Aviso de Privacidad Integral

1. Identidad y domicilio del responsable

LEGACY · Líderes del Mañana es un grupo estudiantil sin fines de lucro, integrado y gobernado por estudiantes, y es responsable del tratamiento de sus datos personales conforme a este Aviso. Para efectos de este documento, LEGACY actúa como responsable en su carácter de comunidad estudiantil organizada, con domicilio de contacto en Av. General Ramón Corona 2514, Nuevo México, 45201 Zapopan, Jalisco, México. Puede contactarnos a través de los medios señalados en la Sección 10 de este Aviso.

2. ¿Qué datos personales recabamos?

Para las finalidades descritas en este Aviso, recabamos las siguientes categorías de datos personales, de forma directa (cuando usted los proporciona) y de forma indirecta (generados por el uso de la Plataforma):

• Datos de identificación y contacto: nombre y apellido, nombre de usuario (identificador público "@"), correo electrónico institucional, matrícula o número de colaborador (para docentes), campus, generación del programa Líderes del Mañana (solo si su membresía pertenece al programa), tipo de membresía (Alumno LDM, Exatec LDM, Alumno Tec, Exatec Tec, Docente Tec, Aspirante) y escuela del Tecnológico de Monterrey a la que pertenece (solo alumnos y Exatec). La escuela no se muestra en su perfil público: se usa para agrupar publicaciones en la sección de escuelas, donde sus publicaciones aparecen junto a las de su escuela.
• Datos demográficos: fecha de nacimiento y género, que usted proporciona al registrarse. Ambos se tratan de forma confidencial y no se muestran en su perfil público. El género incluye la opción "prefiero no decir".
• Datos de perfil: fotografía de perfil, imagen de portada, biografía, ubicación (ciudad), experiencia y enlaces a redes o portafolios, en la medida en que usted decida agregarlos. El cargo visible en su perfil corresponde al rol que usted ocupe en una mesa directiva.
• Contenido generado por usted: publicaciones, comentarios, reacciones, encuestas y respuestas, historias efímeras, imágenes, documentos y enlaces que comparta dentro de la Plataforma.
• Mensajes privados: el contenido de sus conversaciones directas, sus imágenes adjuntas, sus reacciones y las confirmaciones de lectura. Vea la Sección 3.3.
• Datos de interacción social: conexiones, seguidores y seguidos, participación en proyectos, espacios, eventos y convocatorias, asistencia confirmada a eventos, aplicaciones a convocatorias e historial de interacción con publicaciones e historias (incluida la lista de quién vio cada historia).
• Datos de actividad y constancia: el día en que usted realiza cada tipo de acción dentro de la Plataforma (publicar, comentar, reaccionar, guardar, votar, enviar mensajes, seguir, confirmar asistencia o postularse) y los contadores derivados: su racha personal y las rachas compartidas con las personas con quienes conversa. Se registra el día y el tipo de acción, no su hora exacta.
• Datos de presencia: la fecha y hora de su última actividad, usada para mostrar el indicador "en línea". Usted puede desactivar tanto ese indicador como las confirmaciones de lectura desde su Configuración de Privacidad.
• Datos de historial institucional: sus cambios de campus (intercambios o traslados), incluyendo campus de origen y destino, periodo y fechas de vigencia.
• Datos técnicos y de seguridad: dirección IP al momento de aceptar este Aviso y los Términos, sesiones activas y dispositivos, identificador de notificaciones push del dispositivo cuando usa la aplicación móvil y autoriza recibirlas, y el registro de acciones sensibles en la bitácora interna de la Plataforma (quién hizo qué y cuándo).
• Datos derivados de sus comunicaciones con nosotros, incluyendo solicitudes de soporte, reportes de contenido o ejercicio de derechos.

LEGACY no solicita ni recaba de forma intencional datos personales sensibles (origen étnico o racial, estado de salud, creencias religiosas, filosóficas o morales, afiliación sindical, opiniones políticas, preferencia sexual, entre otros). La divulgación voluntaria de este tipo de información en su perfil, publicaciones o mensajes es responsabilidad exclusiva de usted y queda sujeta a la visibilidad propia del espacio en que la comparta.

El correo institucional, la matrícula o número de colaborador y la verificación de correo se recaban con la finalidad de acreditar la pertenencia a la comunidad y prevenir la suplantación de identidad.

