Aviso de Privacidad Integral

1. Introducción y Propósito del Aviso de Privacidad

El presente Aviso de Privacidad Integral (en adelante, el “Aviso”) regula el tratamiento de los datos personales que Yolani, S.A. de C.V. (en adelante, “Yolani”, “la Plataforma”, “nosotros” o “el Responsable”) recopila, utiliza, almacena, transfiere y, en su caso, suprime, en relación con los servicios de software como servicio (SaaS) de automatización conversacional, agentes de inteligencia artificial, gestión de relaciones con clientes (CRM), atención multicanal, marketing, llamadas, punto de venta y herramientas afines que la Plataforma pone a disposición de personas físicas y morales (en adelante, los “Titulares”, “Usuarios” o “Clientes”), a través de su aplicación web, su app móvil y Yolani Counter.

Este Aviso ha sido redactado conforme a la legislación mexicana, en cumplimiento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares vigente (en adelante, “LFPDPPP”), publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 y en vigor a partir del 21 de marzo de 2025, ordenamiento que abrogó la ley del mismo nombre publicada en 2010. Conforme a este nuevo marco, la autoridad encargada de vigilar su cumplimiento es la Secretaría Anticorrupción y Buen Gobierno (en adelante, la “Secretaría”), dependencia del Poder Ejecutivo Federal que asumió las funciones en materia de protección de datos personales que anteriormente correspondían al extinto Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (“INAI”).

Este Aviso atiende igualmente el Reglamento de la LFPDPPP y los Lineamientos del Aviso de Privacidad que continúen vigentes en lo que no se opongan a la nueva Ley, así como, de manera complementaria y únicamente cuando resulten aplicables por la ubicación del Titular o el carácter transfronterizo del tratamiento, el Reglamento General de Protección de Datos de la Unión Europea (“GDPR”) y su equivalente del Reino Unido, la California Consumer Privacy Act y la California Privacy Rights Act (“CCPA/CPRA”), la Lei Geral de Proteção de Dados de Brasil (“LGPD”) y las demás leyes de protección de datos de los países en los que residan los Titulares.

Consentimiento. Al registrarse, contratar o utilizar la Plataforma, el Titular otorga su consentimiento expreso para el tratamiento de sus datos de identificación, contacto, comerciales y financieros conforme a este Aviso. Respecto de los datos que se obtienen de forma automática por el uso del sitio y de las Aplicaciones, el consentimiento se entiende otorgado de manera tácita cuando, habiéndose puesto este Aviso a su disposición, el Titular continúa utilizando la Plataforma. Yolani no requiere el consentimiento del Titular cuando la ley lo exceptúa, por ejemplo para cumplir obligaciones derivadas de la relación jurídica con el Titular o para atender requerimientos de autoridad. El Titular puede revocar su consentimiento y ejercer sus derechos en cualquier momento conforme a las secciones correspondientes.

2. Identidad y Datos del Responsable

El responsable del tratamiento de los datos personales recolectados a través de la Plataforma es Yolani, S.A. de C.V., sociedad mercantil mexicana con Registro Federal de Contribuyentes YOL260318825 y domicilio para oír y recibir notificaciones en Av. de la Juventud 100, Col. Potrero Anáhuac, San Nicolás de los Garza, Nuevo León, C.P. 66456, México.

Yolani ha designado una persona encargada de datos personales que actúa como punto de contacto para cualquier solicitud, queja, requerimiento de autoridad o inquietud relacionada con la privacidad y el tratamiento de datos personales, y que cumple, cuando resulte exigible, las funciones de Oficial de Protección de Datos (“DPO”). Cualquier comunicación deberá dirigirse a:

• Correo electrónico de contacto general: yolanimexico@gmail.com
• Correo electrónico para asuntos de privacidad: yolanimexico@gmail.com
• WhatsApp: (81) 1502-4260, atención las 24 horas
• Dirección postal: la indicada en el párrafo anterior.

3. Definiciones

Para efectos del presente Aviso, los términos en mayúscula tendrán el significado que se les atribuye a continuación, sin perjuicio de aquellos previstos en la normativa aplicable:

• Datos Personales: Cualquier información concerniente a una persona física identificada o identificable.
• Datos Personales Sensibles: Aquellos que afecten la esfera más íntima del Titular o cuyo uso indebido pueda dar origen a discriminación o conlleve un riesgo grave, como los de salud, origen étnico, creencias, opiniones políticas, preferencia sexual y datos biométricos o genéticos.
• Tratamiento: Obtención, uso, divulgación, almacenamiento, acceso, manejo, aprovechamiento, transferencia o disposición de datos personales.
• Titular: La persona física a quien corresponden los datos personales.
• Responsable: Persona física o moral que decide sobre el tratamiento de los datos personales.
• Encargado: Persona física o moral que trata datos personales por cuenta del Responsable.
• Sub-encargado: Tercero contratado por un Encargado para ejecutar parte del tratamiento.
• Transferencia: Toda comunicación de datos realizada a persona distinta del Responsable o Encargado.
• Remisión: Toda comunicación de datos realizada entre el Responsable y un Encargado.
• Plataforma o Servicio: Conjunto de aplicaciones, paneles, APIs, agentes de IA, integraciones y herramientas operadas bajo la marca Yolani o cualquier marca blanca derivada.
• Aplicaciones: La aplicación web, la app móvil Yolani (Android e iOS) y Yolani Counter (punto de venta para escritorio y Android).
• Cliente Empresarial: Persona moral o física con actividad empresarial que contrata el Servicio para uso propio o de sus colaboradores.
• Usuario Final: Cualquier persona física que interactúe con un agente, chatbot, llamada, formulario, página pública, flujo o canal operado a través de Yolani por un Cliente Empresarial.
• Sub-cuenta o Tenant: Espacio aislado dentro de la Plataforma asignado a una empresa específica, dentro del modelo multi-tenant.
• Marca Blanca: Despliegue de la Plataforma bajo una identidad comercial distinta a Yolani por parte de socios autorizados (agencias, integradores, partners).
• Vulneración de Seguridad: Pérdida, destrucción accidental o ilícita, alteración, divulgación o acceso no autorizado a datos personales.
• Cookies: Pequeños archivos almacenados en el dispositivo del Titular para identificar sesiones, preferencias o comportamiento de navegación.
• Modelos de IA: Modelos de lenguaje, de voz, de imagen y demás sistemas de aprendizaje automático de terceros utilizados por la Plataforma.

4. Marco Normativo Aplicable

El tratamiento de los datos personales que se realiza a través de la Plataforma se rige primordialmente por la legislación mexicana. No obstante, en función del lugar de residencia del Titular o del lugar desde el cual se accede al Servicio, podrán resultar adicionalmente aplicables, de manera complementaria, las siguientes normas:

• Ley Federal de Protección de Datos Personales en Posesión de los Particulares (México), publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, y su Reglamento.
• Disposiciones, lineamientos y criterios emitidos por la Secretaría Anticorrupción y Buen Gobierno, así como los Lineamientos del Aviso de Privacidad que continúen vigentes en términos transitorios.
• Ley Federal de Protección al Consumidor y Código de Comercio (México), en lo relativo a comunicaciones comerciales y comercio electrónico.
• Reglamento (UE) 2016/679 (GDPR) y las leyes nacionales europeas de implementación; UK GDPR y Data Protection Act 2018 (Reino Unido).
• California Consumer Privacy Act y California Privacy Rights Act (CCPA/CPRA).
• Lei Geral de Proteção de Dados Pessoais (LGPD, Brasil).
• Las leyes de protección de datos de los demás países de América Latina y del resto del mundo en los que residan los Titulares, en la medida en que resulten vinculantes para Yolani.
• Políticas de Meta Platforms, Inc. aplicables a WhatsApp Business, Instagram y Facebook Messenger, y la Política de Datos de Usuario de los Servicios de API de Google.
• Estándares de la industria de pagos con tarjeta (PCI DSS), que cumple el procesador de pagos utilizado.

En caso de conflicto entre normas, prevalecerá aquella que otorgue mayor protección al Titular, sin perjuicio de las reglas de jurisdicción y ley aplicable que se establecen al final del presente Aviso.

5. Ámbito de Aplicación del Aviso

Este Aviso aplica a todas las personas que interactúen con la Plataforma, incluyendo de forma enunciativa pero no limitativa:

• Personas que visiten el sitio web público de Yolani o cualquier subdominio asociado, o que prueben el agente de demostración disponible en él.
• Personas que escriben a Yolani por WhatsApp u otro canal propio de Yolani para conocer el Servicio o abrir una Cuenta, y que son atendidas por su asistente de ventas con inteligencia artificial o por su equipo. Respecto de esas personas, Yolani es el Responsable.
• Clientes Empresariales que contraten el Servicio mediante registro en el sitio, alta en la conversación con el equipo de ventas de Yolani, suscripción o contratación corporativa.
• Colaboradores, agentes humanos, repartidores, operadores y usuarios internos del Cliente Empresarial dados de alta dentro de su sub-cuenta, incluidos quienes usan la app móvil o Yolani Counter.
• Usuarios Finales que se comuniquen con un Cliente Empresarial a través de canales gestionados por Yolani (WhatsApp, Instagram, Messenger, chat web, correo electrónico, llamadas telefónicas), o que visiten páginas públicas del Cliente alojadas en la Plataforma (catálogo web, formularios, encuestas, seguimiento de pedidos).
• Socios comerciales, partners, agencias y operadores de marca blanca que distribuyan o revendan la Plataforma a sus propios clientes.
• Personas cuyos datos de negocio se obtienen de fuentes públicas mediante las herramientas de prospección, cuando un Cliente Empresarial los importa a su CRM.

