Aviso de Privacidad

1. Quién es responsable de tus datos

GRUVANT & PARTNERS, S.A. de C.V. es responsable del tratamiento de los datos personales que recaba con motivo de sus servicios de diagnóstico, consultoría y blindaje de seguridad informática, y del uso del portal donde se lleva el Diagnóstico Oficial.

• Domicilio: Plano Regulador 8, Col. Xocoyahualco, Tlalnepantla de Baz, Estado de México.
• Teléfono: 55 5393 5100.
• Correo para asuntos de privacidad: contacto@gruvantandpartners.com.
• Persona designada para atender derechos: Abraham Romano Cohen.

2. Qué datos recabamos

Identificación y contacto

Nombre, cargo, correo electrónico, teléfono y número de WhatsApp, además de la razón social, domicilio y sitio web de la empresa a la que perteneces. El número de WhatsApp es indispensable para el acceso al portal: el código de verificación se envía dividido, una parte al correo y la otra al WhatsApp, y solo con ambas se completa el inicio de sesión.

Uso del portal

Registro de accesos, fecha y hora de cada acción, respuestas al cuestionario, archivos de evidencia que cargas, comentarios y observaciones. Esta bitácora es parte del expediente de la auditoría: no se puede editar ni borrar de forma selectiva, porque es lo que sostiene la trazabilidad del diagnóstico.

Datos personales sensibles

Sí recabamos datos personales sensibles. No los pedimos como tales, pero la evidencia que tu empresa carga para acreditar controles puede contenerlos: listas de personal con datos de salud o incapacidades, expedientes de recursos humanos, credenciales y fotografías de identificación, registros biométricos de control de acceso, domicilios particulares, datos de menores en padrones o registros de incidentes que involucren a personas identificables.

Al cargar evidencia en el portal aceptas que puede contener este tipo de datos y que consientes expresamente su tratamiento para las finalidades de la auditoría. Te pedimos anonimizar o enmascarar todo dato que no sea necesario para demostrar el control: en la mayoría de los reactivos basta con una muestra, no con el expediente completo.

3. Para qué los usamos

Finalidades primarias, necesarias para la relación de servicio:

• Crear y administrar tu cuenta y las de los colaboradores de tu empresa, y autenticar el acceso.
• Ejecutar el diagnóstico: recibir respuestas, revisar evidencia, emitir observaciones y otorgar el visto bueno reactivo por reactivo.
• Calcular la madurez declarada y validada, generar el reporte ejecutivo y el plan de remediación.
• Emitir el sello del diagnóstico y sostener su verificación pública por folio.
• Conservar la bitácora y el expediente como respaldo de lo dictaminado.
• Notificarte lo que requiere tu atención en el portal, facturar y cumplir obligaciones fiscales y contractuales.

Finalidades secundarias, que puedes rechazar sin afectar el servicio:

• Enviarte contenidos, invitaciones a eventos y comunicaciones sobre otros servicios de Gruvant.
• Incluir a tu empresa, con tu autorización previa y por escrito, como caso de éxito.
• Incorporar tus resultados, de forma anónima y agregada, al benchmark de cartera descrito en el punto 5.

Para rechazar cualquiera de las secundarias basta un correo a contacto@gruvantandpartners.com.

4. Uso de inteligencia artificial

Usamos inteligencia artificial dentro del servicio. Conviene que sepas exactamente dónde y con qué límites:

• Asistente del reactivo. Explica en lenguaje de negocio qué te está preguntando cada reactivo y qué evidencia suele servir. Recibe el texto del reactivo y el estado de tu respuesta, no tus archivos.
• Pre-revisión de evidencia. Solo si la autorizas archivo por archivo, un modelo lee el documento que subiste y te devuelve un checklist de lo que probablemente falta antes de enviarlo a revisión. Cada autorización queda registrada en la bitácora con quién y cuándo.
• Agente de voz y chat del sitio público. Atiende dudas comerciales. Conserva la conversación y los datos de contacto que le proporciones.

Tres reglas que no cambian: la inteligencia artificial no dictamina. El visto bueno, las observaciones y la calificación validada son siempre de un auditor humano. No entrenamos modelos con tu evidencia ni la usamos para mejorar servicios de terceros. Y no tomamos decisiones automatizadas que produzcan efectos jurídicos sobre ti sin intervención humana; si en algún momento lo hiciéramos, te lo informaríamos y podrías oponerte.

Cuando el procesamiento ocurra con un proveedor de modelos, será bajo contrato que prohíba el uso de tu información para fines propios y obligue a su eliminación al terminar el procesamiento.

