1. Responsable del tratamiento

Fernando Arizpe Pedraza, persona física con actividad empresarial (RFC AIPF760625HF5), con domicilio en Ciudad Victoria, Tamaulipas, México (en adelante, "Cirrus" o el "Responsable"), con sitio web https://cirrus.nubex.me, es responsable del tratamiento de los datos personales que usted (el "Titular") nos proporciona al usar la plataforma Cirrus (el "Servicio"), en términos de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP).

Contacto para temas de privacidad: [email protected].

2. Datos personales que recabamos

Recabamos los datos directamente de usted, cuando los captura en la plataforma o los carga en ella, y de manera automatizada cuando el Servicio descarga documentos del SAT en su nombre.

a) Datos de identificación y contacto: nombre o razón social, correo electrónico, y los datos que capture en su perfil.

b) Datos fiscales: RFC, régimen fiscal, domicilio fiscal, Constancia de Situación Fiscal, y el contenido de sus CFDIs (emitidos y recibidos), que incluye RFCs y nombres de sus contrapartes, montos, conceptos, impuestos y demás campos del XML.

c) Datos financieros y patrimoniales: la información contenida en sus CFDIs y en los análisis derivados (ingresos, egresos, impuestos estimados) constituye datos financieros y patrimoniales. Conforme al artículo 8 de la LFPDPPP, el tratamiento de estos datos requiere su consentimiento expreso, el cual se recaba mediante la casilla de aceptación (checkbox) del formulario de registro (ver el aviso simplificado en la sección 11).

d) Credenciales criptográficas (e.firma/FIEL y, en su caso, CSD): archivos .cer y .key y su contraseña, que usted decide cargar voluntariamente para habilitar la descarga automatizada de CFDIs (y, próximamente, la emisión de facturas). Se tratan exclusivamente conforme a la sección 3.

e) Datos de pago: los pagos se procesan a través de Stripe. Cirrus no almacena números de tarjeta; únicamente conservamos referencias de la transacción (últimos dígitos, estatus, plan contratado) que Stripe nos comparte.

f) Datos de uso: registros técnicos de acceso (fecha, IP, acciones en la plataforma) necesarios para seguridad y soporte.

Datos de terceros contenidos en sus documentos. Los CFDIs que descargamos por su cuenta pueden contener datos personales de terceros (sus clientes, proveedores y, en CFDIs de nómina, sus trabajadores). Respecto de esos datos, usted es el responsable del tratamiento y Cirrus actúa como encargado, tratándolos únicamente por su cuenta y conforme a sus instrucciones para prestarle el Servicio. Usted declara contar con la base legal para dicho tratamiento.

No recabamos datos personales sensibles (salud, origen étnico, ideología, etc.). Si un documento que usted cargue llegara a contenerlos, no los tratamos para finalidad distinta al almacenamiento que usted nos instruye.

3. Tratamiento de la e.firma (FIEL) y CSD

Sus archivos .cer y .key se almacenan en un repositorio de objetos privado con acceso restringido, en infraestructura controlada por el Responsable. La contraseña de la llave privada se almacena cifrada mediante criptografía simétrica con clave administrada por el servidor. Los archivos se utilizan exclusivamente para autenticar procesos automatizados ante el SAT (descarga de sus CFDIs y documentos fiscales y, en su caso, emisión de facturas que usted ordene); durante cada proceso se copian a un almacenamiento temporal que se elimina al concluir. No usamos su FIEL o CSD para ningún otro fin, no firmamos actos jurídicos en su nombre y no los compartimos con terceros.

Puede eliminar su FIEL/CSD de la plataforma en cualquier momento, lo que revoca la autorización de uso y conlleva su borrado de nuestros sistemas en un plazo máximo de cinco (5) días hábiles.

4. Finalidades del tratamiento

Finalidades primarias (necesarias para el Servicio):

1. Crear y administrar su cuenta y autenticarlo en la plataforma.
2. Descargar del SAT, en su nombre, sus CFDIs y documentos fiscales, almacenarlos y ponerlos a su disposición.
3. Convertir y exportar sus documentos (PDF, Excel) y enviarle reportes por correo electrónico.
4. Generar análisis fiscales informativos (IVA, ISR provisional estimado, alertas relacionadas con listas públicas del SAT, como la del artículo 69-B del CFF).
5. Procesar los pagos de su suscripción y emitirle comprobantes.
6. Brindarle soporte y atender sus solicitudes.
7. Mantener la seguridad de la plataforma y prevenir fraudes y usos indebidos.
8. Cumplir obligaciones legales aplicables al Responsable.

