Aviso de Privacidad Integral

1. Identidad del Responsable

Luis Angel Molina Antonio, persona física con actividad empresarial bajo el Régimen de Persona Física con Actividad Empresarial, con RFC MOAL971101325, domiciliado en C.P. 77517, Cancún, Quintana Roo, México (en adelante, "el Responsable"), operando comercialmente bajo la marca LAMA Controls, es responsable del tratamiento de los datos personales que usted proporciona a través de la plataforma ServiReports(en adelante, "la Plataforma"), incluyendo la aplicación móvil, el portal web de administración y los servicios de backend asociados.

Para cualquier asunto relacionado con el tratamiento de sus datos personales, puede contactarnos en: privacy-policy@servireports.com.

2. Datos Personales Recopilados

La Plataforma recopila las siguientes categorías de datos personales, de acuerdo con la funcionalidad utilizada:

2.1 Datos de identificación y contacto

• Nombre completo del titular y/o nombre de la organización
• Correo electrónico
• Número de teléfono móvil
• País de origen del número telefónico

2.2 Datos técnicos del dispositivo

• Modelo y fabricante del dispositivo
• Sistema operativo y versión
• Identificador único de dispositivo (token de autenticación generado por la Plataforma, no IMEI)
• Versión de la aplicación instalada

2.3 Datos generados en el uso de la Plataforma

• Fotografías capturadas o seleccionadas para los reportes técnicos
• Firmas digitales (trazos capturados en pantalla, convertidos a imagen)
• Coordenadas GPS al momento de crear un reporte (previo consentimiento del sistema operativo)
• Textos descriptivos y observaciones redactados en los reportes
• Datos de los reportes técnicos: título, cliente, empresa, ubicación, fecha, hora
• Logotipo de la organización (imagen proporcionada por el usuario)
• Registros de errores de la aplicación (logs técnicos, sin contenido de reportes)
• Registro de actividad: acciones que cambian la configuración o los datos de su organización, e inicios y cierres de sesión, con fecha, usuario, plataforma y versión de la aplicación. Se usa solo para soporte técnico y seguridad; los cambios se conservan 1 año y los accesos 90 días.

2.4 Datos financieros

La Plataforma no almacena datos financieros directamente. Los pagos son procesados exclusivamente por terceros autorizados (Stripe, Paddle, Google Pay y Apple Pay). El Responsable no tiene acceso a números de tarjeta, CVV ni datos bancarios completos. Únicamente recibimos confirmaciones de transacción (monto, fecha, estado, identificador de transacción) para la asignación de folios.

2.5 Datos sensibles

La Plataforma no recopila datos personales sensibles según la definición de la LFPDPPP (origen étnico, estado de salud, creencias religiosas, afiliación sindical, opiniones políticas, preferencia sexual, datos biométricos con fines de identificación única, entre otros).

2.5. Permisos de la Aplicación (Dispositivo)

La aplicación móvil solicita los siguientes permisos del dispositivo, únicamente cuando usted utiliza la función correspondiente. Todos son opcionales y pueden denegarse o revocarse en los Ajustes del sistema (la app sigue funcionando con esa función limitada). El detalle de cada uso se encuentra en el aviso de Uso de Datos.

Ubicación (GPS): para registrar en el reporte dónde se prestó el servicio. Solo «mientras se usa la app» (iOS) / ubicación precisa o aproximada (Android). Nunca en segundo plano.

Cámara: para tomar las fotos del trabajo y el logotipo de la organización.

Fotos / Galería: para elegir fotos existentes y para guardar en su galería una copia de las fotos tomadas en la app.

Notificaciones (locales): recordatorios mostrados en el propio dispositivo. No se envían notificaciones push remotas ni marketing.

Portapapeles: únicamente para autocompletar el código de verificación (OTP) al iniciar sesión.

Compras: para adquirir folios mediante App Store (iOS) o Google Play (Android); los datos de pago los maneja la tienda.

