Aviso de privacidad

1. Identidad y domicilio del responsable

GCM Global Certification Mexico («GCM Global»), oficina OSP (Oficina de Servicio) en México de GCL International Ltd, con domicilio en Blvd. Fco. Eusebio Kino #848 Int. 6, Col. Pitic, C.P. 83150, Hermosillo, Sonora, México, es responsable del tratamiento de los datos personales que usted nos proporcione, en términos de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 (la «Ley») y demás disposiciones aplicables.

Para cualquier asunto relacionado con este aviso puede escribirnos a contacto@gcl-mexico.com o llamar al +52 662 344 0370.

2. Datos personales que tratamos

Para prestar nuestros servicios de certificación podemos tratar las siguientes categorías de datos personales:

• Identificación y contacto: nombre, puesto, organización, correo electrónico, teléfono y domicilio de trabajo.
• Datos de la organización relacionados con personas: representantes legales, responsables del sistema de gestión, personal entrevistado durante la auditoría y firmantes de documentos.
• Datos fiscales y de facturación: razón social, RFC, domicilio fiscal y datos de contacto para cobranza.
• Datos de acceso al portal de clientes: correo de usuario, contraseña (almacenada cifrada, nunca en texto legible), fechas e IP de acceso.
• Información contenida en registros y evidencias: documentos, fotografías y registros que la organización entrega o muestra durante las auditorías y al responder acciones correctivas.

Datos personales sensibles. No solicitamos datos sensibles. Sin embargo, en auditorías de seguridad y salud en el trabajo (ISO 45001) u otros esquemas, los auditores pueden revisar registros que contengan datos de salud de trabajadores (por ejemplo, exámenes médicos o registros de accidentes). Estos registros se revisan en sitio y solo como evidencia de cumplimiento; no se copian ni se conservan salvo que sea indispensable, en cuyo caso pediremos a la organización que los entregue con los datos personales ocultos o, si no es posible, que cuente con el consentimiento expreso de los titulares.

3. Finalidades del tratamiento

Finalidades necesarias para la relación con usted

Estas finalidades dan origen y son necesarias para la relación jurídica entre usted o su organización y GCM Global:

• Atender solicitudes de información y elaborar cotizaciones.
• Celebrar y administrar el contrato de certificación.
• Planificar, programar y realizar auditorías de certificación, vigilancia, recertificación y especiales.
• Revisar las acciones correctivas y tomar la decisión de certificación.
• Emitir, mantener, suspender, reducir o retirar certificados, y registrarlos en el directorio de organizaciones certificadas de GCL International (este registro contiene datos de la organización, no de personas).
• Dar acceso y soporte al portal de clientes.
• Atender quejas, apelaciones y solicitudes de verificación de certificados.
• Facturación, cobranza y cumplimiento de obligaciones fiscales.
• Cumplir los requisitos de los organismos de acreditación y de las normas aplicables a los organismos de certificación (por ejemplo, ISO/IEC 17021-1).

Finalidades adicionales (requieren su consentimiento)

• Enviarle información sobre nuevos servicios, esquemas de certificación, cursos y eventos.
• Invitarle a contestar encuestas de satisfacción con fines de mejora.

Si no desea que tratemos sus datos para estas finalidades adicionales, escríbanos en cualquier momento a contacto@gcl-mexico.com con el asunto «Finalidades adicionales». Su negativa no afectará los servicios que tiene contratados.

4. Transferencias de datos personales

Para cumplir las finalidades necesarias, sus datos pueden ser transferidos, dentro o fuera de México, a:

• GCL International Ltd (Londres, Reino Unido), organismo de certificación del que GCM Global es oficina OSP, para la revisión técnica, la decisión de certificación, la emisión de certificados y su registro.
• Organismos de acreditación (como UKAS) y sus evaluadores, cuando supervisan o atestiguan nuestras auditorías.
• Auditores y expertos técnicos que participan en su auditoría, sujetos a obligaciones de confidencialidad.
• Autoridades competentes, cuando lo exija la ley o una orden fundada y motivada.

Estas transferencias son necesarias para cumplir la relación contractual o una obligación legal, o se realizan dentro del mismo grupo bajo políticas equivalentes, por lo que no requieren su consentimiento conforme a la Ley. No vendemos ni cedemos sus datos personales a terceros con fines comerciales.

