Aviso de Privacidad

AVISO DE PRIVACIDAD

ALTHAGIZ SERVICES NAT, S.A.P.I. DE C.V.

Última actualización: 30 de abril de 2026

Cobertura: México · Colombia · Argentina · Chile · Ecuador · España · Unión Europea

1. RESPONSABLE Y DATOS DE CONTACTO

1.1 Responsable del tratamiento

ALTHAGIZ SERVICES NAT, S.A.P.I. DE C.V. (que opera comercialmente bajo la marca "XELIA") (en adelante "XELIA", el "Responsable" o "nosotros"), con domicilio en Avenida División del Norte, Colonia Lomas de Memetla, Código Postal 05330, Alcaldía Cuajimalpa de Morelos, Ciudad de México, México, es responsable del tratamiento de los datos personales recabados a través de nuestro sitio web, plataforma y demás canales asociados al dominio https://xelia.ai.

Clave Secretaría de Economía: A202603021045123709.

RFC: en trámite ante el Servicio de Administración Tributaria (SAT); será publicado al obtenerse.

1.2 Contacto de privacidad / Delegado de Protección de Datos (DPO)

Para cualquier duda o solicitud relacionada con la protección de datos personales:

Oficial de Protección de Datos: Leonardo Abad Galán

Email oficial: privacidad@xelia.ai

Backup DPO (personal): cibscyc@proton.me

Dirección postal: la indicada en 1.1

1.3 Rol dual: Responsable y Encargado del tratamiento

XELIA actúa bajo dos roles diferenciados según el contexto:

RESPONSABLE (Controller): respecto de datos personales de usuarios del sitio web, demos, registrados, clientes directos y prospectos identificados por XELIA para su propio marketing.

ENCARGADO (Processor): respecto de datos personales que nuestros Clientes (tenants) cargan, generan o gestionan a través de la plataforma XELIA respecto de sus propios clientes, prospectos y contactos.

Cuando XELIA actúa como Encargado, el Cliente firma un Acuerdo de Tratamiento de Datos (DPA) al contratar el servicio. El DPA establece las obligaciones específicas bajo el Art. 28 del RGPD y normas equivalentes en México (LFPDPPP), Colombia (Ley 1581), Argentina (Ley 25.326) y otros países.

1.4 Representante en la UE (cuando aplique)

Cuando ALTHAGIZ alcance el umbral que exige representante UE conforme al Art. 27 RGPD, su designación y datos de contacto se añadirán aquí y se notificará a los usuarios.

2. DATOS PERSONALES QUE TRATAMOS

Dependiendo de cómo interactúes con XELIA, podemos tratar las siguientes categorías:

2.1 Navegación en el sitio (antes del registro)

• Dirección IP e identificadores en línea (cookies, session IDs)
• Tipo de navegador, sistema operativo, dispositivo, idioma
• URL de referencia, páginas visitadas, timestamps
• Eventos técnicos (logs de errores, performance)

Finalidades:

• Mantener seguridad (detección de abuso y fraude)
• Funcionamiento técnico del sitio
• Analítica de uso y mejora del servicio

2.2 Durante el demo gratuito (sin pago)

Datos de voz (considerados datos biométricos sensibles):

• Audio capturado por tu micrófono durante el demo
• Transcripciones de voz a texto
• Metadatos: duración, idioma, timestamps

Datos de interacción:

• Mensajes de texto enviados al asistente
• Respuestas generadas por el sistema
• Configuración básica del demo (idioma, tipo)

Por defecto, el audio y sus transcripciones se eliminan al terminar la sesión del demo. Si otorgas consentimiento expreso mediante CHECKBOX SEPARADO Y ESPECÍFICO (no incluido en la aceptación general de términos), XELIA podrá conservar estos datos por hasta 24 meses para mejorar modelos de IA. Puedes revocar este consentimiento en cualquier momento.

