Universidad Autónoma Chapingo

Aviso de Privacidad Integral

• Versión: v5 · Vigente desde: 12 de septiembre de 2026
• Última actualización: 12 de septiembre de 2026

1. Responsable del tratamiento de sus datos personales

La Universidad Autónoma Chapingo (UACh), organismo público descentralizado del Estado con autonomía y, por tanto, sujeto obligado conforme a la LGPDPPSO, es la responsable del tratamiento de los datos personales que se recaban a través de la aplicación Chapingo App (app móvil Android/iOS y panel web de administración).

• Domicilio: Km. 38.5 Carretera México-Texcoco, Chapingo, Estado de México, C.P. 56230.
• Unidad responsable de datos personales y ejercicio de derechos ARCO: Unidad de Transparencia de la UACh, a cargo de la M.I. Rocío Ayvar Vargas — enlace_transparencia@correo.chapingo.mx, teléfono 595 952 1500 ext. 5227, Oficina 201 del Edificio Efraím Hernández Xolocotzi, en el domicilio señalado arriba.

Nota sobre la titularidad del software. La plataforma se opera como un servicio para la UACh; el software es propiedad de su autor (ver Términos y Condiciones de Uso). Esto no altera que la responsable del tratamiento de los datos personales es la UACh: es quien decide las finalidades y los medios del tratamiento y quien responde ante los titulares. Cualquier proveedor que trate datos por cuenta de la UACh lo hace como encargado (§8).

Alcance de la entrega móvil 1.0.0

Esta entrega ofrece servicios de comedor, calendario escolar, credencial digital, cuenta y auxilio. Ruta Segura para la comunidad, Campus y Eventos no están disponibles en esta entrega, ni el acceso móvil de visitantes mediante Google. Se conservan las herramientas de conductor, comedor y atención de alertas para personal con las capacidades y asignaciones correspondientes. El panel administrativo puede ofrecer funciones distintas según la autorización. Las referencias a visitantes o servicios del panel no habilitan esas funciones en el teléfono. Este aviso es público; las funciones y los datos de otras personas requieren autorización y un ámbito asignado.

2. Datos personales que se someten a tratamiento

Según el tipo de usuario y las funciones que utilice, la app puede tratar las siguientes categorías de datos personales:

2.1 Datos personales sensibles

De forma expresa se hace de su conocimiento que la app trata datos personales sensibles, que requieren consentimiento expreso (y por escrito cuando así lo exija la normativa) y por separado de los demás datos:

• CURP / pasaporte y sus datos derivados (identificación oficial).
• Datos de salud (tipo de sangre) y NSS, dentro de los datos de emergencia opcionales.
• Fotografía de rostro (dato biométrico): la toma usted con la cámara frontal, tiene su propio consentimiento (biometrico-rostro, §6, que otorga al tocar «Tomar mi fotografía»), solo la ve el personal de seguridad cuando usted activa una alerta de pánico (§7.1), y puede verla, sustituirla o borrarla desde Ajustes → Datos de emergencia, o dejarla para después en el primer inicio.

Los datos de salud se registran con consentimiento y la fotografía puede diferirse. El teléfono propio, los tres contactos y la fotografía pueden aparecer como requisitos de completitud del perfil estudiantil; el documento se solicita cuando corresponde para la identidad. Estos datos se almacenan cifrados (la fotografía en un almacén de objetos separado, sin los metadatos de la cámara —posición, hora, número de serie—, que se descartan al recibirla), se enmascaran en las respuestas normales de la app (los datos necesarios de auxilio pueden mostrarse al personal autorizado durante una emergencia) y su acceso está restringido y auditado (§11).

3. Origen de los datos

• Capturados por usted en la app (documento de identidad, datos de emergencia, quejas, respuestas de encuestas).
• Proporcionados por el proveedor de inicio de sesión vía OIDC (Microsoft Entra ID para la comunidad; Google para el visitante de cartelera).
• Leídos de fuentes institucionales de la propia UACh en modo solo lectura, para validar o alimentar su perfil (situación académica/vigencia, departamento, categoría; eventos de torniquete del Centro de Cómputo). Por ser tratamiento interno de la misma responsable, estas lecturas no constituyen transferencias (§8).
• Generados por su dispositivo (evento puntual de geocerca, ubicación GPS al disparar una alerta de pánico, token push, atestación de integridad).
• Generados por el sistema a partir de su uso (presencia confirmada, analítica).

