Procedimiento de ejercicio de derechos ARCO

Identificador LEG-013 · versión 1.0.1 · TributaOS Desktop

Proveedor

TributaOS Desktop. El proveedor y responsable es la persona física identificada en los Términos y condiciones (LEG-001) y en el Aviso de privacidad integral (LEG-003), con el domicilio y los medios de contacto que ahí se indican.

• Correo jurídico: legal@tributaos.com.
• Correo de privacidad: privacidad@tributaos.com.

Fecha de vigencia: la de su publicación, indicada en el Centro Legal de la aplicación y en tributaos.com/desktop/legal.

1.Para qué sirve este documento

Usted, como persona titular de sus datos personales, tiene derecho a acceder a ellos, a rectificarlos, a cancelarlos y a oponerse a su tratamiento (derechos ARCO), y a revocar su consentimiento cuando éste sea la base del tratamiento. Este documento explica cómo ejercer esos derechos frente al proveedor de TributaOS Desktop, qué datos necesitamos, en qué plazos le responderemos y haremos efectiva su solicitud, cómo puede dar seguimiento y qué puede hacer si no está de acuerdo.

El proveedor es el responsable del tratamiento de los datos personales que trata en relación con TributaOS Desktop, descritos en el aviso de privacidad (LEG-003, apartados B a F). La persona o departamento que da trámite a las solicitudes es el área de privacidad del proveedor, localizable en privacidad@tributaos.com.

Qué abarca. Este procedimiento atiende los datos que el proveedor posee o controla en sus servidores: cuenta y autenticación, personas autorizadas y bitácora, licencia y equipos, pagos y referencias, avisos, evidencia contractual, prueba gratuita, soporte, solicitudes de derechos, el CFDI que el proveedor expide por la licencia y, si se usó la facturación electrónica una vez habilitada, los datos que esa función efectivamente recibió.

Qué no abarca. La información que la aplicación guarda únicamente en su equipo (e.firma, llaves, certificados, CFDI descargados, documentos del SAT y del IMSS, expedientes, cálculos, contabilidad, hojas de trabajo, notas, RFC administrados y archivos de clientes) está bajo su control: puede consultarla, modificarla o eliminarla desde la aplicación o desde su equipo, sin presentar una solicitud (LEG-005). El proveedor no puede borrarla de forma remota. Las copias selladas del estado local de la prueba gratuita, que contienen el RFC evaluado y en parte se guardan fuera de la carpeta de datos de la aplicación, pueden eliminarse con el control de datos locales de la aplicación o borrando esos archivos (LEG-005); eliminarlas no borra el registro que conserva el proveedor ni restablece la posibilidad de una nueva prueba (LEG-006).

Ejercer sus derechos es gratuito y no depende de que usted tenga una suscripción, una licencia vigente ni una prueba activa. Solo podrían cobrarse los costos de reproducción, copias o envío cuando la ley lo permita; la exportación electrónica de sus datos no tiene costo. Cancelar la suscripción no equivale a ejercer derechos ARCO ni borra datos.

2.Qué puede solicitar

• Acceso: conocer los datos personales suyos que trata el proveedor y las condiciones y generalidades de su tratamiento, que se describen en el aviso de privacidad. Para pedir acceso no necesita describir cada dato.
• Rectificación: corregir datos inexactos, incompletos o no actualizados. Debe indicarnos qué debe modificarse y aportar la documentación que lo sustente.
• Cancelación: pedir que sus datos se eliminen de los archivos, registros y sistemas del proveedor. La cancelación da lugar a un periodo de bloqueo y, después, a la supresión (sección 8). Hay datos que la ley nos permite o nos obliga a conservar.
• Oposición: oponerse al tratamiento cuando exista causa legítima y su situación específica así lo requiera, o cuando sus datos se traten de forma automatizada con efectos jurídicos no deseados o que le afecten de manera significativa. No procede cuando el tratamiento es necesario para cumplir una obligación legal del proveedor.
• Revocación del consentimiento: retirar el consentimiento que haya dado para una finalidad que lo requiera, sin efectos retroactivos.
• Limitar el uso o la divulgación: con las opciones y medios que indica el aviso de privacidad (LEG-003 y LEG-004).

Ejercer uno de estos derechos no es requisito previo para ejercer otro, ni lo impide.

Personas autorizadas o invitadas por un titular. Si un titular le dio acceso a su licencia, puede ejercer sus derechos sobre sus datos de acceso (correo, nombre, perfil, facultades, RFC asignados, sesiones y los registros de la bitácora que le conciernen) escribiendo a privacidad@tributaos.com. La sesión de la aplicación no basta para identificarle, porque el formulario del Centro Legal solo admite solicitudes del titular de la licencia.

3.Cómo presentar la solicitud

Puede presentarla por cualquiera de estos medios:

1. si es titular de la licencia, el formulario del Centro Legal dentro de TributaOS Desktop, donde indica el derecho que ejerce y describe su solicitud (si la aplicación no tiene conexión o licencia vinculada, use el correo); o
2. un correo a privacidad@tributaos.com, disponible para cualquier persona, incluidas las personas autorizadas o invitadas.

También puede acudir al domicilio del responsable señalado en el Aviso de privacidad integral (LEG-003), donde se le orientará para presentar su solicitud por los medios anteriores (LEG-003, sección 7.2).

Qué debe incluir (los requisitos de la ley):

• su nombre y un medio para recibir notificaciones (por ejemplo, el correo electrónico asociado a su cuenta o uno de contacto);
• los documentos que acrediten su identidad o, si actúa por medio de representante, su personalidad e identidad (sección 4);
• la descripción clara y precisa de los datos personales respecto de los que ejerce el derecho (no es necesaria cuando solicita acceso);
• el derecho que desea ejercer o lo que solicita;
• cualquier elemento o documento que facilite la localización de sus datos;
• para rectificación, además, las modificaciones que solicita y la documentación que las respalde.

Nunca le pediremos ni debe enviarnos contraseñas, su e.firma, llaves privadas, su CSD ni datos de tarjetas o cuentas bancarias para atender una solicitud. Si el formulario detecta alguno de esos datos, lo rechaza sin guardarlo.

4.Verificación de identidad y representación

Para proteger sus datos y evitar que otra persona los obtenga, verificaremos su identidad antes de entregar información o de modificar o suprimir datos. Si el titular de la licencia presenta la solicitud con la sesión iniciada en su cuenta, la sesión basta como verificación de su identidad: TributaOS ya identifica a sus clientes por ese medio, y el artículo 91 del Reglamento de la Ley (texto de 2011) prevé que, cuando el responsable ofrece servicios de atención a su público, la identidad se considere acreditada por los medios con que lo identifica en la prestación de sus servicios. Los artículos 89 a 91 del Reglamento se aplican en lo compatible con la LFPDPPP vigente. Si la presenta sin sesión, o es una persona autorizada, le pediremos únicamente lo razonable y proporcional a la naturaleza de la solicitud; por ejemplo, la confirmación desde el correo registrado o copia de una identificación oficial vigente. Si actúa mediante representante, deberá acreditar su personalidad y su identidad con el documento que corresponda.

Usaremos esos documentos solamente para verificar la identidad o la representación y los conservaremos solo mientras dura esa verificación; después se suprimen o disocian, y queda el folio con el método, la fecha y el resultado de la verificación. Si una impugnación concreta exige conservar la copia, se bloquea por el mínimo necesario y se suprime al cesar esa causa.

La solicitud se tiene por recibida desde el momento en que la presenta y el plazo empieza a correr desde esa fecha. Si se formula una prevención conforme a la sección 5, el plazo se interrumpe durante el término concedido para atenderla y vuelve a correr al día siguiente de que usted la desahogue. Si no la atiende en diez días, la solicitud se tiene por no presentada. Si no se acreditan debidamente su identidad o su representación por otros motivos, la solicitud podrá negarse por esa causa (sección 7).

5.Etapas y plazos

Los plazos son los de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y se cuentan en días hábiles (Ley, art. 2, fr. VIII). La Ley no enumera cuáles son inhábiles; el artículo 28 de la Ley Federal de Procedimiento Administrativo, que rige los procedimientos ante la Secretaría, no cuenta los sábados, los domingos ni ciertos días festivos que enumera. Para no restarle tiempo, TributaOS adopta la lectura que más favorece a la persona titular: cuenta como hábiles todos los días de lunes a viernes (zona horaria de la Ciudad de México), sin descontar días festivos, de modo que el plazo que usted ve nunca es más largo que el legal; el día en que se recibe la solicitud no cuenta y el plazo vence al final de su último día. Si el proveedor adoptara un calendario de días inhábiles, lo informaría en una nueva versión de este documento. El sistema calcula y guarda las fechas límite de cada solicitud con fecha del servidor; usted las ve en el seguimiento, no tiene que calcularlas.

Ampliación. Los plazos de respuesta y de ejecución pueden ampliarse una sola vez por un periodo igual (20 + 20 y 15 + 15 días hábiles), solo si lo justifican las circunstancias del caso. La decisión se toma antes de que venza el plazo, con motivos, y usted la verá en el seguimiento junto con la nueva fecha límite.

Prevención. Si hace falta información adicional o acreditación, el responsable puede requerirla una sola vez dentro de los cinco días siguientes a la recepción. Usted cuenta con diez días para atender el requerimiento. Durante ese plazo se interrumpe el plazo de respuesta; si usted atiende la prevención, el plazo vuelve a correr al día siguiente. Si no la atiende dentro de los diez días, la solicitud se tiene por no presentada. Estas reglas se aplican conforme a los artículos 95 y 96 del Reglamento, en lo compatible con la LFPDPPP vigente.

6.Seguimiento por folio

Con su folio puede consultar el estado de su solicitud en el Centro Legal de TributaOS Desktop, si es titular de la licencia (ve el detalle completo de las solicitudes de su cuenta), o pedirnos el estado por correo; antes de comunicarle la resolución por correo verificaremos que usted es quien presentó la solicitud. El seguimiento muestra: en qué etapa está, la fecha de recepción, la fecha límite vigente, si se le pidió información adicional, si el plazo se amplió y la determinación. Le informaremos por el mismo medio por el que presentó su solicitud.

7.Cuándo puede negarse una solicitud

Podremos negar total o parcialmente el ejercicio de sus derechos solo en estos casos:

• I. usted o su representante no están debidamente acreditados;
• II. los datos personales no están en posesión del proveedor (por ejemplo, los que solo están en su equipo);
• III. se lesionan derechos de un tercero;
• IV. existe un impedimento legal o la resolución de una autoridad competente lo restringe; o
• V. la rectificación, cancelación u oposición ya fue realizada previamente.

Además, la cancelación no procede cuando los datos deben conservarse en los supuestos del artículo 25 de la ley (por ejemplo, para el desarrollo y cumplimiento de un contrato, por disposición legal o por obligaciones fiscales), y la oposición no procede cuando el tratamiento es necesario para cumplir una obligación legal. Los derechos tienen como límite la seguridad nacional, el orden, la seguridad y la salud públicos y los derechos de terceros.

La negativa siempre se le comunica con el motivo, por el mismo medio por el que presentó la solicitud y, cuando proceda, con las pruebas pertinentes. Si solo una parte de su solicitud encuadra en una causa, atenderemos el resto.

8.Cómo se hacen efectivos los derechos

8.1Acceso. Pondremos a su disposición sus datos de forma clara, mediante una exportación electrónica (archivo con huella de verificación) que el titular puede obtener autenticado en su cuenta, o por cualquier otro medio que le indiquemos. La entrega procede una vez acreditada su identidad. Puede pedir, además, la exportación de la evidencia de su cuenta (por ejemplo, aceptaciones de documentos, autorizaciones de cobro y cancelaciones). Los registros de la prueba gratuita, que se guardan con seudónimos del RFC y de la instalación, puede pedirlos por los medios de este procedimiento. Las personas autorizadas reciben sus datos de acceso y los registros de la bitácora que les conciernen.

8.2Rectificación. Los datos se corregirán en los sistemas del proveedor. Los registros de evidencia y de la bitácora no se editan: cuando un dato de evidencia deba corregirse, se agrega un registro de corrección vinculado al original, que se conserva. Los datos de una persona autorizada que proporciona el titular (por ejemplo, su perfil o los RFC asignados) los modifica el titular.

8.3Cancelación: bloqueo y supresión. Cuando la cancelación procede, sus datos pasan a un periodo de bloqueo: se conservan únicamente para atender las responsabilidades derivadas del tratamiento y no se usan para ninguna otra finalidad. Tras la baja de la cuenta, el bloqueo dura cinco años contados desde que concluye la baja, salvo que una excepción documentada exija conservarlos más tiempo; concluido ese periodo, se suprimen. Los datos que debamos conservar por las excepciones del artículo 25 de la ley quedan bloqueados y se le explica cuáles son, por qué y por cuánto tiempo. La bitácora de acceso y operaciones se conserva mientras exista la licencia y, tras la baja de la cuenta, durante ese bloqueo; una solicitud de cancelación sobre ella da lugar a su bloqueo, no a su borrado anticipado, porque es la prueba de los actos realizados con la licencia. Una vez cancelados, se le avisa, y si sus datos fueron transmitidos a terceros que siguen tratándolos, se les comunica la cancelación o rectificación para que también la efectúen. La baja de su cuenta puede requerir que antes cancele sus suscripciones vigentes. Los periodos por categoría están en la política de conservación (LEG-011). Los datos relativos al incumplimiento de obligaciones contractuales (por ejemplo, un impago) se suprimen a los setenta y dos meses de la fecha del incumplimiento (Ley, art. 10, tercer párrafo) y, si usted cancela sus datos antes, quedan bloqueados hasta entonces. Este documento no afirma que estas supresiones se ejecuten de forma automática: el proveedor las realiza al cumplirse cada plazo.

8.4Oposición y revocación. Si procede, dejaremos de tratar sus datos para la finalidad a la que se oponga o cuyo consentimiento revoque. La revocación no tiene efectos retroactivos. Algunas finalidades son necesarias para el servicio contratado o para cumplir obligaciones legales; en esos casos le explicaremos las consecuencias y, en su caso, la imposibilidad de seguir prestándole el servicio.

8.5Datos de terceros. Los datos que usted introduce sobre otras personas (por ejemplo, sus clientes) los trata usted bajo su responsabilidad. Si una persona lo solicita, la orientaremos sobre cómo ejercer sus derechos frente a usted, sin perjuicio de los que le correspondan frente al proveedor respecto de los datos que éste trata. Si usted nos pide acceso a datos que no tenemos, bastará con informárselo.

8.6Datos en servicios de terceros. Cuando sus datos se encuentren en servicios de terceros que intervienen en la prestación del servicio (LEG-003, sección 6), realizaremos las gestiones a nuestro alcance para atender su solicitud ante ellos, conforme a la naturaleza de cada uno, sin perjuicio de que ciertos datos sean tratados por esos terceros bajo sus propios términos.

9.Control, registro y auditoría

• Las solicitudes se atienden con acceso restringido al personal estrictamente necesario.
• Cada etapa (recepción, prevención, desahogo, admisión, ampliación, respuesta, ejecución o negativa) se registra como evidencia con la fecha del servidor y, cuando hay cuenta, en el libro de evidencias de la misma; el acceso a esa información queda sujeto a registro de auditoría.
• El área de privacidad revisa diariamente las solicitudes abiertas y sus plazos.
• Podemos conservar el registro mínimo de la solicitud, su folio, las fechas de cada etapa y la respuesta durante el tiempo necesario para acreditar su cumplimiento, conforme a LEG-011.

10.Si no está conforme

Si no recibe respuesta dentro del plazo, si no le entregamos sus datos o los entregamos en un formato incomprensible, si nos negamos a corregirlos o si la información es incompleta, o si no está conforme con la respuesta, puede presentar una solicitud de protección de derechos ante la Secretaría Anticorrupción y Buen Gobierno, que es la autoridad que la ley designa para conocer y resolver estos procedimientos y que asumió las funciones del anterior Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales. Dentro de la Secretaría, el artículo 30-F del Reglamento Interior de la Secretaría Anticorrupción y Buen Gobierno (DOF 21-03-2025) atribuye la sustanciación y resolución de ese procedimiento a la Dirección General de Datos Personales en el Sector Privado. La Ley prevé que la solicitud se presente por escrito libre o por los formatos o el sistema electrónico que la Secretaría proporcione (Ley, art. 41). Debe presentarla dentro de los 15 días hábiles siguientes a la fecha en que se le comunicó la respuesta; si no hubo respuesta, puede presentarla a partir de que venció el plazo de respuesta, acompañando el documento que pruebe la fecha de su solicitud (por ejemplo, el acuse con su folio). La autoridad tiene un plazo máximo de 50 días hábiles para resolver, ampliable una vez. Contra sus resoluciones puede promoverse juicio de amparo. Esto no afecta otros derechos que la ley le reconozca, por ejemplo para reclamar la reparación de un daño.

También puede escribir de nuevo a privacidad@tributaos.com para que revisemos su caso; hacerlo no suspende ni extiende el plazo para acudir a la autoridad.

11.Cambios a este procedimiento

Si este procedimiento cambia, se publicará una nueva versión en el Centro Legal de la aplicación y en tributaos.com/desktop/legal. Las solicitudes que ya estén en trámite se atenderán conforme al procedimiento vigente al momento en que usted las presentó, salvo que el cambio le resulte más favorable.