3. Finalidades del tratamiento de sus datos personales

Los datos personales que recabamos son tratados para las siguientes finalidades, necesarias para la relación que usted mantiene con LEGACY como miembro de esta comunidad estudiantil:

3.1 Finalidades primarias (necesarias para la relación con usted)

• Crear, administrar y verificar su cuenta y perfil dentro de la Plataforma.
• Permitirle interactuar con la comunidad: publicar, comentar, reaccionar, publicar historias, seguir y ser seguido, participar en encuestas, eventos, proyectos y convocatorias.
• Permitirle conversar en privado con otros miembros y, cuando así lo tenga activado, mostrar su estado en línea y sus confirmaciones de lectura.
• Enviarle avisos dentro de la Plataforma y, si usted lo autoriza en su dispositivo, notificaciones push sobre la actividad que le concierne.
• Registrar su actividad diaria para calcular y mostrar los contadores de constancia (rachas) propios y compartidos.
• Difundir comunicados, anuncios, convocatorias y contenido institucional emitido por la Mesa Directiva Nacional o las Mesas Directivas Locales.
• Gestionar los procesos de gobierno estudiantil propios de LEGACY: administración de mesas directivas, campus, cambios de campus, proyectos, hitos, documentación y evidencias.
• Brindar soporte técnico, atender dudas, quejas o reportes de contenido, y dar seguimiento a la seguridad, integridad y buen funcionamiento de la Plataforma, incluyendo la bitácora de acciones sensibles.
• Generar estadísticas internas, agregadas y, en la medida de lo posible, anonimizadas, sobre el uso y crecimiento de la comunidad, con fines de mejora continua y de rendición de cuentas ante la institución educativa ante la que LEGACY está registrado como grupo estudiantil.
• Cumplir con las obligaciones que se deriven de la relación entre LEGACY, sus miembros y dicha institución conforme a la normativa aplicable a los grupos estudiantiles.

3.2 Finalidades secundarias (no necesarias, pero que nos permiten ofrecerle una mejor experiencia)

Adicionalmente, y sujeto a que usted no manifieste su negativa conforme al mecanismo de oposición descrito en la Sección 7, podemos tratar sus datos personales para las siguientes finalidades secundarias:

• Mostrarle contenido, comunicaciones, beneficios, promociones o experiencias relacionadas con patrocinadores, aliados comerciales o colaboradores estratégicos de LEGACY, con el propósito de enriquecer su experiencia dentro de la comunidad y de apoyar el financiamiento de las actividades e iniciativas del grupo estudiantil.
• Elaborar perfiles de interés y preferencias, con base en su actividad dentro de la Plataforma, para personalizar el contenido, los anuncios y las oportunidades que le mostramos.
• Invitarle a participar en encuestas, estudios de mercado, dinámicas o actividades organizadas en conjunto con terceros aliados de LEGACY.
• Enviarle comunicaciones informativas, boletines o notificaciones sobre novedades, eventos, oportunidades y contenido de interés general para la comunidad.

Patrocinios y publicidad: la Plataforma puede mostrar contenido patrocinado o publicidad, identificado como tal. LEGACY no vende ni renta datos personales identificados. Los datos compartidos con patrocinadores o aliados se entregan en forma agregada, estadística o disociada, salvo consentimiento específico adicional de usted. El tratamiento asociado a estas finalidades está sujeto a su derecho de oposición conforme a la Sección 7.

3.3 Mensajes privados: qué significa "privado" aquí

Los mensajes directos se almacenan cifrados. El cifrado no es de extremo a extremo: LEGACY administra la llave y puede acceder al contenido de un mensaje exclusivamente para (i) entregar la notificación correspondiente, (ii) atender un reporte sobre ese mensaje, o (iii) cumplir un requerimiento válido de autoridad. Las imágenes adjuntas a conversaciones se almacenan sin cifrar. La mensajería no constituye un canal confidencial frente a los supuestos anteriores.

3.4 Historias efímeras

Las historias dejan de ser visibles 24 horas después de su publicación y el archivo correspondiente se elimina del almacenamiento al vencer ese plazo. El registro de la publicación, sus vistas, reacciones y votos se conserva con finalidades de estadística, moderación y seguridad.

4. Transferencias y proveedores de servicio

Para cumplir con las finalidades señaladas, sus datos personales podrán ser compartidos, dentro y fuera del territorio nacional, con:

• Las autoridades competentes de la institución educativa ante la que LEGACY está registrado como grupo estudiantil, cuando así lo requiera la supervisión institucional conforme a su normativa de grupos estudiantiles.
• Las mesas directivas organizadoras de un evento, proyecto o convocatoria en el que usted decida participar: al confirmar su asistencia o postularse, la mesa responsable podrá consultar y descargar en una hoja de cálculo su nombre, matrícula o número de colaborador, correo institucional, campus, tipo de membresía y fecha de registro, con la única finalidad de organizar, comunicar y dar seguimiento a esa actividad. Cada descarga queda registrada en la bitácora de la Plataforma.
• Patrocinadores o aliados comerciales de LEGACY, exclusivamente para las finalidades secundarias descritas en la Sección 3.2, y sujeto a su derecho de oposición.
• Autoridades competentes, cuando exista un requerimiento legal, judicial o administrativo válido que así lo exija.

