Aviso de Privacidad Integral
Copia permanente de la versión 2.1. La versión vigente de este documento está en grupal.io/legal/privacidad/.
01. Responsable
GRUPAL AI SAS ("Grupal"), con domicilio en Cerradas Lumina 1, Libra 111, 66036, García, Nuevo León, es responsable del tratamiento de los datos personales que se describen en este Aviso. Lo emitimos conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 (la "Ley"), y a la normativa que de ella derive.
Para cualquier asunto de privacidad, escríbenos a privacidad@grupal.io.
02. Los dos papeles de Grupal
Grupal trata datos personales en dos calidades distintas:
- Como responsable. Cuando tratamos los datos de las personas que crean o usan una cuenta en Grupal, es decir, nuestros clientes y los usuarios de sus organizaciones. Este Aviso regula ese tratamiento.
- Como encargado. Cuando tratamos, por cuenta de un negocio cliente, los datos de las personas con las que ese negocio se comunica, como sus prospectos, clientes o pacientes ("contactos finales"). En ese caso, el responsable es el negocio. Nosotros solo seguimos sus instrucciones, conforme al Contrato de Encargo de Tratamiento de Datos. Si eres contacto final de un negocio, consulta el aviso de privacidad de ese negocio y la sección 11 de este Aviso.
03. Datos que tratamos como responsable
- Identificación y contacto: nombre, correo electrónico y, en su caso, teléfono.
- Cuenta: credenciales de acceso, factores de autenticación de dos pasos, zona horaria, país, idioma y preferencias de la interfaz. Las contraseñas se almacenan cifradas mediante funciones de hash; nunca las vemos en texto claro.
- Organización: nombre comercial, giro, tamaño del equipo y rol de cada usuario (Owner, Admin o Member).
- Facturación: plan, historial de pagos, créditos y datos fiscales. Stripe procesa los datos de las tarjetas; Grupal no almacena números completos de tarjeta.
- Aceptaciones: registro de qué versión de cada documento legal aceptaste, con fecha, hora, dirección IP y usuario.
- Datos técnicos: registros de sesión, accesos, errores y uso agregado del servicio.
Para operar tu cuenta no necesitamos datos personales sensibles tuyos.
04. Datos sensibles de contactos finales
Los negocios de giros regulados, como clínicas y consultorios, pueden registrar en Grupal datos personales sensibles de sus contactos finales, por ejemplo datos de salud. Ese tratamiento lo decide y lo responde el negocio. A él le corresponde dar su aviso de privacidad y obtener el consentimiento expreso y por escrito de sus pacientes.
Grupal, como encargado, aplica a esos datos las medidas de seguridad descritas en nuestra página de Seguridad y en el Anexo de Salud. Además, pone a disposición del negocio herramientas para recabar el consentimiento con firma autógrafa digitalizada y registro de evidencia.
05. Finalidades
Finalidades primarias, necesarias para prestarte el servicio:
- Crear, autenticar y administrar tu cuenta y tu organización.
- Operar los agentes de inteligencia artificial, el CRM, los embudos, el calendario, las citas, los formularios y las métricas.
- Cobrar el servicio, emitir comprobantes fiscales y administrar planes y créditos.
- Darte soporte y avisarte de cambios en el servicio, en nuestros documentos legales o de incidentes de seguridad.
- Proteger la seguridad de la plataforma, prevenir fraudes y cumplir obligaciones legales.
- Conservar la evidencia de tus aceptaciones de los documentos legales.
Finalidades secundarias, que no son necesarias para el servicio:
- Mejorar el producto con estadísticas agregadas de uso que no te identifican. Nunca usamos para esto el contenido de las conversaciones, notas, formularios ni expedientes.
- Enviarte información sobre nuevas funciones, eventos o promociones de Grupal.
Puedes negarte a las finalidades secundarias en cualquier momento, desde la configuración de tu cuenta o escribiendo a privacidad@grupal.io. Negarte no afecta tu servicio.
06. Inteligencia artificial
Las respuestas de los agentes se generan con modelos de lenguaje de terceros, a los que accedemos a través de OpenRouter con la opción de no recolección de datos. Con esa opción, los proveedores de los modelos no usan los datos para entrenar ni los conservan. A cada modelo solo le enviamos la información necesaria para generar la respuesta. Grupal no entrena modelos propios con los datos de sus clientes ni de sus contactos finales.
