Aviso de Privacidad Integral

01Responsable

GRUPAL AI SAS ("Grupal"), con domicilio en Cerradas Lumina 1, Libra 111, 66036, García, Nuevo León, es responsable del tratamiento de los datos personales que se describen en este Aviso. Lo emitimos conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 (la "Ley"), y a la normativa que de ella derive.

Para cualquier asunto de privacidad, escríbenos a privacidad@grupal.io.

02Los dos papeles de Grupal

Grupal trata datos personales en dos calidades distintas:

• Como responsable. Cuando tratamos los datos de las personas que crean o usan una cuenta en Grupal, es decir, nuestros clientes y los usuarios de sus organizaciones. Este Aviso regula ese tratamiento.
• Como encargado. Cuando tratamos, por cuenta de un negocio cliente, los datos de las personas con las que ese negocio se comunica, como sus prospectos, clientes o pacientes ("contactos finales"). En ese caso, el responsable es el negocio. Nosotros solo seguimos sus instrucciones, conforme al Contrato de Encargo de Tratamiento de Datos. Si eres contacto final de un negocio, consulta el aviso de privacidad de ese negocio y la sección 11 de este Aviso.

03Datos que tratamos como responsable

• Identificación y contacto: nombre, correo electrónico y, en su caso, teléfono.
• Cuenta: credenciales de acceso, factores de autenticación de dos pasos, zona horaria, país, idioma y preferencias de la interfaz. Las contraseñas se almacenan cifradas mediante funciones de hash; nunca las vemos en texto claro.
• Organización: nombre comercial, giro, tamaño del equipo y rol de cada usuario (Owner, Admin o Member).
• Facturación: plan, historial de pagos, créditos y datos fiscales. Stripe procesa los datos de las tarjetas; Grupal no almacena números completos de tarjeta.
• Aceptaciones: registro de qué versión de cada documento legal aceptaste, con fecha, hora, dirección IP y usuario.
• Datos técnicos: registros de sesión, accesos, errores y uso agregado del servicio.

Para operar tu cuenta no necesitamos datos personales sensibles tuyos.

04Datos sensibles de contactos finales

Los negocios de giros regulados, como clínicas y consultorios, pueden registrar en Grupal datos personales sensibles de sus contactos finales, por ejemplo datos de salud. Ese tratamiento lo decide y lo responde el negocio. A él le corresponde dar su aviso de privacidad y obtener el consentimiento expreso y por escrito de sus pacientes.

Grupal, como encargado, aplica a esos datos las medidas de seguridad descritas en nuestra página de Seguridad y en el Anexo de Salud. Además, pone a disposición del negocio herramientas para recabar el consentimiento con firma autógrafa digitalizada y registro de evidencia.

05Finalidades

Finalidades primarias, necesarias para prestarte el servicio:

1. Crear, autenticar y administrar tu cuenta y tu organización.
2. Operar los agentes de inteligencia artificial, el CRM, los embudos, el calendario, las citas, los formularios y las métricas.
3. Cobrar el servicio, emitir comprobantes fiscales y administrar planes y créditos.
4. Darte soporte y avisarte de cambios en el servicio, en nuestros documentos legales o de incidentes de seguridad.
5. Proteger la seguridad de la plataforma, prevenir fraudes y cumplir obligaciones legales.
6. Conservar la evidencia de tus aceptaciones de los documentos legales.

Finalidades secundarias, que no son necesarias para el servicio:

1. Mejorar el producto con estadísticas agregadas de uso que no te identifican. Nunca usamos para esto el contenido de las conversaciones, notas, formularios ni expedientes.
2. Enviarte información sobre nuevas funciones, eventos o promociones de Grupal.

Puedes negarte a las finalidades secundarias en cualquier momento, desde la configuración de tu cuenta o escribiendo a privacidad@grupal.io. Negarte no afecta tu servicio.

06Inteligencia artificial

Las respuestas de los agentes se generan con modelos de lenguaje de terceros, a los que accedemos a través de OpenRouter con la opción de no recolección de datos. Con esa opción, los proveedores de los modelos no usan los datos para entrenar ni los conservan. A cada modelo solo le enviamos la información necesaria para generar la respuesta. Grupal no entrena modelos propios con los datos de sus clientes ni de sus contactos finales.

07Con quién compartimos datos

Subencargados. Compartimos datos con proveedores que nos prestan servicios de infraestructura, mensajería, inteligencia artificial y pagos. Lo hacemos bajo contrato, solo con los datos necesarios para su función y conforme a nuestras instrucciones. Estas comunicaciones son remisiones y no requieren tu consentimiento. La lista vigente, con su función y país, está en Subencargados y ubicación de los datos.

