Versión del 9 de octubre de 2026.
Estos anexos describen la conservación, los servicios que intervienen en el tratamiento y las medidas de seguridad de InsuranceBoard, operado por Bari Soft SAS de CV. Se conservarán con la misma versión del paquete legal. Los datos particulares y firmas de cada Cliente permanecerán en su expediente privado.
Anexo A Conservación devolución y eliminación
A1 Baja individual y terminación del servicio
La baja de un Usuario retira su acceso individual; no cancela por sí sola el servicio de la agencia ni elimina sus registros de negocio. Los registros necesarios para continuar el encargo se reasignarán o conservarán con acceso autorizado. Las solicitudes sobre datos personales se atenderán conforme al Aviso de Privacidad.
En nuevas contrataciones sujetas a esta versión, el Cliente podrá solicitar la exportación de sus datos durante los 30 días naturales siguientes a la fecha efectiva de terminación. La solicitud se dirigirá a legal@insurance-board.com.mx. Se verificará la representación y se confirmarán por escrito el alcance, el formato, el medio de entrega y la fecha de disponibilidad. Los registros se entregarán en un formato común que permita su consulta y los archivos dentro del alcance autorizado. No se exigirá renovar una suscripción para solicitar esa devolución.
La base operativa y los archivos activos del encargo se suprimirán a más tardar a los 90 días naturales desde la terminación, salvo instrucción procedente de eliminación anterior o una obligación concreta de conservación. Las solicitudes de devolución presentadas en plazo deberán atenderse antes de la supresión dentro de ese período. Una demora del Prestador no ampliará por sí sola el plazo ni hará perder una solicitud presentada en tiempo. Cualquier extensión solicitada expresamente por el Cliente deberá documentar su finalidad y fecha de terminación; no permitirá continuar otros usos.
Solicitar la exportación después de los 30 días no garantiza que todavía existan los datos. Los plazos de devolución no amplían los plazos legales de los derechos ARCO. La eliminación de datos operativos y la de copias de respaldo son procesos distintos, descritos abajo.
Los contratos anteriores mantienen los derechos y plazos que les correspondan. Esta versión no amplía unilateralmente una obligación previa de eliminar a los 30 días ni acorta un derecho previo de recuperar información durante 90 días. Cualquier transición que altere esos compromisos deberá acordarse con el Cliente y quedar documentada.
A2 Categorías y calendario
Al concluir una finalidad, únicamente se conservará la información necesaria para otra finalidad legítima identificada. El plazo de una categoría no se extiende automáticamente a todo el expediente de una persona ni a todos los datos del CRM. La ejecución puede ser manual o automatizada; Bari Soft deberá dejar constancia del alcance y resultado de la atención.
| Categoría | Plazo y comienzo del cómputo | Alcance al terminar la finalidad |
|---|---|---|
| Cuenta, perfil y credenciales | Durante el acceso autorizado; tras la baja definitiva, depuración operativa dentro de 90 días naturales | Revocar accesos al hacer efectiva la baja. Conservar por separado solo la identificación necesaria en registros de negocio, contractuales o de seguridad conforme a sus reglas. |
| Datos operativos del Cliente y archivos activos | Durante el servicio; devolución y supresión conforme a A1 | Entregar solo al Cliente o a su representante autorizado, restringir los datos pendientes de devolución y suprimir los que dejen de ser necesarios. |
| Respaldos de la base | Rotación por cantidad de copias y revisión de las excepciones, conforme a A3 | Acceso limitado a recuperación y a obligaciones concretas; no se ofrece una fecha máxima general de borrado de todas las copias históricas. |
| Documentos que acrediten contratación y obligaciones | Al menos 10 años desde su generación cuando estén comprendidos en el artículo 49 del Código de Comercio; prolongación únicamente por obligación o controversia documentada | Expediente contractual restringido, con la versión íntegra y los elementos necesarios para acreditar el acto. No comprende por defecto todos los datos operativos del Cliente. |
