Aviso de Privacidad Integral

1. Identidad y domicilio del responsable

Bernardo Elizondo Cantú, operando comercialmente como “Legal Docs”(en adelante, el “Responsable”), con domicilio en María de los Ángeles 211, Col. Jerónimo Siller, San Pedro Garza García, Nuevo León, México, es responsable del tratamiento de sus datos personales de conformidad con la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) vigente conforme a la reforma publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 y su reforma del 14 de noviembre de 2025.

Para cualquier consulta relacionada con este aviso, puede contactarnos en privacidad@smartley.org.

2. Datos personales que recabamos

2.1 Datos de registro y cuenta

• Nombre completo
• Correo electrónico
• Contraseña (almacenada exclusivamente en formato cifrado con bcrypt; nunca en texto claro)
• Número telefónico (únicamente para usuarios que interactúan por WhatsApp)
• Fecha de creación de cuenta

2.2 Datos para la elaboración de documentos legales

Dependiendo del tipo de documento solicitado, recabamos información específica a través de nuestro asistente de inteligencia artificial. Los datos varían según la plantilla, pero pueden incluir:

• Datos de identificación: nombre completo, CURP, RFC, número de INE o pasaporte, nacionalidad, estado civil, fecha y lugar de nacimiento, ocupación, domicilio
• Datos laborales: puesto, departamento, salario, frecuencia de pago, horario, prestaciones, NSS (Número de Seguro Social)
• Datos patrimoniales y financieros: montos de préstamos, tasas de interés, valores de propiedades, régimen patrimonial del matrimonio, datos de cuentas bancarias (últimos 4 dígitos), montos de pensión alimenticia
• Datos familiares: información de cónyuge, hijos (incluyendo menores de edad), beneficiarios, herederos, albaceas, tutores
• Datos inmobiliarios: direcciones de propiedades, datos registrales, escrituras, gravámenes
• Datos corporativos: denominación social, objeto social, estructura accionaria, capital social, datos de representantes legales

La información específica requerida depende del tipo de documento: contrato de arrendamiento, poder notarial, contrato de trabajo, contrato de mutuo (préstamo), contrato de compraventa, convenio de divorcio, acta constitutiva, testamento o contrato de prestación de servicios.

2.3 Datos de pago y facturación

• Identificadores de transacción de Stripe (sesión de checkout, intención de pago)
• Monto y moneda del pago (MXN)
• Estado del pago y URL de recibo
• Método de pago utilizado (tarjeta u OXXO)
• Datos fiscales para CFDI: cuando el Usuario solicite factura electrónica (CFDI 4.0), recabamos su RFC, razón social o nombre, régimen fiscal, uso del CFDI, código postal de su domicilio fiscal (requerido por el SAT como DomicilioFiscalReceptor) y correo electrónico para la emisión y envío del comprobante. Estos datos se transfieren a nuestro proveedor de facturación Facturapi, certificado por el SAT como Proveedor Autorizado de Certificación (PAC), únicamente con la finalidad de timbrar y entregar el CFDI. Los archivos XML y PDF resultantes se almacenan en nuestra infraestructura conforme a los plazos descritos en la Sección 8.

No almacenamos números de tarjeta, CVV, datos bancarios ni información financiera de su método de pago. Todo el procesamiento de pagos se realiza directamente en los servidores de Stripe, Inc. Únicamente conservamos identificadores de referencia.

