Política de Privacidad

1. Identidad y domicilio del responsable

NARVALLA INNOVACIÓN S.A.P.I. DE C.V. (en lo sucesivo, "Narvalla" o "El Responsable"), sociedad legalmente constituida conforme a las leyes de los Estados Unidos Mexicanos, con Registro Federal de Contribuyentes NIN250121FM1, es responsable del tratamiento de sus datos personales y declara los siguientes datos de contacto:

"Narvalla" opera como plataforma digital que conecta a familias y pacientes con profesionales de enfermería, cuidadoras y niñeras para la prestación de servicios de cuidado a domicilio o en hospital, conforme al Aviso de Funcionamiento ante la Comisión Federal para la Protección contra Riesgos Sanitarios (COFEPRIS) con fecha 13 de octubre del 2025 con folio 2510025036X00199, al marco normativo aplicable a las plataformas digitales, establecido en el Capítulo IX Bis de la LFT (Ley Federal del Trabajo), Arts. 291-A al 291-U, NOM-151-SCFI.

2. Datos personales que recabamos

Para las finalidades descritas en el presente Aviso, "Narvalla" recabará las siguientes categorías de datos personales, según el tipo de relación que el titular guarde con "El Responsable":

2.1 Datos de pacientes y usuarios contratantes (familias)

• Datos de identificación: nombre completo, fecha de nacimiento, género, nacionalidad, CURP, RFC, identificación oficial vigente, biométrico.
• Datos de contacto: domicilio, teléfono, correo electrónico, contacto de emergencia.
• Datos patrimoniales y financieros: domicilio fiscal, datos de tarjeta bancaria o cuenta para pagos, historial de pagos y facturación.
• Datos de geolocalización: ubicación del domicilio o lugar de prestación del servicio.
• Datos biométricos: Recabar y conservar datos biométricos como huella dactilar, reconocimiento facial o voz, únicamente para fines de identificación, autenticación y seguridad, conforme a la legislación aplicable en México. Los datos serán almacenados en medios físicos y/o electrónicos con medidas de seguridad administrativas, técnicas y físicas, y se conservarán únicamente durante el tiempo necesario para cumplir con la finalidad para la que fueron recabados y las obligaciones legales correspondientes.

2.2 Datos personales sensibles relativos a la salud

De conformidad con el Artículo 9 de la LFPDPPP, los siguientes datos se consideran sensibles por referirse a la esfera más íntima del titular, y su tratamiento requiere consentimiento expreso y por escrito:

• Historial clínico, diagnósticos médicos y padecimientos.
• Padecimientos crónicos (diabetes, hipertensión, cardiopatías, oncológicos, neurológicos, entre otros).
• Alergias e intolerancias.
• Medicamentos prescritos, dosis, vías y horarios de administración.
• Tratamientos médicos en curso o pendientes.
• Discapacidades, dependencia funcional y grado de movilidad.
• Antecedentes quirúrgicos y hospitalarios.
• Signos vitales y mediciones biométricas (presión arterial, glucosa, oxigenación, frecuencia cardíaca).
• Indicaciones del médico tratante.
• Requerimientos de cuidados paliativos.
• Notas de enfermería y observaciones clínicas registradas durante la prestación del servicio, las cuales conforman el expediente clínico conforme a la NOM-004-SSA3-2012.
• Expediente clínico (paciente adulto): plazo de conservación de 5 años desde la última atención, con fundamento en la NOM-004-SSA3-2012.
• Expediente clínico (paciente menor de edad): plazo de conservación de 5 años después de la mayoría de edad, con fundamento en la NOM-004-SSA3-2012.
• Consentimiento informado por escrito: plazo de conservación mientras dure la relación, +/- 10 años, con fundamento en el Artículo 9 de la LFPDPPP.
• Datos procesados con fines estadísticos: plazo de conservación indefinido (previa anonimización), con fundamento en el Artículo 3, fracción I de la LFPDPPP.