5. Con quién compartimos información

No vendemos ni comercializamos datos personales. Compartimos únicamente lo necesario, con:

• Proveedores tecnológicos que operan la infraestructura del portal, el almacenamiento cifrado de evidencia, el correo transaccional, la mensajería del segundo factor y los modelos de inteligencia artificial. Actúan como encargados, bajo contrato de confidencialidad y sin autorización para usar la información con fines propios.
• Asesores legales, contables y auditores externos de Gruvant, cuando resulte necesario.
• Autoridades competentes, cuando exista requerimiento fundado y motivado.

El benchmark de cartera merece precisión: publica medianas por capa de cohortes de al menos diez empresas con diagnóstico cerrado. No incluye razón social, folio, comentarios ni evidencia, y la participación es reversible en cualquier momento desde el portal.

Fuera de estos casos, cualquier transferencia que requiera tu consentimiento te será informada previamente.

6. Cuánto tiempo conservamos la información

Los plazos de conservación no exceden lo necesario para cumplir las finalidades que justificaron el tratamiento:

• Evidencia y expediente de la auditoría: 12 meses contados a partir de la conclusión de la auditoría. Durante ese periodo puedes descargar el expediente completo desde el portal.
• Sello del diagnóstico y su verificación pública: 24 meses a partir de su emisión. El sello guarda la huella digital del expediente, no el expediente, de modo que sigue siendo verificable aunque la evidencia ya se haya suprimido.
• Datos de identificación, contacto y bitácora de accesos: mientras exista la relación de servicio y después, en bloqueo, hasta que prescriban las obligaciones legales y contractuales relacionadas.
• Comprobantes fiscales y registros contables: por los plazos que exigen la legislación fiscal y mercantil, que pueden ser mayores a los anteriores.

Al vencer el plazo, los datos pasan primero a bloqueo —quedan resguardados, inaccesibles y sin posibilidad de uso— y después a supresión definitiva, con destrucción certificada de los soportes. Si tu empresa pertenece a un sector regulado que exige plazos distintos, el plazo aplicable se establece en el contrato de servicio y prevalece sobre el general.

7. Cómo protegemos la información

• Los campos sensibles de la base de datos se almacenan cifrados.
• Los archivos de evidencia no viven en el servidor del portal: se guardan cifrados en un repositorio independiente, de manera que un acceso indebido al portal no expone la evidencia.
• Las descargas usan enlaces de un solo uso y corta vida, y cada descarga queda registrada con quién, qué y cuándo.
• El acceso exige contraseña y segundo factor dividido entre correo y WhatsApp.
• Los respaldos se guardan cifrados y la llave viaja separada del respaldo.
• Los correos de notificación nunca incluyen contenido del diagnóstico ni evidencia: solo avisan que hay algo que atender en el portal.

8. Tus derechos y cómo ejercerlos

Puedes solicitar el acceso a tus datos, su rectificación cuando sean inexactos, su cancelación cuando consideres que no se requieren, y oponerte a un tratamiento específico. También puedes revocar el consentimiento que nos hayas otorgado.

Envía tu solicitud a contacto@gruvantandpartners.com con tu nombre, un medio de contacto, la identificación con la que acreditas tu identidad o tu representación, y la descripción clara de lo que pides. Responderemos en los plazos que marca la legislación aplicable y por el mismo medio, salvo que indiques otro.

Hay casos en que la cancelación no procede de inmediato: la evidencia ya dictaminada y la bitácora sostienen la validez del diagnóstico frente a terceros, así que se conservan bloqueadas hasta que venza el plazo del punto 6. Si no estás conforme con nuestra respuesta, puedes acudir a la autoridad competente en materia de protección de datos personales.

9. Cookies y tecnologías de rastreo

El sitio y el portal usan almacenamiento local y cookies propias para mantener tu sesión, recordar preferencias de la interfaz y medir uso de forma agregada. No usamos cookies de publicidad de terceros. Puedes bloquearlas desde tu navegador, con la advertencia de que el portal necesita las de sesión para funcionar.

10. Menores de edad

El portal está dirigido a personas que actúan en representación de una empresa. No recabamos datos de menores de forma deliberada; si la evidencia que cargas incluye datos de menores, aplica lo señalado en el punto 2 y te pedimos extremar la anonimización.

11. Cambios a este aviso

Podemos actualizar este aviso por cambios legales, operativos o tecnológicos. La versión vigente estará siempre en esta página, con su número de versión y fecha. Si el cambio es sustancial y afecta las finalidades o los plazos, te lo notificaremos por correo y, cuando corresponda, te pediremos consentimiento nuevo.

12. Consentimiento

Al crear tu cuenta, cargar evidencia o continuar usando el portal manifiestas que leíste este aviso, que entiendes que el tratamiento puede incluir datos personales sensibles y que consientes expresamente su tratamiento para las finalidades primarias descritas.