Aviso de Privacidad Integral

1. Identidad del Responsable

El responsable del tratamiento de sus datos personales es Juan Francisco Vargas Magaña, persona física con actividad empresarial que opera bajo la marca comercial Relevo y la plataforma Relevo.chat (en adelante, indistintamente, "Relevo", "nosotros" o "el Responsable").

Para todos los efectos legales relacionados con este Aviso, puede contactarnos a través de nuestro correo de privacidad: francisco@relevo.chat. Operamos desde México y nuestro sitio oficial es relevo.chat.

2. Marco Normativo Aplicable

El presente Aviso de Privacidad se emite de conformidad con las siguientes disposiciones legales y regulatorias:

• Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y su Reglamento (RLFPDPPP).
• Lineamientos del INAI (Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales), en particular los Lineamientos del Aviso de Privacidad y los Lineamientos en Materia de Seguridad.
• Ley Federal de Telecomunicaciones y Radiodifusión en las partes aplicables al tratamiento de datos en servicios de comunicaciones.
• Código de Comercio, Título II, relativo al comercio electrónico (arts. 89 a 94 bis).
• Código Fiscal de la Federación, en materia de conservación de comprobantes fiscales digitales.
• Reglamento General de Protección de Datos de la Unión Europea (GDPR), aplicable a usuarios residentes en el Espacio Económico Europeo (EEE).
• California Consumer Privacy Act (CCPA) y California Privacy Rights Act (CPRA), aplicables a residentes del Estado de California.
• WhatsApp Business Solution Terms, WhatsApp Business Messaging Policy, WhatsApp Commerce Policy y Meta Platform Terms, en tanto Relevo utiliza la WhatsApp Business Platform de Meta como canal de comunicación.

3. Definiciones

Para los efectos de este Aviso, se entiende por:

• Datos personales: Cualquier información concerniente a una persona física identificada o identificable.
• Titular: La persona física a quien corresponden los datos personales.
• Responsable: La persona que decide sobre el tratamiento de los datos personales. En este caso, Relevo.
• Encargado: La persona que trata datos personales por cuenta del Responsable.
• Tratamiento: Cualquier operación efectuada sobre datos personales, incluyendo su obtención, uso, divulgación, almacenamiento, acceso, rectificación, cancelación, transferencia y destrucción.
• Clientes B2B: Las personas físicas o morales que contratan el servicio de Relevo para gestionar su atención al cliente.
• Usuarios finales: Las personas físicas (consumidores) que se comunican con los Clientes B2B a través de WhatsApp y cuyos datos son procesados por Relevo en calidad de Encargado.
• INAI: Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales, autoridad de control en México.
• WABA: WhatsApp Business Account, la cuenta de WhatsApp Business del Cliente B2B conectada a la plataforma de Meta.

4. Alcance y Roles en el Tratamiento

Relevo opera como plataforma SaaS multi-tenant que conecta a los Clientes B2B con sus propios clientes a través de WhatsApp Business. En este modelo existen dos roles diferenciados conforme a la LFPDPPP y el GDPR:

• Respecto a los datos de los Clientes B2B (personas que crean cuentas en la plataforma, administradores, agentes del dashboard y personas de contacto de facturación): Relevo actúa como RESPONSABLE del tratamiento y este Aviso rige dicho tratamiento en su totalidad.
• Respecto a los datos de los Usuarios Finales (los contactos de WhatsApp de los Clientes B2B, es decir, los consumidores que chatean con los negocios): Relevo actúa como ENCARGADO del tratamiento. El Responsable frente a esos Usuarios Finales es el Cliente B2B, quien es responsable de contar con un aviso de privacidad propio y bases legales válidas para comunicarse con sus clientes por WhatsApp. Relevo trata sus datos exclusivamente por instrucción del Cliente B2B y conforme a los contratos de servicios de datos aplicables.

Si usted es un Usuario Final y desea ejercer derechos sobre sus datos, debe dirigirse en primer término al negocio con quien se comunicó por WhatsApp. Si ese negocio utiliza Relevo y necesita nuestra intervención técnica, podemos ser contactados en francisco@relevo.chat.