En cumplimiento de lo establecido en el Artículo 9 de la LFPDPPP y su reglamento, se recaba el consentimiento expreso y por escrito del titular para el tratamiento de sus datos personales sensibles relativos a la salud, de conformidad con el Aviso de Privacidad Integral.

2.3 Datos de menores de edad

En cumplimiento con lo dispuesto en la LFPDPPP, su Reglamento y los Lineamientos del Aviso de Privacidad Integral, cuando en el ejercicio de las actividades de "Narvalla" sea necesario tratar datos personales de menores de edad, se observan las siguientes medidas:

• El tratamiento de datos de menores de edad se realizará únicamente con el consentimiento expreso del padre, madre o tutor legal, quien deberá acreditar su representación al momento de proporcionarlos.
• Los datos recabados serán estrictamente los necesarios para la finalidad que los justifica, en apego al principio de minimización de datos previsto en el Artículo 7 de la LFPDPPP.
• Dichos datos contarán con medidas de seguridad administrativas, técnicas y físicas reforzadas, conforme al Artículo 19 de la LFPDPPP, dada la naturaleza sensible que implica la información de personas menores de edad.
• El padre, madre o tutor legal podrá en todo momento ejercer los Derechos ARCO (Acceso, Rectificación, Cancelación y Oposición) en representación del menor, a través de los medios señalados en este Aviso de Privacidad Integral.

2.4 Datos de colaboradores (enfermeras, cuidadoras y niñeras)

En cumplimiento con la LFPDPPP, su Reglamento y los Lineamientos del Aviso de Privacidad Integral, en "Narvalla" recabamos datos profesionales y personales de las personas que prestan sus servicios como colaboradores (enfermeras, cuidadoras y niñeras), a través de nuestra plataforma. Los datos tratados podrán incluir: identificación, contacto, formación académica y certificaciones, referencias laborales, datos bancarios y, en su caso, datos sensibles como información de salud o antecedentes penales, los cuales serán tratados con especial protección conforme al Artículo 9 de la LFPDPPP, requiriéndose consentimiento expreso y por escrito. El tratamiento se realizará bajo los principios de licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad establecidos en el Artículo 6 de la LFPDPPP. Los colaboradores podrán ejercer sus derechos ARCO en cualquier momento a través de los medios indicados en este Aviso de Privacidad Integral.

2.5 Datos de navegación y de uso de la plataforma

Al acceder y utilizar nuestra plataforma recabamos de manera automática los siguientes datos: dirección IP, tipo y versión de navegador o dispositivo, sistema operativo, páginas visitadas, tiempo de navegación, interacciones dentro de la plataforma, geolocalización aproximada y preferencias de uso. Para la recolección de estos datos se utilizarán cookies, web beacons y tecnologías similares, en términos del Artículo 16 de la LFPDPPP. El usuario podrá configurar su navegador o dispositivo para restringir o deshabilitar su uso, aunque esto podría limitar algunas funcionalidades de la plataforma. Los datos de navegación podrán ser tratados por terceros proveedores de servicios tecnológicos (analítica, infraestructura en la nube, etc.) bajo estrictas obligaciones de confidencialidad y únicamente para las finalidades aquí descritas.

3. Finalidades del tratamiento

3.1 Finalidades primarias (necesarias para la relación jurídica)

En términos del Artículo 16, fracción IV de la LFPDPPP, los datos personales recabados serán tratados para las siguientes finalidades primarias, sin las cuales no sería posible prestar el servicio ni mantener la relación jurídica con el titular:

• Para usuarios (familias): Creación y gestión de cuenta en la plataforma, vinculación con colaboradores (enfermeras, cuidadoras y niñeras), procesamiento de pagos y emisión de comprobantes, atención a solicitudes, quejas y aclaraciones, cumplimiento de obligaciones legales y contractuales.
• Para colaboradores (enfermeras, cuidadoras y niñeras): Registro, validación de identidad y verificación de antecedentes, gestión del perfil profesional y asignación de servicios, administración de pagos y retenciones fiscales aplicables, cumplimiento de obligaciones derivadas de la relación de prestación de servicios.
• Para ambos: Envío de comunicaciones relacionadas exclusivamente con el servicio contratado, cumplimiento de requerimientos conforme a la legislación mexicana vigente.

