Identificador LEG-005 · versión 1.0.1 · TributaOS Desktop
Proveedor
TributaOS Desktop. El proveedor y responsable es la persona física identificada en los Términos y condiciones (LEG-001) y en el Aviso de privacidad integral (LEG-003), con el domicilio y los medios de contacto que ahí se indican.
- Correo jurídico: legal@tributaos.com.
- Correo de privacidad: privacidad@tributaos.com.
Fecha de vigencia: la de su publicación, indicada en el Centro Legal de la aplicación y en tributaos.com/desktop/legal.
1.Objeto
Esta política explica qué información guarda TributaOS Desktop en tu equipo, cuál sale de él y hacia dónde, qué responsabilidades corresponden a cada parte y cómo puedes eliminarla. Complementa los avisos de privacidad (LEG-003 y LEG-004), que describen los datos personales que el Proveedor trata como responsable.
TributaOS Desktop trabaja de forma local. La e.firma, los certificados, los CFDI y XML descargados del SAT, los documentos del SAT y del IMSS, los expedientes, cálculos, contabilidad, hojas de trabajo, reportes, notas, los RFC que das de alta y los archivos de tus clientes se procesan y guardan en tu equipo, no en servidores de TributaOS, y el Software no los transmite por el solo hecho de usarse. Mientras no salgan del equipo quedan bajo tu control y no forman parte de la conservación que hace el Proveedor, que se rige por LEG-011. Las únicas salidas son las descritas en la sección 3.
2.Qué se guarda en tu equipo
2.1.Base de datos operativa. Un archivo de base de datos local (SQLite) dentro de la carpeta de datos de la aplicación de tu usuario del sistema operativo. Contiene los contribuyentes (RFC) que das de alta, los comprobantes fiscales indexados, solicitudes y resultados de descargas del SAT, cálculos, pendientes, agenda, notas, configuración y el registro local de aceptaciones legales. Esta base no está cifrada por RFC.
2.2.Documentos. Los archivos que descargas o generas (por ejemplo, XML de comprobantes, PDF y documentos del SAT) se guardan en una carpeta documental de tu perfil, por defecto una carpeta llamada TributaOS Desktop dentro de tu carpeta personal. No está cifrada por RFC y es legible por ti y por cualquier persona o programa que use tu cuenta del sistema operativo (sección 5.4).
2.3.Bóveda de e.firma. Al agregar una e.firma (certificado, llave privada y contraseña), el Software valida la pareja, abre la llave una sola vez con la contraseña y guarda el certificado y la llave privada recifrada en una bóveda local cifrada con el almacén seguro del sistema operativo que ofrece Electron (safeStorage), que usa el llavero (Keychain) de tu usuario en macOS y la protección de datos del usuario (DPAPI) en Windows. La contraseña de la llave no se guarda: se usa una sola vez al agregar la e.firma y se descarta, por lo que nadie, ni el titular, puede verla ni recuperarla desde la aplicación. El certificado público se guarda con los datos del contribuyente. La bóveda vive en la carpeta de datos de la aplicación, no en la carpeta documental, con permisos restringidos al usuario cuando el sistema lo permite. Si el sistema operativo no ofrece un almacén seguro, el Software no importa la e.firma. El nivel de protección depende de cada sistema operativo y de cómo se use el equipo; ninguna medida es infalible.
2.4.Archivos temporales controlados. Para el inicio de sesión en el buzón del IMSS, el Software crea durante el acceso, en una carpeta propia con permisos restringidos, archivos de un solo uso (el certificado y la llave recifrada con una contraseña aleatoria que no se escribe en disco). Se borran al terminar el acceso y la carpeta se limpia al arrancar el Software. Para paquetes del SAT, el Software conserva una copia temporal privada hasta que quedan guardados y procesados en tu expediente.
