Aviso de Privacidad
Última actualización: «FECHA DE PUBLICACIÓN». Documento emitido conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, su Reglamento y los Lineamientos del Aviso de Privacidad.
1. Identidad y domicilio del responsable
«RAZÓN SOCIAL» (en adelante, «Atenai»), con domicilio en «DOMICILIO FISCAL», es responsable del tratamiento de los datos personales que se describen en la sección 3.1 de este aviso.
Departamento de datos personales y medio para atender solicitudes: «CORREO DE PRIVACIDAD».
2. A quién aplica este aviso
La Plataforma trata dos universos de datos personales bajo dos papeles distintos, y la diferencia determina a quién debe dirigirse cada solicitud:
- Usuarios de la Plataforma
- Las personas que la Academia autoriza para operar la Plataforma y que acceden con una cuenta propia. Respecto de estos datos Atenai es responsable, y este aviso es el aviso de privacidad aplicable.
- Alumnos y responsables de pago
- Las personas cuya información la Academia carga en la Plataforma para administrar sus cobros. Respecto de estos datos la Academia es responsable y Atenai es encargada: Atenai los trata únicamente conforme a las instrucciones de la Academia y para prestar el servicio contratado, tal como lo establece la sección 9 de los Términos y Condiciones. El aviso de privacidad que rige a estos titulares es el que publica su Academia; las secciones 3.2, 4, 7 y 8 de este documento describen lo que Atenai hace con ellos por cuenta de aquélla.
3. Datos personales que se tratan
3.1 Como responsable, de los Usuarios de la Plataforma
- nombre de la persona usuaria;
- correo electrónico, que además es su identificador de acceso;
- la contraseña, que se conserva únicamente como un valor derivado mediante una función de hash y nunca en claro: Atenai no puede leerla ni recuperarla;
- datos de operación necesarios para la seguridad de la cuenta, como la fecha de los inicios de sesión, la academia a la que pertenece y la dirección de red desde la que se intenta iniciar sesión, restablecer la contraseña o dar de alta una academia, con la que se limita el número de intentos.
3.2 Como encargada, por cuenta de la Academia
- del alumno: su nombre, el grupo o nivel al que pertenece y su situación de alta o baja;
- del responsable de pago: su nombre, su número telefónico y el parentesco declarado;
- de la relación de cobro: los conceptos, importes, fechas de vencimiento, descuentos o becas aplicados y el estado de cada solicitud de pago;
- de la comunicación: el estado de entrega que el proveedor de mensajería reporta para cada recordatorio enviado, y el momento en que la página de pago fue abierta;
- del pago: el identificador que Mercado Pago asigna a la operación y, cuando el procesador lo devuelve, el correo electrónico con el que la persona pagó.
4. Datos de menores de edad
La Plataforma trata datos de personas menores de edad, y por esa razón se limita deliberadamente a lo indispensable para identificar al alumno dentro de su academia: su nombre y su grupo. No se recaba su fecha de nacimiento, su domicilio, su fotografía, su CURP, su correo electrónico ni su número telefónico, y la Plataforma no ofrece ningún campo para capturarlos.
La comunicación de cobro se dirige siempre al responsable de pago adulto, nunca al alumno. Corresponde a la Academia, en su carácter de responsable, recabar el consentimiento de quien ejerce la patria potestad o la tutela cuando la normativa aplicable lo exija.
5. Datos que la Plataforma no recaba
Datos financieros de tarjeta. El cobro se completa en el sitio de Mercado Pago, fuera de la Plataforma. Atenai no recibe, no muestra, no transmite y no almacena números de tarjeta, códigos de seguridad, fechas de vencimiento ni datos del titular de la tarjeta, en ningún momento y por ningún medio. De la operación solo conserva el identificador que el procesador le devuelve.
Datos sensibles. La Plataforma no recaba datos personales sensibles en los términos del artículo 3, fracción VI de la Ley: ni origen racial o étnico, ni estado de salud, ni información genética o biométrica, ni creencias religiosas, filosóficas o morales, ni afiliación sindical, ni opiniones políticas, ni preferencia sexual.