El titular no podrá oponerse al tratamiento de sus datos para estas finalidades, ya que son indispensables para la existencia y la ejecución de la relación jurídica, conforme al Artículo 8, párrafo tercero de la LFPDPPP.

3.2 Finalidades secundarias (no necesarias para el servicio)

En términos del Artículo 16, fracción IV de la LFPDPPP, los datos personales podrán ser tratados adicionalmente para las siguientes finalidades secundarias, las cuales no son necesarias para la prestación del servicio ni para el cumplimiento de la relación jurídica:

• Para usuarios (familias): Envío de promociones, descuentos y comunicaciones de marketing, invitaciones a participar en encuestas de satisfacción y estudios de mercado, personalización de contenidos y recomendaciones dentro de la plataforma, elaboración de perfiles de uso para mejorar la experiencia del usuario.
• Para colaboradores (enfermeras, cuidadoras y niñeras): Envío de comunicaciones sobre nuevas oportunidades, capacitaciones y beneficios, participación en programas de fidelización o reconocimiento, elaboración de estadísticas internas sobre desempeño y calidad de servicio.
• Para ambos: Compartir información agregada y anonimizada con aliados comerciales o de negocio, realización de acciones de mercadotecnia directa por cualquier medio electrónico o físico.

El titular podrá negar o revocar su consentimiento para el tratamiento de sus datos con estas finalidades secundarias en cualquier momento, sin que ello afecte la prestación del servicio, mediante solicitud dirigida a través de los medios señalados en este Aviso de Privacidad Integral, conforme al Artículo 8 de la LFPDPPP.

4. Consentimiento expreso para el tratamiento de datos sensibles

En cumplimiento con los Artículos 8 y 9 de la LFPDPPP, el tratamiento de datos personales sensibles requiere el consentimiento expreso y por escrito del titular. En nuestra plataforma, los datos sensibles que se podrán tratar son:

• Datos de salud de menores de edad y colaboradores (enfermeras, cuidadoras y niñeras).
• Antecedentes penales y no penales de colaboradores, para verificación de confianza.
• Datos biométricos utilizados para autenticación de identidad, en su caso.

El titular otorga su consentimiento expreso mediante la aceptación física o electrónica de este Aviso de Privacidad Integral, la cual quedará debidamente registrada conforme al Artículo 7 del Reglamento de la LFPDPPP. Dichos datos serán tratados con medidas de seguridad reforzadas, utilizados exclusivamente para las finalidades que los justifican y nunca serán divulgados sin causa legalmente justificada. El titular podrá revocar su consentimiento en cualquier momento, sin efectos retroactivos, a través de los mecanismos señalados en este Aviso de Privacidad Integral.

5. Transferencias y comunicación de datos

En términos de los Artículos 36 y 37 de la LFPDPPP y el Artículo 68 de su Reglamento, informamos que sus datos personales podrían ser transferidos a los siguientes destinatarios:

Transferencias que no requieren consentimiento (Artículo 37 LFPDPPP):

• Autoridades competentes (IMSS, SAT, autoridades judiciales o administrativas) en cumplimiento de obligaciones legales.
• Sociedades controladoras, subsidiarias o afiliadas bajo políticas de privacidad comunes.
• Proveedores de servicios tecnológicos (infraestructura, nube, pasarelas de pago) bajo estrictas obligaciones de confidencialidad.

Transferencias que requieren consentimiento:

• Aliados comerciales para fines de mercadotecnia o promociones conjuntas.
• Aseguradoras, en caso de contratación de coberturas vinculadas al servicio.

