Aviso de privacidad

Luis Eduardo Chable Escobedo, con domicilio en Villahermosa, Tabasco, México, es responsable del tratamiento de tus datos personales en los términos de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Para cualquier asunto relacionado con este aviso, el correo de contacto es hola@hablaconmia.com.

Operamos Mia, un servicio que le ordena la agenda a negocios de belleza y les contesta el WhatsApp con ayuda de inteligencia artificial. Se usa desde hablaconmia.com.

La diferencia decide quién responde por tus datos, así que va primero.

Si eres dueña de un salón o trabajas en uno y entras a Mia con tu correo y tu contraseña, nosotros somos los responsables de los datos de tu cuenta y de la información de tu negocio. Este aviso es nuestro compromiso contigo.

Si eres clienta de un salón que usa Mia, y le escribiste por WhatsApp o te agendó una cita, entonces el salón es el responsable de tus datos y nosotros somos únicamente el encargado: los tratamos por instrucción suya, para darle el servicio que contrató, y no los usamos para nada propio. Aun así te decimos aquí todo lo que hacemos con ellos, y más abajo cómo ejercer tus derechos.

No tratamos ningún dato que no esté en esta lista.

De quien entra al sistema

• Nombre y correo electrónico.
• Tu contraseña, guardada siempre como una huella criptográfica con sal (scrypt). Nunca se guarda ni se puede recuperar la contraseña misma: cuando la olvidas, se pone una nueva, no se te muestra la anterior.
• A qué negocio perteneces y qué puedes hacer dentro de él.
• Tus sesiones abiertas, guardadas también como huella. Con una copia de la base de datos nadie puede reconstruir una sesión viva.

Del negocio

• Nombre, dirección, horarios y las políticas de anticipo y cancelación.
• Los datos bancarios que la dueña captura para que sus clientas le transfieran el anticipo, porque Mia se los repite a quien va a pagar.
• El catálogo de servicios con sus precios y duraciones.
• El nombre de cada profesional, sus horarios, y el motivo que se escriba al bloquearle tiempo en la agenda.

De las clientas del salón

• Su número de teléfono, que es lo que la identifica, y su nombre.
• El contenido de los mensajes que intercambia con el salón, incluidos los que Mia contesta.
• Sus citas: qué servicio, con quién, cuándo, a qué precio y si dejó anticipo.
• El historial de esas citas, que incluye cancelaciones y si no llegó a una.
• Las notas que el salón escriba en su ficha.

• Ningún dato de tarjeta ni cuenta bancaria de las clientas. El anticipo se transfiere directamente al banco del salón, por fuera de Mia. Nosotros nunca vemos ese movimiento.
• Ubicación ni geolocalización.
• Fotografías, audios ni documentos de identidad.
• Ningún rastreador publicitario. No hay Google Analytics, ni píxeles de redes sociales, ni herramientas de medición de terceros. Usamos una sola cookie, la de tu sesión, que contiene un identificador opaco sin ningún dato tuyo dentro.

La ley pide distinguir lo necesario de lo voluntario, y en nuestro caso la distinción es corta.

Finalidades necesarias

Sin estas el servicio no existe, así que no se pueden rechazar por separado.

• Llevar la agenda: crear, mover, confirmar y cancelar citas.
• Atender las conversaciones de WhatsApp y contestarlas.
• Registrar los anticipos y avisar cuando un lugar apartado se va a vencer.
• Dar y quitar acceso a las personas del equipo.
• Seguridad: limitar los intentos de entrada y dejar rastro de quién cambió permisos, precios o configuración.
• Medir la calidad de lo que Mia propone, comparando su borrador con lo que la persona finalmente mandó. Esa comparación es lo que nos dice si Mia está lista para más responsabilidad.

Finalidades voluntarias

Ninguna. No usamos los datos para publicidad, no armamos perfiles comerciales, no los vendemos, no los rentamos y no los compartimos con nadie que quiera venderte algo.

La ley exige que sepas cuándo una decisión sobre ti la toma una máquina y cuándo interviene una persona. Aquí está, en simple.

• Mia lee los mensajes y escribe borradores. Para hacerlo consulta la agenda real del salón, porque ofrecerte una hora inventada sería peor que no contestarte.
• Hoy ninguna respuesta se envía sin que una persona del salón la lea y la apruebe. Mia propone; una persona decide. Siempre hay intervención humana.
• Mia no agenda, no cancela y no cobra por su cuenta. La cita se crea en el mismo momento en que la persona aprueba el mensaje, no antes.
• Mia no decide nada que te afecte de forma significativa: no evalúa tu crédito, no te clasifica y no te niega un servicio.

Si algún día le damos a Mia autonomía para contestar sin que alguien revise, lo vamos a avisar antes y vamos a actualizar este aviso. Y en cualquier caso puedes oponerte a que tus datos se traten de forma automatizada, con el procedimiento que está más abajo.

