Aviso de privacidad integral

Identificador LEG-003 · versión 1.0.1 · TributaOS Desktop

Responsable

• Nombre: Rodolfo Javier Gallardo Sánchez (persona física).
• Nombre comercial: TributaOS Desktop.
• Domicilio: Oriente 138 número 119, colonia Moctezuma, C. P. 15530, alcaldía Venustiano Carranza, Ciudad de México, México.
• Correo jurídico: legal@tributaos.com.
• Correo de privacidad: privacidad@tributaos.com.

Fecha de vigencia: la de su publicación, indicada en el Centro Legal de la aplicación y en tributaos.com/desktop/legal.

Este aviso se pone a tu disposición en cumplimiento de los artículos 14, 15 y 16 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 y reformada el 14 de noviembre de 2025 (en adelante, la "Ley"). No es un documento que tengas que "aceptar" para usar el Software: se te informa cómo se tratan tus datos y cómo ejercer tus derechos. Con la puesta a disposición de este aviso, el tratamiento de tus datos para las finalidades primarias se funda en que son necesarios para ejercer un derecho o cumplir obligaciones derivadas de la relación jurídica contigo (Ley, art. 9, fr. IV).

1.Responsable del tratamiento (Ley, art. 15, fr. I)

El responsable de los datos personales que se describen en este aviso es el Responsable identificado arriba (en adelante, "TributaOS Desktop" o "TributaOS"), con el domicilio y los correos allí señalados. TributaOS cuenta con un área de privacidad que da trámite a las solicitudes de las personas titulares (Ley, art. 29); su correo es privacidad@tributaos.com.

2.Alcance: qué se queda en tu equipo y qué trata TributaOS en sus servidores

2.1.Dos lugares distintos. TributaOS Desktop es un programa que se instala y ejecuta en tu equipo. Una parte de la información se procesa y guarda solo en tu equipo (sección 3, apartado A). Otra parte sí la tratan los servidores de TributaOS (el sitio web y el servidor de licencias, alojados en Vercel con base de datos en Supabase): la de cuenta y autenticación, licencias y equipos, personas autorizadas y su bitácora, consentimientos, pagos, solicitudes de derechos, la prueba gratuita y, solo si usas la facturación electrónica cuando esté habilitada, los datos que esa función requiere (apartados B a F). Este aviso distingue en cada caso dónde está el dato.

2.2.A quién se aplica este aviso. Se aplica a quien contrata, paga, activa o administra una licencia (el "titular") y a quien usa la prueba gratuita.

2.3.Personas autorizadas por un titular. Si un titular te dio acceso a su licencia (persona autorizada o invitada), este aviso también te aplica respecto de tus datos de acceso descritos en el apartado B. Está a tu disposición en el Centro Legal de la aplicación y en tributaos.com/desktop/legal/LEG-003; la página de acceso para personas invitadas (/licencias/acceso) y el correo de invitación enlazan a él. El titular es quien proporciona tus datos de alta y quien decide tu perfil, tus facultades y los RFC a los que tienes acceso.

2.4.Datos de terceros que trabajas en tu equipo. La relación directa de TributaOS es con el titular. El uso local del Software no transmite a TributaOS el expediente que trabajas ni convierte por sí mismo a TributaOS en responsable o encargado de los datos de tus clientes. Si ingresas datos personales de terceros en el Software, permanecen en tu equipo bajo tu responsabilidad, salvo los que envíes a los servidores para emitir comprobantes con la facturación electrónica (apartado E). Debes contar con la base legal para tratarlos y atender a sus titulares.

