Política de PrivacidadPrivacy Policy

1. Objetivo y Alcance

El presente documento establece la Política de Privacidad y Protección de Datos Personales aplicable a Contexta, plataforma SaaS de agentes conversacionales con Inteligencia Artificial operada por Nubacom S.A. de C.V. Esta política aplica a:

• Los datos personales de usuarios finales y prospectos tratados a través de los canales que Contexta opera en nombre de empresas clientes: llamadas telefónicas, WhatsApp, chat web, correo electrónico, avatares y entrevistas por video.
• Los datos de las empresas clientes que utilizan Contexta y de las personas que usan su portal.
• Los datos de empleados y contratistas de Nubacom S.A. de C.V. con acceso a los sistemas.
• Los sistemas, aplicaciones, infraestructura y bases de datos que tratan datos personales como parte del servicio Contexta.

Marco normativo aplicable: Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) de México y, cuando aplique por la ubicación del titular, el Reglamento General de Protección de Datos (GDPR/RGPD) de la Unión Europea, la Ley 1581 de 2012 de Colombia, la Ley N° 19.628 de Chile y el Reglamento Europeo de IA (AI Act); así como los términos de Meta Platforms Inc. para WhatsApp Business Platform.

2. Definiciones

• Dato personal: Cualquier información concerniente a personas físicas identificadas o identificables.
• Tratamiento: Cualquier operación realizada sobre datos personales (recolección, almacenamiento, uso, comunicación, transferencia, eliminación, etc.).
• Empresa cliente: Persona física o moral que contrata los servicios de Contexta.
• Usuario final: Persona física que interactúa con un agente de Contexta a través de los canales habilitados por una empresa cliente, incluidos los prospectos a los que la empresa cliente llama o escribe.
• Responsable del tratamiento: Por defecto, la empresa cliente, respecto de los datos de sus usuarios finales y prospectos. Nubacom S.A. de C.V., respecto de los datos de las empresas cliente.
• Encargado del tratamiento: Nubacom S.A. de C.V. (operando como Contexta) respecto de los datos que trata por cuenta de las empresas clientes.
• Subencargado: Proveedor que trata datos por cuenta de Nubacom para prestar el servicio (sección 10).
• DPO: Delegado de Protección de Datos — Constantino Maldonado Alvarado.
• Derechos ARCO: Derechos de Acceso, Rectificación, Cancelación y Oposición sobre datos personales (LFPDPPP).
• Datos de la Plataforma de Meta: Información que Contexta recibe de Meta Platforms Inc. a través de las APIs de WhatsApp Business Platform o Facebook Login for Business, incluyendo identificadores de cuenta, números de teléfono, contenido de mensajes y metadatos asociados.

3. Base Legal para el Tratamiento de Datos

El tratamiento de datos personales se fundamenta en las siguientes bases legales, según la jurisdicción del titular:

Jurisdicción	Base legal	Fundamento
México	LFPDPPP	Consentimiento del titular + Relación contractual
Unión Europea	GDPR/RGPD Art. 6	Ejecución de contrato (Art. 6.1.b) + Consentimiento (Art. 6.1.a) + Interés legítimo (Art. 6.1.f)
Colombia	Ley 1581 de 2012	Autorización previa expresa del titular (Art. 9) + Contrato (Art. 10)
Chile	Ley N° 19.628	Consentimiento libre, informado y específico (Art. 4)

Cuando Contexta trata datos por cuenta de una empresa cliente, es la empresa cliente quien debe contar con la base legal y dar su propio aviso de privacidad a sus titulares.

4. Principios del Tratamiento de Datos

• Licitud, lealtad y transparencia: Los datos se tratan de manera lícita, leal y transparente al titular.
• Limitación de la finalidad: Los datos se recogen para fines determinados, explícitos y legítimos, sin tratarse de manera incompatible con dichas finalidades.
• Minimización de datos: Se tratan únicamente los datos necesarios para la prestación del servicio.
• Exactitud: Se mantienen los datos exactos y actualizados; se rectifican o suprimen los inexactos a solicitud del titular.
• Limitación del plazo de conservación: Se conservan los datos durante el tiempo necesario para los fines del tratamiento, conforme a la sección 13.
• Integridad y confidencialidad: Se tratan los datos de manera segura, protegiéndolos contra accesos no autorizados, pérdida o destrucción.
• Responsabilidad: Nubacom S.A. de C.V. es responsable del cumplimiento de esta política.
• Segregación por cliente: Los datos de cada empresa cliente se guardan separados de los de las demás, con controles que impiden el acceso cruzado.