Además, la Plataforma se apoya en los siguientes proveedores tecnológicos, que actúan como encargados: tratan sus datos únicamente conforme a nuestras instrucciones y para prestarnos el servicio contratado. Algunos de ellos se ubican fuera de México:

• Railway: hospedaje de la Plataforma y de la base de datos donde vive su información.
• Cloudflare R2: almacenamiento de imágenes y archivos — fotografía de perfil, portada, imágenes de publicaciones, historias y adjuntos de mensajes.
• Resend: envío de los correos de la Plataforma (verificación de cuenta y recuperación de acceso). Recibe su correo electrónico y su nombre de pila.
• Google Places: autocompletado del campo de ubicación del perfil. Recibe únicamente el texto capturado en ese campo; no recibe su identidad, su cuenta ni su dirección IP.
• Expo y, a través de él, Apple (APNs) y Google (FCM): entrega de notificaciones push a la aplicación móvil. Reciben el identificador de notificaciones de su dispositivo y el contenido del aviso, que puede incluir el nombre de quien le escribió y un fragmento de hasta 140 caracteres del mensaje. Si desactiva las notificaciones en su dispositivo o se opone a las comunicaciones no esenciales, ese envío deja de ocurrir.

Al confirmar su asistencia a un evento, o al ser aprobado como integrante de un proyecto o seleccionado en una convocatoria, su nombre, nombre de usuario, fotografía de perfil y campus aparecerán en la lista pública de participantes de esa actividad, visible para las personas de la comunidad que pueden ver dicha actividad. Su correo y matrícula nunca se muestran en esas listas. En el caso de los eventos, usted puede optar por no aparecer en la lista pública sin cancelar su asistencia; la mesa organizadora seguirá viendo su registro para fines de logística.

Si una publicación incluye un video o documento alojado en un servicio externo (por ejemplo, YouTube, Google Drive u OneDrive), ese contenido se muestra embebido desde el sitio del tercero, que podrá conocer su dirección IP y aplicar sus propias políticas de privacidad.

Estas transferencias no requieren su consentimiento cuando encuadran en alguno de los supuestos de excepción previstos por la ley aplicable; en los demás casos, se solicitará su consentimiento expreso cuando la ley así lo exija.

5. ¿Cuánto tiempo conservamos sus datos?

Como regla general, sus datos personales se conservan mientras su cuenta esté activa y durante el tiempo necesario para cumplir las finalidades de este Aviso y las obligaciones legales aplicables. Los plazos específicos que hoy operan en la Plataforma son:

• Historias: la imagen o el video deja de ser visible y se elimina del almacenamiento 24 horas después de publicarse. El registro de la historia y de sus vistas, reacciones y votos se conserva conforme a la Sección 3.4.
• Registros pendientes de verificación: si no confirma su correo, la cuenta y todos los datos que capturó al registrarse se eliminan de forma definitiva a las 72 horas.
• Notificaciones: las notificaciones que ya leyó se eliminan aproximadamente dos días después. Las no leídas se conservan hasta que las lea.
• Sesiones: los identificadores de sesión (tokens) tienen una vigencia máxima de 30 días y se revocan al cerrar sesión o al eliminar su cuenta.
• Mensajes privados: se conservan mientras exista la conversación. Si usted borra un mensaje, deja de mostrarse a los participantes; su eliminación definitiva ocurre con la eliminación definitiva de su cuenta.
• Cuenta eliminada: al eliminar su cuenta, su perfil se despublica y sus datos de identificación se anonimizan de inmediato. La eliminación definitiva ocurre después de un periodo de gracia de 30 días, conforme a la Sección 7.
• Bitácora de acciones sensibles: se conserva como registro de cumplimiento. Cuando la cuenta del actor se elimina de forma definitiva, la entrada permanece sin quedar asociada a una persona identificada.

6. Almacenamiento en su dispositivo

La Plataforma no utiliza cookies de rastreo, publicidad ni analítica de terceros. Para mantener su sesión iniciada, el navegador guarda sus identificadores de sesión en el almacenamiento local del propio dispositivo, y conserva temporalmente el estado de la interfaz durante la sesión. Esa información no se comparte con terceros y se borra al cerrar sesión. Si bloquea el almacenamiento local desde su navegador, no podrá mantener la sesión iniciada.

