Política de Privacidad

Introducción

Cairo es una plataforma de desarrollo humano organizacional que integra rutas de aprendizaje personalizadas, simulaciones conversacionales con inteligencia artificial, diagnósticos psicométricos, analítica conductual y webinars formativos. Este Aviso de Privacidad (en adelante, la "Política") describe de forma detallada cómo recopilamos, utilizamos, divulgamos, transferimos y protegemos la información personal de las personas usuarias del servicio cuando acceden a Cairo a través de los sitios web cairo.training y www.cairo.training, las aplicaciones móviles para iOS y Android, o cualquier otro canal oficial de Cairo (en conjunto, el "Servicio").

Al registrarte y utilizar el Servicio manifiestas haber leído, comprendido y aceptado las prácticas descritas en esta Política. Si no estás de acuerdo con cualquiera de sus disposiciones, te pedimos abstenerte de utilizar Cairo.

1. Responsables del tratamiento

Cairo opera bajo dos entidades legales que actúan como corresponsables del tratamiento de tus datos personales, según la jurisdicción del titular:

Jurisdicción del titularResponsableDomicilioMarco regulatorio principalMéxico y América LatinaInnovadux, S.A. de C.V.Cto. Parques del Centinela 659, Av. Industria Textil, Zapopan, Jalisco, C.P. 45135, MéxicoLey Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y normativa secundaria mexicanaEstados Unidos y resto del mundoCairo Labs, Inc., sociedad constituida bajo las leyes del Estado de Delaware131 Continental Dr., Suite 305, Newark, Condado de New Castle, Delaware 19713, Estados Unidos de AméricaCalifornia Consumer Privacy Act (CCPA), modificada por la California Privacy Rights Act (CPRA), y demás legislación estatal aplicable

Ambas entidades operan sobre la misma infraestructura tecnológica, comparten sub-encargados del tratamiento y aplican estándares unificados de seguridad. Las referencias en esta Política a "Cairo", "nosotros", "nuestro" o expresiones equivalentes deben entenderse hechas a la entidad responsable correspondiente a tu jurisdicción.

Contacto único de privacidad: privacy@joincairo.com. Este buzón atiende solicitudes, consultas y reclamaciones relativas a ambas entidades y a la totalidad del Servicio.

2. Personas a quienes aplica esta Política

2.1 Edad

El Servicio está dirigido exclusivamente a personas mayores de 18 años. Cairo no recopila a sabiendas información personal de menores de edad. Si tomamos conocimiento de que se ha creado una cuenta a nombre de una persona menor de 18 años, procederemos a su suspensión inmediata y a la eliminación de los datos asociados, sin perjuicio de las obligaciones legales de conservación. Si tienes razones para creer que un menor de edad ha proporcionado información personal a Cairo, escríbenos a privacy@joincairo.com.

2.2 Modalidades de uso

Puedes utilizar Cairo bajo cualquiera de las siguientes dos modalidades. Esta Política aplica íntegramente a ambas, salvo en las secciones expresamente delimitadas:

a) Uso individual (modalidad self-serve). Te registras directamente desde el sitio web o la app móvil utilizando un correo personal o tu cuenta de Google, contratas un plan a título individual y eres el único titular responsable de la información generada en tu cuenta. Ninguna organización tiene acceso a tu información personal, diagnósticos, progreso, contenido ni resultados de simulaciones. Las disposiciones de esta Política que hacen referencia a "tu organización contratante" o a la modalidad enterprise no te resultan aplicables mientras permanezcas como usuario individual.

b) Uso a través de una organización (modalidad enterprise). Accedes al Servicio mediante invitación de un empleador, institución educativa u otra entidad que ha contratado Cairo para su comunidad. En esta modalidad, la organización contratante actúa como corresponsable del tratamiento respecto de los datos generados en el marco del programa interno, y puede acceder a (i) métricas agregadas y anonimizadas de su organización, y (ii) reportes individuales de progreso y diagnóstico, únicamente en la medida y respecto de los titulares que hayan otorgado consentimiento expreso al inicio del programa. La organización contratante es responsable de informarte sobre el alcance, finalidades y reglas internas del programa bajo el cual te invita.

