Aviso de privacidad de Kimbro — México

• País: MX.
• Versión: 2026-11-01.
• Vigencia: desde su publicación en https://kimbro.mx/privacidad.
• Resumen: Describe los datos tratados por Kimbro en México, sus finalidades, destinatarios y los medios para ejercer derechos.
• Estado: Versión provisional, pendiente de revisión legal. Rige mientras se publica la versión revisada; esa versión se avisará y pedirá aceptarse de nuevo dentro de la aplicación.

Aviso integral

1. Responsable y contacto

Kimbro (en este aviso, «Kimbro») es responsable de los datos que utiliza para administrar el servicio y su relación con usuarios, constructoras, contratistas, proveedores y personas inscritas en la lista de espera. La razón social y el domicilio del responsable se darán a conocer en la versión revisada de este aviso. Las solicitudes sobre datos personales se atienden en hola@kimbro.mx, con el asunto «Datos personales». Este documento corresponde a MX; otros países tendrán sus propios avisos y responsables aplicables.

2. Personas comprendidas y datos

Según el servicio utilizado, se reciben datos directamente de la persona, de su organización o de las personas autorizadas que colaboran en una obra:

• Cuenta y organización: nombre, correo, teléfono, identidad de acceso, organización, membresía, roles y permisos; datos de contacto y de representantes.
• Clientes finales, subcontratistas y proveedores: identidad, contacto, relación con la constructora, presupuestos, contratos, solicitudes, entregas y registros de pagos o gastos.
• Identificación fiscal: RFC, razón social, domicilio fiscal y datos necesarios para facturar.
• Obras y sucursales: direcciones, coordenadas o ubicación que se comparta, responsables, fotos de obra, avances y documentos. Las imágenes pueden incluir personas identificables.
• Borradores con IA: instrucciones, descripciones, audio, transcripciones, fotografías y archivos que se envíen a esa función, así como sus resultados. Evite incluir información de terceros que no sea necesaria o que no esté autorizado a compartir.
• Uso y seguridad: eventos del embudo de cotizaciones, fecha, acción, organización y usuario relacionado; registros técnicos, acceso, errores, dispositivo y dirección IP cuando sean necesarios para operar, diagnosticar o proteger el servicio.
• Suscripción y pago: plan, periodo, importe, moneda, estado, identificadores de cliente y transacción de Stripe y referencias del medio de pago. Stripe recibe los datos completos de tarjeta en su flujo de cobro; Kimbro no debe almacenar el número completo ni el código de seguridad.
• Lista de espera: correo, país de interés y, si se proporcionan, nombre, tipo de actividad y organización. La inscripción para un país no crea una cuenta de pago en ese país.

No se solicitan datos personales sensibles como requisito del servicio ni se utiliza la voz para identificación biométrica. Fotos, audio y archivos podrían contener información sensible de manera incidental: no la cargue sin necesidad y sin una base válida. Si una función llegara a requerirla, deberá informarlo y obtener el consentimiento específico que corresponda antes de tratarla. El tratamiento de información financiera o patrimonial se sujetará al consentimiento expreso o a la excepción legal aplicable; aceptar términos no sustituye los consentimientos necesarios.

3. Finalidades

Primarias, necesarias para el servicio solicitado: crear y proteger cuentas; administrar organizaciones, roles y acceso; preparar y gestionar cotizaciones, obras, contactos y archivos; sincronizar información y permitir el trabajo sin conexión; generar los borradores con IA que se soliciten; facilitar portales, solicitudes a proveedores y comunicaciones elegidas por el usuario; cobrar y facturar suscripciones; prestar soporte; atender reportes, prevenir fraude y aplicar las reglas de conducta; cumplir obligaciones legales y atender derechos sobre datos. Los eventos del embudo permiten mostrar el avance de las cotizaciones y detectar errores de operación. Para la lista de espera, la finalidad primaria es registrar el país de interés y avisar de su apertura.

