Aviso de Privacidad

1. Responsable

Xemo Tecnologías, S.A. de C.V. («Xemo», «nosotros») es responsable del tratamiento de tus datos personales.

• Domicilio: Calle Juan Meléndez Vázquez 4061, Col. Residencial El Fresno, C.P. 27018, Torreón, Coahuila de Zaragoza, México
• RFC: SIM2410156L8
• Correo de privacidad (datos personales y derechos ARCO): privacidad@xemo.com
• Correo de contacto general: hola@xemo.com

Xemo es una plataforma para negocios: les ayuda a atender a sus clientes por mensajería (WhatsApp, Messenger, Instagram y otros canales que conecten), con un asistente de inteligencia artificial, tableros de pedidos o citas, catálogo y página web. La app la usan los dueños de los negocios y sus equipos.

2. A quién aplica y en qué papel actuamos

• Usuarios (dueños y miembros del equipo de un negocio que usan la app): Xemo es RESPONSABLE de sus datos de cuenta y de uso.
• Clientes de los negocios (las personas que les escriben por mensajería): el NEGOCIO es el responsable de esos datos y Xemo actúa como ENCARGADO, es decir, los trata solo por cuenta del negocio y para prestarle el servicio. Si eres cliente de un negocio que usa Xemo y quieres ejercer tus derechos, dirígete a ese negocio; si nos escribes a nosotros, le pasamos tu solicitud y lo apoyamos para atenderla.
• Visitantes de las páginas públicas (avisos legales, páginas web de los negocios): ver sección 10.

3. Datos personales que tratamos

De los usuarios:

• Identificación y contacto: nombre, número de teléfono (con él entras a la app mediante un código por SMS) y, si los das, correo electrónico y foto.
• Datos del negocio que capturas o subes: nombre del negocio, giro, sucursales, horarios, catálogo y precios, y el material que compartes (menús, PDF, fotos, ligas a tus redes o tu página).
• Uso de la app: qué pantallas visitas y qué botones usas, mediante analítica de uso (ver sección 6). No grabamos tu pantalla.
• Datos técnicos: modelo y sistema del dispositivo, versión de la app, dirección IP, identificadores para avisos al teléfono y reportes de errores.
• Constancia de aceptación: versión del aviso y de los términos que aceptaste, los consentimientos que diste, fecha, dirección IP y la app desde la que aceptaste.

De los clientes de los negocios (por cuenta del negocio): nombre, número de teléfono o identificador de Messenger o Instagram, el contenido de los mensajes, notas de voz y su transcripción, fotos y archivos que envían, y los pedidos, citas y notas que el equipo del negocio registra.

Lo que NO tratamos: no pedimos ni recopilamos la ubicación de tu dispositivo ni datos de tarjetas bancarias (la app no tiene compras dentro de la app). Si das permiso, la app lee tu agenda de contactos y usa la cámara para leer códigos QR, solo en tu teléfono: no los sube a nuestros servidores. No pedimos datos personales sensibles; si un cliente los manda por mensaje, el negocio es responsable de tratarlos conforme a la ley.

4. Para qué usamos tus datos

Finalidades primarias (necesarias para darte el servicio):

• Crear y administrar tu cuenta, verificar tu teléfono con un código por SMS y mantener tu sesión segura.
• Prestar el servicio al negocio: recibir y enviar mensajes por los canales que el negocio conecte, organizar pláticas, clientes, pedidos, citas y tableros, catálogo y página web.
• Procesar con inteligencia artificial de terceros los mensajes, las transcripciones y el material del negocio para contestar a sus clientes a su nombre, sugerir y redactar respuestas, resumir, clasificar, transcribir notas de voz y ejecutar los agentes y automatizaciones que el negocio configure (ver sección 5).
• Enviarte avisos al teléfono sobre mensajes, pedidos y actividad del negocio.
• Darte soporte técnico y diagnosticar y corregir errores.
• Seguridad: prevenir abuso y fraude, aplicar límites de uso y proteger las cuentas.
• Acreditar tu consentimiento y cumplir obligaciones legales.