2.3 Transición entre modalidades

Si comienzas como usuario individual y, posteriormente, una organización solicita vincular tu cuenta a su plan enterprise (o viceversa), te lo notificaremos por correo electrónico y dentro del Servicio antes de que el cambio surta efectos. Tendrás la posibilidad de oponerte conservando una cuenta personal independiente, sin pérdida de tu historial individual. La transición no implica, en ningún caso, la divulgación retroactiva de tu historial personal a la organización contratante.

3. Información personal que recopilamos

3.1 Información que tú nos proporcionas

• Datos de registro: nombre, dirección de correo electrónico, contraseña (almacenada como hash con salt), fotografía de perfil opcional, idioma y zona horaria.
• Perfil profesional o institucional: organización a la que perteneces, rol o cargo, área, antigüedad, equipo y permisos. En la modalidad self-serve, estos campos son opcionales y pueden permanecer en blanco; solo son obligatorios cuando accedes vía invitación de una organización.
• Diagnóstico psicométrico y de desarrollo humano: respuestas a los cuestionarios de onboarding y a los diagnósticos periódicos del Servicio, incluidas las diecinueve secciones del instrumento de Cairo, respuestas abiertas, autopercepciones y reflexiones registradas.
• Contenido generado por la persona usuaria: mensajes intercambiados con el copiloto de inteligencia artificial; transcripciones y grabaciones de voz producidas por ti durante simulaciones conversacionales; momentos guardados; respuestas a actividades interactivas; archivos PDF o DOCX que cargues (con un límite de 10 MB por archivo); comentarios; respuestas a encuestas; e interacciones registradas en webinars.
• Comunicaciones con Cairo: mensajes a soporte, encuestas NPS y formularios de retroalimentación.
• Funciones de reclutamiento (únicamente para personas usuarias con rol de administrador en la modalidad enterprise): consultas de búsqueda y notas internas sobre candidatos.

3.2 Información recopilada de forma automática

• Identificadores: user_id, company_id, identificador de sesión, identificador del dispositivo en la aplicación móvil.
• Datos de uso del Servicio: vistas de cursos, capítulos iniciados y completados, duración de sesión, clics, búsquedas internas, simulaciones intentadas y webinars visualizados.
• Datos técnicos y de diagnóstico: tipo de dispositivo, sistema operativo, navegador, idioma, zona horaria, dirección IP (utilizada para fines de seguridad, prevención de fraude y geolocalización aproximada a nivel de país o ciudad), registros de errores y métricas de rendimiento.
• Cookies y almacenamiento local: cookies estrictamente necesarias, localStorage e IndexedDB, empleados para mantener tu sesión, preferencias y caché. Consulta la Sección 13 para más detalles.

3.3 Información recibida de terceros

• Google OAuth (cuando inicias sesión con tu cuenta de Google): nombre, correo electrónico, fotografía de perfil e identificador sub.
• Procesadores de pago (Stripe, RevenueCat y Apple In-App Purchase): confirmaciones de pago, estado de suscripción e identificador de cliente. Cairo no recibe ni almacena en ningún momento el número completo de tu tarjeta de crédito o débito.
• Tu organización contratante (únicamente en la modalidad enterprise): lista de personas usuarias invitadas, áreas, equipos y permisos asignados.
• Fuentes públicas accesibles a través de Perplexity y Firecrawl (función de reclutamiento, restringida a administradores): información profesional pública de candidatos.

