Legal
Aviso de Privacidad — Aplicación móvil
Versión 1.0 (borrador) · 2026-08-25
Este aviso describe el tratamiento de tus datos personales que ocurre a través de la aplicación móvil Aletion (Android e iOS), la app con la que registras tu jornada laboral en la empresa que te emplea. Si tu empresa usa Aletion, te corresponden dos avisos: el de tu empresa — que es la Responsable de tus datos laborales y decide para qué se usan — y este, que explica qué hace la app en tu teléfono, qué datos trata Aletion por cuenta de tu empresa y cuáles trata Aletion por cuenta propia. Encuentras ambos en la app, en Perfil → Aviso de privacidad de tu empresa (cuando tu empresa lo ha publicado) y Perfil → Aviso de privacidad de la app Aletion.
1. Quién trata tus datos
Aletion es la plataforma de control de asistencia y jornada laboral operada por Bernardo Elizondo Cantú (persona física, en proceso de constitución como sociedad mercantil), con correo de contacto para asuntos de privacidad privacidad@smartley.org (en adelante, "Aletion", "nosotros").
| Datos | Quién es Responsable | Papel de Aletion |
|---|---|---|
| Tus marcaciones, tu ubicación al marcar, tu selfie o plantilla facial, tu método de asistencia y los datos de tu expediente que la app muestra | Tu empresa (el patrón), conforme a su propio aviso de privacidad | Encargada del tratamiento (Art. 2 fr. XII LFPDPPP): tratamos esos datos únicamente por instrucción de tu empresa y conforme a su aviso |
| Tu correo de trabajo como credencial de acceso, tu sesión en la app y los datos técnicos de diagnóstico de la app | Aletion | Responsable (Art. 2 fr. XIV LFPDPPP) |
Cuando tu empresa aún no ha publicado su aviso personalizado, puedes consultar el modelo de aviso que cada empresa usuaria de Aletion personaliza en app.aletion.smartley.org/privacidad.
2. Qué datos trata la app y para qué
La app trata únicamente los datos de esta tabla. Cada uno se captura en el momento que se indica y para la finalidad que se indica; no hay finalidades secundarias (no hay publicidad, perfilado ni venta de datos).
| Dato | Cuándo se captura | Para qué | Quién lo recibe | Conservación |
|---|---|---|---|---|
| Correo electrónico de trabajo | Al iniciar sesión (escribes tu correo y te enviamos un enlace de acceso; el mismo correo trae un código de un solo uso para entrar sin el enlace, desde el portal web o escribiéndolo en esta app; no hay contraseña) | Autenticarte como la persona que tu empresa registró | La plataforma Aletion; Resend, Inc. (EUA) entrega el correo con el enlace y el código | Mientras exista tu cuenta en la plataforma. Si tu empresa te invitó y nunca entraste, la cuenta de acceso precreada con tu correo se elimina sola 30 días después de la fecha de vencimiento de la invitación (aunque se haya cancelado antes). El registro de la invitación con tu correo se elimina 30 días después de su fecha de vencimiento, hayas entrado o no; la bitácora de auditoría de tu empresa conserva la dirección conforme a su propio plazo. Un enlace o un código de acceso que no usaste se borra a más tardar dos días después de expirar |
| Identificadores de sesión | Al entrar con el enlace o al escribir el código de acceso | Mantener tu sesión abierta sin volver a pedirte el correo | Se guardan en el almacenamiento seguro de tu teléfono (Keychain en iOS, KeyStore en Android) | Hasta que cierras sesión o la sesión expira |
| Datos de tu expediente (nombre, número de empleado, sucursal, estado, método de asistencia, estado de tus datos biométricos) | La app los recibe del sistema de tu empresa para mostrártelos; no los captura de tu teléfono | Que veas tu propia información | Solo tú, en tu pantalla | No se guardan en el teléfono más allá de la sesión |
| Ubicación precisa (GPS) | Solo en el instante en que tú marcas entrada o salida, solo con la app abierta (primer plano). Nunca en segundo plano, nunca de forma continua | Acompañar tu marcación para que tu empresa compruebe que marcaste desde tu lugar de trabajo (la geocerca la valida el servidor de la plataforma, no tu teléfono) | La plataforma Aletion, por cuenta de tu empresa | Con la marcación, conforme a las obligaciones laborales de tu empresa (Ley Federal del Trabajo) |
