Aviso de Privacidad
Cómo AllSign recopila, utiliza, almacena y protege tus datos personales conforme a la legislación internacional de protección de datos.
Responsable del tratamiento
Razón Social: Astro Digital S.A. de C.V.
RFC: ADI2308166D2
Domicilio: Cairo 110, Col. Futuro Nogalar Sector 1, C.P. 66484, San Nicolás De Los Garza, Nuevo León, México
Sitio web: allsign.io
Oficial de Protección de Datos (DPO): servicios@allsign.io
Contacto legal: servicios@allsign.io
WhatsApp: +52 81 8209 2776
AllSign es una plataforma de firma electrónica, certificación digital y gestión documental operada por Astro Digital S.A. de C.V. ("el Proveedor", "nosotros" o "AllSign"). El presente Aviso de Privacidad tiene por objeto informarle cómo tratamos los datos personales a los que tenemos acceso por cualquier medio cuando usted utiliza nuestra Plataforma y/o Servicios.
Alcance
Este Aviso de Privacidad aplica a:
- Visitantes del sitio web allsign.io y sus subdominios.
- Clientes que contratan Planes y Servicios de AllSign.
- Usuarios que acceden a la Plataforma, incluyendo firmantes invitados.
- Usuarios de nuestra API e integraciones.
- Empleados y representantes de empresas que interactúan con AllSign.
Roles en el tratamiento de datos:
- AllSign como Responsable (Controller): Cuando recopilamos datos para operar la Plataforma, gestionar cuentas de clientes, facturar y mejorar nuestros Servicios.
- AllSign como Encargado (Processor): Cuando procesamos datos personales de terceros en nombre y por instrucción de un Cliente (p. ej., datos de firmantes). En este caso, el Cliente actúa como Responsable y debe cumplir con sus propias obligaciones legales, incluyendo obtener el consentimiento de los titulares.
Datos personales que recopilamos
Recopilamos únicamente los datos necesarios, adecuados y relevantes para las finalidades descritas en este aviso:
(i) Datos de identificación y contacto
Nombre y apellidos · Correo electrónico · Teléfono fijo y/o móvil · CURP (cuando aplique) · Firma autógrafa en medios electrónicos (incluyendo información del trazo) · Firma electrónica avanzada y datos del certificado digital (.cer) emitido por la Autoridad Certificadora correspondiente.
(ii) Datos para facturación
Denominación o razón social · Domicilio fiscal (código postal, estado, país, ciudad, colonia, calle, número) · RFC o identificador fiscal equivalente.
(iii) Datos de pago
Números de cuenta, números de tarjeta (tokenizados — nunca almacenamos números completos), CLABE interbancaria, institución bancaria. Los pagos son procesados por proveedores certificados PCI-DSS.
(iv) Datos de verificación de identidad (KYC)
Datos de documentos de identidad verificados mediante consultas a registros públicos · Fotografía frente y reverso del documento de identidad · Imagen y fotografía facial del titular (cuando aplique).
(v) Datos biométricos — Categoría especial (Art. 9 GDPR / Art. 8 LFPDPPP / BIPA §15)
Cuando el Cliente activa la verificación biométrica de identidad, AllSign captura una fotografía facial (selfie) del firmante y la compara con la fotografía del documento de identidad presentado, mediante modelos de reconocimiento facial. La comparación se utiliza exclusivamente para verificar que el firmante es quien dice ser.
Qué se conserva y qué no: de esa comparación se conserva únicamente su resultado — si las dos fotografías corresponden a la misma persona, la distancia biométrica calculada, el umbral aplicado y el modelo utilizado. La representación matemática del rostro (vector de características) se calcula en memoria durante la comparación y no se almacena: AllSign no conserva plantillas biométricas ni las utiliza para identificar a una persona fuera de la transacción para la que fueron capturadas.
Consentimiento expreso requerido: el tratamiento de datos biométricos se realiza únicamente con consentimiento explícito del titular, otorgado mediante confirmación afirmativa en la pantalla de verificación antes de capturar cualquier imagen. El titular puede revocar su consentimiento en cualquier momento sin afectar la validez de verificaciones ya completadas.
Retención: la selfie y el resultado de la comparación forman parte de la evidencia de la transacción de firma y se conservan junto con ella durante el período de retención legal aplicable al documento firmado, conforme a la sección 7.3. El titular puede solicitar su eliminación en los términos de la sección 8, con las limitaciones que impongan las obligaciones legales de conservación. No compartimos datos biométricos con terceros salvo encargados del tratamiento sujetos a DPA. Nunca vendemos ni comercializamos datos biométricos.