También usamos proveedores que tratan datos por nuestra cuenta (encargados), como el servicio de hospedaje web y de correo electrónico, quienes solo pueden usarlos para prestarnos el servicio.

5. Derechos ARCO y revocación del consentimiento

Usted tiene derecho a acceder a sus datos personales, rectificarlos si son inexactos, cancelarlos cuando considere que no se requieren para las finalidades señaladas y oponerse a su tratamiento para fines específicos (derechos ARCO). También puede revocar el consentimiento que nos haya otorgado.

Para ejercerlos, envíe su solicitud a contacto@gcl-mexico.com con el asunto «Solicitud ARCO», indicando:

1. Su nombre y un medio para comunicarle la respuesta.
2. Una copia de su identificación oficial o, en su caso, la de su representante y el documento que acredite la representación.
3. La descripción clara de los datos y del derecho que desea ejercer.
4. Cualquier documento que facilite la localización de sus datos.

Le responderemos dentro de los plazos que establece la Ley y, si su solicitud procede, la haremos efectiva dentro de los plazos legales siguientes a nuestra respuesta. Tenga en cuenta que algunos registros de auditoría deben conservarse por los periodos que exigen las reglas de acreditación, por lo que en esos casos la cancelación podría no proceder de inmediato; se lo informaremos con las razones correspondientes.

6. Opciones para limitar el uso o divulgación de sus datos

Además de los derechos ARCO, puede pedirnos que limitemos el uso de sus datos escribiendo a contacto@gcl-mexico.com. Los usuarios del portal de clientes pueden actualizar sus datos de contacto desde la sección «Mi cuenta» o solicitar la baja de su usuario a su organización o a GCM Global.

7. Cookies y tecnologías similares

• Sitio web: guardamos en su navegador únicamente su preferencia de idioma (español o inglés). No usamos cookies de publicidad ni de rastreo.
• Portal de clientes: usamos una cookie de sesión indispensable para mantener su acceso; se elimina al cerrar sesión o el navegador.
• Servicios de terceros: el sitio carga tipografías de Google Fonts e imágenes y videos de Pexels; estos proveedores pueden recibir datos técnicos como su dirección IP, conforme a sus propias políticas.

Puede borrar o bloquear las cookies desde la configuración de su navegador; si bloquea la cookie de sesión no podrá usar el portal de clientes.

8. Seguridad de la información

Aplicamos medidas administrativas, técnicas y físicas para proteger sus datos: conexión cifrada (HTTPS), contraseñas almacenadas con cifrado irreversible, acceso al portal limitado a la información de cada organización, archivos de evidencias guardados fuera de la parte pública del servidor y compromisos de confidencialidad con nuestro personal y auditores.

9. Cambios a este aviso de privacidad

Podemos modificar este aviso por cambios legales, en nuestros servicios o en nuestras prácticas de privacidad. Publicaremos la versión vigente en gcl-mexico.com/aviso-de-privacidad.html, indicando la fecha de su última actualización.

10. Autoridad

Si considera que su derecho a la protección de datos personales ha sido vulnerado, puede acudir ante la Secretaría Anticorrupción y Buen Gobierno, autoridad competente en materia de protección de datos personales en posesión de los particulares.

1. Identity and address of the data controller

GCM Global Certification Mexico ("GCM Global"), the OSP (Service Office) of GCL International Ltd in Mexico, with address at Blvd. Fco. Eusebio Kino #848 Int. 6, Col. Pitic, Z.C. 83150, Hermosillo, Sonora, Mexico, is the controller of the personal data you provide to us, under the Federal Law on the Protection of Personal Data Held by Private Parties published in the Official Gazette of the Federation on March 20, 2025 (the "Law") and other applicable provisions.

For any matter related to this notice you can write to contacto@gcl-mexico.com or call +52 662 344 0370.

2. Personal data we process

To provide our certification services we may process the following categories of personal data:

• Identification and contact: name, position, organization, email, telephone and business address.
• Organization data related to individuals: legal representatives, management system representatives, personnel interviewed during the audit and signatories of documents.
• Tax and billing data: company name, RFC (tax ID), tax address and billing contact details.
• Client portal access data: user email, password (stored encrypted, never in readable form), access dates and IP address.
• Information contained in records and evidence: documents, photographs and records that the organization provides or shows during audits and when responding to corrective actions.