Si la Academia captura por su cuenta información de esta naturaleza en un campo de texto libre, lo hace fuera de la finalidad para la que la Plataforma fue diseñada y bajo su propia responsabilidad.
6. Finalidades del tratamiento
Finalidades primarias, necesarias para prestar el servicio:
- autenticar a la persona usuaria y controlar su acceso a la información de su academia;
- emitir solicitudes de pago y dar seguimiento a su estado;
- enviar recordatorios de cobro por WhatsApp en nombre de la Academia, y registrar si fueron entregados;
- generar la liga de cobro y conciliar el pago que el procesador confirma;
- poner a disposición de la Academia los reportes y exportaciones de su propia cobranza;
- atender solicitudes de soporte, prevenir fraudes y abusos, y cumplir obligaciones legales, fiscales y contables.
No existen finalidades secundarias. Atenai no comercializa, no cede ni renta datos personales, no elabora perfiles con fines publicitarios y no utiliza los datos de una academia para una finalidad distinta de prestarle el servicio.
7. Transferencias y remisiones de datos
Atenai no realiza transferencias de datos personales que requieran el consentimiento del titular. Para operar, sí remite datos a los proveedores que ejecutan por su cuenta una parte del servicio, cada uno limitado al dato mínimo que su función exige:
- Mercado Pago
- Procesa el cobro y recibe el importe, el concepto y la referencia de la solicitud. El responsable de pago sale de la Plataforma y captura sus datos de tarjeta directamente en el sitio de Mercado Pago, quien respecto de esos datos actúa como responsable propio y bajo su propio aviso de privacidad. El dinero se abona directamente a la cuenta de la Academia: Atenai no interviene en el flujo de fondos.
- Meta Platforms (WhatsApp Business)
- Entrega los recordatorios y recibe, para ello, el número telefónico del responsable de pago y el contenido de la plantilla enviada. Devuelve el estado de entrega del mensaje.
- Google (Google Workspace)
- Entrega los correos transaccionales a través de su servicio de correo saliente, y recibe para ello la dirección de destino y el contenido del mensaje. La Plataforma envía dos: el enlace con el que una persona usuaria restablece su contraseña, y la invitación con la que una Academia da acceso a una persona nueva, en cuyo contenido viajan el nombre de esa persona y el enlace con el que elige su primera contraseña.
- «PROVEEDOR DE INFRAESTRUCTURA»
- Aloja la aplicación y la base de datos. Los datos residen en «REGIÓN DE ALOJAMIENTO»; si la región se ubica fuera del territorio nacional, la remisión se realiza al amparo del artículo 36 de la Ley, sin cambio de responsable y bajo obligaciones contractuales equivalentes a las de este aviso.
- Proveedor de monitoreo de errores
- Recibe los reportes técnicos de fallas. Los datos personales se suprimen del reporte antes de enviarlo: los nombres, los teléfonos, los correos, las credenciales y los cuerpos de las notificaciones del procesador se sustituyen por una marca que conserva la forma del dato y no el dato.
Atenai también entregará datos personales a la autoridad competente cuando exista un requerimiento fundado y motivado, supuesto en el que el artículo 37 de la Ley no exige consentimiento.
8. Plazos de conservación y supresión
Ningún dato se conserva indefinidamente «por si acaso». Los plazos que rigen son:
- Cuenta de Usuario: mientras la cuenta esté activa. Cancelada la cuenta o terminada la relación con la Academia, los datos de acceso se suprimen o se bloquean conforme al artículo 37 del Reglamento.
- Alumnos y responsables de pago: mientras la Academia mantenga el servicio contratado, y de acuerdo con las instrucciones que ella imparta. La baja de un alumno conserva su historial de cobro y detiene todo tratamiento dirigido a él: no se le emiten solicitudes nuevas ni se le envían recordatorios.
- Solicitudes de pago, pagos y sus comprobantes: por el plazo que la legislación fiscal y mercantil impone a la Academia para la conservación de su contabilidad. Este plazo prevalece sobre una solicitud de cancelación, conforme al artículo 26, fracción II de la Ley.
- Registros técnicos y notificaciones del procesador de pagos: se conservan por el tiempo necesario para conciliar la cobranza, atender aclaraciones y contracargos y acreditar el cumplimiento, y se suprimen concluido ese periodo.
