1. Identidad y domicilio del responsable
DubaluAI (en adelante, «DubaluAI», «nosotros» o «el responsable»), con domicilio en Avenida las Cañadas 501 int 360, Tres Marías, Morelia, Michoacán, México, 58253, es responsable del uso y protección de tus datos personales conforme a este aviso.
2. Datos personales que recabamos
- De identificación y contacto: nombre, correo electrónico, número de WhatsApp y el identificador único de tu cuenta. Son datos obligatorios: sin ellos no es posible crear una cuenta.
- Fiscales: RFC, razón social, régimen fiscal y domicilio fiscal, necesarios para la emisión de comprobantes.
- De facturación: los datos de tu suscripción. Los datos completos de tu tarjeta los recaba y almacena directamente nuestro procesador de pagos; nosotros no los conservamos.
- Operativos de tu negocio: la información que capturas en la plataforma —contactos, catálogo, ventas, comprobantes, movimientos, nómina— que puede incluir datos personales de terceros. Respecto de esa información, tú eres el responsable y nosotros actuamos como encargado.
- Técnicos: dirección IP, identificadores de sesión y registros de acceso y de actividad, que usamos para seguridad, auditoría y diagnóstico.
- De navegación en el sitio público: páginas visitadas y datos aproximados de origen, recogidos por la herramienta de analítica con la IP anonimizada. Puedes rechazarlos y el sitio funciona igual.
No recabamos datos personales sensibles para nuestras propias finalidades. Si tu operación implica capturarlos —por ejemplo, información de salud en un consultorio— eres tú quien determina ese tratamiento y quien debe contar con el consentimiento correspondiente de los titulares.
3. Finalidades del tratamiento
Finalidades primarias, necesarias para prestarte el servicio:
- Crear y administrar tu cuenta, y autenticar tu acceso.
- Operar las aplicaciones que contrataste.
- Emitir comprobantes fiscales digitales y cumplir obligaciones ante el SAT y el IMSS cuando corresponda.
- Procesar el cobro de tu suscripción.
- Atender soporte y enviarte comunicaciones sobre el servicio.
- Prevenir fraude y abuso, y mantener la seguridad e integridad de la plataforma.
Finalidades secundarias, que no son necesarias y a las que puedes oponerte en cualquier momento escribiendo a privacidad@dubalu.ai:
- Enviarte comunicaciones comerciales sobre productos y novedades.
- Elaborar estadísticas agregadas y anónimas para mejorar el producto.
Oponerte a las finalidades secundarias no afecta la prestación del servicio.
4. Tratamiento mediante inteligencia artificial
Ésta es la sección que conviene leer con calma, porque los agentes son una parte central del producto.
- Qué se envía. Cuando usas un agente, la información necesaria para atender esa solicitud —el texto de tu consulta y los datos del contexto sobre el que trabaja— se envía a nuestro proveedor de modelos de lenguaje, Anthropic, para generar la respuesta. Sólo se envía lo que ese agente necesita para su tarea, no la totalidad de tu información.
- Para qué. Únicamente para producir la respuesta o ejecutar la acción que solicitaste.
- No se usa para entrenar. El tratamiento se realiza al amparo de un contrato de tratamiento de datos con el proveedor, que establece que la información no se utiliza para entrenar modelos.
- Con control humano. Las acciones con efectos relevantes requieren tu aprobación antes de ejecutarse. No tomamos decisiones automatizadas que produzcan efectos jurídicos sobre ti sin intervención humana.
- Con límites configurables. Puedes restringir el alcance de cada agente y los temas que puede tratar desde su configuración, y puedes no usarlos.
- Registro. Conservamos un registro de las ejecuciones para auditoría y diagnóstico. Ese registro está diseñado para no almacenar el contenido de los datos personales tratados.
5. Encargados y transferencias
Para operar nos apoyamos en proveedores que actúan como encargados y que tratan datos únicamente conforme a nuestras instrucciones:
- Amazon Web Services — infraestructura, alojamiento y respaldos.
- Anthropic — modelos de lenguaje que operan los agentes.
- OpenAI — generación de imágenes cuando usas esa función.
- Stripe — procesamiento de pagos de la suscripción.
- Twilio — mensajería por WhatsApp cuando habilitas ese canal.
- Resend — envío y recepción de correo transaccional.
- Google Analytics — medición de uso únicamente en el sitio público de dubalu.ai, con la dirección IP anonimizada y con la posibilidad de rechazarla desde el aviso de cookies. No se carga dentro de la plataforma con sesión iniciada. Detalle en la Política de cookies.
Algunos de estos proveedores se encuentran fuera de México, por lo que el tratamiento implica una transferencia internacional. En todos los casos existe un contrato que impone obligaciones de confidencialidad y seguridad equivalentes a las de este aviso.
Fuera de lo anterior, no transferimos tus datos a terceros sin tu consentimiento, salvo en los supuestos del artículo 37 de la LFPDPPP, entre ellos el requerimiento de una autoridad competente. No vendemos tus datos personales.
6. Conservación
Conservamos tus datos mientras tu cuenta esté activa y durante el tiempo necesario para cumplir las finalidades descritas. Después de la cancelación conservamos únicamente lo que exige la ley: la información con efectos fiscales se resguarda por los plazos previstos en el Código Fiscal de la Federación. Los respaldos siguen su propio ciclo de rotación y la información eliminada desaparece de ellos conforme éste avanza.
7. Derechos ARCO y revocación
Tienes derecho a acceder a tus datos, a rectificarlos cuando sean inexactos, a cancelarlos cuando consideres que no son necesarios y a oponerte a su tratamiento para fines específicos. También puedes revocar el consentimiento que nos hayas otorgado.
Para ejercerlos, escribe a privacidad@dubalu.ai desde el correo asociado a tu cuenta, indicando qué derecho ejerces y respecto de qué datos. Respondemos en un plazo máximo de 20 días hábiles y, de resultar procedente, lo hacemos efectivo dentro de los 15 días hábiles siguientes. Podemos solicitarte acreditar tu identidad.
La supresión de la cuenta ocurre en dos etapas: primero se bloquea el acceso y después se elimina de forma definitiva, una vez transcurrido el periodo que permite revertir una solicitud hecha por error. El plazo total no excede los 30 días.
Si consideras que tu derecho a la protección de datos fue vulnerado, puedes acudir ante la autoridad garante competente en México.
8. Medidas de seguridad
- Cifrado en tránsito y en reposo, y contraseñas almacenadas con funciones de derivación diseñadas para ese fin.
- Aislamiento entre cuentas aplicado en la base de datos mediante políticas de seguridad a nivel de renglón, no sólo en el código de la aplicación.
- Segundo factor de autenticación obligatorio para los roles con mayor alcance.
- Registro inmutable de las acciones críticas y control de acceso por rol.
Ningún sistema es infalible. Si ocurriera una vulneración que afecte de forma significativa tus derechos, te lo notificaremos sin demora injustificada.
9. Cookies y tecnologías similares
El detalle está en la página de Cookies.
10. Menores de edad
El servicio está dirigido a personas mayores de edad que operan un negocio. No recabamos deliberadamente datos de menores. Si detectamos que una cuenta pertenece a un menor, la cancelamos.
11. Cambios a este aviso
Podemos actualizar este aviso. Si el cambio es sustancial, te lo notificamos por correo electrónico y dentro de la plataforma antes de que entre en vigor. La fecha de la última actualización aparece al inicio de esta página.
12. Contacto
Privacidad y derechos ARCO: privacidad@dubalu.ai
Legal: legal@dubalu.ai