Política de Privacidad

SOLUCIONES ORIENTADAS AL BIENESTAR DE LAS PERSONAS SOLU S.A.P.I. de C.V. (en adelante, "Makatea", "nosotros" o el "Responsable"), persona moral mexicana con RFC SOB240719U87 y domicilio en Avenida del Valle 162, Colonia Ciudad del Valle, C.P. 63157, Tepic, Nayarit, México, opera la plataforma de software como servicio (SaaS) Makatea para la comunicación, cobranza y gestión de cartera.

Esta Política aplica a las cinco jurisdicciones en las que Makatea ofrece sus servicios: México (MX), Colombia (CO), Brasil (BR), Ecuador (EC) y Perú (PE). Las secciones específicas por país (Sección 12) complementan y, en lo que corresponda, prevalecen para los titulares de cada país.

1. Identidad y domicilio del Responsable

• Razón social: SOLUCIONES ORIENTADAS AL BIENESTAR DE LAS PERSONAS SOLU S.A.P.I. de C.V.
• Identificación fiscal (RFC): SOB240719U87 (persona moral mexicana, constituida el 19 de julio de 2024)
• Domicilio: Avenida del Valle 162, Colonia Ciudad del Valle, C.P. 63157, Tepic, Nayarit, México
• Único establecimiento: México
• Correo de contacto en materia de privacidad: diego@makatea.ai
• Teléfono de contacto: +52 81 3104 9807

Contacto único de privacidad / Encargado de Protección de Datos (DPO / Encarregado en Brasil): José Rodrigo Barrios Villa — diego@makatea.ai. Este es el canal único para todas las jurisdicciones y para el ejercicio de los derechos de los titulares.

2. Doble rol de Makatea: Responsable vs. Encargado/Operador

Makatea trata datos personales bajo dos roles distintos, y es fundamental distinguirlos.

2.1. Datos de la CUENTA del cliente-usuario — Makatea actúa como RESPONSABLE

Respecto de los datos de las personas que crean y administran una cuenta en Makatea (los usuarios de las organizaciones cliente: titulares de cuenta, administradores y miembros), Makatea actúa como Responsable del tratamiento (controlador, en términos de la LGPD brasileña).

2.2. Datos de la CARTERA de terceros — Makatea actúa como ENCARGADO / OPERADOR

Respecto de los datos personales de los clientes, deudores o contactos finales que la organización cliente importa, carga y gestiona en la plataforma (la "cartera"), Makatea actúa como Encargado del tratamiento (operador / data processor), por cuenta y según las instrucciones de la organización cliente, que es el Responsable de esos datos.

Esto significa que:

• La organización cliente determina las finalidades y los medios del tratamiento de los datos de su cartera, es responsable de contar con la base legal/legitimación y el consentimiento (cuando aplique) para tratar esos datos y para cargarlos en Makatea, y es responsable de atender los derechos de sus propios clientes/deudores.
• Makatea trata esos datos únicamente para prestar el servicio contratado (gestión de cartera, comunicación, cobranza, conciliación de pagos), siguiendo las instrucciones de la organización cliente, y no los utiliza para finalidades propias distintas. La única excepción es la generación de reportes/insights solicitados por la propia organización, para lo cual se procesan datos agregados/derivados de la cartera (ver Secciones 4.1, 6 y 10).
• La relación Responsable–Encargado se rige por un acuerdo de tratamiento de datos (DPA) entre Makatea y la organización cliente, que delimita el rol de Encargado/Operador e incluye cláusulas de seguridad, confidencialidad, atención de derechos y subencargo. El DPA se acepta electrónicamente al aceptar los Términos de Servicio (click-wrap) y queda incorporado por referencia; no requiere firma autógrafa ni un acto de firma separado. La organización cliente (Responsable) acepta el DPA al registrarse y contratar el servicio. El texto del DPA está disponible públicamente en https://makatea.ai/dpa.

Si usted es un cliente/deudor final cuyos datos fueron cargados en Makatea por una empresa con la que tiene una relación, y desea ejercer sus derechos, debe dirigirse en primer lugar a esa empresa (el Responsable). Makatea trasladará y atenderá las solicitudes en su calidad de Encargado, conforme a las instrucciones del Responsable.

3. Datos personales que tratamos

3.1. Datos de la cuenta del cliente-usuario (Makatea = Responsable)

Recabados directamente del usuario al momento del registro y uso de la plataforma:

• Nombre completo
• Correo electrónico (identificador de cuenta; usado para inicio de sesión, recuperación de contraseña y verificación de correo)
• Teléfono
• Contraseña (almacenada siempre en forma cifrada/hasheada, nunca en texto plano)
• Nombre de la organización
• Zona horaria y preferencia de idioma (es/en/pt)
• Consentimiento de marketing (opt-in: indicador de si acepta recibir comunicaciones promocionales de Makatea)
• Marca temporal (timestamp) de aceptación de términos
• Rol dentro de la organización (owner/admin/member)
• Registros de auditoría asociados a sus acciones, incluyendo dirección IP, user-agent (navegador/dispositivo) y marca temporal de las acciones realizadas en la plataforma (creación, actualización, eliminación, inicio de sesión, importación, envío, registro de pago)
• Suscripciones de notificaciones push del navegador (endpoint y claves de cifrado del navegador), cuando el usuario las activa

Carácter obligatorio o facultativo de los datos de cuenta. En el formulario de registro son obligatorios los datos necesarios para crear y operar la cuenta: nombre, correo electrónico, contraseña y nombre de la organización. Son facultativos: teléfono, preferencia de idioma/zona horaria y el consentimiento de marketing. Consecuencia de no proporcionar los datos obligatorios: no será posible crear la cuenta ni prestar el servicio.

