Política de privacidad de Genius AI
Esta política explica qué datos trata Genius AI, con qué finalidad, durante cuánto tiempo y con quién se comparten. Incluye una descripción específica de cómo la aplicación accede, usa, almacena y comparte datos de las cuentas de Google de las personas usuarias.
1. Quiénes somos
Genius AI es una plataforma desarrollada y operada por Coppel, S.A. de C.V., con domicilio en República de Brasil 497 Ote., Col. Los Mochis, Ahome, Sinaloa, C.P. 81200, México. Para efectos de esta política, Coppel, S.A. de C.V. es el responsable del tratamiento de los datos personales. Puedes contactarnos en privacidad@coppel.com.
2. Alcance y personas usuarias
Esta política aplica a la aplicación web, la aplicación de escritorio y las interfaces
de programación de Genius AI, publicadas en el dominio genius.coppel.services y sus subdominios. No
aplica a servicios de terceros a los que puedas acceder desde Genius AI, los cuales se rigen por
sus propias políticas.
Genius AI es una herramienta de uso interno del grupo empresarial. Solo pueden usarla las personas con una cuenta de correo corporativa en alguno de los siguientes dominios:
| Entidad | Dominio autorizado | País | Rol |
|---|---|---|---|
| Coppel, S.A. de C.V. | coppel.com | México | Responsable y operador |
| BanCoppel, S.A., Institución de Banca Múltiple | bancoppel.com | México | Empresa afiliada usuaria |
| Coppel Argentina, S.A. | coppel.com.ar | Argentina | Empresa afiliada usuaria |
| Salevale, S.A. de C.V. | salevale.com | México | Empresa afiliada usuaria |
Coppel, S.A. de C.V. desarrolla y opera la plataforma y es el responsable del tratamiento. Las demás entidades son empresas afiliadas cuyo personal usa la plataforma bajo un acuerdo intragrupo, y actúan como corresponsables respecto de los datos de su propio personal. Cada entidad conserva la facultad de autorizar o bloquear el uso de Genius AI para sus personas usuarias desde su propia consola de administración de Google Workspace.
Estas empresas operan bajo cuentas de Google Workspace independientes entre sí. Por esa razón la aplicación se registra ante Google con audiencia externa, aunque su uso sea estrictamente interno y el inicio de sesión esté restringido a los dominios listados. Una persona cuyo correo no pertenezca a esos dominios no puede completar la autorización.
Los datos de cada entidad se mantienen lógicamente aislados. Una persona usuaria solo accede a la información de su propia cuenta de Google y a las bases de conocimiento que su entidad le haya autorizado. No existe consulta cruzada de datos entre empresas del grupo, y los datos de Google de una persona usuaria nunca se exponen a personal de otra entidad.
3. Datos que tratamos
3.1 Datos de cuenta
- Identificador de la cuenta, nombre, dirección de correo electrónico y fotografía de perfil, obtenidos del proveedor de identidad corporativo o de Google al iniciar sesión.
- Área, puesto y grupos de acceso, cuando la organización los proporciona para efectos de control de permisos.
3.2 Datos de uso
- Los mensajes que escribes y las respuestas que genera el asistente.
- Archivos y documentos que subes o seleccionas para su análisis.
- Registros técnicos: fecha y hora, dirección IP, tipo de navegador, modelo utilizado, número de tokens procesados, errores y latencias.
3.3 Datos de Google
Únicamente cuando conectas tu cuenta de Google de forma voluntaria, tratamos los datos descritos en la sección 4. Si no conectas tu cuenta de Google, Genius AI funciona sin acceder a ningún dato de Google más allá de tu identidad básica de inicio de sesión.
3.4 Datos que no recabamos
Genius AI no utiliza cookies de publicidad ni tecnologías de rastreo entre sitios, no elabora perfiles comerciales y no recaba datos personales sensibles de forma deliberada. Te pedimos no introducir en el asistente información que no sea necesaria para tu labor.
4. Datos de Google y permisos solicitados
Antes de acceder a cualquier dato de tu cuenta de Google, Genius AI te presenta la pantalla de consentimiento de Google con la lista exacta de permisos solicitados. El acceso comienza solo después de que lo autorizas, se limita al alcance más estrecho que la funcionalidad requiere, y puedes revocarlo en cualquier momento como se describe en la sección 10.
