Aviso de privacidad integral

El presente Aviso de Privacidad Integral se emite en cumplimiento del artículo 16, segundo párrafo, de la Constitución Política de los Estados Unidos Mexicanos; de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada el 20 de marzo de 2025 y reformada el 14 de noviembre de 2025 (la “LFPDPPP”), particularmente sus artículos 2, 5 a 20, 21 a 36; del Reglamento de la LFPDPPP publicado en el Diario Oficial de la Federación el 21 de diciembre de 2011, aplicable en lo que no se oponga a la legislación vigente; y de los Lineamientos del Aviso de Privacidad publicados en el Diario Oficial de la Federación el 17 de enero de 2013, en lo que resulten compatibles con el marco legal vigente.

1. IDENTIDAD Y DOMICILIO DEL RESPONSABLE

KIMSSUU INNOVATION, S.A. de C.V., comercialmente identificada como Kim Hub Digital (“KIMSSUU”), es responsable del tratamiento de los datos personales de representantes, administradores, usuarios, contactos comerciales y demás personas que se registren, contraten o interactúen directamente con CAVA VEHICULAR (“CAVA VEHICULAR”), respecto de las finalidades propias de cuenta, contratación, facturación, soporte, seguridad y administración del servicio.

2. ALCANCE Y DISTRIBUCIÓN DE ROLES

Respecto de los datos personales que una agencia, concesionario, distribuidor o grupo automotriz (“AGENCIA”) incorpore a CAVA VEHICULAR para integrar expedientes de sus clientes, compradores, usuarios, beneficiarios controladores, representantes, proveedores u otras personas, la AGENCIA determina las finalidades y medios esenciales de dicho tratamiento y conserva el carácter de responsable. En esos casos KIMSSUU actúa como persona encargada, en términos del artículo 2, fracción XII, de la LFPDPPP, y trata los datos por cuenta de la AGENCIA conforme al contrato SaaS, las instrucciones documentadas y la normativa aplicable.

La AGENCIA deberá poner a disposición de las personas titulares su propio aviso de privacidad, identificar las finalidades y bases jurídicas aplicables, obtener los consentimientos que legalmente correspondan, atender derechos ARCO y determinar los plazos de conservación. La aceptación de este Aviso por el representante o administrador de la AGENCIA no sustituye ni satisface esas obligaciones frente a los titulares cuyos datos integren expedientes PLD/FT.

3. DATOS PERSONALES QUE TRATA KIMSSUU COMO RESPONSABLE

Para crear y administrar cuentas de CAVA VEHICULAR podremos tratar las siguientes categorías: (i) identificación y contacto: nombre, correo electrónico, teléfono y datos de identificación del representante o usuario; (ii) datos laborales o profesionales: cargo, puesto, agencia, grupo, marcas, rol y permisos; (iii) datos de contratación y facturación: razón social relacionada, datos fiscales y evidencia contractual; (iv) datos de autenticación y seguridad: identificadores de usuario, credenciales protegidas, registros de acceso, dirección IP, dispositivo, navegador, fechas y horas de sesión y bitácoras; (v) datos de soporte: comunicaciones, tickets e incidencias; y (vi) evidencia de aceptación: versión del aviso, usuario, fecha, hora y registros técnicos asociados a la aceptación.

KIMSSUU no solicita, como condición ordinaria para crear la cuenta de un representante o administrador, datos personales sensibles. Si excepcionalmente fuera necesario tratar datos sensibles o datos financieros o patrimoniales que requieran consentimiento expreso, se informará de manera previa y se recabará el consentimiento en la forma exigida por los artículos 7 y 8 de la LFPDPPP.

4. DATOS TRATADOS POR CUENTA DE LA AGENCIA

En los expedientes administrados por cuenta de la AGENCIA pueden existir datos de identificación y contacto; CURP; RFC; domicilio; actividad u ocupación; información patrimonial o financiera; información de beneficiario controlador; identificaciones oficiales; comprobantes; datos y documentos de vehículos; datos de operaciones y medios de pago; resultados de verificaciones; alertas, señales y evaluaciones de apoyo, así como otra información cuya integración resulte necesaria para las finalidades instruidas por la AGENCIA y permitidas por la ley. Si la AGENCIA incorpora datos personales sensibles, deberá contar previamente con la base jurídica y, cuando proceda, con el consentimiento expreso y por escrito de la persona titular.

