Aviso de Privacidad Integral

1. Identidad y domicilio del Responsable

[RAZÓN SOCIAL DE FIFTY — PENDIENTE] ("Fifty" o el "Responsable"), con domicilio en [DOMICILIO FISCAL PENDIENTE], Puebla, Pue., México y RFC [RFC PENDIENTE], es el responsable del tratamiento de los datos personales que se recaban a través de Fifty Passport, en términos de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares vigente (en lo sucesivo, la "Ley"), y, en lo que no se opongan a ésta, su Reglamento y los Lineamientos del Aviso de Privacidad.

Para cualquier asunto relacionado con el tratamiento de datos personales, el titular puede dirigirse al Departamento de Privacidad de Fifty en el correo electrónico privacidad@fiftytrust.com.

2. Datos personales que se recaban

Para las finalidades descritas en este Aviso, Fifty recaba, de forma directa del titular, a través de Fifty Passport, de la Cuenta Fifty (Fifty Passport) o de fuentes de acceso público permitidas por la ley, las siguientes categorías de datos personales:

• Datos de identificación: nombre completo, fecha de nacimiento, nacionalidad, CURP, fotografía de perfil, identificación oficial (credencial para votar o pasaporte) y sus datos.
• Datos de contacto: correo electrónico, número telefónico y domicilio.
• Datos de autenticación: credenciales de acceso (la contraseña se almacena únicamente como derivación criptográfica Argon2id), identificadores de sesión y, en su caso, identificadores de proveedores de inicio de sesión (como Google).
• Datos fiscales: RFC, régimen fiscal, código postal fiscal y constancia de situación fiscal, cuando se requiera facturación o el titular actúe como proveedor.
• Datos financieros y patrimoniales: información de pago y cobro procesada por Stripe. Los datos completos de tarjetas bancarias y cuentas son capturados directamente por Stripe y Fifty solo conserva referencias tokenizadas, los últimos dígitos, el tipo de instrumento y el historial de Transacciones.
• Datos de uso y transaccionales: solicitudes, reservas, pedidos, mensajes intercambiados dentro de la Plataforma, calificaciones, reseñas, reclamos y disputas.
• Datos técnicos y de navegación: dirección IP, tipo de dispositivo y navegador, sistema operativo, identificadores de dispositivo, páginas visitadas, fecha y hora de acceso, obtenidos mediante cookies y tecnologías similares.
• Datos de geolocalización aproximada o precisa, únicamente cuando el titular lo autoriza en su dispositivo para funciones que lo requieran (por ejemplo, búsqueda de proveedores cercanos).
• Documentos que el titular resguarda en la bóveda (identificaciones, comprobantes, constancias, contratos y otros) y sus metadatos.
• Registro de permisos (ledger): plataforma receptora, categoría de datos compartida, finalidad, fecha de otorgamiento y de revocación.
• Datos de suscripciones a servicios del Ecosistema Fifty: plan, periodicidad, estado y referencias de pago tokenizadas.
• Conversaciones con el asistente de inteligencia artificial del Passport.

3. Datos personales sensibles

Fifty trata los siguientes datos personales considerados sensibles, por tratarse de datos biométricos o de datos cuya utilización indebida puede dar origen a discriminación o conllevar un riesgo grave para el titular:

Estos datos se tratan bajo medidas de seguridad reforzadas (cifrado en reposo y en tránsito, almacenamiento privado, acceso restringido a personal autorizado con registro de auditoría) y únicamente con el consentimiento expreso y por escrito del titular, otorgado por medios electrónicos al registrarse en Fifty Passport mediante la fórmula de consentimiento incluida al final de este Aviso. El Video de Declaración de Responsabilidad y la selfie de verificación no se utilizan para fines de publicidad, no se publican y no se comparten con otros Usuarios.

• Video de Declaración de Responsabilidad: grabación audiovisual (imagen facial y voz) de entre 5 y 45 segundos en la que el titular lee la declaración de aceptación y responsabilidad al registrarse.
• Imagen facial (selfie) tomada durante la verificación de identidad, para su cotejo con la identificación oficial.

4. Finalidades del tratamiento

Finalidades primarias. Los datos personales se tratan para las siguientes finalidades, que son necesarias para la existencia, mantenimiento y cumplimiento de la relación jurídica con el titular:

Finalidades secundarias. Adicionalmente, y siempre que el titular no manifieste su negativa, los datos podrán tratarse para las siguientes finalidades que no son necesarias para la relación jurídica, pero que permiten brindar una mejor atención: envío de comunicaciones comerciales, promocionales e informativas sobre productos y servicios del Ecosistema Fifty; realización de encuestas de satisfacción y estudios de mercado; elaboración de estadísticas y análisis sobre el uso de la Plataforma con datos disociados.

El titular puede manifestar su negativa al tratamiento para finalidades secundarias en cualquier momento, desde la configuración de notificaciones de su cuenta o enviando una solicitud a privacidad@fiftytrust.com. La negativa no será motivo para negar los servicios de Fifty Passport.

• Crear, autenticar y administrar la Cuenta Fifty y permitir el inicio de sesión único en las plataformas del Ecosistema Fifty.
• Documentar la aceptación de los Términos y Condiciones y del Aviso de Privacidad, incluido el resguardo del Video de Declaración de Responsabilidad como evidencia de la aceptación y de la responsabilidad asumida por el titular.
• Verificar la identidad del titular, prevenir fraudes, suplantación de identidad y operaciones con recursos de procedencia ilícita.
• Procesar pagos, cobros, retenciones, reembolsos y liberación de fondos, y emitir los comprobantes fiscales correspondientes.
• Atender solicitudes, reclamos, disputas, contracargos y requerimientos de soporte.
• Enviar notificaciones transaccionales y operativas relacionadas con la cuenta y las Transacciones.
• Garantizar la seguridad, integridad y disponibilidad de la Plataforma, y mantener registros de auditoría.
• Cumplir obligaciones legales, fiscales y regulatorias, y atender requerimientos de autoridades competentes.
• Operar la Cuenta Fifty como identidad digital única y el inicio de sesión único (SSO) en todas las plataformas del Ecosistema Fifty.
• Verificar la identidad del titular una sola vez y, con su autorización, permitir que las plataformas del Ecosistema reconozcan dicha verificación.
• Administrar el ledger de permisos y compartir con cada plataforma del Ecosistema únicamente las categorías de datos autorizadas por el titular, así como ejecutar las revocaciones.
• Resguardar los documentos de la bóveda y compartirlos solo con quien el titular autorice.
• Administrar las suscripciones a los servicios del Ecosistema Fifty.
• Operar el asistente con inteligencia artificial para responder las consultas del titular.

5. Tratamiento mediante inteligencia artificial

Algunas funciones de Fifty Passport utilizan servicios de inteligencia artificial para procesar los textos, imágenes y documentos que el titular decide enviar a dichas funciones (por ejemplo, asistentes conversacionales, extracción de datos de documentos o capturas de pantalla, generación de borradores y resúmenes). Este procesamiento se realiza mediante Amazon Bedrock (modelos Amazon Nova), servicio de Amazon Web Services, Inc., que actúa como encargado de Fifty, en infraestructura ubicada en los Estados Unidos de América, y, en su caso, mediante modelos operados por Fifty en su propia infraestructura.

Conforme a las condiciones del servicio contratado, el contenido procesado no se utiliza para entrenar modelos de terceros. Fifty no adopta decisiones que produzcan efectos jurídicos o afecten significativamente al titular basadas únicamente en tratamientos automatizados: las decisiones sobre verificación de identidad, aprobación de perfiles y resolución de disputas son revisadas por personal de Fifty. El titular puede solicitar información sobre la lógica del tratamiento automatizado y la intervención humana mediante el procedimiento de derechos ARCO.

6. Encargados y transferencias de datos personales

Para cumplir las finalidades de este Aviso, Fifty comunica datos personales a los siguientes encargados, que los tratan por cuenta de Fifty y bajo sus instrucciones, con obligaciones contractuales de confidencialidad y seguridad (remisiones que no requieren el consentimiento del titular):

Transferencia internacional. La infraestructura principal de Fifty (servidores y base de datos PostgreSQL) se encuentra alojada en Amazon Web Services, en la región de Ohio, Estados Unidos de América. Al aceptar este Aviso, el titular reconoce que sus datos personales se almacenan y procesan en dicho país, bajo medidas de seguridad equivalentes a las exigidas por la legislación mexicana.

Asimismo, Fifty podrá transferir datos personales, sin requerir el consentimiento del titular en los supuestos que la Ley lo permite, a: (i) la contraparte de cada Transacción (proveedor, agencia, cliente u otro Usuario), limitándose a los datos estrictamente necesarios para su ejecución; (ii) el Servicio de Administración Tributaria y demás autoridades fiscales, para el cumplimiento de obligaciones de facturación y retención; (iii) autoridades competentes, en atención a requerimientos fundados y motivados o para la procuración o administración de justicia; y (iv) sociedades controladoras, subsidiarias o afiliadas bajo el control común de Fifty que operan bajo las mismas políticas de privacidad, así como en caso de fusión, escisión o adquisición.

Cualquier transferencia distinta que requiera el consentimiento del titular le será solicitada previamente.

• Amazon Web Services, Inc. (Estados Unidos de América): alojamiento de la infraestructura, almacenamiento cifrado de archivos y procesamiento mediante inteligencia artificial (Amazon Bedrock).
• Stripe, Inc. y afiliadas (Estados Unidos de América / México): procesamiento de pagos, cuentas conectadas de proveedores, suscripciones, prevención de fraude y liberación de fondos.
• Resend (Plus Five Five, Inc., Estados Unidos de América): envío de correos electrónicos transaccionales.
• Facturapi (México): emisión y timbrado de Comprobantes Fiscales Digitales por Internet (CFDI) y CFDI de retenciones ante el SAT.
• Plataformas del Ecosistema Fifty (Fifty Events, Fifty Pet, Fifty Casa, Fifty Salud): las categorías de datos que el titular autorice en el ledger de permisos, para las finalidades de cada plataforma descritas en su propio Aviso de Privacidad.
• Libro público de integridad del Ecosistema: únicamente huellas criptográficas de eventos de verificación y permisos, que no permiten identificar al titular ni revelar sus datos.

7. Medidas de seguridad

Fifty ha implementado medidas de seguridad administrativas, técnicas y físicas para proteger los datos personales contra daño, pérdida, alteración, destrucción o uso, acceso o tratamiento no autorizado, entre ellas: cifrado de las comunicaciones (TLS), cifrado de archivos sensibles en reposo, almacenamiento de contraseñas mediante Argon2id, control de accesos por roles, principio de mínimo privilegio, registros de auditoría y obligaciones de confidencialidad para el personal. En caso de una vulneración de seguridad que afecte de forma significativa los derechos patrimoniales o morales del titular, Fifty se lo informará sin dilación.

8. Plazos de conservación

Los datos personales se conservan durante el tiempo necesario para cumplir las finalidades que justificaron su tratamiento. Concluido dicho plazo, se bloquean durante el periodo de prescripción de las acciones derivadas de la relación jurídica y de las obligaciones legales aplicables, y posteriormente se suprimen o anonimizan de forma segura. En particular:

• Datos de la cuenta y de perfil: mientras la cuenta permanezca activa.
• Video de Declaración de Responsabilidad, identificación oficial y selfie de verificación: mientras la cuenta permanezca activa y, tras su cierre, hasta por 5 (cinco) años, plazo que corresponde a la conservación de la documentación relacionada con obligaciones fiscales y a la prescripción de acciones derivadas de las Transacciones, salvo que exista una disputa, procedimiento o requerimiento de autoridad pendiente, en cuyo caso se conservarán hasta su conclusión.
• Información fiscal, contable y transaccional: 5 (cinco) años, conforme al Código Fiscal de la Federación.
• Registros de auditoría y seguridad: hasta por 5 (cinco) años.
• Datos técnicos y de navegación: hasta por 24 (veinticuatro) meses.
• Documentos de la bóveda: hasta que el titular los elimine o cierre su cuenta.
• Ledger de permisos: mientras la cuenta esté activa y hasta por 5 (cinco) años posteriores, como evidencia de los consentimientos otorgados y revocados.

9. Derechos ARCO y procedimiento para ejercerlos

El titular tiene derecho a conocer qué datos personales tiene Fifty y el uso que les da (Acceso); a solicitar la corrección de su información cuando esté desactualizada, sea inexacta o incompleta (Rectificación); a que se elimine de los registros o bases de datos cuando considere que no está siendo utilizada conforme a los principios y deberes previstos en la normativa (Cancelación); y a oponerse al uso de sus datos para fines específicos (Oposición). Estos derechos se conocen como derechos ARCO.

Para ejercer cualquiera de los derechos ARCO, el titular o su representante legal deberá enviar una solicitud al correo electrónico privacidad@fiftytrust.com, que contenga: (i) nombre completo del titular y correo electrónico o medio para comunicarle la respuesta; (ii) copia de una identificación oficial vigente del titular y, en su caso, del representante legal junto con el instrumento que acredite su representación; (iii) la descripción clara y precisa de los datos personales respecto de los que se busca ejercer el derecho y del derecho que se desea ejercer; (iv) cualquier documento o información que facilite la localización de los datos; y (v) en el caso de rectificación, las modificaciones a realizar y la documentación que sustente la petición.

Fifty comunicará al titular la determinación adoptada en un plazo máximo de 20 (veinte) días hábiles contados desde la fecha de recepción de la solicitud completa, por el medio señalado por el titular. Si la solicitud resulta procedente, se hará efectiva dentro de los 15 (quince) días hábiles siguientes a la fecha en que se comunique la respuesta. Estos plazos podrán ampliarse por una sola vez por un periodo igual cuando así lo justifiquen las circunstancias del caso. Si la solicitud no es clara o está incompleta, Fifty podrá requerir información adicional dentro de los 5 (cinco) días hábiles siguientes a su recepción, y el titular contará con 10 (diez) días hábiles para atender el requerimiento.