3.2. Datos de la cartera de terceros (Makatea = Encargado / Operador)

Cargados por la organización cliente sobre sus propios clientes/deudores. Makatea los almacena y procesa por cuenta del Responsable.

Datos de identificación y contacto del tercero:

• Nombre completo (obligatorio)
• Teléfono (normalizado para mensajería; los canales operativos son WhatsApp y correo electrónico)
• Correo electrónico (opcional)
• Domicilio
• Datos de identificación nacional/fiscal, según el país, incluyendo en México CURP y RFC (almacenados en un campo de identidad)
• Referencia externa (identificador del tercero en el sistema de origen del cliente)
• Campos personalizados definidos libremente por la organización cliente
• Etiquetas y notas de texto libre

Datos financieros y de cartera del tercero:

• Saldo inicial al importar y estado inicial en el sistema de origen
• Órdenes de pago: monto, moneda, fecha de vencimiento, etiqueta de período, estado (pendiente/vencida/pagada/cancelada), monto pagado
• Créditos y cronogramas de pago: monto principal, monto total, número y frecuencia de períodos, fecha de inicio, estado
• Registro de pagos (ledger): monto, método de pago (transferencia/efectivo/QR/externo), referencia/comprobante de pago, usuario que registró el pago, marca temporal, notas y registros de anulación
• Comprobantes de pago (tipo, referencia, quién y cuándo confirmó, notas)
• Estado de la relación derivado del comportamiento de cartera (activo/en riesgo/moroso/inactivo/dado de baja), calculado por el sistema y no editable manualmente

Datos de identidad/KYC del tercero (documentos):

• Documentos de identidad y comprobante de domicilio (p. ej., identificación oficial frontal y reverso, comprobante), almacenados en un bucket de almacenamiento privado ("member-docs"), con tipo, estado (ok/faltante) y descripción

Naturaleza sensible / categorías especiales y datos financieros. Algunos de estos datos pueden constituir datos patrimoniales/financieros (saldos, deudas, comprobantes) y datos de identificación reforzada. En varias jurisdicciones estos datos requieren bases de legitimación reforzadas o consentimiento expreso. La obtención de dicho consentimiento/base legal respecto de los terceros corresponde a la organización cliente (Responsable), no a Makatea. Cuando Makatea trate datos financieros/patrimoniales como Responsable (datos de cuenta del usuario), recabará el consentimiento expreso documentado que corresponda (ver Secciones 5 y 12.1).

Datos de reconciliación bancaria del tercero:

• Referencia de pago fija del banco, CLABE de origen y alias de pagadores aprendidos a partir de transacciones, líneas de archivos bancarios (nombre del pagador, CLABE, fecha, referencia, monto)

Datos de comunicación e interacciones:

• Texto completo de los mensajes (entrantes y salientes), canal (WhatsApp y correo electrónico), dirección (entrante/saliente), clasificación de la intención del mensaje (p. ej., intención de pago, pregunta, objeción, reprogramación, exclusión/"opt-out", sin intención), metadatos de la clasificación (regla o modelo, versión, confianza, latencia), marca temporal y, en su caso, URL del archivo multimedia adjunto
• Datos de secuencias/campañas (cuándo y por qué se programó/envió cada mensaje)
• Consentimientos y exclusiones (opt-out): canales de los que el tercero se excluyó y registro de solicitudes de exclusión ("no me manden más"), conservados como parte del historial

Canales de comunicación. Los canales de envío operativos son WhatsApp (vía Evolution API) y correo electrónico (vía Resend). Makatea no opera SMS como canal de envío.

No tratamiento de datos de tarjetas. El procesamiento de pagos con tarjeta se realiza en entornos alojados por los procesadores de pago; los datos de tarjeta no son tratados ni almacenados por Makatea (ver Sección 6).

4. Finalidades del tratamiento

4.1. Datos de la cuenta (Makatea = Responsable)

• Crear, autenticar y administrar la cuenta del usuario y su organización (registro, inicio de sesión, verificación de correo, recuperación de contraseña, invitaciones)
• Prestar, mantener y dar soporte al servicio contratado
• Gestionar roles, permisos y aislamiento de datos por organización
• Mantener registros de auditoría y seguridad de la plataforma
• Generar reportes e información agregada para la organización (incluidos reportes semanales con narrativa generada por IA a partir de métricas agregadas/derivadas, no de registros individuales completos)
• Marketing (solo si el usuario otorgó el consentimiento opt-in): envío de comunicaciones promocionales de Makatea. Esta finalidad no es necesaria para la prestación del servicio y puede revocarse en cualquier momento.

4.2. Datos de la cartera de terceros (Makatea = Encargado)

Makatea trata estos datos exclusivamente por cuenta e instrucción de la organización cliente, para:

• Almacenar y organizar la cartera de la organización cliente
• Enviar comunicaciones de cobranza, recordatorios y campañas a los contactos de la organización, por los canales configurados
• Registrar y clasificar interacciones; aprender preferencias de contacto (canal preferido, mejor horario, tasa de respuesta) para optimizar la comunicación
• Registrar pagos y conciliar cartera (incluida la conciliación bancaria)
• Gestionar documentos de identidad/KYC cargados por la organización
• Mantener trazabilidad y registros de auditoría de las operaciones sobre la cartera

Makatea no utiliza los datos de la cartera para finalidades propias ni los comercializa. Únicamente procesa datos agregados/derivados para generar los reportes/insights solicitados por la propia organización (ver Sección 6 sobre el subprocesador de IA).

5. Base legal / legitimación del tratamiento

La base legal varía según el rol, el dato y la jurisdicción. La siguiente tabla es de carácter general; el desglose por operación concreta exigido por el estándar peruano se detalla a continuación.