3.Datos personales que se tratan (Ley, art. 15, fr. II)

A. Información procesada localmente, en tu equipo

Sobre esta información, el resguardo, el respaldo y la legalidad de su tratamiento te corresponden; la Política de tratamiento de datos locales (LEG-005) explica qué se guarda y cómo se elimina. Tres límites que debes conocer: (i) la bóveda protege frente a otras cuentas del sistema operativo y otros equipos, pero no frente a quien usa la misma cuenta del sistema operativo, y la base local y la carpeta documental no están cifradas por RFC; la configuración soportada es una cuenta del sistema operativo por persona; (ii) dar de baja un RFC destruye su e.firma en el equipo, y reactivarlo exige volver a importarla; (iii) las personas autorizadas con perfil Contador o Auxiliar y el RFC asignado pueden hacer que el Software use la e.firma guardada para solicitudes ante el SAT sin conocer su contraseña, y esos actos se atribuyen ante el SAT al titular del certificado (LEG-009).

B. Cuenta, autenticación y personas autorizadas (en servidores de TributaOS)

C. Licencia y equipos (en servidores de TributaOS)

D. Pagos (Stripe)

E. Datos transmitidos a servicios externos autorizados

El Software de escritorio solo se conecta a los servicios del SAT (*.sat.gob.mx y los datos abiertos que el SAT publica en wu1agsprosta001.blob.core.windows.net), del IMSS (*.imss.gob.mx), del Diario Oficial de la Federación (dof.gob.mx), de Banco de México (banxico.org.mx), del INEGI (inegi.org.mx) y de TributaOS (www.tributaos.com); al DOF, a Banco de México, al INEGI y a los datos abiertos del SAT solo consulta publicaciones oficiales, sin enviarles datos del usuario (LEG-014, sección 4); no incluye analítica ni telemetría de terceros.

F. Soporte, seguridad y cumplimiento legal

3.1.Datos sensibles. Con las finalidades de este aviso, TributaOS no solicita ni trata datos personales sensibles en el sentido del artículo 2, fracción VI, de la Ley. Si cambiara, se te informaría antes y se obtendría tu consentimiento expreso y por escrito (Ley, art. 8).

3.2.Datos financieros o patrimoniales. Los importes de cobros y, si usas la facturación electrónica, los importes e impuestos de los comprobantes pueden considerarse datos patrimoniales. Se tratan solo porque son indispensables para ejercer derechos y cumplir obligaciones derivadas de la relación jurídica contigo (Ley, arts. 7, párrafo quinto, y 9, fr. IV). Los números completos de tarjeta no los trata TributaOS.

4.Comunicaciones directas desde tu equipo

Cuando usas funciones que consultan al SAT o al IMSS, tu equipo se comunica directamente con ellos (apartado E), conforme a su propio aviso de privacidad y términos. TributaOS no es destinatario de esas comunicaciones. El detalle está en LEG-005 y LEG-014.

5.Finalidades del tratamiento (Ley, art. 15, fr. III)

5.1.Finalidades primarias (necesarias para la relación jurídica; no requieren tu consentimiento adicional)

1. Validar y activar tu licencia, vincularla a tus equipos y verificar su vigencia.
2. Controlar los límites de equipos y usuarios de tu plan y las frecuencias de automatización.
3. Crear y administrar tu cuenta y autenticarte.
4. Invitar y autenticar a las personas autorizadas, aplicar los perfiles, facultades y RFC que asigna el titular, revocar accesos y llevar la bitácora de sus acciones.
5. Procesar la contratación, los cobros, las renovaciones, las cancelaciones y, en su caso, los reembolsos, emitir el CFDI por tu licencia y enviar los avisos de renovación.
6. Entregarte tu clave de licencia y comunicaciones transaccionales indispensables.
7. Atender solicitudes de soporte, aclaraciones, quejas y el ejercicio de tus derechos.
8. Conservar evidencia electrónica de las aceptaciones y demás actos contractuales para acreditar el cumplimiento de obligaciones y para el reconocimiento, ejercicio o defensa de derechos.
9. Mantener la seguridad de los sistemas, prevenir fraude o abuso de licencias y atender requerimientos fundados y motivados de autoridad competente (Ley, art. 9, fr. VII).
10. Aplicar las reglas de la prueba gratuita (una evaluación por cuenta, por instalación y por RFC, sin renovación automática) y evitar su reutilización.
11. Llevar el saldo y los movimientos de tus timbres si los compras y, si usas la facturación electrónica cuando esté habilitada: crear tu organización emisora ante el proveedor tecnológico, previsualizar y emitir comprobantes y conservar el historial de comprobantes.