Red local (iOS) y protección de red local (Android): solo para Crear reporte desde la computadora, para conectar el celular con la computadora dentro de la misma red.

Servicio en primer plano y notificación (Android): mientras dura una sesión de Crear reporte desde la computadora, el aviso «Conectado al Portal» mantiene la conexión aunque la app pase a segundo plano. Termina al cerrar la sesión.

La aplicación no solicita micrófono, contactos, calendario ni identificadores de seguimiento publicitario (sin App Tracking Transparency / IDFA).

3. Finalidades del Tratamiento

3.1 Finalidades primarias (necesarias para el servicio)

• Crear, verificar y administrar su cuenta de usuario
• Autenticar su identidad mediante código SMS o correo electrónico
• Generar reportes técnicos de campo con identificador folio único
• Almacenar y sincronizar reportes entre el dispositivo móvil y la nube
• Generar documentos PDF a partir de los reportes creados
• Gestionar la estructura organizacional (departamentos, tipos de usuario, plantillas)
• Procesar la compra de paquetes de folios a través de los procesadores de pago
• Proporcionar soporte técnico y diagnosticar errores de la aplicación
• Mantener la sesión activa y la seguridad de la cuenta

3.2 Finalidades secundarias (opcionales)

• Analizar el contenido de los reportes con la IA de ServiReports (servicio de Google, modelos Gemini) para generar los tableros del complemento BI Reports, cuando la organización contrata y activa esa función
• Enviar comunicaciones informativas sobre actualizaciones del servicio
• Realizar análisis estadísticos agregados (no individuales) para mejorar la Plataforma

Si usted no desea que sus datos sean tratados para las finalidades secundarias, puede comunicarlo a privacy-policy@servireports.com. La negativa no afectará la prestación del servicio principal.

4. Fundamento Legal

El tratamiento de sus datos personales se realiza con base en los siguientes fundamentos legales:

• México: Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y su Reglamento. El tratamiento se sustenta en el consentimiento otorgado al aceptar este Aviso de Privacidad al momento de registrarse, así como en la relación contractual derivada del uso del servicio.
• Estados Unidos (California): California Consumer Privacy Act (CCPA) y California Privacy Rights Act (CPRA). Consulte la Sección 11 para información específica sobre sus derechos bajo estas leyes.
• Canadá: Personal Information Protection and Electronic Documents Act (PIPEDA). Consulte la Sección 12 para información específica sobre sus derechos bajo esta ley.

5. Consentimiento

Al registrarse en la Plataforma, ya sea mediante el flujo de Inicio Rápido, la activación por código de invitación o el portal web, usted otorga su consentimiento expreso para el tratamiento de sus datos personales conforme a lo descrito en este Aviso. Para los datos de ubicación GPS y el uso del asistente de inteligencia artificial, se requiere consentimiento adicional que el sistema operativo y la aplicación solicitan en el momento de cada uso.

Usted puede revocar su consentimiento en cualquier momento, sin efectos retroactivos, comunicándose a privacy-policy@servireports.com. La revocación del consentimiento para las finalidades primarias implicará la imposibilidad de continuar prestando el servicio.

6. Transferencia de Datos

Sus datos personales pueden ser transferidos a los siguientes terceros, exclusivamente para las finalidades descritas en este Aviso:

Cada uno de estos terceros opera bajo sus propias políticas de privacidad y estándares de seguridad. Las transferencias se realizan conforme a las excepciones previstas en el artículo 36, fracción VII de la LFPDPPP, al ser necesarias para el mantenimiento o cumplimiento de la relación jurídica con usted. No vendemos, alquilamos ni compartimos sus datos personales con terceros para fines comerciales, publicitarios o de mercadotecnia.