4. Finalidades del tratamiento

4.1 Finalidades primarias (necesarias para el servicio; no requieren consentimiento adicional)

• Autenticar su identidad universitaria y controlar el acceso según su situación académica.

• Confirmar su presencia en comedores para calificar y responder encuestas cuando cumple las condiciones del servicio.

• Operar el módulo de comedores (menús, imágenes de charola, horarios, quejas y sugerencias).

• Consultar el calendario escolar y operar servicios administrativos autorizados. La cartelera de Eventos no forma parte de esta entrega móvil.

• Operar las herramientas de conductor con las capacidades y asignaciones correspondientes; la consulta de Ruta Segura para pasajeros no forma parte de esta entrega móvil.

• Auxiliarle en una emergencia personal: cuando usted dispara el botón de pánico (SOS), avisar al cuerpo de seguridad de la Universidad de que pidió ayuda, quién es usted y dónde está, para que puedan acudir, y registrar cómo se atendió esa alerta (§7.1).

• Atender quejas, sugerencias y solicitudes (incluidas las de derechos ARCO).

• Seguridad de la plataforma, prevención de fraude/abuso y cumplimiento de obligaciones legales (incluida la bitácora de auditoría).

• Detectar y corregir fallos técnicos de la app mediante reportes de excepciones y cierres inesperados. Estos reportes no se usan para publicidad ni seguimiento entre servicios.

4.2 Finalidades secundarias (requieren su consentimiento y puede negarlas u oponerse)

• Notificaciones push de los servicios habilitados y del estado del auxilio; las alertas ajenas se destinan al personal autorizado.
• Analítica de mejora del servicio (de forma agregada/anonimizada).
• Registro de datos de emergencia y salud básica para auxilio ante accidentes (opt-in).
• Rastreo de ubicación del conductor-operador durante el recorrido, para alimentar la ruta en vivo (finalidad limitada y retención corta).

Puede negarse a las finalidades secundarias —o revocar el consentimiento en cualquier momento— sin perder el acceso a las funciones que no dependen de ellas, desde la propia app en Ajustes → Privacidad y permisos o escribiendo a la Unidad de Transparencia (enlace_transparencia@correo.chapingo.mx).

5. Fundamento legal / bases de licitud del tratamiento

El tratamiento se realiza con fundamento en la LGPDPPSO, en la Ley Orgánica y normativa interna de la UACh, y en la relación entre usted y la Universidad, con las siguientes bases:

• Relación de servicio/institucional con la UACh (identidad, acceso, operación de los módulos).
• Consentimiento del titular, expreso y por separado para los datos sensibles y para las finalidades secundarias.
• Interés vital del titular para el contacto de emergencia y los datos de salud (auxilio ante accidentes). El contacto de emergencia es dato de un tercero: al registrarlo, usted manifiesta contar con su anuencia y se compromete a informarle de este tratamiento; su teléfono se guarda enmascarado.
• Interés vital para el botón de pánico (SOS), que es la única función que lee un dato suyo pese a que usted haya revocado el consentimiento correspondiente: la LGPDPPSO releva al responsable de recabarlo «cuando exista una situación de emergencia que potencialmente pueda dañar a un individuo en su persona o en sus bienes» (artículo 22, fracción VI). Por eso, durante el auxilio que usted activa y su seguimiento, la app lee su ubicación aunque el consentimiento ubicacion esté revocado: una alerta sin coordenadas no permitiría auxiliarle. El detalle completo está en §7.1.
• Cumplimiento de obligaciones legales (auditoría, transparencia, requerimientos de autoridad).

6. Catálogo de consentimientos (gestionables desde la app)

Puede otorgar o revocar en cualquier momento cada consentimiento en Ajustes → Privacidad y permisos. Cada decisión queda registrada con la versión del aviso vigente al otorgarla (consentimiento informado y trazable):

El visitante con login Google puede gestionar al menos analitica y notificaciones.