Desglose de base legal por operación (estándar PE — Reglamento D.S. 016-2024-JUS; aplicado también como buena práctica):

Aclaración (cartera de terceros). Donde la tabla anterior indica "Instrucción del Responsable (Makatea como Encargado)", debe entenderse que ello describe el rol de encargado de Makatea, no una base/condición de licitud por sí misma. La condición de licitud aplicable a cada operación de la cartera (consentimiento, ejecución de contrato, interés legítimo u obligación legal) la determina y declara la organización cliente (Responsable) en su propio aviso de privacidad, conforme a la ley de su jurisdicción. Makatea trata esos datos únicamente siguiendo dichas instrucciones.

Las particularidades por jurisdicción (p. ej., autorización previa, expresa e informada en Colombia; hipótesis del art. 7 LGPD en Brasil; supuestos del art. 7 LOPDP en Ecuador; consentimiento libre, previo, expreso, informado e inequívoco en Perú; consentimiento expreso para datos sensibles/financieros en México) se detallan en la Sección 12.

6. Transferencias, encargados y sub-encargados (subprocesadores)

Para prestar el servicio, Makatea utiliza proveedores tecnológicos que actúan como encargados/subprocesadores. A continuación se identifican los subprocesadores y los datos que reciben. Algunos implican transferencia internacional de datos. Cada subprocesador trata los datos bajo sus propios términos y acuerdos de tratamiento/cláusulas contractuales estándar, que se aplican al usar su servicio y quedan incorporados por referencia.

La mensajería de WhatsApp se opera a través de Evolution API, alojada en infraestructura propia de Makatea (un VPS ubicado en San Francisco, California, Estados Unidos). No se trata de un tercero subencargado independiente, sino de infraestructura de la propia plataforma; el alojamiento de esos datos en Estados Unidos constituye una transferencia internacional, sujeta a las garantías descritas en esta Sección.

Naturaleza de las transferencias. Cuando Makatea aloja o procesa datos de la cartera en proveedores fuera del país del titular, lo hace en su calidad de Encargado, por cuenta del Responsable. Las transferencias internacionales a Estados Unidos se realizan bajo las cláusulas contractuales estándar incorporadas en los términos de cada proveedor, conforme a las variantes que reconoce cada jurisdicción: en Brasil, las cláusulas-padrão de la ANPD (Res. CD/ANPD 19/2024); en Colombia, el régimen de transmisión internacional (Decreto 1377, art. 25); en Ecuador, las cláusulas tipo (Res. SPDP-SPD-2026-0004-R) junto con el registro de transferencias; y en Perú, las garantías apropiadas aplicables. Estas transferencias se informan al titular mediante esta Política.

No vendemos ni alquilamos datos personales. Makatea no comercializa datos personales. Los subprocesadores listados en esta Sección 6 reciben datos únicamente para prestar el servicio, bajo acuerdos de tratamiento de datos; no se comparten datos con terceros para fines distintos a la prestación del servicio. El envío de métricas agregadas y nombre de la organización al subprocesador de IA (Anthropic, EE. UU.) para generar reportes constituye un tratamiento por un Encargado en el exterior, sujeto a las garantías de transferencia internacional aquí descritas.

No se realiza exportación de datos personales a servicios externos de analítica o CRM adicionales distintos de los subprocesadores enumerados en esta Sección 6.

7. Conservación de los datos

• Las tablas principales emplean un patrón de borrado lógico (soft-delete) preferente sobre el borrado físico: los miembros se marcan como "dados de baja" (state='churned'), las órdenes se marcan como "canceladas" (status='cancelled'); las claves foráneas usan ON DELETE RESTRICT (no eliminación en cascada).
• Los registros de interacciones, pagos (ledger) y auditoría son de tipo "append-only" a nivel de aplicación (solo se añaden; no se actualizan ni eliminan en la operación normal): conservan el historial completo, incluidas las anulaciones registradas como nuevos eventos.
• Los registros de auditoría conservan instantáneas (snapshots) de los datos antes de su eliminación (p. ej., nombre, teléfono, monto, estado).

Criterios y plazos de retención/eliminación por categoría de dato:

Al cancelar o eliminar una cuenta de organización, los datos personales se eliminan o anonimizan salvo cuando exista una obligación legal de conservación (p. ej., fiscal/contable), en cuyo caso se conservan únicamente por el plazo y para la finalidad que dicha obligación exige.

Respaldos (backups). Los respaldos son gestionados por la infraestructura de Supabase (AWS, EE. UU.) y están sujetos a sus propios plazos de retención y a las garantías de cifrado en reposo descritas en la Sección 8.

Respecto de la cartera de terceros, los plazos de conservación los determina la organización cliente (Responsable), conforme a sus obligaciones legales (p. ej., contables/fiscales) y a las instrucciones que imparta a Makatea.

8. Medidas de seguridad

Makatea aplica medidas técnicas y administrativas que se describen a continuación con transparencia respecto de su alcance:

• Cifrado en tránsito (HTTPS/TLS) en todos los endpoints y llamadas de red; los certificados TLS son gestionados por la infraestructura alojada.
• Aislamiento de datos por organización mediante seguridad a nivel de fila (Row-Level Security, RLS) en todas las tablas principales, diseñado para limitar el acceso cruzado entre organizaciones: cada organización accede únicamente a sus propios datos; las vistas aplican RLS (security_invoker). La eficacia de este aislamiento depende de la correcta configuración de las funciones con privilegios (SECURITY DEFINER) y de su revisión continua.
• Almacenamiento privado para documentos KYC, multimedia y archivos de conciliación (buckets no públicos), con acceso restringido por RLS a la organización propietaria.
• Protección de secretos de integración: las claves de integración (API keys de WhatsApp, clave privada de Conekta, etc.) están protegidas a nivel de base de datos (REVOKE de SELECT a usuarios autenticados); los secretos de sistema se almacenan cifrados en el Vault del proveedor de base de datos. El Vault y el REVOKE protegen únicamente los secretos de integración (API keys y claves de sistema), no los datos personales de cuenta ni de cartera. Estos secretos no son accesibles por los usuarios finales autenticados de la organización; el acceso por parte de cuentas de servicio (service_role), personal autorizado de Makatea o el proveedor de infraestructura existe y está sujeto a las medidas administrativas descritas. El grueso de los datos personales (cuenta y cartera) reside en la base de datos y depende del cifrado en reposo de la infraestructura del proveedor (ver abajo).
• Registro de auditoría append-only a nivel de aplicación (solo se añaden eventos; no se actualizan ni eliminan mediante la operación normal de la plataforma) que captura usuario, acción, recurso, valores anteriores/posteriores, dirección IP, user-agent y marca temporal. No es un registro criptográficamente inmutable.
• Funciones transaccionales atómicas para operaciones de pago, protegidas contra condiciones de carrera.
• Confidencialidad del personal: el personal autorizado de Makatea está sujeto a acuerdos de confidencialidad respecto de los datos personales tratados.

Cifrado en reposo. Los datos en reposo están cifrados en los proveedores cloud utilizados: Supabase/AWS (AES-256), Stripe y Conekta (PCI-DSS) y Resend (sobre AWS). No se implementa cifrado de extremo a extremo (E2EE) ni cifrado adicional a nivel de aplicación sobre los datos de usuario/cartera, que dependen del cifrado en reposo del proveedor.

Notificación de vulneraciones de seguridad. En caso de una vulneración de seguridad que afecte datos personales, Makatea, en su calidad de Responsable o Encargado según corresponda, notificará al Responsable, a los titulares afectados y/o a la autoridad de control conforme a la ley aplicable (art. 19 LFPDPPP MX; art. 48 LGPD BR; obligaciones EC; 48 horas ante la APDP en Perú — ver Sección 12). La notificación incluirá la descripción del incidente, los datos afectados, las medidas adoptadas y las recomendaciones al titular.

9. Derechos de los titulares y cómo ejercerlos

9.1. Si usted es usuario de la cuenta (Makatea = Responsable)

Puede ejercer sus derechos directamente ante Makatea, según su jurisdicción (ver Sección 12 para el catálogo completo y los plazos por país):

• Acceso a sus datos (todas las jurisdicciones)
• Rectificación / actualización de datos inexactos o incompletos (todas las jurisdicciones)
• Cancelación / supresión / eliminación de sus datos, con bloqueo previo donde la ley lo prevé (todas las jurisdicciones)
• Oposición al tratamiento, incluida la oposición al tratamiento automatizado / elaboración de perfiles (en México, embebida en el derecho de oposición del art. 26-II LFPDPPP) (todas las jurisdicciones)
• Revocación del consentimiento (p. ej., marketing) en cualquier momento, sin efecto retroactivo (todas las jurisdicciones)
• Limitación / suspensión del tratamiento — derecho propio de BR, EC y PE; no es un derecho autónomo en México bajo la LFPDPPP (en MX se canaliza por la cancelación-con-bloqueo del art. 24 y la oposición del art. 26)
• Portabilidad — derecho propio de BR (art. 18 LGPD), EC (art. 20 LOPDP) y PE; no es un derecho autónomo en México bajo la LFPDPPP
• No ser objeto de decisiones automatizadas con efectos jurídicos significativos — en MX se ejerce vía la oposición del art. 26-II; en BR/EC como derecho expreso (art. 20 LGPD / art. 22 LOPDP)

Para México, los derechos ejercitables ante Makatea son los derechos ARCO (acceso art. 22, rectificación art. 23, cancelación-con-bloqueo art. 24, oposición art. 26 —incluida la oposición al tratamiento automatizado del art. 26-II—) y la revocación del consentimiento (art. 7). La portabilidad y la limitación/suspensión no son derechos autónomos de la LFPDPPP mexicana; corresponden a BR/EC/PE (ver Sección 12).

Borrado y exportación a solicitud. A solicitud por el canal único, Makatea ofrece: (a) la eliminación o anonimización efectiva de sus datos personales (incluido, donde proceda, el tratamiento de registros append-only y respaldos), salvo cuando exista obligación legal de conservación; y (b) la exportación de sus datos en formato estructurado y de lectura mecánica (acceso/portabilidad). Estas solicitudes se atienden mediante el canal único de privacidad.

Medios para ejercerlos: envíe su solicitud a diego@makatea.ai, identificándose e indicando el derecho que desea ejercer. El ejercicio de estos derechos es gratuito. Los plazos de respuesta se indican por país en la Sección 12.

Funciones disponibles en la plataforma:

• Exportación a CSV (UTF-8): la interfaz permite exportar reportes, conciliación y plantillas en formato agregado. Esta función es agregada y a nivel de organización; no equivale a la exportación de acceso/portabilidad por titular individual, que se atiende a solicitud por el canal único (ver arriba).
• Rectificación: edición de datos de miembros y órdenes desde la interfaz.
• Cancelación: baja de miembros (state='churned') y cancelación de órdenes (status='cancelled'); la eliminación/anonimización efectiva se atiende a solicitud por el canal único.

9.2. Si usted es un cliente/deudor de la cartera (Makatea = Encargado)

Sus derechos se ejercen ante la organización (empresa) que cargó sus datos en Makatea, que es el Responsable. Si dirige su solicitud a Makatea, la trasladaremos al Responsable y la atenderemos conforme a sus instrucciones y a la ley aplicable, en nuestra calidad de Encargado.

Para solicitar la exclusión de comunicaciones (opt-out): puede responder a cualquier mensaje indicando que no desea recibir más comunicaciones; el sistema registra dicha exclusión y los canales de los que se ha excluido.

