Aviso de Privacidad — Loyverse + Invoicer

En Invoicer nos comprometemos a proteger y respetar su privacidad. Este Aviso de Privacidad Integral —también referido como Política de privacidad— describe qué datos personales recabamos, para qué los usamos, con quién los compartimos y cómo puede ejercer sus derechos, en términos de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), su Reglamento y los Lineamientos del Aviso de Privacidad, con motivo del uso de nuestra integración entre Loyverse e Invoicer.

1. Responsable del tratamiento

El responsable del tratamiento de sus datos personales es Aztecapps Technologies SAPI de CV, con domicilio en Tlaquepaque, Jalisco, México. Para cualquier consulta relacionada con este Aviso puede contactarnos en privacidad@invoicer.mx.

2. A quién aplica este Aviso

Este Aviso distingue dos tipos de titulares, porque los datos que tratamos y el papel que asumimos son distintos en cada caso:

Usuario del servicio (comercio). Quien contrata Invoicer para emitir sus comprobantes. Respecto de estos datos —incluidos los de facturación y pago— actuamos como responsable.
Consumidor final que autofactura. Quien captura su RFC y datos fiscales en el portal de autofacturación de un comercio para obtener su CFDI. Respecto de estos datos el responsable es el comercio que le vendió, y Aztecapps actúa como encargado: los tratamos únicamente por cuenta y siguiendo las instrucciones de ese comercio, con el fin de emitir el comprobante solicitado, y no los usamos para finalidades propias. Por instrucción del comercio, sus datos fiscales (RFC, nombre o razón social, código postal, régimen fiscal, uso de CFDI y correo electrónico) se conservan en el catálogo de clientes de ese comercio para prellenar sus siguientes solicitudes de factura en el mismo comercio; el prellenado sólo se muestra a quien presenta un ticket válido de ese comercio y captura su RFC exacto.

3. Datos personales que recopilamos

Según el tipo de titular, podemos recabar:

Datos de identificación y contacto: nombre o razón social, correo electrónico, teléfono.
Datos fiscales: RFC, razón social, régimen fiscal, código postal y domicilio fiscal, uso de CFDI.
Certificado de Sello Digital (CSD) del emisor: los archivos del certificado (.cer) y de la llave privada (.key) y su contraseña, que usted proporciona para que podamos timbrar y cancelar comprobantes a su nombre. Se usan exclusivamente para esos fines.
Datos de acceso: nombre de usuario y contraseña, que se almacena siempre cifrada y nunca en texto claro.
Datos de uso y técnicos: historial de facturación y de comprobantes emitidos, registros de acceso, dirección IP, navegador y dispositivo.
Datos de facturación y pago: plan contratado e historial de cobros y, respecto de su tarjeta, únicamente la marca, los últimos cuatro dígitos y el tipo (crédito o débito), además de los identificadores que nos asigna el procesador de pagos. El detalle está en la sección 4.

No recabamos datos personales sensibles —origen racial o étnico, estado de salud, creencias religiosas o filosóficas, opiniones políticas, preferencia sexual o datos biométricos— ni los solicitamos en ningún punto del servicio.

4. Datos de pago y procesamiento con Openpay

Los cobros del servicio —las suscripciones mensuales o anuales y cualquier cargo con tarjeta— se procesan a través de Openpay, el procesador de pagos que opera nuestra pasarela de cobro. Esto es lo que ocurre con sus datos de pago:

Los datos de su tarjeta nunca pasan por nuestros servidores. Cuando captura una tarjeta en el panel, el número, la fecha de vencimiento y el código de seguridad viajan directamente desde su navegador a Openpay, que nos devuelve un token de un solo uso. Nuestros sistemas reciben ese token, no la tarjeta.
Lo único que conservamos de su tarjeta es la marca (Visa, Mastercard, etc.), los últimos cuatro dígitos y el tipo (crédito o débito), junto con los identificadores que Openpay asigna a su registro de cliente, a su tarjeta y a su suscripción. Con eso basta para mostrarle qué tarjeta tiene registrada, cobrar la renovación y emitir el CFDI de cada cargo con la forma de pago correcta.
Datos que le transmitimos a Openpay. Para crear su registro de cliente y la suscripción le enviamos su nombre o razón social y el correo electrónico de facturación que tenga registrado, además del token de la tarjeta y el identificador antifraude descrito abajo. No le enviamos sus datos fiscales completos ni la información de los comprobantes que usted emite a sus propios clientes.
Prevención de fraude. Openpay exige un identificador de sesión de dispositivo para autorizar el cargo. Para generarlo, las pantallas de pago del panel cargan un script de Openpay que recolecta, en su navegador y por cuenta de Openpay, información técnica del dispositivo y de la sesión. Sin ese identificador Openpay rechaza la operación, de modo que no es opcional para contratar un plan con tarjeta.
Autenticación del banco (3D Secure). En algunos cargos con tarjeta su banco puede pedirle confirmar la operación: el panel lo redirige a la página de su banco y, al terminar, regresa al panel. Esa autenticación ocurre entre usted, Openpay y su banco; no recibimos ni conservamos los datos que capture ahí.
Seguridad y cumplimiento PCI. El resguardo del número de tarjeta y el cumplimiento del estándar PCI DSS corresponden a Openpay, no a Aztecapps. No almacenamos, transmitimos ni tenemos acceso al número completo de su tarjeta ni a su código de seguridad en ningún momento.
Cargos recurrentes. Al contratar un plan autoriza el cargo automático correspondiente en cada fecha de renovación, hasta que usted cancele. Puede cancelar la suscripción en cualquier momento desde el panel; la cancelación surte efecto al término del período ya pagado.
Tratamiento propio de Openpay. Openpay trata sus datos por nuestra cuenta para procesar el cobro y, además, para cumplir sus propias obligaciones legales y regulatorias como participante del sistema de pagos, incluidas las de prevención de fraude y de operaciones con recursos de procedencia ilícita. Ese tratamiento se rige por el aviso de privacidad de Openpay, publicado en su sitio, cuya consulta le recomendamos.

Las recargas de timbres que se pagan por transferencia bancaria no involucran datos de tarjeta: en ese caso tratamos únicamente el comprobante de pago que usted nos reporta y los datos bancarios que consten en él, con el fin de validar el depósito y acreditar los timbres.

5. Finalidades del tratamiento

Sus datos personales se utilizan para las siguientes finalidades primarias, necesarias para prestarle el servicio:

Prestar el servicio de integración y facturación electrónica entre Loyverse e Invoicer.
Generar, timbrar, entregar y cancelar CFDI conforme a las disposiciones del SAT.
Crear y administrar su cuenta, sus tiendas y sus RFC emisores.
Gestionar su plan de suscripción: contratación, cambios, renovaciones, cuotas y cancelación.
Procesar los cobros del servicio y prevenir el fraude en los pagos.
Emitir el CFDI que corresponde a cada cargo que le hacemos.
Enviarle avisos operativos indispensables: comprobantes emitidos, resultado de un cobro, vencimiento de su plan y cambios a los Términos y condiciones o a este Aviso.
Otorgar y administrar la prueba gratuita, incluidos sus avisos por correo, y conservar el registro del comercio de Loyverse y del RFC emisor que ya la recibieron, para otorgarla una sola vez.
Brindar soporte técnico y atender aclaraciones.
Cumplir obligaciones legales, fiscales y contables, y atender requerimientos de autoridad.

Adicionalmente, y solo si no manifiesta su negativa, trataremos sus datos para las siguientes finalidades secundarias, que no son necesarias para el servicio:

Envío de comunicaciones comerciales, ofertas y novedades del servicio.
Encuestas de satisfacción.
Análisis estadísticos para la mejora del servicio.

Puede negarse al tratamiento para las finalidades secundarias enviando un correo a privacidad@invoicer.mx. Su negativa no será motivo para negarle el servicio.

6. Transferencias y remisiones de datos

Para prestar el servicio compartimos datos con los terceros que se enlistan a continuación. Las remisiones son a proveedores que tratan los datos por nuestra cuenta y bajo nuestras instrucciones; las transferencias son a terceros que los tratan para finalidades propias previstas por la ley.

SAT y Proveedor Autorizado de Certificación (PAC): para el timbrado y la cancelación de sus CFDI. Para ello le enviamos los datos de cada comprobante y, al registrar su CSD, el certificado, la llave privada y su contraseña. Es una transferencia necesaria conforme a la legislación fiscal y no requiere su consentimiento.
Openpay: para procesar los cobros del servicio y prevenir el fraude, en los términos de la sección 4.
Proveedor de infraestructura en la nube (Amazon Web Services): para el alojamiento de la aplicación, las bases de datos y los archivos de sus comprobantes. Ver la sección 7.
Loyverse: plataforma de punto de venta de la que, con su autorización expresa mediante OAuth, leemos los tickets y catálogos necesarios para facturar. Puede revocar esa autorización desde su cuenta de Loyverse.
Proveedor de envío de correo electrónico: para entregarle sus comprobantes y los avisos del servicio.
Autoridades competentes: cuando sea requerido por ley, por resolución judicial o para la defensa de nuestros derechos.

No vendemos sus datos personales ni los compartimos con terceros para las finalidades comerciales propias de esos terceros.

