Proveedores, terceros y transferencias
Quién más trata tus datos, para qué, en qué país y con qué base legal.
Documento base preparado con apoyo de IA; debe ser revisado por un abogado antes de su publicación definitiva.
Lo esencial
- Algunos proveedores tratan datos por nuestra cuenta (servidores, correo, SMS, WhatsApp, IA, errores). Solo pueden usarlos para darnos ese servicio.
- Otros son terceros independientes, como Mercado Pago o Google, que se rigen por sus propias políticas.
- Compartimos datos con Refugios, Casas de paso o autoridades solo cuando hace falta para lo que tú pides o cuando la ley lo exige.
- Varios proveedores están fuera de México: Estados Unidos, Singapur, la Unión Europea y el Reino Unido.
- Los datos de tu tarjeta nunca pasan por PatitasFind: pagas en Mercado Pago.
- A la IA solo le enviamos fotos de perros, sin metadatos (EXIF). Nunca documentos, chats ni datos de contacto.
- Si agregamos un proveedor en un país nuevo o que reciba un tipo de dato nuevo, te avisamos antes.
1Cómo leer esta lista
- Persona encargada: proveedor que trata datos por cuenta de PatitasFind y siguiendo nuestras instrucciones (LFPDPPP, art. 2 fr. XII). Darle datos no es una transferencia. El Reglamento lo llama «remisión».
- Transferencia: cuando comunicamos datos a alguien distinto de la persona encargada, que los usará como responsable propio (LFPDPPP, art. 2 fr. XX). Le damos a conocer nuestro aviso y asume las mismas obligaciones (LFPDPPP, art. 35).
- Tercero independiente: servicio que usas o que recibe tu IP y que responde por su cuenta, con su propia política.
La ley no exige tu consentimiento para que una persona encargada trate datos por nuestra cuenta. Aun así, publicamos esta lista para que sepas quién es cada una.
Esta lista debe coincidir con las secciones de encargados y transferencias del Aviso de Privacidad. [VERIFICAR: antes de publicar, que esta lista y las secciones de encargados, transferencias y flujos internacionales del Aviso de Privacidad digan lo mismo; lo ideal es generarlas de una sola fuente]
2Proveedores que tratan datos por nuestra cuenta
| Proveedor | Para qué | Datos que recibe | País o región | Salvaguarda y estado | Alta o revisión |
|---|---|---|---|---|---|
| [PROVEEDOR DE HOSTING] | Servidores de la app, la API, la base de datos y los archivos. | Todos los datos de la Plataforma. | [PAÍS O REGIÓN DEL HOSTING] | Contrato o términos del proveedor. Certificaciones: [CERTIFICACIONES DEL HOSTING]. | 2026-10-17 |
| Cloudflare, Inc. | Red de entrega de contenido, protección contra ataques, proxy y conexión cifrada. | Todo el tráfico, incluido lo que subes; dirección IP, encabezados del navegador y cookies de seguridad. | Estados Unidos y red global. | Acuerdo de tratamiento de datos de Cloudflare. Sus cookies están en la Política de cookies. | 2026-10-17 |
| [PROVEEDOR DE RESPALDOS EXTERNOS] | Copia externa de los respaldos y, en su caso, de la evidencia de contenidos retirados. | Respaldos y evidencia cifrados antes de salir de nuestro servidor. | [PAÍS O REGIÓN DE LOS RESPALDOS EXTERNOS] | Cifrado con llaves propias (sección 8). | 2026-10-17 |
| Alibaba Cloud (Model Studio, modelos Qwen) | Comparar fotos de perros y sugerir sus datos (raza, tamaño, colores, descripción). | Solo fotos de perros, sin metadatos (EXIF); la IA devuelve raza, tamaño, colores y una descripción sugerida. Nunca nombres, teléfonos, correos, documentos ni chats. | Singapur (región internacional). [VERIFICAR: entidad contratante, región del servicio y ámbito de cómputo fijado en Singapur] | Términos del proveedor; contratado sin uso de los datos para entrenar modelos. [VERIFICAR: que el proveedor de IA contratado no use las fotos para entrenar modelos, y la entidad contratante] | 2026-10-17 |
| Zhipu AI / Z.ai (proveedor alterno de IA) | Alternativa para analizar fotos de perros. | Fotos de perros. | Posiblemente República Popular China. | No activado. Solo se activaría después de evaluarlo y de publicar un nuevo aviso de privacidad. | 2026-10-17 |
| Meta Platforms, Inc. (WhatsApp Business Platform) | Bot de reportes de perros perdidos y encontrados, y avisos por WhatsApp que tú aceptaste. | Tu número, nombre de perfil, mensajes, fotos y ubicación que envías al bot. | Estados Unidos (procesamiento global). | Términos de WhatsApp Business. Meta guarda los mensajes hasta 30 días. | 2026-10-17 |