5. FINALIDADES PRIMARIAS Y NECESARIAS

KIMSSUU tratará los datos de cuenta para: crear, autenticar, administrar y proteger usuarios; verificar facultades y vinculación con la AGENCIA; prestar, mantener y dar soporte al servicio SaaS; asignar roles y permisos; gestionar contratación, cobro y facturación; registrar la aceptación de documentos legales; prevenir fraude, abuso y accesos no autorizados; generar bitácoras y trazabilidad; atender incidentes; respaldar y recuperar información; cumplir obligaciones legales, fiscales, contractuales y de seguridad; atender solicitudes de derechos y requerimientos de autoridad; y ejercer o defender derechos derivados de la relación jurídica.

Cuando KIMSSUU actúe como persona encargada, tratará los datos de los expedientes únicamente para prestar las funciones contratadas e instruidas por la AGENCIA, tales como almacenamiento, organización, OCR, extracción estructurada, análisis automatizado de apoyo, validaciones, alertas, trazabilidad, generación de formatos e informes y demás funciones documentadas del servicio. KIMSSUU no utilizará esos datos para finalidades propias incompatibles con las instrucciones de la AGENCIA.

6. FINALIDADES SECUNDARIAS

Las comunicaciones de mercadotecnia, publicidad, encuestas o novedades que no sean necesarias para prestar el servicio no forman parte de las finalidades primarias. La negativa a recibirlas no impedirá el registro, la contratación ni el uso de CAVA VEHICULAR. Cuando KIMSSUU pretenda realizar dichas finalidades, habilitará una opción separada, voluntaria y revocable para que la persona titular manifieste su elección.

7. CONSENTIMIENTO Y BASES PARA EL TRATAMIENTO

De conformidad con los artículos 7, 8 y 9 de la LFPDPPP, el tratamiento se sujetará al consentimiento de la persona titular cuando éste sea legalmente exigible. El consentimiento expreso puede manifestarse por medios electrónicos. No será necesario recabarlo en los supuestos de excepción establecidos por la ley, entre ellos cuando el tratamiento sea necesario para cumplir obligaciones derivadas de una relación jurídica o cuando una disposición jurídica así lo establezca. La aceptación electrónica prevista al final de este Aviso acredita que el documento fue puesto a disposición de la persona titular y, únicamente en los casos en que la ley lo requiera para las finalidades primarias aquí descritas, constituye manifestación expresa de consentimiento.

8. PERSONAS ENCARGADAS, PROVEEDORES Y TRANSFERENCIAS

KIMSSUU podrá apoyarse en proveedores de infraestructura, alojamiento, almacenamiento, respaldo, seguridad, correo, soporte, procesamiento de pagos, OCR, inteligencia artificial y otros servicios tecnológicos. Cuando dichos proveedores traten datos por cuenta de KIMSSUU o de la AGENCIA bajo instrucciones y obligaciones de confidencialidad y seguridad, actuarán como personas encargadas o subencargadas y la comunicación correspondiente no tendrá el carácter de transferencia en los términos de la LFPDPPP.

KIMSSUU no realizará, como parte ordinaria del servicio, transferencias de datos personales que requieran el consentimiento de la persona titular sin recabarlo previamente. Podrán efectuarse transferencias sin consentimiento en los casos permitidos por el artículo 36 de la LFPDPPP, incluyendo aquellas previstas por ley, legalmente exigidas por autoridad competente, necesarias para la defensa de un derecho o para el mantenimiento o cumplimiento de una relación jurídica. Si en el futuro se proyecta una transferencia que requiera consentimiento, KIMSSUU informará al titular y solicitará su autorización antes de realizarla.