2.3 Durante el registro y contratación

Identificación y contacto:

• Nombre completo
• Correo electrónico
• Empresa, rol, país
• Teléfono (opcional)

Cuenta y suscripción:

• Nombre de usuario, credenciales (contraseña hasheada con bcrypt + sal)
• Plan contratado (Impulso, Pro, Max, Enterprise)
• Fecha de alta, renovación, estado de suscripción
• Configuración de facturación (moneda, RFC si aplica)

Pago (a través de Stripe, Inc.):

Stripe procesa los datos de tarjeta como responsable/encargado independiente. XELIA no almacena número de tarjeta ni CVC. XELIA almacena únicamente:

• ID de cliente en Stripe (customer_id)
• IDs de pago y suscripción
• Monto, fecha y estatus del pago
• Historial de facturación y comprobantes fiscales

2.4 Durante el uso del servicio (post-compra)

Interacciones:

• Conversaciones de texto
• Grabaciones de voz (cuando la función esté activa y con consentimiento)
• Transcripciones y respuestas generadas
• Archivos o datos integrados vía la plataforma

Configuración del asistente:

• Nombre del asistente, prompts, flujos, reglas de negocio
• Preferencias de idioma
• Integraciones activadas (CRM, helpdesk, etc.)

Métricas y logs:

• Frecuencia y volumen de interacciones
• Estadísticas de rendimiento
• Logs técnicos y de errores

2.5 Datos de marketing propio (opcional)

• Preferencias de comunicación
• Interacciones con correos (aperturas, clics)
• Formularios de contacto

2.6 Datos de prospección outbound (B2B)

Fuentes de datos públicas utilizadas:

• DENUE del Instituto Nacional de Estadística y Geografía (INEGI) — México
• RUES — Cámara de Comercio de Colombia
• Google Places API — global
• Directorios públicos oficiales de cada país de operación
• Plataformas profesionales de acceso público (LinkedIn público, sitios corporativos)

Tipos de datos recopilados (solo de negocios, NUNCA de personas al azar):

• Razón social del negocio
• Dirección comercial pública
• Teléfono comercial público
• Email comercial público (si disponible)
• Sitio web corporativo
• Giro comercial / industria
• Información pública sobre la oferta comercial

Base jurídica: interés legítimo (Art. 6.1.f RGPD, Art. 10 LFPDPPP y equivalentes) para contacto comercial B2B con negocios cuyos datos están publicados como canal de contacto comercial. XELIA mantiene Evaluaciones de Interés Legítimo (LIA) documentadas que equilibran el interés con los derechos de los titulares.

Importante: XELIA NO hace outbound frío a consumidores individuales (B2C). El outbound opera exclusivamente hacia negocios con información de contacto comercial pública.

2.7 Datos de Social Listening (público)

XELIA monitorea plataformas públicas para detectar intenciones de compra manifestadas abiertamente:

• Reddit (subreddits públicos)
• Reseñas públicas en Google Business Profile
• X/Twitter (posts públicos, cuando esté habilitado)
• Grupos públicos de Facebook y LinkedIn (roadmap)

Los datos procesados son únicamente los publicados libremente por los autores en contextos públicos. XELIA NO responde directamente a estos usuarios; genera sugerencias para que el Cliente-tenant responda manualmente desde su propia cuenta, si lo desea. La decisión de contactar es humana.

3. BASE JURÍDICA DEL TRATAMIENTO

Tratamos datos personales con las siguientes bases jurídicas según el tipo de dato y la relación contigo:

3.1 Ejecución de contrato

• Crear y administrar tu cuenta
• Prestar los servicios contratados
• Gestionar pagos y soporte

3.2 Cumplimiento de obligaciones legales

• Conservación de información contable y fiscal
• Atención de requerimientos de autoridades
• Cumplimiento de obligaciones bajo leyes de protección al consumidor

3.3 Interés legítimo

• Seguridad de la plataforma y prevención de fraude
• Analítica básica de uso para mejora del servicio
• Prospección outbound B2B a negocios (ver 2.6)
• Comunicación con usuarios administrativos de cuentas B2B

3.4 Consentimiento

• Cookies no esenciales (analítica, marketing)
• Marketing directo cuando sea requerido por ley
• Uso de datos biométricos de voz (consentimiento expreso y separado)
• Entrenamiento de modelos de IA con datos del usuario
• Contacto outbound en jurisdicciones que requieren consent previo (España)

El consentimiento puede retirarse en cualquier momento sin efecto retroactivo.