2.4 Documentos e identificaciones cargados

• Escaneos de identificación oficial (INE/IFE, pasaporte) en formato PDF, JPEG o PNG
• Documentos de soporte (actas de nacimiento, escrituras, contratos previos, etc.)
• Metadatos del archivo: nombre, tipo MIME, tamaño (máximo 10 MB)

2.5 Datos técnicos y de sesión

• Dirección IP (utilizada exclusivamente para limitación de tasa de solicitudes y seguridad; no se usa para geolocalización ni perfilamiento)
• Agente de usuario del navegador
• Token de sesión (cookie HTTP-only)
• Fecha y hora de acceso

2.6 Datos de canales de mensajería

Si interactúa con nosotros a través de Telegram o WhatsApp, recabamos adicionalmente:

• Identificador de usuario de la plataforma (ID de Telegram o número de WhatsApp)
• Nombre para mostrar y nombre de usuario (Telegram)
• Historial de conversación dentro de nuestro bot
• Estado de consentimiento y fecha de aceptación

3. Datos personales sensibles

De conformidad con la LFPDPPP vigente, informamos que para la prestación de nuestros servicios recabamos y tratamos datos personales que requieren especial protección, incluyendo:

• Datos patrimoniales y financieros: salarios, montos de préstamos, valores de propiedades, pensiones alimenticias, capital social, referencias bancarias. Estos datos son necesarios para la elaboración de contratos de mutuo, compraventa, convenios de divorcio, testamentos y actas constitutivas.
• Datos de identificación gubernamental: CURP, RFC, NSS (Número de Seguro Social), números de credencial para votar (INE/IFE) o pasaporte. Son necesarios para la identificación de las partes en los documentos legales.
• Datos de menores de edad: nombres, edades y fechas de nacimiento de hijos menores. Se recaban únicamente en (i) convenios de divorcio, (ii) testamentos donde se nombren herederos menores, y (iii) cartas de consentimiento del menor (viajes nacionales o internacionales, procedimientos médicos, autorizaciones generales). En todos los casos requerimos consentimiento expreso e informado del padre, madre o tutor legal que ejerce la patria potestad o la tutela conforme a los artículos 414 y 425 del Código Civil Federal y al artículo 76 de la Ley General de los Derechos de Niñas, Niños y Adolescentes (LGDNNA).

El tratamiento de estos datos es estrictamente necesario para la finalidad principal del servicio: la generación de documentos legales personalizados. Sin esta información, no es posible elaborar los documentos solicitados.

Al registrarse y utilizar nuestros servicios, usted otorga su consentimiento expreso para el tratamiento de estos datos personales sensibles, conforme al artículo 8 de la LFPDPPP.

4. Finalidades del tratamiento

4.1 Finalidades primarias (necesarias para el servicio)

1. Crear y gestionar su cuenta de usuario y verificar su identidad
2. Recopilar, mediante nuestro asistente de inteligencia artificial, la información necesaria para la elaboración de su documento legal
3. Generar borradores de documentos legales personalizados utilizando inteligencia artificial
4. Procesar pagos por los servicios contratados a través de Stripe (tarjeta bancaria y OXXO)
5. Facilitar la revisión y aprobación de documentos por abogados asignados
6. Almacenar los documentos generados y archivos cargados de forma segura
7. Enviar notificaciones sobre el estado de sus casos por correo electrónico, Telegram o WhatsApp
8. Cumplir con obligaciones legales aplicables y atender requerimientos de autoridades competentes

4.2 Finalidades secundarias

1. Mejorar la calidad y precisión de nuestro servicio de generación de documentos
2. Generar estadísticas internas de uso de forma agregada y anonimizada
3. Recordatorios de renovación de documentos. Si usted lo autoriza expresamente al momento del registro o en la sección de preferencias, le enviaremos por correo electrónico, WhatsApp, Telegram o notificación dentro de la plataforma un aviso gratuito antes del vencimiento de los documentos que generó con nosotros (por ejemplo: contratos de arrendamiento, NDA, cartas poder con plazo determinado). El único propósito de este aviso es darle la oportunidad de renovar el documento a tiempo. Esta finalidad es independiente de las demás y puede activarla o desactivarla en cualquier momento desde su cuenta o pulsando “No avisar más” en cualquier mensaje recibido. La desactivación es inmediata.

Si usted no desea que sus datos sean tratados para las finalidades secundarias, puede manifestar su negativa enviando un correo a privacidad@smartley.orgcon el asunto “Negativa finalidades secundarias”. La negativa no afectará la prestación del servicio.