5.2.Finalidades secundarias (no existen para TributaOS Desktop)

Para TributaOS Desktop no existen finalidades secundarias: tus datos de Desktop se tratan únicamente para las finalidades primarias de la sección 5.1.

En particular, TributaOS no comunica a Meta Platforms ni a otras plataformas de publicidad datos de las personas titulares de una licencia de TributaOS Desktop ni de las personas a las que un titular dio acceso. El sistema omite ese envío cuando la persona tiene o tuvo una licencia de Desktop o es persona autorizada; si no es posible comprobarlo, el envío tampoco se realiza. Tampoco se comunican a terceros con fines publicitarios eventos de la contratación o renovación de la licencia ni datos de tu actividad dentro del Software. Lo anterior no se refiere a los avisos internos de soporte y de baja de cuenta que TributaOS envía a su propio equipo (sección 6.2), que no tienen fines publicitarios, se originan en el sitio web y solo contienen datos mínimos.

TributaOS Desktop no usa tus datos para boletines, promociones ni otras finalidades de mercadotecnia. Si en el futuro TributaOS pretendiera tratar tus datos de Desktop para una finalidad secundaria, lo informará antes de iniciar ese tratamiento, en este aviso, y te ofrecerá un mecanismo para negarte (Ley, art. 15, fr. IV); si la finalidad fuera distinta de las anteriores, obtendrá nuevamente tu consentimiento (Ley, art. 11). La mercadotecnia del sitio web de TributaOS, independiente de TributaOS Desktop, se rige por el aviso de privacidad de ese sitio.

6.Encargados, terceros y transferencias

6.1.Cómo se clasifican. La Ley distingue entre la persona encargada, que trata datos por cuenta del responsable (art. 2, fr. XII), y el tercero a quien se transfieren datos, que es toda persona distinta de la persona titular, del responsable o de la persona encargada (art. 2, fr. XVII y XX). La calificación de cada proveedor depende de su documento contractual y del flujo de datos de que se trate; el detalle por proveedor consta en LEG-014. Este aviso no afirma que un proveedor sea encargado cuando no lo hemos acreditado.

6.2.Terceros que intervienen en la relación contigo:

6.3.Transferencias. Constituyen transferencias, en los términos de la Ley, las comunicaciones a terceros que no actúan por cuenta de TributaOS. La comunicación a un proveedor que trata los datos por cuenta de TributaOS (remisión a una persona encargada) no es una transferencia (Ley, art. 2, frs. XII y XX); que cada proveedor tenga esa calidad respecto de cada flujo depende de su contrato con TributaOS (LEG-014). En ciertos tratamientos propios (por ejemplo, prevención de fraude y obligaciones de cumplimiento) Stripe determina por sí mismo los fines y medios, por lo que esa comunicación puede ser una transferencia necesaria para la relación jurídica (Ley, art. 36, fr. IV y VII). Las comunicaciones a autoridades se realizan en los supuestos del artículo 36, fracciones I y V, y del artículo 9, fracción VII. Las comunicaciones de tu equipo con el SAT y el IMSS las instruyes tú (sección 4).

6.4.Transferencias con fines publicitarios (Ley, art. 35). TributaOS Desktop no realiza transferencias de datos personales a Meta Platforms ni a otras plataformas de publicidad (sección 5.2), por lo que este aviso no contiene una cláusula de aceptación de ese tipo de transferencias. Si en el futuro se incorporara una, se informará antes en este aviso, con el mecanismo para negarte, y no se realizará hasta entonces.

