Información de terceros y servicios conectados

Identificador LEG-014 · versión 1.0.1 · TributaOS Desktop

Fecha de vigencia: la de su publicación, indicada en el Centro Legal de la aplicación y en tributaos.com/desktop/legal.

1.Para qué sirve este documento

TributaOS Desktop funciona en su equipo, pero algunas de sus funciones se apoyan en servicios operados por terceros. Este documento le dice cuáles son, qué información se comunica a cada uno y para qué, y cómo se determina su calidad frente a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (la "Ley"). Complementa el aviso de privacidad (LEG-003 y LEG-004) y los demás documentos legales.

Proveedor

TributaOS Desktop. El proveedor y responsable es la persona física identificada en los Términos y condiciones (LEG-001) y en el Aviso de privacidad integral (LEG-003), con el domicilio y los medios de contacto que ahí se indican.

• Correo jurídico: legal@tributaos.com.
• Correo de privacidad: privacidad@tributaos.com.

2.Cómo leer la calificación de cada tercero

• La Ley llama persona encargada a quien trata datos por cuenta del responsable (art. 2, fr. XII) y transferencia a toda comunicación de datos a una persona distinta de la persona titular, del responsable o de la persona encargada (art. 2, fr. XX). Una remisión a un encargado no es una transferencia.
• Que un dato pase técnicamente por un servicio no lo convierte, por sí solo, en transferencia ni en encargo: depende de quién decide los fines y medios del tratamiento, de la finalidad, de las instrucciones y de lo que consta en el documento contractual de cada proveedor.
• Los artículos 49 a 55 del Reglamento de la Ley se utilizan en lo que sean compatibles con la Ley vigente y mientras no exista un reglamento posterior que los sustituya. En particular, regulan el instrumento que acredita la relación con la persona encargada y, en el artículo 52, condiciones para servicios de cómputo en la nube.
• La calidad de cada proveedor (encargado, responsable independiente u otra) y los lugares en que trata datos son los que establecen sus propios términos, aviso de privacidad y acuerdo de tratamiento de datos. Este documento no les atribuye una calidad ni una ubicación distintas de las que esos documentos establecen.
• Los expedientes de sus clientes que usted guarda en su equipo no se comunican a TributaOS ni a los terceros de esta lista por el solo hecho de guardarlos. Solo se describe un tercero cuando un flujo concreto le transmite datos.

3.Resumen

4.Conexiones de TributaOS Desktop

TributaOS Desktop solo se conecta a los servicios del SAT (*.sat.gob.mx y los datos abiertos que el SAT publica en wu1agsprosta001.blob.core.windows.net), del IMSS (*.imss.gob.mx), del Diario Oficial de la Federación (dof.gob.mx), de Banco de México (banxico.org.mx), del INEGI (inegi.org.mx) y de TributaOS (www.tributaos.com); al DOF, a Banco de México, al INEGI y a los datos abiertos del SAT solo consulta publicaciones oficiales, sin enviarles datos del usuario. Los datos de usted o de sus clientes solo se envían al SAT, al IMSS y a los servidores de TributaOS. TributaOS Desktop no incluye herramientas de analítica, telemetría ni reporte de errores de terceros; esto lo comprueba una prueba automatizada sobre el código fuente, que no examina el tráfico de red del programa instalado. La aplicación no se comunica directamente con Stripe, Resend, Facturapi, Vercel ni Supabase: lo que esos terceros reciben les llega desde los servidores de TributaOS o desde páginas que usted abre en su navegador. Cuando la aplicación abre en el navegador de su sistema una página externa (por ejemplo, la página de pago de Stripe, la firma de la Carta Manifiesto en el sitio de Facturapi o los documentos legales en el sitio web), esa navegación ocurre fuera de la aplicación y se rige por las condiciones y el aviso de privacidad del sitio que usted visita; la aplicación solo abre destinos fijos que ella misma determina.

