ROMI Comprehensive Privacy Notice

El INSTITUTO DE INNOVACIÓN TECNOLÓGICA Y DE INTELIGENCIA ARTIFICIAL AVANZADA STARK, en adelante “STARK”, “ROMI” o “el Responsable”, es responsable del tratamiento de los datos personales recabados mediante ROMI, sus sitios web, aplicaciones, asistentes virtuales, servicios mediante WhatsApp, plataformas digitales, formularios, herramientas para profesionales, productos asociados y demás medios relacionados con el ecosistema ROMI.

El presente Aviso de Privacidad Integral tiene por objeto informar a las personas usuarias qué datos pueden ser tratados, con qué finalidades, bajo qué condiciones, con quién pueden ser compartidos, durante cuánto tiempo pueden conservarse y qué mecanismos existen para ejercer sus derechos sobre dicha información.

ROMI puede ofrecer servicios distintos y dirigidos a diferentes tipos de usuarios. Determinados productos, investigaciones, servicios institucionales o funcionalidades podrán contar con avisos de privacidad específicos que complementen el presente documento.

1. Identidad del responsable

El responsable del tratamiento de los datos personales es:

INSTITUTO DE INNOVACIÓN TECNOLÓGICA Y DE INTELIGENCIA ARTIFICIAL AVANZADA STARK

Domicilio: Av. Kepler 2143, Reserva Territorial Atlixcáyotl, 72190 Heroica Puebla de Zaragoza, Pue. Correo electrónico de privacidad: contacto@romiai.com.mx Sitio web: romiai.com.mx Teléfono: +52 221 193 8700

Para efectos de atención de solicitudes relacionadas con datos personales, STARK establece como canal de contacto:

Área de Privacidad y Protección de Datos Personales de STARK Correo: contacto@romiai.com.mx

2. Marco jurídico

En México, STARK tratará los datos personales conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, su Reglamento y demás disposiciones vigentes aplicables.

STARK observará, entre otros, los principios de licitud, finalidad, lealtad, consentimiento, calidad, proporcionalidad, información y responsabilidad, así como los deberes de seguridad y confidencialidad previstos en la legislación mexicana.

Cuando, por las características de un servicio y su ámbito territorial, resulte obligatoriamente aplicable la legislación de otra jurisdicción, STARK adoptará las medidas adicionales exigidas por dicha normativa.

3. A quién aplica este Aviso

Este Aviso podrá resultar aplicable, según el servicio utilizado, a:

• • personas usuarias de ROMI;
• • pacientes;
• • familiares, cuidadores o representantes;
• • profesionales de la salud;
• • usuarios de servicios educativos;
• • participantes en actividades de investigación cuando corresponda;
• • usuarios de plataformas o productos asociados a ROMI; y
• • personas que se comuniquen con STARK mediante sus medios digitales.

4. Formas en que podemos obtener datos personales

STARK podrá obtener datos personales:

Directamente de la persona titular, cuando utiliza ROMI, conversa mediante WhatsApp, completa un formulario, crea una cuenta, proporciona información en una plataforma, solicita soporte, participa en un servicio o se comunica con nosotros.

Mediante procesos tecnológicos, cuando se generan registros técnicos, identificadores, información de sesión, fecha y hora de acceso u otros datos necesarios para el funcionamiento y seguridad de los servicios.

Mediante profesionales, instituciones u otras personas autorizadas, cuando una persona haya autorizado legalmente el suministro de información a ROMI o cuando exista otra base jurídica que permita dicho tratamiento.

Cuando los datos no hayan sido obtenidos directamente de la persona titular, STARK cumplirá las obligaciones de información que correspondan conforme a la legislación aplicable.

5. Datos personales que podemos tratar

Dependiendo del producto o servicio utilizado, ROMI podrá tratar las siguientes categorías de información:

Datos de identificación, como nombre, edad, fecha de nacimiento, sexo cuando sea pertinente para una finalidad de salud, relación con un paciente y otros datos necesarios para identificar a la persona.

Datos de contacto, como número telefónico, correo electrónico y medios designados para recibir comunicaciones.

Datos de cuenta y autenticación, como identificadores de usuario, número asociado a WhatsApp, tokens de sesión, mecanismos de autenticación y registros relacionados con el acceso.

