Aviso de privacidad de Core Suite

Core Suite S.A.S. («Core Suite»), con RFC CSU260324P42, es responsable del tratamiento de sus datos personales.

Su domicilio para oír y recibir notificaciones es Calle 72C número 499, Cerrada Lluvia de Oro, entre Calle 13J, Colonia Gran Santa Fe, Mérida, Yucatán, C.P. 97314, México.

El Departamento de Datos Personales de Core Suite atiende todos los asuntos relacionados con sus datos y sus derechos:

• Correo: privacidad@coresuite.mx
• Teléfono: +52 999 102 0534
• Domicilio: el señalado en el párrafo anterior.

Las consultas sobre el servicio se dirigen a soporte@coresuite.mx.

Este aviso describe el tratamiento de sus datos personales cuando usted:

• visita el sitio coresuite.mx (el «Sitio») o la página de estado status.coresuite.mx;
• crea y utiliza su cuenta CoreSuite (la «Cuenta») en account.coresuite.mx (CoreAccount): registro, inicio de sesión, verificación de correo y de celular, verificación en dos pasos y Mi cuenta;
• ingresa con su Cuenta a una aplicación de Core Suite, como CoreDoc;
• contrata un Plan, realiza pagos, compra Paquetes o configura la Recarga automática, y cuando Core Suite emite sus facturas (CFDI);
• se comunica con Soporte o recibe correos de Core Suite.

Este aviso no se aplica a los datos de pacientes que un consultorio registra en CoreDoc. El responsable de esos datos es el consultorio, y Core Suite solo los trata por su cuenta, como encargado. Ese tratamiento se describe en el Aviso de privacidad de CoreDoc y en el aviso de privacidad de cada consultorio.

Datos que usted proporciona

• Identificación y contacto: nombre, correo electrónico y número de celular.
• Acceso: su contraseña, que se almacena únicamente en forma irreversible (nadie puede leerla); y, si activa la verificación en dos pasos, la clave de su aplicación de verificación (cifrada) y sus códigos de recuperación (únicamente en forma irreversible).
• Preferencias: idioma y tema (Claro o Grafito).
• Datos fiscales, solo si requiere factura nominativa: RFC, nombre o razón social, régimen fiscal, código postal fiscal y uso del CFDI de cada Consultorio.
• Datos de pago: los datos de su tarjeta los captura y resguarda Stripe, proveedor de pagos de Core Suite. Core Suite nunca recibe ni conoce el número completo de su tarjeta ni su código de seguridad. Solo recibe la marca, los últimos 4 dígitos, el vencimiento y el resultado de cada cobro.
• Consultorios: el nombre de cada Consultorio que le pertenece, su Plan y su estado.
• Comunicaciones: lo que usted escriba a Soporte o a privacidad@coresuite.mx, y las respuestas de Core Suite.
• Formularios del Sitio, si los utiliza: nombre, correo, celular, especialidad, ciudad, horario preferido, nombre de la clínica, número de profesionales de la salud y de sedes, y su mensaje, según el formulario (contacto, demostración, cotización o boletín).

Datos que se generan al utilizar el servicio

• Inicio de sesión y seguridad: fecha y hora de cada inicio de sesión, dirección IP, navegador y sistema operativo, ciudad y estado aproximados de la conexión (calculados por Cloudflare a partir de la IP), intentos fallidos y bloqueos.
• Bitácora: registro de las acciones relevantes de su Cuenta, con fecha, hora, IP y autor: cambios de correo, de contraseña o de la verificación en dos pasos; contrataciones, cancelaciones, transferencias y cierres; y aceptaciones de documentos legales.
• Aceptaciones: la versión de cada documento legal que acepta, la fecha y hora, la IP, el idioma en que se mostró y el momento de la aceptación (registro, alta de un Consultorio, primer pago u otro).
• Cobro: pagos, Paquetes, Saldo, Recargas automáticas y CFDI emitidos.
• Membresías: los Consultorios y aplicaciones a los que tiene acceso y con qué rol.
• Uso del Sitio: visitas contadas de forma agregada y sin cookies (sección 9) y, si ingresa desde un enlace de campaña, la fuente de ese primer contacto.