07. Con quién compartimos datos
Subencargados. Compartimos datos con proveedores que nos prestan servicios de infraestructura, mensajería, inteligencia artificial y pagos. Lo hacemos bajo contrato, solo con los datos necesarios para su función y conforme a nuestras instrucciones. Estas comunicaciones son remisiones y no requieren tu consentimiento. La lista vigente, con su función y país, está en Subencargados y ubicación de los datos.
Transferencias. Solo transferimos datos a terceros en los casos que permite la Ley sin necesidad de tu consentimiento. Por ejemplo:
- a autoridades competentes que lo requieran conforme a la ley;
- a una sociedad que adquiera o suceda a Grupal en una reestructura, siempre que mantenga este Aviso.
No vendemos datos personales.
08. Ubicación de los datos
La base de datos y los archivos de Grupal se alojan en Supabase, sobre infraestructura de Amazon Web Services en Estados Unidos. Otros subencargados tratan datos en Estados Unidos y en otros países, como se indica en la página de Subencargados. Para esas remisiones internacionales aplicamos salvaguardas contractuales y medidas de seguridad equivalentes a las que exige la Ley.
09. Conservación
- Datos de cuenta: mientras tu cuenta esté activa y, después, el tiempo necesario para cumplir obligaciones legales, fiscales o de seguridad.
- Organizaciones eliminadas: el Owner puede restaurarlas durante 14 días naturales. Después se eliminan de forma permanente de los sistemas activos.
- Respaldos: los datos eliminados desaparecen de los respaldos a más tardar en 7 días, cuando estos rotan.
- Evidencia de aceptaciones y datos fiscales: durante los plazos que exige la ley aplicable.
10. Tus derechos
Tienes derecho a acceder a tus datos, rectificarlos, cancelarlos u oponerte a su tratamiento (derechos ARCO), y a revocar tu consentimiento cuando el tratamiento se base en él. Si te encuentras fuera de México, también reconocemos, cuando apliquen, los derechos de portabilidad, supresión y limitación.
Cómo ejercerlos:
- Envía tu solicitud a privacidad@grupal.io desde el correo de tu cuenta.
- Incluye tu nombre, el derecho que quieres ejercer, una descripción clara de los datos y, en su caso, el documento que acredite a tu representante.
- Te responderemos en un máximo de 20 días hábiles. Si la solicitud procede, la haremos efectiva dentro de los 15 días hábiles siguientes. Ambos plazos podrán ampliarse una vez por un periodo igual cuando se justifique.
Muchas de estas acciones las puedes hacer tú mismo desde la app, por ejemplo corregir tus datos, exportar la información de tu organización o eliminar tu cuenta.
11. Si eres contacto final de un negocio
Si un negocio usa Grupal para comunicarse contigo, ese negocio es el responsable de tus datos. Él decide qué datos se recaban, para qué se usan y cuánto tiempo se conservan. Para ejercer tus derechos, dirígete directamente a ese negocio, que puede atender tu solicitud desde su cuenta de Grupal.
Grupal no puede decidir sobre esos datos ni verificar tu relación con el negocio. Si una solicitud de este tipo nos llega, la turnaremos al negocio responsable.
12. Seguridad
Aplicamos medidas de seguridad administrativas, técnicas y físicas. Entre ellas:
- cifrado en tránsito y en reposo;
- aislamiento de los datos de cada organización;
- autenticación de dos pasos;
- bitácora de accesos para las organizaciones con Seguridad avanzada;
- acceso restringido de nuestro personal.
Si ocurre una vulneración que afecte de forma significativa tus derechos, te lo informaremos sin demora. El detalle está en nuestra página de Seguridad.
14. Menores de edad
Grupal es un servicio para negocios y profesionales, y sus usuarios deben ser mayores de edad. Cuando un negocio trata datos de menores como contactos finales, por ejemplo una clínica pediátrica o dental, le corresponde obtener el consentimiento de quien ejerza la patria potestad o la tutela.
15. Cambios a este Aviso
Publicaremos cualquier cambio en esta misma dirección, con un nuevo número de versión y su fecha de entrada en vigor. Si el cambio es importante, también avisaremos por correo a los Owners de cada organización y dentro de la app, antes de que entre en vigor.
16. Autoridad
Si consideras que tu derecho a la protección de datos personales ha sido vulnerado, puedes acudir a la Secretaría Anticorrupción y Buen Gobierno, autoridad competente en la materia, o a la que la sustituya conforme a la legislación vigente.