5. Datos Personales que se Recaban

5.1 De los Clientes B2B y sus equipos

• Datos de identificación: nombre completo, nombre de la empresa o razón social.
• Datos de contacto: dirección de correo electrónico, número telefónico.
• Datos de facturación: información fiscal necesaria para emitir comprobantes (RFC, régimen fiscal, dirección de facturación, uso del CFDI). Estos datos se recaban únicamente cuando el Cliente B2B solicita factura.
• Credenciales de acceso: correo electrónico y contraseña almacenada en forma de hash irreversible con algoritmos modernos (bcrypt o equivalente). Relevo nunca almacena contraseñas en texto claro.
• Datos de uso del servicio: registros de actividad dentro del dashboard (acciones, configuraciones, historial de cambios), dirección IP, tipo de navegador y sistema operativo, marca de tiempo de cada sesión.
• Datos de configuración de la IA: nombre del asistente virtual, descripción del negocio, productos, precios, flujos comerciales y cualquier información que el Cliente B2B introduzca en el configurador para personalizar el asistente.
• Tokens y credenciales de integración: tokens OAuth emitidos por Meta (para la WhatsApp Business Platform), identificadores WABA y phone_number_id, tokens OAuth de Google (cuando el Cliente B2B activa la integración con Google Calendar). Estos tokens se almacenan cifrados y se usan exclusivamente para operar el servicio contratado.

5.2 De los Usuarios Finales de WhatsApp

Relevo procesa los siguientes datos en calidad de Encargado, por instrucción del Cliente B2B y únicamente para prestarle el servicio de gestión de conversaciones:

• Número de teléfono de WhatsApp (identificador del contacto).
• Nombre de perfil de WhatsApp, cuando Meta lo provee en el webhook.
• Contenido completo de los mensajes intercambiados: texto, mensajes de voz, imágenes, videos, documentos, stickers, ubicación compartida y cualquier otro tipo de archivo multimedia enviado o recibido en la conversación.
• Metadatos de mensajes: identificador único de mensaje (message_id), marca de tiempo (timestamp), estado de entrega (enviado, entregado, leído, fallido), tipo de mensaje, identificador de conversación.
• Etiquetas, notas internas y atributos personalizados que el Cliente B2B asigne al contacto dentro del dashboard de Relevo.
• Estado de la conversación (activa, escalada, en control humano, cerrada) y el historial de transiciones de estado.

5.3 Datos NO recabados

Relevo no recaba ni solicita los siguientes datos:

• Datos sensibles en los términos del artículo 3, fracción VI de la LFPDPPP (origen racial o étnico, estado de salud, información genética, creencias religiosas, filosóficas o morales, afiliación sindical, opiniones políticas, preferencia sexual), salvo que un Usuario Final los introduzca voluntariamente en el contenido de un mensaje. En ese caso, dicho contenido se tratará con las mismas medidas de seguridad descritas en este Aviso, sin que Relevo los utilice con fines distintos a los establecidos.
• Datos de tarjeta de crédito o débito en forma completa. Los pagos se procesan directamente a través del proveedor de pagos (Stripe), quien actúa como Responsable autónomo de esa información.
• Datos biométricos.
• Información de geolocalización en tiempo real de los usuarios del dashboard, salvo la IP de conexión ya mencionada.

6. Finalidades y Bases Legales del Tratamiento

6.1 Finalidades primarias — necesarias para el servicio

El tratamiento de los datos personales de los Clientes B2B para las siguientes finalidades es necesario para la ejecución del contrato de servicio y, sin él, Relevo no puede prestar el servicio:

• Crear, activar, operar y mantener la cuenta del Cliente B2B en la plataforma.
• Conectar la WABA del Cliente B2B mediante el proceso oficial de Embedded Signup de Meta y permitirle enviar y recibir mensajes de WhatsApp.
• Almacenar, procesar, enrutar y mostrar los mensajes de WhatsApp en el dashboard del Cliente B2B para su atención a clientes.
• Gestionar el sistema de escalamiento automático de conversaciones entre el asistente de IA y los agentes humanos del Cliente B2B.
• Procesar los pagos de suscripción, emitir comprobantes fiscales digitales (CFDI) cuando se soliciten y cumplir obligaciones contables y fiscales derivadas de la prestación del servicio.
• Proveer soporte técnico, responder preguntas y atender solicitudes del Cliente B2B relacionadas con el funcionamiento de la plataforma.
• Enviar notificaciones transaccionales relacionadas con el servicio: confirmaciones de pago, alertas de escalamiento, avisos de límite de conversaciones, notificaciones de cambios en el servicio.
• Cumplir con las obligaciones legales, fiscales y regulatorias aplicables, así como con requerimientos de autoridades competentes.
• Cumplir con los WhatsApp Business Solution Terms, WhatsApp Business Messaging Policy, WhatsApp Commerce Policy y demás políticas vigentes de Meta.
• Proteger la seguridad e integridad de la plataforma y detectar, investigar y prevenir actividades fraudulentas, abusivas o que violen los Términos de Servicio.

6.2 Finalidades secundarias — sujetas a consentimiento

Para las siguientes finalidades Relevo requiere el consentimiento del Cliente B2B, el cual puede otorgarse o revocarse en cualquier momento:

• Envío de comunicaciones informativas, noticias del producto, actualizaciones de características y materiales promocionales sobre Relevo.
• Elaboración de estudios de satisfacción del cliente mediante encuestas voluntarias.
• Inclusión del nombre o logotipo del Cliente B2B como referencia comercial (caso de éxito) en materiales de marketing de Relevo, con previa autorización expresa.
• Elaboración de estadísticas y análisis del uso de la plataforma con fines de investigación y mejora del producto; estos análisis se realizan de forma agregada y anonimizada.

El Cliente B2B puede oponerse al tratamiento para finalidades secundarias en cualquier momento enviando un correo a francisco@relevo.chat. La negativa no afectará el acceso al servicio contratado.

7. Tratamiento Automatizado e Inteligencia Artificial

Relevo utiliza modelos de lenguaje de gran escala (LLM) como componente central de su servicio. Es importante que los Clientes B2B y sus Usuarios Finales conozcan cómo funciona este tratamiento:

• Proveedor de IA: Relevo utiliza actualmente el modelo DeepSeek (y eventualmente otros modelos de IA) para generar respuestas automáticas. El texto de los mensajes de WhatsApp se envía a la API del proveedor de IA para que este genere una respuesta contextual. Este envío constituye una transferencia de datos a un tercero (encargado de tratamiento).
• Qué datos se envían al proveedor de IA: el historial de mensajes de la conversación activa (texto) y el system prompt configurado por el Cliente B2B. No se envían datos de identificación del Usuario Final más allá de lo contenido en los mensajes mismos.
• Entrenamiento de modelos: Relevo no autoriza a sus proveedores de IA a utilizar las conversaciones de los Clientes B2B o de sus Usuarios Finales para entrenar, afinar o mejorar modelos de inteligencia artificial de uso general. Los contratos con los proveedores de IA incluyen cláusulas explícitas que prohíben esta práctica.
• Decisiones automatizadas: la IA de Relevo toma decisiones automatizadas sobre el enrutamiento y respuesta de mensajes, incluyendo la decisión de escalar o no una conversación a un agente humano. Estas decisiones no producen efectos jurídicos significativos sobre los Usuarios Finales, pero el Cliente B2B puede configurar los umbrales de escalamiento y revisar toda conversación desde su dashboard. Cualquier persona puede solicitar revisión humana de una conversación.
• Procesamiento de medios: los archivos de voz, imágenes, videos y documentos enviados a través de WhatsApp se almacenan en Cloudflare R2 (en servidores dentro de la región configurada) y, en su caso, pueden ser procesados por servicios de transcripción o análisis de contenido para mejorar la respuesta del asistente. Los Clientes B2B son notificados en el configurador si activan estas funcionalidades.