| [PROVEEDOR DE SMS] | Enviar el código para verificar tu teléfono. | Número de teléfono y el código. | [PAÍS DEL PROVEEDOR DE SMS] | Contrato o términos del proveedor. Solo códigos, sin publicidad. | 2026-10-17 |
| [PROVEEDOR DE CORREO] | Correos del servicio y, si los aceptas, correos promocionales. | Nombre, correo y contenido del mensaje. | [PAÍS DEL PROVEEDOR DE CORREO] | Seguimiento de aperturas y clics desactivado. [VERIFICAR: que el proveedor de correo tenga desactivado el seguimiento de aperturas y de clics] | 2026-10-17 |
| Functional Software, Inc. (Sentry) | Detectar y corregir errores. | Eventos técnicos con un número interno de cuenta, sin nombre ni correo. | [REGIÓN DE SENTRY]; algunos metadatos quedan en Estados Unidos. | Sin grabación de sesiones y con filtrado de datos personales. | 2026-10-17 |
| PostHog, Inc. | Analítica de uso, solo si la aceptas. | Identificador seudónimo, tipo de cuenta, ciudad y eventos de uso (pantallas y clics, sin el texto). Al cargar su código, sus servidores reciben tu IP. | [REGIÓN DE POSTHOG] | Eventos hasta 12 meses; IP descartada. [VERIFICAR: activa en el proyecto de PostHog la opción de descartar la IP de los clientes] | 2026-10-17 |
| [PAC DE CFDI] | Timbrar las facturas (CFDI) que PatitasFind emite a los Refugios por su comisión. Solo cuando la comisión sea mayor que 0 %. | Datos fiscales de los Refugios y del operador. | México. | Proveedor autorizado por el SAT. | 2026-10-17 |
| [PAQUETERÍA] | Entregar y devolver pedidos de la Tienda Solidaria, con número de rastreo. | Nombre, domicilio y teléfono de entrega. | México. | Encargada de PatitasFind o tercero contratado por el Refugio, según quién contrate el envío. | 2026-10-17 |
| Apify (lectura de grupos públicos de Facebook) | Leer publicaciones públicas de grupos de perros perdidos. | Texto y fotos de publicaciones. Antes de guardarlas quitamos teléfonos, correos, usuarios de redes sociales, enlaces y nombres de personas. | Fuera de México. [VERIFICAR: entidad con la que se contrata Apify, país de procesamiento y retención de los datos; condición de no activar sin las opiniones legales] | Desactivado. Solo se activará después de las opiniones legales. Ver Contenido importado. | 2026-10-17 |
| Prestador de servicios de certificación (NOM-151) | Constancias de conservación de versiones de documentos y aceptaciones. | Solo huellas digitales (hashes), no datos legibles. | México. | Opcional; solo si se contrata. | 2026-10-17 |
La columna «Alta o revisión» indica cuándo agregamos o revisamos por última vez cada fila. Los cambios posteriores quedan en el registro de cambios. [VERIFICAR: si quieres publicar las certificaciones de seguridad de cada proveedor (por ejemplo, ISO/IEC 27001 o SOC 2), escribe aquí la lista con su fuente; si no, pon true]
3Servicios de terceros independientes
| Tercero | Para qué | Datos | País o región | Tipo | Alta o revisión |
|---|---|---|---|---|---|
| MP Agregador, S. de R.L. de C.V. (Mercado Pago) | Cobrar compras y donativos (Checkout Pro), enviar el dinero directo a la cuenta de cada Refugio (Split), reembolsos, prevención de fraude y contracargos. | Los datos de pago que tú escribes en su sitio. Nosotros le enviamos el monto, el concepto y el número de pedido o donativo. | México. | Responsable independiente; encargado solo en lo que procesa por nuestra instrucción. | 2026-10-17 |
| Mercado Pago W, S.A. de C.V., IFPE | Cuenta donde un Refugio recibe su dinero, si así lo tiene contratado. | Los de su contrato con el Refugio. | México. | Entidad financiera independiente. Los saldos son de esa entidad y del Refugio, no de PatitasFind. | 2026-10-17 |
| Google LLC (inicio de sesión con Google) | Entrar con tu cuenta de Google. | Google nos comparte tu nombre, correo, foto y un identificador. | Estados Unidos. | Responsable independiente. | 2026-10-17 |
| Google LLC (Google Maps Platform, Places API) | Mostrar en el perfil de una Clínica su calificación y hasta 5 reseñas de Google, consultadas en tiempo real. | Nuestro servidor solo envía el identificador del lugar (place_id), que es lo único que guardamos. Al ver las reseñas, tu navegador descarga de Google las fotos de perfil de sus autores y Google recibe tu IP. | Estados Unidos. | Proveedor de contenido con términos propios. No guardamos reseñas de Google. | 2026-10-17 |
| Google LLC (Google Fonts) | Tipografías de la página. | Dirección IP y datos del navegador. | Estados Unidos. | Tercero que recibe la IP, hasta que alojemos las fuentes nosotros. | 2026-10-17 |
| OpenStreetMap Foundation (mapa y Nominatim) | Imágenes del mapa y nombres de lugares. | Dirección IP; coordenadas cuando usas tu ubicación; la dirección que buscas en el directorio de Clínicas. | Reino Unido y servidores fuera de México. | Tercero con su propia política de uso. | 2026-10-17 |
| CARTO | Imágenes del mapa en los estilos claro, Voyager y oscuro. | Dirección IP y zona del mapa. | [VERIFICAR: país o región de los servidores de CARTO y sus términos] | Tercero que recibe la IP. | 2026-10-17 |
| Meta Platforms, Inc. (API de Páginas de Facebook) | Solo si conectamos una página de Facebook propia o que administramos: leer sus publicaciones sobre perros perdidos o encontrados para crear reportes. Si publicamos en nuestras páginas, solo perros en adopción gratuita, nunca como productos. | Texto y fotos de esas publicaciones, depurados antes de guardarlos; lo que nosotros publiquemos. | Estados Unidos. | Proveedor de plataforma con términos propios. Ver Contenido importado. | 2026-10-17 |
| Servicios de notificaciones del navegador (Apple, Google, Mozilla) | Notificaciones push. | — | — | No los usamos. Si los agregamos, actualizaremos esta lista. | 2026-10-17 |
| Secretaría de Educación Pública, Registro Nacional de Profesionistas | Fuente pública que consultamos para comprobar la cédula de quien responde por una Clínica. | Nombre y número de cédula. | México. | Fuente consultada, no proveedor. | 2026-10-17 |
4Transferencias
No vendemos, rentamos ni cedemos tus datos con fines comerciales. Solo los comunicamos en estos casos:
| Quién los recibe | Qué datos | Para qué | Base |
|---|---|---|---|
| Refugio, Casa de paso o persona que publicó el perro al que te postulas | Nombre, ciudad, respuestas del cuestionario y mensajes del chat. Tu correo y tu teléfono, solo cuando aprueban tu postulación. | Evaluar tu postulación y coordinar la adopción. | Necesaria para la relación que tú pides (LFPDPPP, art. 36 fr. IV y VII). Quien los recibe asume las obligaciones de nuestro aviso (art. 35). |
| Persona con la que coincide tu reporte de perro perdido o encontrado | Nombre de pila y mensajes del chat. | Coordinar el reencuentro. | LFPDPPP, art. 36 fr. VII. |
| Refugio que vende el producto que compras | Nombre, domicilio y teléfono de entrega, y los productos del pedido. Nunca tus compras a otros Refugios ni, fuera de la factura, tu correo. Si pides factura, los datos fiscales que capturas (nombre o razón social, RFC, régimen fiscal, código postal y uso del CFDI). [VERIFICAR: si el Refugio vendedor ve el correo que la persona captura al pedir factura (OrderInvoice.email aparece en InvoiceOut), escribe aquí: «También el correo que indicas para recibirla.»; si no lo ve, pon true] | Preparar y enviar tu pedido, emitir tu CFDI y atender garantías y devoluciones. | LFPDPPP, art. 36 fr. IV; confidencialidad en la venta en línea (LFPC, art. 76 Bis fr. I). |
| Refugio al que donas | Monto y fecha. Tu nombre y tu correo, solo si marcas la casilla. Si pides un recibo deducible a un Refugio que es donataria autorizada, tus datos fiscales para emitirlo. | Recibir el donativo, emitir el recibo deducible que pidas y, si lo autorizas, agradecerte. | Monto, fecha y datos fiscales del recibo: necesarios para el donativo y el recibo que pides (LFPDPPP, art. 36 fr. IV). Nombre y correo: tu consentimiento (LFPDPPP, art. 35). |
| Clínica veterinaria | Lo que tú publiques en una reseña o le envíes directamente. | Que conozca tu opinión o atienda tu consulta. | Tu decisión de publicar o escribirle. |
| Autoridades: SAT, Ministerio Público y Guardia Nacional, PROFECO, SABG, Unidad de Inteligencia Financiera, Agencia de Transformación Digital y Telecomunicaciones y Consejería Jurídica del Ejecutivo Federal | Solo lo estrictamente requerido. | Obligaciones fiscales, informes que exige la ley, denuncias y requerimientos fundados y motivados. | Obligación legal o requerimiento de autoridad competente (LFPDPPP, art. 36). Cada caso queda registrado. Ver Solicitudes de autoridades. |
Los Refugios, Casas de paso y personas que publican aceptan un acuerdo para usar esos datos solo para la adopción, el pedido o el donativo, y no para enviarte publicidad. Ver Acuerdo de datos para Refugios.