En todos los casos, los destinatarios asumen las mismas obligaciones de protección de datos que corresponden al responsable, mediante cláusulas contractuales o convenios de confidencialidad, conforme al Artículo 36 de la LFPDPPP. Los datos no serán vendidos ni cedidos a terceros para finalidades ajenas a las descritas en este Aviso de Privacidad Integral.

6. Derechos ARCO y revocación del consentimiento

En cumplimiento con los Artículos 28 al 40 de la LFPDPPP y el Capítulo IV de su Reglamento, todo titular tiene derecho a:

• Acceso: Conocer qué datos personales tenemos, para qué los usamos y las condiciones de su tratamiento.
• Rectificación: Solicitar corrección de datos inexactos o incompletos.
• Cancelación: Solicitar la supresión de sus datos cuando considere que no están siendo tratados conforme a la Ley.
• Oposición: Oponerse al tratamiento de sus datos para finalidades específicas, en particular las secundarias.

Adicionalmente, el titular podrá revocar su consentimiento en cualquier momento para el tratamiento de sus datos, sin efectos retroactivos, conforme al Artículo 8 de la LFPDPPP.

Procedimiento para el ejercicio de derechos:

La solicitud deberá presentarse a través de los medios de contacto previamente establecidos, conteniendo nombre completo, datos de contacto, descripción del derecho a ejercer y, en su caso, documentación que acredite la representación legal. El responsable contará con 20 días hábiles para responder, prorrogables por igual período cuando las circunstancias lo justifiquen, conforme al Artículo 32 de la LFPDPPP. En caso de inconformidad, el titular podrá acudir al Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI).

7. Limitación del uso o divulgación de los datos

En cumplimiento con el Artículo 16, fracción VI de la LFPDPPP, el titular tiene derecho a limitar el uso o divulgación de sus datos personales. Para ejercer este derecho, el titular podrá:

• Solicitar su inscripción en el Registro Público para Evitar Publicidad (REPEP), administrado por la PROFECO, a fin de bloquear el uso de sus datos con fines publicitarios o de mercadotecnia directa.
• Solicitar directamente ante nosotros la limitación del tratamiento de sus datos para finalidades secundarias, sin que ello afecte la prestación del servicio.
• Revocar su consentimiento para el uso de cookies y tecnologías de rastreo, mediante la configuración de su navegador o dispositivo.

Una vez recibida y procedente la solicitud, el titular será registrado en nuestro listado de exclusión interno, garantizando que sus datos no sean utilizados para las finalidades respecto de las cuales solicitó la limitación. Las solicitudes deberán presentarse a través de los mismos medios establecidos para el ejercicio de los Derechos ARCO señalados en este Aviso de Privacidad Integral.

8. Medidas de seguridad

En cumplimiento con el Artículo 19 de la LFPDPPP, hemos implementado medidas de seguridad administrativas, técnicas y físicas para proteger sus datos personales contra daño, pérdida, alteración, destrucción, uso, acceso o divulgación no autorizados.

• Medidas administrativas: Políticas internas de privacidad y protección de datos. Capacitación continua al personal que trata datos personales. Acuerdos de confidencialidad con colaboradores y proveedores.
• Medidas técnicas: Cifrado de datos en tránsito y en reposo. Control de accesos mediante autenticación segura. Monitoreo continuo de la plataforma para detección de vulnerabilidades. Respaldos periódicos de la información.
• Medidas físicas: Acceso restringido a instalaciones y equipos que contienen datos personales. Resguardo seguro de documentación física que contenga datos personales.

En caso de que ocurra una vulneración de seguridad que afecte de forma significativa los derechos patrimoniales o morales de los titulares, serán notificados de manera inmediata conforme al Artículo 20 de la LFPDPPP.