7. Medidas de Seguridad

El Responsable ha implementado medidas de seguridad administrativas, técnicas y físicas para proteger sus datos personales contra daño, pérdida, alteración, destrucción, uso, acceso o tratamiento no autorizado:

Medidas técnicas

• Cifrado AES-256 de los reportes almacenados en el dispositivo móvil
• Cifrado en tránsito mediante HTTPS/TLS en todas las comunicaciones
• Cifrado en reposo en los servidores de AWS (S3 server-side encryption, DynamoDB encryption)
• Autenticación de dispositivo mediante token único por sesión
• Verificación de identidad por código SMS y/o correo electrónico
• Separación de pools de autenticación para usuarios de la app, administradores del portal y superadministradores
• Control de acceso basado en roles (propietario, co-propietario, administrador, supervisor)
• Protección de URLs de API mediante rewrites en el servidor (las URLs reales no se exponen al navegador)
• Encabezados de seguridad HTTP (X-Frame-Options, CSP, HSTS, X-Content-Type-Options)
• Bloqueo de captura de pantalla en la vista previa de reportes dentro de la aplicación móvil

Medidas administrativas

• Acceso restringido a la infraestructura de producción
• Registro de errores y auditoría de operaciones del sistema
• Revisión periódica de permisos y accesos

8. Derechos ARCO (México)

Conforme a la LFPDPPP, usted tiene derecho a:

• Acceso: Conocer qué datos personales tenemos sobre usted y las condiciones de su tratamiento.
• Rectificación: Solicitar la corrección de datos inexactos o incompletos.
• Cancelación: Solicitar la eliminación de sus datos cuando considere que no están siendo tratados conforme a los principios y deberes aplicables.
• Oposición: Oponerse al tratamiento de sus datos para finalidades específicas.

Para ejercer sus derechos ARCO, envíe una solicitud a privacy-policy@servireports.com incluyendo:

• Nombre completo del titular
• Número de teléfono o correo electrónico registrado en la Plataforma
• Descripción clara y precisa de los datos personales respecto de los cuales busca ejercer alguno de los derechos ARCO
• Cualquier documento o información que facilite la localización de los datos

El Responsable responderá en un plazo máximo de 20 días hábiles contados desde la recepción de la solicitud. De resultar procedente, los cambios se harán efectivos dentro de los 15 días hábiles siguientes a la respuesta. Los plazos podrán ampliarse una sola vez por un periodo igual, previa notificación.

9. Retención y Eliminación de Datos

Los datos personales se conservan de acuerdo con los siguientes criterios:

• Datos de cuenta: Se conservan mientras la cuenta esté activa. Al solicitar la eliminación de la cuenta, los datos se eliminan dentro de los 30 días naturales siguientes.
• Reportes en la nube: Siguen un ciclo de vida de almacenamiento: estándar (primeros 90 días), acceso infrecuente (90–270 días), archivo glaciar (270–720 días), archivo profundo (720 días en adelante). Los reportes se conservan por un máximo de 10 años, después de lo cual se eliminan automáticamente.
• Reportes locales: Almacenados exclusivamente en el dispositivo del usuario, bajo su control. El usuario puede eliminarlos en cualquier momento desde la aplicación.
• Registros de errores: Se conservan por un máximo de 90 días para fines de diagnóstico técnico, después se eliminan automáticamente.
• Registros de pago: Se conservan conforme a las obligaciones fiscales aplicables en México (10 años según el Código Fiscal de la Federación).

Cuando un administrador solicita la eliminación completa de una organización desde el portal, se eliminan todos los datos asociados: registros en base de datos, archivos en almacenamiento en la nube y cuentas de usuario vinculadas.

10. Uso por Menores de Edad

La Plataforma está diseñada exclusivamente para uso profesional y empresarial. No está dirigida a menores de 18 años. No recopilamos intencionalmente datos personales de menores. Si el Responsable tiene conocimiento de que se han recopilado datos de un menor de 18 años, se procederá a la eliminación inmediata de dicha información. Si usted es padre, madre o tutor y tiene conocimiento de que un menor ha proporcionado datos personales a la Plataforma, comuníquese a privacy-policy@servireports.com.