7. Derechos ARCO y mecanismos para ejercerlos

Usted tiene derecho, en todo momento, a conocer qué datos personales tenemos de usted, para qué los utilizamos y las condiciones del uso que les damos (Acceso); a solicitar la corrección de su información en caso de estar desactualizada, ser inexacta o incompleta (Rectificación); a que eliminemos su información de nuestros registros o bases de datos cuando considere que no está siendo utilizada conforme a los principios, deberes y obligaciones previstas en la normativa aplicable (Cancelación); así como a oponerse al uso de sus datos personales para fines específicos (Oposición). Estos son conocidos como derechos ARCO.

Para ejercer cualquiera de los derechos ARCO, así como para revocar su consentimiento u oponerse al tratamiento de sus datos para finalidades secundarias, usted puede:

• Utilizar las herramientas disponibles dentro de la Plataforma, en la sección de Configuración de Privacidad de su cuenta: descargar sus datos, editar su perfil, ajustar sus preferencias de comunicación y de actividad, o eliminar su cuenta.
• Enviar una solicitud al correo a01643760@tec.mx, indicando su nombre, el derecho que desea ejercer, y los documentos que acrediten su identidad.

Sobre la descarga de datos: el archivo que genera la Plataforma incluye su perfil, sus publicaciones, comentarios y reacciones, sus conexiones, sus postulaciones a convocatorias y el registro de los documentos legales que aceptó. No incluye sus mensajes privados, historias ni notificaciones. Si desea una copia de esas categorías, solicítela por correo y se la entregaremos dentro de los plazos legales.

Sobre la eliminación de su cuenta: al solicitarla, su perfil deja de ser visible de inmediato, sus datos de identificación se anonimizan y sus sesiones se cierran; sus publicaciones y comentarios previos permanecen atribuidos a "Usuario eliminado". Transcurrido un periodo de gracia de 30 días, LEGACY puede proceder a la eliminación definitiva de su cuenta y de los archivos asociados. Puede pedir esa eliminación definitiva por el correo de contacto.

Sobre la oposición a comunicaciones: si activa esta preferencia, dejará de recibir notificaciones y correos no esenciales. Seguirá recibiendo los avisos estrictamente necesarios para operar su cuenta (por ejemplo, seguridad y acceso). LEGACY dará respuesta a sus solicitudes dentro de los plazos que establece la legislación aplicable.

8. Menores de edad

La Plataforma solicita su fecha de nacimiento al registrarse y no permite crear cuenta a personas menores de 13 años. Está dirigida a la comunidad estudiantil de nivel superior y a personas aspirantes, por lo que sus usuarios son mayoritariamente mayores de edad; sin embargo, el perfil de "Aspirante" puede incluir a estudiantes de nivel preparatoria que aún no cumplen la mayoría de edad.

Cuando una persona menor de edad utilice la Plataforma, LEGACY tratará sus datos personales conforme al principio de interés superior de la niñez, limitando el tratamiento a las finalidades estrictamente necesarias para su participación en la comunidad y excluyéndola de las finalidades secundarias de la Sección 3.2. La creación de la cuenta y la aceptación de este Aviso y de los Términos y Condiciones debe realizarse con el conocimiento de su padre, madre o tutor legal, y LEGACY podrá solicitar mecanismos adicionales de verificación o de consentimiento cuando lo considere necesario. Si usted es padre, madre o tutor y detecta que una persona menor de edad a su cargo creó una cuenta sin su conocimiento, escríbanos al correo de contacto y procederemos a su eliminación.

9. Modificaciones a este Aviso de Privacidad

Este Aviso de Privacidad puede sufrir modificaciones derivadas de reformas legislativas, de nuevas prácticas dentro de la Plataforma, o de cambios en nuestras finalidades de tratamiento —incluyendo la eventual incorporación de patrocinios o publicidad conforme a lo descrito en la Sección 3.2—. Cada versión lleva un número y una fecha, visibles bajo el título y al final de este documento, y la versión que usted aceptó queda registrada junto con su consentimiento. Cualquier cambio será publicado en esta misma sección de la Plataforma. Le recomendamos consultar este Aviso periódicamente.

10. Contacto y autoridad competente

Para cualquier duda, solicitud o ejercicio de derechos ARCO relacionado con este Aviso, puede contactarnos a través del correo electrónico a01643760@tec.mx y en el domicilio de contacto que aparece al final de este documento.

Si usted considera que su derecho a la protección de datos personales ha sido lesionado por alguna conducta de nuestra parte, o presume alguna violación a las disposiciones previstas en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, podrá interponer la queja o denuncia correspondiente ante la Secretaría Anticorrupción y Buen Gobierno, autoridad competente en la materia.