Datos que proporcionan otras personas o servicios

• Google: si elige «Continuar con Google», Google entrega el identificador de su cuenta de Google, su correo (verificado por Google) y su nombre.
• Invitaciones: cuando alguien le invita a un Consultorio, la aplicación envía su correo y el rol asignado.
• Transferencias de Consultorio: si la persona dueña de un Consultorio desea transferírselo, proporciona su correo.
• Stripe: el resultado de cada cobro y de sus revisiones de fraude.
• SAT, a través del proveedor de facturación de Core Suite: si su RFC, nombre y código postal coinciden con su padrón.

Datos que no se solicitan

Core Suite no solicita datos personales sensibles, como datos de salud, origen étnico o creencias. La Cuenta tampoco solicita cédula profesional ni especialidad: si una aplicación las utiliza, lo describe su aviso. Se solicita no enviar datos de pacientes a Soporte.

Los servicios de Core Suite están dirigidos a personas mayores de edad. No están dirigidos a menores de 18 años.

Core Suite utiliza sus datos para las siguientes finalidades, necesarias para prestar el servicio:

1. Crear su Cuenta, identificarle y permitirle iniciar sesión con correo y contraseña o con Google.
2. Verificar su correo mediante un enlace y su celular mediante un código por SMS, o por WhatsApp cuando esa opción esté disponible.
3. Proteger su Cuenta: verificación en dos pasos, límites de intentos, bloqueos temporales desde el lugar de los intentos fallidos, comprobación contra bots y avisos de seguridad por correo.
4. Dar acceso con una sola sesión a las aplicaciones de Core Suite en las que tiene una Membresía, y compartir con ellas su identificador, correo, nombre, idioma y tema.
5. Dar de alta sus Consultorios y administrar sus Planes, la Prueba, el Plan Gratis, las Membresías, las invitaciones, las transferencias y los cierres.
6. Cobrar con su tarjeta, a través de Stripe, los Planes, los Médicos extra, los Paquetes y las Recargas automáticas, y administrar su Saldo.
7. Emitir los CFDI de sus pagos (nominativos o dentro de la factura global), validar sus datos fiscales y cumplir las obligaciones fiscales de Core Suite.
8. Enviarle los correos del servicio: verificaciones, recibos, CFDI, recordatorios de renovación, pagos no aprobados, cambios de precio, avisos de Saldo, mantenimientos programados y versiones nuevas de los documentos legales. Estos correos no pueden desactivarse mientras exista su Cuenta.
9. Registrar qué versión de cada documento legal aceptó y cuándo.
10. Atender sus solicitudes de Soporte, de exportación de datos y de derechos ARCO.
11. Prevenir fraude y abuso: verificar que un mismo celular no tenga más de una Prueba o un Plan Gratis, detectar accesos automatizados y revisar cobros sospechosos junto con Stripe.
12. Mantener la bitácora y los registros técnicos para diagnosticar fallas, investigar incidentes de seguridad y acreditar lo ocurrido.
13. Responder las solicitudes de contacto, demostración o cotización que envíe desde un formulario del Sitio.
14. Cumplir obligaciones legales y atender requerimientos de autoridades competentes.

Revisiones automatizadas. Algunas decisiones las toma el sistema: el bloqueo temporal después de varios intentos fallidos desde un mismo lugar, la comprobación contra bots, la regla de un solo celular por Prueba o Plan Gratis y las revisiones de fraude de Stripe. Si alguna de ellas le afecta, puede escribir a soporte@coresuite.mx o a privacidad@coresuite.mx para que una persona la revise.

Las siguientes finalidades no son necesarias para el servicio:

1. Enviarle el boletín con novedades de Core Suite y sus aplicaciones. Solo lo recibe si se suscribe y confirma su correo.
2. Si tiene un Consultorio en Plan Gratis, enviarle un correo semanal con el resumen de su uso y las funciones del Plan siguiente con su precio.
3. Conocer la campaña o fuente de la que provino la persona que creó una Cuenta, para medir la publicidad de Core Suite.

