Aviso de privacidad integral

Borrador para revisión de abogado. Cubre cuentas de la plataforma, personal de flota y el papel de LoRastreo como responsable o como encargado.

1. Dos papeles: responsable y encargado

LoRastreo no trata todos los datos con el mismo papel.

• Responsable de sus propias cuentas, prospectos, administradores del sistema, facturación del servicio que LoRastreo cobra, soporte que le piden directo y registros de seguridad de esas cuentas.
• Persona encargada cuando el cliente (la empresa que contrata el panel) carga datos de sus empleados, conductores, operadores de horas de servicio, personal de flotilla u otros titulares. Frente a esas personas, el cliente es el responsable. LoRastreo trata esos datos por cuenta del cliente y siguiendo sus instrucciones, el contrato y la ley. El cliente debe entregar a sus titulares un aviso propio; hay un modelo en la documentación interna docs/legal/AVISO-MODELO-PARA-CLIENTES-CONDUCTORES.md.

Si eres conductor u operador y tu empresa te dio el usuario, tus solicitudes sobre el expediente laboral u operativo se dirigen primero a esa empresa. LoRastreo ayuda al cliente a atenderlas y también recibe solicitudes en el formulario ARCO para canalizarlas.

2. Datos que se tratan

Según el módulo que la cuenta tenga encendido, el panel puede tratar:

• Cuentas de plataforma (administradores, clientes, subcuentas): nombre, correo, contraseña almacenada solo como hash, rol, último acceso, preferencia de idioma y, si está activo, segundo factor por correo.
• Seguridad: dirección IP, agente del navegador, intentos de acceso y registros de actividad necesarios para frenar abuso.
• Personal de flota, conductores y operadores de horas de servicio: nombre, número de empleado, teléfono, correo, número de licencia, CURP, RFC, fotografía, documentos del expediente (por ejemplo licencia), firmas y respuestas de inspecciones.
• Geolocalización y telemetría: posición, velocidad, ignición y datos que reporten Wialon (Gurtam) o TrackSolid Pro cuando el cliente conecta esa plataforma. También la ubicación que la app o el navegador envían al guardar una inspección o una evidencia, cuando la función se usa.
• Fotos, firmas y checklists: imágenes que el usuario toma o adjunta, firmas en pantalla y el contenido de los formularios que el cliente configura.
• Contrato del cliente con LoRastreo: fotografía del firmante sosteniendo una identificación oficial, firma y el resultado de la revisión automática con Google Cloud Vision, cuando esa revisión está activa.
• Lectura de imágenes operativas: fotos de odómetro o combustible pueden enviarse a Google Cloud Vision si el cliente usa el reconocimiento del módulo correspondiente.
• ERP, cobranza y CFDI: datos de clientes del cliente, proveedores, pedidos y datos fiscales de facturación (RFC, régimen, uso de CFDI, certificados de sello digital que el emisor carga). El timbrado lo hacen los PAC configurados (SW Sapien o Facturama).
• Pasajeros de transporte privado cuando el cliente usa ese módulo: nombre, correo y datos de acceso al portal del pasajero, además de la operación del viaje que el cliente registre.
• Soporte y demo: lo que escribas al pedir ayuda. La demo pública usa datos ficticios y se borra al terminar la sesión de demostración.

Parte de lo anterior puede merecer la protección reforzada de datos sensibles o identificadores (imagen del rostro, identificación oficial, geolocalización, CURP). El cliente responsable debe decirlo en el aviso que entrega a sus conductores y operadores. Este borrador lo señala para que el abogado lo clasifique con la ley vigente.

3. Para qué se usan (finalidades)

Finalidades ligadas al servicio, la seguridad y el cumplimiento:

• Crear y autenticar cuentas, mantener la sesión, aplicar límites de intentos y, si está configurado, el código de verificación por correo.
• Operar inspecciones, checklists, evidencia fotográfica, firmas, flotilla, mantenimiento, transporte y tableros.
• Registrar horas de servicio y el expediente del operador cuando el cliente enciende ese módulo. El módulo de apoyo NOM-087 no certifica cumplimiento ante la SICT ni sustituye un dispositivo homologado.
• Mostrar telemetría y mapas de las unidades que el cliente vincula.
• Facturar el servicio, llevar cobranza y, si el cliente timbra, emitir o cancelar CFDI por medio del PAC que elija.
• Acreditar la aceptación del contrato de servicio (foto, firma y revisión de imagen).
• Atender soporte, diagnosticar fallos y resguardar respaldos operativos.
• Cumplir obligaciones legales, responder a autoridades competentes y conservar evidencia mercantil o fiscal cuando la ley no permita borrarla todavía.

Este borrador no usa los datos para publicidad de terceros ni para un perfil de marketing. No hay finalidades secundarias de prospección comercial distintas del servicio contratado. Si más adelante se agregan, se publicará el aviso actualizado y, cuando la ley lo exija, se pedirá consentimiento aparte.

4. Encargados, transferencias y el extranjero

No vendemos datos personales. Sí los compartimos con proveedores que necesitan tratarlos para operar el panel, con el cliente responsable cuando los datos son de su personal, y con autoridades cuando la ley lo exige. Varios proveedores están fuera de México: usar esas funciones puede implicar una transferencia internacional. El detalle vive también en docs/legal/INVENTARIO-ENCARGADOS.md.

