Documento Legal
Política de Privacidad
Resumen ejecutivo: Agath B&Co S.A. de C.V., con domicilio en Monterrey, Nuevo León, es responsable del tratamiento de sus datos personales conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP, texto vigente publicado en el DOF el 20 de marzo de 2025), como operador y titular de la plataforma OBSYX, que hoy se ofrece y opera únicamente en México. Puede ejercer sus derechos de acceso, rectificación, cancelación y oposición (ARCO) escribiendo a privacidad@agath.com.mx.
1. Identidad y domicilio del responsable
Agath B&Co S.A. de C.V. (en adelante "el Responsable"), con domicilio en Monterrey, Nuevo León, México, es responsable del tratamiento de los datos personales que usted proporcione al utilizar el Portal Privado de Socios operado bajo la marca OBSYX, accesible en https://obsyx.com.mx. Todas las referencias a "el Portal" en este documento corresponden a la plataforma OBSYX.
Para cualquier asunto relacionado con esta Política puede contactarnos en: privacidad@agath.com.mx
Ámbito. OBSYX se ofrece, por ahora, únicamente a organizaciones y personas en territorio mexicano, y este aviso se redacta conforme a la legislación mexicana. Si en el futuro se ofrece en otro país, esta Política se actualizará antes de hacerlo.
Persona o área de datos personales. Las solicitudes y dudas sobre sus datos personales las atiende el área de datos personales del Responsable (artículo 29 de la LFPDPPP) a través del correo indicado arriba.
2. Datos personales que se recaban
El Portal recaba las siguientes categorías de datos personales:
| Categoría | Ejemplos | Fuente |
|---|---|---|
| Identificación | Nombre completo, correo electrónico, cargo | Directamente del titular |
| Contacto | Teléfono, redes de contacto | Directamente del titular |
| Acceso y seguridad | Contraseña (almacenada como hash criptográfico), códigos de verificación en dos pasos, tokens de sesión | Generados por el sistema |
| Actividad en el Portal | Fecha de inicio de sesión, acciones realizadas, descargas de archivos | Generados automáticamente |
| Datos de Google (si conecta su cuenta) | Correo de cuenta Google, nombre, foto de perfil, eventos de calendario, metadatos de correos no leídos | API de Google OAuth 2.0 con su consentimiento explícito |
| Datos de Microsoft (si conecta su cuenta) | Correo de cuenta Microsoft/Azure AD, nombre, foto de perfil | API de Microsoft Identity (OAuth 2.0/OIDC) con su consentimiento explícito |
| Facturación | Método de pago, historial de cargos, comprobantes de la licencia contratada por su organización | Directamente del titular y del procesador de pagos (Stripe) |
| Mensajes del chat interno | Contenido de mensajes, participantes, hora de envío | Directamente del titular |
| Conversaciones con Obxy (asistente de soporte con inteligencia artificial) | Los mensajes que usted escribe, las últimas intervenciones de la conversación, la pantalla desde la que pregunta y un resumen de su propio acceso (jerarquía, departamento y módulos visibles). Si usted lo pide, un indicador de qué datos de configuración de su perfil u organización faltan por completar (solo si están o no capturados, nunca su contenido) | Directamente del titular, solo si acepta las Condiciones de Obxy y lo utiliza |
| Suscripción de notificaciones push | Endpoint y claves de suscripción de su navegador (Web Push/VAPID) | Generados por su navegador al activar notificaciones |
| Documentos cargados | Comprobantes de pago, CFDI/XML, constancias, contratos, archivos de branding | Directamente del titular |
| Citas y disponibilidad | Fecha, hora y duración de citas agendadas con un vendedor, nombre y correo del contacto que agenda | Directamente del titular y de la persona que agenda la cita |
| Inventario y proveedores | Nombre y datos de contacto de proveedores registrados por la organización, historial de movimientos de stock | Directamente del titular |
| Datos fiscales | RFC, razón social, régimen fiscal, domicilio fiscal y código postal fiscal; nombre del representante legal. Se registran de la organización, de sus clientes o socios, de sus líneas de negocio o marcas internas, y de sus proveedores; y se leen de los comprobantes fiscales (CFDI) y de las constancias de situación fiscal que usted cargue | Directamente del titular y de los documentos fiscales que carga |
Datos sensibles: El Portal no solicita ni requiere datos personales sensibles en los términos del artículo 2, fracción VI de la LFPDPPP (origen étnico o racial, estado de salud, información genética, creencias religiosas, filosóficas y morales, afiliación sindical, opiniones políticas, preferencia sexual y datos biométricos, entre otros). Le pedimos no capturarlos en el Portal ni en el chat de Obxy; Obxy descarta los mensajes que parezcan contenerlos, con las limitaciones propias de un filtro automático. Los datos financieros y patrimoniales de su organización (movimientos, facturas, cuentas por cobrar y pagar) y los datos fiscales se tratan con su consentimiento expreso, que usted otorga al aceptar los Términos y esta Política al registrarse y capturarlos.