El botón de pánico (SOS) no está en este catálogo, y no lo está a propósito. No es un permiso que usted otorgue de antemano: es un tratamiento por interés vital (§5) que usted mismo activa activando expresamente el auxilio. Mientras no lo haga, no ocurre nada; cuando lo hace, su ubicación se lee aunque ubicacion esté revocado. Se declara aquí para que nadie lo descubra por sorpresa. Conviene ser preciso sobre qué gobierna qué: revocar ubicacion apaga la confirmación de presencia por geocerca y la precarga por cercanía, pero no apaga el SOS (§7.1) ni el botón «Mi ubicación» del mapa del campus, que es una lectura puntual a petición suya y se rige por el permiso del sistema operativo. Para que el mapa deje de poder leerla, retire el permiso de ubicación a la app en los ajustes del teléfono.

7. Confirmación de presencia y geolocalización (transparencia reforzada)

La confirmación de presencia en comedor es una operación puntual y se distingue del seguimiento SOS. El rastreo de conductor corresponde a operadores autorizados, con consentimiento y retención corta. Las funciones de geolocalización de Campus, Eventos y Ruta Segura para la comunidad no están disponibles en esta entrega móvil.

7.1 Auxilio de seguridad o médico (SOS)

Puede activar el auxilio desde Pedir ayuda o mediante los gestos de acceso del inicio. La pantalla permite elegir el tipo de ayuda y muestra el proceso de activación y cancelación. Es una alerta real dirigida al personal autorizado de la Universidad.

• Datos enviados: identidad de la sesión (nombre, correo y matrícula si existe), tipo de ayuda, ubicación precisa disponible, margen de error, fecha y hora y nota opcional. Quien atiende puede consultar la fotografía y los datos de emergencia registrados para auxiliarle. Los contactos no reciben automáticamente mensajes de la app: el personal puede utilizarlos para comunicarse.
• Seguimiento periódico: mientras la alerta siga abierta y la pantalla de seguimiento permanezca en ejecución, intenta capturar y enviar ubicación aproximadamente cada minuto, incluso si ya hay alguien en camino. También puede actualizarla manualmente. Las capturas recibidas forman un historial asociado a la alerta que consulta el personal autorizado.
• Sin conexión: las capturas pendientes se guardan en el espacio privado de la app en el teléfono, sin caducidad temporal, para reenviarse al recuperar conexión. La cola compartida admite hasta 200 entradas. Se retiran al confirmarse el envío o ante un rechazo definitivo del servidor; el cierre de sesión limpia la cola local. Dejar la pantalla detiene nuevas capturas de ese seguimiento, pero no impide reenviar las pendientes. No se garantiza seguimiento con la app cerrada o suspendida por el sistema operativo.
• Permisos: el SOS no depende del interruptor de geocerca de la app. Obtener coordenadas depende de los permisos y de la disponibilidad del sistema operativo; no se eluden sus restricciones. Puede utilizar una posición conocida si está disponible y enviar el auxilio sin coordenadas si no logra obtenerlas. La base institucional para el auxilio se describe en §5.
• Cierre: al conocer que la alerta está cerrada o al desmontarse la pantalla, cesa la captura periódica de esa pantalla. Atender o cerrar no borra la emergencia ni su historial de ubicaciones. La conservación y la solicitud de supresión se explican en §§9–10.

El auxilio es una función de apoyo: no sustituye al 911 ni garantiza atención inmediata.

8. Transferencias y encargados del tratamiento

• Lecturas de fuentes institucionales de la UACh (Servicios Escolares, Contraloría, Servicios Asistenciales, eventos de torniquete del Centro de Cómputo): no son transferencias; son tratamiento interno de la misma responsable (UACh). La app solo lee para validar o alimentar el perfil, y la UACh responde por las copias mínimas que conserve (ver §9).

• Alertas SOS: quién las ve. La identidad, la ubicación y su historial están disponibles para personal con capacidades vigentes para consultar o atender alertas dentro de su ámbito, desde el panel o las herramientas móviles habilitadas. Si no hay destinatarios del canal crítico, se usan las cuentas de superadministración configuradas como respaldo. Es acceso interno de la UACh. Los avisos push de llamada a atención no incluyen nombre, coordenadas ni nota del reportante; el detalle requiere autenticación y autorización. Recibir el estado de su propia alerta no concede a un alumno acceso a las emergencias de otras personas.