5. Categorías de Datos Tratados

Contexta trata las siguientes categorías de datos personales:

Categoría	Ejemplos	Finalidad	Base legal
Identificación y contacto de usuarios finales y prospectos	Nombre, número de teléfono, correo electrónico, nombre de perfil de WhatsApp	Atender, llamar o escribir a nombre de la empresa cliente, incluidas las campañas de Prospecta	Relación de la empresa cliente con sus titulares (la empresa cliente es responsable)
Contenido de conversaciones	Texto, imágenes, audios, ubicaciones y documentos de chats, WhatsApp y correo	Que el agente de IA responda y que la empresa cliente pueda consultar sus conversaciones	Servicio prestado a la empresa cliente
Voz: grabaciones y transcripciones	Audio de las llamadas que atienden o realizan los agentes, y su transcripción	Que la empresa cliente revise sus llamadas y se evalúe la calidad del agente	Servicio prestado a la empresa cliente
Entrevistas por video (módulo Talento)	Video, audio y transcripción de entrevistas con candidatos	Que la empresa cliente evalúe a sus candidatos	Servicio prestado a la empresa cliente
Agenda, clientes y pedidos	Citas, notas, historial de clientes, pedidos	Operar la agenda y el CRM de la empresa cliente	Servicio prestado a la empresa cliente
Metadatos de conversación	Fechas, duración, identificadores de mensaje y de llamada, estados de entrega	Trazabilidad, facturación a la empresa cliente, métricas de calidad	Interés legítimo + Obligación legal
Datos de la empresa cliente y de sus usuarios del portal	Nombre, correo, teléfono, dirección del negocio, datos fiscales, identificadores de sus cuentas de WhatsApp Business	Alta, operación, soporte y facturación del servicio	Relación contractual (Nubacom es responsable)
Datos de uso y facturación	Minutos, mensajes, consumo, pagos	Facturación, gestión de cuotas, prevención de fraude	Ejecución de contrato + Interés legítimo
Registros técnicos	Direcciones IP, navegador, fechas de operación, identificadores de cuenta, números de teléfono en los registros de llamadas	Seguridad y diagnóstico	Interés legítimo

6. Datos Recibidos de la Plataforma de Meta

Cuando una empresa cliente conecta su cuenta de WhatsApp Business a Contexta mediante el flujo de Embedded Signup, Contexta recibe de Meta Platforms Inc. los siguientes datos:

• Datos del Business Portfolio: Identificador del Business Portfolio del cliente.
• Datos de la cuenta de WhatsApp Business: WABA ID, nombre verificado, idioma, zona horaria.
• Datos de los números de teléfono: Phone Number ID, número visible, estado de verificación, calificación de calidad.
• Eventos en tiempo real (webhooks): Mensajes entrantes, actualizaciones de estado de mensajes salientes, cambios de calidad del número, actualizaciones de estado de plantillas y eventos de llamadas de WhatsApp.

Estos datos se utilizan exclusivamente para los fines descritos en la sección 5 y nunca se comparten con terceros distintos de los subencargados autorizados en la sección 10. Contexta cumple con los Términos de la Plataforma de Meta y aplica las restricciones correspondientes al uso de datos derivados.

7. Derechos del Titular

Los titulares de datos personales tienen los siguientes derechos, ejercibles en cualquier momento:

• Derecho de Acceso: Conocer qué datos personales se tratan y obtener una copia.
• Derecho de Rectificación: Solicitar la corrección de datos inexactos o incompletos.
• Derecho de Cancelación / Supresión / Borrado: Solicitar la eliminación de datos personales (ver Eliminación de Datos).
• Derecho de Oposición: Oponerse al tratamiento por motivos legítimos, incluido no volver a recibir llamadas o mensajes de una campaña.
• Derecho a la Portabilidad: Recibir los datos en un formato estructurado y de uso común (donde aplique).
• Derecho a no ser objeto de decisiones automatizadas: Solicitar intervención humana en decisiones tomadas exclusivamente por IA con efectos significativos.
• Derecho a retirar el consentimiento: En cualquier momento, sin afectar la licitud del tratamiento previo.

Para ejercer cualquiera de estos derechos, contactar al DPO mediante los datos indicados en la sección 16. Cuando los datos se tratan por cuenta de una empresa cliente, la solicitud se atiende en coordinación con ella. El plazo máximo de respuesta es de 20 días hábiles (LFPDPPP México) o 30 días naturales (GDPR/RGPD).

8. Ubicación de los Datos y Transferencias Internacionales

Los datos se almacenan principalmente en México, en Google Cloud, región Querétaro. Algunos tratamientos ocurren fuera de México:

• Respaldos de la base de datos: Estados Unidos (Google Cloud), cifrados, durante 7 días.
• Procesamiento de IA (Google Gemini): Estados Unidos y otras regiones de Google.
• Registros técnicos del sistema: Google Cloud, sin región fija, durante 30 días.
• Los demás subencargados de la sección 10, en las ubicaciones ahí indicadas.

Estas comunicaciones de datos a subencargados se realizan únicamente para prestar el servicio, bajo los términos de tratamiento de datos (DPA) que cada proveedor incorpora a su contrato, con obligaciones de confidencialidad y seguridad. Para titulares de la Unión Europea se aplican las Cláusulas Contractuales Tipo de la Comisión Europea cuando el proveedor las ofrece.