8. Transferencias de Datos a Terceros

Relevo transfiere o permite el acceso a datos personales a los siguientes proveedores en calidad de Encargados de tratamiento, bajo contratos que imponen obligaciones equivalentes de confidencialidad, seguridad y protección de datos:

Salvo lo anterior, Relevo no comercializa, cede, renta ni vende datos personales a terceros con fines distintos a los descritos en este Aviso.

9. Transferencias Internacionales de Datos

Todos los proveedores listados en la sección anterior se encuentran fuera de México, por lo que las transferencias a dichos proveedores constituyen transferencias internacionales de datos personales en los términos del artículo 37 de la LFPDPPP y del Capítulo V del GDPR.

Para garantizar un nivel adecuado de protección, Relevo emplea los siguientes mecanismos:

• Contratos de tratamiento de datos (Data Processing Agreements, DPA) suscritos con cada proveedor, que incluyen obligaciones equivalentes a las de la LFPDPPP y, cuando aplica, Cláusulas Contractuales Tipo aprobadas por la Comisión Europea.
• Decisiones de adecuación cuando el país de destino cuenta con un nivel de protección reconocido.
• Medidas técnicas suplementarias: cifrado de extremo a extremo en tránsito (TLS 1.2 o superior) y cifrado en reposo de bases de datos y respaldos, de modo que los datos sean inaccesibles incluso ante accesos no autorizados a los servidores físicos.

Si desea obtener información sobre los mecanismos específicos aplicados a una transferencia en particular, puede solicitarlo a francisco@relevo.chat.

10. Plazos de Conservación

Al concluir los plazos de conservación, Relevo procederá a la supresión, anonimización o bloqueo de los datos conforme a lo dispuesto en la LFPDPPP y su Reglamento.

11. Medidas de Seguridad

Relevo implementa medidas técnicas, administrativas y físicas de seguridad, congruentes con el nivel de sensibilidad de los datos tratados:

Medidas técnicas:

• Cifrado en tránsito mediante TLS 1.2 o superior en todas las comunicaciones entre clientes, servidores y proveedores.
• Cifrado en reposo de bases de datos PostgreSQL, respaldos y almacenamiento de objetos (Cloudflare R2).
• Almacenamiento cifrado de tokens OAuth de Meta y Google; las claves de cifrado se gestionan mediante un sistema de administración de secretos dedicado.
• Hashing de contraseñas con algoritmos modernos y resistentes a colisiones (bcrypt o equivalente con salt aleatorio).
• Autenticación mediante JWT con tokens de acceso de vida corta (30 minutos) y tokens de refresco de 7 días, rotados en cada uso.
• Segregación lógica multi-tenant: los datos de cada Cliente B2B están aislados a nivel de base de datos; las consultas siempre incluyen el identificador del tenant como filtro obligatorio.
• Control de acceso basado en roles (RBAC) con el principio de mínimo privilegio aplicado a cada rol (Admin, Agente, Viewer).
• Monitoreo automatizado de seguridad, detección de anomalías y alertas en tiempo real.
• Web Application Firewall (WAF) y protección contra ataques de denegación de servicio (DDoS) a través de Cloudflare.
• Revisiones periódicas de dependencias y vulnerabilidades conocidas en el código fuente.

Medidas administrativas:

• Acceso a datos de producción restringido a personal autorizado bajo cláusulas de confidencialidad.
• Política interna de manejo de incidentes de seguridad con responsabilidades y plazos definidos.
• Evaluación de proveedores antes de compartir datos, verificando que cuenten con medidas equivalentes de seguridad.

12. Derechos ARCO y Procedimiento para Ejercerlos

En términos de la LFPDPPP, usted tiene los siguientes derechos como titular de datos personales:

• Acceso: conocer qué datos personales suyos trata Relevo, con qué finalidad, de qué fuente fueron obtenidos, a quién se transfieren y cuáles son las condiciones de tratamiento.
• Rectificación: solicitar la corrección de sus datos personales cuando sean inexactos, incompletos, erróneos, desactualizados o si parte de ellos requiere ser actualizada.
• Cancelación: solicitar la supresión de sus datos personales del sistema de tratamiento. La cancelación da lugar al bloqueo temporal seguido de la supresión definitiva, salvo que exista obligación legal de conservarlos.
• Oposición: oponerse al tratamiento de sus datos personales para finalidades específicas, en particular para finalidades secundarias (comunicaciones comerciales). También puede oponerse cuando el tratamiento se base en interés legítimo.
• Revocación del consentimiento: cuando el tratamiento esté basado en su consentimiento, puede retirarlo en cualquier momento sin que ello afecte la licitud del tratamiento previo a la revocación.
• Limitación del uso y divulgación: solicitar que sus datos no sean tratados para determinadas finalidades o que no sean divulgados a terceros.