5Datos fuera de México
- Estados Unidos: Cloudflare, Meta (WhatsApp), Google, y Sentry o PostHog si su región es Estados Unidos.
- Singapur: Alibaba Cloud, solo con fotos de perros, sin metadatos. [VERIFICAR: entidad contratante, región del servicio y ámbito de cómputo fijado en Singapur]
- Unión Europea: Sentry o PostHog, si su región es la Unión Europea.
- Reino Unido: OpenStreetMap.
- República Popular China: solo si algún día se activa el proveedor alterno de IA, cosa que hoy no ocurre.
- Además, el país del servidor, del correo, del SMS y de los respaldos que indica la tabla de la sección 2.
La ley mexicana no exige que el país receptor tenga cierto nivel de protección. Por eso procuramos elegir proveedores cuyos contratos o términos los obliguen a proteger tus datos, y les enviamos lo mínimo necesario.
6Lo que nunca enviamos
- Documentos de identidad, actas, cédulas y constancias fiscales nunca se envían a proveedores de IA.
- Chats, datos de contacto y ubicación exacta nunca se envían a proveedores de IA.
- No usamos reconocimiento facial ni extraemos datos biométricos de ninguna foto.
- No compartimos con Refugios listas de contactos para que te envíen publicidad.
7Pagos y tarjetas
Pagas tus compras y donativos en Mercado Pago. Los datos de tu tarjeta nunca pasan por PatitasFind: no los vemos ni los guardamos. Solo recibimos el identificador del pago, el monto y su estado.
El dinero va directo a la cuenta de Mercado Pago de cada Refugio (Split). PatitasFind no guarda ese dinero. El fraude y los contracargos se atienden con las herramientas de Mercado Pago. Más detalles en Seguridad.
8Respaldos
Ciframos los respaldos con llaves propias en nuestro servidor, antes de enviar la copia externa a [PROVEEDOR DE RESPALDOS EXTERNOS], en [PAÍS O REGIÓN DE LOS RESPALDOS EXTERNOS]. El proveedor guarda archivos que no puede leer. Cuánto tiempo se conservan: Conservación y eliminación de datos.
9Cómo controlamos a los proveedores
- Procuramos contratar proveedores cuyos contratos o términos les impidan usar tus datos para fines propios y les exijan confidencialidad y seguridad. [VERIFICAR: si ya tienes archivados, con fecha, los contratos o acuerdos de tratamiento de datos de cada proveedor de la sección 2 (al 17-10-2026 no se localizó un acuerdo específico con Alibaba Cloud), escribe aquí: «Guardamos una copia fechada del contrato, los términos o el acuerdo de tratamiento de datos que aceptamos con cada uno.»; si no, pon true]
- Revisamos esta lista cuando cambiamos de proveedor.
10Cambios a esta lista
Si agregamos un proveedor que trate tus datos en un país nuevo o que reciba un tipo de dato nuevo, lo trataremos como un cambio importante: te avisaremos con 30 días de anticipación en la app y por correo y, cuando la ley lo pida, te pediremos aceptar el aviso de nuevo dentro de la app.
| Fecha | Cambio |
|---|---|
| 2026-10-17 | Publicación de la lista inicial. |
VVersiones
- Versión: 2026-10-17
- Vigente desde: [FECHA DE ENTRADA EN VIGOR]
Consulta todas las versiones y sus cambios en el historial de versiones.