Cuando Yolani actúa como Encargado del Tratamiento respecto a datos personales que pertenecen a Usuarios Finales, colaboradores o prospectos del Cliente Empresarial, las obligaciones del Responsable recaen en dicho Cliente. En esos supuestos, Yolani únicamente trata los datos de conformidad con las instrucciones documentadas del Cliente Empresarial, conforme a lo dispuesto en la sección de Marca Blanca y Procesamiento como Encargado, y el Cliente Empresarial debe poner su propio aviso de privacidad a disposición de esas personas.

6. Categorías de Datos Personales que Recopilamos

Para operar la Plataforma y prestar nuestros servicios, Yolani recopila las siguientes categorías de datos personales, sin que la enumeración sea limitativa, ya que las mismas podrán ampliarse cuando el Titular voluntariamente proporcione información adicional o cuando ello sea requerido para nuevas funcionalidades:

6.1 Datos de Identificación y Contacto

• Nombre completo, alias, nombre comercial o nombre artístico.
• Número telefónico fijo o celular, incluyendo identificadores de WhatsApp.
• Correo electrónico personal o corporativo.
• Dirección postal, fiscal o de envío.
• Identificadores internos de usuario, ID de tenant, ID de empresa.
• Contraseñas (almacenadas únicamente como hash), tokens de sesión, secretos de autenticación de dos factores, llaves de API y credenciales OAuth de las integraciones conectadas.
• Imágenes de perfil o avatares cargados voluntariamente por el Titular.

6.2 Datos Profesionales y Comerciales

• Razón social, nombre comercial y RFC.
• Régimen fiscal y datos de facturación electrónica.
• Sector económico, industria, giro de negocio y subsector.
• Información sobre procesos internos, equipos, número de empleados, plantilla operativa.
• Preferencias de uso, configuraciones, tono de voz, lineamientos de marca y reglas de negocio capturadas en la Plataforma, incluidas las respuestas a la entrevista de conocimiento con la que se configura el Agente de IA.
• Estructuras organizacionales, jerarquías, listas de contactos profesionales.

6.3 Datos de Comunicación y Conversaciones

• Mensajes enviados y recibidos por WhatsApp (Cloud API o vinculación por QR), Instagram Direct, comentarios de Instagram, Facebook Messenger, chat web, correo electrónico u otros canales conectados.
• Contenido de plantillas, secuencias de mensajes, campañas, rutinas, automatizaciones y respuestas configuradas por el Cliente Empresarial.
• Archivos multimedia (imágenes, videos, audios, documentos, ubicaciones, contactos) intercambiados a través de los canales conectados.
• Notas internas, etiquetas, asignaciones y comentarios entre colaboradores sobre conversaciones específicas.
• Transcripciones, resúmenes y traducciones automáticas generadas por modelos de IA sobre las conversaciones y llamadas.
• Información sobre intenciones, sentimientos, puntuación de prospectos (lead scoring) o categorías inferidas algorítmicamente respecto al contenido de las comunicaciones.
• Registros técnicos de cada turno del Agente de IA (instrucciones aplicadas, herramientas ejecutadas, modelo utilizado) que Yolani conserva por un plazo corto para diagnosticar fallas.
• Mensajes intercambiados en los grupos de WhatsApp de soporte entre el personal de Yolani y el Cliente Empresarial: texto, imágenes y capturas de pantalla, notas de voz y su transcripción, y el nombre de perfil y el identificador de WhatsApp de cada participante. Las capturas pueden contener datos de Usuarios Finales del Cliente (por ejemplo, el nombre o el número de un cliente suyo); respecto de esos datos Yolani actúa como Encargado del Cliente Empresarial.
• Notas internas que Yolani lleva sobre la gestión de cada Cuenta (lo que el Cliente pidió, cómo quedó configurado su Agente, acuerdos y pendientes), que pueden incluir el nombre de quien hizo la solicitud.

6.4 Datos Sensibles

Yolani no solicita ni requiere datos personales sensibles para la prestación del Servicio y no los trata como Responsable. Sin embargo, por la naturaleza abierta de las comunicaciones, un Usuario Final puede compartir voluntariamente en una conversación información de esa naturaleza, y un Cliente Empresarial (por ejemplo, una clínica, un consultorio o una veterinaria) puede decidir capturar en sus tablas de Studio, formularios o notas datos de salud u otros datos sensibles de sus propios clientes. En esos casos:

• El Cliente Empresarial es el Responsable de esos datos y debe contar con el consentimiento expreso y por escrito del Titular que la LFPDPPP exige para los datos sensibles, así como cumplir la normativa sectorial que le aplique (por ejemplo, las normas oficiales mexicanas sobre expediente clínico).
• Yolani actúa únicamente como Encargado, los almacena conforme a las instrucciones del Cliente y aplica las mismas medidas de seguridad que al resto de la información.
• El Cliente Empresarial no debe configurar Agentes de IA para emitir diagnósticos, recetas ni asesoría médica, conforme a los Términos y Condiciones.

6.5 Datos Tecnológicos, de Uso y Diagnóstico

• Dirección IP, identificadores de red, ubicación aproximada inferida por IP.
• Información de dispositivo: tipo, modelo, sistema operativo, versión, identificador de instalación de la app móvil y token de notificaciones push.
• Tipo y versión de navegador, idioma, zona horaria, resolución de pantalla.
• Registros de servidor, logs de aplicación, trazas de error y métricas de rendimiento, incluidos los reportes de error que las Aplicaciones envían a la herramienta de monitoreo de Yolani.
• Datos de comportamiento de navegación dentro de la Plataforma: páginas visitadas, módulos abiertos, clics, tiempos de sesión, embudos de conversión.
• Cookies propias y de terceros, identificadores publicitarios de los píxeles del sitio público.
• Identificador aleatorio de navegador (cookie yolani_did), generado por la Plataforma con la única finalidad de recordar qué cuentas se han utilizado en ese dispositivo y permitir alternar entre ellas sin volver a autenticarse. No se asocia a perfiles publicitarios ni se comparte con terceros, y puede eliminarse borrando las cookies del navegador.
• Registro de auditoría de las acciones realizadas: creación de registros, edición, eliminación, exportación, integraciones activadas, accesos del personal de soporte de Yolani.
• Una huella (hash) del número de WhatsApp que el Cliente Empresarial conecta, no el número, con la única finalidad de que el periodo de prueba gratuita se otorgue una sola vez por número.

6.6 Datos provenientes de Terceros

• Información proveniente de WhatsApp Cloud API, Instagram, Facebook Messenger y la cuenta publicitaria de Meta que el Cliente conecte.
• Sincronizaciones con Google Calendar, Google Sheets, Calendly, Notion, EasyBroker, Stripe u otras integraciones publicadas en el catálogo y autorizadas por el Cliente.
• Datos del procesador de pagos (estado de cobros, últimos dígitos de la tarjeta, disputas) y del proveedor de facturación electrónica.
• Información recibida a través de la API pública o de los asistentes de IA externos que el Cliente conecte a su cuenta.
• Datos públicos de negocios (nombre, teléfono, sitio web, redes, dirección, reseñas) obtenidos de directorios, mapas y buscadores por las herramientas de prospección, cuando el Cliente Empresarial los solicita e importa a su CRM.

6.7 Datos Multimedia y de Voz

• Notas de voz y grabaciones de audio enviadas a través de los canales conectados.
• Grabaciones y transcripciones de las llamadas entrantes y salientes atendidas por el módulo de llamadas, cuando el Cliente lo activa.
• Imágenes y videos compartidos por el Usuario Final.
• Fotografías de producto que el Cliente carga para generar imágenes personalizadas o creativos publicitarios con IA.
• Información derivada del análisis automático de contenido visual o auditivo, exclusivamente cuando el Cliente Empresarial active esa funcionalidad.

6.8 Datos Financieros y de Facturación

• Datos fiscales del Cliente Empresarial (RFC, régimen, dirección fiscal, uso de CFDI).
• Datos de medios de pago tokenizados a través de Stripe. Yolani no almacena números de tarjeta completos ni códigos de seguridad.
• Historial de suscripciones, pagos, intentos de pago, devoluciones, disputas y compras de Créditos.
• Información de facturas emitidas y comprobantes fiscales digitales.
• Ventas, tickets, cortes de caja y movimientos registrados en Yolani Counter, así como pedidos, cotizaciones y enlaces de pago generados desde la Plataforma.

6.9 Datos de Comportamiento, Analítica e IA

• Métricas de uso del producto, tasas de adopción de funcionalidades, embudos de activación.
• Resultados de evaluaciones automáticas de calidad y seguridad de las respuestas de los Agentes de IA.
• Información agregada y/o anonimizada sobre patrones de uso.