Datos de interacción, incluyendo mensajes enviados a ROMI, respuestas proporcionadas, solicitudes realizadas, fecha, hora, duración y características generales de las interacciones.

Datos académicos o profesionales, cuando una funcionalidad esté dirigida a profesionales, estudiantes, investigadores o instituciones.

Datos administrativos y de contratación, cuando sean necesarios para administrar servicios contratados, licencias, suscripciones, facturación o relaciones institucionales.

Datos transaccionales, relacionados con la contratación o pago de servicios. Cuando intervenga un proveedor especializado de pagos, STARK procurará no almacenar datos completos de tarjetas o credenciales financieras que no sean necesarios para prestar el servicio.

Datos técnicos, como dirección IP cuando sea recabada, navegador, sistema operativo, tipo de dispositivo, identificadores técnicos, registros de seguridad y datos relacionados con funcionamiento o prevención de fraude.

6. Datos personales sensibles

Por la naturaleza de determinados servicios de ROMI, podemos tratar datos personales sensibles relacionados con la salud.

Estos pueden incluir, dependiendo del servicio: síntomas, antecedentes médicos, diagnósticos comunicados por el usuario, enfermedades, alergias, medicamentos, tratamientos, mediciones antropométricas o fisiológicas, resultados de laboratorio o estudios que el usuario decida proporcionar, antecedentes familiares, hábitos relacionados con la salud, nutrición, actividad física, información de salud mental, respuestas a cuestionarios o instrumentos de tamizaje y otra información necesaria para proporcionar la funcionalidad solicitada.

STARK limitará el tratamiento de datos sensibles a aquellos que resulten necesarios, adecuados y pertinentes para las finalidades informadas y procurará que su periodo de tratamiento sea el mínimo indispensable.

7. Consentimiento para datos personales sensibles

Cuando ROMI requiera tratar datos personales sensibles y no resulte aplicable alguna de las excepciones establecidas por la legislación, STARK solicitará el consentimiento expreso y por escrito de la persona titular mediante un mecanismo electrónico apropiado de autenticación o manifestación de voluntad.

El envío del primer mensaje o “Hola” a ROMI podrá constituir aceptación de los Términos y Condiciones cuando estos hayan sido puestos a disposición del usuario, pero no sustituirá, por sí solo, el consentimiento específico requerido para tratar datos personales sensibles.

Antes de comenzar una función que requiera datos sensibles, ROMI podrá solicitar una acción afirmativa adicional que permita documentar el consentimiento y asociarlo con la persona usuaria, el número telefónico, la fecha, hora y versión del Aviso de Privacidad correspondiente.

STARK podrá conservar la evidencia necesaria para acreditar el otorgamiento, modificación o revocación de dicho consentimiento.

8. Finalidades primarias y necesarias

Los datos personales podrán ser tratados para las siguientes finalidades directamente relacionadas con el funcionamiento y prestación de ROMI:

proporcionar la funcionalidad solicitada por la persona usuaria; responder preguntas e interacciones; procesar la información necesaria para generar las respuestas del asistente; personalizar la interacción cuando dicha personalización forme parte del servicio; identificar y mantener una sesión o cuenta; facilitar seguimiento solicitado por la persona; generar recordatorios o comunicaciones operativas; brindar soporte técnico; administrar la relación con el usuario; realizar autenticación y controles de seguridad; prevenir fraude, abuso o accesos no autorizados; mantener registros técnicos y de auditoría; resolver errores; investigar incidentes; atender solicitudes ARCO; cumplir obligaciones legales y requerimientos de autoridades competentes; ejercer o defender derechos de STARK; y conservar la evidencia necesaria de consentimientos, autorizaciones y aceptación de documentos jurídicos.

Cuando una función de ROMI esté destinada a salud, también podrán tratarse los datos necesarios para proporcionar orientación, apoyo, seguimiento, clasificación, organización de información o cualquier otra finalidad expresamente comunicada dentro de dicho producto.

Estas finalidades no significan que ROMI sustituya la valoración de profesionales de la salud ni amplían la finalidad clínica declarada para cada producto.

9. Seguridad y evaluación del funcionamiento

STARK podrá procesar información estrictamente necesaria para detectar errores técnicos, evaluar funcionamiento, proteger la infraestructura, prevenir usos indebidos, identificar vulnerabilidades, realizar controles de calidad y verificar que los mecanismos de seguridad funcionen correctamente.