5.SAT e IMSS

El Servicio de Administración Tributaria y el Instituto Mexicano del Seguro Social son las autoridades a las que se dirigen las gestiones que usted ordena. TributaOS Desktop se comunica con ellos desde su equipo; el proveedor del software no actúa como intermediario de las consultas al SAT. Esto aplica también cuando la solicitud la inicia una persona autorizada con el perfil Contador o Auxiliar y el RFC asignado: la aplicación firma la solicitud con la e.firma guardada en el equipo, sin que esa persona conozca la contraseña, y el acto se atribuye ante el SAT al titular del certificado (LEG-009). Abrir el portal del SAT o el Buzón del IMSS ya autenticados es una facultad exclusiva del titular. En el caso del Buzón del IMSS, la aplicación entrega al portal del IMSS (no a TributaOS) el certificado y una copia de la llave protegida con una contraseña de un solo uso (LEG-009). Lo que usted obtiene o envía a través de esos servicios queda sujeto a las normas y avisos de privacidad de cada autoridad.

6.Servidores de TributaOS

La aplicación se comunica con los servidores de TributaOS (www.tributaos.com) por rutas definidas para: iniciar sesión y activar y revalidar su licencia y sus sesiones, administrar los equipos y las personas autorizadas, registrar su bitácora, consultar la autoridad de evaluación de la evaluación gratuita (un identificador de instalación y un HMAC del RFC; no el RFC en claro ni la e.firma), administrar su suscripción, registrar y consultar la evidencia de documentos legales y cancelaciones, atender solicitudes ARCO y, si usa la facturación, previsualizar, emitir y cancelar comprobantes y llevar el saldo de timbres.

Los datos de su e.firma (archivos, llave privada y contraseña) no se envían a estos servidores. Los CFDI descargados del SAT, los cálculos, la contabilidad, las hojas de trabajo y los reportes se procesan y guardan en su equipo, no en los servidores de TributaOS. Cuando usa la facturación, su CSD y su contraseña pasan por estos servidores en memoria únicamente para darlos de alta ante el proveedor tecnológico; TributaOS conserva su número de serie y vigencia, las llaves técnicas con que opera su organización emisora (cifradas), la evidencia de su autorización, la organización emisora, los receptores, los comprobantes emitidos y el saldo de timbres (LEG-010).

6bis. Lo que no sale de su equipo. No se comunican a TributaOS ni a ninguno de los terceros de este documento: los archivos de su e.firma ni su contraseña (se guardan en la bóveda local cifrada con el almacén seguro del sistema operativo; LEG-005 y LEG-009); los CFDI que la aplicación descarga del SAT; su base de datos local y su carpeta documental; los cálculos, estimaciones, pólizas, hojas de trabajo y reportes que la aplicación genera; ni los expedientes de sus clientes. En el caso de la evaluación gratuita, el reto de acreditación del RFC se firma en su equipo y solo viajan la firma del reto y el certificado público, nunca la llave privada ni la contraseña. Las conexiones de la aplicación con los servidores de TributaOS se dirigen a un origen fijo (https://www.tributaos.com) por conexión cifrada.

7.Stripe (pagos)

Servicio. Stripe procesa los cobros de la suscripción y de la compra de timbres. Cuando usted contrata o compra, se le dirige a una página de pago de Stripe, donde captura los datos de su tarjeta; TributaOS Desktop no captura esos datos y TributaOS no guarda los datos completos de su tarjeta.

Datos que recibe de TributaOS. El plan y ciclo, el importe, su correo, un identificador interno de la autorización de cobro y la huella de la oferta que se le mostró; en los cobros con cuenta, además, el identificador interno de su cuenta y, en algunos flujos (por ejemplo, la compra de timbres), su nombre. No se envían su RFC, su e.firma ni datos de su actividad en el Software. Datos que TributaOS recibe de Stripe: confirmación del pago, identificadores de cliente y suscripción, estado y periodo; no el número completo de la tarjeta.