4. TRATAMIENTO DE DATOS DE VOZ E INTELIGENCIA ARTIFICIAL

4.1 Datos biométricos de voz — consentimiento granular

Los datos de voz constituyen DATOS PERSONALES SENSIBLES conforme al Art. 9 RGPD y a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) de México. Su tratamiento requiere consentimiento expreso y específico.

Por esta razón, XELIA implementa DOS checkboxes separados en el onboarding:

• [ ] Acepto los Términos y Condiciones y el Aviso de Privacidad
• [ ] Consentimiento EXPRESO para el procesamiento de mi voz como dato biométrico durante demos y uso del servicio

El segundo checkbox NO se activa automáticamente y puede revocarse en cualquier momento desde la configuración de la cuenta o escribiendo a privacidad@xelia.ai.

4.2 AI Disclosure inteligente por jurisdicción

XELIA implementa una política de AI disclosure que respeta tanto las obligaciones legales de cada país como el derecho a una experiencia natural de atención al cliente.

Llamadas OUTBOUND (XELIA contacta al titular):

En TODAS las llamadas outbound, sin importar país, XELIA declara audiblemente al inicio: "Hola, buenos días/tardes. Le llamo de parte de [nombre del negocio]. Soy un asistente de inteligencia artificial. ¿Me permite un momento?"

Llamadas INBOUND (el titular llama al negocio):

En jurisdicciones donde la ley exige disclosure (España, Unión Europea y cualquier futura jurisdicción con ley AI Act equivalente), XELIA declara ser IA al inicio de cada llamada inbound.

En jurisdicciones sin obligación legal de disclosure en inbound (México, Colombia, Argentina, Chile, Ecuador), XELIA responde con saludo profesional natural del negocio, priorizando la experiencia del cliente que ya inició el contacto voluntariamente. Ejemplo: "Consultorio del Dr. García, soy XELIA, ¿en qué puedo ayudarte?"

Regla inmutable de honestidad:

XELIA NUNCA niega ser un asistente de IA. Si cualquier interlocutor pregunta directamente si es humano, robot, persona, IA, o similares, XELIA responde SIEMPRE con la verdad. Esta regla es hardcoded en el sistema y no puede desactivarse por ningún Cliente, configuración, prompt personalizado ni instrucción externa.

Aviso de grabación:

Todas las llamadas (inbound y outbound, en todos los países) incluyen aviso de que la llamada puede ser grabada con fines de calidad del servicio y formación de modelos de IA (cuando aplique con consentimiento).

4.3 Orquestación Multi-IA

XELIA utiliza un sistema de orquestación que dirige solicitudes al proveedor de IA más adecuado según la tarea:

Todos los proveedores actúan como ENCARGADOS DEL TRATAMIENTO bajo contratos con cláusulas de protección equivalentes a SCCs (Standard Contractual Clauses). Ninguno utiliza los datos enviados vía APIs comerciales para entrenar modelos propios, conforme a sus términos comerciales vigentes.

4.4 Salvaguardas implementadas

• Sanitización automática de datos sensibles (CURP, RFC, números de tarjeta, CLABE, emails, teléfonos) antes del envío a proveedores externos
• Filtrado de contenido mediante API de moderación de OpenAI
• Registro de auditoría persistente de cada interacción con IA (proveedor, tipo de tarea, si hubo datos personales)
• Disclaimers obligatorios en todo reporte generado por IA indicando necesidad de revisión humana

5. CONTACTO OUTBOUND B2B Y COMPLIANCE POR PAÍS

XELIA permite a sus Clientes realizar campañas de contacto comercial B2B hacia negocios identificados mediante fuentes públicas. TODAS las campañas cumplen con los siguientes principios:

5.1 Principios universales

• Disclosure de IA obligatorio al inicio de cada llamada
• Mecanismo de opt-out inmediato (persona contactada puede pedir no ser contactada nuevamente)
• Registro de opt-outs respetado en TODOS los canales (voz, WhatsApp, email)
• Horarios de contacto respetados según país y zona horaria del contactado
• Verificación previa contra listas nacionales Do-Not-Call (cuando aplique)
• Fail-closed: si el sistema de compliance no puede verificar, NO se contacta

5.2 México

Marco legal: Ley Federal de Protección al Consumidor + LFPDPPP 2025

El contacto outbound automatizado de XELIA se dirige principalmente a negocios con número comercial público (B2B), identificados mediante fuentes oficiales como DENUE (INEGI) y Google Places. Para este tipo de contacto, el Registro Público para Evitar Publicidad (REPEP) de PROFECO tiene una aplicación limitada conforme al criterio de PROFECO, dado que REPEP está diseñado principalmente para proteger a consumidores individuales que inscriben sus números telefónicos para no recibir telemarketing publicitario.

Cuando XELIA detecta que un número corresponde a un consumidor individual inscrito en REPEP (por ejemplo, cuando un Cliente-tenant nos proporciona listas propias de contactos), XELIA respeta esa inscripción y bloquea el contacto.

XELIA implementa arquitectura técnica fail-closed para verificación de REPEP. La ingesta formal de las listas oficiales de PROFECO está programada para completarse una vez obtenido el Registro Federal de Contribuyentes (RFC) de ALTHAGIZ SERVICES NAT, actualmente en trámite ante el SAT. Mientras tanto, el Cliente-tenant que cargue listas propias de consumidores asume la responsabilidad de haber verificado REPEP conforme a sus obligaciones.

• AI Disclosure obligatorio al inicio de cada llamada outbound (hardcoded).
• Mecanismo de opt-out inmediato en cada canal (voz, WhatsApp, email).
• Horario permitido: 9:00 a 20:00 hora local. No se contacta en domingos ni festivos oficiales.
• Derechos ARCO: el titular puede ejercer Acceso, Rectificación, Cancelación y Oposición a través de privacidad@xelia.ai.
• Autoridad: Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) — inai.org.mx

5.3 Colombia

Marco legal: Ley 1581 de 2012 + Decreto 1377 de 2013

• XELIA respeta el Registro Nacional de Bases de Datos (RNBD) de la Superintendencia de Industria y Comercio (SIC).
• Habeas Data: el titular puede consultar, actualizar, rectificar y suprimir sus datos. El derecho es GRATUITO.
• Horario permitido: 7:00 a 21:00 hora local (Lun-Vie); 8:00 a 15:00 (Sábados). No domingos ni festivos.
• Autoridad: Superintendencia de Industria y Comercio (SIC) — sic.gov.co

5.4 Argentina

Marco legal: Ley 25.326 de Protección de Datos Personales + Ley 26.951 Do Not Call

• XELIA consulta el Registro "No Llame" de la Agencia de Acceso a la Información Pública (AAIP) antes de cada contacto.
• Modo consent-first aplicable: en casos de ambigüedad se envía WhatsApp informativo con opt-in antes de cualquier llamada.
• Horario permitido: 8:00 a 21:00 hora local. No domingos ni festivos.
• Multa potencial por no consulta: hasta 100,000 Unidades Contributivas.
• Autoridad: Agencia de Acceso a la Información Pública (AAIP) — argentina.gob.ar/aaip

5.5 Chile

Marco legal: Ley 21.719 de Protección de Datos Personales (vigente desde diciembre 2024)

• Designación obligatoria de DPO (Leonardo Abad Galán — cibscyc@proton.me).
• Los titulares tienen derechos ARSOPOL (Acceso, Rectificación, Supresión, Oposición, Portabilidad, Oposición a decisiones automatizadas, Limitación).
• Consent previo requerido para marketing. Outbound B2B a negocios basado en datos públicos con interés legítimo documentado.
• Horario permitido: 9:00 a 20:00 hora local. No domingos.
• Autoridad: Agencia de Protección de Datos Personales (ingresa a funcionar plenamente en 2026)