Finalidades secundarias (no son necesarias para el servicio, pero nos ayudan a mejorarlo):

• Mejorar el producto con analítica de uso (ver sección 6).
• Elaborar estadísticas de uso por persona y por negocio, identificando tu cuenta con tu nombre, tu teléfono y tu rol.
• Contarte novedades y cambios importantes del servicio.

Si no quieres que tus datos se usen para las finalidades secundarias, escríbenos a privacidad@xemo.com con el asunto «Finalidades secundarias», desde el teléfono o el correo de tu cuenta. Negarte no afecta el servicio.

5. Inteligencia artificial de terceros

Xemo usa modelos de inteligencia artificial de terceros para que el asistente lea las pláticas del negocio y conteste, redacte, resuma, organice pedidos y citas, avise al equipo y ejecute agentes y automatizaciones. Para eso, el contenido de los mensajes (incluidas las transcripciones de notas de voz, y las fotos y archivos cuando hacen falta para contestar), el material y la información del negocio, y lo que le pides a Xemo en su plática se envían a estos proveedores:

• Anthropic, PBC (Estados Unidos): modelos Claude, que leen y redactan los mensajes.
• OpenAI, L.L.C. (Estados Unidos): transcripción de notas de voz a texto.

Estos proveedores actúan como encargados: procesan los datos solo para devolvernos la respuesta, bajo sus términos comerciales, que prohíben usar estos datos para entrenar sus modelos. El negocio decide qué contesta el asistente, puede pausarlo cuando quiera y tomar cualquier plática para contestar en persona. Lo que genera la inteligencia artificial puede tener errores (ver los Términos).

Al tocar «Acepto» en la app das tu consentimiento expreso para este procesamiento.

6. Analítica de uso

Para entender cómo se usa la app y encontrar lo que estorba, registramos eventos de uso de los dueños y de los miembros del equipo con la herramienta PostHog:

• Qué se registra: qué pantallas y qué botones se usan, y cuándo, asociado a tu nombre, tu teléfono, tu rol y el negocio. Empieza solo después de que tocas «Acepto».
• Qué NO se registra: no grabamos tu pantalla ni lo que escribes, ni el contenido de los mensajes; tampoco el modo demo ni las sesiones del personal de Xemo.
• Quién lo ve: solo personal autorizado de Xemo, para soporte y mejora del producto. No se usa para publicidad ni se vende.
• Cuánto se guarda: hasta 12 meses; después se borra. Si borras tu cuenta desde la app, se borra en ese momento (ver «Borrar tu cuenta»).
• Puedes oponerte en cualquier momento escribiendo a privacidad@xemo.com; dejamos de registrar tu uso en un plazo máximo de 5 días hábiles, sin afectar el servicio.

También usamos Sentry (Functional Software, Inc., Estados Unidos) para recibir reportes de errores: qué falló, en qué pantalla, el modelo del dispositivo y la versión de la app. Se conservan hasta 90 días.

7. Proveedores que tratan datos por nuestra cuenta (encargados)

Para operar Xemo nos apoyamos en estos proveedores. Cada uno recibe solo lo necesario para su función, está obligado por contrato a proteger los datos y no puede usarlos para fines propios. La mayoría están en los Estados Unidos:

• Supabase, Inc.: base de datos, autenticación y almacenamiento de archivos.
• Railway Corporation: servidores donde corre el servicio de Xemo.
• Anthropic, PBC: inteligencia artificial que lee y redacta mensajes.
• OpenAI, L.L.C.: transcripción de notas de voz.
• Twilio Inc.: envío del código por SMS para entrar a la app.
• Meta Platforms, Inc. (y Meta Platforms Ireland Ltd.): WhatsApp Business Platform, Messenger e Instagram, cuando el negocio conecta esos canales.
• Functional Software, Inc. (Sentry): reportes de errores.
• PostHog, Inc.: analítica de uso.
• 650 Industries, Inc. (Expo): actualizaciones de la app y servicios para compilarla y distribuirla.
• Google LLC (Firebase Cloud Messaging) y Apple Inc. (Apple Push Notification service): avisos al teléfono.
• Cloudflare, Inc.: páginas web de los negocios, dominios y protección de red.