3.4 Webinars

En los webinars formativos transmitidos a través del Servicio, Cairo no graba ni almacena rostros, voces ni intervenciones de los asistentes. Cuando un webinar se conserva con fines de archivo o de distribución posterior, únicamente se mantiene el contenido del expositor o expositores autorizados. Las preguntas, chats e intervenciones de las personas usuarias asistentes no son retenidos asociados a su identidad ni redistribuidos.

3.5 Datos personales sensibles

Las respuestas a los diagnósticos psicométricos y las grabaciones de voz generadas por la persona usuaria durante simulaciones pueden revelar información personal sensible, tal como estado emocional, creencias personales, contexto familiar o hábitos.

Esta información recibe el tratamiento reforzado correspondiente a los datos personales sensibles bajo el artículo 3, fracción VI, de la LFPDPPP en México, y a la sensitive personal information bajo la CPRA en California. Solo procesamos esta categoría de datos con tu consentimiento expreso, otorgado al iniciar el onboarding y antes de cada actividad relevante que la involucre. Puedes retirar tu consentimiento en cualquier momento conforme a la Sección 11, en el entendido de que dicha retirada puede limitar o impedir el funcionamiento de determinadas funcionalidades del Servicio.

4. Finalidades del tratamiento

Tratamos tus datos personales para las siguientes finalidades, con las bases de licitud que se indican:

FinalidadCategorías de datosBase de licitudCrear, autenticar y administrar tu cuentaIdentidad, credencialesEjecución del contratoOperar el Servicio (rutas de aprendizaje, simulaciones, webinars, copiloto)Uso, contenidoEjecución del contratoPersonalizar tu experiencia y generar recomendaciones de desarrolloDatos psicométricos, usoConsentimiento expresoGenerar reportes para tu organización contratante (modalidad enterprise): agregados y anonimizados de forma predeterminada, e individuales únicamente con tu consentimiento expresoUso, diagnósticosContrato B2B / interés legítimo, con consentimiento expreso para reportes individualesProcesar pagos, gestionar suscripciones y emitir comprobantesIdentidad, datos de facturaciónEjecución del contrato y obligación legal fiscalGarantizar la seguridad del Servicio y prevenir fraude o abusoIP, registros, identificadoresInterés legítimo y obligación legalCumplir con obligaciones contables, fiscales y regulatoriasDatos de facturaciónObligación legalComunicaciones transaccionales (verificación de cuenta, recordatorios, avisos sobre el Servicio)Correo electrónico, número telefónicoEjecución del contratoComunicaciones comerciales y de marketing (correo electrónico y WhatsApp a través de WATI)Correo electrónico, número telefónicoConsentimiento revocableMejora del producto y analítica agregada del Servicio (PostHog y eventos propios)Uso, diagnósticoInterés legítimo

4.1 Lo que Cairo no hace con tus datos

• No vendemos tus datos personales bajo ninguna circunstancia.
• No los compartimos con terceros para publicidad dirigida ni para fines comerciales distintos de los descritos en esta Política.
• No realizamos seguimiento publicitario cross-context entre aplicaciones o sitios.
• No utilizamos tu información para entrenar modelos propios de inteligencia artificial. Cairo opera sobre modelos de terceros bajo los términos contractuales descritos en la Sección 5, sin generar modelos derivados a partir de tu contenido, diagnósticos o interacciones.
• No realizamos perfilado para decisiones legales o significativas sobre ti sin tu conocimiento previo, según se detalla en la Sección 5.

5. Procesamiento mediante inteligencia artificial

El Servicio opera sobre modelos de inteligencia artificial proporcionados por terceros. Tu contenido (texto, voz y archivos que tú cargues) puede transmitirse a los siguientes proveedores, los cuales actúan en calidad de encargados del tratamiento y se encuentran sujetos a obligaciones contractuales que les prohíben utilizar tus datos para entrenar sus modelos generales o para finalidades distintas de la prestación del servicio a Cairo:

• Google (Gemini API, Gemini Live, Imagen / Nano Banana): generación de texto, imagen y voz en tiempo real.
• OpenAI (GPT, Whisper, Text-to-Speech): generación de texto, transcripción y síntesis de voz.
• ElevenLabs: síntesis y conversación de voz.
• Cartesia: servicios alternativos de speech-to-text y text-to-speech.
• Perplexity: búsqueda contextual en la web pública. No se transmiten datos personales identificables más allá de la consulta misma.
• Lovable AI Gateway: enrutamiento de solicitudes hacia los proveedores anteriores.
• Firecrawl: extracción de contenido de URLs públicas indicadas por la persona usuaria o por un administrador.