11. Derechos para Residentes de California (CCPA/CPRA)

Si usted es residente de California, Estados Unidos, tiene los siguientes derechos adicionales bajo el California Consumer Privacy Act (CCPA) y el California Privacy Rights Act (CPRA):

• Derecho a saber: Tiene derecho a solicitar que le informemos qué categorías y datos personales específicos hemos recopilado sobre usted, las fuentes de recopilación, el propósito comercial o empresarial de la recopilación y las categorías de terceros con quienes se comparten.
• Derecho a eliminar: Tiene derecho a solicitar la eliminación de sus datos personales, sujeto a ciertas excepciones legales.
• Derecho a corregir: Tiene derecho a solicitar la corrección de datos personales inexactos.
• Derecho a optar por no participar en la venta o el uso compartido: No vendemos ni compartimos (según la definición de la CCPA) sus datos personales. No participamos en publicidad conductual cruzada.
• Derecho a la no discriminación: No le discriminaremos por ejercer cualquiera de sus derechos de privacidad.

Categorías de información personal recopilada (últimos 12 meses):

• Identificadores (nombre, email, teléfono, identificador de dispositivo)
• Información comercial (historial de compras de folios)
• Datos de geolocalización (coordenadas GPS, con consentimiento previo)
• Información de actividad en Internet o red electrónica (registros de errores de la aplicación)
• Información profesional o laboral (nombre de organización, sector, departamento)

Para ejercer estos derechos, envíe su solicitud a privacy-policy@servireports.com. Verificaremos su identidad utilizando el número de teléfono o correo electrónico asociado a su cuenta. Responderemos en un plazo de 45 días naturales, con posibilidad de extensión de 45 días adicionales previa notificación.

12. Derechos para Residentes de Canadá (PIPEDA)

Si usted reside en Canadá, sus datos personales son tratados conforme a los principios de la Personal Information Protection and Electronic Documents Act (PIPEDA):

• Consentimiento: Recopilamos y utilizamos sus datos personales con su consentimiento informado, otorgado al registrarse en la Plataforma.
• Limitación de la recopilación: Solo recopilamos los datos necesarios para los fines identificados en este aviso.
• Limitación del uso, divulgación y conservación: Sus datos solo se utilizan para las finalidades para las cuales fueron recopilados y se conservan únicamente durante el tiempo necesario.
• Exactitud: Mantenemos sus datos actualizados según la información que usted nos proporciona.
• Acceso: Tiene derecho a solicitar acceso a sus datos personales y a solicitar correcciones.
• Transferencia transfronteriza: Sus datos son almacenados en servidores de AWS en Estados Unidos (Ohio). Al utilizar la Plataforma, usted consiente esta transferencia.

Para ejercer sus derechos o presentar una queja, comuníquese a privacy-policy@servireports.com. Si no queda satisfecho con nuestra respuesta, puede presentar una queja ante la Office of the Privacy Commissioner of Canada en www.priv.gc.ca.

12.5. Residentes en la Unión Europea (RGPD / GDPR)

A partir de mayo de 2026, ServiReports acepta pagos en euros (EUR) y demás monedas europeas vía nuestro procesador Paddle (Merchant of Record). Si usted es residente del Espacio Económico Europeo (EEE), Reino Unido o Suiza, sus datos personales se procesan conforme al Reglamento General de Protección de Datos (RGPD / GDPR — Reglamento UE 2016/679), sin perjuicio del marco mexicano (LFPDPPP) aplicable al Responsable.

