Aviso de Privacidad
Encuadre: Santaglia Compass es una herramienta que organiza tu información fiscal y financiera (CFDIs del SAT y estados de cuenta). No sustituye a tu contador ni constituye asesoría legal o fiscal. Compass estima y prepara; tu contador determina.
Este Aviso de Privacidad forma parte de los Términos y Condiciones (cláusula 1.3) y, en materia de datos personales, prevalece sobre ellos.
1. Responsable del tratamiento
El responsable del tratamiento de tus datos personales es Herramientas y Soluciones de Gestión, S.A.P.I. de C.V. (la «Operadora»), sociedad mexicana con domicilio en Tuxpan 63, Colonia Roma Sur, Alcaldía Cuauhtémoc, C.P. 06760, Ciudad de México, CDMX.
Para todo lo relacionado con este Aviso, la Operadora ha designado un Departamento de Privacidad, atendido en el correo electrónico admin@santaglia.com. Ese correo es el canal único para dudas, quejas, ejercicio de derechos ARCO, revocación del consentimiento y cualquier solicitud en materia de datos personales.
Este Aviso se emite en cumplimiento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), su Reglamento y demás disposiciones aplicables.
2. Datos personales que tratamos
Tratamos los datos estrictamente necesarios para prestar el servicio, agrupados en las siguientes categorías:
a) Datos de identificación y contacto. Nombre de la persona usuaria, correo electrónico de acceso y de contacto, y —tratándose de personas morales— el nombre y correo de quien administra la Cuenta y de los usuarios autorizados.
b) Datos fiscales. RFC, denominación o razón social, régimen fiscal, giro o actividad, y los comprobantes fiscales digitales (CFDIs) emitidos y recibidos que la Plataforma descarga del SAT o que tú importas.
c) Datos financieros y patrimoniales. Estados de cuenta bancarios que decides importar (movimientos, saldos, cuentas), información de nómina y pagos a colaboradores, información de ingresos, gastos y flujo de tu empresa, y las credenciales de tu e.firma (archivos .cer y .key y su contraseña), si decides conectarla.
d) Datos de configuración y uso. Los catálogos, reglas de clasificación, preferencias y demás información de trabajo que generas dentro de la aplicación, así como registros técnicos mínimos para la seguridad y el soporte (por ejemplo, reportes de error).
No recabamos datos personales sensibles (como origen étnico, estado de salud, creencias o preferencias) y te pedimos no incorporarlos a la Plataforma.
Consentimiento expreso para datos financieros y patrimoniales
El artículo 8 de la LFPDPPP exige consentimiento expreso para el tratamiento de datos financieros o patrimoniales. La casilla de aceptación que marcas al registrar tu Cuenta constituye ese consentimiento expreso, otorgado por medios electrónicos: al marcarla aceptas los Términos y Condiciones y este Aviso de Privacidad, incluido el tratamiento de tus datos financieros y patrimoniales para las finalidades primarias descritas en la sección 3 y —salvo que te excluyas conforme a la sección 4— para la finalidad secundaria de indicadores agregados y anonimizados descrita en esa misma sección. La Operadora conserva un registro auditable de consentimientos que incluye la fecha y hora de cada aceptación, la versión del documento aceptada y el identificador de la Cuenta.
3. Finalidades primarias (necesarias para el servicio)
Tratamos tus datos para las siguientes finalidades, todas necesarias para la relación jurídica que aceptaste al crear tu Cuenta:
1. Crear, administrar y autenticar tu Cuenta y las de tus usuarios autorizados.
2. Descargar del SAT, en modalidad de solo lectura, tus CFDIs emitidos y recibidos mediante tu e.firma, y organizarlos dentro de la Plataforma.
3. Conciliar tus CFDIs con los estados de cuenta bancarios que importes, clasificar tu información y detectar inconsistencias.
4. Generar reportes, indicadores, estimaciones y proyecciones de apoyo a la administración de tu empresa.
5. Brindarte soporte y atender tus reportes y sugerencias.
6. Enviarte comunicaciones operativas del servicio (avisos de la Plataforma, notificaciones al correo registrado y, si tú la conectas, mensajería opcional conforme a la sección 7).
7. Mantener la seguridad de la Plataforma, prevenir fraudes y usos no autorizados, y conservar el registro auditable de consentimientos.
8. Cumplir las obligaciones legales aplicables a la Operadora y atender requerimientos de autoridad competente.
No vendemos ni comercializamos tus datos individuales. Tus datos son tuyos (cláusula 8.1 de los Términos y Condiciones): puedes exportarlos en cualquier momento en formatos abiertos (JSON y CSV).
