AVISO DE PRIVACIDAD INTEGRAL

01Identidad y contacto del responsable

EVA Protect, LLC, en adelante «EVA Protect» o «EVA», con domicilio para recibir notificaciones en 25 SW 9th St, Suite 406, Miami, Florida, 33130, Estados Unidos de América, informa cómo trata los datos personales relacionados con su sitio web, relaciones comerciales y servicios tecnológicos para flotas y operaciones empresariales.

Para asuntos de privacidad, derechos sobre sus datos o información sobre este aviso, contacte a la persona encargada de privacidad en marilu@evaprotect.com. Sitio web: https://www.evaprotect.com.

Este aviso se emite conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares vigente en México y las disposiciones reglamentarias y lineamientos aplicables, en lo que no se opongan a dicha Ley.

02Alcance y funciones de EVA y del cliente

Este aviso comprende datos de prospectos, clientes personas físicas, representantes, contactos empresariales, usuarios autorizados, operadores, conductores y personas identificadas o identificables en los registros de los servicios. La información de una empresa queda comprendida cuando incorpora datos de personas físicas.

EVA actúa como responsable cuando determina las finalidades de sus propios tratamientos: atención comercial, administración de cuentas, facturación, soporte, seguridad y gestión de solicitudes relacionadas con financiamiento.

Cuando procesa información de una flota exclusivamente por cuenta y bajo instrucciones documentadas de su cliente, EVA actúa como encargada. En ese caso, el cliente determina las finalidades y debe poner a disposición de los titulares su propio aviso y documentar la base jurídica y los consentimientos que correspondan. EVA debe observar las instrucciones legítimas y obligaciones de protección pactadas. La función concreta de cada participante se determina por lo que efectivamente hace con los datos, no sólo por su denominación de proveedor o aliado.

La autorización comercial de una empresa no sustituye, por sí sola, el consentimiento ni los derechos de sus operadores, trabajadores u otras personas. Este aviso tampoco autoriza a recopilar información innecesaria o a habilitar cualquier integración.

03Datos personales y formas de obtención

Según la relación y las funciones efectivamente contratadas y habilitadas, pueden tratarse las siguientes categorías:

• Identificación y representación: nombre, firma, identificación oficial y datos del poder o representación; RFC y CURP cuando sean necesarios para el trámite correspondiente.
• Contacto y relación laboral: domicilio, correo, teléfono, puesto, empresa, identificador de usuario u operador, licencia de conducir, vehículo asignado y turno.
• Contratación, facturación y pagos: datos fiscales, constancias, información contractual, importes, estado y referencias de pago, identificadores tokenizados y datos parciales del instrumento que proporcione el procesador de pagos.
• Evaluación de arrendamiento o financiamiento solicitado: información de identidad, representación, domicilio, situación fiscal, capacidad económica, estados financieros, declaraciones, estados de cuenta y referencias necesarios para integrar el expediente. Se incluye información patrimonial o financiera de personas físicas únicamente cuando sea pertinente al trámite.
• Videotelemática y audio: imágenes, fotografías, video del interior y exterior del vehículo, clips de eventos, audio captado en la cabina, fecha, hora e identificadores de unidad y dispositivo. Las modalidades de captación, transmisión y conservación de audio se delimitan e informan para cada servicio y configuración.
• Biometría facial del operador: imagen y características faciales procesadas por DMS para reconocer e identificar al operador. Se les dará la protección reforzada correspondiente a datos personales sensibles, con los requisitos descritos en el apartado 4. No se presupone que el procesamiento genere o conserve una plantilla facial en un lugar determinado.
• Geolocalización y operación: coordenadas GPS, posición, rutas, recorridos, horarios, velocidad, aceleraciones, frenadas, eventos de conducción, información de combustible, registros de mantenimiento y cumplimiento de servicios asociados a una persona identificada o identificable.
• Información aportada al software operativo: órdenes, servicios, registros de recolección o entrega, incidencias, evidencias, mensajes y archivos incorporados por usuarios autorizados o mediante integraciones habilitadas. Si se contratan funciones de voz, las grabaciones y transcripciones requieren información previa sobre su tratamiento y la base jurídica aplicable.
• Datos técnicos: dirección IP, identificadores de sesión y dispositivo, navegador, sistema operativo, registros de acceso, errores y actividad en las plataformas; información de navegación captada mediante las tecnologías descritas en el apartado 11.