6.5.Ubicación. Según los documentos de cada proveedor que pudimos consultar (8 de octubre de 2026), Stripe (cuyos subencargados pueden estar también en otros países), Resend, Vercel, Sentry y Facturapi procesan datos, al menos en parte, en Estados Unidos de América. Supabase indica en su documentación que no ofrece una región en México, por lo que los datos de la base de datos de TributaOS se almacenan y tratan fuera de territorio nacional; no afirmamos una región concreta. Las funciones del servidor de la aplicación se ejecutan en la región iad1 (Washington D.C., Estados Unidos de América), según la configuración verificada el 8 de octubre de 2026. Cuando un proveedor trate datos fuera de México, exigiremos las medidas de confidencialidad y seguridad que correspondan (Ley, arts. 13, 18 y 20).

6.6.TributaOS no vende ni arrienda tus datos personales.

6.7.Si se incorporan otras funciones que impliquen la participación de otros proveedores, se informarán en LEG-014 y en este aviso y, cuando la Ley lo exija, con tu consentimiento previo.

7.Tus derechos y cómo ejercerlos (Ley, art. 15, fr. V)

7.1.Tienes derecho a acceder a tus datos personales y a conocer las condiciones y generalidades de su tratamiento a través de este aviso (Ley, art. 22); a rectificarlos cuando sean inexactos, incompletos o no estén actualizados (art. 23); a solicitar su cancelación (art. 24); y a oponerte a su tratamiento por causa legítima (art. 26). Son los derechos ARCO. El ejercicio de uno no es requisito previo ni impide el de otro (art. 21). Puedes ejercerlos tú o tu representante legal (art. 27). Se refieren a los datos que TributaOS posee o controla (apartados B a F); la información que está solo en tu equipo (apartado A) la consultas, corriges o eliminas tú con los controles del Software (LEG-005), y TributaOS no puede borrarla de forma remota.

7.2.Para ejercerlos puedes: (a) si eres titular de la licencia, usar el formulario de «Privacidad y derechos ARCO» del Centro Legal dentro del Software; (b) escribir a privacidad@tributaos.com, que es la vía para las personas autorizadas o invitadas por un titular y para cualquier persona sin acceso al formulario; o (c) acudir al domicilio del responsable, donde se te orientará para presentar tu solicitud por los medios (a) o (b). Tu solicitud debe contener tu nombre y un medio para recibir notificaciones; los documentos que acrediten tu identidad (o la de tu representante); la descripción clara y precisa de los datos y del derecho que deseas ejercer (salvo que se trate de acceso); y cualquier elemento que facilite localizar tus datos. Si pides rectificación, indica las modificaciones y aporta la documentación que las sustente (Ley, arts. 28 y 30). Puedes ejercer tus derechos aunque tu licencia haya vencido, tu suscripción esté cancelada o hayas dejado de usar el Software, mientras TributaOS conserve datos tuyos (LEG-013).

7.3.TributaOS te comunicará la determinación adoptada en un plazo máximo de veinte días hábiles contados desde que recibió tu solicitud y, si procede, la hará efectiva dentro de los quince días hábiles siguientes a la comunicación de la respuesta. Estos plazos podrán ampliarse una sola vez por un periodo igual si las circunstancias del caso lo justifican (Ley, arts. 2, fr. VIII, y 31). TributaOS cuenta como hábiles los días de lunes a viernes, sin descontar festivos. Si te pedimos información adicional, el plazo se interrumpe desde ese requerimiento y se reanuda cuando la proporcionas (LEG-013, sección 5). El acceso se cumple poniendo tus datos a tu disposición, entre otros medios, mediante un documento electrónico (Ley, art. 32). El ejercicio de tus derechos es gratuito; solo podrían cobrarse los costos de reproducción, copias o envío en los casos del artículo 34. El procedimiento detallado está en LEG-013.