9. MEDIDAS DE SEGURIDAD Y CONFIDENCIALIDAD

En cumplimiento de los artículos 18, 19 y 20 de la LFPDPPP, KIMSSUU mantiene medidas administrativas, técnicas y físicas razonables para proteger los datos contra daño, pérdida, alteración, destrucción, uso, acceso o tratamiento no autorizado. CAVA VEHICULAR contempla, de acuerdo con el ambiente y configuración contratados, separación lógica por agencia, controles de acceso por rol, sesiones protegidas del lado servidor, cookies de sesión con atributos de seguridad, comunicaciones HTTPS/TLS, almacenamiento privado, cifrado de credenciales de integraciones, huellas SHA-256 para integridad documental, bitácoras, controles de descarga y respaldos. Ningún sistema tecnológico puede garantizar seguridad absoluta.

Si ocurre una vulneración de seguridad que afecte de forma significativa los derechos patrimoniales o morales de una persona titular, se actuará conforme al artículo 19 de la LFPDPPP y demás disposiciones aplicables. Cuando KIMSSUU actúe como persona encargada, informará a la AGENCIA sobre los incidentes que afecten los datos tratados por sus instrucciones, conforme al contrato y a la normativa aplicable.

10. CONSERVACIÓN, BLOQUEO Y ELIMINACIÓN

Los datos de cuenta y de la relación contractual se conservarán durante el tiempo necesario para prestar el servicio y, posteriormente, durante los plazos de prescripción o conservación aplicables a responsabilidades contractuales, fiscales, administrativas o de defensa de derechos. Cumplidas las finalidades y vencidos los plazos legales, los datos serán bloqueados y posteriormente suprimidos o disociados, según corresponda, conforme a los artículos 10 a 12 de la LFPDPPP.

Respecto de los expedientes PLD/FT administrados por cuenta de la AGENCIA, ésta determinará y documentará el plazo aplicable conforme a la LFPIORPI y demás normativa sectorial vigente. KIMSSUU conservará, devolverá, bloqueará o eliminará dichos datos de acuerdo con las instrucciones documentadas de la AGENCIA y las obligaciones legales que resulten aplicables.

11. DERECHOS ARCO, REVOCACIÓN Y LIMITACIÓN DE USO O DIVULGACIÓN

La persona titular podrá ejercer en cualquier momento sus derechos de Acceso, Rectificación, Cancelación y Oposición (ARCO), así como solicitar la revocación de su consentimiento o la limitación del uso o divulgación de sus datos personales. La solicitud deberá enviarse al al correo de la página.

La solicitud deberá contener: nombre de la persona titular; medio para recibir notificaciones; documentos que acrediten su identidad y, en su caso, la representación; descripción clara de los datos respecto de los cuales se pretende ejercer el derecho; derecho ARCO solicitado o petición concreta; y cualquier elemento que facilite localizar la información. En solicitudes de rectificación deberán indicarse las modificaciones pretendidas y acompañarse la documentación que las sustente.

KIMSSUU comunicará la determinación adoptada dentro del plazo máximo de veinte días contado a partir de la recepción de una solicitud completa y, si resulta procedente, hará efectivo el derecho dentro de los quince días siguientes, sin perjuicio de las ampliaciones permitidas por el artículo 31 de la LFPDPPP. La revocación o limitación será atendida por el mismo canal, salvo que la conservación o tratamiento de determinados datos resulte necesaria para cumplir una obligación legal o contractual.

Cuando la solicitud se refiera a datos contenidos en un expediente respecto del cual la AGENCIA sea responsable, KIMSSUU canalizará o apoyará su atención conforme a las instrucciones de la AGENCIA, sin sustituir las obligaciones que correspondan a ésta como responsable frente a la persona titular.

12. COOKIES Y TECNOLOGÍAS DE SESIÓN

CAVA VEHICULAR utiliza cookies y tecnologías necesarias para autenticación, continuidad de sesión, seguridad, prevención de solicitudes fraudulentas y preferencias indispensables del servicio. Estas tecnologías pueden recabar identificadores técnicos, dirección IP, navegador, dispositivo y datos de sesión. Los tokens de autenticación no se almacenan en localStorage. Si se incorporan cookies o herramientas analíticas no necesarias, se informarán de manera visible y se habilitarán mecanismos para aceptar, rechazar o configurar su uso, conforme al artículo 14 del Reglamento y al Trigésimo Primero de los Lineamientos del Aviso de Privacidad.