6.10 Datos de Colaboradores del Cliente Empresarial

Los módulos de equipo, desempeño y pagos a empleados permiten al Cliente Empresarial registrar datos de sus propios colaboradores, tales como nombre, contacto, puesto, metas, citas atendidas, ventas atribuidas, esquema de pago (semanal, quincenal o mensual), montos pagados y pendientes. El Cliente Empresarial es el Responsable de esos datos y debe cumplir la legislación laboral y de protección de datos que le aplique; Yolani los trata como Encargado.

6.11 Datos de Geolocalización y Operaciones de Campo

Los módulos de reparto a domicilio y despacho de operadores, y la app móvil, pueden recopilar:

• La ubicación del repartidor mientras realiza entregas, cuando el Cliente activa el seguimiento y el repartidor concede el permiso de ubicación en su teléfono, para que el Usuario Final conozca el avance de su pedido.
• Direcciones de entrega, zonas de cobertura, rutas, paradas y horarios de los pedidos.
• Nombre, vehículo y placas de los operadores que atienden un servicio, que se comparten con el Usuario Final que lo solicitó.
• Fotografías tomadas desde la app móvil como evidencia de entrega o para enviarlas a un cliente.

El Cliente Empresarial debe informar a sus repartidores y operadores de este tratamiento, obtener el consentimiento que la ley exija y configurar el módulo conforme a las restricciones legales aplicables. Yolani únicamente trata estos datos según las instrucciones del Cliente.

6.12 Datos de Programas de Lealtad, Encuestas y Formularios

• Número telefónico del cliente final como llave del programa de puntos, compras acumuladas, saldo y canjes.
• Respuestas a encuestas de satisfacción, formularios de captura, registros a eventos y demás formularios que el Cliente Empresarial distribuye por enlace, WhatsApp, correo o QR.

6.13 Datos Capturados en Tablas Personalizadas (Studio)

La Plataforma permite al Cliente Empresarial definir sus propias tablas y campos para registrar la información que su operación requiera (por ejemplo, expedientes de clientes, vehículos, mascotas, pólizas o inmuebles). Yolani no determina qué datos se capturan ahí: el Cliente Empresarial es el Responsable de su contenido, de la base legal para tratarlo y de las medidas adicionales que exija su naturaleza, y Yolani actúa como Encargado.

6.14 Datos de Menores de Edad

La Plataforma no está dirigida a menores de edad. Cuando un Cliente Empresarial trate datos de menores en su operación (por ejemplo, una escuela o una academia), deberá obtener el consentimiento del padre, madre o tutor, limitar el uso de los datos a la finalidad declarada y cumplir la normativa aplicable en su jurisdicción.

6.15 Datos para Píxeles de Marketing y Publicidad

Cuando el Titular visita el sitio web público de Yolani (yolani.co), se cargan el píxel de Meta y la etiqueta de Google Analytics 4, que envían a esos proveedores eventos de navegación e identificadores de cookies con fines de medición y remarketing. En los dominios de marca blanca la analítica de Yolani no se carga. Actualmente el sitio no cuenta con un gestor de preferencias de cookies; el consentimiento se obtiene de forma tácita conforme a la legislación mexicana, y el Titular puede oponerse a este tratamiento mediante:

• Configuración del navegador (bloqueo de cookies de terceros, extensiones de bloqueo de rastreadores).
• Los mecanismos de exclusión que ofrecen Meta y Google en la configuración de sus propias cuentas.
• Solicitud escrita al correo de privacidad indicado en este Aviso.

El detalle de cada cookie y su vigencia se describe en la Política de Cookies.

7. Fuentes de los Datos

Los datos personales pueden obtenerse a través de las siguientes fuentes:

• Información proporcionada directamente por el Titular o Cliente Empresarial mediante formularios de registro, paneles, configuraciones, la entrevista de conocimiento del Agente o conversaciones con nuestro equipo, incluidos los grupos de soporte y la conversación con el asistente de ventas de Yolani (nombre, correo, teléfono, nombre y giro del negocio, y lo que la persona cuente o envíe sobre su negocio).
• Información obtenida automáticamente al utilizar la Plataforma y las Aplicaciones (navegación, telemetría, registros de aplicación, permisos del dispositivo).
• Información comunicada por Usuarios Finales cuando interactúan con un canal, llamada o página pública operada a través de Yolani.
• Información de fuentes de acceso público (directorios, mapas, sitios web) obtenida por las herramientas de prospección a solicitud del Cliente Empresarial.
• Información compartida por terceros autorizados (integraciones, partners, procesador de pagos, proveedor de facturación).

8. Finalidades Primarias del Tratamiento

Las finalidades primarias son aquellas necesarias e indispensables para que Yolani cumpla con la prestación del Servicio y con sus obligaciones legales. Sin estas finalidades, Yolani no podría operar la Plataforma. Estas comprenden:

• Operación del servicio: creación, administración y operación de cuentas; envío y recepción de mensajes y llamadas a través de los canales conectados; ejecución de Agentes de IA, incluidos los mensajes y llamadas que el Agente inicia por instrucción del Cliente (rutinas, reactivaciones, campañas); sincronización de integraciones; generación de reportes; ejecución de flujos automatizados; operación del punto de venta; almacenamiento operativo de la información del Cliente Empresarial.
• Atención a interesados y alta por chat: contestar a quien escribe a Yolani para conocer el Servicio, abrir su Cuenta en la conversación, generar y configurar su Agente de IA con lo que cuenta de su negocio, darle seguimiento si deja de contestar (basta con pedir en el mismo chat que ya no se le escriba) y, cuando lo pida o el caso lo requiera, pasarlo a una persona del equipo. La conversación la atiende un asistente de IA y se conserva como constancia del alta.
• Directorio de partners: publicar en yolani.co/partners/directorio el perfil que cada Partner decide mostrar; recibir la solicitud de quien pide ahí que lo contacte un partner y, con su autorización expresa, transferir los datos que proporcione (nombre, negocio, WhatsApp, correo, ciudad, país, giro y lo que necesita) al partner que eligió o al que Yolani le asigne entre los de su país y giro, para que lo contacte. Si ningún partner coincide, la solicitud la atiende Yolani. El partner trata esos datos como responsable bajo su propio aviso de privacidad. Para evitar abusos, Yolani guarda una huella cifrada de la dirección IP desde la que se envió la solicitud, no la dirección.
• Autenticación y seguridad: verificación de identidad; autenticación de dos factores; control de accesos; detección y mitigación de fraude, abuso y comportamiento anómalo; aplicación de mecanismos de cifrado y protección perimetral.
• Prueba gratuita única: comparar el hash del número de WhatsApp conectado contra los de pruebas anteriores, para otorgar el periodo de prueba una sola vez por número.
• Cumplimiento contractual: ejecución de las obligaciones derivadas del contrato de prestación de servicios o de los Términos y Condiciones aceptados por el Titular.
• Cumplimiento legal y regulatorio: atención de requerimientos de autoridades, conservación de evidencia, emisión de comprobantes fiscales, prevención de operaciones con recursos de procedencia ilícita.
• Soporte técnico y atención al cliente: investigación de incidencias, monitoreo de calidad del servicio, atención de consultas y reportes. Para ello, personal autorizado de Yolani puede acceder a la cuenta del Cliente Empresarial con vistas equivalentes a las de un administrador; esos accesos se limitan a lo necesario y quedan registrados. En los grupos de WhatsApp de soporte, además, un asistente de IA de Yolani atiende los reportes cuando un participante lo menciona, le responde o confirma una propuesta suya: lee los mensajes de los últimos treinta minutos del grupo (incluidas imágenes y notas de voz, que se transcriben), consulta la Cuenta con los mismos permisos que su titular, propone el ajuste y lo aplica cuando un participante lo confirma; los ajustes menores y fácilmente reversibles (por ejemplo, el tono del Agente o una regla breve) se aplican sin esa confirmación. Cada acción queda registrada y puede revertirse. Lo que se resuelve en el grupo se anota en las notas internas de gestión de la Cuenta.
• Comunicaciones transaccionales: envío de notificaciones relacionadas con el Servicio (cambios de planes, cobros, saldo de Créditos, alertas de seguridad, avisos de mantenimiento, notificaciones push de actividad, resúmenes semanales de operación y, en las sub-cuentas de un Partner, el reporte mensual que se envía a nombre del Partner, descrito en la sección de marca blanca).
• Cobro y facturación: emisión y cobro de cargos por el uso del Servicio, conciliaciones, gestión de cobranza, prevención de contracargos y disputas.

9. Finalidades Secundarias del Tratamiento

Las finalidades secundarias son aquellas que, sin ser indispensables para la relación jurídica con el Titular, permiten a Yolani mejorar el Servicio. El Titular puede oponerse a estas finalidades en cualquier momento sin que ello afecte la continuidad del Servicio:

• Envío de comunicaciones promocionales, boletines informativos, novedades y campañas de marketing relacionadas con productos o funcionalidades de Yolani.
• Estudios internos de analítica, segmentación, perfilamiento de uso y optimización de la experiencia.
• Evaluación de la calidad de las respuestas de los Agentes de IA y mejora del producto a partir de información agregada o disociada, conforme a las salvaguardas de la sección de procesamiento automatizado.
• Creación de perfiles agregados o anónimos sobre el comportamiento de uso.
• Encuestas de satisfacción, entrevistas con clientes y estudios de experiencia de usuario.
• Promoción de eventos, webinars y contenido educativo.
• Mención del nombre y logotipo del Cliente Empresarial como referencia comercial, salvo oposición conforme a los Términos y Condiciones.