9. Medidas de Seguridad

9.1 Medidas técnicas

• Cifrado en reposo (AES-256, gestionado por Google Cloud) de la base de datos, los respaldos y los archivos y grabaciones.
• Cifrado en tránsito (TLS 1.2 o superior) entre navegadores o aplicaciones y la plataforma, y con los proveedores por API. Las llamadas por la red telefónica pública viajan conforme al estándar del operador, que no siempre cifra la voz.
• Verificación de firma (HMAC SHA-256) de los webhooks entrantes de Meta.
• Contraseñas guardadas con hash y control de acceso por roles dentro de cada cuenta.
• Separación por cliente: cada empresa cliente tiene su propio esquema en la base de datos y cada petición se valida contra la sesión del usuario.
• Credenciales que la empresa cliente conecta (por ejemplo, accesos a su correo, calendario o servidores MCP) guardadas cifradas en la base de datos.
• Secretos de la plataforma en Kubernetes Secrets y Google Secret Manager, fuera del código fuente.
• Acceso administrativo a la infraestructura limitado al personal autorizado, con cuentas individuales de Google Cloud.
• Base de datos en alta disponibilidad (réplica en otra zona de la región) con respaldos automáticos diarios y recuperación a un punto en el tiempo de hasta 7 días.
• Registros técnicos centralizados en Google Cloud Logging durante 30 días.

9.2 Medidas organizativas

• El personal de Nubacom accede a los datos de clientes sólo cuando lo necesita para soporte y operación, y está sujeto a obligaciones de confidencialidad.
• Para dar soporte, Nubacom puede mantener un usuario de soporte dentro de la cuenta de la empresa cliente. Ese usuario aparece en su lista de usuarios y la empresa cliente puede pedir que se desactive.
• Procedimiento de respuesta a incidentes descrito en la sección 11.
• Revisión y actualización de la presente política al menos una vez al año.

10. Encargados del Tratamiento (Subencargados)

Contexta utiliza los siguientes subencargados para la prestación del servicio. La columna Aplicación distingue los que intervienen en todo el servicio de aquellos que sólo aplican si la empresa cliente activa la función correspondiente. Un cliente que no habilite un canal o una función no tiene datos tratados por el subencargado asociado.

Subencargado	Servicio	Aplicación	Ubicación	Garantías
Google Cloud Platform (Google LLC)	Infraestructura: servidores, base de datos, almacenamiento de archivos y grabaciones	Siempre	México — región Querétaro (northamerica-south1)	ISO 27001, ISO 27017, ISO 27018, SOC 2/3; términos de tratamiento de datos de Google Cloud
Google Cloud Platform (Google LLC)	Respaldos automáticos de la base de datos (7 días)	Siempre	Estados Unidos (multirregión)	Igual que la fila anterior; respaldos cifrados
Google Cloud Platform (Google LLC)	Registros técnicos del sistema (30 días)	Siempre	Global (sin región fija)	Igual que la fila anterior
Google LLC — Gemini API	Modelos de IA: voz en tiempo real, texto, transcripción, análisis de calidad y voz sintética	Siempre	Estados Unidos y otras regiones de Google	Servicio de pago: Google no usa los datos para mejorar sus productos; los conserva un tiempo limitado sólo para detectar abusos
Google LLC — Google Maps Platform	Ubicar en el mapa la dirección del negocio	Sólo al registrar o editar la dirección de un negocio	Estados Unidos y otras regiones de Google	Términos de Google Maps Platform
Cloudflare Inc.	DNS, CDN, protección DDoS y WAF; el tráfico web pasa cifrado por su red	Siempre	Global	ISO 27001, SOC 2 Type II, PCI DSS; DPA de Cloudflare
IPCOM (operador de telecomunicaciones)	Telefonía con números de México: llamadas entrantes y salientes, numeración y SMS	Sólo si se usa el canal telefónico o SMS con números de México	México	Contrato de servicios de telecomunicaciones
Twilio Inc.	Telefonía y SMS con números de Estados Unidos y algunos números contratados antes; WhatsApp a través de Twilio	Sólo si se usa alguno de esos canales	Estados Unidos	ISO 27001, SOC 2 Type II; DPA de Twilio
Twilio SendGrid	Correos de la plataforma (bienvenida, avisos y notificaciones) y canal de correo	Siempre para los avisos; el canal de correo, sólo si se habilita	Estados Unidos	ISO 27001, SOC 2 Type II; DPA de Twilio
Meta Platforms Inc.	WhatsApp Business Platform (mensajes, plantillas, llamadas de WhatsApp, webhooks)	Sólo si se habilita el canal de WhatsApp	Global	Términos de Plataforma de Meta + Data Processing Terms de WhatsApp Business
ElevenLabs Inc.	Voz sintética y, en ese modo, transcripción de voz	Sólo si la empresa cliente elige una voz de este proveedor	Estados Unidos	SOC 2 Type II; DPA de ElevenLabs
Z.ai (Jingsheng Hengxing Technology Pte. Ltd., grupo Zhipu AI)	Modelo de texto GLM	Sólo si la empresa cliente elige el modelo de texto GLM para un agente	Singapur (el proveedor puede compartir datos con empresas de su grupo, incluida China)	Términos y acuerdo de tratamiento del proveedor para su API
n8n GmbH (n8n Cloud)	Flujos de automatización que conectan algunos agentes con sistemas de la empresa cliente	Sólo para clientes con flujos alojados ahí (en migración a nuestra infraestructura en México)	Unión Europea (Alemania)	Términos y DPA de n8n
Stripe Inc.	Pagos con tarjeta (Contexta no guarda números de tarjeta)	Sólo si se paga en línea	Estados Unidos	PCI DSS nivel 1, ISO 27001, SOC 1/2; DPA de Stripe
Alegra (Soluciones Alegra S.A.S.)	Facturas electrónicas (CFDI) con los datos fiscales de la empresa cliente	Sólo si se habilita la facturación automática	Colombia y otras regiones	Contrato con cláusulas de confidencialidad, seguridad y protección de datos