Finalidades secundarias (no necesarias para el Servicio; puede oponerse a ellas sin que se le niegue el Servicio):

9. Enviarle comunicaciones sobre nuevas funciones, mejoras y ofertas de Cirrus.
10. Elaborar estadísticas internas con información agregada y anonimizada para mejorar el Servicio.

Si no desea que tratemos sus datos para las finalidades secundarias, puede indicarlo desde la configuración de su cuenta o escribiendo al correo de contacto de la sección 1. La negativa no afectará la prestación del Servicio.

5. Transferencias y encargados

No vendemos ni rentamos sus datos personales a terceros.

Para operar el Servicio utilizamos proveedores que tratan datos por cuenta de Cirrus (encargados) o a quienes se transfieren datos limitados:

Estos proveedores están obligados contractualmente a tratar los datos únicamente para los fines contratados y con medidas de seguridad adecuadas. Algunos de estos proveedores (por ejemplo, Stripe) pueden ubicarse o procesar información fuera de México; en tales casos, la transferencia se realiza con las salvaguardas contractuales y de seguridad descritas en este Aviso.

Adicionalmente, podremos comunicar datos cuando lo exija una autoridad competente mediante requerimiento fundado y motivado, o en los demás supuestos del artículo 37 de la LFPDPPP que no requieren consentimiento.

Fuera de estos casos, cualquier transferencia que requiera su consentimiento le será informada para obtenerlo.

6. Derechos ARCO y revocación del consentimiento

Usted tiene derecho a Acceder a sus datos, Rectificarlos cuando sean inexactos, Cancelarlos y Oponerse a su tratamiento (derechos ARCO), así como a revocar su consentimiento en cualquier momento, sin efectos retroactivos.

Para ejercerlos, envíe una solicitud al correo [email protected] indicando: (i) su nombre y correo asociado a la cuenta; (ii) documento que acredite su identidad (o la representación, en su caso); (iii) la descripción clara del derecho que desea ejercer y de los datos correspondientes.

Responderemos en un plazo máximo de 20 días hábiles contados desde la recepción de la solicitud, y de resultar procedente, se hará efectiva dentro de los 15 días hábiles siguientes, conforme a la LFPDPPP. Tome en cuenta que la cancelación de ciertos datos puede impedir la prestación del Servicio, y que algunos datos deben conservarse por obligación legal antes de su supresión definitiva.

Gran parte de estos derechos puede ejercerlos directamente desde la plataforma: editar sus datos de perfil, exportar sus documentos, eliminar su FIEL/CSD o cancelar su cuenta.

Si considera que su derecho a la protección de datos ha sido vulnerado, puede acudir a la autoridad garante en materia de protección de datos personales en México (funciones históricamente a cargo del INAI y, tras las reformas en la materia, de la autoridad que legalmente lo sustituya).

7. Conservación y supresión

Conservamos sus datos mientras su cuenta esté activa. Al cancelar su cuenta, dispondrá de una ventana de treinta (30) días naturales para exportar su información; después eliminaremos sus CFDIs, documentos y archivos de FIEL/CSD, conservando únicamente lo estrictamente necesario para cumplir obligaciones legales del Responsable (por ejemplo, registros de facturación) y los respaldos técnicos que se depuran en ciclos ordinarios (máximo 30 días adicionales), tras lo cual los datos se suprimen o anonimizan.

8. Medidas de seguridad

Aplicamos medidas administrativas, técnicas y físicas para proteger sus datos, entre ellas: cifrado de las comunicaciones (HTTPS/TLS), cifrado de contraseñas de llaves privadas, almacenamiento en repositorios privados con acceso restringido, controles de acceso por cuenta, registros de actividad y respaldos. Ninguna medida de seguridad es infalible; en caso de una vulneración de seguridad que afecte de forma significativa sus derechos, se lo notificaremos conforme a la ley.

9. Cookies y tecnologías similares

La plataforma utiliza únicamente cookies esenciales para el funcionamiento del Servicio (autenticación de sesión y preferencias básicas). No utilizamos cookies de publicidad de terceros. Puede configurar su navegador para rechazar cookies, aunque ello puede impedir el inicio de sesión.

10. Cambios a este Aviso de Privacidad

Podremos modificar este Aviso para reflejar cambios legales o del Servicio. Publicaremos la versión actualizada en https://cirrus.nubex.me con su fecha de última actualización y, si el cambio es sustancial (nuevas finalidades, nuevas transferencias), se lo notificaremos por correo electrónico o mediante aviso destacado en la plataforma antes de que surta efectos, recabando su consentimiento cuando la ley lo exija.

11. Aviso de privacidad simplificado

Este aviso simplificado se presenta en el formulario de registro junto con una casilla de aceptación obligatoria (no premarcada) mediante la cual usted otorga su consentimiento expreso.