Para oponerse al tratamiento con fines secundarios, el Titular podrá enviar una solicitud al correo yolanimexico@gmail.com indicando “Oposición a finalidades secundarias” en el asunto.

10. Base de Legitimación del Tratamiento

De conformidad con la legislación aplicable, el tratamiento de los datos personales por parte de Yolani se ampara en una o más de las siguientes bases de legitimación:

• Consentimiento del Titular: manifestación libre, específica, informada e inequívoca, obtenida al aceptar este Aviso o al activar funcionalidades específicas.
• Ejecución de un contrato: tratamiento necesario para la prestación del Servicio o para tomar medidas precontractuales solicitadas por el Titular.
• Cumplimiento de una obligación legal: tratamiento requerido por leyes fiscales, mercantiles, de protección de datos, regulatorias o por requerimientos de autoridades competentes.
• Interés legítimo: cuando los intereses de Yolani o de terceros en operar, mejorar y proteger la Plataforma no se vean superados por los derechos y libertades fundamentales del Titular. Aplicable, entre otros, a fines de seguridad, prevención de fraude, métricas operativas y mejora de producto.
• Interés vital: de manera excepcional, cuando el tratamiento sea necesario para proteger intereses esenciales del Titular o de otra persona física.

Para tratamientos basados en consentimiento, el Titular puede revocarlo en cualquier momento conforme a los procedimientos descritos más adelante, sin que ello afecte la licitud del tratamiento previo a la revocación.

11. Procesamiento Automatizado, Inteligencia Artificial y Modelos de Lenguaje

La Plataforma utiliza modelos de inteligencia artificial de terceros, incluyendo modelos de lenguaje a gran escala, de voz y de imagen, para ejecutar funcionalidades como:

• Procesamiento de lenguaje natural y comprensión de intenciones.
• Generación automática de respuestas conversacionales por texto y por voz.
• Transcripción de notas de voz y de llamadas.
• Clasificación y etiquetado de mensajes, puntuación de prospectos y detección de oportunidades comerciales, sentimiento o urgencia.
• Resúmenes automáticos de conversaciones y sugerencias para colaboradores humanos.
• Redacción de mensajes de campañas y rutinas, generación de imágenes de producto y creativos publicitarios.
• Verificaciones automáticas sobre las respuestas del Agente antes de enviarlas, para detectar desvíos de las instrucciones del Cliente.
• Búsqueda semántica sobre la base de conocimiento del Cliente mediante representaciones vectoriales (embeddings) y reordenamiento de resultados por relevancia.
• Atención de reportes en los grupos de WhatsApp de soporte por el asistente de IA de Yolani, en los términos descritos en las finalidades primarias (soporte técnico y atención al cliente).

Yolani no toma decisiones automatizadas con efectos jurídicos vinculantes ni significativamente similares para el Titular sin que exista la posibilidad de intervención humana, revisión o impugnación. El Cliente Empresarial conserva en todo momento la responsabilidad última sobre las decisiones que adopte respecto a sus Usuarios Finales y sobre las acciones que autorice ejecutar a su Agente.

11.1 Proveedores de Modelos y Servicios de IA

Para prestar estas funcionalidades, el contenido de las conversaciones, los audios, las imágenes y la configuración necesaria se transmiten a los siguientes proveedores, cuyas políticas de privacidad y términos de uso resultan adicionalmente aplicables:

• OpenAI (GPT y Whisper): generación de respuestas del Agente de IA, generación de embeddings y transcripción de notas de voz.
• Google (Gemini): generación de respuestas del Agente de IA, asistente de IA de los grupos de soporte y tareas auxiliares.
• Anthropic (Claude): generación de respuestas, modelo de respaldo y herramientas internas con las que el personal de Yolani opera el soporte.
• OpenRouter: acceso a modelos de otros laboratorios (por ejemplo, DeepSeek) para la generación de respuestas del Agente de IA. OpenRouter dirige cada solicitud a un proveedor de inferencia que sirve el modelo: de manera preferente Together AI, Baseten o DeepInfra, en los Estados Unidos, y, si no están disponibles, otro proveedor de la red de OpenRouter.
• Cohere: reordenamiento por relevancia de los resultados de la búsqueda en la base de conocimiento.
• ElevenLabs: síntesis de voz y agentes de voz para el módulo de llamadas.
• Deepgram: transcripción de audio a texto.
• fal.ai y kie.ai: generación de imágenes y video para creativos y productos personalizados (funcionalidades en beta).
• Serper: consultas a buscadores y mapas para las herramientas de prospección.

Yolani puede sustituir o agregar proveedores de capacidad equivalente para mantener la continuidad del Servicio; la lista vigente se mantiene en este Aviso.

11.2 Política de Entrenamiento de Modelos

Yolani NO entrena ni reentrena modelos de IA propios o de terceros con el contenido de las conversaciones ni con datos personales identificables de los Clientes Empresariales o Usuarios Finales, salvo que medie consentimiento expreso y explícito del Titular. Yolani contrata los servicios de los proveedores referenciados a través de sus interfaces de programación para empresas y desarrolladores, cuyas condiciones publicadas excluyen el uso de los datos enviados para entrenar los modelos del proveedor. Para los modelos a los que accede a través de OpenRouter, Yolani fija como preferentes proveedores de inferencia cuyas condiciones excluyen ese uso. Yolani no controla esas políticas ni garantiza su cumplimiento por parte del proveedor.

Yolani podrá utilizar datos agregados, anonimizados o disociados (sin posibilidad razonable de reidentificación) para fines de mejora del producto, evaluación de calidad de respuestas o investigación interna, conforme a las bases de legitimación aplicables.

12. Plazos de Conservación de los Datos

Yolani conserva los datos personales únicamente por el tiempo necesario para cumplir con las finalidades descritas en este Aviso, atender obligaciones legales y, en su caso, deslindar posibles responsabilidades. A continuación se describen los plazos máximos aplicables, los cuales podrán ajustarse según la naturaleza del dato y la legislación aplicable:

• Datos de cuenta y perfil del Cliente Empresarial: mientras la cuenta permanezca activa y hasta cinco (5) años posteriores a la cancelación, salvo obligación legal de mayor plazo.
• Conversaciones, mensajes, grabaciones y transcripciones: durante toda la vigencia de la cuenta y hasta veinticuatro (24) meses posteriores a su cierre, salvo que el Cliente Empresarial solicite antes su supresión o exportación.
• Mensajes de los grupos de WhatsApp de soporte y notas internas de gestión de la Cuenta: mientras la Cuenta permanezca activa y hasta veinticuatro (24) meses posteriores a su cierre, igual que las conversaciones.
• Registros técnicos de los turnos del Agente de IA: por un plazo corto, definido internamente en días, únicamente para diagnóstico de fallas.
• Registros de auditoría, logs y telemetría: hasta veinticuatro (24) meses, ampliables si existe investigación de seguridad o requerimiento legal.
• Credenciales de sesión de WhatsApp vinculado por QR: mientras el canal permanezca conectado; al desconectarlo o cerrar la sesión desde el teléfono, quedan inutilizables y se eliminan junto con sus respaldos en el ciclo siguiente.
• Datos fiscales y de facturación: hasta el plazo establecido por la legislación fiscal aplicable, que en México es de cinco (5) años posteriores a la generación del comprobante.
• Datos de marketing: hasta que el Titular se oponga al tratamiento o solicite su eliminación.
• Respaldos: los datos pueden permanecer en respaldos por hasta noventa (90) días después de su eliminación del entorno productivo, debido a los ciclos de rotación de respaldos.
• Datos sujetos a litigio o investigación: hasta la resolución firme del procedimiento.
• Hash del número de WhatsApp de la prueba gratuita: se conserva aun después de cerrar la cuenta, porque su única finalidad es evitar pruebas repetidas; no permite recuperar el número.

Una vez vencidos los plazos aplicables, o antes si el Titular o el Cliente Empresarial lo solicitan y no existe obligación legal de conservación, los datos personales serán suprimidos, anonimizados o disociados de manera que ya no permitan la identificación del Titular.

13. Transferencias, Remisiones y Sub-encargados

Ubicación del tratamiento. La infraestructura principal de la Plataforma (servidores de aplicación, base de datos, archivos cargados y sesiones de WhatsApp vinculadas por QR), su réplica de contingencia y sus respaldos se alojan en centros de datos de proveedores de infraestructura ubicados en los Estados Unidos de América. Los proveedores de modelos de IA, de mensajería, de telefonía, de pagos y de analítica también procesan datos principalmente en ese país. En consecuencia, el tratamiento de los datos personales implica transferencias y remisiones internacionales, que el Titular consiente al aceptar este Aviso, sin perjuicio de las excepciones al consentimiento que la LFPDPPP prevé para las remisiones a Encargados y para el cumplimiento de la relación jurídica con el Titular.

13.1 Remisiones Necesarias

Yolani podrá comunicar datos personales a Encargados que actúen por su cuenta y siguiendo sus instrucciones documentadas, tales como:

• Proveedores de infraestructura en la nube, almacenamiento de respaldos y servicios de cómputo.
• Proveedores de mensajería, telefonía, notificaciones push y correo electrónico.
• Procesador de pagos y proveedor de facturación electrónica.
• Proveedores de modelos de IA, transcripción, síntesis de voz, generación de imágenes y búsqueda.
• Herramientas de monitoreo de errores y observabilidad.
• Plataformas externas conectadas voluntariamente por el Cliente Empresarial.

En todos los casos, Yolani contrata a sus Encargados y sub-encargados bajo condiciones que los obligan a la confidencialidad, a la seguridad de la información y a tratar los datos exclusivamente conforme a las instrucciones de Yolani y para las finalidades autorizadas.

13.2 Transferencias a Terceros

Yolani podrá transferir datos personales a terceros únicamente en los siguientes supuestos:

• Cuando exista autorización expresa del Titular o del Cliente Empresarial, incluida la que otorga al conectar una integración, un asistente de IA externo o al compartir datos con un Partner, y la que otorga quien pide en el directorio de partners que lo contacte uno: sus datos se transfieren a ese partner para la finalidad «Directorio de partners» de la sección 8, y el partner los trata como responsable bajo su propio aviso de privacidad.
• Cuando la transferencia sea necesaria para cumplir una obligación legal o un mandato judicial.
• A autoridades competentes que lo soliciten en ejercicio de sus atribuciones.
• A entidades del mismo grupo corporativo o filiales para fines administrativos compatibles con el presente Aviso.
• En el contexto de operaciones corporativas (fusiones, adquisiciones, escisiones, reestructuras), garantizando que el cesionario asuma las mismas obligaciones de protección.

Tratándose de transferencias internacionales a terceros, Yolani implementará las salvaguardas que la legislación aplicable exija, incluyendo cláusulas contractuales que impongan al receptor las mismas obligaciones que asume Yolani conforme a este Aviso.

13.3 Listado de Sub-encargados

Yolani publica en la sección siguiente su lista de Encargados y sub-encargados principales y la mantiene actualizada. Yolani notificará con razonable anticipación la incorporación de nuevos sub-encargados que impliquen tratamiento sustancial de datos personales del Cliente, conforme a lo previsto en los Términos y Condiciones, y el Cliente Empresarial podrá oponerse por motivos fundados en materia de protección de datos.

13.4 Sub-encargados y Proveedores Activos

A continuación se presenta el listado de sub-encargados y proveedores tecnológicos que intervienen en la prestación del Servicio, con su finalidad y país principal de procesamiento:

Servicios operados por Yolani. El envío y recepción de correo electrónico del Servicio, la base de datos vectorial para la búsqueda semántica y la conexión de WhatsApp por código QR se ejecutan en la propia infraestructura de Yolani (alojada en los proveedores de infraestructura indicados), sin intervención de un tercero adicional.

La incorporación, sustitución o terminación de un sub-encargado se refleja en esta lista sin necesidad de reemitir el Aviso completo, sin perjuicio de las obligaciones de notificación previstas en los Términos y Condiciones del Servicio o en acuerdos corporativos específicos.

13.5 Tokenización de Datos de Pago (PCI-DSS)

Yolani no almacena directamente el número de tarjeta completo, fecha de expiración, ni el código de seguridad (CVV/CVC) de instrumentos de pago. Estos datos se transmiten directamente desde el dispositivo del Titular a Stripe, procesador certificado PCI-DSS, que regresa a la Plataforma únicamente un identificador tokenizado que carece de utilidad fuera del procesador. Yolani conserva metadatos no sensibles (últimos cuatro dígitos, marca, fecha de expiración) con fines exclusivos de soporte, cobranza y prevención de fraude. Los cobros con tarjeta que el Cliente Empresarial realiza a sus propios clientes en Yolani Counter se procesan en la terminal del tercero que el Cliente contrate y no pasan por Yolani.

14. Cookies, Pixeles y Tecnologías Similares

La Plataforma utiliza cookies y tecnologías similares (web beacons, pixels, local storage, identificadores de dispositivo, fingerprints técnicos) para los siguientes fines:

• Mantener sesiones activas y autenticación segura.
• Recordar preferencias y configuraciones del usuario (idioma, vista, tema).
• Realizar análisis estadísticos sobre el uso de la Plataforma.
• Medir el rendimiento de campañas de marketing y atribución de conversiones.
• Detectar y prevenir actividad fraudulenta, ataques automatizados y abuso del Servicio.
• Personalizar la experiencia y mostrar contenido relevante.

El Titular podrá deshabilitar las cookies desde la configuración de su navegador. Sin embargo, ciertas funcionalidades podrían dejar de operar correctamente. Para más detalles, consultar la Política de Cookies.

15. Derechos ARCO bajo la LFPDPPP (México)

Conforme a la LFPDPPP, todo Titular ubicado en México o cuyos datos sean tratados por Yolani como Responsable mexicano, tendrá derecho a ejercer en cualquier momento sus derechos ARCO:

• Acceso: conocer qué datos personales tenemos, para qué los utilizamos y las condiciones de su tratamiento.
• Rectificación: solicitar la corrección de datos inexactos, incompletos o desactualizados.
• Cancelación: solicitar la eliminación de datos personales cuando no estemos cumpliendo con las disposiciones aplicables o cuando hayan dejado de ser necesarios.
• Oposición: oponerse al uso de datos para fines específicos cuando exista causa legítima.

Yolani comunicará al Titular la determinación adoptada dentro de un plazo máximo de veinte (20) días, contados a partir de la fecha en que se reciba la solicitud, y, de resultar procedente, la hará efectiva dentro de los quince (15) días siguientes a la fecha en que se comunique la respuesta, conforme a la LFPDPPP. Dichos plazos podrán ampliarse por una sola vez y por periodos iguales cuando las circunstancias lo justifiquen, informándolo al Titular. El ejercicio de los derechos ARCO es gratuito; únicamente podrán cobrarse los costos justificados de reproducción, certificación o envío en soportes distintos al electrónico.

16. Derechos bajo el GDPR (Unión Europea, EEE y Reino Unido)

Cuando el Titular se ubique en territorio de la Unión Europea, del Espacio Económico Europeo o del Reino Unido, además de los derechos ARCO, le corresponderán los derechos previstos por el Reglamento General de Protección de Datos:

• Derecho a la información: recibir información transparente sobre el tratamiento.
• Derecho de acceso: obtener confirmación sobre si se están tratando datos y, en su caso, copia de los mismos.
• Derecho de rectificación: corregir datos inexactos o incompletos.
• Derecho de supresión (“derecho al olvido”): solicitar la eliminación de datos cuando concurran ciertas circunstancias.
• Derecho a la limitación del tratamiento: restringir temporalmente el uso de los datos.
• Derecho a la portabilidad: recibir los datos personales en un formato estructurado, de uso común y lectura mecánica, o transmitirlos a otro Responsable.
• Derecho de oposición: oponerse al tratamiento, incluido el perfilamiento.
• Derechos relacionados con decisiones automatizadas: no ser objeto de decisiones basadas únicamente en tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos.
• Derecho a presentar reclamaciones ante la autoridad de control: Agencia Española de Protección de Datos, ICO en Reino Unido o autoridad equivalente del país de residencia.

17. Derechos bajo CCPA y CPRA (California, EE.UU.)

Los Titulares residentes en el estado de California, Estados Unidos de América, gozarán de los siguientes derechos:

• Derecho a saber: conocer las categorías de datos personales recolectados, las fuentes, los fines y los terceros con quienes se comparten.
• Derecho a eliminar: solicitar la eliminación de datos personales sujeto a las excepciones aplicables.
• Derecho a corregir: rectificar datos personales inexactos.
• Derecho a optar por no participar (“Opt-Out”): oponerse a la “venta” o “compartición” de datos personales conforme a la definición que la CCPA/CPRA otorga a estos términos.
• Derecho a limitar el uso de datos personales sensibles.
• Derecho a no recibir trato discriminatorio por ejercer sus derechos.
• Derecho a designar un agente autorizado para presentar solicitudes en su nombre.

Yolani no “vende” datos personales en el sentido definido por la CCPA. La compartición de datos con sub-encargados se realiza únicamente para la prestación del Servicio bajo cláusulas contractuales que excluyen el uso de los datos con fines comerciales propios de los sub-encargados.

18. Derechos bajo la LGPD (Brasil)

Los Titulares ubicados en Brasil podrán ejercer los derechos previstos en la Lei Geral de Proteção de Dados, en particular:

• Confirmación de la existencia del tratamiento.
• Acceso a los datos.
• Corrección de datos incompletos, inexactos o desactualizados.
• Anonimización, bloqueo o eliminación de datos innecesarios, excesivos o tratados en desacuerdo con la LGPD.
• Portabilidad de datos a otro proveedor de servicios.
• Eliminación de datos tratados con consentimiento, salvo las excepciones legales.
• Información sobre las entidades públicas o privadas con las que se comparten los datos.
• Información sobre la posibilidad de no proporcionar consentimiento y las consecuencias.
• Revocación del consentimiento.
• Revisión de decisiones automatizadas.

Las solicitudes podrán dirigirse al Encargado de Protección de Datos (“Encarregado”) al correo de contacto indicado en este Aviso.

19. Otros Marcos Internacionales (PIPEDA, APPI, POPIA, PDPA y Demás)

Cuando los Titulares se encuentren en jurisdicciones distintas a las anteriormente mencionadas, Yolani reconocerá y atenderá los derechos sustancialmente equivalentes a los ARCO (acceso, rectificación, supresión, oposición, portabilidad y revocación del consentimiento) previstos en la legislación local aplicable, en la medida en que dicha legislación le resulte vinculante. Esto incluye, en particular, las leyes de protección de datos de los países de América Latina en los que Yolani presta el Servicio (entre otros, Argentina, Colombia, Chile y Perú), cuyos Titulares podrán además acudir ante la autoridad de protección de datos de su país.

20. Procedimiento para el Ejercicio de Derechos

Para ejercer cualquiera de los derechos descritos, el Titular deberá enviar una solicitud por escrito al correo electrónico yolanimexico@gmail.com, acompañada de la siguiente información:

• Nombre completo y domicilio o medio para recibir notificaciones.
• Identificación oficial vigente que acredite la identidad (cuando proceda) o, en su caso, los datos del representante legal junto con la documentación que acredite su personalidad.
• Descripción clara y precisa de los datos personales respecto de los cuales se ejerce el derecho y el derecho concreto que se desea ejercitar.
• Cualquier otro elemento que facilite la localización de los datos personales.

Yolani podrá solicitar información complementaria razonablemente necesaria para atender la solicitud o para verificar la identidad del solicitante. La respuesta será comunicada por el mismo medio en el que se recibió la solicitud, salvo que el Titular indique un canal distinto. Cuando proceda la entrega de copias o reproducciones, las mismas se entregarán en formato electrónico, sin costo, salvo aquellos gastos justificados de envío o reproducción en soportes distintos al electrónico.

La negativa al ejercicio de un derecho será fundada y motivada e informada al Titular. En México, si el Titular considera que su solicitud no fue debidamente atendida, o no recibe respuesta en el plazo legal, podrá presentar una solicitud de protección de datos ante la Secretaría Anticorrupción y Buen Gobierno dentro del plazo que la LFPDPPP establece a partir de la respuesta o de su omisión, y, en su caso, acudir a los medios de impugnación que la propia Ley prevé. Los Titulares ubicados en otras jurisdicciones podrán acudir ante la autoridad de control que les corresponda.

21. Revocación del Consentimiento

El Titular podrá revocar su consentimiento para el tratamiento de datos personales en cualquier momento, sin que se le atribuyan efectos retroactivos respecto al tratamiento previo lícitamente realizado. La revocación deberá manifestarse por los mismos medios establecidos para el ejercicio de derechos ARCO.

La revocación del consentimiento puede afectar la prestación del Servicio, ya que ciertos tratamientos son indispensables para la operación de la Plataforma. En esos supuestos, Yolani notificará al Titular las consecuencias de la revocación y podrá dar por terminada la relación contractual cuando ya no exista base legal para continuar el tratamiento.

22. Limitación al Uso y Divulgación

El Titular tendrá derecho, conforme a la LFPDPPP, a solicitar su inscripción en un listado de exclusión interno gestionado por Yolani, con el objetivo de limitar el uso o divulgación de sus datos personales para fines secundarios, comerciales o de marketing. Asimismo, el Titular podrá inscribirse en el Registro Público para Evitar Publicidad operado por la Procuraduría Federal del Consumidor (“PROFECO”), o en registros similares aplicables en su jurisdicción.

Para inscribirse en el listado de exclusión interno de Yolani, el Titular deberá enviar su solicitud al correo de contacto de privacidad indicando “Listado de exclusión” en el asunto.

23. Medidas de Seguridad

Yolani implementa y mantiene medidas administrativas, físicas y técnicas razonables y adecuadas para proteger los datos personales contra daño, pérdida, alteración, destrucción, uso, acceso o tratamiento no autorizado, considerando los riesgos existentes, las consecuencias potenciales para los Titulares, la sensibilidad de los datos y el desarrollo tecnológico.

23.1 Medidas Técnicas

• Cifrado en tránsito mediante TLS 1.2 o superior para todas las comunicaciones entre las Aplicaciones, los navegadores y los servidores de Yolani, y entre Yolani y sus proveedores.
• Cifrado a nivel de aplicación de los tokens de acceso de las integraciones (Meta, Google, Calendly, Notion y demás) y de los secretos de autenticación de dos factores; contraseñas almacenadas únicamente como hash con sal.
• Aislamiento lógico (multi-tenancy) entre los datos de distintos Clientes Empresariales, aplicado en cada consulta a la base de datos.
• Autenticación de dos factores disponible para todos los usuarios, sesiones con caducidad y revocación, y límites de intentos de acceso.
• Control de accesos basado en roles y permisos, con registro de auditoría de las acciones relevantes, incluidos los accesos del personal de soporte de Yolani a las cuentas.
• Protección perimetral del sitio y de las aplicaciones mediante un proveedor de red de borde, límites de frecuencia en la API y verificación de firma en los webhooks entrantes de terceros.
• Auditoría automatizada de vulnerabilidades en las dependencias de software en cada cambio de código, con bloqueo del despliegue ante hallazgos de severidad alta o crítica.
• Gestión de parches y actualizaciones de seguridad de sistemas operativos, contenedores, frameworks y dependencias.
• Segregación de los entornos de producción y desarrollo.
• Registro y monitoreo de errores y de la salud de los servicios, con alertas al equipo técnico.

Los discos de los servidores y los respaldos no cuentan hoy con cifrado adicional al que provee el proveedor de infraestructura; la protección se apoya en el control de acceso a los servidores, restringido a personal autorizado mediante llaves criptográficas.

23.2 Medidas Administrativas

• Acceso a los sistemas productivos limitado al personal técnico autorizado, con altas y bajas de accesos al cambiar la relación con Yolani.
• Obligaciones de confidencialidad y de protección de datos para el personal y los proveedores con acceso a información de los Clientes.
• Procedimiento interno de respuesta a incidentes de seguridad, con registro de lo ocurrido y de las medidas adoptadas.
• Revisión de las prácticas de privacidad y seguridad de los proveedores antes de incorporarlos como sub-encargados.
• Documentación técnica interna de la arquitectura, los flujos de datos y los riesgos conocidos, actualizada con cada cambio relevante.

23.3 Medidas Físicas

• Uso de centros de datos operados por proveedores de infraestructura reconocidos, con controles de acceso físico, vigilancia y planes de contingencia propios de la industria, y con las certificaciones que cada proveedor publica.
• Yolani no opera centros de datos propios. Para los equipos de trabajo de su personal aplica controles razonables de acceso, bloqueo de sesión y custodia.

23.4 Continuidad del Negocio y Respaldo

• Respaldo diario de la base de datos y de los archivos cargados, y respaldo periódico de las sesiones de WhatsApp, almacenados en un proveedor de infraestructura distinto del principal.
• Réplica continua de la base de datos en un servidor de contingencia y espejo adicional de respaldos en un servicio de almacenamiento de objetos.
• Validación automática de la integridad de cada respaldo de base de datos al generarse.
• Procedimiento documentado de recuperación ante desastres, que Yolani se compromete a probar periódicamente.

Reconocimiento del Titular: el Titular reconoce que ningún sistema de información, sin importar el grado de inversión o sofisticación, es absolutamente inmune a vulnerabilidades, ataques cibernéticos, acciones de terceros, errores humanos o eventos de fuerza mayor. En consecuencia, Yolani no garantiza un nivel absoluto de seguridad ni la inviolabilidad de los sistemas, sino el cumplimiento de medidas razonables conforme al estado del arte y a la naturaleza de los datos tratados.

24. Notificación de Vulneraciones de Seguridad

Yolani cuenta con un protocolo formal de gestión de incidentes que contempla la identificación, contención, erradicación, recuperación y comunicación de eventos que afecten la confidencialidad, integridad o disponibilidad de los datos personales.

En caso de que se materialice una vulneración de seguridad que afecte de forma significativa los derechos patrimoniales o morales de los Titulares, Yolani la informará a éstos sin dilación indebida, una vez verificada la naturaleza, alcance y consecuencias del evento. La comunicación se realizará por los medios razonables disponibles, incluyendo correo electrónico, notificaciones dentro de la Plataforma o, cuando ello no sea posible, mediante avisos públicos en el sitio web.

El aviso incluirá, en la medida en que la información esté razonablemente disponible:

• Naturaleza del incidente y categorías de datos involucrados.
• Medidas adoptadas para contenerlo, remediarlo y mitigar sus consecuencias.
• Recomendaciones al Titular para proteger sus intereses.
• Datos de contacto para obtener mayor información.

Cuando la legislación aplicable lo exija, Yolani notificará el incidente a las autoridades competentes y a los Titulares afectados en los plazos correspondientes. En México, conforme a la LFPDPPP, las vulneraciones de seguridad que afecten de forma significativa los derechos patrimoniales o morales de los Titulares se comunican a éstos sin dilación, a fin de que puedan tomar las medidas pertinentes para la defensa de sus derechos; en el ámbito del GDPR, la notificación a la autoridad de control se realiza, por regla general, dentro de las 72 horas. Lo anterior, sin que ello implique aceptación de responsabilidad.