5.6 Ecuador

Marco legal: Ley Orgánica de Protección de Datos Personales (LOPDP) 2021

• Principios de licitud, finalidad, proporcionalidad, pertinencia, confidencialidad.
• Consent previo para marketing directo. Outbound B2B bajo interés legítimo documentado.
• Horario permitido: 8:00 a 20:00 hora local. No domingos ni festivos.
• Autoridad: Superintendencia de Protección de Datos Personales — spdp.gob.ec

5.7 España

Marco legal: RGPD + LOPDGDD + LSSI-CE + Ley General de Telecomunicaciones

MODO CONSENT-FIRST OBLIGATORIO: desde el 29 de junio de 2023, todas las llamadas comerciales sin consentimiento previo son ilegales conforme al Art. 66.1.b) LGTel, INDEPENDIENTEMENTE de estar en Lista Robinson.

XELIA NO llama directamente a prospectos en España. Envía primero un WhatsApp/SMS informativo solicitando consentimiento explícito: "¿Le interesaría recibir una llamada sobre [servicio]? Responda SÍ para que le contactemos."

Solo si el prospecto responde afirmativamente, se procede con la llamada. Este consentimiento se almacena con timestamp y evidencia como prueba legal.

• XELIA consulta la Lista Robinson (gestionada por ADIGITAL) antes de cada contacto.
• Horario permitido: 9:00 a 21:00 hora local. No festivos ni fines de semana.
• Multas potenciales: hasta €20 millones (RGPD) o €600,000 (LSSI).
• Autoridades: Agencia Española de Protección de Datos (AEPD) — aepd.es; Comisión Nacional de los Mercados y la Competencia (CNMC)

5.8 Estados Unidos — NO OPERATIVO

XELIA NO opera outbound en Estados Unidos debido a restricciones del Telephone Consumer Protection Act (TCPA) y del ruling de la FCC de 2024 que requieren consentimiento previo por escrito para llamadas automatizadas con IA. La plataforma técnicamente bloquea campañas que intentan contactar números estadounidenses.

6. TRANSFERENCIAS Y ALMACENAMIENTO INTERNACIONAL

6.1 Infraestructura principal

XELIA aloja su plataforma en infraestructura de Hetzner Online GmbH. La ubicación exacta de los servidores de producción se mantiene actualizada en la sección de Documentación Técnica a solicitud del titular escribiendo a privacidad@xelia.ai.

6.2 Proveedores y ubicaciones

6.3 Mecanismos de transferencia

• Transferencias desde México: bajo el Capítulo V de la LFPDPPP con contratos con cláusulas de nivel adecuado.
• Transferencias desde la UE/EEE: bajo Standard Contractual Clauses (SCCs) o EU-US Data Privacy Framework cuando aplique.
• Sanitización de datos sensibles aplicada antes de enviar a proveedores externos.

7. PLAZOS DE CONSERVACIÓN

Aplicamos el principio de limitación de conservación:

8. DERECHOS DE LOS TITULARES

Según tu país de residencia, tienes los siguientes derechos respecto a tus datos personales:

8.1 México — Derechos ARCO + LFPDPPP 2025

• Acceso, Rectificación, Cancelación, Oposición
• Limitación del uso
• Revocación del consentimiento
• No ser objeto de decisiones automatizadas sin intervención humana (Art. nuevos LFPDPPP 2025)

8.2 Unión Europea (RGPD)

• Acceso, Rectificación, Supresión, Portabilidad
• Limitación, Oposición
• No decisiones automatizadas sin intervención humana (Art. 22)
• Presentar reclamación ante AEPD (España) u otra autoridad local

8.3 Colombia (Ley 1581 — Habeas Data)

• Conocer, actualizar, rectificar
• Solicitar prueba del consentimiento
• Ser informado sobre el uso de datos
• Revocar consentimiento o solicitar supresión
• Queja ante SIC

8.4 Argentina (Ley 25.326)

• Acceso, rectificación, actualización
• Supresión o bloqueo
• Confidencialidad
• Queja ante AAIP