Cuando estas actividades puedan realizarse mediante información anonimizada o disociada, se procurará utilizar dicha modalidad.

El acceso humano a conversaciones o información personal para soporte, seguridad o evaluación deberá limitarse al personal autorizado que lo necesite para la función correspondiente y estará sujeto a obligaciones de confidencialidad.

10. Finalidades secundarias

Determinadas actividades no son indispensables para proporcionar la función principal solicitada por la persona usuaria.

STARK podrá solicitar consentimiento separado para finalidades como: envío de comunicaciones promocionales no relacionadas con el servicio; encuestas voluntarias; investigación que requiera información personal identificable o pseudonimizada más allá de la prestación ordinaria del servicio; utilización de datos personales para entrenamiento o desarrollo general de modelos de inteligencia artificial cuando dicha utilización no sea necesaria para prestar el servicio contratado; o participación en proyectos adicionales no incluidos en las finalidades primarias.

La persona podrá negarse a estas finalidades sin que ello implique automáticamente la pérdida de los servicios que no dependan de dicho tratamiento.

11. Investigación científica y tecnológica

STARK desarrolla actividades de investigación, evaluación, innovación y desarrollo relacionadas con salud, tecnología e inteligencia artificial.

La participación de una persona en una investigación que requiera datos personales identificables o datos sensibles no se presumirá por el simple uso de ROMI.

Cuando corresponda, la investigación contará con los procedimientos de consentimiento informado, autorización, revisión ética o requisitos regulatorios aplicables.

ROMI podrá generar y utilizar información estadística, agregada o sometida a procesos de disociación que impidan razonablemente identificar a las personas para fines de investigación, análisis poblacional, evaluación tecnológica, generación de métricas y mejora del servicio.

12. Uso de información para inteligencia artificial

Algunas funciones de ROMI utilizan sistemas de inteligencia artificial para procesar la información proporcionada y generar una respuesta.

Esto puede implicar que los mensajes o datos estrictamente necesarios para ejecutar una función sean procesados mediante infraestructura tecnológica propia o de proveedores que actúen bajo las instrucciones correspondientes.

STARK procurará aplicar principios de minimización de datos y limitar la información transmitida a la necesaria para ejecutar la función.

La utilización de datos personales identificables o sensibles para entrenamiento general, ajuste o desarrollo de modelos fuera de la prestación ordinaria del servicio requerirá la finalidad y el fundamento jurídico correspondientes y, cuando la ley lo exija, consentimiento específico.

La información adecuadamente anonimizada o disociada podrá emplearse para evaluación, investigación, análisis estadístico, seguridad y mejora tecnológica cuando ya no permita razonablemente identificar a una persona.

13. Tratamiento automatizado

Debido a la naturaleza tecnológica de ROMI, determinados tratamientos podrán realizarse automáticamente.

Entre otros procesos, un sistema puede clasificar información, identificar términos, generar respuestas, organizar contenidos, detectar determinados patrones o producir alertas.

ROMI no deberá presentar como decisión médica definitiva una salida generada exclusivamente por inteligencia artificial cuando sea necesaria la valoración de un profesional.

Cuando un tratamiento exclusivamente automatizado produzca efectos jurídicos no deseados o afecte significativamente los intereses, derechos o libertades de una persona, podrán resultar aplicables derechos específicos de oposición conforme a la legislación mexicana.

14. Información proporcionada voluntariamente en una conversación

Las conversaciones pueden ser de formato abierto. Por esta razón, una persona podría proporcionar voluntariamente información que ROMI no le haya solicitado.

Se recomienda no introducir datos de terceros ni información especialmente sensible que no resulte necesaria para la consulta realizada.

Cuando la persona introduzca datos adicionales, ROMI podrá procesarlos técnicamente como parte de la conversación, pero STARK deberá limitar su utilización a las finalidades legítimamente aplicables.

La mera recepción de información que no fue solicitada no autoriza a STARK a utilizarla para finalidades adicionales incompatibles con este Aviso.

15. Datos personales de terceros

Si una persona proporciona datos pertenecientes a un familiar, paciente u otro tercero, deberá contar con la autorización, representación o fundamento jurídico que corresponda.