9. Plazos de conservación

En cumplimiento con el Artículo 11 de la LFPDPPP, los datos personales serán conservados únicamente por el tiempo necesario para cumplir con las finalidades para las que fueron recabados y conforme a los siguientes criterios:

• Para usuarios (familias): Durante la vigencia de la relación contractual y hasta 5 años posteriores a su conclusión, en cumplimiento de obligaciones fiscales y mercantiles conforme al Código Fiscal de la Federación y el Código de Comercio.
• Para colaboradores (enfermeras, cuidadoras y niñeras): Durante la vigencia de la prestación de servicios y hasta 5 años posteriores, considerando posibles responsabilidades legales, fiscales o laborales derivadas de la relación.
• Para datos de navegación y uso de plataforma: Hasta 2 años a partir de su recolección, salvo que sean necesarios para la resolución de controversias o requerimientos de autoridad.
• Para datos sensibles: El tiempo estrictamente necesario para la finalidad que los justificó, procediéndose a su bloqueo y posterior supresión.

Una vez concluidos los plazos aplicables, los datos serán bloqueados y suprimidos de forma segura, impidiendo su tratamiento salvo obligación legal en contrario.

10. Tratamiento de datos de menores

En cumplimiento con el Artículo 9 de la LFPDPPP y los Lineamientos del Aviso de Privacidad Integral, el tratamiento de datos personales de menores de edad está sujeto a las siguientes condiciones:

• Consentimiento: Los datos de menores de edad serán recabados y tratados únicamente con el consentimiento expreso del padre, madre o tutor legal, quien deberá acreditar su representación al momento de proporcionarlos, conforme al Artículo 8 de la LFPDPPP.
• Datos recabados: Se recabarán exclusivamente los datos necesarios para la prestación del servicio de cuidado, en estricto apego al principio de proporcionalidad y minimización establecido en el Artículo 7 de la LFPDPPP.
• Protección reforzada: Los datos de menores contarán con medidas de seguridad reforzadas dada su especial condición de vulnerabilidad, restringiéndose su acceso al personal estrictamente autorizado.
• Prohibiciones: Queda expresamente prohibido el uso de datos de menores para finalidades secundarias, comerciales o de mercadotecnia sin el consentimiento expreso del representante legal.
• Derechos ARCO: El padre, madre o tutor podrá ejercer los derechos ARCO en representación del menor en cualquier momento, a través de los mecanismos señalados en este Aviso de Privacidad Integral.

11. Uso de cookies y tecnologías de seguimiento

En cumplimiento con los Lineamientos del Aviso de Privacidad Integral, informamos que nuestra plataforma utiliza cookies y tecnologías de seguimiento para mejorar la experiencia del usuario.

Tecnologías utilizadas:

• Cookies: Archivos de texto que se almacenan en el dispositivo del usuario para recordar preferencias y sesiones activas.
• Web Beacons: Elementos gráficos que permiten conocer el comportamiento del usuario dentro de la plataforma.
• SDKs y píxeles de seguimiento: Utilizados para analítica, medición de rendimiento y personalización de servicio.

Finalidades:

• Esenciales: Autenticación, seguridad y funcionamiento básico de la plataforma. No pueden desactivarse.
• Analíticas: Medición del uso y comportamiento dentro de la plataforma para su mejora continua.
• De personalización: Recordar preferencias y configuraciones del usuario.
• De mercadotecnia: Segmentación y entrega de contenido relevante. Requiere consentimiento expreso.

El titular podrá aceptar, rechazar o configurar el uso de cookies no esenciales mediante el gestor de preferencias disponible en la plataforma, o bien a través de la configuración de su navegador o dispositivo, sin que la desactivación de cookies no esenciales afecte la prestación del servicio principal. Los datos obtenidos mediante estas tecnologías podrían ser tratados por terceros proveedores bajo estrictas obligaciones de confidencialidad y exclusivamente para las finalidades aquí descritas.

