Aviso de Privacidad Integral

Identidad y domicilio del responsable

Alcance y estructura de este Aviso

El presente Aviso rige el tratamiento de datos personales en todos los servicios, plataformas, aplicaciones móviles y sitios web de Geminis Labs. Su cuerpo principal contiene las reglas comunes; las particularidades de cada producto se detallan en los anexos, que forman parte integrante del documento.

En caso de discrepancia entre el cuerpo principal y un anexo, prevalece el anexo respecto del producto que regula.

Quién es responsable de qué

Geminis Labs presta sus servicios a perfiles muy distintos: empresas que gestionan flotas, personas y familias que monitorean sus propios vehículos, y terceros que integran o revenden la tecnología bajo su propia marca. La calidad jurídica con la que interviene Geminis Labs cambia según el caso, y de ella depende quién responde ante el titular de los datos.

A · Contratación por una empresa u organización

Cuando quien contrata es una persona moral o física con actividad empresarial (el «Cliente») que monitorea unidades afectas a su actividad:

B · Contratación por una persona física para uso personal o familiar

Cuando una persona contrata el servicio para monitorear vehículos propios, con fines exclusivamente personales o domésticos y ajenos a cualquier actividad empresarial, Geminis Labs actúa como responsable respecto de la totalidad del tratamiento, incluida la geolocalización de los vehículos.

Se hace constar que la normativa mexicana no resulta aplicable a las personas físicas que tratan datos personales para uso exclusivamente personal. En consecuencia, en este supuesto no se traslada a quien contrata ninguna de las obligaciones previstas para el responsable: las asume Geminis Labs.

Quien contrate en este supuesto debe tener presente que si permite conducir el vehículo a otras personas, el sistema registrará igualmente sus desplazamientos. Geminis Labs recomienda informarles de la existencia del dispositivo.

C · Integradores, distribuidores y plataformas de marca blanca

Cuando un tercero integra, revende o personaliza la plataforma para prestar servicio a sus propios clientes (el «Partner»), el Partner actúa como responsable frente a sus clientes finales y Geminis Labs como encargado suyo. Corresponde al Partner informar a los titulares y recabar el consentimiento exigible, y la relación se formaliza mediante el convenio de tratamiento de datos correspondiente.

Datos personales sometidos a tratamiento

Geminis Labs trata, en su calidad de responsable, las siguientes categorías de datos, recabadas de forma directa del titular o de forma indirecta a través del Cliente que da de alta a sus usuarios.

Datos personales sensibles

Con la única excepción del producto Signum, Geminis Labs no recaba ni trata datos personales sensibles: no se solicita información sobre origen racial o étnico, estado de salud, información genética, creencias religiosas, filosóficas o morales, afiliación sindical, opiniones políticas o preferencia sexual.

Signum trata datos de salud por definición del producto. Su régimen —consentimiento expreso, publicación en abierto y medidas reforzadas— se detalla en el Anexo B.

Respecto de la geolocalización se precisa que no está catalogada como dato sensible por la LFPDPPP, cuya enumeración es limitativa. No obstante, dada su capacidad para revelar patrones de desplazamiento de personas físicas, Geminis Labs la somete voluntariamente a medidas reforzadas y limita su acceso al personal estrictamente necesario.

Finalidades del tratamiento

Finalidades primarias (necesarias)

Son necesarias para la existencia y cumplimiento de la relación jurídica. No requieren consentimiento adicional y el titular no puede oponerse a ellas sin que se extinga la posibilidad de prestar el servicio.

1. Alta, identificación y administración de la cuenta, incluida la asignación de roles y permisos.
2. Autenticación y control de acceso, mantenimiento de la sesión y verificación de identidad en cada operación.
3. Prestación de las funcionalidades contratadas, en los términos del anexo correspondiente a cada producto.
4. Envío de notificaciones operativas y alertas, incluidas las notificaciones push de las aplicaciones móviles.
5. Atención de solicitudes de soporte técnico, incidencias y aclaraciones.
6. Facturación, cobranza y cumplimiento de obligaciones fiscales, incluida la emisión de comprobantes fiscales digitales.
7. Seguridad: prevención, detección e investigación de accesos no autorizados, fraude o uso indebido; conservación de registros de auditoría.
8. Cumplimiento de obligaciones legales y atención de requerimientos de autoridad competente.