Cumplimiento normativo: LFPDPPP Art. 8 (México) — consentimiento expreso y por escrito para datos sensibles, mediante firma autógrafa, firma electrónica o cualquier mecanismo de autenticación · LFPDPPP Art. 12 (México) — el periodo de tratamiento de datos sensibles debe limitarse al mínimo indispensable · GDPR Art. 9(2)(a) (UE/EEE) — consentimiento explícito · BIPA §15(b) (Illinois, EE.UU.) — política escrita y autorización firmada previo a la recopilación · LGPD Art. 11(I) (Brasil) — consentimiento específico y destacado.
(vi) Datos técnicos y de uso
Dirección IP · Tipo de navegador y sistema operativo · Identificadores de dispositivo · Páginas visitadas y acciones realizadas · Ubicación aproximada derivada de IP · Marcas de tiempo · Cookies y tecnologías similares (ver sección 9).
(vii) Documentos
Los documentos cargados y firmados en la Plataforma se procesan exclusivamente para ejecutar el método de firma seleccionado por el Cliente y/o Usuario. AllSign no accede al contenido de los documentos salvo por instrucción expresa del Cliente o por requerimiento legal.
(viii) Etiquetado automático de variables con IA
Cuando subes un contrato para crear una plantilla, un modelo de lenguaje analiza su contenido y te propone los nombres y tipos de las variables que detecta (por ejemplo, "nombre del arrendatario" o "fecha de inicio"); tú decides si aceptas, editas o rechazas cada propuesta antes de guardar la plantilla. Este procesamiento lo realiza un proveedor de infraestructura de IA ubicado fuera de China. Tus datos nunca se utilizan para entrenar ni mejorar los modelos de ese proveedor. Puedes solicitar que esta función se desactive para tu cuenta escribiendo a servicios@allsign.io.
Base legal del tratamiento
El tratamiento de datos personales se fundamenta en las siguientes bases legales según la jurisdicción aplicable:
| Base legal | Fundamento | Ejemplos de uso |
|---|---|---|
| Ejecución contractual | GDPR Art. 6(1)(b) LFPDPPP Art. 9 fr. IV | Prestar los Servicios contratados, procesar firmas, gestionar la cuenta |
| Consentimiento | GDPR Art. 6(1)(a) + Art. 9(2)(a) LFPDPPP Art. 8 + Art. 9 (datos sensibles) CPRA §1798.121 BIPA §15(b) (Illinois) | Marketing, cookies no esenciales, datos biométricos para KYC — consentimiento expreso previo a cualquier captura biométrica |
| Interés legítimo | GDPR Art. 6(1)(f) | Seguridad de la Plataforma, prevención de fraude, análisis de uso |
| Obligación legal | GDPR Art. 6(1)(c) Código de Comercio Art. 49 NOM-151-SCFI-2016 (oblig. conservación) | Conservación de documentos, pistas de auditoría, cumplimiento fiscal |
Finalidades del tratamiento
Finalidades primarias (necesarias para el servicio):
- Crear y gestionar cuentas de usuario en la Plataforma.
- Verificar la identidad del Cliente y/o Usuario.
- Ejecutar métodos de firma electrónica (SES y AES/FEA).
- Verificar la vigencia y estado de certificados digitales.
- Emitir constancias NOM-151 de conservación de mensajes de datos.
- Verificar los datos del documento de identidad presentado por el firmante.
- Procesar pagos y emitir facturas.
- Generar pistas de auditoría (audit trail) de los procesos de firma.
- Brindar soporte técnico y atención al cliente.
- Cumplir con obligaciones legales, regulatorias y contractuales.
Finalidades secundarias (no necesarias, requieren consentimiento):
- Enviar comunicaciones de marketing, promociones y novedades.
- Realizar análisis estadísticos y de uso para mejorar la Plataforma.
- Personalizar la experiencia del usuario.
- Realizar encuestas de satisfacción.
Transferencias internacionales de datos
AllSign opera globalmente y puede transferir datos personales a jurisdicciones fuera del país de residencia del titular. Cuando lo hacemos, implementamos las siguientes salvaguardas:
Unión Europea / EEE
Para transferencias fuera del EEE, utilizamos las Cláusulas Contractuales Tipo (SCCs) aprobadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/914), complementadas con medidas de seguridad adicionales cuando sea necesario conforme al marco Schrems II.
México
Las transferencias se realizan conforme a la LFPDPPP vigente (DOF 20 de marzo de 2025), asegurando que el receptor asuma las mismas obligaciones que corresponden a quien transfiere los datos, conforme al Art. 35. No se requiere consentimiento del titular cuando la transferencia sea necesaria para ejercer un derecho o cumplir obligaciones derivadas de la relación jurídica entre el titular y el responsable, conforme al Art. 36 fr. VII en relación con el Art. 9 fr. IV.