Cifrado de datos fiscales: el RFC, la razón social, el domicilio fiscal y el nombre del representante legal se almacenan cifrados en la base de datos, no en texto claro. La entidad federativa del domicilio fiscal es la única excepción y se conserva legible, porque el generador de contratos la necesita para determinar la jurisdicción aplicable.
Cuentas de demostración: las organizaciones identificadas como "cuenta demo", disponibles públicamente con fines de evaluación de la plataforma, se siembran con datos sintéticos generados automáticamente. Ningún dato de un prospecto o cliente real se utiliza para poblar una cuenta demo, y cualquier información que un visitante capture en ellas se elimina en el siguiente restablecimiento periódico automático.
3. Finalidades del tratamiento
Finalidades primarias (necesarias para la prestación del servicio):
- Autenticar y gestionar el acceso al Portal de Socios.
- Mostrar el avance de proyectos, métricas de campañas y activos de marca asociados a su cuenta.
- Gestionar solicitudes de sesiones de consultoría, soporte y capacitación.
- Permitir la descarga segura de archivos del Brand Kit con verificación de identidad (TOTP).
- Registrar una auditoría de acciones para seguridad y cumplimiento.
- Sincronizar eventos del calendario y correos no leídos del servicio Google cuando usted lo autoriza expresamente.
- Procesar el pago de la licencia contratada por su organización mediante nuestro procesador de pagos.
- Habilitar la comunicación por chat interno entre usted y el equipo OBSYX, incluyendo notificaciones push cuando usted las active.
- Administrar el organigrama de su organización (módulo Recursos Humanos) cuando su Super Administrador lo utilice.
- Responder sus preguntas de soporte y capacitación mediante Obxy, únicamente cuando usted acepta las Condiciones de Obxy y lo utiliza (ver Sección 5).
Finalidades secundarias (puede oponerse):
- Enviar comunicaciones sobre nuevas funcionalidades del Portal o servicios de OBSYX.
- Generar estadísticas agregadas y anónimas de uso del Portal.
Si no desea que sus datos sean tratados para finalidades secundarias, envíe un correo a privacidad@agath.com.mx con el asunto "Oposición finalidades secundarias". Las finalidades secundarias no son necesarias para el servicio; negarse a ellas no afecta el acceso al Portal. También puede hacerlo en cualquier momento escribiendo al mismo correo, aunque ya haya aceptado antes.
4. Uso específico de datos provenientes de Google y Microsoft
Cuando usted conecta voluntariamente su cuenta de Google mediante el flujo OAuth 2.0, el Portal obtiene acceso limitado a los siguientes recursos, únicamente con su consentimiento explícito:
| API de Google | Dato accedido | Uso en el Portal | Almacenamiento |
|---|---|---|---|
| Google Calendar | Eventos de la semana actual (título, fecha, link de Meet) | Mostrar agenda semanal en su dashboard personal | Cache 5 min · No se persisten eventos |
| Gmail | Metadatos de hasta 10 correos no leídos (asunto, remitente, fragmento) | Mostrar bandeja de entrada en su dashboard | Cache 2 min · No se almacenan cuerpos de correos |
| Google OAuth | Correo, nombre y foto de perfil de la cuenta Google | Identificar la cuenta conectada | Persistido mientras la conexión esté activa |
El Portal no lee, almacena ni procesa el contenido completo de sus correos electrónicos. Solo se accede a los metadatos (asunto, remitente, fecha, fragmento de texto). Los tokens de acceso de Google se almacenan cifrados con un algoritmo simétrico de estándar industrial.