Finalidades secundarias (no necesarias)

El titular puede oponerse a ellas sin que se afecte la prestación del servicio.

1. Comunicaciones informativas sobre nuevas funcionalidades, mejoras y novedades.
2. Encuestas de satisfacción y calidad del servicio.
3. Invitación a programas piloto, capacitaciones y eventos.

Mecanismo para manifestar la negativa: correo a privacidad@geminislabs.com con el asunto «Negativa finalidades secundarias», dentro de los cinco (5) días hábiles siguientes a la puesta a disposición de este Aviso, indicando nombre completo y correo de la cuenta. También puede manifestarse en cualquier momento posterior, y mediante el enlace de baja incluido en cada comunicación. La negativa no será motivo para negar el servicio.

Información agregada y disociada

Geminis Labs elabora estadísticas e indicadores para operar y mejorar sus servicios. Cuando dicha información pierde de forma irreversible la vinculación con una persona física identificable, deja de constituir dato personal y queda fuera del ámbito de este Aviso. Geminis Labs no comercializa datos personales.

Geminis Labs no utiliza los datos personales de sus usuarios ni de sus clientes para entrenar modelos de inteligencia artificial, propios o de terceros.

Consentimiento

El consentimiento puede ser expreso —verbal, por escrito, por medios electrónicos u ópticos, mediante signos inequívocos o cualquier otra tecnología— o tácito, cuando habiéndose puesto a disposición del titular el aviso de privacidad, este no manifiesta oposición.

• Respecto de las finalidades primarias, el tratamiento es necesario para el cumplimiento de la relación jurídica, por lo que se ubica en los supuestos de excepción legalmente previstos.
• Respecto de las finalidades secundarias, el consentimiento se entiende otorgado tácitamente si no se manifiesta la negativa.
• Respecto de los datos sensibles tratados en Signum, se requiere consentimiento expreso, recabado de forma separada, informada y versionada conforme al Anexo B.

Transferencias y remisiones de datos

Remisiones a encargados (no requieren consentimiento)

Geminis Labs se apoya en proveedores que tratan datos personales por su cuenta y bajo sus instrucciones, con instrumentos contractuales que les imponen las mismas obligaciones de protección que corresponden al responsable.

La totalidad del tratamiento se realiza en servidores ubicados en los Estados Unidos de América. Geminis Labs no realiza actualmente tratamiento en servidores ubicados en territorio nacional. La atención de soporte se realiza por correo electrónico, sin plataformas de ticketing de terceros.

La transmisión de los datos entre los dispositivos instalados en las unidades y las plataformas se realiza a través de redes de telecomunicaciones móviles, gestionadas mediante el proveedor de conectividad señalado y los operadores de red que este agrega. Dichos operadores intervienen como transportistas de la comunicación y no acceden a la información tratada en la Plataforma.

Transferencias a terceros

Geminis Labs no vende, renta ni comercializa datos personales. Únicamente podrán realizarse las siguientes transferencias, que no requieren consentimiento por actualizarse los supuestos de excepción legalmente previstos:

• A autoridades administrativas o judiciales competentes, cuando resulte legalmente exigible o necesario para el reconocimiento, ejercicio o defensa de un derecho en un proceso.
• A sociedades del mismo grupo corporativo que operen bajo los mismos procesos y políticas internas de privacidad.
• A terceros adquirentes, en supuestos de fusión, escisión, adquisición o reestructuración corporativa.
• A asesores legales, contables o auditores externos obligados a confidencialidad, cuando sea necesario para cumplir obligaciones legales.

Cualquier transferencia distinta será sometida al consentimiento previo y expreso del titular.

Datos de pago

Stripe, Inc. trata los datos de pago por cuenta de Geminis Labs y, además, como responsable independiente para el cumplimiento de sus propias obligaciones legales, fiscales y de prevención del fraude. Geminis Labs no almacena el número completo de la tarjeta ni el código de seguridad (CVV/CVC): únicamente conserva una referencia tokenizada del instrumento de pago, los cuatro últimos dígitos, la marca y la fecha de vencimiento.

Derechos ARCO

El titular puede acceder a sus datos y conocer los detalles de su tratamiento; rectificarlos cuando sean inexactos o incompletos; cancelarlos cuando considere que no se tratan conforme a los principios y deberes legales; y oponerse a su tratamiento para fines específicos.