2.5.Estado de la prueba gratuita. El estado de la evaluación se guarda en copias selladas en tres ubicaciones de tu equipo (el archivo evaluation-state.bin en la carpeta de datos de la aplicación; un archivo evaluation-state-<identificador>.bin en la carpeta «TributaOS Shared» dentro de la carpeta de datos de aplicaciones de tu usuario; y un archivo del mismo nombre en la carpeta oculta «.tributaos» de tu carpeta personal; dos de las tres están fuera de la carpeta de datos de la aplicación), cifradas con el mecanismo del sistema operativo. Cada copia contiene un identificador opaco de la evaluación, sus fechas, su fase y el RFC con el que usaste la evaluación; no contienen e.firma, contraseñas, tokens ni identificadores del equipo. Su finalidad es que la prueba gratuita respete sus condiciones (LEG-006). Estas copias no se envían al Proveedor (la autoridad de evaluación recibe aparte un identificador derivado del RFC; sección 3.1 ter) y el Software las conserva aunque elimines el contribuyente o la base de datos, o desinstales el programa. Puedes eliminarlas desde Configuración → Datos locales → «Estado local de evaluación», que borra las tres copias, o borrando esos archivos. Eliminarlas no restablece la elegibilidad: la autoridad de evaluación sigue aplicándose (sección 3.1 ter y LEG-006).
2.6.Registro local de aceptaciones. El Software mantiene un registro local de las aceptaciones de documentos legales (documento, versión, huella, acción, fecha y hora), que se sincroniza con el servidor del Proveedor cuando hay licencia y conexión. Sirve como evidencia de tu aceptación aun sin conexión.
2.7.Registros técnicos locales. El Software genera registros de diagnóstico para detectar fallas. Se emiten únicamente a la salida estándar del proceso (consola), no se escriben en un archivo de registro y el Software no incluye un reporte automático de errores; si abres el programa desde una terminal, esa terminal puede conservarlos según su configuración. Pasan por un filtro diseñado para no contener contraseñas, llaves ni credenciales, y para enmascarar identificadores como el RFC. No se envían al Proveedor.
2.8.Sesión y correo recordado. Al iniciar sesión, cada persona (el titular o una persona autorizada) envía su correo y contraseña al servidor de TributaOS para verificarlos. El Software guarda localmente el correo, el token y la firma de la licencia y el secreto del equipo en un archivo cifrado con el mecanismo del sistema operativo; si ese cifrado no está disponible, la sesión solo se mantiene en la memoria del programa y no se escribe en disco. Nunca se guarda la contraseña de la cuenta. Si eliges «Recordar mi correo», tu correo se guarda aparte, en un archivo propio, y cerrar sesión no lo borra.
2.9.Identidad de reportes. Logotipo y datos del despacho que eliges para tus reportes, y una bitácora local de los reportes generados (carpeta report-identity).
2.10.Copias de CFDI abiertos. Copias temporales que el Software crea al abrir una factura (carpeta cfdi-open).
2.11.Cachés. Cachés técnicas recreables de la aplicación y dos archivos de control del Centro Legal sin datos personales (legal-bundle-cache.json y legal-decision.json), que el Software conserva para verificar la integridad de los documentos legales.
3.Qué sale de tu equipo y hacia dónde
TributaOS Desktop solo se comunica con los servicios del SAT (*.sat.gob.mx y los datos abiertos que el SAT publica en wu1agsprosta001.blob.core.windows.net), del IMSS (*.imss.gob.mx), del Diario Oficial de la Federación (dof.gob.mx), de Banco de México (banxico.org.mx), del INEGI (inegi.org.mx) y de TributaOS (www.tributaos.com); al DOF, a Banco de México, al INEGI y a los datos abiertos del SAT solo consulta publicaciones oficiales, sin enviarles datos del usuario (LEG-014, sección 4).
3.1.Al servidor de licencias de TributaOS (www.tributaos.com, comunicación cifrada): cuando activas o revalidas la licencia, el Software envía el identificador de instalación, la huella de hardware (solo si el sistema operativo proporciona un identificador de máquina; en macOS y Windows no se envía y el equipo se identifica por el identificador de instalación), el nombre del equipo, la plataforma y la versión, y la clave de licencia o el correo y la contraseña de la cuenta, según cómo actives. Periódicamente envía un latido. Cuando la persona en sesión administra usuarios, el Software sincroniza con el servidor el directorio de personas autorizadas (correo, nombre, perfil, indicador de activo, identificador local y último acceso). También se comunican las aceptaciones de documentos legales y las solicitudes relativas a la renovación que hagas. Estas comunicaciones se describen en LEG-003. Cuando existe, la huella de hardware es un resultado hash; el identificador crudo no sale del equipo.