Base jurídica del tratamiento (Art. 6 RGPD). Tratamos sus datos personales bajo las siguientes bases:

• Ejecución de un contrato (Art. 6.1.b) — autenticación, emisión de folios, generación de reportes, cobro de planes/folios y soporte al cliente.
• Cumplimiento de obligación legal (Art. 6.1.c) — conservación de comprobantes fiscales (Paddle como MoR retiene IVA/VAT por jurisdicción; LAMA Controls conserva referencias hash de pago).
• Interés legítimo (Art. 6.1.f) — diagnóstico técnico (logs de errores), prevención de fraude, seguridad operativa y mejora del producto. Sopesamos sus derechos y libertades; puede oponerse a este tratamiento en cualquier momento.
• Consentimiento (Art. 6.1.a) — únicamente para funciones opcionales que usted activa explícitamente (e.g. asistente IA, geolocalización exacta, sincronización en la nube). Puede retirarlo cuando lo desee sin afectar la licitud del tratamiento anterior.

Sus derechos como titular (Art. 12–22 RGPD). Usted puede ejercer en cualquier momento, sin coste, los siguientes derechos contactando privacy-policy@servireports.com:

• Acceso (Art. 15) — copia de sus datos en formato legible.
• Rectificación (Art. 16) — corrección de datos inexactos.
• Supresión / “Derecho al olvido” (Art. 17) — borrado cuando ya no sean necesarios, retire consentimiento o se oponga. Excepción: datos que debamos conservar por obligación fiscal/contable según Paddle MoR o legislación mexicana.
• Limitación del tratamiento (Art. 18) — congelar tratamiento mientras se resuelve una rectificación u oposición.
• Portabilidad (Art. 20) — exportación de sus datos en formato estructurado (JSON) y, cuando técnicamente sea posible, transmisión directa a otro responsable.
• Oposición (Art. 21) — al tratamiento basado en interés legítimo o marketing directo (no realizamos perfilado ni marketing automatizado actualmente).
• No ser objeto de decisiones automatizadas (Art. 22) — no tomamos decisiones legales o significativas sobre usted basadas únicamente en procesamiento automatizado.

Plazo de respuesta: contestaremos su solicitud en un máximo de 30 días (prorrogables 60 días adicionales por complejidad, Art. 12.3).

Transferencias internacionales fuera del EEE (Cap. V RGPD). Sus datos pueden transferirse fuera del EEE a:

• AWS (Amazon Web Services), región us-east-2 (Ohio, EE.UU.) — almacenamiento + cómputo. Cubierto por EU-U.S. Data Privacy Framework (DPF) y Cláusulas Contractuales Tipo (SCC).
• Paddle.com Market Limited (Reino Unido) — Merchant of Record. UK Adequacy Decision UE 2021/1772.
• Stripe Inc. (EE.UU.) — exclusivamente para pagos México (MXN); no aplica a usuarios EEE. SCC + DPF.
• Google Gemini (EE.UU.) — únicamente si usted activa el asistente IA. Datos minimizados, sin reentrenamiento.

Plazos de conservación. Mismo esquema descrito en la Sección 9 (Conservación) de este Aviso, complementado para usuarios UE:

• Datos de cuenta: mientras la cuenta esté activa + 12 meses tras cancelación.
• Reportes generados: 24 meses post-cancelación o hasta solicitud de borrado.
• Datos de pago / facturación: 10 años (obligación fiscal Paddle MoR + LAMA Controls).
• Logs de errores y diagnóstico: 90 días.

Notificación de brechas (Art. 33–34 RGPD). En caso de violación de seguridad que afecte sus datos personales, notificaremos a la Autoridad de Control competente en menos de 72 horas y a usted sin dilación injustificada cuando exista alto riesgo para sus derechos y libertades.

Delegado de Protección de Datos (DPO). Por nuestro tamaño actual no estamos obligados a designar DPO formal (Art. 37). El responsable directo del tratamiento es Luis Angel Molina Antonio, contactable en privacy-policy@servireports.com.