Puede revocar el acceso del Portal a su cuenta de Google en cualquier momento desde: myaccount.google.com/permissions o desde la sección Configuración → Conexiones dentro del Portal.
El uso que el Portal hace de la información obtenida de las APIs de Google se sujeta además a la Política de Datos de Usuario de los Servicios API de Google, incluyendo los requisitos de Uso Limitado.
De forma equivalente, si usted opta por iniciar sesión con su cuenta de Microsoft (Azure AD/Entra ID), el Portal solo solicita los datos mínimos de identidad (correo, nombre y foto de perfil) mediante OAuth 2.0/OIDC, exclusivamente para autenticar su acceso — el Portal no accede a su correo, calendario ni archivos de Microsoft 365. Por seguridad, solo se acepta el inicio de sesión con Microsoft cuando el proveedor confirma que su dirección de correo está verificada; en caso contrario, se le pedirá usar su contraseña y verificación en dos pasos.
5. Uso de Inteligencia Artificial (Obxy)
El Portal incluye a Obxy, un asistente de soporte y capacitación basado en inteligencia artificial generativa. Es opcional: solo se activa para usted si acepta expresamente las Condiciones de uso de Obxy, y puede revocar esa aceptación cuando quiera sin afectar el resto del Portal.
| Aspecto | Detalle |
|---|---|
| Qué se envía al modelo | El mensaje que usted escribe, las últimas intervenciones de la conversación, la pantalla desde la que pregunta y un resumen de su propio acceso (jerarquía, departamento y módulos visibles). Si usted pide un diagnóstico de su configuración, además un indicador de qué elementos de su perfil u organización están o no capturados — nunca su contenido, como números, correos o documentos. |
| Proveedor | Anthropic, PBC (Estados Unidos), como encargado del tratamiento, mediante su interfaz de programación comercial (API). |
| Finalidad | Responder su pregunta de soporte y capacitación. No se usa para decisiones automatizadas con efectos jurídicos sobre usted ni para perfilarlo. |
| Entrenamiento | Sus conversaciones no se usan para entrenar modelos de inteligencia artificial ni se comparten con otros usuarios u otras organizaciones. |
| Conservación | Cada mensaje se elimina automáticamente a los 90 días de enviado, y la conversación a los 90 días de su último mensaje; los reportes que usted genere con Obxy se conservan 12 meses tras su cierre. |
| Datos sensibles | Obxy detecta mensajes que parezcan contener datos sensibles o credenciales (por palabras y formatos, no por intención) y no los envía al modelo ni los guarda. Como ningún filtro es perfecto, le pedimos no escribirlos. |
Transferencia internacional. Al usar Obxy, los datos descritos se remiten a Anthropic, PBC en Estados Unidos. Esta remisión a un encargado se realiza para el servicio que usted solicita al aceptar las Condiciones de Obxy y está sujeta a los artículos 35 y 36 de la LFPDPPP. Si no desea que sus datos salgan del país, simplemente no use Obxy: el Portal funciona completo sin él.
Su derecho a no ser objeto de tratamiento automatizado. Obxy orienta, no decide. Conforme al artículo 26 de la LFPDPPP puede oponerse al tratamiento de sus datos que produzca efectos no deseados o afecte significativamente sus intereses, y siempre tiene una vía humana alternativa: el reporte de soporte dentro del Portal o el correo privacidad@agath.com.mx.
El módulo de SEO & GEO del Portal evalúa qué tan preparado está el sitio de un socio para ser citado por motores de IA de terceros (rastreadores como GPTBot, ClaudeBot, PerplexityBot); esto es un análisis técnico del sitio público del socio, no un procesamiento de sus datos personales mediante IA.
Compromiso de transparencia: si OBSYX incorpora IA a otro proceso del Portal, o cambia de proveedor de IA o la finalidad con la que se usa, esta sección se actualizará antes de su entrada en operación, describiendo qué datos se envían, el proveedor, si entrena modelos con ellos y cómo puede oponerse.