La cancelación del Video de Declaración de Responsabilidad o de los datos de verificación de identidad implica el cierre de la cuenta, por ser condición indispensable para su operación, y estará sujeta al bloqueo previo de los datos que deban conservarse por obligación legal o por Transacciones o disputas pendientes. El ejercicio de los derechos ARCO es gratuito; el titular solo cubrirá, en su caso, los gastos justificados de envío o reproducción.

10. Revocación del consentimiento

El titular puede revocar en cualquier momento el consentimiento otorgado para el tratamiento de sus datos personales, mediante solicitud enviada a privacidad@fiftytrust.com con los requisitos señalados para el ejercicio de los derechos ARCO, y siguiendo el mismo procedimiento y plazos. Los permisos otorgados a plataformas del Ecosistema Fifty también pueden revocarse directamente desde el ledger de permisos de Fifty Passport.

No en todos los casos será posible atender la solicitud de revocación o concluir el uso de forma inmediata, ya que Fifty puede estar obligado a seguir tratando los datos por disposición legal. Asimismo, la revocación del consentimiento para finalidades primarias implicará la imposibilidad de continuar prestando el servicio y, en consecuencia, el cierre de la cuenta.

11. Opciones para limitar el uso o divulgación de los datos

Además de los derechos ARCO y la revocación del consentimiento, el titular puede limitar el uso o divulgación de sus datos personales: (i) desactivando las comunicaciones promocionales desde la configuración de su cuenta o mediante el enlace incluido en cada comunicación; (ii) solicitando su inscripción en el listado de exclusión propio de Fifty, mediante correo a privacidad@fiftytrust.com, a fin de que sus datos no se traten para finalidades secundarias; (iii) configurando la visibilidad de su perfil y de la información que comparte; y (iv) inscribiéndose en el Registro Público para Evitar Publicidad (REPEP) de la Procuraduría Federal del Consumidor.

12. Uso de cookies y tecnologías similares

Fifty Passport utiliza cookies y tecnologías similares (almacenamiento local, identificadores de sesión) para mantener la sesión iniciada y el inicio de sesión único entre las plataformas del Ecosistema Fifty, recordar preferencias, proteger la Plataforma contra accesos no autorizados y obtener estadísticas de uso. Mediante estas tecnologías se obtienen datos técnicos como dirección IP, tipo de navegador y dispositivo, páginas visitadas, fecha, hora y duración de la visita.

Las cookies estrictamente necesarias para la autenticación y seguridad no pueden deshabilitarse sin afectar el funcionamiento de la Plataforma. Las demás pueden deshabilitarse desde la configuración del navegador; las instrucciones varían según el navegador utilizado.

13. Cambios al Aviso de Privacidad

Fifty puede modificar o actualizar este Aviso de Privacidad por cambios legislativos, en sus prácticas de privacidad o en los servicios que ofrece. Cada versión se identifica con su fecha de versión. Las modificaciones se darán a conocer en fiftytrust.com, por correo electrónico y/o mediante aviso dentro de la Plataforma. Cuando la modificación implique nuevas finalidades o transferencias que requieran consentimiento, o un cambio en el tratamiento de datos sensibles, se solicitará nuevamente el consentimiento del titular.

14. Autoridad garante

Si el titular considera que su derecho a la protección de datos personales ha sido lesionado por alguna conducta u omisión de Fifty, o presume alguna violación a las disposiciones de la Ley, puede acudir ante la Secretaría Anticorrupción y Buen Gobierno, autoridad que asumió las atribuciones en materia de protección de datos personales en posesión de particulares que correspondían al extinto Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI), para interponer el procedimiento de protección de derechos o la denuncia que corresponda.

15. Consentimiento

El titular manifiesta haber leído y entendido el presente Aviso de Privacidad y otorga su consentimiento para el tratamiento de sus datos personales en los términos aquí descritos, al marcar la casilla de aceptación en el proceso de registro de Fifty Passport. El consentimiento para datos personales sensibles se otorga de forma expresa, separada y por escrito por medios electrónicos, mediante una casilla no premarcada que contiene la siguiente fórmula:

"Consiento expresamente que Fifty trate mis datos personales sensibles, consistentes en mi imagen facial (selfie de verificación) y el Video de Declaración de Responsabilidad que contiene mi imagen y mi voz, para las finalidades señaladas en el Aviso de Privacidad Integral de Fifty Passport, así como su transferencia a los encargados y destinatarios ahí indicados, incluida su transferencia internacional a los Estados Unidos de América."

Fifty conserva registro de la fecha, hora, versión del Aviso aceptada y evidencia de cada consentimiento otorgado.