Autoridad de control. Tiene derecho a presentar reclamación ante su Autoridad de Control nacional (e.g. AEPD España, CNIL Francia, BfDI Alemania, Garante Italia, ICO Reino Unido, DPC Irlanda), sin perjuicio de cualquier otro recurso administrativo o judicial.

Representante en la UE (Art. 27). Por nuestra escala y volumen actual de tratamiento ocasional/no sistemático en la UE no estamos obligados a designar representante. Si esto cambia, se publicará en esta sección.

12.6. Otras Jurisdicciones Internacionales

Si usted reside en una jurisdicción no listada específicamente en las secciones anteriores (por ejemplo, Brasil — LGPD; Reino Unido — UK GDPR; Suiza — FADP; Australia — Privacy Act 1988; países de Latinoamérica, Asia-Pacífico, Medio Oriente o África), sus datos personales se tratan bajo estándares internacionales alineados con el GDPR, CCPA y LFPDPPP descritos en este Aviso, en la medida en que su ley local aplique según su umbral de jurisdicción extraterritorial.

Reconocemos los derechos básicos de acceso, rectificación, supresión, oposición y portabilidad (cuando proceda) para cualquier titular, independientemente de su residencia. Para ejercerlos, contacte privacy-policy@servireports.com; respondemos en máximo 30 días o el plazo más corto que su ley nacional exija.

Tiene derecho a presentar reclamación ante su Autoridad de Control nacional sin perjuicio de cualquier otro recurso administrativo o judicial. Si tiene dudas sobre si su jurisdicción específica aplica a su caso, escríbanos a privacy-policy@servireports.com y atenderemos su consulta individualmente.

13. Uso de Inteligencia Artificial

La Plataforma ofrece una función opcional de asistente de redacción basado en inteligencia artificial (Google Gemini Flash). Cuando el usuario activa esta función, el texto descriptivo del reporte y el sector/giro de la organización se envían a los servidores de Google para su procesamiento. Google procesa este texto conforme a sus propias políticas de privacidad y condiciones de uso para API. La función de IA está controlada por un flag de activación por organización que puede ser habilitado o deshabilitado por el administrador del sistema. El uso del asistente IA es siempre voluntario y se activa por acción explícita del usuario en cada uso.

La Plataforma ofrece además el complemento opcional BI Reports, que la organización contrata y activa por departamento. Cuando está activo, el texto de cada reporte nuevo del departamento se envía a la IA de ServiReports —el mismo proveedor, Google, con sus modelos Gemini— junto con el sector, país y descripción de la organización, para extraer datos estructurados (equipo atendido, tipo de intervención, mediciones citadas) con los que se construyen los tableros. La organización decide qué departamentos se analizan y desde qué fecha, y puede desactivar el complemento en cualquier momento. De forma predeterminada no se envía ninguna fotografía: solo texto. La organización puede activar por separado el análisis con fotografías; mientras ese ajuste esté encendido, las fotografías de cada reporte analizado se envían al mismo proveedor, para el mismo fin y con el mismo tratamiento que el texto, y el resultado guarda únicamente una referencia a la fotografía (folio y nombre de archivo), nunca una copia. Ese ajuste lo controla el dueño o codueño de la organización y puede apagarse en cualquier momento.

14. Cookies y Tecnologías de Rastreo

El portal web administrativo de la Plataforma (app.servireports.com) no utiliza cookies de rastreo, cookies publicitarias ni tecnologías similares con fines de perfilamiento o publicidad. Únicamente se utilizan tokens de sesión de autenticación (AWS Cognito) almacenados en el navegador, necesarios para mantener la sesión activa del usuario. Estos tokens se eliminan automáticamente al cerrar sesión. La aplicación móvil no utiliza cookies.