Limitaciones: Yolani no estará obligado a notificar incidentes que (i) no comporten un riesgo material para los derechos del Titular, (ii) afecten exclusivamente datos disociados o anonimizados, o (iii) hayan sido totalmente contenidos sin acceso efectivo de terceros no autorizados a la información.

25. Disponibilidad del Servicio y Eventos de Fuerza Mayor

Yolani realizará esfuerzos razonables para mantener disponible la Plataforma de manera continua. No obstante, el Titular reconoce que la prestación del Servicio puede sufrir interrupciones, fallas o degradaciones derivadas de mantenimiento programado o de circunstancias ajenas al control razonable de Yolani, incluyendo de forma enunciativa pero no limitativa:

• Fallas de proveedores de infraestructura, red, energía o telecomunicaciones.
• Indisponibilidad de las APIs de terceros, incluyendo Meta, Google, Stripe, OpenAI u otros proveedores tecnológicos.
• Cambios unilaterales en términos, políticas o disponibilidad de servicios de terceros.
• Caídas regionales, fallos de DNS o eventos en la red global de Internet.
• Ataques cibernéticos, denegaciones de servicio, intrusiones o malware.
• Decisiones de autoridad, órdenes regulatorias, sanciones o bloqueos.
• Caso fortuito y fuerza mayor, incluyendo sismos, inundaciones, incendios, pandemias, conflictos armados, manifestaciones, huelgas u otros eventos extraordinarios.

Yolani no será responsable por la indisponibilidad temporal del Servicio cuando la misma derive de los eventos descritos. En todo caso, Yolani realizará esfuerzos razonables para restablecer el Servicio en el menor tiempo posible y comunicará oportunamente al Cliente cualquier afectación significativa.

26. Limitación de Responsabilidad en Materia de Privacidad

En la máxima medida permitida por la legislación aplicable, y sin perjuicio de las obligaciones que la ley impone como responsabilidades inderogables, el Titular y el Cliente Empresarial reconocen y aceptan que:

• El Servicio se proporciona “tal como está” y “según disponibilidad”, sin garantías implícitas distintas a las exigidas por ley.
• Yolani no será responsable por daños indirectos, incidentales, especiales, consecuentes, punitivos, lucro cesante, pérdida de oportunidad o pérdida de información derivados del uso o imposibilidad de uso del Servicio, incluso cuando se hubiere advertido sobre la posibilidad de dichos daños.
• La responsabilidad agregada de Yolani por cualquier reclamación relacionada con el tratamiento de datos personales se encontrará limitada, en cada anualidad, al monto efectivamente pagado por el Cliente Empresarial a Yolani durante los doce (12) meses inmediatamente anteriores al evento que dio origen a la reclamación, con un mínimo equivalente a tres (3) mensualidades del plan vigente.
• Lo anterior no aplica a casos de dolo, fraude, negligencia grave imputable directamente a Yolani o a aquellos supuestos en que la legislación local prohíba la limitación de responsabilidad.

El Cliente Empresarial reconoce que es el Responsable principal del cumplimiento de sus obligaciones de privacidad frente a sus propios Usuarios Finales, incluyendo la obtención de consentimientos válidos, la atención de derechos y la respuesta ante autoridades. Yolani actúa, en esos supuestos, como Encargado y no asumirá responsabilidades que correspondan al Responsable conforme a la legislación aplicable.

27. Indemnización

El Cliente Empresarial se obliga a sacar en paz y a salvo a Yolani, sus accionistas, consejeros, directivos, empleados, representantes y agentes (en adelante, las “Personas Indemnizadas”) frente a cualquier reclamación, demanda, sanción, multa, gasto razonable de defensa o daño que se origine como consecuencia de:

• Uso indebido de la Plataforma por parte del Cliente o sus colaboradores.
• Tratamiento de datos personales de Usuarios Finales en contravención a la legislación aplicable o sin contar con base legal suficiente.
• Falta de aviso de privacidad propio del Cliente Empresarial respecto a sus Usuarios Finales.
• Información falsa, ilícita o que infrinja derechos de terceros, ingresada o transmitida a través de la Plataforma.
• Reclamaciones derivadas del incumplimiento por parte del Cliente Empresarial de los Términos y Condiciones, del presente Aviso o de la legislación aplicable.

Yolani notificará oportunamente al Cliente Empresarial cualquier reclamación cubierta por esta cláusula y podrá colaborar razonablemente en la defensa, sin perjuicio del derecho de Yolani a participar con asesoría propia.

28. Privacidad de Menores de Edad

La Plataforma no está dirigida a menores de dieciocho (18) años de edad. Yolani no recopila ni trata intencionalmente datos personales de menores. En caso de tener conocimiento de que se han recolectado datos personales de un menor sin el consentimiento del padre, madre o tutor, Yolani procederá a su eliminación inmediata de sus sistemas, salvo obligación legal de conservación.

Cuando un Cliente Empresarial requiera tratar datos personales de menores en su operación, será responsabilidad exclusiva de dicho Cliente obtener los consentimientos necesarios y cumplir con las obligaciones legales adicionales aplicables (incluyendo la COPPA en Estados Unidos cuando proceda).

29. Marca Blanca, Agencias y Procesamiento como Encargado

Yolani opera un modelo de marca blanca que permite a agencias, integradores y partners autorizados (en adelante, los “Partners”) ofrecer la Plataforma a sus propios clientes bajo una identidad comercial distinta. En este esquema, los Partners administran sub-cuentas (tenants) de sus clientes finales y conservan ciertas atribuciones administrativas.

29.1 Cadena de Responsabilidades

La cadena de responsabilidades en el esquema de marca blanca es la siguiente:

• Cliente Final: Responsable principal frente a sus Usuarios Finales.
• Partner / Agencia: Encargado del tratamiento respecto al Cliente Final, y publica su propio aviso de privacidad y términos.
• Yolani: Sub-encargado técnico bajo instrucciones del Partner.

29.2 Obligaciones del Partner

El Partner se obliga a:

• Publicar su propio aviso de privacidad, términos de servicio y política de cookies frente a sus Clientes Finales en su dominio de marca blanca.
• Atender directamente el ejercicio de derechos por parte de los Titulares de sus Clientes.
• Cumplir con las obligaciones de notificación de incidentes hacia sus Clientes Finales y, en su caso, hacia las autoridades.
• Implementar medidas de seguridad razonables en sus propios sistemas y procesos.
• Asumir frente a sus Clientes Finales la responsabilidad por uso indebido o por configuraciones realizadas por su personal.

29.3 Datos Aislados por Sub-cuenta

La Plataforma implementa segregación lógica multi-tenant. Los datos personales tratados dentro de una sub-cuenta no son accesibles desde otras sub-cuentas de otros Clientes. El Partner que administra una sub-cuenta puede acceder a su configuración, a sus usuarios, a su consumo y facturación y, en la medida en que la administre en nombre de su Cliente Final, a la información operativa de esa sub-cuenta, para fines de soporte, configuración y administración. El Cliente Final debe conocer y consentir ese acceso en su relación con el Partner.

29.4 Pagos a Partners

Cuando los Partners conectan su propia cuenta de Stripe (Stripe Connect) para cobrar a sus Clientes Finales, los datos de tarjeta los captura y trata Stripe bajo sus propias políticas; Yolani no los recibe, y esos cobros no son ingresos de Yolani salvo por la comisión de la Plataforma. Yolani no responde por las obligaciones fiscales o comerciales del Partner frente a sus Clientes Finales.

• Como encargado del Partner, Yolani trata los datos que el Cliente Final captura al contratar en la página de planes del Partner (nombre del negocio, nombre y apellido, correo, WhatsApp y contraseña) para crear su sub-cuenta, y conserva de los avisos de Stripe el identificador del cliente, de la suscripción y de la factura, el plan, el importe, la moneda, la comisión, la fecha y el resultado de cada cobro.
• Con ellos registra cada cobro, muestra al Partner el estado de pago de sus clientes y pausa o reactiva la sub-cuenta según la configuración de falta de pago del Partner. Se conservan mientras dure la relación con el Partner y, después, durante los plazos fiscales y contables de la sección de conservación.

El presente Aviso resulta aplicable de manera supletoria, en lo conducente, para los aspectos no cubiertos por el aviso del Partner. En todo caso, Yolani conserva el deber general de diligencia respecto a la infraestructura y la operación técnica del Servicio.

29.5 Reporte Mensual a los Clientes del Partner

En las sub-cuentas de Yolani Partners, Yolani envía cada mes por correo, como encargado y a nombre del Partner (con su marca, salvo que venda con la marca Yolani), un reporte del mes que terminó al dueño de la sub-cuenta y a los correos adicionales que el Partner indique. El reporte contiene solo cifras agregadas de la propia Cuenta (conversaciones atendidas, contactos nuevos, citas agendadas y pedidos tomados por el Agente con su monto, conversaciones que pasaron al equipo y los horarios en que más escriben) y no identifica a ningún Usuario Final. El Partner puede apagarlo para cada cliente, y no se envía en un mes sin actividad del Agente.

