1. Responsable del tratamiento
[Razón social de BUMI — por completar] (“BUMI”), con domicilio en [domicilio fiscal — por completar], es responsable del tratamiento de tus datos personales conforme a este aviso. Contacto de privacidad: Atención de privacidad · hello@bumiwellness.mx · WhatsApp +52 55 2686 7828.
2. A quién aplica este aviso
- Personas colaboradoras usuarias de BUMIcom y de las herramientas del Suite (cuenta creada con el código de tu empresa).
- Personas administradoras de Recursos Humanos del cliente.
- Personas de contacto y prospectos que dejan sus datos en formularios del sitio (cotizador, diagnóstico, sesión de cortesía).
- BUMI Ambassador (personas formadas por BUMI dentro de una empresa cliente).
El servicio es para personas mayores de 18 años.
3. Datos personales que tratamos
| Categoría | Datos | Origen / carácter |
|---|---|---|
| Identificación y cuenta | Nombre, nombre de usuario, correo electrónico, contraseña (almacenada cifrada, nunca en texto), empresa, departamento o área, fotografía (opcional), estado de cuenta, fecha y versión de tu consentimiento. | Tú y, en el caso de la lista de personal, tu empresa. Necesarios para la cuenta; fotografía opcional. |
| Lista de personal enviada por tu empresa | Nombre, correo y departamento, para invitarte a crear tu cuenta y vincularte a tu empresa. | Tu empresa. |
| Perfil opcional | Edad, sexo, puesto, preferencia de tono de conversación y respuestas a preguntas de inicio (por ejemplo, lo que te está pesando, meta personal, cómo describes tu sueño). | Tú. Opcionales. |
| Bienestar y estado emocional (sensibles) | Check-ins de estado de ánimo y horas de sueño; conversaciones con BUMIcom (incluidas imágenes que decidas enviar) y un indicador de si una conversación activó el protocolo de crisis; resúmenes de memoria de esas conversaciones; respuestas a la herramienta MOB. | Tú. Requieren tu consentimiento expreso. |
| Cuestionario oficial NOM-035 (sensible) | Respuestas al cuestionario, que se guardan sin vincularse a tu nombre ni a tu cuenta; solo se registra tu área y que ya contestaste, para no repetirlo. | Tú. Anónimo para la empresa y para BUMI. |
| Uso del servicio | Cada semana, solo las fechas en que abriste el mensaje semanal de BUMIcom y en que participaste (check-in o conversación), sin contenido, para contar cuántas personas usan el servicio; consumo técnico de la IA (cantidad de texto procesado). | Automático. Tu empresa ve únicamente un total, nunca quién. |
| Ubicación (opcional) | Última ubicación conocida (coordenadas del navegador) para estimar el tiempo de traslado a eventos de tu calendario. | Tú, si lo permites en tu navegador. Puedes borrarla y dejar de compartirla en Configuración → Tu privacidad, o negar el permiso en tu navegador; también se borra al eliminar tu cuenta. |
| Calendario (opcional) | Si conectas Google Calendar: acceso de solo lectura a tus eventos y los tokens necesarios para consultarlos. | Tú, si lo conectas. Puedes desconectarlo en Configuración → Tu privacidad (BUMI borra los tokens y pide a Google revocarlos) o revocar el acceso desde tu cuenta de Google. |
| BUMI Ambassador | Formación recibida, nivel, actividades registradas (tipo, fecha, número de personas y minutos; sin texto libre) y, solo con tu consentimiento, tu nombre de pila y equipo visibles para compañeros. | Tú y BUMI. |
| Contacto comercial | Nombre, correo, teléfono, empresa, número de empleados y el mensaje que escribas. | Tú, al llenar un formulario. |
| Seguridad y técnicos | Cookie de sesión, código de verificación de correo (solo su hash y vencimiento), registro de acciones administrativas (quién, qué, cuándo), dirección IP y datos del dispositivo en los registros técnicos y de errores, analítica agregada de las páginas públicas. | Automático. |
No solicitamos datos financieros ni bancarios de las personas usuarias, ni datos de origen étnico, religión, afiliación política o biométricos.
4. Datos sensibles y consentimiento
Los datos de bienestar emocional, salud mental y sueño son sensibles. Los tratamos solo con tu consentimiento expreso, que otorgas al crear tu cuenta marcando la casilla correspondiente. Puedes revocarlo en cualquier momento (sección 10); al hacerlo cerramos tu cuenta y eliminamos tus datos conforme a la sección 9. Tu participación es voluntaria y tu empresa no puede condicionar tu empleo, evaluación o prestaciones a ella.