5. Procesamiento con inteligencia artificial

Utilizamos modelos de inteligencia artificial de Anthropic, PBC (modelos Claude) para dos funciones esenciales:

5.1 Asistente de recopilación de datos (intake)

Durante la fase de entrevista, un modelo de IA guía la conversación para obtener la información necesaria para su documento. Los datos que usted proporciona durante la conversación se envían a los servidores de Anthropic para generar respuestas contextualizadas y extraer los campos requeridos.

5.2 Generación de documentos

Una vez recopilada toda la información, el modelo de IA genera el borrador de su documento legal. La totalidad de los datos de intake se envía a Anthropic para este propósito.

5.3 Garantías sobre el procesamiento de IA

• Anthropic no utiliza los datos enviados a través de su API para entrenar o mejorar sus modelos de IA.
• Los datos son procesados de forma transitoria y no son retenidos por Anthropic más allá del procesamiento de cada solicitud individual.
• Los datos se transmiten cifrados mediante TLS y se procesan en servidores ubicados en Estados Unidos.
• Los documentos generados por IA son borradores que requieren revisión y aprobación por un abogado antes de ser entregados. La IA no emite opiniones legales vinculantes ni sustituye el criterio profesional de un abogado.

Para mayor información sobre las prácticas de privacidad de Anthropic, consulte su política de uso de API en anthropic.com/policies/privacy.

6. Transferencias de datos personales

Para la prestación de nuestros servicios, compartimos sus datos personales con los siguientes terceros:

No vendemos, alquilamos ni comercializamos sus datos personales con terceros para fines de mercadotecnia, publicidad o cualquier fin ajeno a los descritos en este aviso.

Las transferencias anteriores se realizan al amparo del artículo 35 de la LFPDPPP, que rige las transferencias nacionales e internacionales de datos personales, al ser necesarias para el cumplimiento de la relación jurídica entre usted y el Responsable.

Transferencias internacionales

Como puede observarse en la columna «Ubicación» de la tabla anterior, la prestación del servicio implica transferencias internacionales de datos personales a encargados ubicados en Estados Unidos de América (Anthropic, Stripe, Supabase, Resend, Upstash, Vercel, Meta/WhatsApp, Cloudflare y Sentry), en Alemania (Unión Europea, Hetzner Online GmbH) y en otras jurisdicciones de alcance global (Telegram). Mifiel y Facturapi operan dentro de México y, por lo tanto, no constituyen transferencias internacionales.

Reconocemos que Estados Unidos de América no cuenta a la fecha de emisión de este aviso con declaración de la autoridad mexicana competente en materia de protección de datos personales — la Secretaría Anticorrupción y Buen Gobierno (SABG) tras la reforma constitucional de 2024 — que reconozca un nivel adecuado de protección equiparable al previsto por la LFPDPPP. Por ello, dichas transferencias se realizan al amparo del artículo 35 de la LFPDPPP (régimen unificado de transferencias nacionales e internacionales de datos personales conforme a la reforma de 2025), y se instrumentan mediante cláusulas contractuales celebradas con cada encargado, en las que el receptor asume las mismas obligaciones que corresponden al Responsable conforme a la LFPDPPP y al presente aviso de privacidad, incluyendo confidencialidad, finalidad limitada, medidas de seguridad y supresión al concluir la relación.

Al utilizar nuestros servicios y aceptar el presente aviso, usted otorga su consentimiento expreso para que sus datos personales (incluidos, en su caso, datos personales sensibles) sean transferidos internacionalmente a las jurisdicciones referidas, exclusivamente para las finalidades y bajo las condiciones aquí descritas.

7. Cookies y tecnologías de rastreo

Utilizamos únicamente cookies estrictamente necesarias para el funcionamiento de la plataforma:

Medición agregada sin cookies (Vercel Web Analytics)

Utilizamos Vercel Web Analytics para medición agregada sin cookies. No utilizamos cookies de publicidad ni perfilamiento.