Además de los subencargados, el personal autorizado de Nubacom accede a los datos sólo para soporte y operación (sección 9.2).

Integraciones que conecta la empresa cliente: cuando la empresa cliente conecta sus propias cuentas o sistemas (por ejemplo, Microsoft 365, Gmail, Google Calendar, servidores MCP o webhooks propios), los datos fluyen hacia el proveedor que ella eligió y se rigen por su propio contrato con ese proveedor.

Contexta mantiene un registro actualizado de subencargados. Cualquier cambio o adición de un nuevo subencargado se notificará a las empresas clientes con al menos 30 días de anticipación, dando oportunidad de objeción razonable.

11. Notificación de Incidentes de Seguridad y Brechas de Datos

11.1 Detección y respuesta

• Detección: Revisión de registros técnicos y atención a reportes de clientes y proveedores.
• Contención: Aislamiento de los sistemas afectados para limitar el impacto.
• Investigación: Determinación del alcance, la causa y los datos comprometidos.
• Remediación: Corrección de vulnerabilidades, restauración de sistemas y refuerzo de controles.
• Lecciones aprendidas: Documentación posterior al incidente y actualización de procedimientos.

11.2 Notificaciones

• A las empresas clientes: Sin demora y en un máximo de 24 horas desde que Nubacom tenga conocimiento de un incidente que afecte o pueda afectar sus datos. El aviso indica qué ocurrió, qué datos están involucrados, las medidas tomadas y un contacto; Nubacom envía actualizaciones y colabora en la investigación y la solución.
• A los titulares: Cuando Nubacom es responsable de los datos, les informa de inmediato, conforme a la LFPDPPP, para que puedan tomar medidas. Cuando actúa como encargado, apoya a la empresa cliente para que ella informe a sus titulares.
• A la autoridad: Cuando aplique el GDPR, en un plazo máximo de 72 horas desde la detección (Art. 33).
• A Meta Platforms Inc.: Conforme a los términos aplicables, en caso de brechas que afecten datos de la Plataforma de Meta.
• El DPO lidera el proceso de notificación.

12. Privacidad desde el Diseño

• Minimización: El agente sólo usa la información que la empresa cliente configura y la conversación en curso.
• Sin entrenamiento: Los datos de los clientes no se usan para entrenar modelos de IA.
• Grabación: Las llamadas de voz se graban y se transcriben para que la empresa cliente las revise y se evalúe la calidad del agente. La empresa cliente debe informarlo a sus titulares, por ejemplo con un aviso al inicio de la llamada.
• Transparencia sobre la IA: Los agentes pueden identificarse como asistentes virtuales; la empresa cliente define el aviso que dan.
• Intervención humana: La empresa cliente puede transferir conversaciones a una persona y atenderlas desde su bandeja.
• Exclusión: Las campañas de Prospecta respetan la lista de «no volver a llamar» de cada cuenta.

13. Plazos de Conservación de Datos

Categoría de datos	Plazo de conservación	Justificación
Conversaciones, grabaciones, transcripciones, contactos, citas y demás datos de la empresa cliente	Mientras la cuenta esté activa. La empresa cliente puede eliminarlos antes.	Prestación del servicio
Datos de la cuenta al terminar el servicio	30 días para exportarlos; después se eliminan en un máximo de 30 días adicionales, con constancia de eliminación a solicitud	Devolución de datos y cierre ordenado
Respaldos de la base de datos	7 días, con rotación automática. No se usan para recuperar datos cuya eliminación se solicitó.	Recuperación ante fallas
Registros técnicos del sistema	30 días	Seguridad y diagnóstico
Registros de actividad administrativa de la infraestructura	400 días	Auditoría de accesos y cambios
Datos de facturación y comprobantes fiscales	5 años	Obligación fiscal (Código Fiscal de la Federación)
Datos anonimizados o agregados (sin posibilidad de re-identificación)	Sin plazo (no son datos personales)	Análisis estadístico y mejora del servicio

Los subencargados conservan los datos que reciben conforme a sus propias políticas (por ejemplo, Google conserva por un tiempo limitado lo enviado a Gemini para detectar abusos, y los operadores telefónicos guardan los registros de llamadas que la ley les obliga a conservar). Al vencer el plazo de conservación, los datos se eliminan de forma segura conforme a la página de Eliminación de Datos.

14. Cookies y Tecnologías Similares

• Sitio contexta.com.mx: No usa cookies de análisis ni de publicidad. Carga tipografías de Google Fonts, por lo que tu navegador se conecta a servidores de Google.
• Portal app.contexta.com.mx: Usa cookies y almacenamiento local estrictamente necesarios (sesión, idioma, preferencias). En las páginas de registro, inicio de sesión y confirmación de compra usa la medición de conversiones de Google Ads para saber que ocurrió un registro o una compra (con un identificador anónimo de la operación y su monto), sin personalización de anuncios y sin enviar los datos de los formularios.
• Sitio contextanegocios.com: En sus páginas públicas usa Google Analytics sin señales de Google ni personalización de anuncios, además de la medición de conversiones de Google Ads.
• Mapa de ubicación: El mapa para ubicar un negocio carga sus imágenes desde OpenStreetMap, por lo que tu navegador se conecta a sus servidores.

La medición de Google no se activa si tu navegador envía la señal «No rastrear» (Do Not Track) o Global Privacy Control.

15. Revisión de la Política

Esta política será revisada anualmente o cuando ocurran cambios significativos en la legislación, la tecnología o los servicios ofrecidos por Contexta. La revisión es responsabilidad del DPO y debe ser aprobada por la Alta Dirección de Nubacom S.A. de C.V. La versión vigente se publica siempre en https://contexta.com.mx/privacidad-contexta.html.

16. Contacto del Delegado de Protección de Datos (DPO)

Para cualquier consulta, solicitud o reclamación relacionada con la protección de datos personales, contactar a:

• Nombre: Constantino Maldonado Alvarado
• Cargo: Presidente y Delegado de Protección de Datos (DPO)
• Empresa: Nubacom S.A. de C.V. (operadora de Contexta)
• Email: [email protected]
• Email alternativo: [email protected]
• Teléfono: +52 811 696 3966
• Dirección postal: El Salto 3227, Riberas del Río, Guadalupe, Nuevo León 67160, México

Versión y Aprobación

Versión	Fecha	Clasificación	Elaborado por
1.0	20/05/2026	Público	Constantino Maldonado Alvarado — Presidente
1.1	28/08/2026	Público	Constantino Maldonado Alvarado — Presidente
1.2	15/10/2026	Público	Constantino Maldonado Alvarado — Presidente. Actualiza subencargados, ubicación de respaldos, medidas de seguridad, plazos de conservación y cookies, y publica el DPA.

1. Purpose and Scope

This document sets out the Privacy and Personal Data Protection Policy applicable to Contexta, a SaaS platform for AI-powered conversational agents operated by Nubacom S.A. de C.V. This policy applies to:

• The personal data of end users and prospects processed through the channels Contexta operates on behalf of business customers: phone calls, WhatsApp, web chat, email, avatars and video interviews.
• The data of the business customers that use Contexta and of the people who use their portal.
• The data of employees and contractors of Nubacom S.A. de C.V. with access to the systems.
• The systems, applications, infrastructure and databases that process personal data as part of the Contexta service.

Applicable regulatory framework: Mexico's Federal Law on the Protection of Personal Data Held by Private Parties (LFPDPPP) and, where applicable based on the data subject's location, the European Union's General Data Protection Regulation (GDPR), Colombia's Law 1581 of 2012, Chile's Law No. 19,628 and the European Union's Artificial Intelligence Regulation (AI Act); as well as the terms of Meta Platforms Inc. for WhatsApp Business Platform.

2. Definitions

• Personal data: Any information relating to an identified or identifiable natural person.
• Processing: Any operation performed on personal data (collection, storage, use, disclosure, transfer, deletion, etc.).
• Business customer: A natural or legal person that contracts Contexta's services.
• End user: A natural person who interacts with a Contexta agent through the channels enabled by a business customer, including the prospects the business customer calls or messages.
• Data controller: By default, the business customer, with respect to the data of its end users and prospects; Nubacom S.A. de C.V., with respect to the data of the business customers.
• Data processor: Nubacom S.A. de C.V. (operating as Contexta) with respect to the data it processes on behalf of business customers.
• Subprocessor: A provider that processes data on Nubacom's behalf to provide the service (Section 10).
• DPO: Data Protection Officer — Constantino Maldonado Alvarado.
• ARCO rights: Rights of Access, Rectification, Cancellation, and Opposition over personal data (LFPDPPP).
• Meta Platform Data: Information that Contexta receives from Meta Platforms Inc. through the WhatsApp Business Platform APIs or Facebook Login for Business, including account identifiers, phone numbers, message content, and associated metadata.