Si el negocio vincula su propio WhatsApp por código (como dispositivo vinculado), los mensajes pasan por los servidores de WhatsApp. Ese método no es un producto oficial de Meta y su uso es decisión del negocio.

8. Transferencias

No vendemos ni rentamos tus datos personales. Solo los transferimos, sin necesidad de tu consentimiento conforme al artículo 37 de la LFPDPPP (o la disposición que lo sustituya), en estos casos:

• A autoridades competentes, cuando una ley o una orden fundada y motivada lo exija.
• A quien adquiera o se fusione con Xemo, en caso de una operación corporativa, que quedará obligado por este aviso.
• Cuando sea necesario para reconocer, ejercer o defender un derecho en un proceso judicial.

Enviar datos a los proveedores de la sección 7 no es una transferencia sino una remisión a encargados, que tratan los datos por nuestra cuenta. Varios de ellos están fuera de México (principalmente en los Estados Unidos); en esos casos exigimos por contrato el mismo nivel de protección que establece este aviso.

9. Tus derechos ARCO, revocación y cómo ejercerlos

Tienes derecho a Acceder a tus datos, Rectificarlos si son inexactos, Cancelarlos y Oponerte a su tratamiento para fines específicos (derechos ARCO), así como a revocar tu consentimiento y a limitar el uso o divulgación de tus datos.

Para ejercerlos, escribe a privacidad@xemo.com desde el teléfono o el correo de tu cuenta, con:

• Tu nombre y el teléfono de tu cuenta, y el medio por el que quieres recibir la respuesta.
• Una identificación oficial (o, si vas por medio de un representante, su identificación y el documento que lo acredite).
• La descripción clara del derecho que quieres ejercer y de los datos de que se trata, y cualquier documento que ayude a ubicarlos. Para una rectificación, indica el cambio y, si aplica, adjunta el documento que lo respalde.

Te respondemos en un plazo máximo de 20 días hábiles desde que recibimos la solicitud completa y, si procede, la hacemos efectiva dentro de los 15 días hábiles siguientes. Estos plazos pueden ampliarse una vez por un periodo igual cuando lo justifiquen las circunstancias, y te lo avisaremos. La revocación no tiene efectos retroactivos y, si se refiere a datos necesarios para el servicio, puede implicar que ya no podamos dártelo.

Si consideras que tu derecho a la protección de datos fue vulnerado, puedes acudir a la autoridad garante en la materia (actualmente, la Secretaría Anticorrupción y Buen Gobierno).

Si estás fuera de México, también puedes ejercer los derechos que te otorgue la ley de tu país (por ejemplo, el RGPD en la Unión Europea o la CCPA en California) por el mismo medio.

10. Tecnologías de rastreo

La app incluye los kits de PostHog (analítica de uso) y de Sentry (reportes de errores) descritos en la sección 6, que se activan solo cuando un usuario entra con su cuenta. Las páginas públicas del servicio de Xemo (este aviso, los términos y la de borrado de cuenta) no usan cookies ni rastreadores. Las páginas web de cada negocio pueden medir visitas de forma agregada.

11. Cuánto tiempo conservamos los datos

• Cuenta: mientras esté activa. Al borrarla se elimina de inmediato (sección 12).
• Datos del negocio y de sus clientes: mientras el negocio esté activo. Si el negocio se cierra, se conservan bloqueados (nadie entra ni se usan) y se eliminan cuando el negocio lo pide o cuando ya no sean necesarios para cumplir obligaciones legales.
• Grabaciones de sesión y eventos de uso: hasta 12 meses.
• Reportes de errores: hasta 90 días.
• Credenciales de los canales conectados: guardadas de forma protegida; se eliminan o invalidan al desconectar el canal.
• Constancias de aceptación: mientras exista la cuenta.
• Copias de seguridad: se sobrescriben en ciclos de hasta 30 días.

12. Borrar tu cuenta

Puedes borrar tu cuenta desde la app, en «Cuenta y ajustes → Borrar mi cuenta». Desde la app, el borrado es inmediato: al confirmar, la cuenta se borra en ese momento y no se puede deshacer. Por correo, lo hacemos en un plazo máximo de 30 días naturales y te avisamos cuando quede.