STARK podrá implementar mecanismos de verificación o requerir que el titular otorgue directamente su consentimiento cuando resulte necesario.

En servicios utilizados por profesionales o instituciones, las responsabilidades de STARK y de la institución correspondiente podrán determinarse adicionalmente mediante contratos, convenios u otros instrumentos jurídicos.

16. Niñas, niños y adolescentes

Algunos productos del ecosistema ROMI pueden estar diseñados para o permitir el acceso de personas menores de edad.

Cuando el tratamiento corresponda a niñas, niños o adolescentes, STARK adoptará medidas acordes con su edad, naturaleza del servicio, riesgos y legislación aplicable.

Cuando legalmente corresponda, se solicitará la autorización de la madre, padre, tutor o representante y podrán utilizarse mecanismos de asentimiento adecuados para la edad de la persona menor.

Los productos específicamente dirigidos a población menor de edad podrán contar con un Aviso de Privacidad particular, mecanismos de consentimiento adicionales y protocolos específicos de seguridad.

STARK procurará no recabar información de menores que no sea necesaria para la finalidad informada.

17. WhatsApp y servicios de mensajería

ROMI puede estar disponible mediante WhatsApp u otras plataformas de mensajería.

Estas plataformas son servicios independientes de STARK y pueden tratar determinados datos conforme a sus propias condiciones y políticas de privacidad.

Cuando una persona utiliza WhatsApp para comunicarse con ROMI, el número telefónico, nombre configurado, mensajes y determinados metadatos pueden intervenir técnicamente en la comunicación.

STARK será responsable del tratamiento que realice bajo su control, mientras que el tratamiento realizado directamente por el proveedor de la plataforma se sujetará a las condiciones aplicables de dicho tercero.

Se recomienda a las personas usuarias revisar también la configuración y política de privacidad del servicio de mensajería utilizado.

18. Encargados y proveedores tecnológicos

STARK podrá utilizar proveedores especializados para operar determinados componentes de ROMI, incluyendo infraestructura de nube, almacenamiento, telecomunicaciones, mensajería, inteligencia artificial, análisis técnico, autenticación, seguridad, soporte, correo electrónico o procesamiento de pagos.

Cuando dichos proveedores procesen datos por cuenta de STARK y bajo sus instrucciones, deberán estar sujetos a obligaciones de confidencialidad, seguridad y tratamiento acordes con la función contratada.

El uso de un encargado no autoriza a dicho proveedor a utilizar los datos para finalidades propias incompatibles con las instrucciones de STARK.

Algunos proveedores pueden operar infraestructura fuera de México. En dichos casos, STARK adoptará las medidas contractuales y de protección que resulten aplicables.

19. Transferencias nacionales e internacionales

STARK podrá transferir datos personales cuando sea necesario y jurídicamente procedente.

Las transferencias podrán realizarse, según el caso, a profesionales o instituciones de salud cuando la persona solicite una referencia, atención o seguimiento y exista fundamento para realizarla; autoridades administrativas, sanitarias, judiciales o de procuración de justicia cuando exista una obligación o requerimiento legal; entidades del mismo grupo que operen bajo políticas compatibles cuando legalmente resulte procedente; terceros cuando sea necesario para el cumplimiento de una relación jurídica; o terceros autorizados expresamente por la persona titular.

Cuando una transferencia requiera consentimiento, STARK lo solicitará conforme a la legislación aplicable.

Cuando corresponda obtener consentimiento para una transferencia, STARK informará de manera suficiente su finalidad y condiciones.

20. Emergencias

Cuando exista una situación de emergencia que pueda poner en riesgo a una persona, determinados datos podrán tratarse en los supuestos permitidos por la legislación.

Esta disposición no significa que ROMI sea un sistema de emergencia ni garantiza que una situación de riesgo sea detectada automáticamente.

21. Conservación de los datos

STARK conservará los datos personales únicamente durante el tiempo necesario para cumplir las finalidades informadas, las obligaciones legales aplicables y los plazos de responsabilidad derivados de la relación correspondiente.

Cuando los datos dejen de ser necesarios, se procederá a su bloqueo cuando corresponda y posteriormente a su supresión conforme a los plazos legales.

