Aviso de Privacidad y autoridad competente

Cualquier modificación al presente Aviso de Privacidad será publicada en esta misma dirección electrónica (/privacidad) indicando la fecha de su última actualización. Si usted considera que su derecho a la protección de sus datos personales ha sido lesionado, le informamos que puede acudir ante la autoridad garante federal en materia de protección de datos personales en México conforme a la legislación vigente.