Aviso de Privacidad integral de AMOXTLI

1. Responsable

TLANEXTIA S.A.S. de C.V., sociedad por acciones simplificada de capital variable constituida conforme a las leyes mexicanas el 17 de agosto de 2017 (folio de constitución SAS-1.2-201708-60473 del sistema electrónico de la Secretaría de Economía), con RFC TLA170817IL5 y domicilio en Calle Miguel Hidalgo número 4, Colonia Libertad, C.P. 91270, Perote, Veracruz de Ignacio de la Llave, México (el «Responsable» o «Tlanextia»), es responsable del tratamiento de los datos personales que se recaban a través de la plataforma de facturación electrónica AMOXTLI, disponible en amoxtli.digital y en su panel amoxtli.digital/app (la «Plataforma»).

Este aviso se emite en cumplimiento de los artículos 14, 15 y 16 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 (la «Ley» o «LFPDPPP»), de su Reglamento y de los Lineamientos del Aviso de Privacidad en lo que no se opongan a ella, y se pone a disposición del titular de forma previa al tratamiento, en el registro de la Plataforma.

Departamento de Datos Personales. Conforme al artículo 29 de la Ley, el Responsable designó a su Departamento de Datos Personales para dar trámite a las solicitudes de los titulares y fomentar la protección de datos dentro de la organización. Contacto: corporativo@tlanextia.com, o por escrito en el domicilio arriba señalado.

2. Datos personales que tratamos

Tratamos únicamente los datos necesarios para prestar el servicio. Según la función que use, la Plataforma recaba las siguientes categorías:

a) Datos de identificación y contacto del Usuario

• Nombre, correo electrónico y contraseña (almacenada solo como hash irreversible), rol dentro de la Organización, sucursal asignada y estado de la cuenta.
• Nombre del negocio (Organización) y, en su caso, nombre de sus sucursales.
• Fecha de verificación del correo y fecha y versión de aceptación de los Términos y de este aviso.

b) Datos fiscales del Usuario

• RFC, razón social o nombre, régimen fiscal y código postal fiscal de cada RFC emisor; logotipo y preferencias de diseño de la representación impresa.
• Certificado de Sello Digital (archivo .cer), llave privada (.key) y su contraseña. Estos datos se almacenan cifrados y su acceso queda registrado (ver sección 7).

c) Datos financieros y patrimoniales

• Contenido de los comprobantes fiscales que el Usuario emite, cancela o importa: conceptos, importes, impuestos, formas y métodos de pago, folios fiscales, XML y PDF.
• Pagos recibidos de clientes que el Usuario registra para emitir complementos de pago; ventas al público registradas como e-receipts.
• Respecto de las compras de timbres: el identificador de cliente y de sesión de pago que Stripe asigna y, cuando Stripe los devuelve, la marca de la tarjeta y sus últimos cuatro dígitos. La Plataforma nunca recibe ni almacena el número completo de la tarjeta, su fecha de vencimiento ni su código de seguridad; esos datos los trata Stripe directamente en su página de pago.

d) Datos de terceros capturados por el Usuario

• De sus clientes (Receptores): RFC, nombre o razón social, régimen fiscal, código postal fiscal, uso de CFDI habitual, correo electrónico y teléfono, así como el resultado de su validación contra los catálogos del SAT y su situación en el listado 69-B.
• De contribuyentes que solicitan la cancelación de un CFDI recibido: RFC, nombre, folio fiscal e importe.

e) Archivos

• Documentos que el Usuario adjunta al expediente de materialidad (PDF, imágenes o correos), archivos ZIP con XML importados y logotipos.

f) Datos técnicos y de seguridad

• Dirección IP, fecha y acción en la bitácora de accesos al CSD; dirección IP y agente de usuario en los reportes automáticos de seguridad que envía el navegador (Content Security Policy); identificador de sesión.

g) Contenido enviado a los asistentes de inteligencia artificial

• El texto libre que el Usuario escribe en el Asistente de facturación, en la sugerencia de clave SAT o en la redacción de conceptos. Se pide al Usuario no escribir en esos campos datos personales propios o de terceros que no sean indispensables para la consulta.

Datos sensibles. Para efectos del artículo 15, fracción II, de la Ley, se informa que la Plataforma no recaba datos personales sensibles (origen étnico, salud, creencias, opiniones políticas, preferencia sexual, etc.) ni está dirigida a menores de edad. Si detectamos datos de menores, los eliminaremos. Los datos financieros y patrimoniales y el material del CSD no son sensibles en términos de la Ley, pero se tratan con medidas de seguridad reforzadas.

3. Finalidades

Finalidades primarias (necesarias para el servicio)

• Crear y administrar la cuenta y la Organización, verificar el correo electrónico, autenticar al Usuario y gestionar los roles de su equipo.
• Elaborar, sellar con el CSD del Usuario y enviar a certificación con un PAC autorizado los CFDI, complementos de pago, notas y facturas globales; solicitar y registrar cancelaciones; recibir y responder solicitudes de cancelación de terceros.
• Validar a los Receptores contra los catálogos del SAT y el listado 69-B para reducir rechazos y evitar operaciones prohibidas.
• Enviar por correo los comprobantes a los Receptores cuando el Usuario lo instruye.
• Custodiar de forma cifrada el CSD y llevar la bitácora de sus accesos.
• Gestionar el saldo de timbres, acreditar el regalo de bienvenida y las compras, y conciliar los pagos confirmados por Stripe.
• Enviar correos transaccionales: verificación, restablecimiento de contraseña, avisos de vencimiento del CSD y recordatorios de complementos de pago.
• Emitir facturas recurrentes programadas y cerrar automáticamente en factura global las ventas al público del periodo vencido.
• Almacenar y entregar el expediente de materialidad e importar el historial de comprobantes.
• Prestar las funciones asistidas por inteligencia artificial descritas en los Términos.
• Mantener la seguridad, integridad y continuidad de la Plataforma (control de acceso, aislamiento por Organización, bitácoras, respaldos, prevención de fraude y de uso indebido) y atender solicitudes de soporte.
• Cumplir obligaciones legales del Responsable, incluidas las de conservación de información y la atención de requerimientos de autoridad competente.

Finalidades que requieren consentimiento (artículo 15, fracción III, de la Ley). Todas las finalidades primarias son necesarias para la relación jurídica entre el Usuario y el Responsable y se amparan en el consentimiento otorgado conforme a la sección 4. La última de ellas (cumplimiento de obligaciones legales y requerimientos de autoridad) no requiere consentimiento, conforme al artículo 9, fracciones I y VII, de la Ley.

Finalidades secundarias

Actualmente el Responsable no utiliza los datos personales para publicidad, prospección comercial, perfilamiento ni ninguna otra finalidad distinta de las primarias. Si esto cambia, se actualizará este aviso y, conforme al artículo 11 de la Ley, se recabará nuevamente el consentimiento del titular antes de iniciar cualquier tratamiento para una finalidad distinta; el titular podrá negarlo sin que ello afecte la prestación del servicio.

4. Consentimiento

Al marcar la casilla de aceptación en el registro, el Usuario otorga su consentimiento para el tratamiento de sus datos personales conforme a este aviso. Tratándose de datos financieros y patrimoniales, dicha aceptación por medios electrónicos constituye el consentimiento expreso que exige el artículo 7, párrafo quinto, de la Ley. La Plataforma conserva la fecha y la versión del aviso aceptado como prueba de su otorgamiento.

No requiere consentimiento el tratamiento necesario para cumplir una disposición jurídica, para ejercer derechos o cumplir obligaciones derivadas de la relación jurídica entre el titular y el Responsable, ni el ordenado por mandato fundado y motivado de autoridad competente (artículo 9, fracciones I, IV y VII, de la Ley); por ejemplo, la conservación de los registros de compra de timbres o la atención de requerimientos de autoridad.

El consentimiento puede revocarse en cualquier momento, sin efectos retroactivos, mediante el procedimiento de la sección 9.

5. Datos de los clientes del Usuario

Respecto de los datos personales de los Receptores y demás terceros que el Usuario captura o importa en la Plataforma, el Usuario es el responsable de dichos datos y Tlanextia actúa como persona encargada, en términos del artículo 2, fracción XII, de la Ley y de los artículos 49 a 51 de su Reglamento. En esa calidad, Tlanextia:

• trata esos datos exclusivamente por cuenta del Usuario, conforme a sus instrucciones y para las finalidades primarias descritas (emitir, enviar y conservar sus comprobantes), sin usarlos para fines propios;
• aplica las medidas de seguridad de la sección 7 y guarda confidencialidad sobre ellos;
• no los transfiere, salvo por instrucción del Usuario, porque la operación fiscal lo exija (SAT y PAC) o por requerimiento de autoridad competente;
• los suprime o devuelve al terminar la relación, en los plazos de la sección 8; y
• se apoya en los proveedores listados en la sección 6, cuya subcontratación el Usuario autoriza al aceptar este aviso y los Términos (artículos 54 y 55 del Reglamento).

El Usuario declara que cuenta con la base legal necesaria para tratar esos datos y para comunicar los comprobantes por correo electrónico, que puso a disposición de esos terceros su propio aviso de privacidad, y se obliga a atender directamente las solicitudes de derechos que ellos le dirijan. Tlanextia le prestará la colaboración razonable para ello y, si recibe directamente una solicitud de un Receptor, la canalizará al Usuario correspondiente.

6. Transferencias y remisiones

La Ley distingue entre la transferencia (comunicación de datos a un tercero distinto del Responsable o de la persona encargada; artículo 2, fracción XX) y la remisión (comunicación entre el Responsable y una persona encargada que trata los datos por su cuenta; artículo 2, fracción IX, del Reglamento). Para prestar el servicio se realizan las siguientes:

6.1 Transferencias que no requieren consentimiento (artículo 36 de la Ley)

6.2 Remisiones a personas encargadas (artículos 49 a 53 del Reglamento)

Conforme al artículo 53 del Reglamento, las remisiones nacionales e internacionales no requieren ser informadas al titular ni contar con su consentimiento; se informan aquí por transparencia. La relación con cada persona encargada se rige por contratos o condiciones de servicio que la obligan a tratar los datos solo conforme a las instrucciones del Responsable, a guardar confidencialidad, a aplicar medidas de seguridad y a no usarlos para fines propios.

6.3 Tratamiento fuera de México

Fuera de los casos anteriores, el Responsable no vende, renta ni comparte datos personales con terceros. Al aceptar este aviso, el Usuario reconoce que algunos de estos proveedores operan fuera de México (Estados Unidos de América, Francia y Alemania) y consiente el tratamiento de sus datos en esos países con las medidas de protección aquí descritas.

7. Medidas de seguridad

En cumplimiento del artículo 18 de la Ley, el Responsable mantiene medidas de seguridad administrativas, técnicas y físicas, entre ellas:

• Toda comunicación con la Plataforma viaja cifrada (HTTPS).
• El CSD (.cer, .key y contraseña) se almacena cifrado con una llave dedicada, distinta de las demás llaves de la Plataforma; el sellado ocurre dentro de la Plataforma y cada acceso al material queda en una bitácora inalterable con usuario, acción, fecha e IP.
• Las contraseñas se guardan únicamente como hash irreversible; las llaves de integración por API se guardan como hash.
• Los datos de cada Organización están aislados de los de las demás y el acceso se controla por roles.
• Se generan respaldos diarios con acceso restringido y se aplican protecciones contra suplantación de solicitudes, límites de peticiones y verificación de firma en las notificaciones de pago.
• Toda persona que interviene en el tratamiento está obligada a guardar confidencialidad, incluso después de terminar su relación con el Responsable (artículo 20 de la Ley).

Vulneraciones de seguridad. Si ocurre una vulneración que afecte de forma significativa los derechos patrimoniales o morales de los titulares, el Responsable se los informará de forma inmediata, por correo electrónico o dentro del panel, indicando la naturaleza del incidente, los datos comprometidos, las medidas correctivas adoptadas y las recomendaciones para proteger sus intereses (artículo 19 de la Ley).

8. Conservación y eliminación

• Los datos de la cuenta, los comprobantes y los archivos se conservan mientras la Organización mantenga su cuenta activa.
• Al solicitarse la baja, la información se bloquea y se elimina dentro de los treinta (30) días naturales siguientes, salvo la que el Responsable deba conservar por obligación legal (por ejemplo, registros de las operaciones de compra de timbres) o para la defensa de reclamaciones, durante los plazos de prescripción que la ley establezca (artículos 10 y 24 de la Ley). Durante el bloqueo los datos no son objeto de ningún otro tratamiento.
• Antes de la baja el Usuario debe descargar sus comprobantes: la obligación de conservar su contabilidad durante cinco años (artículo 30 del Código Fiscal de la Federación) es del Usuario.
• Los respaldos se conservan catorce (14) días y después se eliminan de forma automática.
• Las bitácoras de acceso al CSD y los registros de seguridad se conservan hasta doce (12) meses después de la baja de la cuenta, con fines exclusivamente de seguridad y auditoría.

9. Derechos ARCO, revocación y limitación del uso

El titular, por sí o mediante su representante legal, tiene derecho a acceder a sus datos personales y conocer las condiciones de su tratamiento; rectificarlos cuando sean inexactos, incompletos o no estén actualizados; cancelarlos; y oponerse a su tratamiento por causa legítima o cuando sean objeto de un tratamiento automatizado sin intervención humana que le produzca efectos jurídicos no deseados o afecte significativamente sus intereses (derechos ARCO, artículos 21 a 26 de la Ley). También puede revocar su consentimiento y limitar el uso o divulgación de sus datos.

9.1 Cómo presentar la solicitud

Envíe su solicitud al Departamento de Datos Personales, al correo corporativo@tlanextia.com o por escrito al domicilio de la sección 1, con lo siguiente (artículo 28 de la Ley):

• nombre del titular y domicilio o correo electrónico para recibir notificaciones;
• documento que acredite su identidad o, en su caso, la personalidad e identidad de su representante;
• descripción clara y precisa de los datos respecto de los que busca ejercer el derecho (no es necesaria para el derecho de acceso);
• el derecho que desea ejercer o lo que solicita;
• cualquier elemento que facilite localizar los datos; y
• tratándose de rectificación, las modificaciones a realizar y la documentación que las sustente (artículo 30 de la Ley).

9.2 Plazos (días hábiles)

La respuesta se comunicará por el mismo medio por el que se presentó la solicitud. El derecho de acceso se cumple poniendo los datos a disposición del titular mediante documentos electrónicos enviados a su correo (artículo 32 de la Ley). El ejercicio de los derechos ARCO es gratuito; solo pueden cobrarse los costos de reproducción, copias o envío y, si la misma persona reitera su solicitud en menos de doce meses, hasta tres veces la Unidad de Medida y Actualización (artículo 34 de la Ley). Gran parte de los datos de cuenta, RFC emisores y clientes pueden consultarse y rectificarse directamente por el Usuario desde el panel.

9.3 Negativa

El Responsable puede negar total o parcialmente el ejercicio de los derechos ARCO en los casos de los artículos 25 y 33 de la Ley (por ejemplo, cuando el solicitante no acredite su identidad, los datos no estén en posesión del Responsable, se lesionen derechos de un tercero, exista un impedimento legal o los datos deban conservarse por disposición legal o para el cumplimiento del contrato). En todo caso informará el motivo dentro de los mismos plazos.

9.4 Revocación del consentimiento

Se solicita por el mismo medio, con los mismos requisitos y plazos de las secciones 9.1 y 9.2, y no tiene efectos retroactivos (artículo 7 de la Ley). La revocación del consentimiento y la cancelación de datos necesarios para el servicio implican que la Plataforma ya no podrá seguir prestándose a la cuenta correspondiente.

9.5 Opciones y medios para limitar el uso o divulgación

Para efectos del artículo 15, fracción IV, de la Ley, el titular puede limitar el uso o divulgación de sus datos enviando su petición a corporativo@tlanextia.com e indicando el uso o la comunicación que desea limitar. El Responsable lo inscribirá en un listado de exclusión interno y le confirmará la inscripción en un plazo máximo de 20 días hábiles. Dado que el Responsable no usa los datos para publicidad ni prospección, la limitación solo no procederá cuando el uso sea indispensable para prestar el servicio o para cumplir una obligación legal.

10. Cookies y tecnologías similares

La Plataforma utiliza únicamente tecnologías estrictamente necesarias para su funcionamiento:

• Cookie de sesión (amoxtli-session): identifica la sesión iniciada; expira tras 120 minutos de inactividad o al cerrar sesión.
• Cookie de protección contra falsificación de solicitudes (XSRF-TOKEN): protege los formularios del panel.
• Preferencia de tema (claro/oscuro), guardada en el almacenamiento local del navegador y que nunca se envía al servidor.

La Plataforma no utiliza cookies de publicidad, de seguimiento ni herramientas de analítica de terceros. Puede eliminar las cookies desde la configuración de su navegador; hacerlo cerrará su sesión.

11. Cambios al aviso

El Responsable puede modificar este aviso para reflejar cambios legislativos, nuevas funciones o cambios en los proveedores. Conforme al artículo 15, fracción VI, de la Ley, la versión vigente, con su fecha de actualización, estará siempre disponible en amoxtli.digital/privacidad, y los cambios relevantes se comunicarán además por correo electrónico o dentro del panel. Cuando el cambio implique una finalidad nueva o una transferencia que requiera consentimiento, éste se recabará antes de iniciar el tratamiento (artículos 11 y 35 de la Ley).

12. Autoridad y contacto

Si el titular considera que su derecho a la protección de datos personales ha sido vulnerado, o no recibe respuesta a su solicitud, puede acudir ante la Secretaría Anticorrupción y Buen Gobierno, autoridad competente en la materia (artículos 2, fracción XV, 38 y 40 de la Ley), dentro del plazo señalado en la sección 9.2.

Para cualquier duda sobre este aviso: Departamento de Datos Personales de TLANEXTIA S.A.S. de C.V., corporativo@tlanextia.com, Calle Miguel Hidalgo número 4, Colonia Libertad, C.P. 91270, Perote, Veracruz de Ignacio de la Llave, México.