Procedimiento

Mediante correo a privacidad@geminislabs.com, con el asunto «Solicitud de Derechos ARCO», acompañando:

1. Nombre completo del titular y medio para comunicarle la respuesta.
2. Identificación oficial vigente o, en su caso, documento que acredite la representación legal.
3. Descripción clara y precisa de los datos y del derecho que se pretende ejercer.
4. Cualquier elemento que facilite la localización de los datos.
5. Tratándose de rectificación, las modificaciones solicitadas y la documentación que las sustente.

Plazos

El ejercicio es gratuito; solo podrán cobrarse gastos justificados de envío o el costo de reproducción. Geminis Labs mantiene un registro de las solicitudes recibidas y de su respuesta, con el fin de acreditar el cumplimiento de los plazos.

Improcedencia

El ejercicio podrá resultar improcedente cuando el solicitante no sea el titular o su representante acreditado; cuando los datos no obren en las bases de Geminis Labs; cuando se lesionen derechos de un tercero; cuando exista impedimento legal o resolución de autoridad; o cuando la rectificación, cancelación u oposición se hayan realizado previamente.

Revocación del consentimiento y límites al uso

El titular puede revocar en cualquier momento su consentimiento, por la misma vía y con los mismos requisitos del ejercicio de derechos ARCO, indicando como asunto «Revocación del consentimiento».

La revocación no podrá tener efecto inmediato ni absoluto cuando el tratamiento sea necesario para cumplir obligaciones legales —en particular fiscales y de conservación de registros— o para la defensa de intereses en un procedimiento; en tales casos los datos se conservarán bloqueados durante los plazos de prescripción aplicables. La revocación respecto de las finalidades primarias implica la imposibilidad de continuar prestando el servicio.

Adicionalmente, el titular dispone de los siguientes medios para limitar el uso o divulgación de sus datos:

• Configuración de la cuenta: actualizar datos de perfil y preferencias de notificación.
• Desactivar las notificaciones push desde los ajustes del sistema operativo del dispositivo.
• Baja de comunicaciones mediante el enlace de cancelación incluido en cada correo informativo.
• Gestión del almacenamiento del navegador, conforme a la Política de Cookies.
• Solicitud al Departamento de Datos Personales, en los términos del apartado anterior.

Geminis Labs no participa en listados de exclusión publicitaria de terceros, al no realizar tratamientos con fines de mercadotecnia distintos de los descritos.

Medidas de seguridad

Geminis Labs ha implementado medidas administrativas, técnicas y físicas para proteger los datos personales contra daño, pérdida, alteración, destrucción o uso, acceso o tratamiento no autorizados:

• Cifrado de las comunicaciones mediante protocolo TLS.
• Autenticación basada en tokens con vigencia limitada, renovación controlada y expiración automática de la sesión.
• Control de acceso basado en roles y segmentación por espacio de trabajo, de modo que cada Cliente accede exclusivamente a su propia información.
• Autenticación delegada en un proveedor especializado de gestión de identidades (Amazon Cognito): Geminis Labs no administra, no conoce ni almacena las contraseñas de los usuarios.
• Direcciones IP resguardadas mediante huella irreversible en los servicios que las registran.
• Registros de auditoría de accesos y operaciones relevantes.
• Análisis automatizado de vulnerabilidades en dependencias y de secretos expuestos en el ciclo de integración continua.
• Modelado de amenazas documentado y revisado periódicamente.
• [Cifrado de la información en reposo y política de respaldos: CONFIRMAR ALCANCE CON INFRAESTRUCTURA ANTES DE PUBLICAR]
• Confidencialidad contractual del personal y de los proveedores con acceso a la información.

Ningún sistema es completamente invulnerable. En caso de vulneración de seguridad que afecte de forma significativa los derechos patrimoniales o morales de los titulares, Geminis Labs la informará sin dilación a los afectados y, en su caso, al Cliente responsable.

Plazos de conservación

Concluido el plazo aplicable, los datos serán bloqueados durante el periodo de prescripción de las acciones que pudieran derivarse del tratamiento y, posteriormente, suprimidos de forma segura. Los plazos instruidos por el Cliente en su contrato prevalecen respecto de los datos tratados por cuenta de este.

Tratamiento por cuenta del Cliente

Respecto de la información que el Cliente incorpora o genera en las plataformas, el Cliente actúa como responsable y Geminis Labs como encargado.