12. Departamento de Datos Personales

En cumplimiento con el Artículo 30 de la LFPDPPP, se cuenta con un Departamento de Datos Personales responsable de atender cualquier solicitud, duda o queja relacionada con el tratamiento de sus datos personales.

Funciones del departamento:

• Recibir y dar trámite a las solicitudes de ejercicio de Derechos ARCO y revocación del consentimiento.
• Atender solicitudes de limitación de uso o divulgación de datos personales.
• Resolver dudas relacionadas con el contenido y alcances de este Aviso de Privacidad Integral.
• Gestionar cualquier queja o inconformidad relacionada con el tratamiento de datos personales.

En caso de no obtener respuesta satisfactoria, el titular podrá acudir al Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI), conforme al Artículo 33 de la LFPDPPP.

13. Autoridad de protección de datos

En cumplimiento con el Artículo 33 de la LFPDPPP, informamos que el organismo garante en materia de protección de datos personales en México es el Instituto Nacional de Transparencia y Protección de Datos Personales (INAI). En caso de que el titular considere que su solicitud de ejercicio de Derechos ARCO, revocación del consentimiento o limitación de uso no fue atendida de manera satisfactoria, podrá interponer su queja o denuncia directamente ante el INAI a través de sus medios de comunicación oficiales. El INAI es la autoridad competente para verificar, supervisar y sancionar el cumplimiento de la LFPDPPP por parte de los responsables del tratamiento de datos personales en el sector privado, conforme a los Artículos 38 y 39 de la LFPDPPP.

14. Cambios al Aviso de Privacidad

En cumplimiento con el Artículo 17 de la LFPDPPP, nos reservamos el derecho de modificar, actualizar o ampliar el contenido de este Aviso de Privacidad Integral en cualquier momento, a fin de reflejar cambios legislativos, operativos o en los servicios que prestamos. Cualquier modificación será notificada al titular a través de publicación en nuestra plataforma o sitio web oficial, notificación directa mediante el correo electrónico registrado por el titular, o aviso visible en la pantalla de inicio de la plataforma al momento del siguiente acceso.

El uso continuado de la plataforma posterior a la notificación de cambios constituirá la aceptación tácita de las modificaciones realizadas, salvo en aquellos casos que requieran consentimiento expreso conforme a la LFPDPPP. En caso de modificaciones que impliquen el tratamiento de datos sensibles o nuevas finalidades que requieran consentimiento expreso, se solicitará al titular su aceptación de manera específica antes de proceder con dicho tratamiento. La versión vigente del Aviso de Privacidad Integral estará siempre disponible en el sitio web oficial de "Narvalla", indicando la fecha de su última actualización.

15. Aceptación del Aviso de Privacidad

En cumplimiento con los Artículos 8 y 17 de la LFPDPPP, la utilización de nuestra plataforma, la contratación de nuestros servicios o la entrega de datos personales por cualquier medio implica que el titular ha leído, entendido y aceptado el contenido íntegro del presente Aviso de Privacidad Integral.

Mecanismos de aceptación:

• Aceptación electrónica: Mediante la selección de la casilla de aceptación o el botón de confirmación disponible en la plataforma al momento del registro o contratación.
• Aceptación física: Mediante firma autógrafa en los documentos correspondientes, cuando aplique.
• Aceptación tácita: Mediante el uso continuado de la plataforma una vez notificadas las condiciones del presente Aviso de Privacidad Integral, en términos del Artículo 8 de la LFPDPPP.

En todos los casos quedará constancia del momento, medio y versión del Aviso de Privacidad Integral aceptado por el titular, como parte de los registros internos del responsable. La aceptación del presente Aviso de Privacidad Integral es condición necesaria para el uso de la plataforma y la prestación de los servicios. En caso de no estar de acuerdo, el titular deberá abstenerse de utilizar la plataforma y podrá solicitar la cancelación de sus datos conforme a los mecanismos señalados en este Aviso de Privacidad Integral.