10. Decisiones automatizadas y elaboración de perfiles

La plataforma clasifica automáticamente las interacciones (p. ej., intención de pago, objeción, exclusión) mediante reglas o modelos, y deriva el estado de la relación del tercero (activo/en riesgo/moroso/inactivo/dado de baja) a partir del comportamiento de cartera; asimismo aprende preferencias de contacto (canal, mejor horario, tasa de respuesta). Estas funciones apoyan la operación de cobranza/comunicación de la organización cliente.

Lógica aplicada y consecuencias:

• La clasificación de interacciones asigna una etiqueta de intención al mensaje, mediante reglas o un modelo, con un valor de confianza; sirve para priorizar y orientar la respuesta del operador.
• El estado de la relación se deriva automáticamente del comportamiento de pago/contacto y orienta la estrategia de comunicación de la organización.
• El aprendizaje de preferencias de contacto ajusta canal y horario de envío para optimizar la comunicación.

Derecho a revisión / no sujeción a decisiones automatizadas. Estas funciones están concebidas como apoyo a la decisión del operador humano de la organización cliente, no como decisiones plenamente automatizadas que produzcan por sí solas efectos jurídicos o significativos sobre el titular. En cualquier caso, el titular puede solicitar la intervención humana y la revisión de tales clasificaciones ante el Responsable.

11. Comunicación de cambios a esta Política

Makatea podrá modificar esta Política de Privacidad. Cualquier modificación se comunicará, con antelación a su entrada en vigor, mediante: (i) publicación de la versión actualizada en la plataforma/sitio web con la fecha de última actualización destacada, y (ii) notificación al titular de la cuenta por correo electrónico registrado. Para cambios sustanciales que requieran nuevo consentimiento, este se solicitará antes de aplicar el tratamiento correspondiente. El uso continuado del servicio tras la entrada en vigor de los cambios implica su conocimiento, sin perjuicio de los derechos del titular.

12. Secciones específicas por jurisdicción

12.1. México (MX) — LFPDPPP

• Marco: Ley Federal de Protección de Datos Personales en Posesión de los Particulares (vigente desde el 21 de marzo de 2025; Reglamento de 2011 supletorio). Autoridad: Secretaría Anticorrupción y Buen Gobierno (SABG).

• Carácter de este aviso: integral.

• Aviso de privacidad simplificado (art. 16): en el punto de recolección (formulario de registro y cualquier punto de captura) se muestra el siguiente texto:

  Aviso de Privacidad Simplificado. SOLUCIONES ORIENTADAS AL BIENESTAR DE LAS PERSONAS SOLU S.A.P.I. de C.V. (el "Responsable"), con domicilio en Avenida del Valle 162, Colonia Ciudad del Valle, C.P. 63157, Tepic, Nayarit, México, tratará sus datos personales para crear y administrar su cuenta, prestar el servicio contratado y, si usted lo autoriza, enviarle comunicaciones promocionales. Algunas finalidades pueden requerir su consentimiento expreso (p. ej., tratamiento de datos financieros/patrimoniales) y pueden implicar transferencias a proveedores en el extranjero. Usted puede limitar el uso o divulgación de sus datos y revocar el consentimiento de marketing escribiendo a diego@makatea.ai o mediante el enlace de baja en nuestras comunicaciones (art. 15-IV). Usted puede conocer las finalidades que requieren su consentimiento, los terceros receptores y ejercer sus derechos ARCO consultando el Aviso de Privacidad Integral (este documento), disponible en https://makatea.ai o solicitándolo a diego@makatea.ai.

• Datos sensibles y financieros: el tratamiento de datos financieros/patrimoniales y sensibles requiere consentimiento expreso (arts. 7 y 8). Cuando Makatea trate estos datos como Responsable, recabará y documentará dicho consentimiento expreso. Respecto de la cartera, dicho consentimiento corresponde obtenerlo a la organización cliente (Responsable).

• Derechos ARCO + revocación (arts. 22–26): Acceso (art. 22), Rectificación (art. 23), Cancelación (art. 24, con periodo de bloqueo previo a la supresión), Oposición (art. 26, incluye la oposición a la elaboración de perfiles / tratamiento automatizado, art. 26-II) y revocación del consentimiento (art. 7). La LFPDPPP no reconoce un derecho autónomo de portabilidad ni de limitación/suspensión al estilo LGPD/RGPD; esos derechos corresponden a otras jurisdicciones (BR/EC/PE).

• Medios para limitar el uso o divulgación (art. 15-IV): puede solicitar la limitación del uso o divulgación de sus datos escribiendo a diego@makatea.ai; respecto del marketing, puede revocar su consentimiento en cualquier momento por el mismo canal o mediante el enlace de baja en las comunicaciones.

• Procedimiento de revocación del consentimiento (art. 7): para revocar, el titular envía su solicitud a diego@makatea.ai identificándose (nombre y correo de cuenta) e indicando el consentimiento que revoca. Makatea atiende la solicitud dentro de los plazos del art. 31 (20 días hábiles para responder; 15 días hábiles para hacerla efectiva); la revocación surte efecto hacia el futuro, sin efecto retroactivo, sobre el tratamiento amparado por dicho consentimiento. Se distinguen dos supuestos: (i) revocación del consentimiento de marketing, que también puede ejercerse por el enlace de baja en las comunicaciones y no afecta la prestación del servicio; y (ii) revocación del consentimiento expreso para el tratamiento de datos financieros/patrimoniales que Makatea trata como Responsable, cuya revocación puede limitar o impedir las finalidades que dependan de esos datos.

• Plazos: 20 días hábiles para responder y 15 días hábiles para hacer efectivo el derecho (art. 31). Ejercicio gratuito (art. 34).