4. Finalidad secundaria: indicadores comparativos («benchmarks»)
De manera adicional y no necesaria para prestarte el servicio, la Operadora elabora indicadores comparativos y estadísticas de referencia entre clientes, con datos agregados y anonimizados, bajo las siguientes salvaguardas (coherentes con la cláusula 8.3 de los Términos y Condiciones):
• Umbral mínimo de agregación (k≥20): ningún indicador se calcula ni se muestra si el grupo de comparación contiene menos de veinte (20) empresas.
• Estadísticos robustos: los agregados se construyen con medianas y rangos, de modo que no puedan reconstruirse valores individuales.
• Jamás datos individuales: nunca se utilizan, muestran ni comparten datos identificables —ni RFC, razón social, montos, contrapartes u operaciones específicas—, ni conjuntos de datos que permitan la reidentificación.
• Reciprocidad: los comparativos se ofrecen a los usuarios cuya información participa en ellos; quien se excluye deja de recibirlos.
Cómo negarte (opt-out): puedes excluirte de esta finalidad en cualquier momento, sin que ello afecte ninguna otra funcionalidad del servicio, desde la sección de Configuración de la Plataforma o mediante solicitud al correo admin@santaglia.com. Ejercida la exclusión, tu información deja de alimentar los indicadores que se generen en lo sucesivo (los agregados ya generados, al ser estadísticos irreversibles que no contienen datos individuales, no se recalculan). Puedes reincorporarte cuando quieras. Terminada tu relación contractual, tus datos dejan de alimentar nuevos agregados.
Esta finalidad secundaria queda amparada por el mismo consentimiento expreso que otorgas al registrar tu Cuenta (sección 2), que comprende la licencia de agregados anónimos de la cláusula 8.3 de los Términos y Condiciones. Aun así, puedes negarte u oponerte a ella en cualquier momento por los medios descritos en esta sección.
5. Tratamiento de tu e.firma (credenciales fiscales)
Si decides conectar tu e.firma para la descarga automática de CFDIs, la Operadora la trata exclusivamente bajo las siguientes condiciones (espejo de la cláusula 4.4 de los Términos y Condiciones):
• Custodia cifrada: los archivos de la e.firma y su contraseña se almacenan cifrados con AES-256-GCM; la clave de cifrado reside exclusivamente en el entorno seguro del servidor — nunca en la base de datos ni en tu navegador.
• Descifrado efímero: las credenciales se descifran únicamente en la memoria del servidor, en el momento exacto de autenticarse ante el SAT, y nunca se transmiten a tu navegador, a otros usuarios ni a terceros.
• Uso exclusivo de solo lectura: se utilizan única y exclusivamente para autenticar la consulta y descarga de tus propios CFDIs y sus acuses. Jamás se usan para timbrar o cancelar comprobantes, presentar declaraciones o avisos, firmar documentos o actos jurídicos, ni para trámite o gestión alguna en tu nombre ante el SAT u otra autoridad.
• Aislamiento por organización: ninguna otra empresa usuaria puede acceder a tus credenciales.
• Desconexión y eliminación: puedes desconectar tu e.firma de la Plataforma en cualquier momento, con lo cual cesa la descarga automática. Al terminar la relación contractual por cualquier causa, la Operadora eliminará de manera definitiva los archivos y la contraseña cifrados dentro de los treinta (30) días naturales siguientes, salvo orden de autoridad competente u obligación legal en contrario.
La Plataforma se conecta al SAT únicamente mediante e.firma; no solicita ni almacena la contraseña CIEC.
6. Datos personales de terceros contenidos en tus documentos
Los CFDIs y estados de cuenta que incorporas a la Plataforma pueden contener datos personales de terceros: tus colaboradores (por ejemplo, en la nómina), tus clientes y tus proveedores.
• Tu papel: respecto de esos datos, tú eres el responsable de su tratamiento. Al usar la Plataforma declaras contar con la base legal necesaria para tratarlos e incorporarlos (cláusula 8.2 de los Términos y Condiciones) — por ejemplo, la relación laboral o comercial correspondiente y, en su caso, tus propios avisos de privacidad.
• Nuestro papel: la Operadora actúa como receptora/encargada de esos datos y los trata única y exclusivamente para prestarte el servicio a ti (descargar, organizar, conciliar y reportar tu información), siguiendo tus instrucciones a través de la Plataforma, con las mismas medidas de seguridad descritas en este Aviso, y sin usarlos para finalidades propias ni compartirlos con terceros ajenos a la prestación del servicio.
• Si un tercero (por ejemplo, un colaborador tuyo) desea ejercer derechos sobre sus datos, debe dirigirse primero a ti como responsable; sin perjuicio de ello, la Operadora atenderá en lo que le corresponda las solicitudes recibidas en admin@santaglia.com.