Negarse no afecta su Cuenta ni el servicio. Puede hacerlo de las siguientes formas:

• Boletín y correo semanal: mediante el enlace de baja incluido en cada correo. El correo semanal también puede desactivarse y reactivarse desde Mi cuenta.
• Cualquiera de las tres: mediante un correo a privacidad@coresuite.mx con el asunto «No acepto finalidades no necesarias».

Si este aviso no se le dio a conocer en persona, cuenta con 5 días hábiles a partir de que proporcionó sus datos para negarse a estas finalidades antes de que se utilicen para ellas. Después de ese plazo, puede negarse en cualquier momento.

Al crear su Cuenta, usted marca la casilla «Acepto» de este aviso, ya sea con correo, con Google o desde una invitación. Con ello otorga su consentimiento expreso, que incluye los datos financieros y patrimoniales (datos de cobro y fiscales) que se tratan para cobrar y facturar. Ese tratamiento también es necesario para cumplir el contrato que usted celebra con Core Suite.

En los formularios del Sitio, el aviso se acepta al enviarlos, mediante la leyenda que aparece junto al botón.

Si se requiere su consentimiento para algún cambio, Core Suite lo solicitará antes de aplicarlo (sección 15).

Para prestar el servicio, Core Suite contrata proveedores que tratan datos únicamente por su cuenta, conforme a sus instrucciones y mediante contrato. A esto se le conoce como remisión (Reglamento de la LFPDPPP) y no se considera una transferencia. Algunos de estos proveedores se ubican fuera de México. La base de datos y los archivos del servicio en producción se ubican en México.

El monitoreo del servicio y la página de estado los opera Core Suite, sin terceros.

El ambiente de pruebas de Core Suite se ubica en Estados Unidos (Microsoft Azure, región East US 2) y no se utiliza con datos de clientes.

Una transferencia es la comunicación de datos a un tercero que los utiliza para sus propios fines. Core Suite solo realiza las siguientes, que la ley permite sin su consentimiento (artículo 36 de la LFPDPPP):

• Servicio de Administración Tributaria (SAT): sus datos fiscales y los de cada pago se incluyen en los CFDI, por obligación fiscal.
• Stripe: además de cobrar por cuenta de Core Suite, Stripe utiliza datos de los cobros para sus propios fines de prevención de fraude, administración de riesgos y cumplimiento de sus obligaciones legales. Es necesario para el contrato de cobro que usted celebra con Core Suite. Stripe lo realiza conforme a su propio aviso de privacidad.
• Cloudflare: cuando usted resuelve la comprobación contra bots (Turnstile), Cloudflare también utiliza los datos técnicos de su conexión (IP, navegador y características de la conexión segura) para mejorar su detección de bots.
• Autoridades competentes: cuando lo requieran conforme a la ley, o cuando sea necesario para el reconocimiento, ejercicio o defensa de un derecho en un proceso.

Si usted elige iniciar sesión con Google, Google conoce que utiliza su cuenta de Google para ingresar a Core Suite. Ese tratamiento lo realiza Google conforme a su propia política de privacidad.

Si usted transfiere un Consultorio, la persona que lo recibe conoce su nombre, su Plan y su estado. Sus pagos, CFDI, datos fiscales y tarjeta no se transfieren.

Core Suite no vende ni renta sus datos y no los comparte con anunciantes. No realiza transferencias que requieran su consentimiento. Si alguna llegara a ser necesaria, lo solicitará previamente, mediante una casilla sin marcar.

Core Suite utiliza únicamente las cookies y el almacenamiento del navegador que el servicio requiere para funcionar de forma segura y para recordar el idioma y el tema elegidos. Por tratarse de elementos necesarios, no se solicita su aceptación en un aviso emergente.