• Cláusula de transferencia con opción de negativa (art. 35): mediante este aviso se le informa que sus datos podrán transferirse a los terceros/subprocesadores señalados en la Sección 6. Si usted no desea que sus datos personales sean transferidos para las finalidades que no son necesarias para la relación, puede manifestar su negativa comunicándolo a diego@makatea.ai. La falta de manifestación de negativa se entenderá como aceptación de las transferencias descritas. El tratamiento por un Encargado no constituye transferencia (art. 2). Recurso ante la SABG (arts. 38–39).

• Designación de persona o departamento de datos personales (art. 29): contacto único de privacidad — José Rodrigo Barrios Villa, diego@makatea.ai. No existe un registro nacional obligatorio de bases de datos en México.

• Notificación de vulneraciones (art. 19): Makatea notificará al titular afectado, sin demora, las vulneraciones de seguridad ocurridas que afecten significativamente sus derechos patrimoniales o morales, para que pueda tomar medidas.

12.2. Colombia (CO) — Ley 1581 de 2012 y Decreto 1377 de 2013

• Marco: Régimen de Habeas Data; autoridad: Superintendencia de Industria y Comercio (SIC).

• Política de Tratamiento (Decreto 1377, art. 13): este documento incluye razón social, domicilio y contacto del Responsable; el tratamiento y su finalidad; los derechos del titular; el procedimiento para ejercer derechos; el área responsable de peticiones, consultas y reclamos; y la fecha de entrada en vigencia.

  • Área/persona responsable de peticiones, consultas y reclamos (num. 4): canal único de privacidad — diego@makatea.ai.
  • Fecha de entrada en vigencia (num. 6): 15 de junio de 2026. Vigencia de la base de datos: el tratamiento subsiste mientras dure la relación con la organización cliente y conforme a los plazos de conservación de la Sección 7.

• Aviso de Privacidad de recolección (Decreto 1377, arts. 14–15): distinto de esta Política completa, se entrega a más tardar al momento de recolectar los datos. Makatea lo entrega al titular de la cuenta en el registro (donde Makatea es Responsable). Respecto de la cartera de terceros, Makatea actúa como Encargado y no tiene canal directo con esos titulares en la importación masiva: el deber de entregar el aviso de recolección y de obtener y conservar la prueba de la autorización —incluido el deber del art. 10 del Decreto 1377 respecto de datos recolectados antes de su entrada en vigencia— corresponde a la organización cliente (Responsable). Esta obligación se traslada al Cliente como instrucción y garantía en el DPA. Texto del aviso corto que Makatea entrega al titular de la cuenta:

  Aviso de Privacidad. SOLUCIONES ORIENTADAS AL BIENESTAR DE LAS PERSONAS SOLU S.A.P.I. de C.V. tratará sus datos personales para la creación y gestión de su cuenta, la prestación del servicio y, con su autorización, comunicaciones comerciales. Usted tiene derecho a conocer, actualizar, rectificar y suprimir sus datos y a revocar la autorización. Para datos sensibles, su autorización es facultativa. Consulte la Política de Tratamiento completa en https://makatea.ai o solicítela a diego@makatea.ai.

• Autorización (art. 9; Decreto 1377, arts. 5–9): previa, expresa e informada; Makatea (como Encargado) y la organización cliente (Responsable) conservan prueba de la autorización.

• Datos sensibles (Decreto 1377, art. 6): se le informa expresamente que, por tratarse de datos sensibles, no está obligado a autorizar su tratamiento. Makatea, como Encargado, no solicita datos sensibles de forma estructurada; sin embargo, podrían incorporarse datos sensibles en los campos personalizados, etiquetas y notas de texto libre y en los documentos de identidad/KYC que la organización cliente (Responsable) cargue, cuya finalidad es exclusivamente la gestión de cartera, comunicación y cobranza instruida por el Responsable. La autorización para datos sensibles es explícita y separada y la obtiene el Responsable de sus titulares.

  • Aclaración sobre datos financieros en Colombia: los datos financieros, crediticios y de cartera no son "datos sensibles" en el sentido del art. 5 de la Ley 1581; su tratamiento se rige por la Ley 1266 de 2008 (Habeas Data financiero). Por tanto, el régimen de autorización separada de datos sensibles no aplica a los datos financieros de la cartera, sin perjuicio del régimen propio de la Ley 1266 que corresponde observar al Responsable.

• Advertencia al Cliente — Ley 1266 de 2008 (Habeas Data financiero/comercial): la Ley 1266 de 2008 regula un régimen distinto e independiente de la Ley 1581 de 2012 y el Decreto 1377 de 2013. Si la organización cliente (Responsable) utiliza la plataforma para reportar, gestionar o administrar información financiera, crediticia, comercial o de servicios negativa de sus deudores (p. ej., con destino a centrales de riesgo/bancos de datos de información financiera), puede quedar sujeta a la Ley 1266 de 2008 en su condición de "fuente" u "operador" de información, lo que le impone deberes específicos —entre otros: veracidad y calidad del dato, actualización y rectificación oportuna, comunicación previa al titular antes de reportar un dato negativo, y observancia de la caducidad/permanencia del dato negativo— así como el respeto de los derechos reforzados del titular que esa ley reconoce. Makatea provee únicamente el software de gestión y comunicación; no opera ni administra centrales de riesgo ni bancos de datos de información financiera, y no asume la condición de fuente, operador ni usuario bajo la Ley 1266.

• Derechos del titular (art. 8): conocer, actualizar, rectificar; solicitar prueba de la autorización; ser informado del uso dado a sus datos; presentar quejas ante la SIC; revocar la autorización y/o solicitar supresión; acceder gratuitamente a sus datos.

• Plazos: consultas: 10 días hábiles (prorrogables 5); reclamos: 15 días hábiles (prorrogables 8); marcado de "reclamo en trámite".