La siguiente tabla detalla cada permiso, la finalidad concreta que lo justifica, los datos a los que da acceso y el tiempo que se conservan.
| Alcance (scope) | Tipo | Para qué se usa | Datos a los que accede | Retención |
|---|---|---|---|---|
https://www.googleapis.com/auth/gmail.readonly | RESTRICTED | Leer los correos que el usuario selecciona o consulta explícitamente, para resumirlos, extraer datos y responder preguntas dentro de la interfaz de Genius AI. | Asunto, remitente, destinatarios, fecha, cuerpo del mensaje y nombres de archivos adjuntos de los correos consultados. | En memoria durante la sesión. No se almacena el contenido del correo en reposo. |
https://www.googleapis.com/auth/gmail.modify | RESTRICTED | Aplicar acciones solicitadas por el usuario sobre sus correos: etiquetar, archivar, marcar como leído y crear borradores de respuesta generados por el asistente. | Etiquetas, estado de lectura y borradores creados a petición del usuario. | No se retiene. La acción se ejecuta y se descarta el identificador del mensaje al cerrar la sesión. |
https://www.googleapis.com/auth/gmail.send | RESTRICTED | Enviar únicamente los correos que el usuario redacta o aprueba de forma explícita dentro de Genius AI. El sistema nunca envía correo de manera automática ni sin confirmación previa del usuario. | Destinatarios, asunto y cuerpo del mensaje que el usuario aprueba antes del envío. | No se retiene después del envío, salvo el registro de auditoría descrito en la sección 6. |
https://www.googleapis.com/auth/drive.file | RESTRICTED | Leer y escribir únicamente los archivos que el usuario abre, selecciona o crea a través de Genius AI, por ejemplo para generar un documento o una hoja de cálculo a partir de un análisis. | Nombre, tipo, identificador y contenido de los archivos seleccionados por el usuario. | En memoria durante la sesión. Los archivos generados se escriben en el Drive del usuario y no se copian a nuestros sistemas. |
https://www.googleapis.com/auth/drive.readonly | RESTRICTED | Indexar en Lexa, la capa de conocimiento de Genius AI, los documentos que el usuario elige incorporar a una base de conocimiento para poder hacerles preguntas en lenguaje natural. | Contenido textual y metadatos de los documentos que el usuario selecciona explícitamente para indexar. | Fragmentos de texto y vectores de búsqueda mientras la base de conocimiento exista. Se eliminan al borrar la base o al revocar el acceso. |
https://www.googleapis.com/auth/calendar.events | SENSITIVE | Consultar la agenda del usuario y crear, modificar o cancelar eventos que el usuario solicita de forma explícita. | Título, fecha, hora, duración, ubicación, invitados y descripción de los eventos. | En memoria durante la sesión. No se almacena la agenda en reposo. |
https://www.googleapis.com/auth/contacts.readonly | SENSITIVE | Resolver nombres a direcciones de correo cuando el usuario pide enviar un mensaje o invitar a una persona a una reunión. | Nombre y dirección de correo de los contactos coincidentes con la búsqueda del usuario. | En memoria durante la sesión. No se copia la libreta de contactos. |
https://www.googleapis.com/auth/cloud-platform.read-only | SENSITIVE | Consultar el inventario de proyectos, recursos y configuración de Google Cloud del usuario para responder preguntas de operación, costo y cumplimiento dentro de Genius AI. | Identificadores de proyecto, nombres de recursos, etiquetas, roles y políticas de IAM en modo lectura. | En memoria durante la sesión. No se almacena configuración de infraestructura en reposo. |
https://www.googleapis.com/auth/cloudplatformprojects.readonly | SENSITIVE | Listar los proyectos a los que el usuario tiene acceso para que pueda elegir sobre cual quiere consultar. | Nombre, identificador y estado de los proyectos. | En memoria durante la sesión. |
openid / userinfo.email / userinfo.profile | BASIC | Autenticar al usuario y mostrar su nombre y foto en la interfaz. | Identificador de Google, dirección de correo, nombre y foto de perfil. | Mientras la cuenta de Genius AI exista. |
Genius AI solicita cada permiso únicamente cuando activas la funcionalidad que lo necesita. Los permisos de Google Cloud se solicitan siempre en modalidad de solo lectura. Genius AI nunca crea, modifica ni elimina recursos de infraestructura, ni cambia políticas de IAM.
