En cumplimiento de los artículos 15 y 16 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (la Ley) y su Reglamento, le informamos que el Responsable del tratamiento de sus datos personales es:
| Denominación social | Alger Servicios Integrales, S.A. de C.V. |
| Plataforma / Producto | AgenteCFDI |
| Representante legal | Lic. y C.P. Gerardo Rodolfo Tinajero Villarruel |
| Domicilio fiscal | Playa Hornos 508, Col. Militar Marte, C.P. 08830, Iztacalco, CDMX, México |
| Sitio web | www.agentecfdi.mx |
| Correo para solicitudes ARCO | privacidad@agentecfdi.mx |
| Persona designada para la protección de datos personales (art. 29 de la Ley) | Lic. y C.P. Gerardo Rodolfo Tinajero Villarruel |
Designación conforme al artículo 29 de la Ley. El Responsable ha designado a la persona señalada en el cuadro anterior para fomentar la protección de datos personales al interior de la organización y para dar trámite a las solicitudes de las personas titulares. Dichas solicitudes se reciben en privacidad@agentecfdi.mx, canal que se atiende de forma exclusivamente manual en los términos de la Sección VII.
Para efectos de este Aviso, "el Cliente" designa a toda persona física o moral —incluyendo personas físicas con actividad empresarial, empresas de cualquier giro y despachos contables o de auditoría— que contrate los servicios de AgenteCFDI. "Los Titulares" designa a las personas físicas cuyos datos personales aparecen en los CFDIs descargados o en los archivos que el Cliente aporte (empleados, proveedores, clientes o contrapartes del propio Cliente).
El Responsable recaba y trata las siguientes categorías de datos personales, según su titular y el momento en que ingresan al sistema:
| Dato / Categoría | Titular | Finalidad | Consentimiento |
|---|---|---|---|
| E.firma (.cer, .key, contraseña) | El Cliente (persona moral o física que contrata) | Autenticación ante el webservice del SAT para descarga de CFDIs | Expreso y por escrito (efectos patrimoniales, art. 7 LFPDPPP) |
| RFC, razón social o nombre, correo, domicilio fiscal | El Cliente | Identificación del Cliente y gestión operativa del servicio | Tácito — aceptación de este Aviso (art. 7) |
| Datos fiscales de facturación: razón social, régimen fiscal, código postal del domicilio fiscal y uso de CFDI | El Cliente | Emitir el comprobante fiscal (CFDI) que ampara el pago de la suscripción y, en su caso, las notas de crédito que procedan | Tácito — necesario para cumplir la obligación del artículo 29 del CFF |
| Datos de cobro: método de pago elegido, marca y últimos cuatro dígitos de la tarjeta, importe, fecha y estado de cada cargo | El Cliente | Procesar el cobro recurrente, acreditar los pagos y calcular las devoluciones y créditos de la Cláusula 6.3 del Contrato | Tácito — necesario para la ejecución del contrato. El Responsable no recibe ni almacena los datos completos de la tarjeta |
| CFDIs emitidos (XML): folio, fecha, importe, receptor | El Cliente como emisor | Descarga desde el SAT, depósito en el almacenamiento del Cliente y reprocesamiento durante la vigencia | Expreso — dato patrimonial (art. 7 LFPDPPP), otorgado en el alta |
| CFDIs recibidos (XML): incluyen datos del emisor | El Cliente como receptor; emisores = Titulares terceros | Descarga, depósito y reprocesamiento | Cubierto por la autorización del Cliente receptor, Responsable frente a los emisores |
| CFDIs de nómina: nombre, RFC, CURP (implícita en el RFC), percepciones y deducciones | Empleados del Cliente (Titulares terceros) | Descarga, depósito y reprocesamiento durante la vigencia | El Cliente declara contar con la base legal (Contrato de Encargo de Tratamiento) |
| Consultas del asistente de IA: el texto en lenguaje natural que el Cliente escribe en el asistente de reportes y los metadatos de los CFDIs consultados (folios, fechas, importes, RFC y nombre de contrapartes) | El Cliente; pueden incluir datos de Titulares terceros que aparezcan en sus CFDIs | Generar reportes y conciliaciones a solicitud del Cliente y registrar la conversación con fines de trazabilidad y soporte | Incluido en la finalidad principal del servicio (a iniciativa del Cliente) |