Secundarias, opcionales: enviar promociones y novedades ajenas al aviso de apertura solicitado, invitar a encuestas y analizar el uso asociado a una persona para mejorar funciones comerciales. Se ofrecerá una elección separada. Negarse no impide contratar ni usar el servicio principal. Puede rechazar estas finalidades desde la captura y en cualquier momento escribiendo al contacto de privacidad con el asunto «Finalidades secundarias»; los correos promocionales incluirán la baja. La exclusión se confirmará en un máximo de cinco días hábiles. La baja de promociones no suprime avisos de seguridad, facturación o servicio.

4. Datos bajo responsabilidad de la constructora

La constructora determina para qué se usan los datos de sus clientes finales, subcontratistas, proveedores y personal que incorpora a sus obras. Para esos tratamientos es responsable de dar su aviso, contar con la base y los consentimientos necesarios, limitar los accesos y atender derechos. Kimbro actúa como encargado por cuenta de la constructora y conforme a sus instrucciones para alojar, sincronizar y procesar esos datos; no los reutiliza para publicidad propia.

El mismo criterio aplica cuando un proveedor administra datos de terceros en su organización. Kimbro conserva su papel de responsable para sus propias cuentas, cobros, seguridad y soporte. Si una solicitud corresponde a datos administrados por la constructora, Kimbro identificará a ese responsable y facilitará su atención, sin entregar datos de otras personas u organizaciones.

5. Encargados, comunicaciones y transferencias

Para la operación en MX, Kimbro se apoya en los siguientes proveedores:

Destinatario	Servicio y datos necesarios	Ubicación y papel
Supabase	Autenticación, base de datos y alojamiento de información de cuentas y obras	Estados Unidos; encargado
PowerSync	Sincronización de datos autorizados entre servidor y dispositivos	Estados Unidos; encargado
Cloudflare	Sitio, seguridad, procesamiento, archivos y analítica web	Red internacional; encargado
Stripe	Cobros, facturación de pagos, prevención de fraude y obligaciones propias	Estados Unidos y otros países; encargado y, para sus obligaciones propias, responsable
Meta WhatsApp	Entrega de los mensajes y documentos que se envíen por ese canal	Estados Unidos y otros países; encargado y, para sus tratamientos propios, responsable
Resend	Correo transaccional y, con elección separada, promociones	Estados Unidos; encargado
Sentry	Diagnóstico de errores con datos técnicos minimizados, sin archivos ni audio	Estados Unidos; encargado
Anthropic (Claude)	Archivos, transcripciones e instrucciones mínimos para el borrador solicitado	Estados Unidos; encargado, sin entrenar modelos con estos datos
Cloudflare Workers AI (Deepgram Nova-3)	Audio de notas de voz para convertirlo en texto	Red internacional; encargado, sin entrenar modelos con el audio
Facturama	Timbrado del CFDI de la suscripción: datos fiscales del cliente	México; proveedor de certificación (PAC) y encargado
PostHog	Analítica de producto en la app, solo con consentimiento y sin montos ni datos de clientes	Estados Unidos o Unión Europea; encargado

Los encargados solo podrán usar la información para el servicio contratado, bajo obligaciones de confidencialidad, seguridad y atención de instrucciones. Su intervención no debe confundirse con una transferencia a un responsable independiente. El uso de proveedores en el extranjero requiere documentar las salvaguardas y condiciones aplicables.

Cuando el usuario comparte una cotización, solicita precios o usa WhatsApp, los destinatarios elegidos reciben la información necesaria para esa operación. Los datos que un proveedor publique en su perfil o catálogo podrán ser vistos por visitantes y buscadores; no publique contactos personales ajenos sin autorización. También podrá comunicarse información a autoridades cuando exista obligación válida y solo con el alcance requerido.

Antes de una transferencia que necesite consentimiento, se identificará al receptor, los datos y la finalidad y se ofrecerá la elección «Acepto / No acepto la transferencia indicada». No se ejecutará si se rechaza. Las transferencias amparadas por una excepción legal se documentarán; este aviso no constituye una autorización general para compartir información ni para vender datos.