Procedimiento para ejercer sus derechos ARCO

Para ejercer cualquiera de estos derechos, envíe una solicitud por escrito al correo francisco@relevo.chat con el asunto "Solicitud ARCO — [tipo de derecho]" e incluya:

1. Nombre completo y dirección de correo electrónico o medio de contacto para recibir la respuesta.
2. Copia de documento oficial que acredite su identidad (INE/IFE, pasaporte u otro documento equivalente) o, en caso de representación legal, el poder notarial correspondiente y la identificación del representante.
3. Descripción clara y precisa del derecho que desea ejercer y los datos personales respecto de los cuales solicita el ejercicio de dicho derecho.
4. Cualquier otro elemento o documento que facilite la localización de los datos personales.
5. En caso de solicitud de rectificación, indicar también la corrección solicitada y adjuntar los documentos de soporte correspondientes.

Plazos de respuesta conforme a la LFPDPPP:

• Relevo acusará recibo de la solicitud y comunicará si procede o no, en un plazo máximo de 20 días hábiles contados desde la fecha de recepción de la solicitud completa.
• Si la solicitud procede, la medida se hará efectiva dentro de los 15 días hábiles siguientes a la comunicación de la resolución.
• Ambos plazos pueden prorrogarse una sola vez por un período igual cuando así lo justifiquen las circunstancias, previa notificación al titular.

La respuesta se enviará al correo electrónico proporcionado en la solicitud, salvo que el titular indique otro medio de contacto.

13. Queja ante el INAI

Si considera que Relevo no ha atendido satisfactoriamente su solicitud de ejercicio de derechos ARCO, o si tiene cualquier queja relacionada con el tratamiento de sus datos personales, tiene derecho a iniciar un procedimiento de protección de derechos ante el INAI (Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales):

• Sitio web del INAI: inai.org.mx
• El procedimiento puede iniciarse en línea a través del Sistema Nacional de Protección de Datos Personales (SIPOT) disponible en el portal del INAI.
• El plazo para presentar la queja ante el INAI es de 15 días hábiles contados a partir de que reciba la resolución de Relevo, o a partir del vencimiento del plazo de respuesta sin que Relevo haya contestado.

14. Datos de Menores de Edad

El servicio de Relevo está dirigido exclusivamente a negocios y personas físicas con capacidad legal para contratar (mayores de 18 años en México). Relevo no recaba deliberadamente datos personales de menores de 18 años como Clientes B2B.

Respecto a los Usuarios Finales de WhatsApp, Relevo actúa como Encargado y no tiene control sobre quiénes se comunican con los Clientes B2B. Si un Cliente B2B detecta que un menor de edad ha interactuado con su asistente, es responsabilidad del Cliente B2B gestionar esa situación conforme a la normativa aplicable.

Si Relevo detecta que ha recabado datos de un menor de edad sin el consentimiento de sus padres o tutores, tomará las medidas necesarias para eliminar dicha información a la brevedad.

15. Cookies y Tecnologías de Rastreo

El sitio web relevo.chat y el dashboard app.relevo.chat utilizan las siguientes categorías de cookies y tecnologías similares (almacenamiento local, session storage, identificadores de dispositivo):

El usuario puede configurar su navegador para bloquear, eliminar o recibir avisos sobre el uso de cookies. La desactivación de cookies esenciales puede impedir el acceso o correcto funcionamiento del servicio.