3.1bis. A los servidores de TributaOS, si usas la facturación electrónica. La facturación electrónica no está disponible hasta que TributaOS la habilite en tu versión; su disponibilidad se informa en la aplicación. Cuando lo esté y la uses, salen hacia los servidores de TributaOS los datos del comprobante que vas a previsualizar o emitir (organización emisora, receptores, conceptos, importes), la carga del certificado de sello digital (CSD) con su contraseña para darlo de alta ante el proveedor tecnológico de facturación, y las operaciones de saldo de timbres. El CSD solo está en la memoria del programa durante el alta y no se guarda en disco; TributaOS conserva de él el número de serie y la vigencia, y en sus servidores se guardan además los comprobantes emitidos, el saldo de timbres y las llaves técnicas cifradas necesarias para operar. Esta excepción no convierte el resto del expediente local en dato recibido por TributaOS. El detalle consta en LEG-003, LEG-010 y LEG-014.
3.1ter. A la autoridad de evaluación de TributaOS, si usas la prueba gratuita. Condiciones (LEG-006): la prueba gratuita requiere una cuenta y se concede una sola vez por cuenta, por instalación y por RFC; el RFC, acreditado con la e.firma, queda reservado de forma provisional durante setenta y dos horas y en definitiva tras la primera operación exitosa con el SAT; comprende el mes en curso y el mes anterior e incluye todas las capacidades del plan Profesional, incluidas las automatizaciones, excepto la facturación y las operaciones monetarias; no vence por días y termina al concluir la ejecución integral, por bloqueo o por soporte; al terminar, los resultados quedan en solo consulta y consultarlos exige iniciar sesión con la cuenta verificada. Para acreditar el RFC, el Software firma en tu equipo, con la e.firma, un reto de acreditación; solo viajan la firma del reto y el certificado público, nunca la llave privada ni la contraseña ni los archivos de la e.firma. El Software envía además el identificador de instalación y un identificador derivado de tu RFC (HMAC-SHA256 del RFC normalizado con una clave constante incluida en la aplicación, que no es secreta; es un seudónimo que podría revertirse por diccionario, por lo que no afirmamos anonimato). El límite de tasa (20 por minuto por dirección IP y 10 por minuto por instalación) usa un almacén temporal cuyas claves se derivan de la dirección IP y del identificador de instalación y caducan a los 60 segundos. La respuesta viene firmada y el Software la verifica. Qué guarda el servidor: no guarda tu RFC en claro, tu e.firma ni datos fiscales; guarda una clave del RFC y una huella de la instalación (ambas HMAC con un secreto del servidor; son datos seudonimizados y vinculables, no anonimizados), la cuenta con la que evaluaste, el estado, la reserva provisional del RFC (72 horas, que se vuelve definitiva tras la primera operación exitosa con el SAT), las fechas, el motivo de fin, los intentos rechazados o sospechosos y, si compras una licencia, el enlace entre la evaluación y la licencia. Solo hay una evaluación por cuenta, por instalación y por RFC. Conservación: solo mientras la evaluación y la prevención de su reutilización sigan siendo finalidades necesarias y documentadas; al terminar, los seudónimos y el vínculo se suprimen o se disocian irreversiblemente (LEG-011, sección 7). Aceptar LEG-001, LEG-002 y LEG-006 es previo a iniciar la prueba.
3.1quater. Automatizaciones (planes Profesional y Despacho, y la evaluación mientras está activa). Antes de cada ejecución automática, el Software envía al servidor de TributaOS un identificador derivado del RFC (HMAC-SHA256 con una clave constante de la aplicación, no secreta), el servicio (buzón SAT, buzón IMSS, constancia u opinión) y un identificador de la operación. El servidor lo vuelve a cifrar con un secreto propio y lo registra junto con la licencia, el equipo y el periodo, para aplicar las frecuencias del plan. Sin respuesta del servidor, la automatización no se ejecuta.
3.2.Al SAT y al IMSS, por instrucción del titular o de una persona autorizada a la que asignó el RFC: las solicitudes y descargas de comprobantes, la consulta de documentos y el acceso a buzones salen directamente de tu equipo hacia esos servicios oficiales. La e.firma se usa en el equipo para autenticar esas gestiones; en el caso del buzón del IMSS, el portal recibe además el certificado y una copia de la llave protegida con una contraseña de un solo uso (sección 2.4 y LEG-009, cláusula 5.5). El acceso a esos servicios se limita a lo técnicamente necesario para cada gestión. El Proveedor no es destinatario de esas comunicaciones.
3.3.Al navegador, al abrir enlaces: el botón para ver planes abre en tu navegador la página de planes de TributaOS. La dirección lleva únicamente el origen (desktop) y, si elegiste uno, el plan; no se envía a esa página tu RFC, tu e.firma, tu correo, tokens ni identificadores de la instalación. De igual forma, el enlace para recuperar la contraseña abre en tu navegador la página correspondiente de TributaOS.
3.4.Otros destinos: el Software está diseñado para no comunicarse con destinos distintos de los anteriores y no incluye analítica, telemetría ni reporte de errores de terceros. Esto se comprueba con una prueba automatizada sobre el código fuente (lista cerrada de destinos); esa prueba no examina el tráfico del programa instalado ni descarta el tráfico propio del motor de navegación (Chromium/Electron) que incorpora el programa. Si una función futura requiere un nuevo destino, se informará en LEG-014 y en los avisos de privacidad antes de su uso.
3.5.Pagos: el Software no captura datos de tarjeta. El pago se realiza en el sitio web de TributaOS mediante el procesador de pagos.
4.Qué no hace el Software
- No guarda de forma persistente tu e.firma en servidores de TributaOS ni envía al Proveedor tu llave privada, su contraseña ni los archivos de la e.firma; en la prueba gratuita solo viajan la firma del reto y el certificado público, nunca la llave privada ni la contraseña (sección 3.1 ter).
- No envía al Proveedor tus comprobantes, documentos del SAT ni los datos fiscales de tus clientes como parte de la licencia o del latido.
- No guarda la contraseña de la e.firma ni guarda en disco la llave privada en claro.
La protección de la bóveda depende del sistema operativo y de la cuenta del equipo. No protege frente a un programa malicioso que se ejecute con los privilegios de tu cuenta ni frente a quien use esa misma cuenta (sección 5.4).
5.Responsabilidades
5.1.Del Usuario: custodiar su equipo y su cuenta del sistema operativo; mantener actualizado y protegido el sistema; respaldar periódicamente la base de datos, la carpeta documental y los archivos originales de la e.firma; cifrar el disco cuando maneje información sensible; y decidir quién tiene acceso al equipo. Si cambias de equipo, de usuario del sistema o de nombre de la aplicación, la bóveda puede no poder descifrarse y deberás volver a agregar la e.firma.
5.2.Del Proveedor: diseñar el Software para limitar las comunicaciones a las descritas, mantener la bóveda y los registros en los términos de esta política, y tratar como responsable los datos personales de los avisos de privacidad conforme a la ley.
5.3.Sobre datos de terceros: la información de tus clientes o de otras personas que ingreses al Software se almacena en tu equipo bajo tu responsabilidad, salvo los datos de receptores que envíes a los servidores de TributaOS para emitir comprobantes (sección 3.1 bis). Debes contar con la base legal y las autorizaciones para tratarla y atender a sus titulares. Las personas autorizadas a las que el titular da acceso tratan esa información bajo las instrucciones y la responsabilidad del titular. El mero almacenamiento local no constituye por sí solo una transferencia al Proveedor.
5.4.Permisos y cuentas del sistema operativo. Los perfiles, facultades y RFC que asigna el titular controlan lo que cada persona puede hacer dentro del Software. No impiden que quien usa la misma cuenta del sistema operativo lea directamente los archivos del equipo: la base de datos local y la carpeta documental no están cifradas por RFC, y la bóveda de e.firma se protege con la llave de esa cuenta del sistema operativo. En particular, quien use la misma cuenta del sistema operativo que el titular puede, con conocimientos técnicos, extraer la llave privada de la e.firma de la bóveda o capturar su contraseña cuando se escribe al agregarla, aunque la aplicación no lo permita. La única configuración en la que el Software separa a las personas es una cuenta del sistema operativo por persona (o un equipo por persona). Si varias personas comparten una cuenta, la separación por perfiles y RFC no protege la e.firma ni los archivos; el titular que lo decida lo hace bajo su responsabilidad y asume ese riesgo.
6.Respaldos y pérdida del equipo
6.1.El Proveedor no tiene copia de tu información fiscal de trabajo; por eso, si pierdes el equipo, la base de datos o el acceso a tu cuenta del sistema operativo y no tienes un respaldo, el Proveedor no podrá recuperarla. Si pierdes el equipo o sospechas que otra persona accedió a él o a la bóveda, considera solicitar al SAT la revocación del certificado (LEG-009, sección 6).
6.2.Los respaldos automáticos del sistema operativo (por ejemplo, Time Machine o copias de OneDrive) pueden conservar copias de tus archivos, incluido el contenido cifrado de la bóveda. Un respaldo que incluya la bóveda y el llavero del mismo usuario puede permitir abrirla en otro equipo de ese usuario. Esas copias dependen de tu configuración.
7.Eliminación local
7.1.Quitar la e.firma. Desde el expediente del contribuyente, el titular puede quitar la e.firma. El Software destruye primero el archivo de la bóveda (lo sobrescribe y lo elimina) y luego marca la credencial como retirada, conservando sus datos públicos de trazabilidad. No elimina el RFC ni el expediente.
7.1bis. Dar de baja un RFC. Al dar de baja un RFC, el Software destruye primero todas las e.firma guardadas de ese RFC (sobrescritura y borrado) y después lo marca como inactivo. Un RFC inactivo no usa la e.firma; para reactivarlo, el titular debe volver a agregarla.
En unidades de estado sólido, en ciertos sistemas de archivos y en los respaldos, la sobrescritura no asegura el borrado físico de todas las copias; el Software, en todo caso, deja de tener el secreto disponible.
7.2.Eliminar información. Desde Configuración → Datos locales puedes ver qué categorías existen en tu equipo y eliminar cada una: base local, documentos, temporales, cachés, sesión, correo recordado, bóveda de e.firma, estado de evaluación, identidad de reportes y copias de CFDI abiertos. Borrar datos locales es exclusivo del titular. También puedes borrar esas carpetas o desinstalar el Software. Borrar la «Bóveda de e.firma» desde ahí elimina los archivos de la bóveda sin la sobrescritura previa de la cláusula 7.1. Es irreversible si no tienes respaldo.
7.3.Efecto sobre la prueba gratuita. Eliminar la información local no restablece una prueba gratuita ya consumida. Las copias selladas de la evaluación (sección 2.5), que incluyen el RFC usado, no se eliminan al borrar la base ni al desinstalar; puedes suprimirlas con el control de la sección 7.2 o borrando esos archivos. Eliminarlas tampoco borra el registro de la autoridad de evaluación (sección 3.1 ter), que conserva el Proveedor; para ese registro, ver la sección 7.4 y LEG-013. Las condiciones constan en LEG-006.
7.4.Datos en poder del Proveedor. Para ejercer derechos sobre los datos que el Proveedor trata como responsable, sigue el procedimiento de LEG-013. Si solicitas la cancelación, los datos relativos a un incumplimiento contractual (por ejemplo, un impago) quedan bloqueados y TributaOS los suprime a los setenta y dos meses de la fecha del incumplimiento; la supresión no es automática, la ejecuta el área de privacidad (LEG-003, sección 7.4). La conservación de las demás categorías, incluidos los registros de la autoridad de evaluación, consta en LEG-011, sección 7: sin plazo legal fijo, solo mientras subsista su finalidad documentada. Nada de esto elimina las copias que están en tu equipo (secciones 2.5 y 7.1 a 7.3).
7.5.Dos eliminaciones distintas. «Eliminar localmente» significa que tú borras archivos, base de datos o bóveda en tu equipo y gestionas tus respaldos. «Solicitar cancelación ARCO» significa pedir al Proveedor que atienda datos personales que posee o controla, conforme a LEG-013; no borra remotamente archivos, CFDI, e.firma ni respaldos de tu equipo. Cancelar la suscripción no ejecuta ninguna de esas dos acciones.
8.Evidencia local de aceptaciones
8.1.Cada aceptación o revocación que realices en el Software se registra primero en el registro local, con una cadena de huellas que permite detectar alteraciones, y se sincroniza con el servidor del Proveedor cuando hay conexión y licencia. El servidor registra la hora que él mismo determina; la hora que declara tu equipo no se usa para decidir la vigencia de una aceptación. El Software no ofrece borrar eventos sueltos de este registro; su eliminación junto con los demás datos locales no afecta la copia del Proveedor (LEG-011).
8.2.El registro no contiene contraseñas, e.firma, llaves ni certificados de sello digital. La huella SHA-256 identifica el contenido de un documento; no equivale a una constancia emitida por un tercero.
9.Cambios
Esta política puede actualizarse; cada versión se identifica con su número y huella y se pone a tu disposición en el Centro Legal. Si el cambio altera de forma sustancial qué se guarda o qué sale de tu equipo, se informará dentro del Software.