Para que Mia funcione, algunos datos salen de nuestro servidor. Son estos cuatro destinos y ninguno más. Todos están en Estados Unidos.

OpenAI — para que Mia entienda y redacte

Recibe: el texto del mensaje de la clienta, los últimos mensajes de ese hilo para no perder el contexto, y la ficha del negocio (nombre, dirección, horarios, políticas, datos de transferencia, servicios con precios y nombres de las profesionales).

No recibe: el teléfono de la clienta, el nombre guardado en su ficha, su historial de citas ni las notas del salón. Además le pedimos expresamente no conservar el contenido de la consulta.

Resend — para un único correo

Hoy el producto manda un solo tipo de correo: la liga para poner una contraseña nueva. Resend recibe la dirección de correo de quien la pidió y el texto de ese mensaje. Nunca recibe datos de clientas.

Meta (WhatsApp) — el canal

Cuando un salón conecta su WhatsApp, los mensajes viajan por la infraestructura de WhatsApp y quedan sujetos a las políticas de Meta, igual que cualquier otra conversación de WhatsApp. Es el canal por el que la clienta eligió escribir, no un destinatario que nosotros escogimos.

IONOS — donde vive el servidor

La aplicación y la base de datos corren en un servidor propio alojado con IONOS.

• Tu dirección IP se usa para limitar los intentos de inicio de sesión, para que nadie pueda probar contraseñas a la fuerza. Eso vive en la memoria del servidor y se descarta solo.
• El servidor web guarda un registro de accesos con la IP, la fecha y la dirección solicitada. Se rota por tamaño y solo se conservan los archivos más recientes.
• Las ligas de invitación y de recuperación de contraseña se borran de ese registro antes de escribirlo, porque son credenciales y no hay razón para archivarlas.

• Las sesiones vencidas y las ligas de recuperación se borran automáticamente. Una liga usada tampoco se guarda: conservarla sería guardar la huella de cada vez que alguien olvidó su contraseña.
• Las fichas de clientas, sus citas y sus conversaciones se conservan mientras el salón use el servicio, porque son su historial de trabajo.
• El historial de cambios de cada cita y la bitácora de configuración son de solo escritura por diseño: no se pueden modificar ni borrar. Existen para poder contestar "¿quién canceló esta cita y cuándo?", que es la primera pregunta cuando algo sale mal.

• Todo el tráfico viaja cifrado con TLS. La aplicación no acepta conexiones sin él.
• Las contraseñas se guardan como huella con sal, nunca en claro.
• Los datos de cada negocio están aislados dentro de la base de datos, con políticas a nivel de fila que la propia base de datos aplica. No es un filtro que la aplicación tenga que acordarse de poner: si el programa se equivoca, la base de datos igual no le entrega los datos de otro salón.
• La cuenta con la que la aplicación se conecta a la base de datos no tiene privilegios de administrador, y el sistema se niega a arrancar si detecta que los tiene.
• Dentro de un mismo salón, una profesional ve a quién atiende pero no los teléfonos de la cartera completa.

Tienes derecho a acceder a tus datos, a rectificarlos si están mal, a pedir su cancelación y a oponerte a que se usen para algo. Son los derechos ARCO. Ejercerlos es gratis.

Escríbenos a hola@hablaconmia.com diciendo quién eres, cómo contactarte, qué datos quieres y qué quieres que hagamos con ellos. Podemos pedirte algo que acredite tu identidad, para no entregarle tus datos a otra persona.

Te contestamos qué decidimos en un plazo máximo de veinte días hábiles, y si procede lo aplicamos dentro de los quince días hábiles siguientes. Cada plazo puede ampliarse una sola vez cuando el caso lo justifique, y si eso pasa te lo avisamos con su razón.

Si consideras que tu derecho no fue atendido, puedes acudir a la Secretaría Anticorrupción y Buen Gobierno, que desde 2025 es la autoridad en materia de protección de datos personales en posesión de particulares —función que antes tenía el INAI—.

Puedes pedirnos por el mismo correo que dejemos de usar tus datos para cualquier finalidad que no sea indispensable para darte el servicio. Como no hacemos publicidad ni perfilado, en la práctica esto se reduce a que un salón deje de escribirte: eso lo pides directamente al salón, o a nosotros y lo canalizamos.

Cuando cambie, se publica aquí con su nueva fecha de actualización. Si el cambio es importante —un destino nuevo de datos, una finalidad nueva, o que Mia empiece a contestar sin que una persona la revise— lo avisamos dentro del panel antes de que entre en vigor, no solo cambiando esta página en silencio.

Este aviso se rige por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, vigente desde el 21 de marzo de 2025. Su reglamento estaba pendiente de publicación a la fecha de este aviso; cuando salga, revisaremos este texto y lo ajustaremos si hace falta.