Calidad y ubicación. Stripe trata los datos conforme a su propio aviso de privacidad y su acuerdo de tratamiento de datos, que prevén tanto tratamientos por cuenta de sus clientes como tratamientos propios en los que Stripe decide los fines y medios. Por eso TributaOS no califica a Stripe únicamente como encargado. Los lugares en que Stripe y sus proveedores tratan datos, que pueden estar fuera de México, son los que indican esos documentos.

8.Resend (correo electrónico)

Servicio. El proveedor usa Resend para enviar los correos del servicio: al titular (clave de licencia, avisos de renovación, acuses de cancelación, restablecimiento o cambio de correo y respuestas de soporte) y a las personas autorizadas que el titular registra (invitación para crear su acceso y recuperación de contraseña).

Datos. La dirección de correo del destinatario y el contenido del mensaje (por ejemplo, el correo con la clave de licencia incluye la clave y el nombre del plan; el acuse de cancelación incluye el folio y su nombre). Que el servicio de correo acepte un mensaje no significa que haya llegado a la bandeja de entrada; la entrega también depende del servicio de correo del destinatario.

Calidad y ubicación. Resend trata los datos conforme a sus propios términos y acuerdo de tratamiento de datos, que distinguen entre los datos que trata por cuenta de sus clientes y los datos de cuenta y uso que trata por sí mismo. El plazo de conservación de los mensajes y los lugares de tratamiento, que pueden estar fuera de México, son los que esos documentos y el plan contratado establecen.

9.Facturapi (proveedor tecnológico de facturación)

Servicio. La facturación electrónica no está disponible hasta que el proveedor la habilite (LEG-010). Cuando esté habilitada y usted la use, los servidores de TributaOS se integran con Facturapi para crear la organización emisora, darle de alta su CSD y enviar las solicitudes de emisión y cancelación, que timbra el proveedor de certificación autorizado que intervenga en cada caso. Mientras la función no esté habilitada, no se envían datos suyos a Facturapi. El proveedor del software no atribuye a Facturapi calidades que no pueda acreditar.

Datos. Datos fiscales de su organización (RFC, razón social, régimen, código postal), de sus clientes y receptores, de productos y conceptos, e importes e impuestos de los comprobantes; su CSD y la contraseña del CSD en el alta. TributaOS no entrega su e.firma a Facturapi. En la firma de la Carta Manifiesto, que se realiza en el sitio de Facturapi desde su navegador, rigen los términos de ese sitio y TributaOS no recibe la e.firma que usted use en él.

Calidad y ubicación. Facturapi trata los datos conforme a sus propios términos y aviso de privacidad, que regulan también la conservación del CSD y los lugares de tratamiento, que pueden estar fuera de México. TributaOS no afirma que Facturapi sea su encargado ni que sea proveedor de certificación autorizado sin un documento que lo acredite (LEG-010).

10.Vercel y Supabase (alojamiento y base de datos)

Servicio. Los servidores de TributaOS operan sobre Vercel (donde se despliegan el sitio web, las interfaces que usa la aplicación y sus tareas programadas) y Supabase (base de datos PostgreSQL). Estos proveedores almacenan y procesan la información que TributaOS conserva en sus sistemas: cuenta y autenticación, licencias, equipos, sesiones, bitácora de personas autorizadas, consentimientos, solicitudes ARCO, datos de pagos (sin datos completos de tarjeta), datos de la evaluación (HMAC del RFC y huella de la instalación) y, solo si usa la facturación, la organización emisora, los receptores, los comprobantes emitidos, el saldo de timbres, el número de serie y la vigencia del CSD y las llaves técnicas cifradas. También procesan los registros técnicos de la operación, incluida la dirección IP de las conexiones. El código de TributaOS aplica medidas para no incluir contraseñas, e.firma ni material de CSD en sus registros; esa afirmación no se extiende a los registros propios de infraestructura de esos proveedores.

Calidad y ubicación. Vercel y Supabase tratan los datos conforme a sus propios términos y acuerdos de tratamiento de datos, que los describen como proveedores que tratan los datos de sus clientes por cuenta de éstos, con las excepciones que esos documentos prevén. Los lugares de tratamiento son los que esos documentos y la configuración de los servicios establecen; el tratamiento puede ocurrir fuera de México.

11.Servicios del sitio web

Los siguientes servicios forman parte del sitio web o de los servidores de TributaOS, no se ejecutan en TributaOS Desktop y se rigen, además de por lo que aquí se indica, por el aviso de privacidad del sitio web y por los términos de cada proveedor. Solo operan cuando están configurados en el servidor.

• Limitación de solicitudes (Upstash Redis). Para proteger los servidores contra el abuso, se llevan contadores temporales por ventana de tiempo. Las claves de esos contadores se forman con valores derivados de forma irreversible (HMAC con un secreto del servidor) de la dirección IP, del identificador del equipo o de la instalación, del correo o del RFC, según la ruta, y expiran con la ventana de limitación.
• Monitoreo de errores del servidor (Sentry). Cuando está habilitado, recibe información técnica de errores del sitio y del servidor (mensaje, traza y dirección de la petición). No se configura el envío de la dirección IP, de cookies ni del usuario.
• Medición publicitaria (Meta Platforms). Se usa para la medición de conversiones del sitio web respecto de quien no es titular ni persona autorizada de TributaOS Desktop. El sistema omite ese envío cuando la persona tiene o tuvo una licencia de Desktop o es persona autorizada de una, y no comunica a Meta eventos de la licencia de Desktop (LEG-003).
• WhatsApp. Si usted elige solicitar los datos de pago por transferencia, el sitio le ofrece un enlace a WhatsApp con un mensaje prellenado con el plan elegido; la comunicación la inicia usted y se rige por los términos de ese servicio. Cuando usted solicita soporte desde el sitio web o da de baja su cuenta, el servidor puede enviar un aviso interno al número del equipo de TributaOS con datos mínimos, sin su nombre, correo ni RFC (número de ticket o de solicitud, categoría, plan, fechas y conteos).
• Verificación antiabuso en formularios (Google reCAPTCHA). El sitio web la usa en formularios de acceso; recibe datos técnicos de navegación (dirección IP, agente de usuario y señales del navegador).

La calidad y los lugares de tratamiento de cada uno de estos proveedores son los que establecen sus propios términos y acuerdos de tratamiento de datos.

12.Responsabilidades

• Cada tercero es responsable del servicio que presta y del tratamiento de datos que realiza bajo sus propios términos y avisos de privacidad, en la calidad que consta en sus documentos. Al usar una función que se apoya en un tercero, usted queda sujeto también a los términos de ese tercero cuando le sean aplicables. Esto no traslada a esos terceros ni a usted la responsabilidad del proveedor por los terceros que contrata para prestar el servicio (LEG-001).
• El proveedor del software responde de seleccionar a los terceros que intervienen en sus servicios, de limitar la información que les comunica a la necesaria para cada finalidad y de los datos personales que recibe y trata en su calidad de responsable (Ley, arts. 13 y 18).
• El proveedor no controla la disponibilidad, las políticas ni los cambios de servicios de terceros. Una falla de un tercero puede afectar una función. Cuando sea posible, el proveedor lo informará y le indicará cómo continuar.
• Usted puede ejercer sus derechos de acceso, rectificación, cancelación y oposición respecto de los datos que TributaOS comunica a estos terceros conforme al procedimiento de derechos ARCO (LEG-013): el titular, con el formulario del Centro Legal o escribiendo a privacidad@tributaos.com; las personas autorizadas o invitadas y cualquier otra persona, escribiendo a privacidad@tributaos.com. Respecto de los tratamientos que cada tercero realiza por sí mismo, puede dirigirse también a ese tercero conforme a su propio aviso de privacidad.
• Esta lista puede cambiar. Si se incorpora o cambia un tercero que reciba datos personales para finalidades distintas o relevantes, se actualizará este documento y, cuando corresponda, el aviso de privacidad.

13.Contacto

Para preguntas sobre este documento puede escribir a legal@tributaos.com, o a privacidad@tributaos.com si se trata de datos personales.