• Encargados que tratan datos por cuenta de la UACh y bajo sus instrucciones:

  • Proveedores de notificaciones push: Google (Firebase Cloud Messaging) y Apple (APNs), que reciben el token del dispositivo para entregar el mensaje.
  • MapTiler, proveedor de las teselas de mapa (vista satelital y tipografías). Al dibujar el mapa, su servidor recibe la dirección IP del dispositivo y el área visible en pantalla; no recibe su posición ni su identidad. El mapa base del campus se sirve desde la propia infraestructura de la UACh, y el cálculo de geocerca ocurre en su dispositivo, no en un tercero.
  • Proveedores de infraestructura y almacenamiento de contingencia, cuando aplique.

• No se realizan transferencias a terceros distintas de las anteriores, salvo las que sean necesarias por requerimiento de autoridad competente o por obligación legal.

• Si el Super Admin decide, de forma explícita, replicar información a contingencia (VPS/nube), la PII viaja y se almacena siempre fuertemente cifrada, con llaves controladas por la UACh, de modo que el proveedor externo nunca vea datos en claro.

Las fichas de Seguridad de los datos de Google Play y Privacidad de la app de App Store deben corresponder a estos tratamientos. Los documentos se consultan mediante enlaces públicos; no es necesario conocer rutas de una API.

9. Plazo de conservación (retención por categoría)

Los datos se conservan solo por el tiempo necesario para las finalidades descritas y las obligaciones legales aplicables. Al vencer, se suprimen o se bloquean (acceso restringido) antes de su supresión, según la categoría:

El historial de ubicaciones de una alerta se conserva junto con ella y no tiene caducidad automática. Las capturas locales pendientes se retiran según §7.1; esa cola se distingue del historial ya recibido por el servidor.

9.1 Reportes de diagnóstico técnico

La app comunica a la propia Plataforma reportes de excepciones y cierres inesperados cuando hay una sesión iniciada. Incluyen el mensaje del fallo y un fragmento limitado de la traza de ejecución, versión de la app y del sistema operativo, pantalla sin parámetros, fecha, versión de actualización e identificador de petición. El servidor añade el identificador interno de la cuenta: son datos vinculados al usuario, aunque el reporte no solicite su nombre ni correo.

Los consulta el personal con autorización de administración global para detectar y corregir fallos. No se envían a un proveedor externo de análisis de fallos ni se usan para publicidad. Se conservan las particiones de los seis meses calendario más recientes, incluido el mes en curso, mediante el mantenimiento del servidor. No se suprimen automáticamente al eliminar la cuenta; permanecen hasta vencer ese plazo. Puede solicitar su supresión por los medios del apartado 10. Las mediciones de rendimiento que se activan desde el diagnóstico local permanecen en el teléfono y no se transmiten.

10. Derechos ARCO, revocación y eliminación de cuenta

Usted puede ejercer en todo momento sus derechos de Acceso, Rectificación, Cancelación y Oposición (ARCO), así como revocar su consentimiento y eliminar su cuenta y datos (incluido el visitante con login Google):

• Desde la app: Ajustes → Eliminar mi cuenta para iniciar la eliminación y Ajustes → Privacidad y permisos para administrar consentimientos. Las solicitudes ARCO, incluido el acceso o copia de datos, se presentan por el correo indicado a continuación. Esta entrega no ofrece pantallas móviles de seguimiento ARCO ni de exportación de datos.

• Por correo: enlace_transparencia@correo.chapingo.mx (Unidad de Transparencia de la UACh), indicando su nombre, medio para recibir respuesta, descripción clara del derecho que ejerce y documentación que acredite su identidad.

La eliminación de la cuenta es un requisito obligatorio de Apple y Google. Se inicia desde la propia app (no basta con desactivar) y, si ya la desinstaló o no puede acceder a ella, también desde https://superapp.chapingo.mx/eliminar-cuenta con su mismo correo institucional. Concilia el borrado de su PII (perfil, documento, datos de emergencia, contacto, dispositivos) con el bloqueo de lo que la ley obliga a conservar (auditoría inmutable, obligaciones fiscales/contables) hasta el fin de su periodo de retención, y la seudonimización/agregación de la analítica histórica (sin reidentificación).

Con una excepción que conviene decir sin rodeos: las alertas de pánico (SOS) que usted haya disparado no se borran al eliminar la cuenta. Son el registro de una emergencia y de la respuesta que recibió, y conservan la identidad de quien pidió auxilio (§9). Si desea su supresión, pídalo a la Unidad de Transparencia indicándolo expresamente.