Obligaciones de Geminis Labs como encargado

• Tratar los datos únicamente conforme a las instrucciones del Cliente.
• Abstenerse de tratarlos para finalidades distintas de las instruidas.
• Implementar las medidas de seguridad descritas en este Aviso.
• Guardar confidencialidad, obligación que subsiste tras concluida la relación.
• Suprimir los datos al cumplirse la relación jurídica o por instrucción del Cliente, salvo disposición legal en contrario.
• Abstenerse de transferirlos, salvo instrucción expresa, requerimiento de autoridad o subcontratación autorizada.

Obligaciones del Cliente

El Cliente es el único obligado frente a los titulares de dichos datos —en particular, frente a conductores y demás personas cuya ubicación pueda inferirse—. Le corresponde:

1. Emitir y poner a disposición su propio aviso de privacidad ante empleados, conductores y terceros afectados, informando expresamente sobre el monitoreo, su finalidad, alcance y temporalidad.
2. Recabar el consentimiento legalmente exigible. Tratándose de personas trabajadoras, se recomienda enfáticamente obtenerlo por escrito y reflejar la medida en el contrato individual, el reglamento interior de trabajo o la política interna correspondiente.
3. Limitar el monitoreo a la jornada laboral y a unidades de su propiedad o legítima posesión, conforme a los principios de licitud, finalidad, proporcionalidad y minimización.
4. Atender las solicitudes de derechos ARCO de los titulares, con la asistencia técnica razonable de Geminis Labs.
5. Administrar responsablemente los permisos concedidos a los usuarios de su organización y los mecanismos de compartición habilitados.

El detalle se formaliza en el contrato de prestación de servicios y en el convenio de tratamiento de datos personales suscritos entre Geminis Labs y el Cliente, que prevalecen sobre este Aviso respecto de dicho tratamiento.

Cookies y tecnologías de almacenamiento

Las plataformas utilizan tecnologías de almacenamiento local de carácter técnico y necesario para la autenticación y el mantenimiento de la sesión, así como para conservar preferencias de personalización. No se emplean cookies analíticas, publicitarias ni de perfilamiento, ni herramientas de analítica web de terceros.

El detalle se describe en la Política de Cookies, disponible en Política de Cookies, documento que forma parte integrante de este Aviso.

Menores de edad

La contratación de los servicios está reservada a personas mayores de edad con capacidad jurídica para obligarse, tanto en el ámbito empresarial como en el personal o familiar. No se recaban de forma consciente datos de menores de edad, salvo en el supuesto expresamente previsto en el Anexo B para las fichas de Signum creadas por quien ejerce la patria potestad o la tutela. Detectado un registro indebido, se procederá a su supresión inmediata.

Cuando un vehículo monitoreado en el ámbito familiar sea conducido por una persona menor de edad, corresponde a quien ejerce la patria potestad o la tutela informarle de la existencia del dispositivo de localización.

Modificaciones a este Aviso

Geminis Labs podrá modificar el presente Aviso por nuevos requerimientos legales, necesidades de los productos, cambios en sus prácticas de privacidad o en su modelo de negocio.

Medio de comunicación de los cambios: publicación de la versión vigente en esta misma dirección, con la fecha de última actualización en el encabezado. Cuando los cambios sean sustanciales o afecten a las finalidades del tratamiento, se comunicarán además mediante aviso destacado dentro de las plataformas y correo electrónico a la dirección registrada. Tratándose de datos sensibles, se recabará nuevamente el consentimiento.

Autoridad competente

Si el titular considera que su derecho a la protección de datos personales ha sido lesionado, podrá interponer la denuncia o el procedimiento de protección de derechos que corresponda ante la Secretaría Anticorrupción y Buen Gobierno, autoridad que asumió las atribuciones del extinto Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI).

El plazo para interponer el procedimiento de protección de derechos es de 15 días hábiles contados a partir del día siguiente a aquel en que se comunique la respuesta, o a partir de que concluya el plazo para responder sin que Geminis Labs lo haya hecho.

Anexo A — NEXUS

Monitoreo y gestión de flotas vehiculares.

NEXUS permite visualizar la ubicación de las unidades del Cliente sobre cartografía digital, consultar su histórico, definir zonas geográficas, generar alertas y elaborar reportes. Respecto de los datos de las unidades y de sus conductores, el Cliente es responsable y Geminis Labs encargado.