Core Suite no utiliza cookies de publicidad, píxeles de redes sociales, grabadores de sesión ni rastreo entre sitios.

Adicionalmente:

• Cloudflare Web Analytics cuenta las visitas del Sitio de forma agregada. No utiliza cookies ni almacenamiento del navegador y no identifica a ninguna persona.
• Turnstile, la comprobación contra bots de Cloudflare, revisa la IP, el navegador y las características de la conexión segura.
• Para medir cuántas personas completan el registro, Core Suite registra eventos propios, sin cookies. A la Cuenta solo se liga la fuente del primer contacto (sección 5).

Las cookies pueden borrarse o bloquearse desde la configuración del navegador. Sin las cookies de sesión no es posible iniciar sesión en CoreAccount.

• Cuenta: mientras exista. Puede cerrarse en Mi cuenta cuando usted ya no sea la persona dueña de ningún Consultorio. Al cerrarla, ya no es posible iniciar sesión y sus datos se bloquean: solo se conservan para cumplir obligaciones legales o para la defensa de derechos, hasta que prescriban las acciones derivadas de la relación. Después se suprimen.
• Pagos y CFDI: 5 años, conforme al Código Fiscal de la Federación.
• Bitácora de seguridad: 5 años desde cada evento.
• Registro de aceptaciones de documentos legales: 10 años desde cada aceptación, conforme al artículo 49 del Código de Comercio.
• Datos de un pago no cubierto: como máximo 72 meses desde el incumplimiento.
• Registros técnicos: por periodos breves, salvo lo necesario para investigar un incidente.
• Correspondencia con Soporte: mientras exista la Cuenta y durante el bloqueo.
• Boletín: hasta la baja. Un correo no confirmado se borra a los 30 días.
• Formularios del Sitio: el tiempo necesario para atender la solicitud y hasta 24 meses después del último contacto.
• Códigos y enlaces de un solo uso: vencen en minutos u horas, y solo se conserva su forma irreversible.

Los respaldos se sobrescriben automáticamente en su ciclo normal.

Core Suite protege sus datos con medidas administrativas, técnicas y físicas, entre ellas:

• conexión cifrada (HTTPS) en el Sitio, en CoreAccount y en sus servicios;
• datos cifrados en reposo en Microsoft Azure;
• contraseñas y códigos almacenados únicamente en forma irreversible;
• llaves de firma resguardadas en un almacén de llaves administrado, del que no salen;
• verificación en dos pasos disponible para la Cuenta;
• servidores sin acceso directo desde internet, solo a través de Cloudflare;
• acceso del personal limitado a lo necesario para su función, con registro;
• respaldos automáticos.

Si ocurre una vulneración de seguridad que afecte de forma significativa sus derechos patrimoniales o morales, Core Suite se lo informará de inmediato por correo, con la naturaleza del incidente, los datos afectados, las medidas adoptadas y las acciones que usted puede tomar para protegerse.

Usted tiene derecho a acceder a sus datos, rectificarlos, cancelarlos y oponerse a su tratamiento.

Diversos datos pueden modificarse directamente en Mi cuenta: nombre, celular, correo, contraseña, idioma, tema, verificación en dos pasos y datos fiscales. También ahí puede cerrarse la Cuenta.

Para ejercer sus derechos, envíe un correo a privacidad@coresuite.mx con:

1. Su nombre y el correo en el que desea recibir la respuesta.
2. Un medio que acredite su identidad. Si escribe desde el correo de su Cuenta, puede solicitársele confirmarlo iniciando sesión. En otro caso, deberá enviar una identificación oficial vigente. Si actúa en representación de otra persona, deberá enviar también su identificación y el documento que acredite la representación.
3. El derecho que desea ejercer y una descripción clara de los datos.
4. Cualquier elemento que facilite localizar sus datos, como el ID de su cuenta, visible en el menú de su avatar en CoreAccount.
5. En caso de rectificación: la modificación solicitada y, si aplica, el documento que la respalde.

Si falta algún requisito, se le solicitará por el mismo medio.