13. DECISIONES AUTOMATIZADAS

CAVA VEHICULAR puede utilizar OCR, reglas de negocio, comparaciones, alertas y modelos automatizados como apoyo para organizar información y detectar inconsistencias o señales. Dichos resultados no constituyen decisiones jurídicas automáticas sobre una persona, ni sustituyen la revisión humana de la AGENCIA. Cuando un tratamiento automatizado pudiera producir efectos jurídicos no deseados o afectar significativamente los intereses, derechos o libertades de una persona sin intervención humana, se observará el derecho de oposición previsto en el artículo 26, fracción II, de la LFPDPPP y se informará de manera previa cuando resulte aplicable.

14. CAMBIOS AL AVISO DE PRIVACIDAD

KIMSSUU podrá modificar o actualizar este Aviso por cambios legales, regulatorios, tecnológicos, de seguridad, de operación o de los servicios ofrecidos. La versión vigente se publicará en CAVA VEHICULAR y/o en el sitio oficial de CAVA VEHICULAR, indicando número de versión y fecha de vigencia. Cuando una modificación requiera un nuevo consentimiento conforme a la ley, CAVA VEHICULAR solicitará nuevamente la manifestación correspondiente antes de aplicar el nuevo tratamiento.

15. AUTORIDAD COMPETENTE

La Secretaría Anticorrupción y Buen Gobierno es la autoridad federal competente en materia de protección de datos personales en posesión de particulares, conforme a la LFPDPPP vigente. La persona titular podrá ejercer los medios de protección previstos en dicha ley cuando considere vulnerado su derecho a la protección de datos personales.

16. ACEPTACIÓN ELECTRÓNICA Y CONDICIÓN DE REGISTRO

Antes de concluir el alta de una AGENCIA en CAVA VEHICULAR, su representante o administrador deberá tener acceso a este Aviso de Privacidad Integral y seleccionar el botón de aceptación. La plataforma registrará, para fines de trazabilidad y prueba, la identidad o cuenta del usuario, la AGENCIA vinculada, la versión aceptada, la fecha y hora y la evidencia técnica disponible de la aceptación.

Al seleccionar el botón, la persona declara: (i) haber leído o tenido oportunidad razonable de leer el Aviso de Privacidad Integral; (ii) conocer las finalidades y condiciones del tratamiento de sus propios datos personales; (iii) conocer los medios para ejercer derechos ARCO, revocar el consentimiento o limitar el uso o divulgación; y (iv) aceptar el tratamiento necesario para crear y administrar su cuenta y prestar el servicio, en los términos legalmente aplicables. Esta aceptación no constituye consentimiento para finalidades secundarias de mercadotecnia ni sustituye los consentimientos que deba obtener la AGENCIA de sus clientes, compradores, beneficiarios controladores, empleados u otras personas cuyos datos incorpore a CAVA VEHICULAR.

El registro de la AGENCIA no podrá concluir ni se habilitará el acceso operativo a CAVA VEHICULAR mientras no se haya realizado esta aceptación electrónica.

FUNDAMENTO NORMATIVO DE REFERENCIA

Constitución Política de los Estados Unidos Mexicanos, artículo 16, segundo párrafo. LFPDPPP vigente: artículos 1 y 2; 5 a 13 (principios, consentimiento, calidad, finalidad, proporcionalidad y responsabilidad); 14 a 17 (principio de información y aviso de privacidad); 18 a 20 (seguridad y confidencialidad); 21 a 34 (derechos ARCO y procedimiento); 35 y 36 (transferencias); 53 a 61 (responsabilidad, verificación, infracciones y sanciones, según corresponda). Reglamento de la LFPDPPP, DOF 21-12-2011, aplicable en lo que no se oponga al marco vigente, incluyendo las disposiciones relativas a información, consentimiento, medios remotos, encargados, seguridad y ejercicio de derechos. Lineamientos del Aviso de Privacidad, DOF 17-01-2013, particularmente Sexto a Octavo; Vigésimo a Trigésimo Tercero; y Trigésimo Primero respecto de cookies y tecnologías similares, en lo que resulten compatibles con la LFPDPPP vigente.