Vercel Web Analytics no establece cookies en su navegador y no utiliza identificadores persistentes. Las métricas se procesan en forma agregada exclusivamente para mejorar la experiencia de uso de la plataforma. Para más información puede consultar la política de privacidad de Vercel Web Analytics.

Detección de errores (Sentry)

Utilizamos Sentry (operado por Functional Software, Inc., EE.UU.) para detectar errores técnicos en la plataforma. Cuando ocurre un error en su navegador, Sentry graba la sesión únicamente del momento del fallo, con todo el texto del DOM enmascarado y todos los medios bloqueados; esta grabación se utiliza exclusivamente para diagnosticar y corregir el fallo. No utilizamos cookies de publicidad, perfilamiento conductual ni píxeles de marketing de terceros.

Stripe puede establecer cookies propias estrictamente para la prevención de fraude durante el proceso de pago. Estas cookies son gestionadas directamente por Stripe conforme a su propia política de privacidad.

8. Conservación de datos

Conservamos sus datos personales durante los siguientes períodos:

Una vez cumplida la finalidad del tratamiento y transcurrido el período de conservación, sus datos serán bloqueados y posteriormente suprimidos conforme al procedimiento establecido en la LFPDPPP.

9. Derechos ARCO

Conforme a la LFPDPPP vigente, usted tiene derecho a:

• Acceso: conocer qué datos personales tenemos sobre usted, para qué los utilizamos y las condiciones de su tratamiento.
• Rectificación: solicitar la corrección de sus datos personales cuando sean inexactos, incompletos o no se encuentren actualizados.
• Cancelación: solicitar la eliminación de sus datos personales conforme al artículo 24 de la LFPDPPP cuando considere que no están siendo tratados conforme a la ley o cuando hayan dejado de ser necesarios para la finalidad para la que fueron recabados.
• Oposición: oponerse al tratamiento de sus datos personales para finalidades específicas.

Procedimiento para ejercer sus derechos ARCO

Puede iniciar el procedimiento desde Configuración → Privacidad y datos dentro de la aplicación, o enviando una solicitud al correo de ARCO indicado abajo.

1. Envíe su solicitud por correo electrónico a arco@smartley.org.
2. Su solicitud deberá incluir:
   • Nombre completo del titular
   • Correo electrónico asociado a su cuenta
   • Descripción clara y precisa del derecho que desea ejercer y los datos personales relacionados
   • Copia de identificación oficial vigente (INE/IFE o pasaporte) para acreditar su identidad
   • Cualquier documento o información que facilite la localización de sus datos personales
3. Responderemos su solicitud dentro de un plazo máximo de 20 días hábiles contados a partir de la fecha de recepción, conforme al artículo 31 de la LFPDPPP.
4. Si la solicitud resulta procedente, se hará efectiva dentro de los 15 días hábiles siguientes a la fecha en que se comunique la respuesta.
5. Los plazos anteriores podrán ampliarse por un período igual, previa justificación.

Revocación del consentimiento

Usted puede revocar su consentimiento para el tratamiento de sus datos personales en cualquier momento, enviando su solicitud a arco@smartley.orgcon el asunto “Revocación de consentimiento”.

Tenga en cuenta que la revocación del consentimiento para las finalidades primarias impedirá la continuación de la prestación de nuestros servicios y resultará en la cancelación de cualquier caso en proceso. No se otorgarán reembolsos por servicios parcialmente prestados al momento de la revocación, salvo que la ley disponga lo contrario.

Recurso ante la autoridad competente

Si considera que su derecho a la protección de datos personales ha sido vulnerado o no está conforme con la respuesta recibida, puede acudir a la Secretaría Anticorrupción y Buen Gobierno (SABG), autoridad competente en materia de protección de datos personales en posesión de los particulares tras la reforma constitucional de 2024 que extinguió al Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) y reasignó sus atribuciones de protección de datos a la SABG.