Plazos. Core Suite responde en un máximo de 20 días hábiles a partir de la recepción de la solicitud. Si procede, la hace efectiva dentro de los 15 días hábiles siguientes a la respuesta. Cada plazo puede ampliarse una sola vez por un periodo igual cuando las circunstancias lo justifiquen, lo cual se le informará.

Respuesta. La respuesta se envía por correo. En caso de acceso, los datos se entregan en un documento electrónico.

Costo. El trámite es gratuito. Solo podrían cobrarse los costos de reproducción o envío si solicita algo en forma física. Si repite la misma solicitud en menos de 12 meses, el costo no excederá de 3 Unidades de Medida y Actualización, salvo que el aviso se modifique de forma sustancial.

Límites. Si la solicitud no procede, se le informará el motivo. No pueden cancelarse los datos que la ley obliga a conservar, como los CFDI. Los datos cancelados pasan primero por el bloqueo previsto en la sección 10.

Si no está de acuerdo con la respuesta, o si no la recibe, puede acudir a la autoridad (sección 16).

Usted puede revocar su consentimiento en cualquier momento, sin efectos retroactivos, mediante un correo a privacidad@coresuite.mx con los mismos datos de la sección 12, o por el mismo medio por el que lo otorgó: el enlace de baja de cada correo o Mi cuenta.

Core Suite responde en los mismos plazos que una solicitud ARCO. A solicitud suya, confirma que dejó de utilizar sus datos para esa finalidad. También lo informa a los proveedores que los tratan por su cuenta.

La revocación del consentimiento para una finalidad necesaria impide continuar prestando el servicio y requiere el cierre de la Cuenta. Core Suite conservará lo que la ley obliga a resguardar, como los CFDI.

• Darse de baja del boletín o del correo semanal mediante el enlace de cada correo o desde Mi cuenta.
• Solicitar a privacidad@coresuite.mx la inscripción de su correo en el listado de exclusión de Core Suite. Así no recibirá comunicaciones no necesarias, aunque vuelva a proporcionar sus datos.
• Core Suite no realiza llamadas ni envía SMS o WhatsApp con fines comerciales. Adicionalmente, puede inscribir su número en el Registro Público para Evitar Publicidad (REPEP) de la PROFECO.
• Configurar su navegador para bloquear cookies (sección 9).

Core Suite publica cada versión de este aviso en coresuite.mx/legal, con su número, su fecha de vigencia y un resumen. Cada versión tiene una dirección permanente. Las versiones anteriores permanecen disponibles e indican que ya no están vigentes.

Cuando un cambio sea relevante, Core Suite lo informará por correo al menos 30 días antes de su vigencia. Se consideran relevantes, en todo caso, un cambio en la identidad del responsable, nuevos datos sensibles, financieros o patrimoniales, nuevas finalidades o nuevas transferencias que requieran su consentimiento. La versión nueva indicará si requiere aceptación. En ese caso, a partir de su vigencia se le solicitará al ingresar a CoreAccount o a una aplicación. Mientras no la acepte, podrá ingresar a Mi cuenta para pagar, cancelar, solicitar la exportación de sus datos o cerrar su Cuenta.

Las correcciones menores se publican sin requerir una nueva aceptación.

Si considera que su derecho a la protección de sus datos personales fue lesionado, puede acudir a la Secretaría Anticorrupción y Buen Gobierno (SABG), que asumió las funciones del extinto INAI en esta materia:

• Unidad de Protección de Datos Personales, Dirección General de Datos Personales en el Sector Privado.
• Avenida Insurgentes Sur 1735, Colonia Guadalupe Inn, Alcaldía Álvaro Obregón, C.P. 01020, Ciudad de México. Lunes a viernes, de 9:00 a 18:00 horas.
• Correo: updp.privado@buengobierno.gob.mx. Teléfono: 55 2000 3000.

La solicitud de protección de derechos puede presentarse dentro de los 15 días hábiles siguientes a la respuesta de Core Suite, o al vencimiento del plazo para darla.