14.1 Cookie analítica del sitio público (www.servireports.com)

El sitio público de mercadeo www.servireports.com (distinto del portal administrativo) utiliza una única cookie propia (first-party), sr_visitor_id, con fines de análisis de mercado y de uso de la página. Es un identificador anónimo generado al azar (UUID), no vinculado a ninguna cuenta ni identidad de ServiReports, con duración de 1 año, marcada SameSite=Lax y Secure.

Con esta cookie medimos, de forma agregada:

• Número de visitantes únicos por día
• Clics en el menú de navegación (qué secciones se visitan más)
• Uso y clics dentro del simulador interactivo de la Plataforma
• Uso y clics del tutorial guiado (en la página y dentro del simulador)
• Uso del asistente de chat con inteligencia artificial
• Ubicación aproximada del visitante: país en las métricas generales, y ciudad + coordenadas aproximadas (redondeadas a un radio de varios kilómetros) en el panel de administración interno de ServiReports

La ubicación aproximada se determina mediante la infraestructura de red del propio proveedor de hosting (encabezado geográfico de CloudFront), o en su defecto mediante un servicio de geolocalización por IP como respaldo. En ningún caso se trata de la ubicación GPS de su dispositivo ni de una dirección exacta: la coordenada se redondea deliberadamente (margen de error de varios kilómetros) antes de guardarse, y la dirección IP del visitante nunca se almacena. Esta información es de uso interno exclusivo del equipo de ServiReports para entender de qué regiones provienen los visitantes; no se muestra públicamente, no se comparte, vende ni cede a terceros con fines publicitarios, y no se combina con datos de cuentas de usuario de la aplicación o portal administrativo.

Puede impedir esta cookie borrando las cookies de su navegador o usando la configuración de bloqueo de cookies de terceros/rastreo del propio navegador; el sitio sigue funcionando con normalidad sin ella (solo se pierde el conteo de visitante recurrente).

15. Modificaciones al Aviso de Privacidad

El Responsable se reserva el derecho de modificar el presente Aviso de Privacidad en cualquier momento. Cualquier modificación será publicada en esta misma URL (app.servireports.com/privacy-policy) y se actualizará la fecha de "Última actualización". Para cambios sustanciales que afecten el tratamiento de sus datos, se le notificará mediante la aplicación móvil o por correo electrónico. Se recomienda revisar este aviso periódicamente.

16. Autoridad Reguladora

Si considera que su derecho a la protección de datos personales ha sido vulnerado, puede iniciar el procedimiento de protección de derechos ante la Secretaría Anticorrupción y Buen Gobierno, autoridad competente conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares vigente (publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, que sustituyó al INAI), a través de www.gob.mx/buengobierno.

17. Datos fiscales para facturación (México)

Cuando un usuario en México solicita factura de una compra procesada vía Stripe, recopilamos los siguientes datos fiscales:

• RFC (Registro Federal de Contribuyentes)
• Razón social
• Código postal del domicilio fiscal
• Régimen fiscal SAT
• Uso del CFDI (G03 — Gastos en general por defecto)
• Forma de pago

Tratamiento: estos datos se transmiten a Facturama (Proveedor Autorizado de Certificación PAC) exclusivamente para emitir el CFDI 4.0 ante el SAT. Se almacenan en nuestros servidores AWS (us-east-2) junto con el comprobante emitido (XML + PDF) en S3 con cifrado en reposo.

Plazo de conservación: 10 años conforme al Código Fiscal de la Federación (Art. 30). Transcurrido ese plazo procedemos a su eliminación.

Aviso de Privacidad de Facturama: al transmitir datos a Facturama, su tratamiento adicional queda regido por el aviso de privacidad de dicho tercero. Consulta más en facturama.mx.

18. Datos servidos por la API (ServiReports Connect)

Si la organización activa la API (ServiReports Connect), ésta entrega, mediante llaves de API, metadatos de los reportes de la propia organización que pueden incluir datos personales: folio, título, cliente, empresa, departamento, tipo de usuario, nombre de quien creó el reporte, fechas y el identificador de referencia externo. La API actual no entrega fotografías ni firmas por este medio.