10. Medidas de seguridad

Implementamos medidas de seguridad administrativas, técnicas y físicas para proteger sus datos personales contra daño, pérdida, alteración, destrucción o acceso no autorizado, conforme a las obligaciones de seguridad previstas en la LFPDPPP vigente.

Medidas técnicas

• Cifrado de contraseñas con bcrypt (nunca se almacenan en texto claro)
• Todas las comunicaciones cifradas mediante TLS/HTTPS
• Tokens de sesión seguros con atributos HTTP-only, Secure y SameSite
• Encabezados de seguridad: Content Security Policy (CSP), HSTS, X-Frame-Options, X-Content-Type-Options
• Limitación de tasa de solicitudes en dos capas: por dirección IP (infraestructura) y por usuario (aplicación)
• Validación de datos de entrada con esquemas tipados en todas las rutas de la API
• Comparación de tokens resistente a ataques de temporización (timing-safe comparison)
• Verificación de firmas HMAC en webhooks de terceros
• Almacenamiento de archivos en buckets privados con acceso mediante URLs firmadas de duración limitada
• Delimitadores XML en prompts de IA para prevenir inyección de instrucciones

Medidas organizativas

• Principio de privilegio mínimo en el acceso a datos
• Separación de roles: cliente, abogado y administrador, con permisos diferenciados
• Registro de auditoría de todos los cambios de estado de casos
• Los datos de tarjeta de crédito y métodos de pago son procesados íntegramente por Stripe y nunca transitan por nuestros servidores
• Revisión periódica de seguridad de la plataforma

A pesar de las medidas implementadas, ningún sistema es completamente infalible. En caso de una vulneración de seguridad que afecte significativamente sus derechos patrimoniales o morales, le notificaremos en un plazo no mayor a 72 horas naturales desde que tengamos conocimiento confirmado de la vulneración, conforme a lo previsto en la LFPDPPP y en las disposiciones administrativas que emita la Secretaría Anticorrupción y Buen Gobierno (SABG). La notificación incluirá la naturaleza de la vulneración, los datos personales comprometidos, las medidas correctivas adoptadas, y las recomendaciones para que el titular proteja sus intereses.

11. Datos de menores de edad

Nuestros servicios están dirigidos exclusivamente a personas mayores de 18 años. No permitimos el registro de menores de edad como usuarios de la plataforma.

Sin embargo, ciertos tipos de documentos legales —específicamente convenios de divorcio y testamentos— pueden requerir información sobre hijos menores de edad del titular, incluyendo nombres, edades y fechas de nacimiento. Esta información:

• Se recaba únicamente con el consentimiento del padre, madre o tutor legal que solicita el documento, conforme a las disposiciones aplicables de la LFPDPPP vigente sobre consentimiento y tratamiento de datos personales sensibles
• Se utiliza exclusivamente para la generación del documento legal solicitado
• No se comparte con terceros para fines ajenos al servicio
• Está sujeta a las mismas medidas de seguridad que el resto de los datos personales

Adicionalmente, en cualquier trámite que requiera el tratamiento de datos personales de un menor de edad (incluyendo consentimiento_menor para viajes, procedimientos médicos, etc.), capturamos en el formulario de admisión una afirmación expresa, registrada como acto separado en nuestra bitácora de consentimientos, mediante la cual el padre, madre o tutor manifiesta bajo protesta de decir verdad que ejerce la patria potestad o tutela legal sobre el menor cuyos datos aporta, conforme al artículo 8 de la LFPDPPP (consentimiento expreso para el tratamiento de datos personales sensibles) y al artículo 76 de la Ley General de los Derechos de Niñas, Niños y Adolescentes (LGDNNA).

12. Decisiones automatizadas

Nuestra plataforma utiliza procesamiento automatizado en los siguientes casos:

• Generación de documentos por IA: los borradores de documentos son generados automáticamente por inteligencia artificial. Sin embargo, estos borradores siempre son revisados por un abogado antes de ser entregados al cliente. La IA no toma decisiones legales vinculantes.
• Limitación de tasa de solicitudes: aplicamos límites automáticos al número de solicitudes por dirección IP y por usuario para proteger la seguridad de la plataforma.
• Expiración de casos: los casos inactivos por más de 30 días se marcan automáticamente como expirados.
• Reintentos de generación: si la generación de un documento falla, se reintenta automáticamente.