5.1 Decisiones automatizadas

Las recomendaciones de ruta de aprendizaje, los reportes psicométricos y los insights conductuales generados por Cairo tienen carácter orientativo. Cairo no los utiliza para tomar decisiones que produzcan efectos legales o significativos sobre la persona usuaria —tales como contratación, despido, evaluaciones formales de desempeño o decisiones de recursos humanos con consecuencias jurídicas—, salvo que tu organización contratante (en la modalidad enterprise) así lo configure expresamente y te lo haya notificado previamente. En todo caso, tienes derecho a solicitar revisión humana, expresar tu punto de vista y oponerte a cualquier decisión automatizada conforme a la Sección 11.

6. Divulgación y transferencia de datos personales

Cairo divulga datos personales únicamente con los siguientes destinatarios y bajo las condiciones que se describen:

6.1 Sub-encargados del tratamiento

Compartimos información personal estrictamente necesaria con los siguientes prestadores de servicios, sujetos a obligaciones contractuales de confidencialidad, seguridad y limitación de finalidad:

• Infraestructura tecnológica: Lovable Cloud y Supabase (alojamiento, base de datos, autenticación y almacenamiento); Despia (empaquetado de la aplicación móvil).
• Procesamiento de pagos: Stripe, RevenueCat y Apple Inc.
• Inteligencia artificial: Google, OpenAI, ElevenLabs, Cartesia, Perplexity, Lovable AI Gateway y Firecrawl, en los términos de la Sección 5.
• Comunicaciones: WATI (mensajería WhatsApp) y [proveedor de correo electrónico transaccional — Resend / Postmark / SendGrid, por confirmar].
• Analítica de producto: PostHog, con dirección IP truncada.
• Distribución de video: Cloudflare Stream, Bunny.net y YouTube, para la entrega de contenido formativo.
• Servicios de mapas: CartoDB.

La lista vigente y completa de sub-encargados, junto con su jurisdicción y propósito, se mantiene actualizada en cairo.training/legal/subprocesadores.

6.2 Tu organización contratante (modalidad enterprise únicamente)

Esta subsección aplica exclusivamente si accediste al Servicio mediante invitación de una organización contratante. Si eres usuario individual bajo la modalidad self-serve, Cairo no compartirá tus datos con ninguna organización.

Cuando accedes a Cairo a través de una organización contratante, dicha organización recibirá métricas agregadas y, según el rol que ocupes y los consentimientos que hayas otorgado expresamente al inicio del programa, reportes individuales de progreso y diagnóstico. La organización actúa como corresponsable del tratamiento respecto de los datos generados en el contexto laboral o institucional y asume las obligaciones legales correspondientes frente a ti.

6.3 Autoridades competentes

Cairo divulgará información personal a autoridades cuando exista una obligación legal vigente, una orden judicial debidamente notificada, un requerimiento administrativo válido o cuando resulte necesario para proteger derechos, seguridad o integridad de personas. En la medida permitida por la ley, te notificaremos previamente.

6.4 Sucesión empresarial

En caso de fusión, adquisición, reestructuración o transferencia sustancial de activos, los datos personales podrán formar parte de los activos transferidos, en cuyo caso te lo notificaremos con antelación y la entidad sucesora quedará obligada al cumplimiento de esta Política o de una política sustancialmente equivalente.