| Evidencia personal de términos y acuse del aviso, cuando se habilite su recopilación | Plazo de referencia: 10 años desde cada acto para el expediente mínimo que permita acreditar obligaciones e información proporcionada | Conservar versión, declaración, identidad necesaria, fecha y trazabilidad del acto. Revisar la necesidad de metadatos adicionales; no utilizarlos para publicidad o perfilamiento. |
| Registros de consulta de evidencia legal | Plazo de referencia: 1 año desde la consulta, salvo un incidente o controversia documentados | Permitir el control de accesos; separar los registros de la evidencia contractual que consultaron. |
| Comprobantes y documentación fiscal | Plazo legal aplicable; como regla general, 5 años desde la presentación o vencimiento de las declaraciones relacionadas, con los cómputos y excepciones del artículo 30 del Código Fiscal de la Federación | Acceso limitado a obligaciones fiscales, contables y defensa procedente. Aplicar también la conservación mercantil si un mismo documento está sujeto a ella. |
| Soporte ordinario | Plazo de referencia: 1 año desde el cierre del caso | Conservar el seguimiento necesario, depurar copias y adjuntos que no hagan falta. Si el caso acredita una obligación o un incidente, identificar por separado la retención que corresponda. |
| Registros técnicos de operación y seguridad bajo control de Bari Soft, incluido SignalBoard | Plazo de referencia: 90 días naturales desde su generación, salvo los elementos vinculados con un incidente documentado | Minimizar datos personales, restringir el acceso y separar la evidencia que deba conservarse por otra causa. |
| Expedientes de derechos ARCO y privacidad | Hasta concluir la atención y, de ser necesario, durante el plazo de prescripción de las responsabilidades concretamente identificadas | Registrar el fundamento y la fecha de revisión de la conservación restringida. Suprimir documentos de identidad que ya no sean necesarios; el resultado de la verificación puede conservarse sin duplicar la identificación. |
| Conexión de Google Calendar | Tokens: eliminación de la base operativa al desconectar. Citas y otros datos del espacio: reglas de datos operativos. Copias: A3 | Desconectar no borra automáticamente eventos que permanezcan en Google. También puede revocarse el acceso desde la cuenta de Google. |
Los plazos identificados como referencia requieren su adopción expresa en el calendario aplicable; su publicación no modifica por sí sola los compromisos de conservación existentes. Los plazos legales se aplican con independencia de ese calendario. Referencias: Código de Comercio, artículo 49 y Código Fiscal de la Federación, artículo 30.
A3 Respaldos y conservación restringida
Se generan respaldos diarios de la base de datos. Su rotación programada mantiene 30 copias ordinarias y 10 copias previas a despliegues. Estos números son cantidades de copias, no plazos máximos de conservación en días. Existen copias históricas y copias exceptuadas de la rotación automática; su eliminación requiere una revisión específica. Por ello, la supresión de la base operativa no acredita el borrado simultáneo de todas las copias.
Las copias no se utilizarán para continuar la actividad ordinaria de una cuenta cancelada, realizar campañas ni recuperar datos para una finalidad incompatible. La conservación excepcional deberá limitarse a una necesidad concreta, con acceso restringido, motivo, persona responsable y fecha de revisión. Una excepción técnica de rotación no constituye por sí sola un fundamento para conservar datos indefinidamente.
Al atender una solicitud, se informará el alcance de la eliminación realizada y las copias que deban seguir restringidas, con el motivo y el siguiente paso de revisión que corresponda. Si se restaura una copia, deberán reaplicarse las bajas, restricciones y eliminaciones procedentes antes de volver a poner esos datos en uso. No se declarará cumplida una eliminación integral solo por haber retirado el perfil o la información de la base activa.
A4 Retenciones específicas
Una retención por obligación legal, requerimiento válido o controversia identificará los registros afectados, la causa, el responsable y el hecho que permitirá liberarla. Se revisará mientras subsista y, al cesar su fundamento, se ejecutará la supresión correspondiente. Los datos se mantendrán restringidos a ese propósito y no se reutilizarán para otros fines.
