Política de tratamiento de datos

Última actualización: 9 de octubre de 2026 · Versión preliminar 0.1

Aviso importante: esta Política es una versión preliminar, sujeta a revisión legal, y podrá modificarse una vez concluida dicha revisión. La versión vigente será siempre la publicada en esta página.

1. Objeto y alcance

Esta Política de Tratamiento de Datos (la "Política") describe cómo [PENDIENTE: razón social exacta de DM4 Digital Business] ("DM4") trata los datos personales en la plataforma Dairi IA ONE (la "Plataforma") y establece las reglas aplicables cuando DM4 trata, por cuenta de sus clientes (los "Clientes"), los datos personales de los clientes finales, prospectos y contactos de estos (los "Titulares Finales").

Esta Política forma parte de los Términos y condiciones de uso y complementa el Aviso de privacidad. Se emite conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 y vigente desde el 21 de marzo de 2025 (la "Ley"). En caso de contradicción respecto del tratamiento de Datos del Cliente, prevalecerá esta Política, salvo que exista un contrato de encargo firmado entre las partes.

2. Roles de las partes

El tratamiento de los datos de la cuenta se describe en el Aviso de privacidad. El resto de esta Política se refiere principalmente a los Datos del Cliente, respecto de los cuales DM4 actúa como encargado y el Cliente es el responsable.

3. Datos del Cliente que se tratan

Según las funciones que el Cliente active, la Plataforma puede tratar los siguientes datos de los Titulares Finales:

• Número telefónico y nombre.
• Mensajes de WhatsApp y de chat web, incluidas notas de voz y archivos compartidos.
• Grabaciones y transcripciones de llamadas.
• Resúmenes, clasificaciones y datos extraídos por la IA de las conversaciones.
• Contactos importados por el Cliente (por ejemplo, mediante archivos CSV) y la información de su CRM.
• Tickets y su historial de atención.
• Resultados de campañas salientes de llamadas y WhatsApp.
• Información obtenida mediante consultas de solo lectura a los sistemas del Cliente (bases de datos, API, hojas de cálculo) y documentos cargados en la base de conocimiento.

DM4 no determina qué datos se recaban ni de quién: eso depende de la configuración que el Cliente define. El Cliente debe evitar que sus agentes soliciten datos personales sensibles o financieros (por ejemplo, datos de salud o números completos de tarjeta) salvo que cuente con la base legal y las medidas adecuadas para ello [PENDIENTE: confirmar con asesoría legal si se prohíbe expresamente el tratamiento de datos sensibles en la Plataforma].

4. Obligaciones de DM4 como encargado

Respecto de los Datos del Cliente, DM4 se obliga a:

1. Tratarlos únicamente conforme a las instrucciones del Cliente, que se entienden dadas mediante la configuración de la Plataforma, los Términos y esta Política.
2. No utilizarlos para finalidades distintas a la prestación del servicio al Cliente, ni venderlos, rentarlos o cederlos a terceros.
3. No utilizarlos para entrenar modelos de inteligencia artificial de uso general, propios o de terceros [PENDIENTE: confirmar con las condiciones de cada proveedor de IA que no usan los datos para entrenamiento].
4. Implementar las medidas de seguridad descritas en la sección 7.
5. Guardar confidencialidad y exigirla a su personal y a sus subencargados, incluso después de terminada la relación.
6. Apoyar razonablemente al Cliente para atender solicitudes de derechos de los Titulares Finales.
7. Notificar al Cliente las vulneraciones de seguridad conforme a la sección 8.
8. Suprimir o devolver los Datos del Cliente al terminar el servicio, conforme a la sección 10.
9. Abstenerse de transferirlos, salvo a sus subencargados o cuando lo exija una autoridad competente, en cuyo caso lo informará al Cliente cuando la ley lo permita.

5. Obligaciones del Cliente como responsable

El Cliente, en su carácter de responsable, se obliga a:

• Contar con su propio aviso de privacidad, que contemple el uso de proveedores tecnológicos como DM4 y, en su caso, las remisiones internacionales, y ponerlo a disposición de los Titulares Finales.
• Informar a los Titulares Finales que son atendidos por un asistente virtual con inteligencia artificial y, cuando aplique, que la llamada se graba, preferentemente al inicio de la interacción.
• Obtener los consentimientos necesarios, en particular para llamadas y mensajes con fines de marketing, y respetar las solicitudes de baja.
• Consultar y respetar el Registro Público para Evitar Publicidad (REPEP) de la PROFECO antes de realizar campañas promocionales.
• Cumplir las políticas de WhatsApp Business (incluidas las de consentimiento previo y plantillas de mensajes) y las de los operadores telefónicos.
• Asegurarse de que los contactos que importa y los sistemas que conecta fueron obtenidos y se usan de forma lícita.
• Atender las solicitudes de derechos ARCO, revocación del consentimiento y limitación de uso de los Titulares Finales.
• Configurar los permisos de sus usuarios y las credenciales de sus conectores con el menor privilegio necesario.

6. Subencargados y remisiones internacionales

El Cliente autoriza a DM4 a apoyarse en los siguientes subencargados para prestar el servicio. DM4 exigirá a cada uno obligaciones de confidencialidad y seguridad al menos equivalentes a las de esta Política.