| Archivos aportados por el Cliente para conciliación: hojas de cálculo (.xlsx) con su contabilidad, auxiliares, listas de comprobantes o estados de cuenta bancarios (fecha, cargo/abono, concepto, referencia) | El Cliente; pueden incluir datos de Titulares terceros (contrapartes) | Cruzar la información del archivo contra los CFDIs del Cliente y devolver el resultado | Aportados voluntariamente por el Cliente, bajo su responsabilidad (Cláusula XI del Contrato) |
Correspondencia dirigida al Responsable: los correos electrónicos que se reciben en las direcciones de contacto publicadas (hola@, contacto@) —remitente, asunto, cuerpo, archivos adjuntos y fecha— y la respuesta que el Responsable emite | Quien escribe: el Cliente, su contador, o un tercero que no es Cliente (p. ej. un interesado en contratar). Puede incluir datos de Titulares terceros que el remitente mencione | Atender la solicitud recibida (soporte, aclaraciones de cobro o consultas sobre el servicio), dejar constancia de la atención y clasificar el mensaje para dirigirlo al área que corresponde | Aportados por el propio remitente al escribir, para la finalidad evidente de ser atendido (art. 7 de la Ley). Su tratamiento automatizado se describe en la Sección III y los encargados que intervienen, en la Sección VI |
Correspondencia dirigida a privacidad@ (canal de derechos ARCO): remitente, asunto, cuerpo, documento de identificación que el titular adjunte y fecha | El titular que ejerce sus derechos, o su representante legal | Tramitar y responder la solicitud de Acceso, Rectificación, Cancelación u Oposición conforme a la Sección VII, y conservar la constancia del trámite | Aportados por el titular para ejercer sus derechos (arts. 27 y 28 de la Ley). Este canal se atiende de forma exclusivamente manual: no se somete a clasificación automatizada ni se remite al proveedor de procesamiento de lenguaje natural |
| Pagos a proveedores residentes en el extranjero capturados por el Cliente o su contador (nombre del proveedor, país, concepto, monto, tipo de cambio) | El Cliente; incluye datos de un proveedor extranjero (Titular tercero) | Incorporarlos al cálculo estimado del IVA por importación de servicios | Aportados por el Cliente bajo su responsabilidad (Cláusula XI del Contrato) |
| Ajustes y cierres capturados por el contador: correcciones a las cifras estimadas de IVA e ISR —incluidos ingresos que no consten en un CFDI—, el motivo de cada ajuste, y el periodo declarado con el folio del acuse del SAT | El Cliente | Corregir y cerrar las estimaciones fiscales del periodo y documentar el papel de trabajo mensual | Aportados por el Cliente o su contador bajo su responsabilidad (Cláusula XI del Contrato) |
IMPORTANTE: el Responsable actúa como encargado técnico respecto de los datos contenidos en los CFDIs de terceros y en los archivos que el Cliente aporta. El Cliente, en su calidad de Responsable ante sus propios empleados, proveedores, clientes y contrapartes, declara contar con la base legal necesaria para autorizar el tratamiento descrito. Los CFDIs se depositan en el almacenamiento designado por el Cliente. Para poder reprocesarlos durante la relación —detección de cancelaciones, cálculo estimado del IVA, de las retenciones y del ISR del régimen RESICO, y regeneración de reportes y representaciones impresas— el Responsable conserva además una copia de los XML y de sus metadatos en su base de datos (alojada en Railway Inc., EE.UU., con cifrado en tránsito y en reposo a nivel de almacenamiento) mientras dure la vigencia del servicio. Dicha copia se elimina de forma verificable al darse de baja el RFC o al concluir el periodo de prueba sin contratación, emitiéndose una Constancia de Supresión (Cláusulas 3.6 y 9.1 del Contrato). El Responsable no genera ni conserva archivos PDF de forma permanente.
Monitoreo 69-B: el sistema coteja los RFC de las contrapartes que aparecen en los CFDIs del Cliente contra el listado público del artículo 69-B que publica el SAT (dato público, no personal del Cliente, descargado de forma periódica) y conserva las alertas generadas con fines de trazabilidad, eliminándolas al darse de baja el RFC o al concluir la prueba sin contratación. Este cotejo se realiza dentro de los sistemas del Responsable; no implica transferir datos del Cliente a ningún tercero nuevo (solo se descarga un archivo público del SAT).
Periodo de prueba (minimización de datos): durante la prueba gratuita —que no requiere registrar medio de pago— la descarga de CFDIs se limita a los periodos indicados para la prueba (p. ej. el mes en curso y el inmediato anterior) y el uso del asistente de IA está acotado, de modo que se trata el mínimo de datos indispensable (art. 12 de la Ley). Si el Cliente no contrata un plan de pago al término de la prueba, su e.firma y los datos asociados se suprimen de forma verificable dentro de los cinco (5) días hábiles siguientes.
Conservación por obligación legal (bloqueo). Al ejercerse la Cancelación o darse de baja el RFC, el Responsable conserva bloqueados —esto es, sin tratarlos para ninguna finalidad distinta a su resguardo y a su puesta a disposición de la autoridad competente— los registros de cobro y los comprobantes fiscales emitidos al Cliente, por el plazo que exige la legislación fiscal, así como la evidencia del consentimiento otorgado, como acreditación de la licitud del tratamiento mientras duró (artículo 2, fracción III, y artículo 25, fracciones I a III, de la Ley). Se conserva igualmente bloqueado, por un plazo máximo de cinco (5) años contados a partir de la baja, el correo entrante que el Titular haya dirigido a nuestros buzones de atención, con la única finalidad de determinar posibles responsabilidades derivadas de la relación contractual (artículo 2, fracción III, de la Ley); transcurrido ese plazo se suprime automáticamente. El correo dirigido a nuestro canal de derechos ARCO queda excluido de este tratamiento, conforme a la Sección VII. Estos registros no incluyen la e.firma ni los XML de los CFDIs, que se suprimen de forma verificable conforme a la Sección VII.
Sobre los archivos aportados para conciliación: se almacenan de forma efímera y aislada por sesión (no se mezclan con la carpeta de aplicación de la nube del Cliente), con una caducidad técnica breve tras la cual se eliminan automáticamente. No se reutilizan para ninguna finalidad distinta a la conciliación solicitada.
El tratamiento de los datos descritos tiene como finalidad primaria y única:
/Apps/agentecfdi/ en Dropbox, la carpeta de aplicación con scope drive.file en Google Drive, y el AppFolder equivalente en OneDrive. El Responsable no tiene acceso técnico a ningún otro archivo o carpeta de la cuenta del Cliente fuera de dicha carpeta de aplicación.Como parte del servicio, el Responsable envía al correo registrado comunicaciones de servicio —de bienvenida, de estado de la cuenta y de las alertas fiscales descritas (vencimiento o rechazo de e.firma, cancelaciones, posición de IVA, ISR estimado y límite de ingresos del RESICO, monitoreo 69-B, recordatorios de complementos de pago, cierre de carga inicial, cobro y renovación)—. Estas comunicaciones forman parte de la ejecución del servicio y no constituyen una finalidad secundaria ni publicidad; la baja de comunicaciones estrictamente comerciales se rige por la Sección VIII.
Atender la correspondencia que se recibe. El Responsable recibe en sus direcciones de contacto publicadas los correos que le dirigen el Cliente, su contador o terceros, y los trata para atenderlos: leerlos, clasificarlos según el asunto (soporte, fiscal, cobro o comercial), dirigirlos al área que corresponde, preparar la respuesta y dejar constancia de la atención. Esta clasificación y la preparación de la propuesta de respuesta pueden realizarse con apoyo de medios automatizados, incluido el proveedor de procesamiento de lenguaje natural identificado en la Sección VI, que para ese fin recibe el contenido del mensaje. La respuesta final la revisa y la emite una persona; no se adoptan decisiones sobre el Cliente basadas únicamente en ese tratamiento automatizado. Atender lo que se le escribe es inherente a la ejecución del servicio, por lo que no constituye una finalidad secundaria. Quien no desee que su mensaje se someta a esa clasificación automatizada puede indicarlo en el propio correo, y se atenderá de forma exclusivamente manual sin demérito de la respuesta.
El canal de derechos ARCO queda excluido de todo tratamiento automatizado. Los correos dirigidos a privacidad@agentecfdi.mx —la dirección que la Sección VII señala para ejercer los derechos de Acceso, Rectificación, Cancelación y Oposición— no se clasifican por medios automatizados, no se remiten al proveedor de procesamiento de lenguaje natural y no se enrutan a través del proveedor de correo entrante: se reciben y se atienden de forma exclusivamente manual en el buzón del Responsable. Esta exclusión es deliberada: el ejercicio de derechos tiene un plazo legal propio (20 días hábiles, art. 31 de la Ley) y puede venir acompañado del documento de identificación del titular, de modo que no se somete a ningún intermediario adicional al que el propio correo electrónico requiere para su entrega.
AgenteCFDI no contempla finalidad secundaria alguna. De incorporarse finalidades adicionales —como análisis estadístico o comunicaciones comerciales— se solicitará consentimiento expreso e independiente del Cliente, conforme a los artículos 11 y 15, fracción III, de la Ley.
La e.firma del Cliente se utilizará exclusivamente para las operaciones de descarga ante el SAT descritas en la finalidad primaria. Queda expresamente prohibido cualquier uso distinto, incluyendo la presentación de declaraciones, la firma de documentos u otras gestiones ante autoridad pública. La e.firma nunca se envía al proveedor de inteligencia artificial.
La e.firma del Cliente no pertenece a las categorías de datos sensibles del artículo 2, fracción VI, de la Ley. Sin embargo, dado que su uso genera efectos jurídicos y patrimoniales plenos equivalentes a la firma autógrafa del contribuyente ante el SAT, el Responsable la trata con medidas de seguridad equivalentes a las aplicables a datos sensibles:
El consentimiento podrá revocarse en cualquier momento sin efectos retroactivos. La revocación del consentimiento sobre la e.firma implica la imposibilidad de continuar prestando el servicio y equivale a una solicitud de cancelación de cuenta.
El Responsable transmite datos personales exclusivamente a los encargados y destinatarios siguientes:
| Encargado / Destinatario | País | Datos transferidos | Base legal (art. 36 LFPDPPP / remisión art. 2 fr. XX) |
|---|---|---|---|
| Railway Inc. (infraestructura de cómputo en la nube) | Estados Unidos | E.firma cifrada (AES-256) y copia cifrada de los XML de CFDIs. Railway no accede al texto plano. | Art. 36 fr. IV: necesaria para la ejecución del contrato. Cláusula de encargo suscrita o por suscribir. |
| Anthropic PBC (procesamiento de lenguaje natural — "Claude", API de Mensajes) | Estados Unidos | En dos supuestos, y en ninguno otro: (a) cuando el Cliente usa el asistente de reportes — el texto de su consulta y metadatos/muestras de sus CFDIs (folios, fechas, importes, RFC y nombre de contrapartes), y —en la conciliación— los encabezados y muestras de los archivos que aporte; (b) cuando alguien escribe a las direcciones de contacto publicadas hola@ o contacto@ — el contenido del correo recibido (remitente, asunto y cuerpo), para clasificarlo y preparar una propuesta de respuesta que una persona revisa antes de enviar. Se excluye expresamente privacidad@ (canal de derechos ARCO): su contenido nunca se remite a este encargado. No se transfiere la e.firma, ni el XML completo, ni el universo total de datos (las sumas y los archivos de salida se calculan y generan en el propio sistema, no en el modelo). | Art. 36 fr. IV: necesaria para la ejecución del servicio solicitado por el Cliente. Railway y Anthropic actúan como personas encargadas (art. 2 fr. XX), por lo que su intervención no es una transferencia; en su caso, la base es el art. 36 fr. IV. Contrato de encargo (DPA) suscrito o por suscribir, con compromiso de no usar los datos para entrenar modelos y retención mínima. |
| Postmark (ActiveCampaign, LLC) — proveedor primario de correo transaccional y de notificaciones — y Brevo (Sendinblue SAS), como respaldo automático si Postmark no está disponible | Estados Unidos (Postmark) / Francia (Brevo) | De salida: nombre y correo electrónico del Cliente, y el contenido de las notificaciones que el sistema envía (avisos de renovación y de vencimiento de prueba, código de acceso OTP, cifras de IVA e ISR estimados, avisos del límite de ingresos del RESICO, alertas del artículo 69-B, recordatorios de complementos de pago, avisos de interrupción del servicio). De entrada (solo Postmark): los correos dirigidos a hola@ y contacto@, que Postmark recibe y estructura (remitente, asunto, cuerpo y adjuntos) para entregarlos al sistema del Responsable. privacidad@ NO se enruta por este medio: el canal de derechos ARCO permanece únicamente en el buzón del proveedor de hospedaje (Sección III). No se transmite la e.firma ni el XML completo. | Art. 36 fr. IV: necesaria para la ejecución del servicio (envío de las notificaciones pactadas en el Contrato, Cláusula V, y recepción de la correspondencia que se atiende conforme a la Sección III). Actúan como personas encargadas (art. 2 fr. XX), por lo que su intervención no es una transferencia; en su caso, la base es el art. 36 fr. IV. El servidor de correo (MX) del dominio no cambia: sigue en el proveedor de hospedaje, y Postmark interviene únicamente en el reenvío de las direcciones indicadas. |
| Proveedor de almacenamiento elegido por el Cliente (Google Drive, Dropbox u OneDrive), con acceso limitado a la carpeta de aplicación exclusiva de AgenteCFDI | Variable según proveedor | Archivos XML y PDF de CFDIs descargados del SAT | Instrucción expresa del Cliente. El Responsable es solo el canal técnico de depósito. |
| Grupo Conektame, S.A. de C.V. ("Conekta") — procesador de pagos en línea | México | Nombre, correo electrónico y RFC del Cliente, y los datos del instrumento de pago que el propio Cliente captura. El Responsable no recibe ni almacena los datos completos de la tarjeta: se tokenizan en el navegador del Cliente y quedan bajo resguardo del procesador conforme al estándar PCI-DSS. | Art. 36 fr. IV: necesaria para la ejecución del contrato (cobro). Actúa como persona encargada (art. 2 fr. XX); al ser un proveedor establecido en territorio nacional, su intervención no constituye transferencia internacional. |
| Expresión en Software, S.A.P.I. de C.V. ("Facturama") — certificación ("timbrado") de los comprobantes fiscales que el Responsable emite al Cliente por el pago del servicio | México | RFC, razón social, régimen fiscal, código postal del domicilio fiscal y uso de CFDI del Cliente, y los importes del cargo. No se transmite la e.firma ni los XML de los CFDIs descargados del SAT. | Art. 36 fr. IV: necesaria para la ejecución del contrato (emisión del comprobante fiscal del pago), en relación con el art. 29 del CFF. Actúa como persona encargada (art. 2 fr. XX); al ser un proveedor establecido en territorio nacional, su intervención no constituye transferencia internacional. |
| Servicio de Administración Tributaria (SAT) | México | E.firma (autenticación SOAP). El Responsable no almacena datos en el SAT. | Art. 36 fr. I: transferencia prevista en disposición legal (CFF art. 17-D). |
Cláusula de aceptación de la transferencia (art. 35 de la Ley). Los destinatarios del cuadro anterior actúan como personas encargadas del tratamiento, de modo que su intervención no constituye una transferencia (artículo 2, fracción XX, de la Ley). Para el supuesto de que alguna de esas comunicaciones llegara a considerarse una transferencia, y para los efectos del artículo 35 de la Ley, el Cliente manifiesta —al aceptar este Aviso en el proceso de alta— que sí acepta que sus datos se comuniquen a los destinatarios y para las finalidades ahí descritas; el tercero receptor asume las mismas obligaciones que corresponden al Responsable. El Cliente puede manifestar su no aceptación en cualquier momento escribiendo a privacidad@agentecfdi.mx, en el entendido de que dichas comunicaciones son indispensables para prestar el servicio, por lo que su rechazo impide continuar con él y da lugar a la baja en los términos de la Cláusula 9.1 del Contrato.
El Responsable no realizará transferencias fuera de los supuestos indicados sin consentimiento previo del Cliente. Se han suscrito o suscribirán contratos de encargo de tratamiento con los prestadores mencionados, con obligaciones de confidencialidad y seguridad equivalentes a las de la Ley. Respecto del proveedor de inteligencia artificial, el contrato de encargo (Data Processing Addendum) prevé que los datos enviados por la interfaz de programación (API) no se utilizan para entrenar modelos y que la retención de dichos datos se mantiene al mínimo técnicamente necesario.
| Derecho | Descripción | Implicación en AgenteCFDI |
|---|---|---|
| Acceso | Conocer qué datos obran en posesión del Responsable y cómo se tratan. | Se entrega reporte: confirmación de existencia de e.firma (sin entregar el archivo), RFC, correo, metadatos de operación y registro de conversaciones del asistente. |
| Rectificación | Corregir datos inexactos o incompletos. | Aplica a RFC, correo y domicilio. La e.firma se actualiza mediante nueva entrega autorizada. |
| Cancelación | Eliminar datos del sistema del Responsable. | Implica eliminación verificable del registro cifrado de la e.firma, de la copia de los XML, del registro de conversaciones del asistente y de los archivos aportados para conciliación, baja de la cuenta y Constancia de Supresión. Se exceptúan los registros que el Responsable debe conservar bloqueados por obligación legal, descritos en la Sección II. |
| Oposición | Oponerse al tratamiento por causa legítima (art. 26). | La oposición al uso de la e.firma implica imposibilidad de prestar el servicio. El Cliente puede oponerse al uso del asistente de IA simplemente no utilizándolo, sin afectar el resto del servicio. |
La solicitud deberá enviarse a privacidad@agentecfdi.mx con el asunto "Ejercicio de Derechos ARCO" e incluir (art. 28 de la Ley):
Plazo de respuesta: 20 días hábiles desde la recepción de la solicitud completa, ampliable por igual periodo cuando las circunstancias lo justifiquen (art. 31). El ejercicio es gratuito (art. 34).
El registro de las conversaciones del asistente de IA (la pregunta del Cliente, la respuesta generada y las herramientas internas utilizadas; sin la e.firma ni datos crudos del SAT) se conserva con fines de trazabilidad, auditoría y soporte, conforme al principio de proporcionalidad del artículo 12 de la Ley y al principio de responsabilidad de los artículos 5 y 13. Este registro se elimina al ejercerse la Cancelación o la baja del RFC, conforme a la Sección VII y a la Cláusula 9.1 del Contrato; los archivos aportados para conciliación se eliminan además de forma automática por caducidad técnica al cierre de la sesión de trabajo.
El Responsable no comercializa, cede ni arrienda los datos personales del Cliente a terceros con fines publicitarios o de mercadotecnia.
En caso de vulneración de seguridad que afecte significativamente los derechos patrimoniales o morales del Cliente, el Responsable notificará de forma inmediata conforme al artículo 19 de la Ley.
Cuando el Cliente sea un despacho contable que gestione los RFCs de sus propios clientes, y habilite a estos un acceso al portal de AgenteCFDI, dicho acceso será de solo lectura y estará limitado a la información del RFC del propio titular (sus CFDIs y sus cifras fiscales estimadas), sin facultades de gestión, descarga, configuración ni cobro. Respecto de esos Titulares, el Responsable del tratamiento es el despacho que los gestiona; el Proveedor mantiene su carácter de encargado técnico, y el proveedor de inteligencia artificial el de sub-encargado dentro de la cadena, conforme a la Cláusula XI del Contrato de Adhesión.
El personal del despacho que este habilite para operar la cuenta —sus contadores y sus asistentes generales— accede a la información de los RFC gestionados bajo la responsabilidad y el deber de confidencialidad del propio despacho, que es el Responsable frente a sus clientes. El Proveedor mantiene su carácter de encargado técnico.
Los cambios a este Aviso se comunicarán al Cliente mediante:
Si el Cliente no manifiesta oposición dentro del plazo, se entenderá que acepta los cambios. Las modificaciones que impliquen nuevas finalidades o categorías de datos con exigencia de consentimiento expreso requerirán autorización independiente.
La Secretaría Anticorrupción y Buen Gobierno es la autoridad competente en materia de protección de datos personales. El Cliente podrá presentar queja o denuncia ante dicha Secretaría si considera que el Responsable no ha atendido debidamente su solicitud ARCO o ha vulnerado sus derechos. Para cualquier aclaración previa, escriba a privacidad@agentecfdi.mx.
¿Buscas el Contrato de Adhesión? También puedes leer las versiones simplificada y corta de este aviso. Para ejercer tus derechos ARCO escribe a privacidad@agentecfdi.mx.