16. Incidentes de Seguridad y Notificación de Brechas

En caso de que ocurra una vulneración de seguridad que afecte de forma significativa los derechos o intereses de los titulares de datos personales, Relevo seguirá el siguiente protocolo:

• Contención inmediata: se adoptarán de forma inmediata las medidas técnicas necesarias para contener el incidente y evitar su propagación.
• Notificación al INAI: conforme a los artículos 20 y 63 de la LFPDPPP, Relevo notificará al INAI sobre el incidente a la brevedad posible, describiendo la naturaleza de la vulneración, los datos afectados y las medidas adoptadas.
• Notificación a titulares afectados: se informará a los Clientes B2B afectados en un plazo máximo de 72 horas desde que se confirme la brecha, conforme al estándar del artículo 33 del GDPR adoptado como referencia para buenas prácticas. La notificación incluirá la naturaleza del incidente, los datos afectados, las posibles consecuencias y las medidas adoptadas o propuestas.
• Investigación y corrección: se realizará un análisis de causa raíz y se implementarán las correcciones necesarias para evitar la recurrencia.

17. Derechos Adicionales para Usuarios en la UE/EEE (GDPR)

Los usuarios residentes en la Unión Europea o el Espacio Económico Europeo tienen, además de los derechos ARCO, los siguientes derechos conforme al GDPR:

• Derecho de acceso (art. 15): obtener confirmación y copia de los datos tratados.
• Derecho de rectificación (art. 16): corregir datos inexactos.
• Derecho de supresión / "al olvido" (art. 17): solicitar la eliminación cuando los datos ya no sean necesarios o se retire el consentimiento, salvo excepciones legales.
• Derecho a la limitación del tratamiento (art. 18): solicitar que el tratamiento quede restringido en determinadas circunstancias.
• Derecho a la portabilidad (art. 20): recibir sus datos en formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable.
• Derecho de oposición (art. 21): oponerse al tratamiento basado en interés legítimo o con fines de mercadotecnia directa.
• Derecho a no ser objeto de decisiones automatizadas con efectos jurídicos significativos (art. 22).
• Derecho a presentar reclamación ante la autoridad de control competente del Estado miembro donde resida habitualmente.

18. Derechos para Residentes de California (CCPA/CPRA)

Los residentes del Estado de California tienen los siguientes derechos conforme a la California Consumer Privacy Act (CCPA) y la California Privacy Rights Act (CPRA):

• Derecho a saber: conocer las categorías de información personal recopilada, las fuentes, los fines y los terceros a quienes se divulga.
• Derecho a eliminar: solicitar la eliminación de la información personal recopilada, sujeto a excepciones legales.
• Derecho a corregir: solicitar la corrección de información personal inexacta.
• Derecho a opt-out de la venta o uso compartido: Relevo no vende ni comparte información personal en el sentido de la CCPA/CPRA.
• Derecho a no sufrir discriminación por ejercer cualquiera de estos derechos.
• Derecho a limitar el uso de información sensible.

19. Cambios al Aviso de Privacidad

Relevo puede modificar el presente Aviso en cualquier momento para reflejar cambios en las prácticas de tratamiento de datos, en la normativa aplicable o en el servicio.

• Las modificaciones se publicarán en relevo.chat/privacy indicando la fecha de la última actualización.
• Cuando los cambios sean sustanciales (nuevas finalidades, nuevas transferencias o cambios en los derechos de los titulares), Relevo notificará a los Clientes B2B con al menos 15 días de anticipación mediante correo electrónico o aviso dentro del dashboard.
• El uso continuado del servicio después de la fecha de entrada en vigor de los cambios implica la aceptación de los mismos respecto a las finalidades primarias necesarias para el servicio. Para finalidades secundarias, se solicitará nuevo consentimiento cuando sea necesario.

20. Contacto

Para cualquier duda, solicitud o comentario relacionado con este Aviso de Privacidad:

• Correo electrónico: francisco@relevo.chat
• Sitio web: relevo.chat

Nos comprometemos a responder todas las solicitudes relacionadas con privacidad en un plazo máximo de 5 días hábiles para acusar recibo, y conforme a los plazos legales aplicables para su resolución definitiva.

Última actualización: 2026-05-19