7. Transferencias internacionales

Tus datos personales pueden ser tratados en Estados Unidos y en otros países en los que operan los sub-encargados listados en la Sección 6. Cuando los datos salen del territorio mexicano, las transferencias se realizan al amparo de los supuestos previstos en el artículo 37 de la LFPDPPP, particularmente por resultar necesarias para el mantenimiento y cumplimiento de la relación jurídica entre Cairo y la persona titular. Cairo mantiene garantías contractuales con cada sub-encargado con la finalidad de preservar el nivel de protección de los datos personales transferidos.

8. Plazos de conservación

Conservamos tus datos personales únicamente durante el tiempo necesario para cumplir las finalidades para las que fueron recabados o para atender obligaciones legales aplicables. Los plazos aplicables son los siguientes:

Categoría de informaciónPlazo de conservaciónDatos de cuenta activaMientras la cuenta permanezca activaContenido y progreso de aprendizajeMientras la cuenta permanezca activa, más 90 días tras la cancelaciónDiagnósticos psicométricosMientras la cuenta permanezca activa; pueden ser eliminados antes a solicitud de la persona titularGrabaciones de voz y transcripciones de simulaciones12 meses, o hasta que solicites su eliminaciónRegistros técnicos y de seguridadHasta 12 mesesDatos contables y de facturaciónPlazo exigido por la legislación fiscal aplicable (5 años en México; hasta 7 años en EE. UU.)Caché de text-to-speech y embeddingsHasta 12 meses

Concluidos los plazos anteriores, los datos personales son eliminados o anonimizados de manera irreversible.

9. Medidas de seguridad

Cairo aplica medidas técnicas, administrativas y físicas razonables, alineadas con las mejores prácticas de la industria, para proteger tus datos personales contra accesos no autorizados, alteración, pérdida o destrucción. Estas medidas incluyen, entre otras:

• Cifrado en tránsito mediante TLS 1.2 o superior, y cifrado en reposo mediante AES-256 a nivel de proveedor.
• Row-Level Security (RLS) estricto en la base de datos: cada persona usuaria accede únicamente a sus propios registros, y los administradores de cada organización acceden exclusivamente a los registros de su organización.
• Autenticación mediante contraseñas hasheadas con algoritmos resistentes a fuerza bruta, autenticación federada vía OAuth, y rotación periódica de claves de servicio.
• Aplicación del principio de mínimo privilegio para el acceso del equipo interno, con registros de auditoría sobre eventos sensibles.
• Monitoreo continuo del entorno y procedimiento documentado de respuesta a incidentes.

Ningún sistema de información es absolutamente invulnerable. En el supuesto de que detectemos una vulneración de seguridad que afecte tus datos personales, te lo notificaremos sin dilación indebida y conforme a los plazos previstos en la legislación aplicable.

10. Cookies y tecnologías similares

Cairo utiliza cookies y tecnologías de almacenamiento local estrictamente necesarias para mantener tu sesión, almacenar tus preferencias y operar la caché del Servicio. Utilizamos PostHog para analítica de producto agregada, con truncamiento de la dirección IP.

Cairo no utiliza cookies publicitarias de terceros ni realiza seguimiento publicitario entre sitios.

Puedes configurar tu navegador para bloquear o eliminar cookies, en el entendido de que algunas funcionalidades del Servicio podrían dejar de operar correctamente. La política específica de cookies se encuentra disponible en cairo.training/legal/cookies.

11. Tus derechos

11.1 Si te encuentras en México — Derechos ARCO bajo la LFPDPPP

Como titular de datos personales en México, tienes derecho a:

• Acceder a tus datos personales que obran en posesión de Cairo;
• Rectificar los datos que resulten inexactos o incompletos;
• Cancelar tus datos cuando consideres que no se requieren para alguna de las finalidades señaladas en esta Política o cuando hayan dejado de ser necesarios;
• Oponerte al tratamiento para finalidades específicas;
• Limitar el uso o divulgación de tus datos personales; y
• Revocar el consentimiento que hayas otorgado.

