Aviso de privacidad

Aviso de privacidad integral

1. Identidad y domicilio del responsable

BCF MG Consultoría, S.C. (en adelante, el "Responsable"), con domicilio en Avenida Insurgentes Sur 1079, colonia Nochebuena, alcaldía Benito Juárez, código postal 03720, Ciudad de México, es responsable del tratamiento de los datos personales de las personas usuarias de la plataforma KitLegal, disponible en https://kitlegal.app, en términos del artículo 2, fracción XIV, de la Ley.

Contacto para asuntos de privacidad: info@bcflaw.mx.

2. Datos personales que se tratan

a) Datos de identificación y contacto: dirección de correo electrónico con la que se solicita el acceso; nombre y, en su caso, nombre del despacho o empresa que la persona usuaria proporcione al registrarse. Cuando la persona usuaria elige entrar con su cuenta de Google o de Microsoft, el Responsable obtiene de ese proveedor de identidad únicamente su correo electrónico, su nombre y el identificador técnico de la cuenta, con el consentimiento que la persona usuaria otorga en la pantalla de autorización del proveedor; el Responsable no recibe ni conserva la contraseña de esa cuenta. Cuando la persona usuaria define una contraseña en KitLegal, esta se almacena únicamente en forma cifrada irreversible. b) Datos de acceso y seguridad: fecha y hora de las solicitudes de acceso y de inicio y cierre de sesión; fecha de la última actividad en la plataforma, para aplicar la caducidad por inactividad; dirección IP y datos técnicos del navegador y dispositivo; identificador de sesión conservado en una cookie técnica. c) Datos de uso del servicio: herramienta utilizada, fecha y hora de cada uso, resultado de la operación (éxito o error), el volumen procesado por el modelo de lenguaje en cada uso (unidades de texto de entrada y de salida, sin el texto) y los resultados que cada herramienta genera, que se conservan conforme a la sección 7. En las calculadoras, además, el tipo de consulta que la persona usuaria elige (por ejemplo, el tipo de notificación en la calculadora de plazos), sin el contenido de ningún documento. d) Datos de facturación, únicamente cuando la persona usuaria contrate un Plan de pago o una recarga de tokens: nombre o razón social, RFC, domicilio fiscal y uso de CFDI. Los datos de tarjeta o cuenta bancaria los recibe y trata directamente el proveedor de pagos; el Responsable no los almacena. e) Datos de colaboración en Contract Manager: cuando la persona usuaria comparte un contrato, el correo electrónico de la persona invitada, que la propia persona usuaria proporciona, y el permiso asignado; y el registro de actividad de cada contrato (correo de quien realiza la acción, fecha, hora y descripción de la acción o comentario).

No se tratan datos personales sensibles de la persona usuaria. Los datos de facturación son datos patrimoniales y se recaban con el consentimiento expreso de la persona usuaria al contratar un plan de pago.

Los datos personales que puedan estar contenidos en los documentos que la persona usuaria carga no son objeto de este aviso: la persona usuaria es la responsable de ese tratamiento y BCF actúa únicamente como persona encargada por cuenta de ella, conforme al artículo 2, fracción XII, de la Ley y a los Términos y condiciones de uso. La persona usuaria decide qué datos extrae de sus documentos, cuánto tiempo conserva los resultados, si los muestra completos o enmascarados y si los exporta o los comparte, y responde de ese uso frente a su cliente y frente a las personas titulares. Los documentos no se guardan en los sistemas del Responsable, salvo los que la persona usuaria decide guardar en el Vault o en Contract Manager (sección 7, inciso c), y ni los documentos ni los resultados se usan para entrenar modelos de inteligencia artificial.

3. Finalidades del tratamiento

Finalidades primarias, necesarias para la relación jurídica y para la prestación del servicio:

a) Verificar la identidad de la persona usuaria y permitirle el acceso mediante enlace enviado a su correo electrónico, contraseña o autenticación con su cuenta de Google o de Microsoft, y mediante un segundo factor de autenticación cuando la persona usuaria lo active o su perfil lo requiera. b) Operar las herramientas que la persona usuaria utilice y mostrarle sus resultados. c) Mantener la seguridad de la plataforma, prevenir accesos no autorizados y detectar usos anómalos. d) Llevar el registro de uso necesario para la operación, la atención de incidencias, la medición del consumo del plan contratado y el análisis del costo del servicio para fijar sus precios. Al cancelarse la cuenta, ese registro de costos se conserva sin vínculo con la persona usuaria. e) Emitir comprobantes fiscales y gestionar cobros, cuando aplique. f) Comunicar avisos relativos al servicio, incluidos cambios a este aviso y a los Términos y condiciones, el aviso de caducidad de la cuenta por inactividad, las alertas de Contract Manager que la persona usuaria programe y los avisos de los indicadores de riesgo (KRI) que registre.

Finalidad secundaria, sujeta al consentimiento expreso y revocable de la persona usuaria, conforme al artículo 15, fracción III, de la Ley:

g) Envío de boletines, promociones y comunicaciones de publicidad y mercadotecnia sobre los servicios de KitLegal y de BCF MG Consultoría, S.C., al correo electrónico registrado, incluidas comunicaciones relacionadas con el tipo de consulta que la persona usuaria realizó en las calculadoras.

Esta finalidad no condiciona la prestación del servicio ni la disponibilidad de las herramientas de la plataforma. La persona usuaria decide si la acepta al registrarse, mediante una casilla independiente de la aceptación de estos avisos y de los Términos y condiciones, y puede otorgar o revocar su consentimiento en cualquier momento desde Mi cuenta, conforme al artículo 7, último párrafo, de la Ley, sin que ello afecte el resto del tratamiento. Para esta finalidad el Responsable solo considera el tipo de consulta señalado en la sección 2, inciso c); no utiliza el contenido de los documentos que la persona usuaria carga en las herramientas, no toma decisiones automatizadas que produzcan efectos jurídicos para la persona usuaria, ni entrena modelos de inteligencia artificial propios o de terceros con sus datos personales.

4. Opciones y medios para limitar el uso o divulgación de los datos

La persona usuaria puede, en cualquier momento: cancelar su cuenta, con lo que se eliminan los datos de la sección 2 en los plazos de la sección 7, salvo los que deban conservarse por obligación legal; eliminar resultados específicos generados por las herramientas; otorgar o revocar, desde Mi cuenta, su consentimiento para la finalidad secundaria de la sección 3, inciso g), sin que ello afecte la disponibilidad del servicio; y ejercer los derechos de la sección 5.

5. Derechos ARCO y revocación del consentimiento

La persona usuaria tiene derecho a acceder a sus datos personales y a conocer las condiciones de su tratamiento; a rectificarlos cuando sean inexactos o incompletos; a cancelarlos cuando considere que no se tratan conforme a la Ley; y a oponerse a su tratamiento por causa legítima. Asimismo, puede revocar el consentimiento que haya otorgado, sin efectos retroactivos, conforme al artículo 7 de la Ley.

Sin necesidad de solicitud, la persona usuaria puede obtener en cualquier momento, desde Mi cuenta, opción "Descargar mis datos", una copia en formato electrónico estructurado de sus datos de cuenta y de la información que guardó en la plataforma.

Para ejercerlos, la persona usuaria enviará una solicitud a info@bcflaw.mx que contenga lo previsto en el artículo 28 de la Ley: su nombre y un medio para recibir notificaciones; los documentos que acrediten su identidad o, en su caso, la personalidad e identidad de su representante; la descripción clara y precisa de los datos respecto de los que busca ejercer el derecho, salvo en el caso de acceso; la descripción del derecho que pretende ejercer o de lo que solicita; y cualquier otro elemento que facilite la localización de los datos.

Conforme al artículo 31 de la Ley, el Responsable comunicará la determinación adoptada en un plazo máximo de veinte días contados desde la recepción de la solicitud y, si resulta procedente, la hará efectiva dentro de los quince días siguientes a la comunicación de la respuesta. La respuesta se enviará al medio indicado en la solicitud.

La revocación del consentimiento para las finalidades primarias de la sección 3, o la cancelación de los datos de acceso, implica que el servicio no podrá seguir prestándose, pues no es posible operar la plataforma sin verificar la identidad de la persona usuaria. La revocación del consentimiento para la finalidad secundaria de la sección 3, inciso g) (boletines y publicidad), no tiene ese efecto: el servicio continúa prestándose con normalidad.

6. Personas encargadas y ubicación del tratamiento

Para operar el servicio, el Responsable se apoya en proveedores que tratan datos personales por cuenta de BCF, bajo sus instrucciones y con obligaciones de confidencialidad y seguridad, en calidad de personas encargadas conforme al artículo 2, fracción XII, de la Ley. Estas comunicaciones no son transferencias, pues el artículo 2, fracción XX, de la Ley excluye de esa definición las comunicaciones a la persona encargada. Los proveedores actuales y su función son:

• Vercel, Inc. (Estados Unidos de América): alojamiento y ejecución de la aplicación.
• Supabase, Inc. (Estados Unidos de América; región us-east-1, Virginia): base de datos, autenticación y almacenamiento.
• Resend, Inc. (Estados Unidos de América): envío de los correos de acceso, de las alertas de Contract Manager y de los indicadores de riesgo (KRI) que la persona usuaria programa o registra y de los avisos sobre su cuenta, incluido el aviso de caducidad por inactividad.
• Proveedor del modelo de lenguaje, que puede tratar la información fuera de México: funciones de análisis con inteligencia artificial. En el Comparador de Documentos recibe únicamente los fragmentos de cambios detectados, nunca los documentos completos. En el Redactor y Enmascarador de PII recibe, únicamente cuando la persona usuaria activa de forma expresa la detección automática de nombres de personas y empresas para un documento en particular, el texto completo de ese documento, todavía sin enmascarar; si la persona usuaria no activa esa función, el Redactor no envía nada a este proveedor. En Estratega de Expediente, Bitácora de Vencimientos, Draft Societario, Auditor de Contratos y Expediente 360 recibe el texto completo del documento o documentos que la persona usuaria carga, únicamente para generar el análisis, la bitácora, el draft, la revisión con los datos del contrato o el expediente solicitados, y el Responsable no conserva el documento. En Contract Manager (antes Contract Manager y Panel de Contratos) recibe el texto completo de cada documento que la persona usuaria decide analizar, únicamente para extraer los datos, fechas y obligaciones solicitados; el documento lo conserva el Responsable conforme a la sección 7, inciso c). En todos los casos, bajo condiciones contractuales que prohíben usar la información para entrenar modelos.
• Stripe (Estados Unidos de América): procesamiento de los pagos de Planes y recargas de tokens.
• Cloudflare, Inc. (Estados Unidos de América), servicio Turnstile: verificación de que quien usa las pantallas de acceso y registro es una persona y no un programa automatizado; recibe la dirección IP y datos técnicos del navegador en esas pantallas.

La lista de proveedores de infraestructura y pagos se publica en https://kitlegal.app/legal/encargados y se actualiza cuando cambia.

El Responsable no transfiere datos personales a terceros distintos de las personas encargadas, salvo en los supuestos en que la Ley lo permite sin consentimiento, entre ellos el cumplimiento de requerimientos de autoridad competente.

7. Conservación

a) Datos de identificación y de acceso: mientras la cuenta esté activa y hasta 30 días naturales después de su cancelación, salvo obligación legal de conservación. El registro de la aceptación de los Términos y condiciones y de este aviso (versión, fecha y hora y correo) y el historial de otorgamiento y revocación del consentimiento de la sección 3, inciso g), se conservan separados de la cuenta después de su cancelación o caducidad, bloqueados y únicamente como prueba del consentimiento, durante el plazo de prescripción de las acciones que pudieran derivar de la relación, conforme al artículo 11 de la Ley. b) Registros de seguridad (fecha, hora, dirección IP): 12 meses, para la investigación de incidentes. c) Documentos cargados en las herramientas: no se almacenan; se procesan en memoria y se descartan al concluir la operación. Hay dos excepciones: los archivos que la persona usuaria decide guardar en el Vault, que se cifran en su navegador antes de subirse, se conservan solo en esa forma cifrada y permanecen hasta que la persona usuaria los elimina o cancela su cuenta; y los documentos que la persona usuaria carga en Contract Manager o que decide guardar en él al enviar una revisión desde el Auditor de Contratos, que se conservan en un almacenamiento privado, con acceso solo mediante enlaces temporales, junto con los datos, fechas, obligaciones, alertas, comentarios y registro de actividad del contrato, hasta que la persona usuaria los elimina, cancela su cuenta o la cuenta caduca por inactividad conforme a la cláusula 11.4 de los Términos y condiciones (90 días naturales sin iniciar sesión ni abrir la plataforma y sin un plan de pago vigente, con aviso al correo registrado 30 días naturales antes). d) Resultados generados por las herramientas, salvo los de Contract Manager y los de Bitácora de Vencimientos, cuya finalidad es dar seguimiento a obligaciones a lo largo del tiempo y que siguen el inciso c): 30 días naturales desde su generación, después de los cuales se eliminan automáticamente, conforme a la cláusula 6.7 de los Términos y condiciones. Los resultados de Draft Societario y de Auditor de Contratos contienen los datos que la persona usuaria decide extraer de los documentos (entre ellos nombres y RFC de accionistas o socios, administradores, comisarios, apoderados, partes, firmantes y sociedades). Los de Auditor de Contratos se conservan durante el plazo que la persona usuaria elige (uno, tres, seis o doce meses, nunca más de doce) y después se eliminan automáticamente. El expediente de Draft Societario (datos extraídos con sus citas, versiones, revisiones de la persona usuaria y registro de accesos) se conserva durante el plazo que la persona usuaria elige: treinta días, tres, seis o doce meses desde su última actualización, o hasta que ella lo elimine; los documentos y su texto no se conservan. El Expediente 360 (datos extraídos de los documentos con sus citas, verificaciones, línea histórica, plazos, vínculos y riesgos) se conserva hasta que la persona usuaria lo elimina, cancela su cuenta o la cuenta caduca conforme a la cláusula 11.4 de los Términos y condiciones; los documentos y su texto no se conservan. La persona usuaria puede eliminarlos en cualquier momento desde la plataforma. e) Datos de facturación y comprobantes fiscales: el plazo que exijan las disposiciones fiscales aplicables.

8. Medidas de seguridad y vulneraciones

Conforme al artículo 18 de la Ley, el Responsable mantiene medidas de seguridad administrativas, técnicas y físicas para proteger los datos personales contra daño, pérdida, alteración, destrucción o uso, acceso o tratamiento no autorizado, entre ellas: acceso mediante enlace de un solo uso enviado al correo registrado, contraseña almacenada en forma cifrada irreversible o cuenta de Google o de Microsoft, con segundo factor de autenticación opcional, y obligatorio para las cuentas de administración; sesión en cookie con atributos de seguridad; cifrado de las comunicaciones; control de acceso a la base de datos por fila, de modo que cada persona usuaria solo alcanza sus propios registros; procesamiento de documentos en memoria sin almacenamiento de archivos, salvo los que la persona usuaria guarda cifrados en el Vault y los que conserva en Contract Manager en un almacenamiento privado con acceso solo mediante enlaces temporales; registro de las acciones de administración; y política de seguridad de contenido que restringe la ejecución de código a fuentes autorizadas.

Conforme al artículo 19 de la Ley, las vulneraciones de seguridad ocurridas en cualquier fase del tratamiento que afecten de forma significativa los derechos patrimoniales o morales de la persona usuaria le serán informadas de forma inmediata, al correo registrado, a fin de que pueda tomar las medidas correspondientes a la defensa de sus derechos.

9. Cookies y almacenamiento local

KitLegal utiliza una sola cookie técnica, indispensable para mantener la sesión, que no se emplea para rastreo ni publicidad. Guarda además en el almacenamiento local del navegador preferencias de interfaz (herramientas favoritas, estado del menú y vista preferida de Contract Manager) que no contienen datos personales y no se envían al servidor. La cookie se elimina al cerrar sesión; las preferencias pueden borrarse desde el navegador.

10. Cambios al aviso

Conforme al artículo 15, fracción VI, de la Ley, toda modificación a este aviso se publicará en https://kitlegal.app/legal/aviso-de-privacidad con la fecha de la versión y se dará a conocer a la persona usuaria al ingresar a la plataforma, donde se le solicitará aceptar la versión vigente antes de continuar; los cambios surten efectos para ella a partir de esa aceptación, que queda registrada. Cuando el cambio afecte datos que no se hayan obtenido directamente de la persona titular, se le dará a conocer conforme al artículo 17 de la Ley.

11. Personas morales

Conforme al artículo 2, fracción XVIII, de la Ley, es persona titular aquella a quien corresponden los datos personales, y los datos personales son los relativos a una persona física identificada o identificable. Por ello, los derechos ARCO de la sección 5 corresponden a las personas físicas. Las organizaciones (despachos, sociedades) que contraten el servicio pueden solicitar la actualización o eliminación de la información de su Cuenta y de sus Resultados conforme a los Términos y condiciones, sin que ello constituya ejercicio de derechos ARCO.

12. Autoridad

Si la persona usuaria considera que su derecho a la protección de datos personales ha sido vulnerado, puede acudir ante la Secretaría Anticorrupción y Buen Gobierno, autoridad competente conforme al artículo 2, fracción XV, de la Ley.

Fecha de última actualización: 25 de septiembre de 2026. Versión 1.4.