3. Legal Basis for Data Processing

The processing of personal data is based on the following legal grounds, depending on the data subject's jurisdiction:

Jurisdiction	Legal basis	Grounds
Mexico	LFPDPPP	Data subject's consent + Contractual relationship
European Union	GDPR Art. 6	Performance of a contract (Art. 6.1.b) + Consent (Art. 6.1.a) + Legitimate interest (Art. 6.1.f)
Colombia	Law 1581 of 2012	Prior express authorization of the data subject (Art. 9) + Contract (Art. 10)
Chile	Law No. 19,628	Free, informed, and specific consent (Art. 4)

When Contexta processes data on behalf of a business customer, it is the business customer who must have the legal basis and give its own privacy notice to its data subjects.

4. Data Processing Principles

• Lawfulness, fairness, and transparency: Data is processed in a lawful, fair, and transparent manner toward the data subject.
• Purpose limitation: Data is collected for specified, explicit, and legitimate purposes and is not further processed in a manner incompatible with those purposes.
• Data minimization: Only the data necessary to provide the service is processed.
• Accuracy: Data is kept accurate and up to date; inaccurate data is rectified or erased at the data subject's request.
• Storage limitation: Data is retained only for as long as necessary for the purposes of the processing, in accordance with Section 13.
• Integrity and confidentiality: Data is processed securely, protecting it against unauthorized access, loss, or destruction.
• Accountability: Nubacom S.A. de C.V. is responsible for compliance with this policy.
• Per-customer segregation: Each business customer's data is stored separately from the others', with controls that prevent cross-access.

5. Categories of Data Processed

Contexta processes the following categories of personal data:

Category	Examples	Purpose	Legal basis
Identification and contact data of end users and prospects	Name, phone number, email address, WhatsApp profile name	Serving, calling or messaging on behalf of the business customer, including Prospecta campaigns	The business customer's relationship with its data subjects (the business customer is the controller)
Conversation content	Text, images, audio, locations and documents from chats, WhatsApp and email	So the AI agent can respond and the business customer can review its conversations	Service provided to the business customer
Voice: recordings and transcripts	Audio of the calls the agents answer or place, and their transcripts	So the business customer can review its calls and the agent's quality can be evaluated	Service provided to the business customer
Video interviews (Talento module)	Video, audio and transcripts of interviews with candidates	So the business customer can evaluate its candidates	Service provided to the business customer
Scheduling, customers and orders	Appointments, notes, customer history, orders	Operating the business customer's scheduling and CRM	Service provided to the business customer
Conversation metadata	Dates, duration, message and call identifiers, delivery statuses	Traceability, billing to the business customer, quality metrics	Legitimate interest + Legal obligation
Data of the business customer and its portal users	Name, email, phone, business address, tax data, identifiers of its WhatsApp Business accounts	Onboarding, operation, support and billing of the service	Contractual relationship (Nubacom is the controller)
Usage and billing data	Minutes, messages, consumption, payments	Billing, quota management, fraud prevention	Performance of a contract + Legitimate interest
Technical logs	IP addresses, browser, operation timestamps, account identifiers, phone numbers in call logs	Security and troubleshooting	Legitimate interest

6. Data Received from the Meta Platform

When a business customer connects its WhatsApp Business account to Contexta through the Embedded Signup flow, Contexta receives the following data from Meta Platforms Inc.:

• Business Portfolio data: The customer's Business Portfolio identifier.
• WhatsApp Business account data: WABA ID, verified name, language, time zone.
• Phone number data: Phone Number ID, display number, verification status, quality rating.
• Real-time events (webhooks): Incoming messages, status updates for outbound messages, number quality changes, template status updates and WhatsApp call events.

This data is used exclusively for the purposes described in Section 5 and is never shared with third parties other than the authorized subprocessors set out in Section 10. Contexta complies with the Meta Platform Terms and applies the corresponding restrictions on the use of derived data.

7. Data Subject Rights

Data subjects have the following rights, which may be exercised at any time:

• Right of Access: To know what personal data is processed and to obtain a copy of it.
• Right of Rectification: To request the correction of inaccurate or incomplete data.
• Right of Cancellation / Erasure / Deletion: To request the deletion of personal data (see Data Deletion).
• Right of Opposition: To object to processing on legitimate grounds, including no longer receiving calls or messages from a campaign.
• Right to Data Portability: To receive the data in a structured, commonly used format (where applicable).
• Right not to be subject to automated decision-making: To request human intervention in decisions made solely by AI that produce significant effects.
• Right to withdraw consent: At any time, without affecting the lawfulness of processing carried out prior to the withdrawal.

To exercise any of these rights, contact the DPO using the details provided in Section 16. When the data is processed on behalf of a business customer, the request is handled in coordination with that customer. The maximum response time is 20 business days (Mexico's LFPDPPP) or 30 calendar days (GDPR).

8. Data Location and International Transfers

Data is stored mainly in Mexico, on Google Cloud, Querétaro region. Some processing takes place outside Mexico:

• Database backups: United States (Google Cloud), encrypted, for 7 days.
• AI processing (Google Gemini): United States and other Google regions.
• System technical logs: Google Cloud, with no fixed region, for 30 days.
• The other subprocessors in Section 10, at the locations stated there.