Si ya no tienes la app, escribe a privacidad@xemo.com con el asunto «Borrar mi cuenta», desde el correo registrado en tu cuenta o indicando el número de teléfono con el que entras. Para confirmar que eres tú, podemos pedirte un código que te mandamos por SMS a ese número. Los pasos están también en https://api.xemo.com/eliminar-cuenta.

Qué se borra:

• Tu cuenta de acceso: tu número de teléfono, tu correo (si lo registraste) y todas tus sesiones abiertas.
• Tus tokens de avisos al teléfono (notificaciones) en todos tus dispositivos.
• Tu nombre y tu teléfono en cada negocio en el que estabas: tu lugar en el equipo queda como «Persona que ya no está», sin cuenta y sin teléfono.
• Las invitaciones pendientes a tu número y la liga de tu plática de alta con Xemo.
• Tu espacio personal «Yo» completo: tus notas, recordatorios y citas, y lo que platicaste ahí con Xemo.
• Las constancias de los aceptos del aviso y los términos ligadas a tu cuenta (queda solo un registro, sin datos personales, de que la cuenta se borró).
• Tus estadísticas de uso y las grabaciones de tu sesión en PostHog (tu perfil, tus eventos y tus grabaciones), sin que tengas que pedirlo por correo. El perfil se borra en ese momento; PostHog termina de borrar los eventos y las grabaciones en su siguiente ciclo de borrado (a más tardar en una semana).

Qué se queda y por qué:

• Lo que es de cada negocio (sus clientes, pláticas, pedidos, catálogo y bitácora) se queda con el negocio, como cuando un empleado se va. Los mensajes que tú mandaste siguen en su historial, pero firmados como «Persona que ya no está».
• Si eras la única persona en un negocio, ese negocio se cierra junto con tu cuenta: deja de operar, nadie puede entrar, el asistente y las automatizaciones se pausan y sus canales se desconectan. Su información queda bloqueada; si también quieres que se elimine, pídelo por correo y la borramos en un plazo máximo de 30 días.
• Si eres la única dueña o el único dueño de un negocio que tiene equipo, primero tienes que pasarle la propiedad a alguien del equipo o cerrar el negocio; la app te lleva a hacerlo.
• Los reportes de errores (Sentry) se borran solos a los 90 días. Si por una falla técnica tus estadísticas o grabaciones no se pudieron borrar al momento, lo reintentamos; como respaldo, también puedes pedirlo por correo.
• Las copias de seguridad de la base de datos se sobrescriben en ciclos de hasta 30 días.

13. Seguridad

Aplicamos medidas administrativas, técnicas y físicas para proteger los datos: cada negocio solo accede a su información (aislamiento por organización y políticas de seguridad a nivel de fila en la base de datos), conexiones cifradas (HTTPS), sesiones con tokens que expiran y que puedes cerrar desde la app, credenciales de los canales fuera del alcance de la app, validación de firmas en las notificaciones que llegan de los proveedores, límites de uso contra abuso y acceso del personal de Xemo solo cuando hace falta para soporte, con registro en la bitácora del negocio. Si ocurre una vulneración que afecte de forma significativa tus derechos, te lo informaremos sin demora.

14. Menores de edad

Xemo es un servicio para negocios y no está dirigido a menores de 18 años. No recopilamos a sabiendas datos de menores como usuarios; si detectamos alguno, lo eliminamos.

15. Cambios a este aviso

Podemos actualizar este aviso por cambios en la ley, en el servicio o en nuestros proveedores. La fecha de «Última actualización» y la versión al inicio reflejan la revisión vigente, que siempre está en https://api.xemo.com/privacidad y en la app (Cuenta y ajustes → Privacidad y términos). Si el cambio es relevante, la app te pedirá aceptarlo de nuevo antes de seguir.

16. Contacto

• Correo de privacidad: privacidad@xemo.com
• Empresa: Xemo Tecnologías, S.A. de C.V.
• Domicilio: Calle Juan Meléndez Vázquez 4061, Col. Residencial El Fresno, C.P. 27018, Torreón, Coahuila de Zaragoza, México