Datos tratados por cuenta del Cliente

Compartición de ubicación mediante enlace temporal

NEXUS permite generar un enlace temporal para compartir con terceros la ubicación de una unidad. La decisión de generarlo y difundirlo corresponde en exclusiva al usuario que lo activa, quien asume la responsabilidad de contar con base legítima y de dirigirlo únicamente a destinatarios autorizados. Cualquier persona que disponga del enlace puede consultar la información mientras esté vigente, sin autenticarse. Geminis Labs se limita a habilitar el mecanismo y a aplicar las medidas de caducidad y revocación.

Aplicaciones móviles

Las aplicaciones de Android e iOS tratan, además, el token de notificaciones push del dispositivo para entregar alertas operativas, a través de Google Firebase Cloud Messaging y, en iOS, del servicio de notificaciones de Apple. El titular puede desactivarlas en cualquier momento desde los ajustes del sistema operativo, sin que ello impida el uso de la aplicación.

Anexo B — Signum

Identidades accesibles mediante código QR · Datos personales sensibles.

Signum trata datos personales sensibles de salud y los publica en una página accesible sin autenticación. Es la función del producto. Por su naturaleza, Signum cuenta con un juego documental propio —aviso de privacidad, términos, aviso médico y aviso de cookies— accesible desde la propia plataforma, que desarrolla lo aquí resumido.

Calidad de Geminis Labs: responsable. A diferencia de NEXUS, en Signum el titular contrata directamente y decide por sí mismo qué publicar.

Datos sensibles tratados

Tipo de sangre, alergias, padecimientos relevantes, medicamentos, voluntad de donación de órganos y seguro médico, además de observaciones en campo libre. Todos los campos son opcionales. Se tratan igualmente nombre completo, fecha de nacimiento, dirección, ciudad y contactos de emergencia.

Consentimiento expreso

• Se recaba al publicar la ficha, no al registrarse.
• Se otorga mediante casilla que nunca viene marcada de antemano.
• Se acompaña de una vista previa obligatoria de cómo quedará la ficha ante un desconocido.
• Queda registrado con la versión exacta del documento aceptado, momento y huella irreversible de la IP.
• Se solicita de nuevo al publicarse una versión nueva del aviso.

El titular puede revocarlo en cualquier momento despublicando la ficha o revocando el token, lo que invalida de inmediato los códigos QR ya impresos.

Fichas de terceros y de personas menores de edad

Quien crea una ficha para otra persona declara ejercer la patria potestad o la tutela, o contar con su autorización, y asume la obligación de informarle. Tratándose de personas menores de edad, el consentimiento debe otorgarlo quien ejerza la patria potestad o la tutela.

Advertencias específicas

• Signum no es un expediente clínico, ni un dispositivo médico, ni un servicio de emergencias, y no sustituye la atención médica profesional.
• No aplica la normativa estadounidense HIPAA: Geminis Labs no es covered entity ni business associate, y tiene prohibido insinuar cumplimiento alguno de dicha normativa.
• Durante la prueba cerrada el servicio se ofrece sin costo y exclusivamente a titulares ubicados en México.
• La página pública no instala cookies, no ejecuta JavaScript y no carga recursos de terceros: nadie observa quién consulta una ficha.

Anexo C — Orion

API de localización de celdas móviles.

Orion es un servicio de infraestructura entre sistemas: dado un identificador de celda de red móvil (MCC, MNC, LAC, CID), devuelve las coordenadas geográficas asociadas. Se consume mediante API con credencial de acceso.

Orion no recaba datos personales de personas físicas identificadas o identificables como parte de su función: opera sobre identificadores de infraestructura de red, no sobre personas. Geminis Labs trata, en calidad de responsable, únicamente:

• Los datos de la cuenta del Cliente que contrata el servicio.
• Las credenciales de acceso a la API y los registros de uso —fecha, volumen de consultas y límites aplicados—, con fines de facturación, control de cuotas, seguridad y prevención del abuso.

Advertencia: las consultas que el Cliente formula pueden formar parte, en sus propios sistemas, de un tratamiento de datos personales. En tal caso el Cliente es el responsable de dicho tratamiento y le corresponde contar con la base legítima correspondiente.