7.4.Cuando se cancelen tus datos o se dé de baja tu cuenta, los datos que deban conservarse quedan bloqueados durante cinco años contados desde que concluye la baja de la cuenta, salvo que una excepción documentada exija conservarlos más tiempo, y después se suprimen, con aviso a ti (Ley, art. 24). No procede cancelar, entre otros supuestos, los datos necesarios para el desarrollo y cumplimiento de un contrato, los que deban tratarse por disposición legal o los necesarios para obligaciones fiscales (Ley, art. 25, fr. I a III). La bitácora de acceso y operaciones se conserva mientras exista la licencia y, después de la baja de la cuenta, durante ese bloqueo de cinco años; al terminar se suprime con la cuenta. Los datos relativos al incumplimiento de obligaciones contractuales (por ejemplo, el estado de impago de la licencia y la fecha del primer cobro fallido) se suprimen al transcurrir setenta y dos meses contados desde la fecha calendario en que se presente el incumplimiento (Ley, art. 10, tercer párrafo), y TributaOS deja una constancia sin tus datos de identificación. Si solicitas la cancelación antes, esos datos se bloquean hasta entonces, salvo excepciones justificadas y registradas. Los contratos, aceptaciones, autorizaciones de cobro, cancelaciones y avisos no son datos de incumplimiento y siguen los plazos de LEG-011.

7.5.Si consideras que tu derecho a la protección de datos personales ha sido vulnerado, puedes presentar una solicitud de protección de derechos ante la Secretaría Anticorrupción y Buen Gobierno, autoridad que la Ley designa como "Secretaría" (art. 2, fr. XV) y que tiene atribuciones para conocer y resolver los procedimientos de protección de derechos y de verificación (arts. 38 y 39, fr. VI). La solicitud se presenta dentro de los quince días hábiles siguientes a la fecha en que se te comunique la respuesta o, si no recibes respuesta, a partir de que venza el plazo de respuesta (art. 40). Dentro de la Secretaría, la unidad competente es la Dirección General de Datos Personales en el Sector Privado (artículo 30-F del Reglamento Interior de la Secretaría Anticorrupción y Buen Gobierno, DOF 21-03-2025). La Ley prevé que la solicitud se presente por escrito libre o por los formatos o el sistema electrónico que la Secretaría proporcione (art. 41).

8.Opciones para limitar el uso o la divulgación y revocación del consentimiento (Ley, arts. 7 y 15, fr. IV)

8.1.Puedes limitar el uso o la divulgación de tus datos escribiendo a privacidad@tributaos.com. Como Desktop no tiene finalidades secundarias ni transferencias publicitarias (secciones 5.2 y 6.4), esta opción se refiere hoy a cualquier tratamiento que se base en tu consentimiento. Las finalidades primarias son necesarias para la relación jurídica y no pueden limitarse sin que ello impida prestarte el servicio.

8.2.Cuando algún tratamiento se base en tu consentimiento, puedes revocarlo en cualquier momento, sin efectos retroactivos, por el mismo correo o, si eres titular, por el formulario del Centro Legal. La revocación puede impedir que continuemos prestándote algunos servicios que dependen de esos datos. Si recibes publicidad de TributaOS, puedes además exigir que no se te envíe y que tu información no se ceda a terceros, y solicitar tu inscripción en el registro público de consumidores que lleve la Procuraduría Federal del Consumidor (Ley Federal de Protección al Consumidor, arts. 17, segundo párrafo, y 18).

9.Conservación y eliminación (Ley, arts. 10 y 24)

9.1.Conservamos los datos de los apartados B a F durante el tiempo necesario para cumplir las finalidades de este aviso y, después, durante los plazos de bloqueo de la sección 7.4. Transcurrido el plazo aplicable, se suprimen o se disocian. Los plazos por categoría se describen en la Política de conservación de evidencias (LEG-011). Los CFDI que TributaOS expide por tu licencia se conservan conforme a las disposiciones fiscales aplicables.

9.2.Prueba gratuita. El registro remoto de la prueba se conserva mientras la evaluación y la prevención de su reutilización sigan siendo finalidades necesarias y documentadas; al terminar esa necesidad, se suprime o se disocia irreversiblemente. Se bloquea o prolonga solo cuando exista obligación legal o excepción documentada.