- Enviar un correo electrónico. Todo envío requiere que revises y aproveches el contenido en pantalla antes de confirmar.
- Eliminar correos, archivos o eventos.
- Compartir un archivo de Drive con terceros o cambiar sus permisos.
- Indexar un documento en Lexa. Solo se indexa lo que seleccionas de forma explícita.
5. Uso limitado de los datos de Google
El uso y la transferencia que Genius AI hace de la información recibida de las API de Google se apega a la Política de Datos de Usuario de los Servicios de API de Google, incluidos sus requisitos de Uso Limitado.
En concreto, y respecto de los datos obtenidos mediante alcances restringidos o sensibles de Google:
- Uso. Los datos se usan exclusivamente para proveer o mejorar las funcionalidades visibles para la persona usuaria dentro de Genius AI que se describen en la sección 4. No se usan para ninguna otra finalidad.
- Transferencia. Los datos no se transfieren a terceros salvo que sea necesario para proveer o mejorar esas funcionalidades, por motivos de seguridad, para cumplir una obligación legal aplicable, o como parte de una fusión o adquisición previo aviso y consentimiento expreso de la persona usuaria.
- Acceso humano. Ninguna persona lee tus datos de Google, salvo que medie tu consentimiento expreso para un caso concreto, que sea necesario por razones de seguridad como la investigación de un abuso, que lo exija la ley, o que se trate de datos agregados y anonimizados para operaciones internas.
- Prohibiciones. Genius AI no vende datos de Google, no los usa ni los transfiere para publicidad, incluida la publicidad personalizada, de reorientación o basada en intereses, no los usa para evaluación crediticia ni para préstamos, y no los transfiere a plataformas publicitarias, intermediarios de datos ni revendedores de información.
Los datos obtenidos de las API de Google no se utilizan para entrenar, reentrenar ni ajustar modelos de inteligencia artificial de propósito general, ni propios ni de terceros. Los proveedores de modelos que utilizamos operan bajo contratos empresariales que prohíben expresamente el uso de los datos enviados para entrenamiento.
6. Almacenamiento y seguridad
- Cifrado. Todo el tráfico viaja sobre TLS 1.2 o superior. Los datos en reposo se cifran con AES-256.
- Tokens. Los tokens de acceso y actualización de Google se guardan cifrados con claves administradas en un servicio de gestión de claves, con acceso restringido a la cuenta de servicio de la aplicación.
- Aislamiento. Cada persona usuaria solo puede consultar sus propios datos. Las bases de conocimiento de Lexa aplican control de acceso a nivel de documento.
- Control de acceso. Acceso administrativo por rol, con autenticación multifactor obligatoria y revisión periódica de privilegios.
- Auditoría. Registramos quién accedió, a qué y cuándo. El registro de auditoría contiene metadatos, es decir el tipo de operación, el identificador del recurso y la marca de tiempo, y no el contenido de tus correos, archivos o eventos.
- Evaluación de seguridad. La aplicación se somete a la evaluación de seguridad anual requerida por Google para aplicaciones que usan alcances restringidos.
Si detectas o sospechas un incidente de seguridad, escribe a seguridad@coppel.com. Notificaremos a las personas afectadas y a las autoridades competentes conforme a la legislación aplicable.
7. Procesamiento con inteligencia artificial
Para generar respuestas, Genius AI envía el contenido de tu conversación y, cuando aplica, los fragmentos de documentos o correos que se necesitan para responder, a modelos de lenguaje. Estos modelos se ejecutan en infraestructura administrada por Coppel, S.A. de C.V. en Google Cloud, o bien en proveedores de modelos contratados bajo acuerdos empresariales que prohíben el uso de los datos para entrenamiento y establecen retención nula o de corto plazo.
Solo se envía al modelo la porción de información necesaria para atender tu solicitud. El modelo no tiene acceso directo a tu cuenta de Google. La lista vigente de proveedores de modelos está disponible previa solicitud a privacidad@coppel.com.