Anexo B Servicios e integraciones
No todas las funciones se activan para todos los Clientes. La siguiente relación describe el tratamiento relacionado con cada servicio y el alcance de ubicación que se puede informar. El alojamiento de la base, los archivos, los respaldos y las integraciones se consideran por separado; no se ofrece residencia exclusiva de todo el servicio en México.
B1 Infraestructura y operación
| Servicio | Función y datos comprendidos | Ubicación y alcance |
|---|---|---|
| Hetzner | Alojamiento de la aplicación y la base de datos, con cuentas y datos del CRM | Estados Unidos. La documentación del proveedor identifica a Hetzner Online GmbH como contraparte de sus servicios, también en sus ubicaciones estadounidenses. No se especifica un centro de datos concreto. |
| DigitalOcean Spaces | Respaldos de la base de datos, con la información del CRM contenida en cada copia | Atlanta, Estados Unidos. Es un destino distinto del almacenamiento de archivos de Cloudflare R2. |
| Cloudflare R2 | Documentos y archivos del servicio, incluidos datos del Cliente, además de imágenes públicas como logos y avatares | La ubicación depende del depósito y de las opciones contratadas. Este anexo no atribuye una región exclusiva a los depósitos actuales; las preferencias de ubicación del proveedor no equivalen a una garantía de residencia. |
| Resend, servicio de Plus Five Five, Inc. | Envío de correo: destinatarios, asunto, contenido, metadatos de entrega y seguimiento cuando corresponda | El proveedor declara almacenamiento en Estados Unidos. La región desde la que se envía un correo no determina por sí sola dónde se conserva su contenido. |
| Google Workspace y Gmail | Atención por correo: remitentes, destinatarios, comunicaciones y adjuntos enviados a los canales de privacidad, asuntos legales o soporte | Tratamiento conforme al servicio de correo contratado; este anexo no establece una región exclusiva para el buzón. Es distinto de la integración de Google Calendar. |
| SignalBoard, operado por Bari Soft SAS de CV | Diagnóstico de errores y eventos: identificadores de usuario y agencia, rol, correo y datos técnicos; los eventos de entrega de correo pueden incluir al destinatario | Operación propia de Bari Soft. La ubicación de la infraestructura de SignalBoard no se equipara por ello a la de la base del CRM. No se describe como un tercero independiente ni como tratamiento anónimo. |
Bari Soft mantiene su responsabilidad por las actividades que le correspondan. Para los tratamientos realizados por su cuenta, debe documentar instrucciones y obligaciones de confidencialidad, seguridad y supresión con los prestadores correspondientes. Las condiciones que un proveedor aplique a sus propias relaciones de cuenta, seguridad o cumplimiento no autorizan usos incompatibles de los datos de los Usuarios o del Cliente.
B2 Funciones conectadas
| Servicio | Activación, finalidad y datos | Límites relevantes |
|---|---|---|
| Meta y WhatsApp | Mensajería cuando se configure la integración: números, destinatarios, contenido, adjuntos y metadatos necesarios | Las cuentas y los servicios de mensajería tienen condiciones propias. El Cliente debe informar a sus contactos y contar con el fundamento para comunicarse con ellos. La operación puede implicar tratamiento fuera de México; no se fija una residencia exclusiva para esta integración. |
| Google Calendar | Conexión opcional del Usuario: correo de la cuenta, tokens, identificadores de eventos, datos de citas y disponibilidad conforme a los permisos autorizados | Sujeto al Uso Limitado descrito en el aviso y a la configuración de la cuenta de Google. No autoriza utilizar datos obtenidos de Google para publicidad o entrenamiento de modelos generalizados. |
| Expo y servicios móviles de Apple o Google | Entrega de notificaciones: token del dispositivo, título, texto e identificadores o enlaces relacionados con el espacio de trabajo | Expo comunica a los servicios de entrega del sistema operativo. La retención transitoria descrita por Expo no determina la conservación por Apple, Google o el dispositivo. No se ofrece una residencia exclusiva para toda la cadena. |
| Anthropic | Generación de respuestas del asistente: consulta, historial pertinente y resultados de herramientas que pueden contener datos identificables del CRM | Servicio externo sujeto a condiciones de API. No se promete anonimización, retención cero ni ubicación exclusiva en México. No incorporar información innecesaria o cuya comunicación carezca de autorización. Las restricciones de Google siguen aplicándose. |
La activación de una función no equivale por sí sola al consentimiento de todas las personas cuyos datos se comunican. Las remisiones a prestadores que actúen por cuenta del responsable y las transferencias a destinatarios que actúen para fines propios se determinarán según la operación y el contrato aplicable. Cuando corresponda consentimiento específico o autorización de subencargo, debe obtenerse antes de la operación; no se sustituye por una casilla general de términos.