Los datos sensibles estarán sujetos a criterios de conservación especialmente restrictivos, procurando limitar su tratamiento al periodo mínimo indispensable.

Cuando determinada información forme parte de un expediente clínico sujeto a obligaciones sanitarias específicas, se aplicarán los plazos legales correspondientes a dicho expediente.

La cancelación de una cuenta no implica necesariamente la eliminación inmediata de toda información cuando exista una obligación legal de conservarla.

22. Medidas de seguridad

STARK mantendrá medidas administrativas, técnicas y físicas orientadas a proteger los datos personales contra daño, pérdida, alteración, destrucción, acceso, tratamiento o divulgación no autorizados.

Según la naturaleza del sistema y nivel de riesgo, estas medidas podrán incluir controles de acceso, autenticación, administración de privilegios, cifrado, registros de actividad, copias de seguridad, monitoreo, gestión de vulnerabilidades, procedimientos de respuesta a incidentes y obligaciones de confidencialidad.

Las medidas serán revisadas considerando la sensibilidad de la información, los riesgos previsibles y la evolución tecnológica.

23. Incidentes y vulneraciones de seguridad

Si ocurre una vulneración de seguridad que afecte significativamente los derechos patrimoniales o morales de las personas titulares, STARK realizará las acciones correspondientes y comunicará el incidente a las personas afectadas conforme a la legislación aplicable.

La comunicación podrá incluir información necesaria para que la persona adopte medidas destinadas a proteger sus derechos.

24. Derechos ARCO

La persona titular podrá ejercer sus derechos de:

Acceso, para conocer qué datos personales se encuentran en posesión de STARK y las condiciones generales de su tratamiento.

Rectificación, para solicitar la corrección de datos inexactos, incompletos o desactualizados.

Cancelación, para solicitar que sus datos sean eliminados de los archivos, registros o sistemas cuando legalmente proceda.

Oposición, para solicitar el cese de un tratamiento en los supuestos establecidos por la legislación.

El ejercicio de un derecho no requiere el ejercicio previo de otro.

25. Procedimiento para ejercer derechos ARCO

La persona titular o su representante podrá enviar una solicitud a:

Correo: contacto@romiai.com.mx Asunto recomendado: Solicitud ARCO – ROMI

La solicitud deberá permitir identificar razonablemente a la persona titular y comprender qué derecho pretende ejercer.

Deberá contener:

• • nombre de la persona titular;
• • domicilio, correo u otro medio para recibir notificaciones;
• • documento o mecanismo que permita acreditar su identidad y, cuando corresponda, la representación de otra persona;
• • descripción clara de los datos involucrados, salvo que se solicite acceso a todos los datos;
• • derecho que pretende ejercer;
• • descripción de su solicitud; y
• • cualquier información que facilite la localización de los datos.

26. Plazos para solicitudes ARCO

STARK comunicará la determinación adoptada dentro de un plazo máximo de 20 días hábiles contado desde la recepción de la solicitud.

Cuando resulte procedente, el derecho será efectivo dentro de los 15 días hábiles siguientes a la comunicación de la respuesta.

Estos plazos podrán ampliarse una sola vez por un periodo igual cuando las circunstancias del caso lo justifiquen conforme a la legislación.

El ejercicio de los derechos ARCO es gratuito, sin perjuicio de los costos permitidos legalmente para reproducción, copias o envío.

27. Darse de baja de ROMI

Cuando una persona quiera dejar de utilizar ROMI y solicitar además la cancelación de su información personal, podrá enviar un correo a:

contacto@romiai.com.mx

con el asunto:

Darse de baja con ROMI

La solicitud deberá indicar, al menos:

• • Nombre completo.
• • Número telefónico vinculado con ROMI, incluyendo código de país.
• • Medio para recibir la respuesta.
• • Que desea darse de baja de ROMI y, en su caso, solicitar la cancelación de sus datos.

28. Efectos de la cancelación

La cancelación de datos puede dar lugar a un periodo de bloqueo antes de su supresión definitiva.

Durante dicho periodo, los datos no serán utilizados para finalidades ordinarias y únicamente podrán conservarse para las responsabilidades u obligaciones que correspondan.