Transferencias. Solo transferimos datos a terceros en los casos que permite la Ley sin necesidad de tu consentimiento. Por ejemplo:

• a autoridades competentes que lo requieran conforme a la ley;
• a una sociedad que adquiera o suceda a Grupal en una reestructura, siempre que mantenga este Aviso.

No vendemos datos personales.

08Ubicación de los datos

La base de datos y los archivos de Grupal se alojan en Supabase, sobre infraestructura de Amazon Web Services en Estados Unidos. Otros subencargados tratan datos en Estados Unidos y en otros países, como se indica en la página de Subencargados. Para esas remisiones internacionales aplicamos salvaguardas contractuales y medidas de seguridad equivalentes a las que exige la Ley.

09Conservación

• Datos de cuenta: mientras tu cuenta esté activa y, después, el tiempo necesario para cumplir obligaciones legales, fiscales o de seguridad.
• Organizaciones eliminadas: el Owner puede restaurarlas durante 14 días naturales. Después se eliminan de forma permanente de los sistemas activos.
• Respaldos: los datos eliminados desaparecen de los respaldos a más tardar en 7 días, cuando estos rotan.
• Evidencia de aceptaciones y datos fiscales: durante los plazos que exige la ley aplicable.

10Tus derechos

Tienes derecho a acceder a tus datos, rectificarlos, cancelarlos u oponerte a su tratamiento (derechos ARCO), y a revocar tu consentimiento cuando el tratamiento se base en él. Si te encuentras fuera de México, también reconocemos, cuando apliquen, los derechos de portabilidad, supresión y limitación.

Cómo ejercerlos:

1. Envía tu solicitud a privacidad@grupal.io desde el correo de tu cuenta.
2. Incluye tu nombre, el derecho que quieres ejercer, una descripción clara de los datos y, en su caso, el documento que acredite a tu representante.
3. Te responderemos en un máximo de 20 días hábiles. Si la solicitud procede, la haremos efectiva dentro de los 15 días hábiles siguientes. Ambos plazos podrán ampliarse una vez por un periodo igual cuando se justifique.

Muchas de estas acciones las puedes hacer tú mismo desde la app, por ejemplo corregir tus datos, exportar la información de tu organización o eliminar tu cuenta.

11Si eres contacto final de un negocio

Si un negocio usa Grupal para comunicarse contigo, ese negocio es el responsable de tus datos. Él decide qué datos se recaban, para qué se usan y cuánto tiempo se conservan. Para ejercer tus derechos, dirígete directamente a ese negocio, que puede atender tu solicitud desde su cuenta de Grupal.

Grupal no puede decidir sobre esos datos ni verificar tu relación con el negocio. Si una solicitud de este tipo nos llega, la turnaremos al negocio responsable.

12Seguridad

Aplicamos medidas de seguridad administrativas, técnicas y físicas. Entre ellas:

• cifrado en tránsito y en reposo;
• aislamiento de los datos de cada organización;
• autenticación de dos pasos;
• bitácora de accesos para las organizaciones con Seguridad avanzada;
• acceso restringido de nuestro personal.

Si ocurre una vulneración que afecte de forma significativa tus derechos, te lo informaremos sin demora. El detalle está en nuestra página de Seguridad.

13Cookies y tecnologías similares

• Sitio web: usamos Plausible, una herramienta de analítica que no usa cookies ni identifica a los visitantes.
• Aplicación: usamos el almacenamiento local del navegador para mantener tu sesión iniciada y guardar preferencias de la interfaz.

No usamos cookies publicitarias ni de rastreo de terceros.

14Menores de edad

Grupal es un servicio para negocios y profesionales, y sus usuarios deben ser mayores de edad. Cuando un negocio trata datos de menores como contactos finales, por ejemplo una clínica pediátrica o dental, le corresponde obtener el consentimiento de quien ejerza la patria potestad o la tutela.

15Cambios a este Aviso

Publicaremos cualquier cambio en esta misma dirección, con un nuevo número de versión y su fecha de entrada en vigor. Si el cambio es importante, también avisaremos por correo a los Owners de cada organización y dentro de la app, antes de que entre en vigor.

16Autoridad

Si consideras que tu derecho a la protección de datos personales ha sido vulnerado, puedes acudir a la Secretaría Anticorrupción y Buen Gobierno, autoridad competente en la materia, o a la que la sustituya conforme a la legislación vigente.