Algunos de estos proveedores se encuentran fuera de México, por lo que los datos pueden ser objeto de remisiones internacionales. DM4 procurará que dichos proveedores ofrezcan un nivel de protección adecuado mediante cláusulas contractuales u otros mecanismos reconocidos. DM4 mantendrá actualizada esta lista e informará los cambios relevantes con antelación razonable; si el Cliente tiene una objeción fundada a un nuevo subencargado, podrá comunicarlo y, de no encontrarse una solución, cancelar su suscripción.

7. Medidas de seguridad

DM4 implementa, entre otras, las siguientes medidas administrativas, técnicas y físicas:

• Cifrado de las comunicaciones mediante HTTPS.
• Contraseñas almacenadas mediante funciones hash; DM4 no conoce las contraseñas en texto claro.
• Credenciales de los conectores cifradas con AES-256.
• Conexiones de solo lectura a los sistemas del Cliente: la Plataforma consulta, pero no modifica, la información de dichos sistemas.
• Control de acceso por roles (propietario, administrador, supervisor, asesor y consulta), con separación de la información entre cuentas de distintos Clientes.
• Bitácora de auditoría y registro de accesos (IP, fecha y hora).
• Acceso del personal de DM4 limitado a lo necesario para soporte, mantenimiento o seguridad, y sujeto a confidencialidad.
• [PENDIENTE: confirmar si existen respaldos, su frecuencia y el cifrado de datos en reposo]

8. Vulneraciones de seguridad

Si DM4 detecta una vulneración de seguridad que afecte los Datos del Cliente, lo notificará al Cliente sin demora injustificada, y en todo caso dentro de las [PENDIENTE: plazo de notificación, p. ej. 72 horas] siguientes a su confirmación, informando la naturaleza del incidente, los datos comprometidos, las medidas adoptadas y las recomendaciones para el Cliente. Corresponderá al Cliente, como responsable, informar a los Titulares Finales afectados cuando la vulneración afecte de forma significativa sus derechos, y DM4 le brindará la información razonablemente disponible para ello.

9. Derechos de los Titulares Finales

Los Titulares Finales pueden ejercer sus derechos de acceso, rectificación, cancelación y oposición (ARCO), revocar su consentimiento o limitar el uso de sus datos ante el Cliente, que es el responsable. Si DM4 recibe directamente una solicitud de este tipo, la remitirá al Cliente en un plazo razonable y no la responderá por su cuenta, salvo instrucción del Cliente o mandato legal.

La Plataforma ofrece herramientas para que el Cliente consulte, corrija, exporte o elimine contactos, conversaciones y grabaciones. Cuando estas herramientas no sean suficientes, el Cliente podrá solicitar apoyo a [PENDIENTE: correo de privacidad].

10. Conservación, devolución y eliminación

• Durante la vigencia de la suscripción, los Datos del Cliente se conservan mientras el Cliente no los elimine [PENDIENTE: confirmar si habrá plazos de conservación automáticos para grabaciones y transcripciones].
• Tras la cancelación o suspensión de la cuenta, los datos se conservan durante 30 días, periodo en el que el Cliente puede reactivar la cuenta o solicitar la exportación de su información.
• Concluido ese plazo, DM4 eliminará o anonimizará los Datos del Cliente, salvo aquellos que deba conservar por obligación legal o por requerimiento de autoridad, los cuales se mantendrán bloqueados y solo durante el plazo exigido.
• Las copias de respaldo se eliminarán conforme a sus ciclos ordinarios de rotación [PENDIENTE: plazo de rotación de respaldos].

11. Uso de inteligencia artificial

Los agentes de la Plataforma procesan conversaciones mediante modelos de inteligencia artificial de terceros para comprender, responder, transcribir, resumir y extraer datos. Estos resultados pueden contener errores. El Cliente es responsable de revisar los resúmenes y datos extraídos antes de tomar decisiones relevantes sobre los Titulares Finales y de no utilizar la Plataforma para tomar decisiones con efectos jurídicos o significativos sobre una persona basadas exclusivamente en el tratamiento automatizado, sin intervención humana, cuando la ley lo restrinja.

12. Información y cooperación

A solicitud razonable y por escrito del Cliente, DM4 proporcionará información sobre las medidas de seguridad y los subencargados utilizados, para que el Cliente pueda acreditar su propio cumplimiento ante la autoridad competente, que conforme a la Ley vigente es la Secretaría Anticorrupción y Buen Gobierno. DM4 cooperará razonablemente con el Cliente ante requerimientos de dicha autoridad relacionados con los Datos del Cliente.

13. Contrato de encargo

Esta Política constituye el instrumento jurídico que regula la relación de encargo entre el Cliente y DM4. Los Clientes que requieran un contrato de encargo firmado o cláusulas específicas pueden solicitarlo a [PENDIENTE: correo de privacidad] [PENDIENTE: definir si se ofrecerá un contrato de encargo (DPA) firmado y para qué planes].

14. Cambios a esta política

DM4 podrá actualizar esta Política. Los cambios se publicarán en esta página con su fecha de actualización y, cuando sean relevantes, se notificarán al correo registrado del Cliente o mediante un aviso en el portal.

15. Contacto

• Correo de privacidad: [PENDIENTE: correo de privacidad]
• Teléfono: [PENDIENTE: teléfono de contacto]
• Domicilio: [PENDIENTE: domicilio completo]
• Sitio web: dm4digitalbusiness.com