Qué datos usamos, para qué y quién los ve

# Aviso de Privacidad Integral — Xolo

Versión 2026.4. Vigente desde 2026-11-07.
Enlace permanente: https://xologuardian.lat/privacidad/2026.4

## Responsable y contacto

Clyro Technologies S.A.S., con domicilio en General Porfirio Díaz 314, colonia Casco Urbano, C.P. 66230, San Pedro Garza García, Nuevo León, México, es responsable de los datos de cuentas, atención y servicios familiares que determina. Contacto para datos personales: [email protected].

Cuando una institución determina el tratamiento y Clyro actúa sólo bajo sus instrucciones, las responsabilidades y el canal de derechos deben precisarse en el acuerdo institucional. En el caso de autoridades públicas se aplica también el régimen de datos del sector público que corresponda. La contratación por sí sola no acredita la representación de un menor.

## Datos tratados

Del adulto: nombre, correo, verificaciones, sesiones, autorizaciones y constancias de aceptación. Si elige Google, se utiliza la identidad básica, nombre y correo; no se solicitan contactos, calendarios, archivos de Drive ni acceso a Gmail. Se trata teléfono sólo cuando lo aporta para atención o contacto institucional.

Del perfil infantil: nombre o apodo cifrado, año de nacimiento, avatar, relaciones y autorizaciones, dispositivos vinculados, aprendizaje, logros y eventos de riesgo. No se solicitan correo, contraseña ni fecha completa de nacimiento para el perfil infantil.

De los dispositivos y protección: identificadores y credenciales de vinculación, tipo de cliente, señales de conexión, dominios y eventos de riesgo, huella SHA-256, tipo de archivo y resultados de revisión. Cuando se autoriza una carga, se trata temporalmente el contenido del archivo en cuarentena privada.

Para atención y contratación privada: datos de la institución, contacto, solicitud y, cuando proceda contratar, información fiscal por un canal separado. Se tratan IP y eventos técnicos necesarios para prevenir abuso, verificar solicitudes y mantener la seguridad.

Xolo no solicita acceso a chats ni conversaciones privadas, biométricos o ubicación precisa del menor. Evita incluir información íntima, credenciales o datos sensibles innecesarios en archivos o mensajes de atención; solicita un canal seguro si tu caso lo necesita.

## Finalidades y decisiones separadas

Se utilizan los datos para autenticar y administrar el acceso privado, comprobar permisos y autorizaciones, prestar la protección y aprendizaje habilitados, mostrar al adulto los eventos de su ámbito, enviar los avisos autorizados y atender soporte, seguridad y derechos de privacidad.

El perfil, la protección, los reportes, la participación escolar y las contribuciones globales tienen autorizaciones y controles separados. Crear una cuenta o aceptar condiciones no activa todas esas finalidades. No se destinan datos a venta, publicidad dirigida o perfiles publicitarios. Esta etapa no autoriza cargos de autoservicio.

Los informes institucionales y de impacto deben respetar los permisos y umbrales de agregación; no se publican nombres, correos ni expedientes individuales de menores como métricas de impacto. Una estadística agregada no se utiliza para ampliar permisos a datos individuales.

## Prestadores y tratamiento internacional

Se utiliza Google Cloud para backend, base y almacenamiento en Estados Unidos; Vercel para el sitio y portal; Resend para mensajes transaccionales; Google Workspace para atención; y Cloudflare R2 para copias de respaldo cifradas antes de su transferencia. El acceso opcional con Google utiliza su servicio de identidad. Estos prestadores pueden tratar datos fuera de México. No se ofrece residencia exclusiva en México.

Los prestadores reciben los datos necesarios para esos servicios. Las autoridades y otros terceros sólo podrán recibir datos cuando exista fundamento aplicable o la autorización que corresponda. No se comunica información infantil a una escuela, gobierno o tercero sólo por coincidir un correo o por aceptar este aviso.

## Conservación y cierre

Los datos de cuenta y perfiles se conservan mientras sean necesarios para el servicio autorizado. Si solicitas cancelación o cierre, se determina qué datos pueden suprimirse y cuáles deben bloquearse por una obligación o responsabilidad identificada. La respuesta indicará la razón y el plazo de conservación aplicable; no se conservará el contenido de archivos en cuarentena para justificar registros de cuenta.

La cuarentena tiene un límite operativo de 24 horas; los resultados, huellas y eventos son registros separados del archivo. Los respaldos lógicos de base y configuración no incluyen el contenido de la cuarentena. Los respaldos remotos de esta etapa tienen una regla de caducidad de 30 días; la depuración del proveedor es asíncrona. La clave de descifrado no se almacena en ese bucket. Las copias y su depuración deben respetar las cancelaciones y no habilitar otra vez tratamientos retirados al restaurar.

Las constancias mínimas de autorización, aceptación, seguridad y atención pueden bloquearse cuando sean necesarias para acreditar una obligación o resolver una controversia. El bloqueo no permite continuar la finalidad retirada ni usar esos datos para publicidad o nuevos perfiles.

## Derechos, representación y revocación

Puedes solicitar acceso, rectificación, cancelación u oposición y revocar una autorización escribiendo a [email protected] o usando los controles disponibles en tu cuenta. Indica el derecho, los datos y un medio de respuesta. Para entregar información o actuar sobre datos infantiles se comprobará tu identidad y, cuando corresponda, la representación; no envíes identificaciones por un canal no acordado.

La determinación ARCO se comunica en un máximo de 20 días hábiles; si procede, se ejecuta dentro de los 15 días hábiles siguientes a la respuesta. Sólo se ampliarán los plazos en los casos justificados permitidos y se informará la ampliación. La revocación opera hacia adelante; se explicarán sus efectos y las conservaciones justificadas.

Puedes retirar autorizaciones desde Privacidad y consentimientos y gestionar la participación escolar por separado. Ejercer derechos, retirar una autorización o cancelar un servicio no exige aceptar una versión nueva de las condiciones.

## Seguridad e incidentes

El apodo infantil se cifra en reposo con AES-256-GCM y los datos de organizaciones se aíslan por permisos y políticas de base. Se utilizan sesiones y credenciales de dispositivo revocables, registros de acceso administrativo y conexiones cifradas con los prestadores configurados. Son medidas de protección y no una garantía de riesgo cero.

Si una vulneración afecta significativamente tus derechos, Clyro informará de forma inmediata la información disponible para que puedas protegerte y comunicará los avances pertinentes. Puedes reportar incidentes a [email protected]; ese correo no sustituye los servicios de emergencia.

## Cambios y versión consultable

Este aviso se identifica por fecha, versión y huella del contenido. Las versiones publicadas pueden consultarse en sus enlaces permanentes. Los cambios se comunican en el sitio o en la cuenta y, cuando correspondan finalidades o autorizaciones nuevas, se solicita una decisión separada. Reconocer la lectura del aviso no es una autorización general de datos de menores.