7. Encargados y transferencias de datos
Para operar el servicio, la Operadora remite datos a encargados que los tratan por cuenta y bajo las instrucciones de la Operadora, identificados por categoría (los Términos y Condiciones, cláusula 6.4.3, no nombran a los proveedores por constituir la arquitectura un secreto industrial):
a) Infraestructura en la nube y alojamiento. El almacenamiento y respaldo de la información se realiza con un proveedor de infraestructura en la nube cuyos centros de datos se ubican en la región de São Paulo, Brasil. Esto constituye una remisión internacional de datos a un encargado — no una transferencia a un tercero para fines propios —, que opera bajo contrato con obligaciones de confidencialidad y seguridad equivalentes a las de este Aviso. Conforme al artículo 36 de la LFPDPPP y a su Reglamento —que distinguen la figura del encargado, quien trata los datos por cuenta y bajo las instrucciones del responsable, de la transferencia a terceros—, esta remisión no requiere tu consentimiento adicional, pero te la informamos aquí. La información viaja cifrada (TLS) y se almacena con aislamiento por organización.
b) Mensajería de correo electrónico. Proveedores que envían por nuestra cuenta los correos operativos del servicio (por ejemplo, avisos y notificaciones al correo registrado).
c) Mensajería que tú conectas (opcional). Si decides activar las notificaciones por Telegram, tú mismo conectas la función con tu propio bot: el token es tuyo, la conexión es voluntaria y puedes desactivarla cuando quieras. Los mensajes que se envíen por ese canal quedan sujetos a los términos y a la política de privacidad de Telegram, que es un servicio ajeno al control de la Operadora.
d) Autoridades. Comunicaremos datos a autoridades competentes únicamente cuando la ley lo exija o exista mandato fundado y motivado.
Fuera de lo anterior, la Operadora no transfiere tus datos personales a terceros. No vendemos ni cedemos tus datos para fines distintos a la prestación del servicio.
8. Conservación y borrado de datos
• Cuenta activa: tus datos se conservan mientras tu Cuenta esté vigente, para prestarte el servicio de forma continua.
• Al terminar la relación contractual: tu Cuenta pasa a un Periodo de Retención de Datos de treinta (30) días naturales (cláusula 11.5 de los Términos y Condiciones), durante el cual tu Cuenta sigue disponible para que exportes tu información y, si tú mismo diste de baja tu Cuenta, puedas cancelar la baja y mantenerla. Concluido ese plazo, la información se elimina definitivamente de los sistemas activos, y las copias contenidas en los respaldos automáticos se purgan en un plazo de hasta siete (7) días naturales adicionales, conforme a su ciclo ordinario.
• Excepción — terminación con causa (cláusula 11.2): en lugar del plazo de 30 días, dispones de una ventana de exportación única de quince (15) días naturales; después, la información se conserva sin acceso para el usuario únicamente durante el tiempo mínimo necesario para cumplir obligaciones legales y para la determinación, el ejercicio o la defensa de reclamaciones, y se elimina al concluir dicho plazo.
• Todo lo anterior queda sujeto al periodo de bloqueo previsto por la LFPDPPP (los datos se bloquean antes de su supresión, limitados al cumplimiento de obligaciones legales) y a las órdenes de autoridad competente.
• La e.firma tiene su propia regla de eliminación: 30 días naturales tras la terminación (sección 5).
La eliminación definitiva es irreversible. Es tu responsabilidad exportar oportunamente tu información y conservar tu contabilidad y documentación fiscal en los términos del Código Fiscal de la Federación.
9. Derechos ARCO y revocación del consentimiento
Tienes derecho a Acceder a tus datos personales, Rectificarlos cuando sean inexactos o incompletos, Cancelarlos y Oponerte a su tratamiento (derechos ARCO), así como a revocar tu consentimiento en cualquier momento, en la medida en que la ley lo permita.
Cómo ejercerlos. Envía tu solicitud al Departamento de Privacidad: admin@santaglia.com, incluyendo:
1. Nombre completo del titular y correo electrónico (u otro medio) para comunicarte la respuesta.
2. Documentos que acrediten tu identidad o, en su caso, la representación legal de quien solicita (tratándose de personas morales, la representación de la empresa titular de la Cuenta).
3. Descripción clara y precisa de los datos respecto de los que buscas ejercer el derecho, y del derecho que ejerces.
4. Cualquier elemento que facilite localizar los datos (por ejemplo, el correo con el que se registró la Cuenta).
5. Tratándose de rectificación: la modificación solicitada y la documentación que la sustente.
Plazos (artículos 32 a 34 de la LFPDPPP). Te comunicaremos la determinación adoptada en un plazo máximo de veinte (20) días hábiles contados desde la recepción de la solicitud completa; si resulta procedente, se hará efectiva dentro de los quince (15) días hábiles siguientes a esa comunicación. Estos plazos pueden ampliarse una sola vez por periodos iguales cuando esté justificado. El ejercicio de los derechos ARCO es gratuito; solo podrán cobrarse los gastos justificados de envío o el costo de reproducción en copias u otros formatos.