Existen supuestos legales en los que STARK podrá negar total o parcialmente una cancelación, por ejemplo cuando los datos sean necesarios para cumplir un contrato, disposición legal, obligación jurídicamente adquirida, actuaciones judiciales o administrativas, o determinados servicios de salud sujetos a requisitos legales.

Cuando proceda una negativa, STARK informará su motivo a la persona titular conforme a la legislación.

29. Revocación del consentimiento

Cuando un tratamiento dependa del consentimiento de la persona, este podrá revocarse sin efectos retroactivos.

La solicitud podrá enviarse a:

contacto@romiai.com.mx

con el asunto:

Revocación de consentimiento – ROMI

La persona deberá identificar el consentimiento o finalidad que desea revocar.

Cuando determinada información sea indispensable para proporcionar un servicio, la revocación podrá impedir que STARK continúe prestando dicha funcionalidad.

La revocación no afectará tratamientos anteriores realizados lícitamente ni impedirá conservar información cuando exista otro fundamento legal que lo permita.

30. Limitación del uso o divulgación

La persona titular podrá solicitar que STARK limite el uso o divulgación de sus datos cuando resulte procedente.

Podrá hacerlo enviando una solicitud a:

contacto@romiai.com.mx

con el asunto:

Limitación de uso de datos – ROMI

En particular, las personas podrán manifestar su negativa respecto de comunicaciones promocionales o finalidades secundarias que no sean necesarias para la relación con ROMI.

31. Cookies y tecnologías similares

El sitio web de ROMI puede utilizar cookies, almacenamiento local y tecnologías similares necesarias para su funcionamiento, seguridad, gestión de sesión, preferencias y, cuando corresponda, medición y análisis.

Las tecnologías estrictamente necesarias podrán operar para permitir funciones esenciales del sitio.

Cuando se utilicen cookies analíticas, publicitarias u otras tecnologías no esenciales que requieran consentimiento conforme a la legislación aplicable, ROMI proporcionará los mecanismos correspondientes para aceptar, rechazar o configurar su utilización.

La persona también podrá administrar determinadas cookies mediante la configuración de su navegador.

32. Datos financieros y pagos

Cuando un servicio requiera pago, determinados datos financieros o patrimoniales podrán ser procesados directamente por proveedores especializados.

STARK procurará limitar la recepción y almacenamiento de información financiera al mínimo necesario.

Cuando STARK trate directamente datos financieros o patrimoniales, solicitará el consentimiento expreso correspondiente salvo que resulte aplicable una excepción legal.

33. Autoridad competente en México

En caso de considerar vulnerado su derecho a la protección de datos personales, la persona titular podrá utilizar los mecanismos de protección establecidos por la legislación mexicana ante la Secretaría Anticorrupción y Buen Gobierno, autoridad competente en los términos de la legislación vigente.

El uso de los mecanismos internos de STARK no elimina los derechos que correspondan ante las autoridades.

34. Usuarios fuera de México

STARK se encuentra sujeto principalmente al marco jurídico mexicano.

La posibilidad técnica de utilizar ROMI desde otro país no significa por sí misma que STARK dirija sus servicios a dicho territorio.

Cuando STARK ofrezca de manera dirigida servicios a personas ubicadas en una jurisdicción cuya normativa resulte obligatoriamente aplicable, se proporcionarán las garantías, información o documentos adicionales que correspondan.

Unión Europea y Espacio Económico Europeo:

Cuando el Reglamento General de Protección de Datos de la Unión Europea resulte aplicable a un tratamiento realizado por STARK, se observarán los requisitos adicionales que correspondan, incluidos aquellos relacionados con bases jurídicas, categorías especiales de datos, información a los interesados, derechos y transferencias internacionales.

Cuando legalmente resulte aplicable, las personas podrán contar también con derechos adicionales como limitación del tratamiento, portabilidad y determinadas protecciones frente a decisiones exclusivamente automatizadas.

Esta sección no significa que todos los usuarios de ROMI estén sujetos al RGPD ni constituye una declaración de establecimiento de STARK en la Unión Europea.

35. Transferencias internacionales cuando una legislación extranjera sea aplicable

Cuando una transferencia internacional se encuentre sujeta a mecanismos específicos exigidos por la legislación de una jurisdicción aplicable, STARK implementará el instrumento correspondiente antes de realizarla.