9.3.Documentos de identidad aportados en una solicitud ARCO. Se conservan solo durante la verificación de identidad o representación y después se suprimen o disocian; queda el folio y el método, la fecha y el resultado de la verificación.

9.4.Actos distintos. Cancelar la suscripción, ejercer derechos ARCO y borrar los datos locales son actos independientes. La cancelación de la suscripción no borra los datos de los servidores ni los de tu equipo. Los datos del apartado A los eliminas tú con los controles del Software (LEG-005); borrar los datos locales es una facultad exclusiva del titular.

9.5.Este aviso no afirma que estas supresiones se ejecuten de forma automática: TributaOS las realiza al cumplirse cada plazo.

10.Medidas de seguridad (Ley, arts. 18 a 20)

TributaOS mantiene medidas de seguridad administrativas, técnicas y físicas para proteger los datos que trata. Entre las medidas técnicas: comunicaciones cifradas con el servidor de licencias; autenticación de las llamadas de máquina mediante un secreto de equipo y firma, con conservación únicamente de una huella irreversible del secreto; contraseñas de las personas autorizadas guardadas solo como huella irreversible; enlaces de invitación y recuperación de un solo uso, con vencimiento, guardados solo como huella; sesiones revocables por persona y por equipo; permisos aplicados en el servidor y en el Software; límites de intentos en el inicio de sesión y en la recuperación; una bitácora de las acciones de cada persona autorizada (apartado B); un registro de evidencia de solo adición que rechaza contenidos con aspecto de secreto; en las rutas que usan el registro seguro de errores, solo se escribe el tipo, el código y el estado del error, sin mensajes ni cuerpos de solicitud; y la separación de los datos de pago, que trata Stripe. En tu equipo, la e.firma se guarda en una bóveda cifrada con el almacén seguro del sistema operativo, con los límites del apartado A. Las personas que intervienen en el tratamiento están obligadas a guardar confidencialidad (Ley, art. 20).

Ninguna medida elimina por completo el riesgo de un acceso no autorizado. Si ocurre una vulneración de seguridad que afecte de forma significativa tus derechos patrimoniales o morales, te la informaremos de forma inmediata para que puedas tomar las medidas de defensa de tus derechos (Ley, art. 19).

11.Tecnologías de monitoreo, cookies y analítica

11.1.Software. El código de TributaOS Desktop no incluye herramientas de analítica ni de reporte automático de errores de terceros; esto lo comprueba una prueba automatizada sobre el código fuente del Software. Esa prueba no examina el tráfico de red del programa instalado: la captura de red del programa empaquetado es una validación manual que se ejecuta por versión.

11.2.Sitio web y servidores. Las páginas web de TributaOS que utilices para contratar, pagar o administrar tu cuenta pueden usar tecnologías propias y de terceros (verificación antiabuso en formularios de acceso, monitoreo de errores del servidor y medición propia de visitas a páginas de mercadotecnia). Su detalle consta en la política de cookies del sitio web, que no forma parte de este aviso. La medición propia de visitas no usa cookies y no se ejecuta en las páginas de TributaOS Desktop.

12.Cambios a este aviso (Ley, art. 15, fr. VI)

12.1.Cada versión de este aviso se identifica con su número, fecha y huella SHA-256, y se pone a tu disposición en el Centro Legal del Software y en tributaos.com/desktop/legal/LEG-003.

12.2.Cuando el cambio altere de forma sustancial las finalidades, los datos tratados o las transferencias, te lo comunicaremos dentro del Software o por correo electrónico a la dirección de tu cuenta, antes de que surta efectos. Si pretendiéramos tratar tus datos para una finalidad distinta de las informadas, obtendremos nuevamente tu consentimiento (Ley, art. 11).

13.Contacto

Para cualquier duda sobre este aviso o sobre el tratamiento de tus datos, comunícate con el área de privacidad: privacidad@tributaos.com. El aviso simplificado se pone a tu disposición en LEG-004 y el procedimiento de derechos en LEG-013.