Aviso de privacidad integral

Última actualización 13 de octubre de 2026 · Versión 2.4

Hegel Soluciones, S.A.P.I. de C.V., SOFOM, E.N.R. («Hegel»; en adelante también «Tovi», «nosotros»), sociedad financiera de objeto múltiple, entidad no regulada, constituida el 18 de noviembre de 2025 e inscrita en el Registro Público de Comercio bajo el Folio Mercantil Electrónico N-2025076909, es el Responsable del tratamiento de tus datos personales. Este aviso explica qué datos recabamos cuando usas tovicash.com, la evaluación de elegibilidad, la verificación de identidad, la conexión de una cuenta bancaria, la firma de un crédito y su pago; para qué los usamos, con quién los compartimos, cuánto tiempo los conservamos y cómo ejercer los derechos que te da la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (la «Ley»).

Tratamos tus datos bajo los principios de licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad que la Ley establece.

1. Quién es responsable y cómo contactarnos

Responsable: Hegel Soluciones, S.A.P.I. de C.V., SOFOM, E.N.R. («Hegel»), que opera bajo la marca Tovi. Folio Mercantil Electrónico N-2025076909; constituida el 18 de noviembre de 2025.

Domicilio: Calle Santa María 194, Colonia Santa María Malinalco, Azcapotzalco, Ciudad de México, C.P. 02050, México. También puedes dirigir cualquier comunicación o notificación relacionada con tus datos personales al correo indicado abajo.

Departamento de datos personales: support@tovicash.com, con el asunto «Datos personales» o «Derechos ARCO». Es el mismo correo al que llegan tus mensajes desde el enlace «¿Necesitas ayuda?» del sitio.

2. De dónde obtenemos tus datos

• Directamente de ti: lo que escribes en la evaluación, los documentos que subes, tu identificación y tu selfie en la verificación de identidad, la cuenta a la que te pagamos y tus mensajes a soporte.
• De la institución financiera que decides conectar, a través de nuestro proveedor de conexión, en modo de solo lectura y sólo mientras la conexión esté activa.
• De nuestro proveedor de verificación de identidad, que coteja tu identificación oficial contra listas oficiales y de prevención de lavado de dinero.
• De tu navegador, de forma automática: datos técnicos y de uso del sitio (sección 10).

3. Qué datos recabamos

Recabamos lo necesario para decirte si podemos adelantarte un pago, por cuánto, y para otorgar, administrar y cobrar ese crédito:

• Identificación y contacto: nombre completo, fecha de nacimiento, nacionalidad, CURP, RFC, domicilio, correo electrónico y número de celular.
• Identidad oficial y datos biométricos: la imagen y los datos de tu identificación oficial (INE o pasaporte), una selfie y una prueba de que eres una persona presente (prueba de vida), con la que se compara tu rostro con la foto de la identificación. Los datos biométricos son datos personales sensibles y sólo los tratamos con tu consentimiento expreso, que te pedimos por separado antes de iniciar la verificación.
• Datos laborales y de ingresos: quién te paga, cuánto, con qué frecuencia, desde cuándo, el monto y la fecha del pago que esperas y para qué usarías el adelanto.
• Datos financieros y patrimoniales: los estados de cuenta, facturas o contratos que subes; si conectas una cuenta, el nombre de la institución, los últimos dígitos, los saldos y los movimientos de los últimos meses que la institución nos muestre; la CLABE de la cuenta a la que te pagamos y desde la que pagas.
• Datos del crédito: el monto, la comisión, las fechas, los documentos firmados, la evidencia de la firma electrónica (fecha, hora, dirección IP, navegador, las casillas que marcaste y el nombre que escribiste; tu número de celular quedó confirmado con un código de un solo uso al crear tu cuenta o, si ese código no pudo enviarse o no llegó, tu correo quedó confirmado con un código enviado por correo) y el registro de cada pago, cobro, devolución o aclaración.
• Comunicaciones: los correos y mensajes que nos envías y las respuestas que te damos.
• Datos técnicos y de uso: tu dirección IP, el tipo de navegador y dispositivo, las páginas del sitio que visitas y las etapas que completas.

Lo que no recabamos. No leemos tus contactos, tus mensajes SMS, tu lista de aplicaciones ni tu ubicación GPS, y no tomamos el IMEI ni otros identificadores de tu teléfono. Tovi es un sitio web, no una aplicación instalada, y no pide ninguno de esos permisos.

Nunca conocemos tu contraseña bancaria. Cuando conectas una cuenta, ingresas directamente con tu institución a través de nuestro proveedor, no con nosotros. La conexión es de solo lectura: no permite mover, enviar ni modificar dinero.

Datos sensibles. Además de los biométricos, no solicitamos datos de salud, origen étnico, creencias, afiliación política ni preferencia sexual. Si un documento o un estado de cuenta que nos envías los contiene de forma incidental, reciben el mismo nivel de protección y no los usamos para ninguna decisión.

4. Para qué usamos tus datos

Finalidades primarias (necesarias para la relación jurídica)

• Verificar tu identidad y prevenir fraudes y suplantaciones.
• Evaluar tu elegibilidad y tu capacidad de pago con nuestros modelos de riesgo y fijar el monto y la comisión que te ofrecemos.
• Celebrar el contrato de crédito, dispersar el dinero, administrar el crédito, cobrarlo (por vía extrajudicial y, de ser necesario, judicial) y atender tus aclaraciones.
• Cumplir las obligaciones de identificación y conocimiento del cliente en materia de prevención de lavado de dinero y financiamiento al terrorismo, y las demás que nos impone la ley como entidad financiera.
• Ceder o transmitir los derechos de cobro de tu crédito a un tercero, en su caso.
• Enviarte los avisos propios del servicio: el resultado de tu evaluación, los documentos firmados, los recordatorios de pago, las confirmaciones de cobro y, si tu línea tiene dinero disponible antes de tu fecha de pago, un aviso de ese monto.
• Afinar nuestros modelos de riesgo con el desempeño real de los créditos otorgados y mantener la seguridad del sitio.

Finalidades secundarias (no necesarias)

• Enviarte promociones, novedades y ofertas de Tovi. Sólo lo hacemos si marcaste la casilla de comunicaciones comerciales al crear tu cuenta.
• Invitarte a encuestas para mejorar el servicio.

Puedes negarte a las finalidades secundarias en cualquier momento, sin que ello afecte tu crédito: usa el enlace para darte de baja que trae cada correo promocional o escribe a support@tovicash.com con el asunto «No quiero publicidad». Los avisos del servicio (recordatorios y confirmaciones de pago) siguen llegando porque forman parte del contrato.

No vendemos tus datos personales.

5. Consentimiento expreso

Casi todo lo que recabamos —tus ingresos, tus estados de cuenta, el historial de la cuenta que conectes— es información financiera y patrimonial, y tu selfie y tu prueba de vida son datos sensibles. La Ley exige tu consentimiento expreso para tratarlos; no basta con que sigas usando el sitio.

Por eso te lo pedimos de forma explícita y por separado en cada etapa: al enviar la evaluación, al subir documentos, al conectar una cuenta, antes de la verificación de identidad y al firmar el contrato, donde confirmas que recibiste y leíste este aviso.

Puedes revocar tu consentimiento escribiendo a support@tovicash.com. La revocación no tiene efectos retroactivos y no aplica a los datos que la ley nos obliga a conservar mientras exista un crédito vigente o durante el plazo legal de conservación (sección 8).

6. Decisiones automatizadas

La decisión de adelantarte un pago, y por cuánto, la toma un proceso automatizado: nuestro modelo analiza los datos de la sección 3 —sobre todo los movimientos de tu cuenta y tus ingresos— para estimar tu capacidad de pago. La verificación de identidad también es automática en primera instancia.

• Tienes derecho a una explicación clara de los motivos de la decisión. Cuando no podemos ofrecerte un adelanto te decimos por qué en la misma pantalla y, si necesitamos algo más de ti, qué es.
• Tienes derecho a impugnar la decisión y a pedir que una persona la revise. Escribe a support@tovicash.com o usa el enlace «¿Necesitas ayuda?» y una persona de Tovi revisará tu caso.

7. Con quién los compartimos

Encargados (tratan datos por cuenta nuestra y bajo nuestras instrucciones)

• Supabase — base de datos y almacenamiento de los archivos que subes.
• Cloudflare — alojamiento del sitio y comprobación de que eres una persona y no un programa.
• Syncfy (Paybook) — únicamente si conectas una cuenta: establece la conexión con tu institución y nos entrega la información de solo lectura.
• Didit — verificación de identidad: lee tu identificación, compara tu rostro, comprueba la prueba de vida y coteja tu nombre contra listas de prevención de lavado de dinero y sanciones.
• RiskSeal — inteligencia de dispositivos para la prevención de fraude: al evaluar tu solicitud le enviamos tu dirección IP, los datos de tu navegador y dispositivo y tus datos de contacto, y nos dice si han aparecido antes en fraudes. No recibe información financiera ni documentos.
• STP (Sistema de Transferencias y Pagos) — las transferencias SPEI con las que te enviamos el dinero y recibimos tus pagos.
• Twilio — los mensajes SMS o de WhatsApp con códigos de un solo uso (un mensaje de WhatsApp lo entrega WhatsApp, parte de Meta).
• Customer.io y Google Workspace — el envío de los correos del servicio, los recordatorios y, si lo aceptaste, las promociones; y la recepción de tus mensajes a soporte.
• Anthropic — modelos de inteligencia artificial que leen los documentos y estados de cuenta que subes para extraer cifras, redactan las respuestas iniciales de soporte que una persona revisa, y ayudan a analizar el desempeño de nuestros modelos. Tus datos no se usan para entrenar sus modelos.
• Meta — medición de nuestra publicidad. Recibe que visitaste el sitio y que completaste una etapa, no tus respuestas ni tus documentos.
• PostHog — analítica de producto: qué pantallas se usan y dónde se abandona el proceso, con un identificador seudónimo.
• Google — autocompletado de direcciones en el formulario.

Transferencias a terceros

• Autoridades: la Comisión Nacional Bancaria y de Valores, la Unidad de Inteligencia Financiera, la CONDUSEF y las autoridades judiciales o administrativas que lo requieran conforme a la ley.
• Cesionarios y despachos de cobranza: si cedemos los derechos de cobro de tu crédito o encargamos su cobranza a un despacho, sólo reciben los datos necesarios para ello. Cuando contratemos despachos de cobranza publicaremos su lista en este sitio.
• Empresas de nuestro mismo grupo, para fines de administración interna y bajo las mismas políticas de este aviso.

Conforme al artículo 36 de la Ley, estas transferencias no requieren tu consentimiento cuando están previstas en una ley, se hacen a sociedades del mismo grupo, son necesarias para cumplir el contrato entre tú y nosotros, o para la procuración o administración de justicia. Para cualquier otra transferencia te pediremos tu consentimiento.

Transferencias fuera de México

Nuestros sistemas y varios de los encargados anteriores almacenan y tratan datos personales fuera de México, principalmente en Estados Unidos y en la Unión Europea. Al aceptar este aviso consientes esa transferencia. Seguimos siendo responsables de tus datos dondequiera que se traten, y exigimos a cada encargado, por contrato, medidas de seguridad y confidencialidad equivalentes a las de este aviso.

8. Cuánto tiempo los conservamos

Si te otorgamos un crédito: como entidad financiera estamos obligados por las disposiciones de prevención de lavado de dinero a conservar tu expediente de identificación y el registro de las operaciones durante diez años contados desde que termina nuestra relación. Al vencer ese plazo los datos se eliminan o se anonimizan.

Si no llegamos a otorgarte un crédito: conservamos tus respuestas de la evaluación durante 24 meses, y los documentos que subes y los datos de la cuenta que conectes durante 12 meses, contados desde que nos los envías. Los datos de una cuenta conectada se borran de inmediato cuando la desconectas.

Si nos pides antes que borremos tus datos lo haremos, salvo los que debamos conservar por una obligación legal o por un crédito vigente. El detalle está en nuestra política de conservación y eliminación de datos.

9. Cómo los protegemos

Todo viaja cifrado por HTTPS. Los archivos que subes se guardan en un contenedor privado al que no se puede acceder desde internet: sólo nuestros sistemas autorizados tienen credenciales para leerlo. Las credenciales de una cuenta conectada se guardan separadas del resto de tus datos y nunca llegan a tu navegador. El acceso de nuestro personal está limitado a lo que cada tarea necesita y queda registrado.

Ningún sistema es perfectamente seguro. Si ocurre una vulneración que afecte de forma significativa tus derechos patrimoniales o morales, te lo comunicaremos y lo notificaremos a la autoridad conforme a la Ley, para que puedas tomar medidas. Puedes leer más en nuestra política de seguridad de la información.

10. Cookies y tecnologías de rastreo

• Píxel de Meta: instala cookies e informa a Meta cuándo visitas el sitio y cuándo completas una etapa, para medir nuestra publicidad.
• PostHog: guarda un identificador seudónimo en tu navegador para reconocer tus visitas y medir en qué pantalla se abandona el proceso.
• Cloudflare Turnstile: comprueba que eres una persona antes de enviar un formulario.
• Almacenamiento de sesión: mientras llenas el formulario, tus respuestas se guardan en tu navegador para que una recarga no borre tu avance; se limpia al enviar y al cerrar la pestaña. Si conectas una cuenta, guardamos brevemente lo necesario para retomar la conexión cuando tu banco te regrese al sitio; caduca a los treinta minutos. Tu sesión de cuenta se guarda en tu navegador mientras estás dentro.
• Syncfy y Didit pueden usar cookies o almacenamiento local necesarios para operar y asegurar la conexión bancaria y la verificación de identidad, conforme a sus propios avisos de privacidad.

Puedes desactivar las cookies en tu navegador; el sitio sigue funcionando, aunque la conexión bancaria y la verificación de identidad necesitan el almacenamiento de sesión para completarse. Tus archivos nunca se guardan en tu navegador.

11. Tus derechos ARCO y cómo ejercerlos

Conforme a la Ley tienes derecho a:

• Acceso — saber qué datos tuyos tenemos y cómo los usamos.
• Rectificación — corregir datos inexactos o incompletos.
• Cancelación — pedir que los eliminemos, con los límites de la sección 8.
• Oposición — oponerte a un tratamiento concreto por una causa legítima.
• Revocar tu consentimiento y limitar el uso o la divulgación de tus datos.

Procedimiento

1. 1.Escribe a support@tovicash.com con el asunto «Derechos ARCO».
2. 2.Indica tu nombre completo, un medio para responderte, y adjunta copia de tu identificación oficial (INE o pasaporte) o, si actúas por otra persona, el documento que acredite tu representación.
3. 3.Describe con claridad qué derecho quieres ejercer y sobre qué datos.
4. 4.Te respondemos en un máximo de veinte días hábiles. Si tu solicitud procede, la hacemos efectiva dentro de los quince días hábiles siguientes.
5. 5.El ejercicio de estos derechos es gratuito.

Si no quedas conforme con nuestra respuesta, puedes presentar una solicitud de protección de datos ante Transparencia para el Pueblo, órgano administrativo desconcentrado de la Secretaría Anticorrupción y Buen Gobierno, que es la autoridad en materia de protección de datos personales en México.

12. Limitar el uso de tus datos y la publicidad

Además de la baja de la sección 4, que aplicamos en nuestro propio listado de exclusión, puedes inscribirte en el Registro Público de Usuarios (REUS) de la CONDUSEF para no recibir publicidad de instituciones financieras: gob.mx, Registro Público de Usuarios.

13. Menores de edad

Este servicio es para personas mayores de 18 años. No recabamos a sabiendas datos de menores de edad; si crees que una persona menor envió información, escríbenos y la eliminaremos.

14. Cambios a este aviso

Podemos modificar este aviso para reflejar cambios legales, en el servicio o en nuestras prácticas. Cualquier cambio se publica en esta página, con su fecha y número de versión, y cuando sea significativo te lo comunicaremos también por correo a la dirección de tu cuenta.