Podrán utilizarse, según proceda, cláusulas contractuales, acuerdos de tratamiento, garantías equivalentes u otros mecanismos legalmente reconocidos.

36. Estándares internacionales de referencia

STARK podrá utilizar estándares internacionales como referencia para desarrollar sus políticas, procedimientos y controles de privacidad, seguridad e inteligencia artificial.

Entre ellos se encuentran:

ISO/IEC 27001:2022, relativa a sistemas de gestión de seguridad de la información.

ISO/IEC 27701:2025, relativa a sistemas de gestión de información de privacidad y responsabilidades de responsables y encargados del tratamiento.

ISO/IEC 27018:2025, relativa a la protección de información de identificación personal en servicios de nube pública cuando el proveedor actúa como encargado.

ISO/IEC 42001:2023, relativa a sistemas de gestión de inteligencia artificial.

La referencia a estas normas no constituye una declaración de certificación de STARK o ROMI.

STARK únicamente comunicará que cuenta con una certificación determinada cuando esta haya sido obtenida, se encuentre vigente y pueda acreditarse.

37. Privacidad desde el diseño y minimización

STARK procurará integrar medidas de protección de datos desde el diseño y durante el desarrollo de nuevas funcionalidades.

Cuando sea razonablemente posible, se favorecerán medidas como minimización de datos, separación de información, controles de acceso, disociación, anonimización, restricciones de conservación y evaluación previa de riesgos.

La introducción de nuevas funcionalidades que impliquen tratamientos significativamente distintos podrá dar lugar a revisiones específicas de privacidad y seguridad.

38. Confidencialidad

El personal, colaboradores y proveedores que intervengan en el tratamiento de datos personales deberán guardar confidencialidad en los términos correspondientes a sus funciones y obligaciones.

La obligación de confidencialidad continuará cuando termine la relación que haya dado acceso a la información.

39. Cambios en el Aviso de Privacidad

STARK podrá modificar este Aviso para reflejar cambios legales, regulatorios, tecnológicos, operativos o relacionados con los servicios de ROMI.

La versión vigente estará disponible en: romiai.com.mx/es/aviso-privacidad

Cada versión indicará su fecha de última actualización.

Cuando un cambio implique nuevas finalidades que requieran consentimiento, una ampliación material del tratamiento o cualquier supuesto que legalmente requiera una nueva manifestación de voluntad, STARK solicitará el consentimiento correspondiente antes de utilizar los datos para dichas finalidades.

Por lo tanto, el simple uso continuado de ROMI no sustituirá un nuevo consentimiento cuando la legislación exija obtenerlo expresamente.

40. Relación con los Términos y Condiciones

Los Términos y Condiciones regulan la utilización contractual y operativa de ROMI.

El presente Aviso de Privacidad regula el tratamiento de los datos personales.

La aceptación de los Términos y Condiciones no supone una autorización ilimitada para tratar datos personales ni sustituye los consentimientos específicos que legalmente correspondan.

41. Consentimiento general

Cuando la legislación permita consentimiento tácito, la puesta a disposición de este Aviso y la ausencia de oposición podrán producir los efectos previstos legalmente.

Cuando sea obligatorio consentimiento expreso, STARK utilizará un mecanismo adicional para obtenerlo.

Cuando se traten datos personales sensibles, se utilizará el mecanismo de consentimiento aplicable conforme a la legislación.

El consentimiento será libre, específico e informado y estará vinculado con las finalidades correspondientes.

42. Contacto

Para cualquier duda relacionada con este Aviso de Privacidad o con el tratamiento de datos personales:

INSTITUTO DE INNOVACIÓN TECNOLÓGICA Y DE INTELIGENCIA ARTIFICIAL AVANZADA STARK

Área de Privacidad y Protección de Datos Personales Correo: contacto@romiai.com.mx Teléfono: +52 221 193 8700 Domicilio del Responsable: Av. Kepler 2143, Reserva Territorial Atlixcáyotl, 72190 Heroica Puebla de Zaragoza, Pue. Sitio web: romiai.com.mx

Para solicitar la baja de ROMI: contacto@romiai.com.mx Asunto: Darse de baja con ROMI

Para otros derechos relacionados con datos personales: contacto@romiai.com.mx Asunto: Solicitud ARCO – ROMI

Fecha de entrada en vigor: 22 de septiembre de 2026