Las apps de navegación externas (por ejemplo Maps o Waze abiertas desde un enlace) tratan los datos según su propia política, fuera de este panel.

5. Cookies

La misma explicación está en cookies.php.

6. Derechos ARCO

Puedes pedir acceso, rectificación, cancelación u oposición al tratamiento de tus datos, y revocar el consentimiento cuando el tratamiento se apoye en él. También puedes limitar el uso o la divulgación por el mismo medio.

Plazos de este procedimiento (borrador; el abogado debe confirmarlos contra la ley vigente): 20 días hábiles para comunicar la determinación y, si resulta procedente, 15 días hábiles adicionales para hacerla efectiva. Los días hábiles de este borrador no cuentan sábados, domingos ni los días de descanso oficial que se fijen en el procedimiento interno.

Para tramitar la solicitud podemos pedirte información para comprobar que eres el titular o su representante. No envíes por correo ni por el formulario la fotografía de tu identificación; si hace falta, te indicaremos un medio más acotado.

Si los datos los cargó tu empleador, ese cliente es el responsable. LoRastreo, como encargado, puede recibir la solicitud y ayudarle a cumplirla, sin sustituir el aviso ni las decisiones de esa empresa. Oponerte a un tratamiento necesario para el servicio puede significar que la cuenta deje de funcionar; las consecuencias laborales las define el cliente.

Formulario: Derechos ARCO. Correo: privacidad@lorastreo.com.mx o contacto@lorastreo.com.mx.

Cuando la cancelación no sea posible porque una ley obliga a conservar el dato (por ejemplo contratos o comprobantes fiscales), el dato se bloquea: se guarda solo para esas obligaciones y deja de usarse para la operación diaria en cuanto el bloqueo esté hecho.

7. Conservación

• Cuenta activa: mientras el servicio esté contratado y la cuenta no se dé de baja.
• Personal del cliente: el plazo lo fija el cliente responsable en su política y en sus instrucciones. Al terminar el servicio, el contrato de encargado prevé devolución o supresión, salvo bloqueo legal.
• Contrato y evidencia de aceptación: el texto contractual del producto prevé conservación de diez años por la regla mercantil de conservación, o el plazo mayor que fije una autoridad. El abogado debe confirmarlo.
• CFDI y contabilidad: los plazos fiscales aplicables. No se borran a petición si la obligación de conservarlos sigue vigente; procede el bloqueo frente a otros usos.
• Seguridad: registros de acceso el tiempo necesario para investigar abuso y defender el servicio.
• Demo: la cuenta de demostración y lo que se haga en ella se eliminan al expirar la sesión de demo.

8. Seguridad

El panel se sirve por HTTPS. Las contraseñas se guardan con un hash; no en texto plano. El acceso a cada cuenta depende del rol (administrador, cliente, subcuenta, conductor). Las cookies de sesión van marcadas HttpOnly. Los formularios públicos que cambian datos usan un token contra solicitudes cruzadas. Los respaldos y el hospedaje dependen del proveedor de infraestructura. Ninguna medida elimina por completo el riesgo de un incidente; si ocurre uno que afecte datos, se avisa al cliente responsable conforme al contrato de encargado.

9. Menores

CheckList Pro y CheckList Driver están dirigidos a personal adulto de operación y administración. No se recaban a sabiendas datos de menores de 18 años. Si un responsable detecta que se cargó un dato de un menor sin una base que lo permita, debe pedir la cancelación por los canales ARCO.

10. Aplicación CheckList Driver (Android)

La app se conecta al servidor de la empresa (el panel CheckList Pro). El responsable frente al conductor suele ser la empresa que le dio la cuenta; LoRastreo provee la plataforma. Permisos que la app puede pedir:

• Internet: hablar con el panel.
• Ubicación: asociar una inspección o abrir una función de mapa cuando tú la usas.
• Cámara: tomar fotos dentro de los formularios.
• Estado de la red: saber si hay conexión.

Puedes revocar permisos en el teléfono; algunas funciones dejarán de estar disponibles. Si activas guardar el acceso en el aparato, las credenciales locales se protegen en el dispositivo. Cerrar sesión invalida la sesión del servidor. Desinstalar la app borra los datos locales de la app, no el expediente que ya está en el servidor de la empresa.

Google Play distribuye la instalación según las políticas de Google. Esta página es la política de privacidad enlazada desde la app. La dirección privacidad.php se mantiene para no romper ese enlace.

11. Cambios

Las versiones nuevas se publican en esta misma URL (privacidad.php y el alias /aviso-de-privacidad), con la fecha de actualización al inicio. El uso del panel después de publicado el cambio supone que el aviso vigente es el de esta página. Si un cambio exige un aviso nuevo al titular o el consentimiento del cliente responsable, no basta con esta publicación: el abogado debe definir el medio adicional (correo, contrato o aviso del cliente a sus conductores).

12. Contacto

LoRastreo · CheckList Pro
[PLACEHOLDER: razón social]
[PLACEHOLDER: domicilio]
[PLACEHOLDER: RFC]
Privacidad: privacidad@lorastreo.com.mx
Contacto: contacto@lorastreo.com.mx
Derechos ARCO: arco.php