29.6 Directorio de Partners

El Partner que lo decide publica en el directorio de Yolani su nombre, logotipo, ubicación, descripción, giros e idiomas que atiende, sitio web y WhatsApp; puede retirarlo cuando quiera, y deja de mostrarse si su plan no está vigente. Las solicitudes de contacto que recibe por el directorio se rigen por la finalidad «Directorio de partners» de la sección 8: desde que el Partner las recibe, las trata como responsable bajo su propio aviso de privacidad, y solo puede usarlas para atender lo que el solicitante pidió.

30. Datos de Mensajería y Canales de Terceros

La Plataforma se integra con servicios provistos por Meta Platforms, Inc. (“Meta”), incluyendo WhatsApp Cloud API, Instagram, Facebook Messenger y las cuentas publicitarias de Meta, así como con Google, Stripe, operadores de telefonía, proveedores de modelos de IA y los demás terceros listados en la sección de sub-encargados. Al utilizar dichas integraciones:

• El Titular y el Cliente Empresarial reconocen que los términos de uso, políticas comerciales y avisos de privacidad de tales terceros aplican adicionalmente al tratamiento.
• Yolani no controla las políticas, decisiones unilaterales, suspensiones o interrupciones implementadas por dichos proveedores.
• El Titular debe informarse y aceptar de manera independiente los términos del proveedor correspondiente.

Yolani no se hace responsable por la indisponibilidad, modificación o eliminación de funcionalidades de terceros, ni por las consecuencias derivadas de incumplimientos atribuibles al Cliente o al Usuario Final ante dichos proveedores.

30.1 WhatsApp: Cloud API y Vinculación por Código QR

Cuando el Cliente Empresarial conecta WhatsApp mediante Cloud API, los mensajes se intercambian a través de los servidores de Meta, que los trata conforme a sus propias políticas para WhatsApp Business; Yolani conserva, cifrados a nivel de aplicación, los tokens de acceso que Meta emite para la cuenta del Cliente.

Cuando el Cliente Empresarial activa la vinculación mediante código QR, Yolani almacena en su infraestructura las credenciales de sesión necesarias para mantener la conexión activa, así como copias de respaldo de las mismas. Estas credenciales se guardan en un directorio separado por empresa, en servidores con acceso restringido al personal y a los procesos que operan el canal, y no se cifran de forma adicional a nivel de aplicación. Constituyen un mecanismo técnico de autenticación frente a los servidores de Meta y no deben compartirse con terceros. El Cliente puede invalidarlas en cualquier momento desconectando el canal desde la Plataforma o cerrando la sesión del dispositivo vinculado desde su teléfono. La vinculación por código QR no forma parte de la API oficial de WhatsApp Business; su uso está sujeto a las condiciones impuestas por Meta y puede ser interrumpido unilateralmente por dicho proveedor sin previo aviso, sin que ello implique responsabilidad de Yolani.

30.2 Integraciones Conectadas Voluntariamente

La Plataforma permite al Cliente Empresarial conectar voluntariamente integraciones adicionales mediante OAuth, API Keys u otros mecanismos. Las principales incluyen, sin limitar:

• Google Calendar y Calendly para sincronización de agenda y disponibilidad.
• Google Sheets y Notion para que el Agente registre y consulte datos en hojas y bases autorizadas.
• EasyBroker para que el Agente busque y comparta propiedades inmobiliarias.
• Stripe, para que el Agente genere enlaces de pago a nombre del Cliente, y Stripe Connect para los cobros de los Partners a sus clientes finales.
• La cuenta publicitaria de Meta, para crear campañas y atribuir conversaciones a anuncios.
• Asistentes de IA externos compatibles con el protocolo MCP, a los que el Cliente autoriza consultar y operar su cuenta.
• Otros proveedores publicados en el catálogo de integraciones.

Al activar una integración, el Cliente autoriza expresamente la transmisión de datos entre la Plataforma y el proveedor correspondiente para el fin de la integración. La revocación de la integración no garantiza la eliminación automática de datos previamente sincronizados al sistema externo, lo cual deberá gestionarse directamente con dicho proveedor.

30.3 Webhooks Salientes y Datos Transmitidos

La Plataforma puede enviar eventos hacia URLs configuradas por el Cliente Empresarial (webhooks salientes). El contenido de dichos webhooks puede incluir datos personales (mensajes, contactos, metadatos de conversaciones). El Cliente Empresarial es plenamente responsable de garantizar la seguridad del endpoint receptor (HTTPS, autenticación, validación de firma) y del tratamiento posterior de los datos recibidos.

31. Solicitudes de Autoridades y Conservación Ampliada

Yolani podrá divulgar datos personales cuando exista mandato judicial, requerimiento de autoridad competente, orden ministerial o cuando ello sea necesario para cumplir obligaciones legales. En tales casos, Yolani:

• Verificará la legitimidad y alcance de la solicitud.
• Limitará la divulgación a la información estrictamente necesaria.
• Cuando esté legalmente permitido, notificará al Titular o al Cliente Empresarial sobre la solicitud.
• Documentará el evento en sus registros de auditoría.

Yolani podrá conservar datos por períodos extendidos cuando ello sea necesario para atender investigaciones, litigios, auditorías regulatorias o requerimientos de autoridades, incluso después de que el Titular haya solicitado su eliminación, siempre que la conservación se encuentre legalmente justificada.

32. Auditorías, Certificaciones y Cumplimiento Continuo

Yolani busca mejorar continuamente sus prácticas de privacidad y seguridad. Para ello, implementa programas internos de cumplimiento, realiza revisiones periódicas de sus controles, ejecuta pruebas de seguridad y, cuando resulte aplicable, somete ciertos componentes a auditorías independientes y certificaciones de la industria.

Los Clientes Empresariales con planes corporativos o enterprise podrán solicitar información adicional sobre las medidas de cumplimiento, certificaciones vigentes y reportes de auditoría disponibles, sujeto a la suscripción de acuerdos de confidencialidad razonables.

33. Cambios al Aviso de Privacidad

Yolani se reserva el derecho a modificar el presente Aviso en cualquier momento para reflejar cambios legislativos, operativos, comerciales o tecnológicos. Las modificaciones serán publicadas en yolani.co/privacidad, indicando la fecha de la última actualización.

Cuando los cambios sean sustanciales, Yolani notificará al Titular por correo electrónico, mediante aviso destacado dentro de la Plataforma o por cualquier otro medio razonable, con la antelación que la legislación aplicable exija.

El uso continuado de la Plataforma con posterioridad a la entrada en vigor de las modificaciones constituirá aceptación tácita de las mismas, salvo que el Titular ejerza su derecho de oposición o cancelación.

34. Resolución de Disputas, Ley Aplicable y Jurisdicción

El presente Aviso, así como cualquier controversia relacionada con la interpretación o ejecución del mismo, se rige por las leyes federales aplicables en México (Estados Unidos Mexicanos). Las partes se someten expresamente a la jurisdicción de los tribunales competentes en Monterrey, Nuevo León, México, renunciando a cualquier otro fuero que pudiera corresponderles por razón de su domicilio presente o futuro.

Lo anterior, sin perjuicio de los derechos imperativos que correspondan al Titular conforme a la legislación de protección de datos personales del país donde tenga su residencia habitual, así como del derecho del Titular a presentar reclamaciones ante las autoridades de protección de datos competentes (la Secretaría Anticorrupción y Buen Gobierno en México, AEPD en España, ICO en Reino Unido, ANPD en Brasil, o la autoridad equivalente en su jurisdicción).

35. Idioma, Versiones y Conflictos de Traducción

La versión oficial del presente Aviso es la redactada en idioma español. Cualquier traducción a otro idioma se proporciona únicamente como cortesía. En caso de conflicto entre versiones, prevalecerá la versión en español, salvo que la legislación local del Titular exija lo contrario.

36. Divisibilidad e Integridad del Documento

Si alguna disposición del presente Aviso fuere declarada inválida, ilegal o inaplicable por una autoridad competente, las disposiciones restantes mantendrán su plena validez y eficacia. La invalidez de una cláusula no afectará la validez del Aviso en su conjunto.

El presente Aviso constituye, junto con los Términos y Condiciones del Servicio y la Política de Cookies, el acuerdo integral entre Yolani y el Titular respecto al tratamiento de datos personales y deja sin efecto cualquier acuerdo previo en lo que se contraponga.

37. Aceptación del Aviso de Privacidad

Al registrarse, contratar el Servicio, navegar por el sitio web o utilizar la Plataforma de cualquier manera, el Titular reconoce que ha leído, comprendido y aceptado los términos del presente Aviso de Privacidad y otorga su consentimiento para el tratamiento de sus datos personales en los términos aquí descritos. Si el Titular no está de acuerdo con cualquier disposición, deberá abstenerse de utilizar la Plataforma.

38. Contacto del Oficial de Protección de Datos

Para cualquier asunto relacionado con la privacidad, ejercicio de derechos, aclaraciones o consultas sobre el presente Aviso, el Titular podrá contactar al Departamento de Protección de Datos Personales de Yolani:

• Correo electrónico: yolanimexico@gmail.com
• WhatsApp: (81) 1502-4260, atención las 24 horas
• Domicilio: Yolani, S.A. de C.V., Av. de la Juventud 100, Col. Potrero Anáhuac, San Nicolás de los Garza, Nuevo León, C.P. 66456, México.

Yolani agradece la confianza depositada en la Plataforma y reitera su compromiso con la protección de los datos personales de los Titulares conforme a los más altos estándares aplicables.