8.5 Chile (Ley 21.719)

• ARSOPOL: Acceso, Rectificación, Supresión, Oposición, Portabilidad, Oposición a decisiones automatizadas, Limitación
• Derecho a la "desconexión digital"

8.6 Ecuador (LOPDP 2021)

• Acceso, rectificación, actualización
• Eliminación, oposición
• Portabilidad

8.7 Cómo ejercer tus derechos

Envía un correo a privacidad@xelia.ai con:

• Nombre completo y medio para contactarte
• Documento que acredite tu identidad
• Derecho(s) que deseas ejercer
• Descripción clara de los datos involucrados

Plazos de respuesta:

• México: 20 días hábiles + 15 hábiles adicionales para ejecutar
• UE: 1 mes (prorrogable en casos complejos)
• Otros países: conforme a su normativa local

9. DECISIONES AUTOMATIZADAS Y PERFILAMIENTO

9.1 Actividades que involucran procesamiento automatizado

• Lead scoring (evaluación automatizada de prospectos con IA)
• Análisis de conversaciones de voz y texto
• Generación de recomendaciones automatizadas
• Moderación automatizada de contenido
• Clasificación automática de sentimientos y objeciones

9.2 Naturaleza de las decisiones

TODAS las evaluaciones y recomendaciones generadas por IA de XELIA son herramientas de APOYO a decisiones humanas. En ningún caso producen efectos jurídicos por sí solas ni sustituyen el juicio humano en decisiones que afecten significativamente a las personas.

Los reportes generados incluyen automáticamente un disclaimer que indica: "Este análisis fue generado por inteligencia artificial y debe ser revisado por un ser humano antes de tomar decisiones comerciales, contractuales o laborales."

9.3 Tus derechos respecto a decisiones automatizadas

• Ser informado cuando una evaluación fue generada por IA
• Solicitar intervención humana
• Expresar tu punto de vista
• Impugnar la decisión
• Obtener explicación de la lógica general

10. MEDIDAS DE SEGURIDAD

• Cifrado TLS/SSL en tránsito (HTTPS)
• Cifrado en reposo con AES-256 para datos sensibles
• Hashing de contraseñas con bcrypt + salt
• Autenticación de dos factores (2FA) disponible
• Firewall y WAF mediante Cloudflare
• Control de accesos granular (RBAC multi-tenant)
• Registros de eventos de seguridad auditables
• Backups cifrados con retención de 30 días
• Procedimientos de gestión de incidentes documentados
• Notificación de vulneraciones según plazos legales aplicables

11. COOKIES

Consulta nuestra Política de Cookies específica en https://xelia.ai/cookies para información detallada sobre tipos, finalidades, plazos y gestión de cookies.

12. MENORES DE EDAD

XELIA es una plataforma B2B dirigida exclusivamente a profesionales y negocios. No está dirigida a menores de 18 años y no recabamos intencionalmente datos de menores. Si detectamos datos de menores, los eliminamos y bloqueamos el acceso.

13. ACTUALIZACIONES DEL AVISO

Publicaremos versiones actualizadas en https://xelia.ai/privacidad con fecha de última actualización. Cambios sustanciales se notificarán por email y/o banner en la plataforma. Cuando la normativa lo exija, solicitaremos consentimiento renovado.

14. CONTACTO

ALTHAGIZ SERVICES NAT, S.A.P.I. DE C.V.

Domicilio: Avenida División del Norte, Colonia Lomas de Memetla, Código Postal 05330, Alcaldía Cuajimalpa de Morelos, Ciudad de México, México

DPO: Leonardo Abad Galán

Email privacidad: privacidad@xelia.ai

Backup DPO (personal): cibscyc@proton.me

Email general: hola@xelia.ai

Soporte: soporte@xelia.ai

Sitio web: https://xelia.ai

Fecha de vigencia: 30 de abril de 2026

Versión: 3.0.2

© 2026 ALTHAGIZ SERVICES NAT, S.A.P.I. DE C.V. Todos los derechos reservados.

XELIA® es una marca registrada.