6. Derechos ARCO, revocación y limitación

Puede solicitar acceso, rectificación, cancelación u oposición (ARCO), revocar su consentimiento para tratamientos futuros o limitar el uso y divulgación mediante el correo de privacidad o el domicilio de la sección 1. Indique nombre, medio de respuesta, derecho o petición y datos que ayuden a localizar la información. Acredite identidad y, si corresponde, representación mediante el canal seguro que se indique. Para rectificación, señale el cambio y aporte su sustento; no envíe documentos de identidad a un correo aún no confirmado.

Se comunicará la determinación ARCO dentro de veinte días hábiles desde la recepción; si procede, se hará efectiva dentro de los quince días hábiles siguientes a la respuesta. Una ampliación por un periodo igual solo procederá una vez y con justificación. La respuesta explicará cualquier negativa. El acceso podrá entregarse electrónicamente tras verificar identidad; el ejercicio es gratuito, salvo los costos permitidos por la ley. La revocación y la limitación se atienden por el mismo canal y en los mismos plazos máximos.

Revocar no afecta tratamientos lícitos anteriores ni obligaciones de conservación. Si deja de ser posible prestar una función, se explicará su alcance. La cancelación podrá requerir bloqueo antes de la supresión cuando existan responsabilidades pendientes. La persona conserva sus vías de protección ante la autoridad competente.

La autoridad competente en materia de protección de datos personales es la Secretaría Anticorrupción y Buen Gobierno.

7. Conservación, seguridad y analítica

Se conservará lo necesario para prestar el servicio, cumplir obligaciones y atender responsabilidades; después se bloqueará o suprimirá según corresponda. Los plazos por tipo de dato (cuentas, facturas, obras, audios, archivos de IA, diagnósticos, respaldos y lista de espera) se publicarán en la versión revisada de este aviso. La lista de espera se separa por país de interés y puede solicitarse su baja por el contacto de privacidad.

Se aplicarán controles de acceso por organización y rol, confidencialidad y medidas de seguridad acordes a los datos. Las vulneraciones que deban notificarse se comunicarán con su alcance y las medidas recomendadas por los canales de contacto disponibles.

El sitio utilizará Cloudflare Web Analytics sin cookies para medir visitas y rendimiento. Esta medición se distingue de la sesión autenticada y de los eventos del embudo asociados a cuentas; «sin cookies» no significa que toda la plataforma deje de tratar datos personales. No se incluirán datos personales en URLs o etiquetas de analítica.

8. Cambios al aviso

La versión integral de MX se pondrá a disposición en la página de privacidad del sitio (https://kimbro.mx/privacidad), con fecha, resumen y registro de cambios. Las modificaciones materiales se comunicarán por correo a las cuentas afectadas y mediante aviso en la aplicación antes de su aplicación. Para la lista de espera se usará el correo registrado del país afectado. Si el cambio exige un nuevo consentimiento, se solicitará antes del nuevo tratamiento. Las constructoras deberán comunicar a sus titulares los cambios que correspondan a sus propios avisos.

Referencias y revisión legal pendiente

Esta versión es provisional y está en revisión por un abogado externo. La versión revisada completará la identidad y el domicilio del responsable y los plazos de conservación, y podrá ajustar destinatarios, transferencias y consentimientos. Se publicará con una versión nueva y se pedirá aceptarla de nuevo.

• LFPDPPP, publicada el 20 de marzo de 2025, texto vigente de la Cámara de Diputados: artículos 2, 7–16, 18–36 y autoridad competente; texto consultado el 23 de octubre de 2026, con reforma del 14 de noviembre de 2025.
• Cloudflare Web Analytics: servicio de medición del sitio sin cookies.

Control de cambios

Versión	Cambio	Estado
2026-11-01	Primer borrador de MX; aviso integral y simplificado, destinatarios y derechos	Pendiente de E23-08; fecha de lanzamiento supuesta
2026-11-01	Revisión del 28 oct para el abogado: proveedores de IA y voz elegidos, Facturama y PostHog	Pendiente de E23-08
2026-11-01	Versión provisional para publicar: contacto de privacidad, plazos y proveedores con su papel	Publicada; pendiente de revisión legal