• Procedimiento de consultas (art. 14 Ley 1581): el titular o sus causahabientes podrán consultar la información que repose en la base de datos dirigiéndose a diego@makatea.ai. La consulta se atiende en máximo 10 días hábiles desde su recepción; si no fuere posible, se informa al interesado los motivos de la demora y la fecha de atención, que no superará los 5 días hábiles siguientes al vencimiento del primer plazo.

• Procedimiento de reclamos (art. 15 Ley 1581): el reclamo se presenta a diego@makatea.ai mediante escrito que contenga: (i) identificación del titular (nombre y documento), (ii) descripción de los hechos que dan lugar al reclamo, (iii) dirección de notificación y (iv) los documentos que se quieran hacer valer. Si el reclamo está incompleto, se requerirá al interesado dentro de los 5 días siguientes para que subsane; transcurridos 2 meses desde la fecha del requerimiento sin que el solicitante subsane, se entiende que ha desistido. Una vez recibido el reclamo completo, se incluye en la base de datos la leyenda "reclamo en trámite" y el motivo, en un término no mayor a 2 días hábiles, leyenda que se mantiene hasta que el reclamo sea decidido. El término máximo para atender el reclamo es de 15 días hábiles desde su recepción; si no fuere posible, se informan los motivos y la fecha de respuesta, que no superará los 8 días hábiles siguientes al vencimiento del primer plazo.

• Agotamiento previo (art. 16 Ley 1581): el titular solo podrá elevar queja ante la SIC una vez agotado el trámite de consulta o reclamo ante Makatea (o el Responsable, según corresponda).

• Transferencia vs. transmisión internacional: dado que Makatea actúa como Encargado y aloja datos en proveedores en el exterior, ello constituye transmisión internacional, amparada mediante el régimen de transmisión (Decreto 1377, art. 25) incorporado en los términos de cada subprocesador, que impone a Makatea aplicar la política del Responsable, confidencialidad, seguridad y atención de consultas/reclamos.

• RNBD (Registro Nacional de Bases de Datos): la inscripción solo es obligatoria para sociedades/ESAL con activos superiores a 100.000 UVT y personas jurídicas públicas (Decreto 090 de 2018). En la medida en que la operación efectiva de Makatea en Colombia haga aplicable este registro, se evaluará y realizará la inscripción correspondiente.

• DPO: el canal único de privacidad y de PQR es diego@makatea.ai.

12.3. Brasil (BR) — LGPD (Lei nº 13.709/2018)

• Marco: Lei Geral de Proteção de Dados Pessoais; autoridad: ANPD. Resoluções CD/ANPD nº 18/2024 (Encarregado) e nº 19/2024 (Transferência Internacional).
• Papéis: la Makatea actúa como controladora de los datos de cadastro/cobrança de la cuenta del cliente-usuario y como operadora de los datos que el cliente sube a la plataforma (cartera de terceros), siguiendo las instrucciones del controlador (art. 39 — DPA).
• Bases legais (art. 7º): en B2B predominan ejecución de contrato (art. 7º, V), cumplimiento de obligación legal (art. 7º, II) y legítimo interés (art. 7º, IX); el consentimiento (art. 7º, I) se aplica al marketing.
• Forma y duración del tratamiento (art. 9º, II): los criterios y plazos de retención/eliminación por categoría de dato constan en la Sección 7 de esta Política.
• Derechos del titular (art. 18): confirmación de la existencia de tratamiento; acceso; corrección; anonimización, bloqueo o eliminación de datos innecesarios/excesivos/en desconformidad; portabilidad; eliminación de los datos tratados con base en el consentimiento (salvo el art. 16); información sobre compartición; información sobre la posibilidad de no consentir y sus consecuencias; revocación del consentimiento; y revisión de decisiones automatizadas (art. 20) — ver Sección 10.
• Transferencia internacional (art. 33; Res. 19/2024): se realiza a Estados Unidos bajo las cláusulas-padrão contratuais aprovadas pela ANPD (Res. CD/ANPD 19/2024), incorporadas a los términos de los subprocesadores en EE. UU. (Supabase, Anthropic, Stripe, Resend) y a la infraestructura de mensajería de Makatea. Solo la UE/EEE cuenta con decisión de adecuación; Estados Unidos no tiene adecuación, por lo que rige el mecanismo de cláusulas-padrão.
• Encarregado (DPO) — art. 41, §1º-§2º; Res. 18/2024: Encarregado designado: José Rodrigo Barrios Villa; canal público de contacto: diego@makatea.ai. (La LGPD no exige residencia en Brasil.)
• Registro de las operaciones de tratamiento (RoPA, art. 37) y procedimiento de comunicación de incidentes a la ANPD y a los titulares (art. 48), conforme a la ley aplicable.
• Decisiones automatizadas (art. 20): ver Sección 10; se garantiza el derecho a solicitar revisión.