7. Almacenamiento fuera de México

La infraestructura que soporta Invoicer opera en centros de datos de Amazon Web Services ubicados en Estados Unidos de América. Sus datos personales, por tanto, se almacenan y procesan fuera del territorio nacional. Esta remisión es necesaria para la prestación del servicio que usted contrata y se realiza al amparo de las obligaciones contractuales de confidencialidad y seguridad que dicho proveedor asume frente a nosotros.

8. Cookies y tecnologías de rastreo

Utilizamos cookies y tecnologías similares para mantener su sesión, recordar sus preferencias de interfaz, analizar el tráfico y mejorar el servicio. En particular:

Almacenamiento de sesión: el panel guarda su token de sesión en el navegador para mantenerlo autenticado; se elimina al cerrar sesión.
Script antifraude de Openpay: se carga únicamente en las pantallas de pago y recolecta información técnica del dispositivo por cuenta de Openpay, como se explica en la sección 4.

Puede configurar su navegador para rechazar cookies, aunque algunas funcionalidades —incluida la contratación de un plan con tarjeta— podrían dejar de funcionar.

9. Seguridad

Implementamos medidas de seguridad técnicas, administrativas y físicas para proteger sus datos personales contra acceso no autorizado, pérdida, alteración o divulgación indebida. Entre ellas: cifrado TLS en toda la transmisión de datos, resguardo cifrado de contraseñas, autenticación por token con expiración, control de acceso por cuenta y por tienda, y segregación de los datos de cada comercio. El resguardo de los datos de tarjeta recae en Openpay, bajo el estándar PCI DSS.

Ninguna medida de seguridad es infalible. Si ocurriera una vulneración que afecte de forma significativa sus derechos patrimoniales o morales, se lo informaremos sin demora para que pueda tomar las medidas que correspondan.

10. Derechos ARCO y revocación del consentimiento

Usted tiene derecho a Acceder, Rectificar, Cancelar u Oponerse al tratamiento de sus datos personales (derechos ARCO), así como a revocar el consentimiento que nos haya otorgado y a limitar el uso o divulgación de sus datos. Para ejercerlos, envíe una solicitud a privacidad@invoicer.mx con:

Nombre completo y correo electrónico registrado en su cuenta.
Descripción clara del derecho que desea ejercer y de los datos involucrados.
Documento que acredite su identidad o el poder que acredite la representación.

Daremos respuesta en un plazo máximo de 20 días hábiles y, de resultar procedente, la haremos efectiva dentro de los 15 días hábiles siguientes. El ejercicio de estos derechos es gratuito; únicamente podrían cobrarse los gastos justificados de envío o reproducción.

Tres precisiones importantes:

Datos de tarjeta. Como el número de su tarjeta lo resguarda Openpay y no nosotros, una solicitud referida a esos datos debe dirigirse también a Openpay. Desde el panel puede eliminar la tarjeta registrada y cancelar su suscripción en cualquier momento.
Límites legales. La cancelación o la oposición pueden no ser procedentes cuando debamos conservar los datos para cumplir una obligación legal —señaladamente la fiscal, que nos obliga a conservar los comprobantes emitidos— o mientras exista una relación contractual vigente o un adeudo pendiente.
Si usted es consumidor final y autofacturó en el portal de un comercio, su solicitud debe dirigirse a ese comercio, que es el responsable de sus datos. Si nos la envía a nosotros, la canalizaremos con él.

11. Retención de datos

Conservamos sus datos personales durante el tiempo necesario para cumplir las finalidades de este Aviso y mientras exista una relación contractual vigente. Además:

Comprobantes fiscales y datos fiscales asociados: por el plazo mínimo que exige la legislación fiscal mexicana, cinco años, contados a partir de la fecha en que se presentó o debió presentarse la declaración correspondiente.
Historial de cobros e identificadores de Openpay: mientras su cuenta exista y, después, por el plazo necesario para atender aclaraciones, reembolsos y obligaciones contables y fiscales.
Registros de acceso y bitácoras técnicas: por el período necesario para fines de seguridad y auditoría.

Concluidos esos plazos, los datos se suprimen o se anonimizan.

12. Cambios a este Aviso

Podemos actualizar este Aviso para reflejar cambios en el servicio, en nuestros proveedores o en la legislación aplicable. Cuando el cambio sea material se lo notificaremos por correo electrónico o mediante un aviso en el propio panel, que en su caso le pedirá aceptar la nueva versión antes de continuar. La fecha de la última actualización se indica al inicio de este documento y la versión vigente está siempre disponible en esta página.

13. Contacto

Para cualquier consulta sobre este Aviso o sobre el tratamiento de sus datos personales, contáctenos en privacidad@invoicer.mx. Si considera que su derecho a la protección de datos personales ha sido lesionado, puede acudir ante la autoridad competente en materia de protección de datos personales.