Data is disclosed to subprocessors only to provide the service, under the data processing terms (DPA) each provider incorporates into its contract, with confidentiality and security obligations. For data subjects in the European Union, the European Commission's Standard Contractual Clauses apply where the provider offers them.

9. Security Measures

9.1 Technical measures

• Encryption at rest (AES-256, managed by Google Cloud) of the database, backups, and files and recordings.
• Encryption in transit (TLS 1.2 or higher) between browsers or apps and the platform, and with providers over API. Calls over the public telephone network travel according to the carrier's standard, which does not always encrypt voice.
• Signature verification (HMAC SHA-256) of incoming webhooks from Meta.
• Hashed passwords and role-based access control within each account.
• Per-customer separation: each business customer has its own database schema, and every request is validated against the user's session.
• Credentials the business customer connects (for example, access to its email, calendar or MCP servers) stored encrypted in the database.
• Platform secrets kept in Kubernetes Secrets and Google Secret Manager, outside the source code.
• Administrative access to the infrastructure limited to authorized staff, with individual Google Cloud accounts.
• High-availability database (replica in another zone of the region) with daily automatic backups and point-in-time recovery of up to 7 days.
• Technical logs centralized in Google Cloud Logging for 30 days.

9.2 Organizational measures

• Nubacom staff access customer data only when needed for support and operation, and are bound by confidentiality obligations.
• To provide support, Nubacom may keep a support user inside the business customer's account. That user appears in the customer's user list, and the customer may ask for it to be deactivated.
• Incident response procedure described in Section 11.
• Review and update of this policy at least once a year.

10. Data Processors (Subprocessors)

Contexta uses the following subprocessors to provide the service. The Applies to column distinguishes those involved in the service at all times from those that only apply if the business customer enables the corresponding feature. A customer who does not enable a given channel or feature has no data processed by the associated subprocessor.

Subprocessor	Service	Applies to	Location	Safeguards
Google Cloud Platform (Google LLC)	Infrastructure: servers, database, storage of files and recordings	Always	Mexico — Querétaro region (northamerica-south1)	ISO 27001, ISO 27017, ISO 27018, SOC 2/3; Google Cloud data processing terms
Google Cloud Platform (Google LLC)	Automatic database backups (7 days)	Always	United States (multi-region)	Same as the row above; encrypted backups
Google Cloud Platform (Google LLC)	System technical logs (30 days)	Always	Global (no fixed region)	Same as the row above
Google LLC — Gemini API	AI models: real-time voice, text, transcription, quality analysis and synthetic voice	Always	United States and other Google regions	Paid service: Google does not use the data to improve its products; it keeps it for a limited time only to detect abuse
Google LLC — Google Maps Platform	Placing the business address on the map	Only when a business address is registered or edited	United States and other Google regions	Google Maps Platform terms
Cloudflare Inc.	DNS, CDN, DDoS protection and WAF; web traffic passes encrypted through its network	Always	Global	ISO 27001, SOC 2 Type II, PCI DSS; Cloudflare DPA
IPCOM (telecommunications carrier)	Telephony with Mexican numbers: inbound and outbound calls, numbering and SMS	Only if the phone or SMS channel is used with Mexican numbers	Mexico	Telecommunications services agreement
Twilio Inc.	Telephony and SMS with US numbers and some numbers contracted earlier; WhatsApp through Twilio	Only if one of those channels is used	United States	ISO 27001, SOC 2 Type II; Twilio DPA
Twilio SendGrid	Platform emails (welcome, alerts and notifications) and the email channel	Always for alerts; the email channel only if enabled	United States	ISO 27001, SOC 2 Type II; Twilio DPA
Meta Platforms Inc.	WhatsApp Business Platform (messages, templates, WhatsApp calls, webhooks)	Only if the WhatsApp channel is enabled	Global	Meta Platform Terms + Data Processing Terms for WhatsApp Business
ElevenLabs Inc.	Synthetic voice and, in that mode, speech transcription	Only if the business customer selects a voice from this provider	United States	SOC 2 Type II; ElevenLabs DPA
Z.ai (Jingsheng Hengxing Technology Pte. Ltd., Zhipu AI group)	GLM text model	Only if the business customer selects the GLM text model for an agent	Singapore (the provider may share data with companies in its group, including in China)	The provider's API terms and data processing agreement
n8n GmbH (n8n Cloud)	Automation workflows that connect some agents to the business customer's systems	Only for customers with workflows hosted there (being migrated to our infrastructure in Mexico)	European Union (Germany)	n8n terms and DPA
Stripe Inc.	Card payments (Contexta does not store card numbers)	Only if paying online	United States	PCI DSS Level 1, ISO 27001, SOC 1/2; Stripe DPA
Alegra (Soluciones Alegra S.A.S.)	Electronic invoices (CFDI) with the business customer's tax data	Only if automatic invoicing is enabled	Colombia and other regions	Agreement with confidentiality, security and data protection clauses

In addition to the subprocessors, authorized Nubacom staff access the data only for support and operation (Section 9.2).