12.4. Ecuador (EC) — LOPDP

• Marco: Ley Orgánica de Protección de Datos Personales y su Reglamento (Decreto 904/2023); Resoluciones SPDP sobre Delegado (2025-0028-R) y Transferencias (SPDP-SPD-2026-0004-R). Autoridad: Superintendencia de Protección de Datos Personales (SPDP).
• Información previa (arts. 12–13): identidad y contacto del Responsable; finalidades específicas; base de licitud (art. 7); categorías de datos (advertencia sobre datos sensibles); origen cuando no se obtienen del titular; destinatarios; transferencias y país de destino con sus garantías; plazos de conservación (Sección 7); existencia de decisiones automatizadas/perfiles y su lógica (art. 22 — Sección 10).
• Plazos/criterios de conservación (art. 12): declarados por categoría de dato en la Sección 7.
• Decisiones automatizadas y perfilado (art. 22): la plataforma realiza clasificación de interacciones, derivación del estado de la relación y aprendizaje de preferencias de contacto; su lógica, importancia y consecuencias, así como el derecho a no ser objeto de decisiones automatizadas y a solicitar revisión humana, se describen en la Sección 10.
• Derechos: información (arts. 12–13), acceso (art. 16), rectificación/actualización (art. 17), eliminación/supresión incluido el derecho al olvido (art. 18), oposición (art. 19), portabilidad (art. 20), suspensión/limitación (art. 21), no ser objeto de decisiones automatizadas (art. 22), consulta al Registro Nacional, y reclamo ante la SPDP. Ejercicio gratuito; plazo general de respuesta 15 días, prorrogables. La eliminación o anonimización efectiva y la exportación de los datos del titular se atienden a solicitud por el canal único (ver Sección 9.1).
• Rol de Encargado: respecto de la cartera, Makatea es encargado del tratamiento y media un contrato de encargo (DPA) con las obligaciones de los arts. 38 y ss. El texto del DPA está en https://makatea.ai/dpa y se acepta electrónicamente al contratar el servicio.
• Transferencias internacionales (Res. SPDP-SPD-2026-0004-R): se realizan a Estados Unidos bajo cláusulas tipo incorporadas en los términos de los subprocesadores, manteniendo el registro de transferencias correspondiente; los Estados de la Comunidad Andina se consideran de tratamiento equivalente.
• Delegado de Protección de Datos (art. 47; Res. 2025-0028-R): Delegado de Protección de Datos en Ecuador: José Rodrigo Barrios Villa — diego@makatea.ai. El registro del Delegado ante la SPDP se evalúa y realiza conforme a la operación efectiva de Makatea en Ecuador y a la obligatoriedad por escala/sector.

12.5. Perú (PE) — Ley 29733 y Reglamento D.S. 016-2024-JUS

• Marco: Ley de Protección de Datos Personales y su Reglamento; autoridad: APDP — Autoridad Nacional de Protección de Datos Personales (MINJUSDH). Aplicación extraterritorial a empresas extranjeras que ofrecen servicios a personas en Perú.
• Deber de informar (art. 18): identidad y domicilio del Responsable; finalidades específicas; base legal de cada operación de tratamiento (desglose en la Sección 5); carácter obligatorio o facultativo de los datos y consecuencias de no proporcionarlos (declarado en la Sección 3.1); destinatarios; existencia de flujo transfronterizo y garantías; plazos de conservación (Sección 7); identificación del banco de datos y su inscripción en el RNPDP; datos del DPO cuando sea obligatorio.
• Derechos y procedimiento: información (art. 18), acceso (art. 19), rectificación (art. 20), cancelación/supresión (art. 20), oposición (art. 21), tratamiento objetivo (no ser objeto de decisión basada solo en tratamiento automatizado/perfilado — Sección 10) y portabilidad (cuando el tratamiento se base en consentimiento o contrato por medios automatizados). Tutela ante la APDP. Procedimiento gratuito.
  • Canal y plazos de atención de derechos: las solicitudes se presentan a diego@makatea.ai. Plazos por derecho conforme al Reglamento D.S. 016-2024-JUS: acceso (art. 19): 8 días hábiles (prorrogables); rectificación (art. 20): 10 días hábiles (prorrogables); cancelación/supresión (art. 20): 10 días hábiles (prorrogables); oposición (art. 21): 10 días hábiles (prorrogables).
• Consentimiento: libre, previo, expreso, informado e inequívoco; para datos sensibles, por escrito o medio equivalente.
• Transferencia / flujo transfronterizo: se realiza a Estados Unidos bajo garantías apropiadas (cláusulas tipo) incorporadas en los términos de los subprocesadores; la carga de la prueba recae en el exportador (Makatea/Responsable).
• Registro de Banco de Datos (RNPDP): la inscripción de los bancos de datos en el RNPDP se evalúa y realiza conforme a la operación efectiva de Makatea en Perú; el código/identificación de cada banco se consignará una vez obtenido.
• Oficial de Datos Personales (DPO): obligatorio en supuestos de tratamiento a gran escala de datos sensibles o monitoreo sistemático a gran escala, con implementación escalonada por nivel de ventas. La obligatoriedad del cargo formal se evalúa conforme a la escala de operación de Makatea en Perú. Canal de contacto en materia de datos: diego@makatea.ai.
• Incidentes de seguridad: notificación a la APDP dentro de 48 horas desde la detección (y a los titulares afectados cuando corresponda), con el contenido mínimo legal.

13. Contacto

Para cualquier consulta sobre esta Política o el ejercicio de sus derechos:

• Responsable: SOLUCIONES ORIENTADAS AL BIENESTAR DE LAS PERSONAS SOLU S.A.P.I. de C.V. (RFC SOB240719U87)
• Correo de privacidad / ejercicio de derechos: diego@makatea.ai
• Teléfono: +52 81 3104 9807
• Domicilio: Avenida del Valle 162, Colonia Ciudad del Valle, C.P. 63157, Tepic, Nayarit, México
• DPA (acuerdo de tratamiento de datos): https://makatea.ai/dpa
• Contacto único de privacidad / DPO / Encarregado (BR): José Rodrigo Barrios Villa — diego@makatea.ai (canal único para todas las jurisdicciones).

Usted puede además presentar reclamos ante la autoridad de control de su país: SABG (México), SIC (Colombia), ANPD (Brasil), SPDP (Ecuador), APDP (Perú).

14. Ley aplicable y jurisdicción

Esta Política de Privacidad se rige por las leyes de los Estados Unidos Mexicanos. Para la interpretación y cumplimiento de esta Política, así como para cualquier controversia derivada de ella, las partes se someten a la competencia de los tribunales de Tepic, Nayarit, México, sin perjuicio de los derechos que la ley aplicable de cada jurisdicción reconozca a los titulares y de la competencia de las autoridades de control señaladas en la Sección 13.