Aviso de Privacidad Integral

I. Identidad y domicilio del responsable

Sistema de Historial Médico Universal, S.A.P.I. de C.V. (en adelante, "HAX"), con domicilio en Sabinas #908, San Nicolás de los Garza, Nuevo León, México, es responsable del tratamiento de los datos personales que recaba de sus usuarios finales (en adelante, el "Titular") conforme al presente Aviso de Privacidad Integral.

• Departamento de Datos Personales: legal@hax.com.mx
• Soporte técnico y aclaraciones: soporte@hax.com.mx

II. Datos personales que se recaban

Para las finalidades señaladas en el presente Aviso, HAX podrá recabar las siguientes categorías de datos personales:

1) Datos de identificación y contacto

• Nombre completo
• Correo electrónico
• Número telefónico (opcional)
• Fecha de nacimiento (para verificar mayoría de edad)

2) Datos de cuenta, uso y seguridad

• Identificadores de cuenta y autenticación (por ejemplo, UID interno)
• Registros de acceso y actividad en la plataforma (bitácoras de auditoría)
• Identificadores técnicos del dispositivo y de la sesión (utilizados para seguridad, prevención de fraude y funcionamiento del servicio)

3) Datos de transacciones y consumo

• Historial de transacciones realizadas a través de HAX (monto, fecha/hora, establecimiento afiliado, estado y referencias técnicas)
• Confirmaciones y comprobantes de transacción
• Registros criptográficos firmados de cada transacción (recibo criptográfico) para efectos de no-repudio y auditoría

4) Datos financieros

HAX NO recaba ni almacena números completos de tarjeta, CVV ni fecha de expiración. Los datos de tarjeta se tokenizan directamente mediante Stripe, Inc. ("Stripe"). HAX únicamente conserva identificadores tokenizados (por ejemplo, PaymentMethod / PaymentIntent) y referencias de operación necesarias para conciliar y dar soporte.

5) Datos personales sensibles (biométricos)

• Plantillas biométricas de huellas dactilares (templates) utilizadas exclusivamente para autenticación e identificación del Titular dentro de la plataforma, almacenadas de forma cifrada en reposo

El tratamiento de datos personales sensibles (biométricos) requiere el consentimiento expreso del Titular, el cual se recaba mediante un documento separado de Consentimiento Biométrico firmado digitalmente durante el proceso de registro en la App, antes de cualquier recolección de datos biométricos, conforme a la LFPDPPP y su Reglamento.

III. Datos personales que NO recabamos

HAX, en su modelo operativo actual, no recaba:

• Geolocalización en tiempo real (GPS) del Titular
• Números completos de tarjeta, CVV o datos bancarios como CLABE
• Datos biométricos en formato de imagen (por ejemplo, fotografía de la huella), salvo que una captura sea necesaria de forma temporal para generar la plantilla, en cuyo caso se procesa y descarta conforme a las medidas de seguridad aplicables

IV. Finalidades del tratamiento

A) Finalidades primarias (necesarias para la relación con el Titular)

• Crear, administrar y autenticar la cuenta del Titular en la plataforma HAX
• Registrar y resguardar plantillas biométricas para habilitar autenticación e identificación al momento de autorizar pagos
• Procesar transacciones de pago en establecimientos afiliados, a través de Stripe
• Enviar confirmaciones y comprobantes de transacciones (push, email), así como notificaciones operativas relacionadas con el servicio
• Prevenir, detectar y mitigar fraude, abuso, accesos no autorizados, y proteger la integridad de la plataforma
• Atender solicitudes de soporte técnico y servicio al cliente
• Cumplir obligaciones legales, regulatorias y requerimientos de autoridades competentes
• Mantener bitácoras de auditoría y registros técnicos para continuidad del servicio, seguridad y defensa ante disputas/contracargos

B) Finalidades secundarias (no necesarias)