8. Con quién compartimos información
No vendemos ni rentamos datos personales. Compartimos información únicamente con:
- Proveedores de infraestructura y modelos que actúan como encargados, bajo contrato, con obligaciones de confidencialidad y de seguridad equivalentes a las nuestras, y sin derecho a usar los datos para fines propios.
- Empresas del grupo de Coppel, S.A. de C.V., cuando resulte necesario para la administración y el soporte de la plataforma.
- Autoridades competentes, cuando exista una obligación legal, una orden judicial valida o sea necesario para defender derechos legítimos.
Los datos obtenidos de las API de Google se comparten únicamente dentro de los límites descritos en la sección 5.
9. Conservación y eliminación
| Tipo de dato | Plazo de conservación |
|---|---|
| Datos de cuenta y perfil | Mientras la cuenta esté activa, más 30 días. |
| Historial de conversaciones | Hasta que lo elimines. Purga automática a los 12 meses de inactividad. |
| Contenido de correos, eventos y contactos de Google | No se almacena en reposo. Se procesa en memoria durante la sesión. |
| Documentos indexados en Lexa | Mientras exista la base de conocimiento. Se eliminan al borrarla o al revocar el acceso. |
| Tokens de acceso de Google | Hasta que revoques el acceso o pasen 6 meses sin uso. Se eliminan de inmediato al revocar. |
| Registros técnicos y de auditoría | 12 meses, para fines de seguridad y cumplimiento. |
| Copias de respaldo | 35 días, con rotación automática. |
Para solicitar la eliminación anticipada de tus datos, escribe a privacidad@coppel.com. Atendemos la solicitud en un plazo máximo de 20 días hábiles y confirmamos por escrito cuando concluye.
10. Cómo revocar el acceso a tu cuenta de Google
Puedes retirar la autorización en cualquier momento, por cualquiera de estas vías:
- Dentro de Genius AI, en Configuración, Cuentas conectadas, Desconectar Google.
- Desde tu cuenta de Google, en myaccount.google.com/permissions, seleccionando Genius AI y eligiendo Quitar acceso.
Al revocar el acceso, Genius AI elimina los tokens almacenados de inmediato y deja de poder acceder a tus datos de Google. Los fragmentos indexados en Lexa provenientes de Drive se eliminan dentro de los siguientes 7 días.
11. Tus derechos
Conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y su reglamento, tienes derecho a acceder, rectificar, cancelar u oponerte al tratamiento de tus datos personales, así como a limitar su uso o divulgación y a revocar tu consentimiento. Si te encuentras en una jurisdicción que reconozca derechos adicionales, como la portabilidad de datos, también puedes ejercerlos.
Envía tu solicitud a datospersonales@coppel.com indicando tu nombre, un medio de contacto, la descripción clara de los datos y el derecho que deseas ejercer. Responderemos en un plazo máximo de 20 días hábiles.
12. Transferencias internacionales
La infraestructura de Genius AI opera principalmente en regiones de Google Cloud ubicadas en Estados Unidos y en México. Cuando los datos se transfieren fuera de tu país de residencia, lo hacemos amparados en cláusulas contractuales que garantizan un nivel de protección equivalente al exigido por la legislación aplicable.
13. Menores de edad
Genius AI es una herramienta de uso laboral y no está dirigida a menores de 18 años. No recabamos de forma consciente datos personales de menores de edad.
14. Cambios a esta política
Podemos actualizar esta política. Cuando el cambio sea material, en particular si amplia las finalidades de uso de datos de Google o los permisos solicitados, lo notificaremos dentro de la aplicación y por correo electrónico con al menos 15 días naturales de anticipación, y solicitaremos de nuevo tu consentimiento cuando la ley lo exija. La fecha de vigencia aparece al inicio de este documento.
15. Contacto
Coppel, S.A. de C.V.
República de Brasil 497 Ote., Col. Los Mochis, Ahome, Sinaloa, C.P. 81200, México
Privacidad y datos personales: privacidad@coppel.com
Datos personales y derechos ARCO: datospersonales@coppel.com
Seguridad: seguridad@coppel.com
Soporte: genius-soporte@coppel.com