Estados Unidos
Se implementan acuerdos de procesamiento de datos (DPA) que cumplen con los requisitos de CCPA/CPRA. Para datos provenientes de la UE, se recurre al EU-U.S. Data Privacy Framework cuando aplique.
Otros países
Para Brasil (LGPD), Canadá (PIPEDA) y demás jurisdicciones, se aplican las salvaguardas equivalentes requeridas por cada legislación local.
Ubicación de los centros de datos: Los datos se almacenan principalmente en centros de datos ubicados en Estados Unidos y Europa. AWS cuenta con certificaciones SOC 2 Type II e ISO/IEC 27001. Hetzner cuenta con certificación ISO/IEC 27001. Las prácticas de seguridad de ambos proveedores están alineadas con estándares internacionales.
No transferimos datos personales a terceros sin su consentimiento, excepto cuando sea necesario para prestar los Servicios contratados o cuando la ley lo permita. Para una lista actualizada de sub-encargados, consulte la sección 10.
Seguridad, almacenamiento y retención
7.1 Medidas de seguridad técnicas
- Cifrado de datos en tránsito: TLS 1.3
- Cifrado de datos en reposo: AES-256
- Bases de datos cifradas con claves gestionadas por KMS
- Autenticación multifactor (MFA) disponible para todas las cuentas
- Certificados SSL/TLS en todos los servicios expuestos
- Firewalls de aplicación web (WAF) y sistemas de detección de intrusiones
- Escaneo regular de vulnerabilidades y pruebas de penetración
- Registros de acceso y auditoría de todas las operaciones
7.2 Medidas de seguridad organizativas
- Acuerdos de confidencialidad con todos los empleados y proveedores
- Principio de mínimo privilegio en accesos internos
- Capacitación periódica del personal en protección de datos y seguridad
- Procedimientos documentados de gestión de incidentes
- Prácticas alineadas con ISO 27001 y SOC 2 Type II
7.3 Períodos de retención
| Categoría | Período de retención |
|---|---|
| Datos de cuenta | Mientras la cuenta esté activa + 30 días tras terminación |
| Documentos firmados y pistas de auditoría | 10 años conforme al Código de Comercio mexicano (Art. 49) |
| Datos de facturación | 5 años conforme a la legislación fiscal aplicable |
| Datos de KYC / verificación de identidad (documentos, capturas) | 5 años desde la última verificación |
| Selfie del firmante y resultado de la comparación biométrica | Integran la evidencia de la firma: 10 años conforme al Art. 49 del Código de Comercio, por obligación legal de conservación |
| Logs de acceso y seguridad | 12 meses |
| Datos de marketing | Hasta revocación del consentimiento |
Cómo se determinan estos plazos. La LFPDPPP no fija un número de días: obliga a suprimir los datos cuando dejan de ser necesarios para las finalidades declaradas en este Aviso, una vez concluido su plazo de conservación (Art. 10), y a limitar el tratamiento de datos sensibles al mínimo indispensable (Art. 12). Cada plazo de la tabla anterior deriva de la finalidad del dato: las imágenes del documento de identidad se conservan mientras subsiste la necesidad de acreditar la verificación practicada; la selfie y el resultado de la comparación integran la evidencia de la firma y su conservación responde a una obligación legal distinta —el Art. 49 del Código de Comercio—, que prevalece sobre la minimización mientras el documento firmado conserve valor probatorio.
7.4 Notificación de violaciones de seguridad
En caso de una violación de seguridad que afecte significativamente los derechos de los titulares, AllSign se compromete a:
- UE/GDPR: Notificar a la autoridad supervisora dentro de las 72 horas posteriores al conocimiento del incidente (Art. 33 GDPR) y a los titulares afectados cuando exista alto riesgo.
- México: Informar al titular de forma inmediata sobre las vulneraciones de seguridad que afecten de forma significativa sus derechos patrimoniales o morales, conforme al Art. 19 de la LFPDPPP, a fin de que pueda tomar las medidas correspondientes a la defensa de sus derechos.
- California: Notificar conforme a las disposiciones de la CCPA y el Codigo Civil de California §1798.82.
- Otros: Cumplir con los plazos y requisitos de notificación de la jurisdicción aplicable.