Revocación. La revocación del consentimiento sigue el mismo procedimiento. Toma en cuenta que la revocación respecto de datos necesarios para el servicio (por ejemplo, tus CFDIs o tu correo de acceso) puede impedir que sigamos prestándotelo, y equivaldrá a la solicitud de terminación de tu Cuenta con los efectos de la sección 8.
Subsistencia después de la terminación. Tus derechos ARCO y las obligaciones de la Operadora en materia de datos personales subsisten después de la terminación de tu Cuenta, cualquiera que sea su causa — incluso en la terminación con causa (cláusula 11.2, inciso iii, de los Términos y Condiciones). Mientras exista información tuya en nuestros sistemas (incluidos los periodos de retención y bloqueo de la sección 8), puedes ejercer estos derechos en admin@santaglia.com.
10. Limitación de uso y divulgación de tus datos
Además de los derechos ARCO, dispones de estos mecanismos para limitar el uso o divulgación de tus datos:
• Opt-out de la finalidad secundaria de benchmarks (sección 4), desde Configuración o por correo.
• Desconexión de tu e.firma en cualquier momento (sección 5).
• Desactivación de la mensajería opcional (Telegram) que tú mismo conectas (sección 7).
• Solicitud de no envío de comunicaciones no esenciales al correo admin@santaglia.com. Las comunicaciones estrictamente operativas (por ejemplo, avisos de seguridad o de cambios contractuales) no pueden desactivarse mientras la Cuenta exista, por ser necesarias para la relación jurídica.
La Operadora no utiliza tus datos para publicidad de terceros ni realiza mercadotecnia con ellos.
11. Medidas de seguridad y notificación de vulneraciones
La Operadora aplica medidas de seguridad administrativas, técnicas y físicas razonables: cifrado de la información en tránsito (TLS), cifrado reforzado de credenciales fiscales (AES-256-GCM, sección 5), aislamiento por organización (cada empresa accede únicamente a sus propios datos), controles de acceso y respaldos automáticos con retención de hasta siete (7) días naturales.
Notificación de vulneraciones (artículo 20 de la LFPDPPP). Si ocurre una vulneración de seguridad —robo, pérdida, acceso, uso o divulgación no autorizados— que afecte de forma significativa tus derechos patrimoniales o morales, la Operadora te lo notificará sin dilación indebida al correo electrónico registrado en tu Cuenta y/o mediante aviso dentro de la Plataforma, en cuanto confirme el incidente y haya tomado las medidas iniciales de contención. La notificación incluirá, al menos: la naturaleza del incidente, los datos personales comprometidos, las acciones correctivas realizadas o en curso, las recomendaciones para que protejas tus intereses y los medios para obtener más información. Tratándose de cualquier incidente que comprometa o pueda comprometer tus credenciales fiscales (e.firma), la notificación procede en todos los casos, conforme a la cláusula 4.4, inciso f), de los Términos y Condiciones.
12. Cookies y almacenamiento local
La aplicación no utiliza cookies de analítica ni de marketing de terceros. Solo emplea el almacenamiento técnico imprescindible: la sesión de autenticación de tu cuenta y el almacenamiento local del navegador (localStorage/IndexedDB) donde se guardan tus preferencias y tu trabajo. El detalle por categoría y duración, y la forma de gestionarlo, constan en la Política de Cookies y Almacenamiento Local.
13. Derecho a acudir a la autoridad
Si consideras que tu derecho a la protección de datos personales ha sido vulnerado, puedes acudir ante el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) — o la autoridad que legalmente lo sustituya en dichas funciones — para iniciar el procedimiento de protección de derechos previsto en la LFPDPPP. Más información en www.inai.org.mx.
14. Cambios a este Aviso
Este Aviso puede modificarse para reflejar cambios legales, del servicio o de nuestras prácticas de tratamiento. Cualquier modificación se publicará en esta misma página, identificada por su fecha de versión (formato AAAA-MM-DD, visible al pie). Los cambios que impliquen nuevos tratamientos de datos se consideran cambios sustanciales y se te notificarán con al menos treinta (30) días naturales de anticipación al correo registrado y/o mediante aviso en la Plataforma, conforme a la cláusula 10.3 de los Términos y Condiciones; cuando se requiera, se solicitará y registrará una nueva aceptación asociada a la nueva versión, en el registro auditable de consentimientos.
Responsable: Herramientas y Soluciones de Gestión, S.A.P.I. de C.V. · Tuxpan 63, Colonia Roma Sur, Alcaldía Cuauhtémoc, C.P. 06760, Ciudad de México, CDMX
Departamento de Privacidad / Derechos ARCO: admin@santaglia.com
← Volver al acceso