Para ejercer cualquiera de estos derechos, envía tu solicitud a privacy@joincairo.com desde el correo electrónico asociado a tu cuenta, incluyendo: (i) el derecho que ejerces y una descripción clara y precisa de los datos sobre los que recae la solicitud; (ii) copia de identificación oficial vigente; y (iii) cualquier elemento o documento que facilite la localización de los datos. Responderemos a tu solicitud en un plazo máximo de veinte (20) días hábiles, prorrogable conforme al artículo 32 de la LFPDPPP.

Si consideras que tu derecho a la protección de datos personales ha sido vulnerado, puedes acudir al Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI), disponible en home.inai.org.mx.

11.2 Si te encuentras en California — Derechos bajo la CCPA / CPRA

Como residente del Estado de California, tienes derecho a:

• Conocer las categorías y elementos específicos de información personal que Cairo recopila, utiliza y divulga sobre ti;
• Eliminar tu información personal, sujeto a las excepciones legales aplicables;
• Corregir la información personal inexacta;
• Optar por no compartir tu información mediante venta o intercambio (en el entendido de que Cairo no vende ni comparte información personal para publicidad dirigida);
• Limitar el uso y la divulgación de información personal sensible;
• Portabilidad de la información en un formato estructurado y de uso común; y
• No ser objeto de discriminación por el ejercicio de cualquiera de estos derechos.

Para ejercer estos derechos, escribe a privacy@joincairo.com. Responderemos en un plazo de cuarenta y cinco (45) días naturales, prorrogable conforme a la ley. Puedes designar a un agente autorizado para presentar la solicitud en tu nombre, en cuyo caso podremos requerir verificación adicional.

11.3 Derechos comunes a todas las jurisdicciones

Con independencia de tu jurisdicción, puedes:

• Retirar tu consentimiento en cualquier momento. La retirada del consentimiento no afecta la licitud del tratamiento realizado con anterioridad.
• Solicitar revisión humana de cualquier salida automatizada del Servicio que consideres significativa, conforme a la Sección 5.
• Solicitar copia portable de tu información en formato estructurado.
• Cerrar tu cuenta en cualquier momento desde la configuración del Servicio o escribiendo al contacto de privacidad.

12. Modificaciones a esta Política

Cairo puede modificar esta Política de tiempo en tiempo para reflejar cambios en sus prácticas de tratamiento, en la legislación aplicable o en el Servicio. Cualquier modificación será publicada en esta misma página, con actualización de la fecha al inicio del documento. Cuando los cambios sean materiales —es decir, cuando afecten los derechos de las personas usuarias, las finalidades del tratamiento o la lista de sub-encargados con acceso a datos personales—, te lo notificaremos por correo electrónico o mediante un aviso dentro del Servicio con una antelación mínima de quince (15) días naturales previos a la entrada en vigor de la nueva versión.

El uso continuado del Servicio con posterioridad a la fecha de entrada en vigor de la versión modificada constituirá aceptación de los términos actualizados.

13. Contacto

AsuntoVía de contactoPrivacidad, ejercicio de derechos, solicitudes regulatorias y reclamacionesprivacy@joincairo.comSoporte general del Servicio[support@joincairo.com

Innovadux, S.A. de C.V. — correspondencia postalCto. Parques del Centinela 659, Av. Industria Textil, Zapopan, Jalisco, C.P. 45135, MéxicoCairo Labs, Inc. — correspondencia postal131 Continental Dr., Suite 305, Newark, Delaware 19713, Estados Unidos de América

Esta Política se publica simultáneamente en español e inglés. En caso de discrepancia entre ambas versiones, prevalecerá la versión en español para titulares ubicados en México y América Latina, y la versión en inglés para titulares ubicados en Estados Unidos y resto del mundo.

‍