Ninguna de estas decisiones automatizadas produce efectos jurídicos vinculantes sin intervención humana.

13. Modificaciones al aviso de privacidad

Nos reservamos el derecho de modificar este aviso de privacidad para adaptarlo a novedades legislativas, prácticas de la industria o cambios en nuestros servicios.

Cualquier cambio sustancial será notificado con al menos 30 días naturales de anticipación a través de:

• Correo electrónico a la dirección asociada a su cuenta
• Aviso destacado dentro de la plataforma

El uso continuado de nuestros servicios después de la fecha de entrada en vigor de las modificaciones constituye su aceptación de las mismas. Si no está de acuerdo con los cambios, podrá solicitar la cancelación de su cuenta antes de la fecha de entrada en vigor.

La versión vigente de este aviso estará siempre disponible en esta página.

Nota sobre el marco legal aplicable: Esta política refleja la LFPDPPP vigente conforme a la reforma publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 (en vigor desde el 21 de marzo de 2025) y su reforma del 14 de noviembre de 2025. La autoridad competente en materia de protección de datos personales en posesión de los particulares es la Secretaría Anticorrupción y Buen Gobierno (SABG), tras la reforma constitucional de 2024 que extinguió al INAI y reasignó sus atribuciones. Las referencias a artículos específicos corresponden al texto vigente de la LFPDPPP; el nuevo Reglamento de la LFPDPPP no ha sido aún publicado por el Ejecutivo Federal al momento de la emisión de este aviso.

14. Consentimiento

Al registrarse en nuestra plataforma, usted manifiesta haber leído y comprendido este aviso de privacidad y otorga su consentimiento expreso para el tratamiento de sus datos personales, incluyendo datos personales sensibles, conforme a los términos aquí descritos.

Para usuarios de canales de mensajería (Telegram y WhatsApp), el consentimiento se obtiene de forma explícita durante el proceso de incorporación, donde se presenta un resumen de este aviso y se requiere aceptación expresa antes de poder utilizar el servicio.

Para usuarios que inicien un trámite sin haber creado previamente una cuenta (modalidad de invitado), el consentimiento se obtiene de forma explícita mediante una ventana de aceptación que se presenta antes de la captura de cualquier dato personal. La aceptación queda registrada electrónicamente con dirección IP y agente de usuario, y produce los mismos efectos jurídicos que el consentimiento otorgado al momento del registro.

El consentimiento otorgado puede ser revocado en cualquier momento siguiendo el procedimiento descrito en la sección 9 (Derechos ARCO) de este aviso.

15. Contacto y autoridad competente

Para cualquier consulta, comentario o solicitud relacionada con este aviso de privacidad o el tratamiento de sus datos personales:

• Consultas generales de privacidad: privacidad@smartley.org
• Solicitudes ARCO: arco@smartley.org
• Responsable: Bernardo Elizondo Cantú
• Domicilio: María de los Ángeles 211, Col. Jerónimo Siller, San Pedro Garza García, Nuevo León, México

Autoridad competente

Secretaría Anticorrupción y Buen Gobierno (SABG): autoridad competente en materia de protección de datos personales en posesión de los particulares, tras la reforma constitucional de 2024 que extinguió al Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) y reasignó sus atribuciones en materia de protección de datos a la SABG conforme a la LFPDPPP vigente.

Cuando la Secretaría Anticorrupción y Buen Gobierno (SABG) publique un portal público para presentar denuncias en materia de protección de datos personales en posesión de los particulares, actualizaremos este apartado con la dirección correspondiente. Mientras tanto, los titulares pueden presentar denuncias en las oficinas de la SABG conforme al procedimiento que la Secretaría establezca.