| Selfie de marcación | Solo si elegiste el método facial, al marcar | Comparar tu rostro con la plantilla que registraste | El servicio de verificación facial de la plataforma (autoalojado por Aletion; ningún tercero externo lo procesa). La foto se descarta tras la comparación, salvo que tu empresa haya activado la conservación de selfies de marcación | Si tu empresa la activa: el plazo que ella configure (90 días por defecto), cifrada; después se elimina automáticamente |
| Foto de registro facial | Solo si elegiste el método facial, una vez, al registrar tu rostro | Generar tu plantilla facial (un vector matemático cifrado) | El servicio de verificación facial de la plataforma. La foto no se guarda; se conserva solo la plantilla, cifrada con llaves gestionadas en AWS KMS | La plantilla se conserva mientras uses el método facial y conforme a la política de tu empresa; puedes pedir su retiro (ver §6) |
| Marcaciones (entrada, salida, hora) | Cada vez que marcas | El registro electrónico de tu jornada (LFT Art. 132 fr. XXXIV y 804) | La plataforma Aletion, por cuenta de tu empresa | Conforme a las obligaciones laborales de tu empresa |
| Datos técnicos de diagnóstico (fallas de la app, tiempos de respuesta, y — al ocurrir una falla — una grabación de la pantalla con todo el texto y todas las imágenes enmascarados) junto con un identificador interno de usuario y de empresa | Solo cuando el monitoreo de errores está activado en la versión publicada de la app (no lo está en la versión actual) | Detectar y corregir fallas de la app | Functional Software, Inc. (Sentry), EUA | 90 días |
Lo que la app NO hace (y por eso no pide esos permisos): no usa el micrófono; no accede a tus contactos, calendario, mensajes ni a las fotos de tu galería; no rastrea tu ubicación en segundo plano; no usa identificadores publicitarios ni rastrea tu actividad en otras apps o sitios; no muestra anuncios; no envía notificaciones push en esta versión.
3. Datos sensibles: tu rostro
Tu plantilla facial es un dato biométrico sensible (Art. 2 fr. VI y Art. 8 LFPDPPP). Aletion la trata como Encargada, por instrucción de tu empresa y bajo su aviso de privacidad. Dos reglas que la app cumple siempre:
- Siempre tienes un método sin biometría. En Perfil → Cambiar método puedes elegir NIP en el checador o "solo ubicación" (y, desde el portal web de tu empresa, también tarjeta en el checador o registro con tu jefe). La obligación de tu empresa de registrar tu jornada (LFT Art. 804; Art. 9 fr. IV LFPDPPP) existe con cualquier método: elegir uno sin biometría no afecta tus derechos laborales.
- Tu rostro no sale de la plataforma. Ni la foto ni la plantilla se comparten con terceros ni se usan para identificarte en otros lugares. El servicio de verificación facial corre en infraestructura controlada por Aletion (Hetzner Online GmbH, Alemania).
Para retirar tu plantilla facial, dirígete a tu empresa (su DPO o el portal ARCO, ver §6); tu empresa instruye el retiro y la app te mostrará el resultado en Perfil → Datos biométricos.
4. Lo que queda guardado en tu teléfono
- Tu sesión (en el almacenamiento seguro del sistema operativo).
- Una base de datos local de marcaciones: si marcas sin señal, la marcación — con su hora, su ubicación y, en el método facial, su selfie — se guarda en el teléfono y se envía sola cuando vuelve la conexión. La selfie se borra del teléfono en cuanto la marcación se envía (o falla definitivamente). Las marcaciones ya enviadas (sin selfie) se borran de esa base local 24 horas después de haberse enviado, la próxima vez que abres la app con tu sesión iniciada. Las marcaciones que fallaron de forma definitiva se conservan en el teléfono hasta que confirmas el aviso de error en la app o, a más tardar, 30 días después. La base local no se borra al cerrar sesión (las marcaciones pendientes se conservan para enviarse cuando vuelvas a entrar — la app te avisa cuántas hay); se elimina por completo al desinstalar la app.
- La app no guarda tu correo ni contraseña (no existe contraseña).
5. Encargados y transferencias
Aletion usa proveedores de infraestructura (subencargados) que procesan datos por cuenta de Aletion y bajo contrato; ninguno puede usar tus datos para fines propios. Para los datos que llegan desde la app: Supabase, Inc. (base de datos, EUA) · Hetzner Online GmbH (cómputo de la plataforma y servicio de verificación facial, Alemania) · Cloudflare, Inc. (DNS de la plataforma y verificación anti-bot Turnstile en los formularios públicos a los que la app te enlaza, que recibe tu dirección IP; la app no pasa por su red, EUA) · Vercel, Inc. (hospedaje del portal web al que la app te enlaza, EUA) · Amazon Web Services, Inc. (gestión de llaves de cifrado, EUA — no almacena datos personales) · Resend, Inc. (correo de acceso: el enlace y el código, EUA) · Functional Software, Inc. / Sentry (diagnóstico de fallas, EUA, cuando está activado). La lista completa, con domicilios, mecanismos de transferencia y plazos, es el Anexo A de subencargados del contrato entre tu empresa y Aletion. Las transferencias internacionales se amparan en el Art. 36 LFPDPPP (cláusulas contractuales). Los servicios del sistema operativo de tu teléfono (Google Play Services / Apple) proveen la ubicación y la cámara conforme a sus propias políticas.
Aletion no vende, renta ni cede tus datos; no los transfiere a terceros para fines propios de esos terceros.
6. Tus derechos: acceso, rectificación, cancelación y oposición (ARCO) y revocación
- Sobre tus datos laborales y biométricos (los que trata tu empresa como Responsable): ejerce tus derechos ante tu empresa por los medios de su aviso de privacidad; también puedes iniciar una solicitud en el portal público app.aletion.smartley.org/derechos-arco, que la canaliza a tu empresa con el plazo legal corriendo desde el día de tu envío (respuesta en un máximo de 20 días hábiles, Art. 31 LFPDPPP; confirma tu correo con el enlace que recibes — vale 24 horas — o la solicitud caduca a los 7 días y puedes iniciar otra). Aletion, como Encargada, asiste a tu empresa para responder.
- Sobre los datos de los que Aletion es Responsable (tu credencial de acceso, tu sesión, el diagnóstico de la app): escribe a privacidad@smartley.org indicando tu nombre, el correo con el que entras a la app y el derecho que ejerces; te respondemos en un máximo de 20 días hábiles.
- Revocar o limitar: puedes cambiar a un método sin biometría en cualquier momento desde la app (Perfil → Cambiar método), negar el permiso de ubicación o cámara desde la configuración de tu teléfono (la app sigue registrando tu marcación sin ubicación; tu empresa decide si la acepta según su política de geocerca), y cerrar sesión o desinstalar la app. Ninguna de esas acciones borra los registros de jornada que tu empresa está obligada a conservar por ley.
- Si consideras que tu derecho no fue atendido, puedes acudir a la Secretaría Anticorrupción y Buen Gobierno (SABG), autoridad garante en materia de datos personales.
7. Seguridad
Toda comunicación entre la app y la plataforma viaja cifrada (HTTPS/TLS). Las plantillas faciales y, en su caso, las selfies conservadas se cifran en reposo con llaves gestionadas en AWS KMS. Tu sesión se guarda en el almacenamiento seguro del sistema operativo. Los datos de cada empresa están aislados en la plataforma (aislamiento por inquilino a nivel de base de datos) y cada registro queda en una cadena de auditoría verificable.
8. Menores de edad
La app está dirigida a personas trabajadoras. No recabamos intencionalmente datos de menores fuera de una relación laboral lícita conforme a la Ley Federal del Trabajo.
9. Cambios a este aviso
Publicaremos cualquier cambio en esta misma página indicando la fecha de la versión; la app enlaza siempre a esta página desde tu perfil (la app no cuenta hoy con un mecanismo propio de notificación dentro de la aplicación).
10. Contacto
Privacidad: privacidad@smartley.org · General: hola@smartley.org
Documento de referencia interna: compliance/drafts/aviso-privacidad-app-movil-v1.0.md · Estado: pre-revisión legal (agenda Q33 con counsel).