6. Transferencias de datos
Sus datos personales no se venden. Solo se comunican, como se describe a continuación, a quienes nos prestan un servicio necesario (remisiones a encargados) o cuando la ley lo exige:
- Proveedor de infraestructura de base de datos en la nube (EUA): procesa datos como encargado, bajo las condiciones contractuales de su servicio. El nombre y la política de privacidad específica de este proveedor están disponibles bajo solicitud a privacidad@agath.com.mx.
- Google LLC / Microsoft Corporation (EUA): Únicamente cuando usted conecta su cuenta de Google o Microsoft, bajo las condiciones descritas en la Sección 4.
- Anthropic, PBC (EUA): únicamente cuando usted acepta y usa a Obxy, bajo las condiciones descritas en la Sección 5.
- Proveedor de procesamiento de pagos certificado PCI-DSS (EUA): utilizado para cobrar la licencia contratada por su organización. Recibe los datos necesarios para procesar el cargo (método de pago, monto, correo del administrador de facturación). OBSYX no almacena números de tarjeta en sus propios servidores. El nombre y la política de privacidad específica de este proveedor están disponibles bajo solicitud a privacidad@agath.com.mx.
- Autoridades competentes: Cuando sea requerido por mandato judicial, autoridad administrativa o normativa aplicable en México.
Las transferencias y remisiones a proveedores extranjeros se realizan para las finalidades descritas en esta Política y conforme a los artículos 35 y 36 de la LFPDPPP; el Responsable vela por que el tercero asuma obligaciones equivalentes a las suyas respecto de sus datos. Las transferencias necesarias para cumplir la relación jurídica con usted no requieren un consentimiento adicional.
Aclaración sobre monitoreo de errores: el Portal usa una herramienta interna de registro de errores técnicos (error tracking) para detectar y corregir fallas del sistema. A diferencia de otros portales, este servicio corre en infraestructura propia de OBSYX (autoalojada), no en un proveedor externo — por lo tanto, la información técnica de errores no sale de la infraestructura deOBSYX ni se transfiere a ningún tercero.
Algunos eventos operativos del Portal (por ejemplo, la aprobación de un proyecto o la carga de un documento) disparan automatizaciones internas a través de un sistema propio de flujos de trabajo, operado por OBSYX en su propia infraestructura, que puede a su vez enviar copia de ciertos documentos a un repositorio de Google Drive controlado por OBSYX para respaldo interno. Este flujo está firmado y autenticado, y no involucra a un proveedor externo distinto de Google (ya cubierto en esta Sección) y de la propia infraestructura de OBSYX.
7. Derechos ARCO y cómo ejercerlos
Conforme a la LFPDPPP, usted tiene derecho a Acceder, Rectificar, Cancelar u Oponerse (ARCO) al tratamiento de sus datos personales.
| Derecho | Descripción |
|---|---|
| Acceso | Conocer qué datos tenemos sobre usted y cómo los tratamos. |
| Rectificación | Corregir sus datos cuando sean inexactos o incompletos. |
| Cancelación | Solicitar la supresión de sus datos cuando no sean necesarios. |
| Oposición | Oponerse al tratamiento de sus datos para finalidades específicas, o a su tratamiento automatizado cuando produzca efectos no deseados o le afecte significativamente. |
Para ejercer sus derechos, envíe una solicitud a privacidad@agath.com.mx indicando:
- Nombre completo y correo registrado en el Portal.
- Copia de identificación oficial.
- Descripción clara del derecho que desea ejercer.
- Cualquier documento que sustente su solicitud.
Le comunicaremos la determinación adoptada dentro de los plazos que fija la LFPDPPP, contados desde la recepción de su solicitud, y si resulta procedente la haremos efectiva dentro del plazo adicional que la ley establece.
Si considera que su solicitud no fue atendida correctamente o que se vulneraron sus derechos, puede acudir ante la Secretaría Anticorrupción y Buen Gobierno, autoridad en materia de protección de datos personales en posesión de los particulares conforme a la LFPDPPP vigente, que sustituyó en esa función al extinto INAI.
8. Medidas de seguridad
OBSYX implementa medidas técnicas, administrativas y físicas para proteger sus datos personales contra daño, pérdida, alteración, destrucción o uso no autorizado, incluyendo de forma enunciativa mas no limitativa:
- Cifrado en tránsito mediante protocolos HTTPS actualizados, forzado en la totalidad del servicio.
