Aviso de Privacidad Integral — Gestara

Versión: 1.0

Última actualización: 2026-08-24

Aplica a: gestara.app (Portal de Reservas, Portal de Clientes) y panel.gestara.app (Back Office)

Este documento se emite con base en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), su Reglamento y los Lineamientos del Aviso de Privacidad (DOF 17/01/2013). Este Aviso complementa — y no sustituye — nuestros Términos y Condiciones, disponibles en gestara.app/terms; en caso de conflicto sobre el tratamiento de datos personales, este Aviso rige.

0. Identidad y domicilio del responsable

Devs Monterrey, S.A.S. de C.V. ("Gestara", "el responsable", "nosotros") es responsable del tratamiento de tus datos personales conforme a lo establecido en el presente Aviso de Privacidad, en cumplimiento de la LFPDPPP y su Reglamento.

1. A quién aplica este Aviso

Este Aviso aplica a tres tipos de titular de datos personales, según tu relación con la Plataforma:

• Negocio / usuarios de Back Office — dueños, staff y recepcionistas que administran una cuenta de negocio en panel.gestara.app.
• Cliente final — personas que reservan, ven, reprograman o cancelan citas a través del Portal de Reservas o el Portal de Clientes (gestara.app/{slug}).
• Visitante — cualquier persona que navegue gestara.app o panel.gestara.app sin crear cuenta ni reservar.

Cuando una sección aplica solo a uno de estos roles, se indica expresamente.

2. Datos personales que recabamos

No recabamos datos personales sensibles (origen étnico, estado de salud, creencias religiosas, preferencias sexuales, etc.), salvo que tú mismo los incluyas voluntariamente en un campo de notas libres de una cita — en cuyo caso el Negocio, como responsable de esa nota dentro de su operación, es responsable de su tratamiento adecuado; te recomendamos no incluir datos sensibles en dichos campos.

2.1 Negocio (usuarios de Back Office)

• Nombre, correo electrónico, contraseña (almacenada con hash, nunca en texto plano).
• Rol asignado dentro del Negocio (dueño, staff, recepcionista).
• Datos del negocio: nombre comercial, dirección(es), zona horaria, logotipo, color de marca, canales de contacto (teléfono, WhatsApp, redes sociales).

2.2 Cliente final

• Nombre, correo electrónico y, en su caso, número telefónico.
• Historial de citas: servicios reservados, fechas, horarios, estatus, notas asociadas a la cita.
• Identificador único de cliente (firebase_uid) generado al vincular tu primer inicio de sesión mediante enlace mágico.

2.3 Todos los titulares (datos técnicos y de uso)

• Dirección IP, tipo de dispositivo/navegador, cookies de sesión (véase §8).
• Eventos de analítica de producto (PostHog): acciones dentro del flujo de reserva, identificadas por business_id y superficie de uso — sin datos personales identificables en las propiedades del evento.
• Registros de error (Sentry): en producción, correos y teléfonos se ofuscan automáticamente antes de almacenarse.

Obtención directa e indirecta. La mayoría de tus datos se obtienen directamente de ti al registrarte o reservar. Si el Negocio te registra manualmente como cliente sin tu intervención directa (por ejemplo, al capturar tu cita por teléfono), tus datos se obtienen de forma indirecta a través del Negocio, quien es responsable de haberte informado de este tratamiento.

3. Finalidades del tratamiento

3.1 Finalidades primarias (necesarias para el servicio)

Estas finalidades son necesarias para prestarte el servicio y no requieren tu consentimiento adicional más allá de crear tu cuenta o reservar una cita:

• Operar el motor de disponibilidad y el flujo de reservas, reprogramaciones y cancelaciones.
• Autenticarte (contraseña para Negocio; enlace mágico para clientes finales).
• Enviarte notificaciones operativas: confirmaciones, recordatorios, cambios de estatus de tu cita.
• Prevenir fraude, dobles reservas y abuso de la Plataforma.
• Dar cumplimiento a obligaciones legales y fiscales aplicables a Gestara.
• Brindarte soporte cuando lo solicites.