Integrations the business customer connects: when the business customer connects its own accounts or systems (for example, Microsoft 365, Gmail, Google Calendar, MCP servers or its own webhooks), the data flows to the provider it chose and is governed by its own contract with that provider.

Contexta maintains an up-to-date register of subprocessors. Any change or addition of a new subprocessor will be notified to business customers at least 30 days in advance, providing an opportunity to raise reasonable objections.

11. Security Incident and Data Breach Notification

11.1 Detection and response

• Detection: Review of technical logs and handling of reports from customers and providers.
• Containment: Isolation of the affected systems to limit the impact.
• Investigation: Determination of the scope, the cause and the data compromised.
• Remediation: Correction of vulnerabilities, restoration of systems, and reinforcement of controls.
• Lessons learned: Post-incident documentation and updating of procedures.

11.2 Notifications

• To business customers: Without delay and within a maximum of 24 hours from when Nubacom becomes aware of an incident that affects or may affect their data. The notice states what happened, what data is involved, the measures taken and a contact; Nubacom sends updates and cooperates in the investigation and resolution.
• To data subjects: When Nubacom is the controller of the data, it informs them immediately, in accordance with the LFPDPPP, so they can take action. When it acts as a processor, it supports the business customer so the customer can inform its data subjects.
• To the authority: Where the GDPR applies, within a maximum of 72 hours from detection (Art. 33).
• To Meta Platforms Inc.: In accordance with applicable terms, in the event of breaches affecting Meta Platform Data.
• The DPO leads the notification process.

12. Privacy by Design

• Minimization: The agent only uses the information the business customer configures and the ongoing conversation.
• No training: Customer data is not used to train AI models.
• Recording: Voice calls are recorded and transcribed so the business customer can review them and the agent's quality can be evaluated. The business customer must inform its data subjects, for example with a notice at the start of the call.
• AI transparency: Agents can identify themselves as virtual assistants; the business customer defines the notice they give.
• Human intervention: The business customer can transfer conversations to a person and handle them from its inbox.
• Opt-out: Prospecta campaigns respect each account's "do not call again" list.

13. Data Retention Periods

Data category	Retention period	Justification
Conversations, recordings, transcripts, contacts, appointments and other business customer data	While the account is active. The business customer may delete them earlier.	Provision of the service
Account data when the service ends	30 days to export it; then deleted within a maximum of 30 additional days, with a deletion certificate on request	Return of data and orderly closure
Database backups	7 days, with automatic rotation. They are not used to restore data whose deletion was requested.	Recovery from failures
System technical logs	30 days	Security and troubleshooting
Infrastructure administrative activity logs	400 days	Audit of access and changes
Billing data and tax receipts	5 years	Tax obligation (Mexican Federal Tax Code)
Anonymized or aggregated data (with no possibility of re-identification)	No limit (not personal data)	Statistical analysis and service improvement

Subprocessors keep the data they receive according to their own policies (for example, Google keeps what is sent to Gemini for a limited time to detect abuse, and phone carriers keep the call records the law requires them to retain). When the retention period expires, the data is securely deleted in accordance with the Data Deletion page.

14. Cookies and Similar Technologies

• contexta.com.mx website: Does not use analytics or advertising cookies. It loads fonts from Google Fonts, so your browser connects to Google servers.
• app.contexta.com.mx portal: Uses strictly necessary cookies and local storage (session, language, preferences). On the sign-up, sign-in and purchase confirmation pages it uses Google Ads conversion measurement to record that a sign-up or a purchase happened (with an anonymous transaction identifier and its amount), without ad personalization and without sending form data.
• contextanegocios.com website: On its public pages it uses Google Analytics without Google signals or ad personalization, in addition to Google Ads conversion measurement.
• Location map: The map used to place a business loads its images from OpenStreetMap, so your browser connects to its servers.

Google measurement is not activated if your browser sends the Do Not Track or Global Privacy Control signal.

15. Policy Review

This policy will be reviewed annually or whenever significant changes occur in the legislation, technology, or services offered by Contexta. The review is the responsibility of the DPO and must be approved by the senior management of Nubacom S.A. de C.V. The current version is always published at https://contexta.com.mx/privacidad-contexta.html.

16. Data Protection Officer (DPO) Contact

For any inquiry, request, or complaint related to the protection of personal data, please contact:

• Name: Constantino Maldonado Alvarado
• Title: President and Data Protection Officer (DPO)
• Company: Nubacom S.A. de C.V. (operator of Contexta)
• Email: [email protected]
• Alternative email: [email protected]
• Phone: +52 811 696 3966
• Postal address: El Salto 3227, Riberas del Río, Guadalupe, Nuevo León 67160, México

Version and Approval

Version	Date	Classification	Prepared by
1.0	20/05/2026	Public	Constantino Maldonado Alvarado — President
1.1	28/08/2026	Public	Constantino Maldonado Alvarado — President
1.2	15/10/2026	Public	Constantino Maldonado Alvarado — President. Updates subprocessors, backup location, security measures, retention periods and cookies, and publishes the DPA.