- Cifrado en reposo mediante algoritmos simétricos de estándar industrial para datos sensibles.
- Autenticación de dos factores mediante códigos temporales de un solo uso, basados en estándares abiertos vigentes de la industria.
- Control de acceso basado en roles, con múltiples niveles de permisos diferenciados según la función de cada Usuario.
- Contraseñas almacenadas exclusivamente mediante funciones de hash criptográfico de un solo sentido, con parámetros de robustez alineados a las recomendaciones vigentes de la industria.
- Registro de auditoría de acciones con retención acotada en el tiempo.
- Infraestructura dedicada con controles perimetrales de seguridad y monitoreo continuo.
Si ocurriera una vulneración de seguridad que afecte de forma significativa sus derechos, se la comunicaremos sin demora, como lo exige la LFPDPPP, para que pueda tomar las medidas que correspondan. El detalle técnico específico de estas medidas (algoritmos, parámetros de configuración y arquitectura de la infraestructura) se mantiene reservado por razones de seguridad y no se publica en este documento; puede consultarse mediante solicitud fundamentada a privacidad@agath.com.mx.
9. Etiqueta de privacidad por plataforma
Con el propósito de dar transparencia equivalente a las "etiquetas de privacidad" exigidas por tiendas de aplicaciones (App Store, Google Play, Microsoft Store), a continuación se detalla qué datos recaba el Portal en cada plataforma en la que está o pueda estar disponible.
Aplicación Web / PWA (obsyx.com.mx) — disponible hoy:
| Dato | ¿Se vincula a su identidad? | Propósito |
|---|---|---|
| Nombre, correo, cargo | Sí | Identificación y contacto |
| Contraseña (hash), TOTP, tokens de sesión | Sí | Autenticación y seguridad |
| Dirección IP, tipo de dispositivo, navegador | Sí | Seguridad — detección de acceso desde IP/dispositivo nuevo |
| Actividad en el Portal (accesos, descargas) | Sí | Auditoría y seguridad (retención 90 días) |
| Documentos, CFDI/XML, archivos de branding cargados | Sí | Prestación del servicio (ver Sección 9 de Términos de Servicio sobre responsabilidad del Usuario). Se almacenan en el servidor de la aplicación, no en un proveedor externo de almacenamiento en la nube. |
| Mensajes del chat interno | Sí | Comunicación entre el Usuario y el equipo {BRAND} — se conservan mientras la cuenta esté activa |
| Suscripción de notificaciones push | Sí | Enviarle avisos del chat aunque no tenga el Portal abierto |
| Datos de Google o Microsoft (si conecta su cuenta) | Sí | Ver Sección 4 |
| Datos de facturación (Stripe) | Sí | Cobro de la licencia contratada — ver Sección 6 |
| Datos del organigrama de su organización (módulo Recursos Humanos) | Sí, del personal registrado por su Super Administrador | Administración interna de puestos y ocupantes de su organización |
| Citas agendadas y disponibilidad de vendedores | Sí, de quien agenda y de quien atiende la cita | Coordinar citas de venta y enviar recordatorios automáticos |
| Stock, lotes y proveedores de inventario | No (datos del catálogo/operación de la organización, no de personas físicas identificables salvo el contacto del proveedor) | Control de inventario y órdenes de compra de su organización |
| Métricas de campañas (Meta, Google Ads, GSC/GA4) | No (datos agregados de la cuenta publicitaria del socio) | Mostrar rendimiento de campañas |
| Cookies técnicas de sesión | Sí | Ver Sección 10 |
Acceso de soporte técnico: personal autorizado de OBSYX (rol de administración de plataforma) puede, excepcionalmente y con fines de soporte técnico o resolución de incidentes, operar temporalmente el Portal desde la perspectiva de su cuenta sin necesidad de conocer su contraseña. Este acceso queda registrado en la bitácora de auditoría del sistema (ver Sección 8).
El Portal Web no recaba ubicación geográfica precisa, contactos del dispositivo, micrófono, cámara, ni identificadores publicitarios.