11. Medidas de seguridad

La UACh aplica medidas de seguridad administrativas, técnicas y físicas para proteger sus datos contra pérdida, uso indebido o acceso no autorizado, entre ellas: cifrado en tránsito (TLS) y de los datos sensibles en reposo; enmascaramiento de datos sensibles en las respuestas ordinarias; control de acceso por rol × módulo × tenant y mínimo privilegio; registro de auditoría inmutable de accesos y acciones sensibles; gestión de secretos y llaves en un almacén dedicado con llaves controladas por la UACh; y validaciones anti-fraude de presencia (rechazo de ubicación simulada y atestación de integridad del dispositivo).

Notificación de vulneraciones de seguridad. En caso de una vulneración de seguridad que afecte de forma significativa sus derechos patrimoniales o morales, la UACh se lo comunicará sin demora injustificada, para que pueda tomar las medidas correspondientes, conforme a la LGPDPPSO.

12. Datos personales de menores de edad

Parte de la comunidad universitaria (p. ej. la Preparatoria Agrícola) puede incluir a personas menores de edad. Cuando el titular sea menor de edad o esté en estado de interdicción, los derechos ARCO y el consentimiento —en especial para datos sensibles (salud, NSS)— se ejercen a través de quien ejerza la patria potestad, tutela o representación legal, conforme a la LGPDPPSO.

El consentimiento de quien ejerce la patria potestad o tutela se recaba por la vía institucional del proceso de inscripción de la Preparatoria Agrícola, y la app se apoya en él; no se solicita un consentimiento separado dentro de la aplicación. Para revocarlo, rectificar datos o ejercer derechos ARCO en nombre de una persona menor de edad, diríjase a la Unidad de Transparencia (§1).

13. Uso de sensores, cookies y tecnologías de rastreo

Todo acceso a cámara (escaneo de QR y fotografía de los platillos del servicio, en el caso del personal de comedores), ubicación (geocerca de presencia) y notificaciones se solicita con consentimiento explícito, con finalidad limitada, y puede revocarse desde los ajustes del dispositivo o de la app sin perder las demás funciones. Se declaran expresamente dos lecturas de ubicación que no dependen del consentimiento ubicacion de la app: el botón de pánico (SOS), que la lee por interés vital aunque usted lo haya revocado (§5 y §7.1), y el botón «Mi ubicación» del mapa del campus, que es una lectura puntual a petición suya y se rige por el permiso del sistema operativo. La app ofrece eliminación de cuenta dentro de la aplicación y declara sus permisos ante las tiendas; esto no implica aprobación de Apple o Google.

Cookies e identificadores. El panel web de administración utiliza cookies estrictamente necesarias para mantener su sesión iniciada y por seguridad; sin ellas el panel no funciona. La app móvil no usa cookies de navegador, pero sí almacena localmente en el dispositivo datos técnicos necesarios (token de sesión, token de notificaciones, preferencias). Cualquier medición de uso se realiza conforme al consentimiento analitica y de forma agregada/anonimizada. La Plataforma no coloca cookies ni identificadores de publicidad de terceros ni realiza rastreo publicitario.

14. Cambios al aviso de privacidad

Este aviso puede actualizarse. La versión vigente se consulta desde los enlaces legales de la app y en https://superapp.chapingo.mx/aviso-privacidad. Los cambios sustanciales requieren nueva aceptación informada. Al consultar los consentimientos con conexión, la app solicitará aceptar los documentos vigentes si la aceptación registrada corresponde a una edición anterior. El registro anterior no se convierte automáticamente en aceptación de la edición nueva. Los permisos específicos de cada función se gestionan por separado.

14.1 Historial de versiones

15. Autoridad garante y medios de defensa

Si considera que su derecho a la protección de datos personales ha sido vulnerado, puede acudir a la Unidad de Transparencia de la UACh y, en su caso, a la autoridad garante competente en materia de protección de datos personales de los sujetos obligados (a partir de 2025, la Secretaría Anticorrupción y Buen Gobierno, en los términos de la LGPDPPSO y su normativa de transición).

Unidad de Transparencia de la UACh — M.I. Rocío Ayvar Vargas · enlace_transparencia@correo.chapingo.mx · 595 952 1500 ext. 5227 · Oficina 201, Edificio Efraím Hernández Xolocotzi, Km. 38.5 Carretera México-Texcoco, Chapingo, Estado de México, C.P. 56230.