B3 Conservación en servicios externos y cambios
La conservación de las copias bajo control de Bari Soft se rige por el Anexo A. Los proveedores pueden manejar registros y copias conforme a sus condiciones y obligaciones propias; sus plazos no se trasladan automáticamente al CRM ni sustituyen la atención de solicitudes por Bari Soft. La supresión de una cuenta del CRM no elimina por sí sola mensajes ya entregados, eventos que permanezcan en Google ni copias bajo control de sus destinatarios.
Las referencias oficiales de Hetzner, Cloudflare R2, Resend, Expo y Anthropic permiten consultar el alcance general de esos servicios. No reemplazan las instrucciones ni el contrato aplicable a los datos tratados por cuenta del Cliente.
Stripe y FacturaFlow no se utilizan actualmente. Vultr tampoco es el alojamiento productivo actual. Cualquier incorporación de proveedores o migración productiva deberá informarse y someterse a las autorizaciones que correspondan conforme al aviso y al acuerdo. La intención de migrar a México no cambia las ubicaciones actuales.
Anexo C Seguridad y atención
Acceso y credenciales. InsuranceBoard utiliza autenticación, permisos por rol y separación de espacios de trabajo para limitar el acceso a información autorizada. Las contraseñas se protegen mediante hash; los tokens de las integraciones de Google Calendar y WhatsApp se almacenan cifrados. El Cliente debe mantener actualizadas las personas autorizadas y comunicar bajas o accesos que desconozca.
Comunicaciones y almacenamiento. El acceso web al servicio utiliza HTTPS. La base de datos, sus respaldos y los archivos adjuntos utilizan los servicios descritos en el Anexo B.
Respaldos y recuperación. El Prestador realiza respaldos diarios de la base de datos y los conserva en un servicio de almacenamiento separado del servidor que la opera. Ha comprobado la restauración de una copia y el funcionamiento representativo de la aplicación. Los archivos adjuntos se almacenan por separado; no están contenidos en el respaldo de la base de datos. Su recuperación puede requerir actuaciones adicionales sobre ese almacenamiento.
Ante un incidente se realizarán las actuaciones de diagnóstico, contención y recuperación pertinentes. El alcance y el tiempo efectivo dependerán del incidente, de los datos afectados y de las copias disponibles. No se establece una garantía de recuperación instantánea, ausencia total de pérdidas o disponibilidad ininterrumpida. Los niveles de servicio adicionales serán los expresamente contratados. Estas precisiones no excluyen las obligaciones de protección de datos ni la responsabilidad que corresponda a cada parte.
Atención. Los reportes de privacidad y posibles incidentes se reciben en privacidad@insurance-board.com.mx; los asuntos contractuales, en legal@insurance-board.com.mx. El Prestador y el Cliente colaborarán en su atención y en las comunicaciones que procedan conforme al aviso, al acuerdo y a la legislación aplicable.
Evidencia legal. Cuando se habilite el mecanismo personal, los comprobantes identificarán la acción, la versión del documento, la fecha y su huella. No se presentan como firma electrónica avanzada ni como constancia certificada de conservación. Su consulta, conservación y eliminación se sujetarán al alcance autorizado y al calendario aprobado.