5. Finalidades
Primarias (necesarias para el servicio)
- Crear y operar tu cuenta, verificar tu correo y vincularte a tu empresa.
- Ofrecerte el acompañamiento de BUMIcom y las herramientas de bienestar, y mostrarte tu propio progreso.
- Detectar señales de riesgo en una conversación y orientarte hacia ayuda profesional.
- Aplicar el cuestionario NOM-035 de forma anónima.
- Mantener la seguridad, prevenir fraudes y atender solicitudes de soporte y de derechos.
- Cumplir obligaciones legales.
Secundarias (puedes negarte sin perder tu cuenta)
- Generar estadísticas anónimas y agregadas de tu grupo para el área de Recursos Humanos de tu empresa, solo cuando el grupo tiene al menos 5 personas (5 por departamento si se muestra el corte por área).
- Si tu empresa lo autoriza expresamente: incluir sus resultados agregados en un comparativo anónimo de mercado, solo con 5 o más organizaciones.
- Mejora del servicio con analítica de uso y detección de errores, sin contenido de tus conversaciones.
- Mostrar tu nombre de pila y equipo como BUMI Ambassador a tus compañeros.
Para personas de contacto y prospectos
Responder tu solicitud, enviarte la cotización o propuesta, agendar sesiones y darte seguimiento comercial. Si no deseas seguimiento comercial, escríbenos y lo suspendemos.
Para negarte a una finalidad secundaria escribe a hello@bumiwellness.mx indicando tu nombre, correo y la finalidad. Tu negativa no afecta el servicio.
6. Qué ve (y qué no ve) tu empresa
Tu empresa no ve tus conversaciones, tus registros individuales, tus respuestas, tu memoria con BUMIcom ni tu nombre asociado a un resultado. Recursos Humanos solo ve indicadores agregados y anónimos y solo si el grupo cumple el mínimo de 5 personas; con menos de 5, el dato no se muestra. Tu empresa tampoco ve quién está o no activo: solo un total. Tu empresa se compromete contractualmente a no intentar identificar a las personas de un resultado agregado ni a usarlo con fines disciplinarios.
Excepciones: lo que exija una autoridad competente mediante mandamiento fundado y motivado, y el riesgo inminente para la vida de una persona. El personal de administración de BUMI no accede a datos individuales de bienestar.
7. Inteligencia artificial
BUMIcom usa modelos de inteligencia artificial de terceros para responder. Procesan el texto (y las imágenes) que envías para generar la respuesta. La IA puede cometer errores. BUMIcom no es un profesional de la salud, no diagnostica, no trata, no prescribe y no sustituye a un psicólogo, psiquiatra o médico. No se toman decisiones con efectos jurídicos sobre ti de forma automatizada. BUMIcom no es un sistema de monitoreo en tiempo real ni un servicio de emergencia: si estás en peligro, llama al 911 o a la Línea de la Vida: 800 911 2000 (24 horas, gratuita).
8. Con quién compartimos datos
No vendemos ni rentamos tus datos. Usamos proveedores que tratan datos por cuenta de BUMI, algunos fuera de México:
| Proveedor | Función y datos | País |
|---|---|---|
| Railway | Alojamiento de la aplicación y de la base de datos. | Estados Unidos y otras regiones donde opera su infraestructura |
| Cloudflare (R2) | Copias de seguridad externas, cifradas con una llave que solo tiene BUMI. | Estados Unidos y otras regiones donde opera su infraestructura |
| Anthropic | Modelo de IA de BUMIcom: procesa el texto e imágenes de tus mensajes y un contexto del servicio para responder. También lee, solo si el área de RH lo pide y lo confirma cada vez, los PDF e imágenes que se suben al Archivo Evidencial (listas de asistencia, constancias, resultados) para proponer los datos del registro; se le indica no copiar nombres ni datos de contacto, y el documento no se guarda al leerlo. Según sus condiciones comerciales vigentes, no usa estos datos para entrenar sus modelos y los elimina de sus sistemas en un máximo de 30 días. | Estados Unidos |
| OpenAI | Conversión de texto a voz, solo si activas la voz: procesa el texto de la respuesta. Según la política vigente de su API, no usa estos datos para entrenar sus modelos y conserva registros hasta 30 días para detectar abusos. | Estados Unidos |
| Resend | Envío de correos del servicio (códigos de verificación, invitaciones, restablecer contraseña). | Estados Unidos |
| Sentry | Detección de errores técnicos. | Estados Unidos |
| Google (Analytics) | Analítica agregada de las páginas públicas. | Estados Unidos |
| Google (Maps / Calendar) | Solo si compartes tu ubicación o conectas tu calendario: cálculo de traslados y lectura de eventos. | Estados Unidos |
En ambos proveedores de inteligencia artificial, esos plazos pueden ser mayores cuando una ley lo exija o cuando sea necesario para proteger la seguridad del servicio (por ejemplo, ante un posible uso indebido). Son condiciones de cada proveedor y pueden cambiar; las revisamos periódicamente y, si cambian de forma importante, actualizaremos este aviso.