- Terminación del servicio: concluida la relación con la Academia, Atenai devuelve o suprime los datos que trató como encargada dentro del plazo pactado, salvo aquéllos que deba conservar por mandato legal.
9. Derechos ARCO y cómo ejercerlos
Toda persona titular puede acceder a sus datos, rectificarlos cuando sean inexactos o incompletos, cancelarlos cuando considere que no se requieren para las finalidades de este aviso, y oponerse a su tratamiento para un fin específico.
A quién se dirige la solicitud:
- Si es Usuario de la Plataforma, a Atenai, al correo «CORREO DE PRIVACIDAD».
- Si es alumno, quien ejerce su patria potestad o tutela, o responsable de pago, a su Academia, que es la responsable de esos datos. Una solicitud que llegue a Atenai por esta vía será remitida a la Academia que corresponda, y Atenai ejecutará lo que ella instruya dentro del plazo de ley.
La solicitud debe contener, conforme al artículo 29 de la Ley:
- el nombre del titular y un medio para comunicarle la respuesta;
- copia de una identificación oficial y, si actúa por representación, el documento que la acredite;
- la descripción clara de los datos sobre los que busca ejercer el derecho;
- cualquier elemento que facilite localizar los datos, como el nombre de la academia o el folio de una solicitud de pago;
- tratándose de una rectificación, la corrección solicitada y la documentación que la sustente.
La respuesta se comunica dentro de los veinte días hábiles siguientes a la recepción de la solicitud, y de resultar procedente se hace efectiva dentro de los quince días hábiles siguientes. El ejercicio de estos derechos es gratuito; solo procede el cobro de los gastos justificados de envío o reproducción.
Una cancelación puede resultar improcedente en los supuestos del artículo 26 de la Ley, entre ellos cuando los datos deban conservarse para cumplir una obligación legal o para acreditar una operación de cobro ya realizada. En ese caso se informa el motivo y los datos se bloquean: dejan de tratarse para cualquier finalidad y se conservan únicamente hasta que concluya el plazo legal que los retiene.
10. Revocación del consentimiento y limitación del uso
El consentimiento puede revocarse por el mismo medio previsto en la sección 9. La revocación no tiene efectos retroactivos y no libera al responsable de pago de la obligación contraída con la Academia, que es ajena al tratamiento de sus datos.
Para dejar de recibir recordatorios por WhatsApp basta manifestarlo a la Academia, que puede suspenderlos desde la Plataforma sin dar de baja al alumno.
11. Medidas de seguridad
Atenai mantiene medidas administrativas, técnicas y físicas para proteger los datos contra daño, pérdida, alteración, destrucción, uso, acceso o tratamiento no autorizado. Entre ellas:
- el tránsito cifrado con TLS en todas las comunicaciones con la Plataforma;
- el cifrado en reposo de las credenciales del procesador de pagos, y el resguardo de la contraseña únicamente como valor derivado;
- el aislamiento entre academias: cada consulta a la base de datos queda acotada a la academia de la sesión, y la capa de acceso a datos rechaza la consulta que no pueda indicar a qué academia pertenece. La base de datos, por su parte, garantiza que ningún registro pueda apuntar a los datos de otra academia;
- el control de acceso por roles, de modo que cada persona usuaria alcanza únicamente las operaciones que su papel autoriza;
- la verificación criptográfica del origen de toda notificación que los proveedores de pago y de mensajería envían;
- la supresión de datos personales de los registros técnicos y de los reportes de error;
- respaldos periódicos y revisiones de seguridad previas a cada liberación.
Ninguna medida ofrece seguridad absoluta. Ante una vulneración que afecte de forma significativa los derechos patrimoniales o morales de los titulares, Atenai informará a la Academia sin dilación para que ésta notifique a los titulares conforme al artículo 20 de la Ley.
13. Cambios al presente aviso
Este aviso puede modificarse por reformas legales, por cambios en el servicio o en las prácticas de privacidad. La versión vigente se publica siempre en esta dirección, con la fecha de su última actualización. Un cambio que altere sustancialmente las finalidades o las remisiones descritas se comunicará además a la Academia por los canales habituales.