Política de Privacidad

1. Responsable del tratamiento

Tu organización decide qué datos recaba y con qué fin a través de la plataforma. Clauhub los trata por su cuenta como proveedor tecnológico, bajo contrato escrito, y desde la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada el 20 de marzo de 2025 lo hace también como sujeto regulado, con obligaciones propias frente a ti: esa ley amplió la figura de responsable a quien lleva a cabo el tratamiento, aunque no decida sobre él.

2. Datos que recabamos

Para que el portal funcione recabamos las siguientes categorías de datos:

• Identificación fiscal: RFC, razón social, régimen fiscal, domicilio fiscal.
• Contacto: correo electrónico, teléfono, nombre del contacto.
• Bancarios: CLABE, banco, número de cuenta (cifrados en reposo).
• Documentos: Constancia de Situación Fiscal, opiniones de cumplimiento, comprobantes de domicilio y demás documentos cargados al expediente.
• Operación: historial de cargas, estatus de validaciones, comentarios.

3. Finalidades

Usamos tus datos exclusivamente para:

• Operar el portal de proveedores: registro, expediente, validaciones fiscales (SAT) y bancarias.
• Cumplir obligaciones contractuales y fiscales de la organización contratante.
• Notificar cambios de estatus, requerimientos de actualización y vencimientos de documentos.
• Mantener bitácoras de auditoría requeridas para cumplimiento regulatorio.

No usamos tus datos para mercadeo, publicidad ni los compartimos con terceros fuera de los subprocesadores listados.

4. Fundamento legal

Tratamos tus datos con base en el cumplimiento de una relación contractual (proveedor-cliente) y el cumplimiento de obligaciones legales fiscales. Para clientes en jurisdicciones aplicables, también invocamos los fundamentos correspondientes de GDPR (Art. 6.1.b y 6.1.c) y CCPA/CPRA.

5. Transferencias y subprocesadores

Compartimos datos personales únicamente con los siguientes encargados, todos bajo contrato con cláusulas de protección equivalentes:

• Convex Cloud — base de datos y backend
• Cloudflare — CDN, almacenamiento de documentos y workers
• Resend — correo transaccional
• Stripe — procesamiento de pagos (cuando aplique)
• Proveedor de modelos de lenguaje — solo para las funciones de resumen y recomendaciones, y únicamente con los datos del periodo que se está analizando
• SAT — para validación fiscal de RFCs y opiniones de cumplimiento (solo datos públicos)

Algunos subprocesadores están ubicados fuera de México; las transferencias se realizan con salvaguardas contractuales conforme a la LFPDPPP.

5 bis. Descarga de CFDI con e.firma

Si tu organización usa la aplicación de CFDI, se aplican además estas condiciones:

• e.firma. El certificado y la clave privada se usan únicamente para autenticarse ante el servicio de descarga masiva del SAT y pedir tus comprobantes. La contraseña de la clave se guarda cifrada con AES-256-GCM y no se muestra de vuelta. Puedes eliminarla desde la aplicación en cualquier momento.
• Datos de terceros. Los comprobantes que descargas contienen datos de tus proveedores, clientes y —en los de nómina— de tus empleados, incluidos CURP y número de seguridad social. Frente a esas personas, la responsable de ese tratamiento es tu organización, que es quien decide recabarlos.
• Eliminación. Al eliminar una organización se borran sus comprobantes, sus XML y su e.firma. Al eliminar tu cuenta se eliminan también las organizaciones en las que eras el único miembro; antes de confirmar se te muestra cuáles son.

6. Plazo de conservación

Los datos del expediente se conservan mientras dure la relación comercial con la organización contratante y durante los plazos legales mínimos posteriores (al menos 5 años para documentos fiscales conforme al CFF). Las bitácoras de auditoría se conservan al menos 12 meses.

7. Derechos ARCO

Como titular puedes ejercer en cualquier momento los derechos de:

• Acceso — saber qué datos tenemos sobre ti.
• Rectificación — corregir datos inexactos o desactualizados (vía Solicitud de Cambio en el portal).
• Cancelación — solicitar el borrado de datos cuando ya no sean necesarios.
• Oposición — oponerte al tratamiento para finalidades específicas.

Para ejercerlos, contacta al administrador de la organización por el correo de soporte que aparece en tu portal. Respondemos en máximo 20 días hábiles. Si crees que tus derechos no se respetan, puedes recurrir a la Secretaría Anticorrupción y Buen Gobierno, que sustituyó al INAI como autoridad en la materia.

8. Seguridad

Para el detalle completo de las medidas técnicas y organizativas que aplicamos, consulta la página de Seguridad y Confianza.

9. Cambios al aviso

Si hacemos cambios materiales a este aviso, te notificaremos por correo electrónico o por un aviso destacado en el portal antes de que entren en vigor. La fecha de “última actualización” siempre refleja la versión vigente.