Ejecutable de escritorio (Windows) — no disponible actualmente:
OBSYX no distribuye actualmente un ejecutable de escritorio para Windows. Si se publica una versión de escritorio, esta sección se completará antes de su lanzamiento con el inventario específico de datos recabados por esa aplicación (por ejemplo: acceso a sistema de archivos local, notificaciones del sistema, identificador de instalación), conforme al mismo estándar de esta etiqueta.
Aplicación para macOS — no disponible actualmente:
OBSYX no distribuye actualmente una aplicación nativa para macOS. Si se publica, esta sección se completará antes de su lanzamiento (incluyendo, en su caso, los datos declarados ante Apple en la etiqueta de privacidad de App Store para Mac).
Aplicación para Android — no disponible actualmente:
OBSYX no distribuye actualmente una aplicación para Android. Si se publica en Google Play, esta sección se completará antes de su lanzamiento con el detalle exigido por la sección "Seguridad de los datos" de Google Play (tipos de datos recabados, si se comparten con terceros, y si el cifrado en tránsito y la opción de eliminación de datos están disponibles).
Aplicación para iPhone o iPad (iOS/iPadOS) — no disponible actualmente:
OBSYX no distribuye actualmente una aplicación para iOS/iPadOS. Si se publica en App Store, esta sección se completará antes de su lanzamiento con el detalle exigido por la etiqueta de privacidad ("App Privacy") de Apple, incluyendo si los datos se usan para rastrear al Usuario entre apps o sitios de terceros (lo cual OBSYX no tiene previsto hacer).
10. Uso de cookies y tecnologías similares
El Portal utiliza cookies técnicas necesarias para su funcionamiento:
| Cookie | Propósito | Duración |
|---|---|---|
| Cookie de sesión | Token de autenticación para mantener su sesión iniciada | 24 horas |
| Cookie de renovación | Permite renovar su sesión sin solicitar credenciales de nuevo | 7 días |
El Portal no utiliza cookies de seguimiento, analítica de terceros ni publicidad. Las cookies técnicas son estrictamente necesarias para la operación del servicio; no pueden desactivarse sin afectar su funcionamiento.
11. Conservación de datos
Sus datos se conservan mientras mantenga una relación contractual activa con OBSYX. Una vez concluida la relación:
- Datos de cuenta: 3 años conforme al Código de Comercio (Art. 46).
- Registros de auditoría: 90 días con eliminación automática.
- Tokens de Google o Microsoft: eliminados inmediatamente al desconectar la cuenta o al terminar la relación.
- Facturas y documentos financieros: 5 años conforme al SAT y CFF.
- Mensajes del chat interno: se conservan mientras su cuenta permanezca activa; se eliminan al concluir la relación contractual, salvo que deban conservarse por un periodo mayor por obligación legal.
- Suscripciones de notificaciones push: eliminadas al desactivar las notificaciones o al cerrar su cuenta.
12. Cambios a esta Política
OBSYX puede modificar esta Política, por ejemplo por cambios legales o en el tratamiento de datos. La versión vigente siempre estará disponible en esta página y en el Portal. Los cambios serán notificados mediante:
- Aviso visible en el Portal en la siguiente sesión del usuario.
- Correo electrónico a la dirección registrada cuando los cambios sean sustanciales.
Cuando un cambio modifique las finalidades, los datos recabados o las transferencias, le pediremos aceptar de nuevo la Política al ingresar; hasta entonces, el tratamiento anterior continúa. También puede oponerse en cualquier momento escribiendo al correo de contacto.
13. Ley aplicable y jurisdicción
La presente Política se rige por las leyes de los Estados Unidos Mexicanos, en particular:
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), texto publicado en el DOF el 20 de marzo de 2025.
- Las disposiciones reglamentarias y lineamientos que la autoridad emita al amparo de esa ley, y las anteriores en lo que resulten aplicables mientras no se opongan a ella.
- NOM-151-SCFI-2016 (conservación de mensajes de datos).
Para cualquier controversia, las partes se someten a la jurisdicción de los tribunales competentes de la ciudad de Monterrey, Nuevo León, México, renunciando expresamente a cualquier otro fuero que pudiera corresponderles.
OBSYX — una plataforma de Agath B&Co S.A. de C.V. · Monterrey, Nuevo León, México · privacidad@agath.com.mx
Documento actualizado el 20 de octubre de 2026. Versión 1.6.