3.2 Finalidades secundarias (consentimiento tácito — puedes oponerte)

Estas finalidades no son necesarias para el funcionamiento del servicio. Conforme al Art. 8 de la LFPDPPP, tu consentimiento para esta finalidad se entiende otorgado de forma tácita al registrarte o reservar, salvo que ejerzas tu derecho de oposición conforme a lo siguiente:

• Enviarte comunicaciones de marketing, promociones, novedades de producto o boletines informativos por correo electrónico, dirigidas tanto a usuarios de Negocio como a clientes finales.

Cómo oponerte (opt-out). Puedes dejar de recibir estas comunicaciones en cualquier momento, por cualquiera de estos medios:

• Usando el enlace de "darse de baja" (unsubscribe) incluido en cada correo de marketing; o
• Enviando un correo a opt-out-marketing@gestara.app, indicando en el asunto únicamente tu dirección de correo electrónico (sin texto adicional) — este es el identificador que usamos para procesar tu baja.

Procesaremos tu solicitud de baja dentro de los 30 días naturales siguientes a su recepción. Podrás seguir recibiendo comunicaciones de marketing durante ese periodo mientras se hace efectiva.

Tu negativa a las finalidades secundarias no afecta el envío de notificaciones operativas (§3.1), que son necesarias para el uso de la Plataforma y no están sujetas a opt-out.

3.3 Uso de datos anonimizados/agregados

Además de lo anterior, información generada por tu uso de la Plataforma podrá anonimizarse o agregarse (de forma que razonablemente no te identifique) y usarse por Gestara para analítica, mejora de producto y desarrollo de modelos de inteligencia artificial. Esta finalidad se describe en detalle, incluyendo su base contractual, en nuestros Términos y Condiciones (gestara.app/terms), §5. Una vez anonimizada o agregada, la información deja de ser un dato personal para efectos de la LFPDPPP y su uso conforme a esa sección no está sujeto a los derechos ARCO descritos en §9 de este Aviso — dichos derechos siempre aplican a tus datos personales en forma identificable.

4. Transferencias y encargados del tratamiento

Encargados del tratamiento (no constituyen transferencia). Para operar, Gestara contrata proveedores de infraestructura que procesan datos personales por cuenta y bajo instrucciones de Gestara, actuando como encargados conforme al Art. 3, fracción IX de la LFPDPPP — esto no es una "transferencia" a un tercero independiente:

Transferencia internacional de datos. El uso de estos proveedores implica que tus datos personales se almacenan y procesan fuera de México, en Estados Unidos. Al aceptar este Aviso, consientes esta transferencia internacional, necesaria para la prestación del servicio conforme al Art. 37, fracción V de la LFPDPPP (transferencia necesaria por virtud de una relación jurídica en la que eres parte). Cada encargado está obligado contractualmente a las mismas obligaciones de protección de datos que Gestara.

Otras transferencias. Gestara podrá transferir tus datos personales, sin requerir tu consentimiento adicional (Art. 37 LFPDPPP), cuando: (i) lo exija una ley o tratado del que México sea parte; (ii) sea necesario para el reconocimiento, ejercicio o defensa de un derecho ante autoridad competente; o (iii) sea requerido por una autoridad judicial o administrativa competente. Fuera de estos supuestos y de los encargados listados arriba, Gestara no vende ni comparte tus datos personales identificables con terceros.

El Negocio como responsable independiente. Si eres cliente final, el Negocio con el que reservas es responsable independiente (no encargado de Gestara) respecto de los datos que trata para su propia operación fuera de la Plataforma (ej. facturación, comunicación directa contigo). Debes consultar las propias políticas de privacidad del Negocio para ese tratamiento, conforme se describe en nuestros Términos y Condiciones (gestara.app/terms), §7.

5. Consentimiento

Al crear una cuenta, publicar un Portal de Reservas, o reservar una cita a través de la Plataforma, manifiestas tu consentimiento para el tratamiento de tus datos personales conforme a las finalidades primarias (§3.1) y a las transferencias necesarias para el servicio (§4). Para las finalidades secundarias (§3.2), tu consentimiento se entiende otorgado de forma tácita conforme al Art. 8 LFPDPPP, y puedes oponerte o revocarlo en cualquier momento conforme a §3.2 y §7.

6. Uso de cookies y tecnologías de rastreo

La Plataforma usa únicamente cookies estrictamente necesarias: cookies de sesión para mantenerte autenticado, y, en el caso de PostHog, cookies/identificadores para analítica de producto anonimizada por evento respecto a datos personales del cliente. Gestara no usa cookies de publicidad, remarketing ni rastreo de terceros. Conforme a los Lineamientos del Aviso de Privacidad (DOF 17/01/2013), al tratarse exclusivamente de cookies necesarias para el funcionamiento del servicio, no se requiere un banner de consentimiento previo; basta con la información proporcionada en este Aviso.

7. Derechos ARCO y revocación del consentimiento

Conforme a los Arts. 22 a 35 de la LFPDPPP, tienes derecho a:

• Acceder a tus datos personales que poseemos y a los detalles de su tratamiento.
• Rectificar tus datos cuando sean inexactos o incompletos.
• Cancelar tus datos cuando consideres que no se requieren para alguna de las finalidades señaladas, estén siendo tratados con fines no consentidos, o haya finalizado la relación contractual/de servicio.
• Oponerte al tratamiento de tus datos para fines específicos.

También puedes revocar tu consentimiento en cualquier momento y limitar el uso o divulgación de tus datos, sin que ello tenga efectos retroactivos.

Cómo ejercer estos derechos. Envía tu solicitud a gestara@devsmonterrey.com, indicando: (i) tu nombre y datos de contacto para responderte; (ii) documentos que acrediten tu identidad o, en su caso, la representación legal; (iii) descripción clara de los datos personales sobre los que buscas ejercer el derecho; y (iv) cualquier documento que facilite localizar tus datos.

Plazos. Conforme al Art. 32 de la LFPDPPP, te responderemos dentro de los 20 días hábiles siguientes a la recepción de tu solicitud, y de resultar procedente, haremos efectiva tu solicitud dentro de los 15 días hábiles siguientes a la fecha en que te comuniquemos la respuesta.

Si tu solicitud de ejercicio de derechos ARCO no es atendida en los plazos y forma que marca la ley, puedes acudir al Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) o al órgano que en su momento asuma sus funciones, para presentar el procedimiento de protección de derechos correspondiente.

8. Menores de edad

La Plataforma no está dirigida a menores de edad sin la intervención de un adulto responsable. Si un Negocio ofrece servicios donde el cliente es menor de edad (ej. clases infantiles), corresponde al Negocio, como responsable de esa relación, obtener el consentimiento de madre, padre o tutor para el tratamiento de los datos del menor, conforme a su propia base legal.

9. Medidas de seguridad

Conforme a los Arts. 19 y 20 de la LFPDPPP, Gestara mantiene medidas de seguridad administrativas, técnicas y físicas para proteger tus datos personales contra daño, pérdida, alteración, destrucción, o el uso, acceso o tratamiento no autorizado, incluyendo: cifrado de contraseñas mediante hash, control de acceso basado en roles, políticas de seguridad a nivel de base de datos (RLS/multitenancy), y monitoreo de errores con ofuscación automática de datos personales en producción.

En caso de una vulneración de seguridad que afecte de forma significativa tus derechos patrimoniales o morales, te lo notificaremos de forma inmediata por correo electrónico, conforme al Art. 20 de la LFPDPPP.

10. Conservación y eliminación de datos

Conservamos tus datos personales mientras exista una relación contractual o de servicio vigente (cuenta de Negocio activa, o historial de citas del cliente final). Una vez cancelada tu cuenta o la del Negocio con el que te relacionas, conservamos tus datos por un periodo adicional de un (1) año, con fines de resguardo, cumplimiento de obligaciones legales/fiscales y resolución de disputas, transcurrido el cual se eliminan o anonimizan de forma segura, salvo que la ley exija un plazo mayor.

11. Cambios a este Aviso de Privacidad

Podemos modificar este Aviso ante cambios en nuestras prácticas de tratamiento de datos, novedades legislativas, o cambios en nuestro modelo de negocio. Cualquier modificación se notificará mediante correo electrónico o aviso visible en la Plataforma, con al menos 15 días de anticipación a su entrada en vigor. Te recomendamos revisar este Aviso periódicamente.

12. Contacto

Dudas, solicitudes ARCO, revocación de consentimiento, o reportes relacionados con tus datos personales: gestara@devsmonterrey.com.

13. Idioma que rige

Este documento se publica en español y, como cortesía, en inglés — usa el selector de idioma de esta página para cambiar de versión. En caso de discrepancia o conflicto entre ambas versiones, prevalece el texto en español.