Derechos de los titulares
Dependiendo de su jurisdicción, usted tiene los siguientes derechos sobre sus datos personales:
| Derecho | 🇲🇽 México LFPDPPP | 🇪🇺 UE GDPR | 🇺🇸 California CCPA/CPRA | 🇧🇷 Brasil LGPD |
|---|---|---|---|---|
| Acceso / Conocer | ✓ | ✓ | ✓ | ✓ |
| Rectificación / Corrección | ✓ | ✓ | ✓ | ✓ |
| Cancelación / Eliminación | ✓ | ✓ | ✓ | ✓ |
| Oposición / Restricción | ✓ | ✓ | — | ✓ |
| Portabilidad de datos | — | ✓ | — | ✓ |
| Opt-out de venta / compartición | — | — | ✓ | — |
| No discriminación | — | — | ✓ | — |
| Decisiones automatizadas | — | ✓ | ✓ | ✓ |
| Revocación del consentimiento | ✓ | ✓ | — | ✓ |
Cómo ejercer sus derechos:
Envíe su solicitud a servicios@allsign.io incluyendo:
- Nombre completo y correo electrónico registrado.
- Descripción del derecho que desea ejercer y los datos personales involucrados.
- Documento de identificación para verificar su identidad.
Plazos de respuesta:
- México (LFPDPPP): 20 días hábiles, prorrogables por 20 días adicionales.
- UE (GDPR): 1 mes, prorrogable por 2 meses adicionales en casos complejos.
- California (CCPA): 45 días, prorrogables por 45 días adicionales.
- Brasil (LGPD): 15 días.
Autoridades competentes:
- México: Secretaría de Anticorrupción y Buen Gobierno — SABG (gob.mx/buengobierno) — sucesora del INAI por decreto DOF de marzo 2025
- UE: La autoridad supervisora de protección de datos de su Estado miembro.
- California: California Privacy Protection Agency (CPPA).
- Brasil: ANPD (gov.br/anpd)
Procesadores y sub-encargados
AllSign utiliza proveedores de servicio (sub-encargados) cuidadosamente seleccionados para prestar los Servicios. Todos los sub-encargados están sujetos a acuerdos de procesamiento de datos (DPA) y medidas de seguridad equivalentes a las nuestras. Los cambios en sub-encargados se notifican a los Clientes con al menos 30 días de anticipación; el Cliente puede formular objeción fundada durante ese plazo. Este plazo es un compromiso contractual de AllSign: el Reglamento de la LFPDPPP de 2010 quedó sin efecto junto con la ley que reglamentaba, y a la fecha de este Aviso no se ha publicado el reglamento de la LFPDPPP vigente.
Categorías de sub-encargados:
| Categoría | Función | Ubicación |
|---|---|---|
| Infraestructura cloud | Hosting, almacenamiento, CDN | EE.UU. / Europa |
| Procesamiento de pagos | Cobros, facturación | EE.UU. |
| Certificación digital | PSC / TSP para NOM-151 y sellos de tiempo — Seguridata Privada, S.A. de C.V. (acreditado SE, DOF 14/12/2011) | México |
| Verificación de identidad (KYC) | Validación de documentos y biometría | México / EE.UU. |
| Comunicaciones | Email transaccional, SMS, WhatsApp | EE.UU. / Europa |
| Analítica | Análisis de uso (privacy-first) | Europa |
| Soporte al cliente | Chat, tickets, base de conocimientos | EE.UU. / Europa |
Para obtener una lista detallada y actualizada de sub-encargados con nombres específicos, escriba a servicios@allsign.io. AllSign notificará a los Clientes con al menos 30 días de anticipación sobre cambios en sub-encargados que afecten el tratamiento de datos personales.
Privacidad de menores
Los Servicios de AllSign están dirigidos exclusivamente a personas mayores de 18 años (o la mayoría de edad aplicable en su jurisdicción). No recopilamos intencionalmente datos personales de menores de edad.
Si tiene conocimiento de que un menor ha proporcionado datos personales a través de la Plataforma, contáctenos inmediatamente a servicios@allsign.io para que procedamos a su eliminación.
Modificaciones y contacto
El tratamiento de datos personales en el contexto de los Servicios contratados se rige adicionalmente por los Términos y Condiciones de AllSign, en particular la sección 15 relativa a las obligaciones en materia de protección de datos.
AllSign se reserva el derecho de modificar este Aviso de Privacidad en cualquier momento para atender novedades legislativas, cambios en nuestras prácticas o nuevos requerimientos. Las modificaciones se notificarán con al menos 30 días naturales de anticipación mediante:
- Publicación en allsign.io/aviso_privacidad con fecha de vigencia.
- Correo electrónico al último correo registrado.
- Aviso dentro de la Plataforma.
Versión
2.2 · Vigente desde: 9 de septiembre de 2026 · Última actualización: 9 de septiembre de 2026
Versión anterior: 2.1 (28 de febrero de 2026)
Oficinas administrativas
Astro Digital S.A. de C.V.
Cairo 110, Col. Futuro Nogalar Sector 1
C.P. 66484, San Nicolás De Los Garza, N.L., México
¿Tienes preguntas sobre tu privacidad o el tratamiento de tus datos?
Nuestro Oficial de Protección de Datos (DPO) está disponible para atenderte