Exigimos a los proveedores medidas de seguridad y confidencialidad. Además compartiremos datos con autoridades cuando una ley o mandato lo exija. Al aceptar este aviso consientes las transferencias necesarias para prestarte el servicio.
9. Conservación y eliminación
| Datos | Plazo |
|---|---|
| Cuenta, check-ins, conversaciones, memoria, respuestas de perfil, ubicación, calendario, sesiones y registros de participación | Mientras tu cuenta esté activa. Al eliminar tu cuenta (tú mismo o, si tu empresa te da de baja, el administrador) se borran de forma inmediata y permanente. |
| Respuestas anónimas al cuestionario NOM-035 y resultados agregados | Se conservan, sin vínculo contigo, como evidencia del programa de tu empresa. |
| Copias de seguridad locales | Las últimas 7 copias diarias, que se sobrescriben de forma rotativa. |
| Copias de seguridad externas cifradas | 30 días, tras los cuales se eliminan de forma automática |
| Datos de contacto comercial | Hasta que pidas su eliminación. |
| Registro de auditoría de acciones administrativas | Se conserva para fines de seguridad y rendición de cuentas. |
Tras eliminar tu cuenta, tus datos pueden permanecer en las copias de seguridad hasta que se sobrescriban, y no se usan para ninguna otra finalidad. Conservaremos lo que la ley nos obligue a conservar.
10. Tus derechos (ARCO), revocación y limitación
Tienes derecho a Acceder a tus datos, Rectificarlos, Cancelarlos y Oponerte a su tratamiento, a limitar su uso o divulgación, a revocar tu consentimiento. Dentro de la plataforma puedes ver y corregir tu perfil, descargar una copia de tus datos (incluida tu última ubicación), borrar tu ubicación, desconectar tu calendario y eliminar tu cuenta tú mismo.
Cómo ejercerlos: escribe a hello@bumiwellness.mx con tu nombre, el correo de tu cuenta, el derecho que deseas ejercer y una descripción clara de tu solicitud; para proteger tus datos podremos pedirte una identificación o confirmar desde el correo de la cuenta. Responderemos en un máximo de 20 días hábiles y, si procede, haremos efectivo el derecho en 15 días hábiles más. Como las respuestas del cuestionario NOM-035 son anónimas, no podemos identificar cuáles son las tuyas. Si consideras que no atendimos tu derecho, puedes acudir a la autoridad de protección de datos personales competente.
11. Seguridad
Aplicamos medidas técnicas y administrativas razonables: contraseñas cifradas, conexión cifrada (HTTPS), control de acceso por roles, límites de solicitudes contra abusos, verificación de correo, registro de acciones administrativas y respaldos diarios con copia externa cifrada. Ningún sistema es infalible; si ocurriera una vulneración que afecte de forma significativa tus derechos patrimoniales o morales, te lo notificaremos sin dilación indebida.
12. Cookies y tecnologías similares
Usamos una cookie de sesión estrictamente necesaria para mantenerte identificado y analítica agregada (Google Analytics) en las páginas públicas. Puedes bloquear las cookies en tu navegador, pero la sesión dejará de funcionar.
13. Menores de edad
El servicio está dirigido a mayores de 18 años. Si detectamos una cuenta de una persona menor, la cerraremos y eliminaremos sus datos.
14. Cambios a este aviso
Publicaremos cualquier cambio en esta página con su fecha y versión. Si el cambio es sustancial —por ejemplo, nuevas finalidades, datos o transferencias—, te pediremos aceptarlo de nuevo antes de seguir usando el servicio.
15. Autoridad
Si consideras que tu derecho de protección de datos ha sido vulnerado, puedes acudir a la autoridad competente en México en materia de protección de datos personales.