Roles. La organización dueña de los reportes es la responsable del tratamiento; el integrador que consume la API actúa como encargado y asume el resguardo, el uso limitado a la finalidad y la no divulgación; ServiReports es encargado que provee la plataforma y el medio de acceso.

Finalidad. Los datos se sirven únicamente para que el Cliente integre, visualice, clasifique y conserve los reportes de su organización en sus sistemas. Obtener el consentimiento de los titulares para tratamientos vía integraciones es responsabilidad de la organización.

Seguridad y conservación. Aplicamos llaves hasheadas, cifrado en tránsito (TLS), aislamiento por organización y el orgId siempre resuelto del lado del servidor. El Cliente se obliga a medidas equivalentes y a conservar los datos solo mientras sean necesarios para la finalidad, borrándolos al cesar la relación.

Derechos ARCO. Las solicitudes de Acceso, Rectificación, Cancelación u Oposición se atienden a través de la organización responsable; el integrador debe colaborar y propagar cancelaciones a sus copias. ServiReports no vende datos.

18.5. Crear reporte desde la computadora

Esta función permite llenar en la computadora un reporte que se guarda en el celular del técnico. Se inicia en la página Crear reporte del portal, que muestra un código QR, y se conecta al escanearlo con la app.

Los datos del reporte viajan directo entre el celular y la computadora dentro de la red local, cifrados, y no pasan por nuestros servidores. La computadora no guarda el reporte: al cerrar la sesión o la pestaña no queda copia en ella. El folio, las firmas y el PDF se hacen solo en el celular.

Para iniciar la conexión, la app envía un saludo cifrado a nuestros servidores. Nosotros no podemos leerlo; se borra a los 15 minutos. Registramos en la trazabilidad de la organización que se abrió una sesión (fecha y usuario), sin el contenido del reporte.

Los permisos que usa (red local en iOS; servicio en primer plano y notificación en Android) se describen en la sección de Permisos de la Aplicación.

Sin internet: la cámara web de la computadora lee un segundo código que muestra el celular. La imagen se procesa solo en el navegador para leer el código; no se guarda ni se envía. Para poder abrirla sin internet, el navegador conserva una copia de las páginas de inicio de sesión y Crear reporte (nunca del reporte).

El navegador pide permiso de acceso a la red local para encontrar el celular. Las direcciones de red local de ambos equipos se intercambian dentro del código QR y del saludo cifrado; no las guardamos. Para evitar abusos limitamos la generación de códigos QR por red: usamos la dirección IP de la conexión como contador temporal, sin asociarla a tu cuenta, y se borra automáticamente poco después.

18.6. Página de estado (status.servireports.com)

La página de estado muestra la disponibilidad del servicio, los incidentes y los mantenimientos. No requiere cuenta, no usa cookies ni herramientas de analítica y no recopila datos personales.

Como cualquier sitio web, nuestro proveedor de infraestructura (Amazon Web Services) procesa la dirección IP de cada visita para entregar la página y protegerla contra abusos (límite de peticiones por dirección); no la guardamos ni la asociamos a ninguna persona.

19. Aceptación al ser invitado

Las personas invitadas a una organización existente como administrador (vía correo electrónico con código de activación) o como miembro (vía código de invitación que el administrador comparte directamente) deben aceptar expresamente este Aviso de Privacidad y los Términos y Condiciones antes de poder activar su acceso.

La aceptación se registra con fecha, hora y origen (correo de invitación, código manual o registro directo) y queda asociada a su cuenta. Sin esta aceptación no es posible acceder al servicio.

Si en el futuro se publica una versión materialmente distinta de este Aviso o de los Términos, le notificaremos por correo o aviso en el portal con al menos 30 días de anticipación.

20. Contacto

Para cualquier consulta, solicitud o queja relacionada con la protección de sus datos personales: