Documento legal · LFPDPPP México

Aviso de
Privacidad

Cómo Red Broom Software S.A.S. de C.V. recaba, usa y protege los datos personales de quienes utilizan la plataforma Colectiva.

Última actualización: 15 de mayo de 2026

1. Responsable del tratamiento

El tratamiento de datos personales es operado por Red Broom Software S.A.S. de C.V. ("RBS"), sociedad mercantil constituida conforme a las leyes de los Estados Unidos Mexicanos, con RFC: RBS2201168S7, operando comercialmente bajo la marca "Colectiva".

Este Aviso de Privacidad se emite en cumplimiento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), su Reglamento y los Lineamientos del Aviso de Privacidad publicados por el INAI.

2. Datos personales que se recaban

Para operar la plataforma, recabamos las siguientes categorías de datos personales:

  • Datos de identificación: nombre, correo electrónico, número telefónico, fotografía de perfil (opcional).
  • Datos fiscales: RFC, régimen fiscal, código postal, razón social, domicilio fiscal — únicamente cuando el usuario emita o reciba facturas CFDI a través de la plataforma.
  • Datos financieros: CLABE interbancaria, banco emisor, cuentas vinculadas para liquidaciones; tokens de tarjeta de crédito o débito (no almacenamos el número completo de tarjeta — el almacenamiento lo opera el procesador certificado PCI-DSS correspondiente).
  • Datos de uso: dirección IP, agente de usuario, actividad de inicio de sesión, eventos de uso de funciones (workspaces, decisiones, tareas).
  • Datos de terceros que el usuario aporta: información de proveedores, clientes, miembros del equipo y otros contactos que el usuario carga al sistema para operar sus flujos.
  • Metadatos de Google Drive (cuando el usuario autoriza explícitamente la integración) — ver §8 abajo.
  • Eventos de Google Calendar creados por Colectiva (cuando el usuario autoriza explícitamente la integración): título, fecha y enlace de los hitos de un proyecto que el usuario decide exportar a un calendario propio de Colectiva — ver §8 bis abajo.

No recabamos datos personales sensibles en el sentido del artículo 3, fracción VI de la LFPDPPP salvo, en su caso, datos financieros tratados con las medidas reforzadas que ahí se prevén.

3. Finalidades del tratamiento

Finalidades primarias (necesarias para prestar el servicio):

  • Crear y mantener la cuenta del usuario.
  • Operar workspaces, espacios de decisión, tareas y wallets dentro de Colectiva.
  • Procesar pagos, liquidaciones, comisiones y obligaciones fiscales (CFDI).
  • Cumplir obligaciones contractuales, legales, fiscales y de prevención de lavado de dinero.
  • Brindar soporte técnico, atender solicitudes y resolver disputas.
  • Mantener la seguridad de la plataforma (autenticación, prevención de fraude, integridad de los datos).

Finalidades secundarias (no necesarias; el usuario puede oponerse):

  • Enviar comunicaciones de mejoras del producto y nuevas funciones.
  • Realizar analítica agregada para informar el roadmap del producto.
  • Invitar al usuario a estudios de uso, encuestas o programas piloto.

Para oponerse a las finalidades secundarias, escriba a dia@redbroomsoftware.com con el asunto "Oposición — finalidades secundarias".

4. Transferencias de datos personales

Para operar la plataforma transferimos datos personales a los siguientes terceros, exclusivamente con las finalidades operativas correspondientes:

  • Procesadores de pago (MercadoPago, CoDi-Banxico, STP, proveedores SPEI) — para procesar cargos, abonos y liquidaciones.
  • Proveedores de autorización fiscal (PAC) autorizados por el SAT — para timbrar comprobantes fiscales digitales (CFDI).
  • Proveedores de infraestructura en la nube (Google Cloud, Firebase, Supabase, Vercel, Cloudflare) — para alojamiento, autenticación y entrega de la aplicación.
  • Proveedores de mensajería y notificación (Resend, Twilio, Meta WhatsApp Business) — únicamente para enviar comunicaciones transaccionales iniciadas por el usuario o requeridas por el servicio.
  • Google APIs — cuando el usuario autoriza la integración con Google Drive (ver §8).
  • Autoridades competentes — cuando exista mandamiento escrito fundado y motivado de autoridad competente, de conformidad con los artículos 10 y 37 de la LFPDPPP.

No vendemos datos personales a terceros. No usamos datos personales con fines de mercadotecnia dirigida por terceros sin consentimiento expreso.

5. Derechos ARCO

Como titular de los datos personales usted tiene derecho a: Acceder a sus datos, Rectificarlos cuando sean inexactos o incompletos, Cancelarlos cuando considere que no se requieren para alguna de las finalidades expuestas, y Oponerse al tratamiento para fines específicos.

También puede revocar su consentimiento al tratamiento en cualquier momento, así como limitar el uso o divulgación de sus datos.

Para ejercer cualquiera de estos derechos, envíe su solicitud al correo dia@redbroomsoftware.com incluyendo:

  • Nombre completo y correo de la cuenta de Colectiva.
  • Documento que acredite su identidad (o de su representante legal, en su caso).
  • Descripción clara y precisa de los datos y el derecho que se desea ejercer.

Atenderemos su solicitud en un plazo máximo de 20 días hábiles a partir de su recepción, conforme a los artículos 32 a 35 de la LFPDPPP. La cuenta de la plataforma cuenta con una vía de auto-servicio adicional en Perfil → Zona peligrosa → Solicitar eliminación de cuenta.

6. Conservación de los datos

Los datos personales se conservan únicamente durante el tiempo necesario para cumplir las finalidades para las que fueron recabados y, en su caso, los plazos mínimos exigidos por la normativa aplicable:

  • Datos fiscales y CFDI: al menos cinco años, conforme al artículo 30 del Código Fiscal de la Federación.
  • Datos de cuenta y uso: mientras la cuenta esté activa y hasta 24 meses después de su eliminación, salvo obligación legal de retener por más tiempo.
  • Bitácoras de seguridad y auditoría: hasta 36 meses.
  • Datos de wallet y movimientos financieros: conforme a la regulación de servicios financieros aplicable (mínimo cinco años).

7. Medidas de seguridad

Aplicamos medidas administrativas, físicas y técnicas para proteger los datos personales contra daño, pérdida, alteración, destrucción o el uso, acceso o tratamiento no autorizado:

  • Cifrado en tránsito (TLS 1.2 o superior) y en reposo (AES-256) para la base de datos.
  • Tokens OAuth de Google Drive almacenados con cifrado simétrico autenticado (AES-256-GCM) y clave dedicada.
  • Autenticación multifactor disponible para todas las cuentas.
  • Acceso por roles (RBAC), bitácora de auditoría y revisión periódica de privilegios.
  • Segregación de funciones entre infraestructura, datos de aplicación y datos financieros.

8. Integración con Google Drive

Colectiva ofrece una integración opcional con Google Drive que permite importar la estructura de carpetas existente del usuario y proponer una organización equivalente dentro de un workspace de Colectiva (espacios de decisión, tareas).

Cuando el usuario autoriza esta integración:

  • Solicitamos exclusivamente el alcance OAuth .../auth/drive.file — un alcance no restringido que limita el acceso a las carpetas que el usuario selecciona de forma explícita mediante el Selector de Google (Google Picker) y a su contenido descendiente. Colectiva no puede ver el resto del Google Drive del usuario.
  • De esas carpetas leemos únicamente metadatos (nombres de archivos, identificadores, jerarquía, tipos MIME, fechas de modificación, padres). No descargamos, leemos ni almacenamos el contenido de los archivos. Aunque el alcance drive.file permitiría modificar los archivos seleccionados, Colectiva no escribe, modifica ni elimina nada en Google Drive.
  • El uso y la transferencia a Colectiva de la información recibida desde las APIs de Google cumplen con la Política de Datos del Usuario de los Servicios de las APIs de Google, incluyendo los requisitos de Uso Limitado.
  • Almacenamos únicamente el token OAuth (cifrado AES-256-GCM en reposo) para permitirle al usuario reanudar la importación sin volver a autorizar. El token puede revocarse en cualquier momento desde myaccount.google.com/permissions o desde la configuración de Colectiva.
  • No utilizamos los datos obtenidos de Google APIs para entrenar modelos de inteligencia artificial de uso general.
  • Cuando el usuario solicita la eliminación de su cuenta, eliminamos todos los borradores de importación de Drive derivados de su acceso.

8 bis. Integración con Google Calendar

Colectiva ofrece una integración opcional con Google Calendar que permite exportar los hitos con fecha del plan de un proyecto a un calendario de Google creado por Colectiva (por ejemplo, la entrega de un informe o una fecha de pago), para que el equipo los vea en su agenda. La exportación es de un solo sentido, de Colectiva hacia Google Calendar, y ocurre únicamente cuando el usuario la pide con el botón «Exportar al calendario».

Cuando el usuario autoriza esta integración:

  • Solicitamos exclusivamente el alcance OAuth .../auth/calendar.app.created — un alcance no sensible que limita el acceso a los calendarios secundarios que la propia aplicación crea. Colectiva no puede ver ni modificar el calendario principal del usuario, ni sus otros calendarios, ni sus eventos. No solicitamos acceso a configuraciones, contactos, archivos ni a los permisos de uso compartido de ningún calendario.
  • Creamos un calendario aparte, llamado «Colectiva — » seguido del nombre del espacio de trabajo, y sólo creamos, actualizamos y borramos eventos dentro de él. Cada evento lleva un identificador propio y Colectiva guarda un registro de los que exportó; no listamos, leemos ni modificamos ningún otro evento. Para que otras personas del equipo lo vean, el usuario lo comparte desde Google Calendar: Colectiva no comparte nada por su cuenta.
  • Los datos que enviamos a Google son el título del hito, el nombre del proyecto, su fecha, si ya se cumplió, el monto planeado (si el hito lo tiene) y un enlace al proyecto en Colectiva. El calendario pertenece a la persona que conectó la integración.
  • El uso y la transferencia a Colectiva de la información recibida desde las APIs de Google cumplen con la Política de Datos del Usuario de los Servicios de las APIs de Google, incluyendo los requisitos de Uso Limitado: usamos esos datos sólo para ofrecer esta función visible para el usuario, no los transferimos a terceros salvo que sea necesario para prestar el servicio o cumplir la ley, no los usamos para publicidad y ninguna persona los lee salvo con el consentimiento del usuario, por razones de seguridad o por obligación legal.
  • Almacenamos únicamente el token OAuth, con cifrado AES-256-GCM en reposo, para poder repetir la exportación sin volver a pedir autorización. El usuario puede desconectar la integración en cualquier momento desde la configuración de Colectiva —lo que revoca el token y lo borra— o desde myaccount.google.com/permissions. Desconectar no borra el calendario ni los eventos ya creados en Google Calendar: eso lo decide el usuario en su cuenta de Google.
  • No utilizamos los datos obtenidos de Google APIs para entrenar modelos de inteligencia artificial de uso general.

9. Cookies y tecnologías similares

Utilizamos cookies estrictamente necesarias para mantener la sesión iniciada y proteger la autenticación, así como almacenamiento local del navegador para preferencias de interfaz y caché. No usamos cookies publicitarias de terceros.

10. Datos de menores de edad

La plataforma está dirigida a personas mayores de 18 años. No recabamos a sabiendas datos personales de menores de edad sin autorización de quien ejerza la patria potestad o tutela. Si identifica que un menor ha proporcionado datos sin la autorización correspondiente, escríbanos para proceder a su eliminación.

11. Cambios al Aviso de Privacidad

Cualquier modificación a este Aviso se publicará en esta misma URL con la fecha de la última actualización. Si los cambios son sustanciales notificaremos por correo al usuario con al menos 15 días de anticipación a su entrada en vigor.

12. Contacto del responsable

Departamento de Datos Personales — Red Broom Software S.A.S. de C.V.

Correo: dia@redbroomsoftware.com

Sitio web: redbroomsoftware.com

En caso de considerar que su derecho de protección de datos personales ha sido lesionado, puede acudir al INAI (Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales) — home.inai.org.mx.