• Enviar comunicaciones informativas y/o promocionales sobre nuevos establecimientos afiliados, funcionalidades o beneficios
• Generar estadísticas y análisis agregados o anonimizados para mejora del servicio (sin identificar directamente al Titular)

V. Uso de algoritmos biométricos automatizados

HAX utiliza algoritmos de matching biométrico automatizado para la autenticación de identidad. Estos algoritmos operan bajo parámetros deterministas de similitud comparando la huella presentada contra plantillas previamente registradas; no constituyen decisiones automatizadas con efectos jurídicos adversos en el sentido del artículo 22 del Reglamento General de Protección de Datos europeo (RGPD) o figuras análogas.

El Titular tiene derecho a solicitar revisión humana en caso de fallas persistentes del sistema biométrico o rechazos que considere injustificados. Para ello, puede contactar a soporte@hax.com.mx.

VI. Bases de legitimación

HAX podrá tratar los datos personales del Titular con base en:

• El consentimiento del Titular (incluyendo consentimiento expreso para datos biométricos)
• La relación jurídica derivada del uso de la plataforma (prestación de un servicio tecnológico)
• El cumplimiento de obligaciones legales y requerimientos de autoridad
• La necesidad de prevenir fraude y proteger la seguridad de la información y de las transacciones

VII. Transferencias de datos

HAX podrá realizar transferencias nacionales e internacionales de datos personales, únicamente para las finalidades descritas en este Aviso, a los siguientes terceros:

Las transferencias a encargados del tratamiento se realizan bajo instrucciones de HAX y obligaciones de confidencialidad, seguridad y uso limitado, conforme a la LFPDPPP y a contratos aplicables.

VIII. Conservación (retención) de datos

HAX conservará los datos personales únicamente por el tiempo necesario para cumplir las finalidades descritas y las obligaciones legales aplicables:

Política de cuentas inactivas (dormancy)

En caso de inactividad prolongada del Titular (sin transacciones, sin login y sin cambios de configuración), HAX aplicará la siguiente política progresiva:

• A los 12 meses de inactividad: aviso por correo electrónico
• A los 24 meses: segundo aviso y cambio de estado a "dormant"
• A los 48 meses: aviso de cierre inminente con oportunidad de reactivar dentro de 12 meses
• A los 60 meses: suspensión de la cuenta
• A los 72 meses (6 años): cierre definitivo y eliminación irreversible de plantillas biométricas y datos personales, salvo obligación legal en contrario

El Titular puede reactivar la cuenta en cualquier momento durante los primeros 60 meses mediante login y verificación de identidad.

Proceso post-mortem

Los derechos ARCO y la revocación del consentimiento podrán ser ejercidos por los causahabientes del Titular en caso de fallecimiento, mediante acreditación fehaciente de dicho carácter. La solicitud deberá incluir: acta de defunción, identificación oficial del solicitante y documento que acredite parentesco o derecho. Canal de solicitud: soporte@hax.com.mx. Una vez validada, HAX procederá al bloqueo inmediato de la cuenta, notificación a instituciones donde el Titular tuviera membresía vigente y eliminación irreversible de datos biométricos.

Una vez concluidos los períodos de conservación y sin que exista obligación legal que justifique su retención, los datos serán eliminados o anonimizados de forma segura.

IX. Derechos ARCO y revocación del consentimiento

El Titular tiene derecho a Acceder, Rectificar, Cancelar u Oponerse al tratamiento de sus datos personales (derechos ARCO). Asimismo, puede revocar su consentimiento para el tratamiento de sus datos en cualquier momento, incluyendo el consentimiento biométrico.

Para ejercer derechos ARCO o revocar el consentimiento, el Titular deberá enviar una solicitud al correo legal@hax.com.mx que contenga:

• Nombre completo y correo electrónico registrado en HAX
• Descripción clara del derecho que desea ejercer (Acceso, Rectificación, Cancelación u Oposición) o de la revocación solicitada
• Documentos que acrediten su identidad (copia de identificación oficial) o, en su caso, acreditación de representación legal
• Cualquier elemento que facilite la localización de los datos (por ejemplo, fecha aproximada de transacciones o datos a corregir)

HAX dará respuesta en un plazo máximo de 20 (veinte) días hábiles. Si la solicitud resulta procedente, se hará efectiva dentro de los 15 (quince) días hábiles siguientes, conforme a la LFPDPPP.

Revocación del consentimiento biométrico

La revocación del consentimiento biométrico o la cancelación de datos biométricos puede implicar que el Titular no pueda utilizar la funcionalidad de pago por huella; sin embargo, HAX podrá conservar registros mínimos necesarios para obligaciones legales, prevención de fraude y atención de disputas.

El Titular también puede revocar su consentimiento biométrico directamente desde la configuración de la App HAX, sin necesidad de enviar correo. La revocación no implica la cancelación automática de la cuenta; el Titular conservará acceso a funciones de consulta de historial.

X. Medidas de seguridad

HAX implementa medidas de seguridad administrativas, técnicas y físicas para proteger los datos personales contra daño, pérdida, alteración, destrucción o uso, acceso o tratamiento no autorizado, alineadas con estándares reconocidos (NIST SP 800-57 para gestión de llaves criptográficas, ISO/IEC 27001 como marco de seguridad de la información, ISO/IEC 24745 para protección de información biométrica):

• Cifrado AES-256 de plantillas biométricas en reposo mediante servicio KMS de gestión de llaves
• Aislamiento criptográfico por institución: datos transaccionales y de membresía cifrados con llaves independientes por institución
• Cifrado TLS 1.3 en todas las comunicaciones (dispositivo-servidor, lector-dispositivo)
• Autenticación biométrica con evidencia criptográfica (recibo firmado, consent hash, timestamp)
• Control de acceso basado en roles y principio de mínimo privilegio
• Bitácoras de auditoría inmutables con retención en almacenamiento WORM (Write Once Read Many)
• Segregación de ambientes y controles de seguridad en infraestructura cloud
• Respaldos cifrados periódicos con pruebas de restauración
• Monitoreo continuo de seguridad y detección de patrones anómalos
• Políticas internas de seguridad de la información y capacitación del personal con acceso a datos personales
• Autenticación multifactor (MFA) obligatoria para personal administrativo
• Firewall de aplicación web (WAF) y protección contra ataques de denegación de servicio (DDoS)

Protocolo de respuesta a incidentes

HAX mantiene un protocolo documentado de respuesta a incidentes de seguridad que incluye: contención inmediata, preservación de evidencia forense, investigación de causa raíz, notificación al INAI dentro de las 72 horas en los casos previstos por la LFPDPPP, notificación a los Titulares afectados cuando exista riesgo significativo, medidas correctivas y análisis post-mortem.

XI. Cookies y tecnologías de rastreo

La aplicación móvil HAX no utiliza cookies. Para fines de seguridad, prevención de fraude y funcionamiento del servicio, HAX puede utilizar identificadores técnicos del dispositivo y de la sesión. HAX no comercializa datos personales ni los utiliza para publicidad basada en seguimiento de terceros fuera de la operación del servicio.

XII. Consentimiento biométrico

En virtud de que HAX recaba datos personales sensibles (plantillas biométricas de huellas dactilares), el Titular deberá otorgar su consentimiento expreso de forma previa al registro biométrico. Este consentimiento se recaba de la siguiente manera:

Proceso de obtención del consentimiento

• Durante el registro inicial en la App HAX, antes de cualquier recolección de datos biométricos, se presenta al Titular el documento de Consentimiento Biométrico completo
• El Titular debe leer el documento íntegramente (desplazamiento completo requerido)
• El Titular firma digitalmente mediante un canvas táctil integrado en la App
• Se genera un paquete de evidencia que incluye: imagen de la firma (PNG), versión del documento, hash SHA-256 del documento, fecha y hora UTC, modelo del dispositivo, versión del sistema operativo, versión de la App y dirección IP (registrada por el servidor)

Características del consentimiento

• Es libre, específico, informado, previo e inequívoco
• Es independiente de la aceptación de los Términos y Condiciones y del Aviso de Privacidad
• Es revocable en cualquier momento por el Titular (ver Sección IX)
• Sin consentimiento biométrico otorgado, el sistema no permite el enrollment de huellas dactilares

El consentimiento biométrico es un documento legal separado. El presente Aviso de Privacidad informa sobre el tratamiento; el consentimiento constituye la manifestación de voluntad expresa del Titular. Ambos documentos son complementarios conforme a la LFPDPPP.

Actualizaciones tecnológicas biométricas

El Titular reconoce y acepta que HAX podrá actualizar la tecnología biométrica subyacente (algoritmos de extracción, formato de plantillas, proveedores de SDK biométrico, técnicas de protección de plantillas) sin que ello constituya modificación sustancial que requiera nuevo consentimiento, siempre que: (i) se mantengan o incrementen los estándares de seguridad; (ii) las finalidades descritas en este Aviso no cambien; (iii) no se agreguen nuevas categorías de datos recabados. Estas actualizaciones podrán incluir re-procesamiento técnico de plantillas existentes, el cual se realizará bajo las mismas medidas de seguridad aplicables y de forma transparente para el Titular.

XIII. Mayores de edad; menores de edad

La plataforma HAX está diseñada exclusivamente para personas mayores de 18 años con plena capacidad legal para obligarse. Las tiendas de aplicaciones (Apple App Store y Google Play Store) aplican una clasificación mínima de edad 18+ para la descarga de la App HAX.

Menores de edad: En caso de que un menor de edad requiera utilizar la plataforma (por ejemplo, en instituciones educativas afiliadas), el enrollment únicamente podrá realizarse con consentimiento verificable del padre, madre o tutor legal, conforme a procedimientos específicos que HAX implementará. Dichos procedimientos contemplarán: (i) verificación de identidad del tutor; (ii) firma electrónica del tutor autorizando el tratamiento de datos biométricos del menor; (iii) vinculación del perfil del menor al tutor para efectos de control y notificaciones; (iv) limitaciones operativas acordes a la capacidad legal del menor (por ejemplo, el menor no podrá vincular instrumentos de pago propios, únicamente instrumentos del tutor con autorización expresa).

En ausencia de procedimiento de tutor activo en la versión vigente de la plataforma, HAX no permite el enrollment de menores de edad.

XIV. Establecimientos afiliados y alcance de la información compartida

Los establecimientos afiliados a HAX son terceros independientes que operan bajo su propia responsabilidad. Al momento de realizar una transacción, el establecimiento recibe únicamente:

• Confirmación de autenticación (exitosa o fallida)
• Nombre del Titular
• Resultado y estatus de la transacción

Los establecimientos no tienen acceso a datos biométricos, datos financieros ni a información adicional del Titular. La relación contractual entre el Titular y el establecimiento respecto a los bienes o servicios adquiridos es independiente de la relación entre el Titular y HAX.

XV. Modificaciones al Aviso de Privacidad

HAX se reserva el derecho de modificar el presente Aviso de Privacidad. Cualquier modificación será notificada al Titular a través de la aplicación móvil HAX y/o por correo electrónico, con al menos 15 (quince) días naturales de anticipación a su entrada en vigor. La versión vigente estará disponible en todo momento dentro de la App.

En caso de modificaciones sustanciales al tratamiento de datos biométricos que no constituyan actualizaciones tecnológicas conforme a la Sección XII, HAX solicitará al Titular un nuevo consentimiento biométrico antes de continuar con dicho tratamiento.

XVI. Autoridad competente

Si el Titular considera que su derecho a la protección de datos personales ha sido vulnerado, puede presentar una queja ante el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) a través de su portal oficial.

XVII. Contacto