Los datos pueden obtenerse del titular; de la empresa que administra la flota; de usuarios e integraciones autorizados; de dispositivos instalados; de formularios, comunicaciones y soporte; y de prestadores que intervengan legítimamente en la contratación o el pago.

No envíe por correo, mensajería o soporte contraseñas, NIP, CVV, claves de banca o de firma electrónica, ni números completos de tarjeta. La autorización de consulta crediticia no implica entregar esas claves a EVA.

04Imágenes, audio, biometría y análisis automatizado

La cámara frontal utiliza funciones ADAS para analizar el entorno de conducción; la cámara orientada al operador utiliza funciones DMS para analizar su conducción y generar alertas de distracción, posible somnolencia o eventos de riesgo. El servicio también incorpora audio de cabina y reconocimiento facial mediante DMS para identificar al operador. El audio se vincula a las finalidades informadas de seguridad y documentación de la operación o sus incidentes, dentro del alcance contratado; su presencia no autoriza escucha irrestricta ni usos ajenos. La modalidad efectiva de captación, transmisión y conservación se debe informar para cada configuración, sin presumir que sólo se active durante un evento o que siempre se grabe de forma continua.

El reconocimiento facial se utiliza para identificar al operador asignado y vincular los registros de conducción o seguridad con esa persona. Los datos biométricos faciales se tratarán con la protección reforzada correspondiente a datos personales sensibles. Este tratamiento requiere evaluación de necesidad y proporcionalidad, información sobre su finalidad y consentimiento expreso y por escrito del titular, salvo una excepción legal efectivamente aplicable y documentada. No basta la autorización general de la empresa cliente. La arquitectura de procesamiento, los datos efectivamente conservados y sus plazos deben corresponder al funcionamiento real e informarse en el servicio; este aviso no afirma que las plantillas se almacenen en el dispositivo o en la nube.

Las alertas DMS no constituyen por sí mismas un diagnóstico médico o una determinación concluyente de conducta. Si un tratamiento revela información de salud u otros datos sensibles, se aplicarán igualmente los requisitos de protección y consentimiento correspondientes. Publicar o aceptar este aviso no acredita que ya se hayan recabado los consentimientos necesarios ni regulariza retroactivamente tratamientos sin base jurídica.

La captación y consulta de ubicación, video o audio debe corresponder al alcance informado, las funciones contratadas y las instrucciones legítimas de operación. El acceso a video en vivo o evidencia no constituye una autorización de vigilancia irrestricta. Los análisis no habilitan automáticamente sanciones laborales, decisiones crediticias o usos ajenos al servicio.

No se autoriza el uso de video, audio, rutas o expedientes identificables para entrenar modelos de inteligencia artificial de propósito general o para finalidades publicitarias de terceros mediante este aviso. Cualquier finalidad adicional requiere su propio análisis jurídico, información y, cuando corresponda, consentimiento.

05Finalidades necesarias

Los datos se utilizan, en la medida que corresponda a la relación solicitada, para:

• Atender solicitudes, elaborar cotizaciones, verificar representación, contratar y administrar cuentas y permisos.
• Instalar, activar, mantener y dar soporte a los equipos, plataformas, licencias e integraciones contratados.
• Prestar funciones de videotelemática, localización, seguimiento operativo, auditoría de combustible y software de gestión; generar alertas, reportes y evidencia para usuarios autorizados.
• Identificar al operador mediante reconocimiento facial DMS y asociar los registros pertinentes de conducción y seguridad, con la base jurídica y los requisitos reforzados del apartado 4; tratar el audio de cabina para las finalidades informadas de seguridad y documentación de la operación o sus incidentes, según el alcance y la configuración comunicados.
• Documentar y apoyar el seguimiento de incidentes de seguridad u operación dentro del alcance contratado, sin que ello implique un servicio de emergencia o monitoreo continuo no contratado.
• Coordinar servicios de gestión de residuos, recolecciones, rutas, entregas, incidencias y evidencia de cumplimiento cuando esa solución se haya contratado.
• Integrar y canalizar una solicitud de arrendamiento o financiamiento cuando el interesado lo solicite; coordinar la evaluación y formalización con el proveedor correspondiente, sin garantizar su aprobación.
• Gestionar facturación, pagos, conciliaciones, aclaraciones, devoluciones y prevención de fraude. Los cargos y sus condiciones requieren autorización contractual independiente.
• Proteger cuentas y sistemas, atender derechos de los titulares, cumplir obligaciones legales y atender requerimientos de autoridad que resulten procedentes.

06Finalidades secundarias

Con el consentimiento que corresponda, los datos de contacto podrán utilizarse para comunicaciones comerciales, newsletter, invitaciones, encuestas no necesarias para el servicio y prospección comercial. Los testimonios o casos de éxito identificables requieren autorización adicional específica.

Puede rechazar estas finalidades desde la obtención de sus datos y en cualquier momento posterior escribiendo a marilu@evaprotect.com con el asunto «Privacidad — finalidades secundarias» o utilizando la baja incluida en la comunicación, cuando se encuentre disponible. La negativa no condiciona los servicios solicitados ni reduce sus derechos. El silencio no sustituye los consentimientos expresos exigibles por la Ley.

07Proveedores que tratan datos por cuenta de EVA o del cliente

Para prestar los servicios pueden intervenir proveedores de alojamiento, almacenamiento, telecomunicaciones, mensajería, soporte, seguridad, procesamiento tecnológico e inteligencia artificial. Cuando actúan exclusivamente bajo instrucciones y sin finalidades propias, su participación debe documentarse como encargo o subencargo, con obligaciones de confidencialidad, seguridad, limitación de uso y devolución o supresión.

Su acceso debe limitarse a lo necesario. Si un proveedor determina finalidades propias, la comunicación debe analizarse como transferencia y no se convierte en una remisión por llamarlo proveedor. Cuando EVA actúe como encargada del cliente, el subencargo o la comunicación a un aliado debe contar con la autorización e instrucciones que correspondan y no excederlas.

08Transferencias a terceros nacionales o extranjeros

No existe acceso general a todos los datos por pertenecer al ecosistema de EVA. Las transferencias se limitarán a los destinatarios, datos y finalidades siguientes, según la operación y la base jurídica documentada:

A. Prestadores y coordinadores de servicios de gestión integral de residuos y sus plataformas operativas. Finalidad: integrar y coordinar recolecciones, rutas, servicios, atención de incidencias y evidencia de cumplimiento contratados. Datos: contactos operativos, identificadores de unidad y operador cuando resulten necesarios, ubicación, recorridos, horarios, estado del servicio y evidencia puntual vinculada a la operación. El video se limita a los clips o accesos necesarios para la finalidad informada; no se concede por defecto acceso a todas las cámaras o grabaciones. Esta categoría no habilita el acceso a expedientes crediticios, datos de pago, audio o datos biométricos. La entrega de audio o biometría a un aliado requeriría una evaluación e información específicas, así como los consentimientos que correspondan; no queda autorizada por esta descripción general.

B. Entidades que evalúan, otorgan, intermedian o administran arrendamientos o financiamientos solicitados. Finalidad: integrar, evaluar, formalizar y administrar la solicitud y el contrato correspondiente, así como sus pagos e incidencias. Datos: identificación y representación, contacto, documentación fiscal y económica, estados financieros o de cuenta y referencias estrictamente necesarios. El tratamiento de datos patrimoniales o financieros de personas físicas requiere consentimiento expreso, salvo una excepción legal aplicable. No se entregan por defecto videos, audio, biometría, alertas de conducta o historiales GPS para calificar crédito o realizar cobranza. Si una operación requiere localizar un activo, ese tratamiento deberá justificarse, delimitarse e informarse específicamente; no queda autorizado de forma general por este aviso.

C. Prestadores de pagos, servicios bancarios y facturación que actúen como responsables independientes. Finalidad: procesar y conciliar pagos, validar operaciones, prevenir fraude y atender aclaraciones o devoluciones. Datos: los de identificación, contacto, facturación y transacción necesarios para el medio de pago utilizado. Se informarán también sus propios avisos cuando corresponda.

D. Aseguradoras, ajustadores y asesores que intervengan legítimamente en un incidente, reclamación o defensa de derechos. Finalidad: tramitar el caso concreto. Datos: identificación y contacto pertinentes, datos del incidente y evidencia acotada. No se presume una excepción de consentimiento por el solo hecho de existir un siniestro o una póliza.

E. Autoridades competentes. Finalidad: cumplir una obligación o requerimiento jurídicamente procedente, o atender un supuesto legal de procuración de justicia o protección de derechos. Se proporciona únicamente la información pertinente al fundamento del caso.

Cuando se requiera consentimiento para una transferencia, se recabará por separado antes de efectuarla, indicando el destinatario o categoría, datos y finalidad, mediante una opción de aceptación o negativa sin selección previa. Se utilizará una forma expresa y, tratándose de datos sensibles, expresa y por escrito, cuando sea exigible. Podrá solicitar información sobre el destinatario específico que intervenga en su operación mediante el contacto de privacidad.

Para cada transferencia que requiera consentimiento, la manifestación será: «Respecto de la transferencia al destinatario o categoría, con los datos y finalidad que se me han informado: □ Sí consiento la transferencia. □ No consiento la transferencia». Esta declaración se recabará mediante el mecanismo específico del trámite o servicio; el texto publicado no registra por sí mismo una elección.

La negativa a una transferencia opcional no impide recibir servicios independientes de ella. Si impide una funcionalidad o trámite que usted solicita, se le informará esa consecuencia concreta; no se interpretará como consentimiento general. Sólo se prescindirá del consentimiento cuando se documente un supuesto legal aplicable al titular y al tratamiento de que se trate. El receptor debe respetar las finalidades y obligaciones de protección que correspondan.

La consulta de sociedades de información crediticia, cuando proceda, se rige además por su normativa y por la autorización específica de la entidad consultante; aceptar este aviso no la sustituye.

09Tratamiento internacional

EVA está constituida en Estados Unidos. Según la operación y la infraestructura contratada, puede existir tratamiento en México, Estados Unidos o en las ubicaciones de los proveedores que efectivamente intervengan. Antes de habilitar un flujo se deben identificar sus ubicaciones y participantes, informar los elementos relevantes y establecer las obligaciones de protección aplicables. Puede solicitar información sobre los países y proveedores relacionados con su servicio en el contacto de privacidad.

La ubicación extranjera no elimina las obligaciones que resulten aplicables al tratamiento de datos en México. Un alojamiento por cuenta del responsable se distingue de una transferencia a un tercero que utiliza datos para finalidades propias.

10Conservación, seguridad e incidentes

Los datos se conservarán durante el tiempo necesario para las finalidades informadas y el cumplimiento de obligaciones contractuales, legales y de defensa de derechos. Los periodos de video, clips, telemetría y respaldos deben definirse y comunicarse para el servicio concreto; no se presume que todos tengan el mismo plazo ni que la cancelación comercial implique borrado inmediato de registros legalmente exigibles.

Al concluir las finalidades, se procederá a la cancelación, bloqueo y posterior supresión o disociación que correspondan. Durante el bloqueo los datos se conservarán exclusivamente para determinar posibles responsabilidades, sin utilizarlos para otras finalidades, salvo disposición legal aplicable. Puede consultar el plazo o criterio aplicable a sus datos mediante el contacto de privacidad.

EVA debe establecer y mantener medidas administrativas, técnicas y físicas proporcionales al riesgo, para proteger los datos contra pérdida, alteración y acceso o uso no autorizado, así como exigir confidencialidad a quienes intervengan. Este aviso no afirma certificaciones, controles específicos o disponibilidad que no hayan sido verificados para el servicio.

Las vulneraciones que afecten significativamente los derechos patrimoniales o morales de los titulares se les informarán de forma inmediata en los términos legales, con información pertinente sobre el incidente y las medidas recomendadas. Las comunicaciones a autoridades se efectuarán cuando correspondan conforme a la normativa aplicable.

11Cookies y tecnologías de navegación

El sitio y las plataformas pueden utilizar tecnologías necesarias para sesión, autenticación, seguridad y funcionamiento; y, cuando se habiliten, tecnologías de analítica o publicidad. Los datos asociados pueden incluir identificadores, dirección IP, navegador, dispositivo, páginas consultadas y actividad de navegación.

Las tecnologías no necesarias no quedan autorizadas por la mera publicación de este aviso. Antes de activarlas deberán informarse sus proveedores, finalidades, duración y controles disponibles, y obtenerse el consentimiento que corresponda. Puede gestionar cookies desde su navegador y desde el mecanismo de preferencias que se encuentre implementado en el sitio. Bloquear tecnologías necesarias puede afectar funciones determinadas. Puede solicitar el inventario aplicable al contacto de privacidad.

12Derechos ARCO, revocación y limitación de uso

Puede solicitar acceso, rectificación, cancelación u oposición al tratamiento de sus datos; revocar su consentimiento y limitar su uso o divulgación. Escriba a marilu@evaprotect.com con el asunto «Privacidad — solicitud de derechos». No es necesario contratar servicios o pagar una suscripción para ejercerlos.

Indique su nombre y medio de respuesta, el derecho que desea ejercer y los elementos que conozca para localizar sus datos. Deberá acreditar su identidad y, si aplica, representación, por el medio seguro y proporcional que se le indique. Para rectificación, señale el cambio y aporte su sustento. No remita datos o documentos ajenos a la solicitud.

Para solicitudes ARCO, se comunicará la determinación en un máximo de veinte días hábiles desde su recepción y, si procede, se hará efectiva dentro de los quince días hábiles siguientes a la comunicación. Estos plazos pueden ampliarse una sola vez por un periodo igual cuando se justifique y se notifique. Las prevenciones y demás reglas se tramitarán conforme al procedimiento aplicable. El acceso podrá atenderse mediante entrega electrónica, protegiendo datos de terceros; sólo procederán los costos permitidos por la Ley.

La revocación no tiene efectos retroactivos ni impide tratamientos que deban continuar por una obligación o excepción legal. Las solicitudes de revocación o limitación se tramitarán por el mismo contacto, indicando su alcance; se le comunicará su procedencia y los efectos respecto del servicio en un máximo de veinte días hábiles desde su recepción. Este plazo de atención no autoriza a continuar un tratamiento carente de base jurídica. Puede oponerse, cuando legalmente proceda, a tratamientos automatizados que afecten significativamente sus derechos o intereses.

Si EVA actúa como encargada, le orientará sobre el responsable y dará cauce a la solicitud conforme a sus instrucciones y obligaciones, sin utilizar esa condición para desatender los datos que EVA trate para finalidades propias.

13Menores de edad y captación incidental

La oferta comercial está dirigida a empresas y personas mayores de edad. Los dispositivos pueden captar incidentalmente la imagen o voz de acompañantes, pasajeros, peatones u otras personas, incluidos menores, así como conversaciones dentro de la cabina. La captación debe limitarse a la finalidad legítima de seguridad u operación; no habilita identificación, perfilamiento o publicación de esas personas para fines ajenos. El consentimiento del operador o de la empresa no cubre automáticamente a los acompañantes: deben atenderse los deberes de información y la base jurídica que correspondan, incluida señalización clara sobre audio y video cuando sea aplicable. Las solicitudes de los titulares o sus representantes se atenderán conforme a la normativa, protegiendo también derechos de terceros y evidencia que deba conservarse legalmente.

14Cambios, consentimiento y autoridad competente

Las actualizaciones estarán disponibles en https://www.evaprotect.com/avisodeprivacidad con su fecha. Cuando un cambio requiera nueva información o consentimiento, se proporcionarán y recabarán antes del nuevo tratamiento. Una modificación del aviso no legitima retroactivamente usos no autorizados.

Poner este aviso a disposición del titular no equivale a obtener todos los consentimientos. La navegación, una instalación o la firma de un contrato empresarial no sustituyen las autorizaciones específicas que correspondan. La aceptación o negativa a transferencias y finalidades opcionales se documentará en los mecanismos respectivos; los consentimientos sensibles, financieros y de consulta crediticia conservarán sus requisitos propios.

Si considera vulnerado su derecho a la protección de datos personales, puede acudir a la Secretaría Anticorrupción y Buen Gobierno, autoridad federal competente en materia de datos personales en posesión de particulares: https://www.gob.mx/buengobierno.