Sensitive personal data. We do not request sensitive data. However, in occupational health and safety audits (ISO 45001) or other schemes, auditors may review records containing workers' health data (for example, medical examinations or accident records). These records are reviewed on site and only as evidence of conformity; they are not copied or retained unless strictly necessary, in which case we will ask the organization to provide them with personal data redacted or, if that is not possible, to obtain the express consent of the data subjects.

3. Purposes of processing

Purposes necessary for our relationship with you

These purposes give rise to, and are necessary for, the legal relationship between you or your organization and GCM Global:

• Responding to information requests and preparing quotations.
• Entering into and managing the certification agreement.
• Planning, scheduling and conducting certification, surveillance, recertification and special audits.
• Reviewing corrective actions and making the certification decision.
• Issuing, maintaining, suspending, reducing or withdrawing certificates, and recording them in GCL International's directory of certified organizations (this record contains organization data, not personal data).
• Providing access to and support for the client portal.
• Handling complaints, appeals and certificate verification requests.
• Invoicing, collection and compliance with tax obligations.
• Meeting the requirements of accreditation bodies and the standards applicable to certification bodies (for example, ISO/IEC 17021-1).

Additional purposes (require your consent)

• Sending you information about new services, certification schemes, courses and events.
• Inviting you to answer satisfaction surveys for improvement purposes.

If you do not want us to process your data for these additional purposes, write to us at any time at contacto@gcl-mexico.com with the subject "Additional purposes". Your refusal will not affect the services you have contracted.

4. Transfers of personal data

To fulfil the necessary purposes, your data may be transferred, within or outside Mexico, to:

• GCL International Ltd (London, United Kingdom), the certification body of which GCM Global is an OSP office, for technical review, certification decision, certificate issuance and registration.
• Accreditation bodies (such as UKAS) and their assessors, when they supervise or witness our audits.
• Auditors and technical experts taking part in your audit, bound by confidentiality obligations.
• Competent authorities, when required by law or by a duly grounded order.

These transfers are necessary to perform the contractual relationship or a legal obligation, or are made within the same group under equivalent policies, and therefore do not require your consent under the Law. We do not sell or assign your personal data to third parties for commercial purposes.

We also use providers that process data on our behalf (processors), such as web hosting and email services, who may only use it to provide their service to us.

5. ARCO rights and withdrawal of consent

You have the right to access your personal data, rectify it if inaccurate, cancel it when you consider it is not required for the stated purposes and object to its processing for specific purposes (ARCO rights). You may also withdraw any consent you have given us.

To exercise them, send your request to contacto@gcl-mexico.com with the subject "ARCO request", including:

1. Your name and a means to send you our response.
2. A copy of your official ID or, where applicable, that of your representative and the document proving the representation.
3. A clear description of the data and the right you wish to exercise.
4. Any document that helps locate your data.

We will respond within the time limits set by the Law and, if your request is granted, we will give effect to it within the legal time limits following our response. Please note that some audit records must be kept for the periods required by accreditation rules, so in those cases cancellation may not be immediately possible; we will inform you of the corresponding reasons.

6. Options to limit the use or disclosure of your data

In addition to ARCO rights, you may ask us to limit the use of your data by writing to contacto@gcl-mexico.com. Client portal users can update their contact details in the "My account" section or request deactivation of their user from their organization or from GCM Global.

7. Cookies and similar technologies

• Website: we only store your language preference (Spanish or English) in your browser. We do not use advertising or tracking cookies.
• Client portal: we use an essential session cookie to keep you signed in; it is deleted when you sign out or close the browser.
• Third-party services: the website loads fonts from Google Fonts and images and videos from Pexels; these providers may receive technical data such as your IP address, under their own policies.

You can delete or block cookies in your browser settings; if you block the session cookie you will not be able to use the client portal.

8. Information security

We apply administrative, technical and physical measures to protect your data: encrypted connection (HTTPS), passwords stored with irreversible encryption, portal access limited to each organization's information, evidence files stored outside the public part of the server and confidentiality commitments with our staff and auditors.

9. Changes to this privacy notice

We may modify this notice due to legal changes, changes in our services or in our privacy practices. We will publish the current version at gcl-mexico.com/aviso-de-privacidad.html, indicating the date of its last update.

10. Authority

If you consider that your right to the protection of personal data has been violated, you may file a complaint with the Secretariat of Anti-Corruption and Good Governance (Secretaría Anticorrupción y Buen Gobierno), the competent authority for personal data held by private parties in Mexico.

This is a courtesy translation. In case of discrepancy, the Spanish version prevails.