Tus datos y los de tus clientes

Dónde se guardan

En un servidor de Hetzner en Helsinki, Finlandia (Unión Europea). Ahí viven la plataforma y la base de datos. Cada XML que subes a la ficha de un cliente se guarda completo y comprimido, con lo que el resumen necesita (folio fiscal, fecha, RFC e importes). Si subes el ZIP de la descarga masiva del SAT, se abre en el servidor, se guardan solo los XML y el ZIP no se conserva.

Cómo se protegen

• Todo viaja cifrado. La aplicación y la base no están expuestas a internet: las visitas llegan por un túnel cifrado.
• Cada despacho ve solo lo suyo. Lo impone la base de datos, no la pantalla, y se comprueba con pruebas automáticas.
• La base se respalda cada día. Los respaldos se cifran antes de salir del servidor y se guardan en Cloudflare R2 con una clave que Cloudflare no tiene.
• Dentro del servidor, los XML se guardan comprimidos en la base, sin un cifrado aparte: los protegen los dos primeros puntos.
• La e.firma de un cliente que el titular guarda para la descarga automática sí va cifrada aparte, con una llave maestra que no está en la base ni en los respaldos; su contraseña no se guarda.

Quién puede verlos

• Tú y los auxiliares que invites a tu despacho, cada uno con su cuenta. Ningún otro despacho.
• La plataforma no tiene una pantalla para ver los datos de los despachos. Quien administra el servidor (SICF Consultores Contables y Fiscales, S.C., que opera Whale Design) tiene acceso técnico a la base y lo usa solo para darte el servicio: mantenerla, restaurar un respaldo o atender lo que nos pidas.
• No usamos los datos de tus clientes para nada propio ni los vendemos. Frente a ellos, el responsable de sus datos eres tú.
• Los avisos por correo salen por Resend solo con cuántos casos hay, sin nombres ni RFC de tus clientes ni de sus proveedores. Si aceptas que el asistente del panel consulte tus datos, los que necesita para contestar van a Anthropic. Al SAT le llegan los datos para revisar el estatus y, al bajar del SAT, el .cer y las peticiones firmadas. La lista completa de proveedores está en el aviso de privacidad.

Cuánto tiempo y cómo se borran

• Mientras tengas cuenta. Si tu prueba o tu plan terminan, la cuenta queda en solo lectura y nada se borra solo.
• Al eliminar a un cliente en su ficha se borran de la base él, todos sus XML y su e.firma guardada.
• La e.firma guardada se borra al momento con «Borrar la e.firma», o sola 30 días después de que venza o de que termine tu plan. No entra en los respaldos.
• Para borrar tu cuenta completa, escribe a [email protected].
• Lo borrado sale también de los respaldos en un máximo de cinco semanas, cuando rotan (se conservan 7 respaldos diarios y 4 semanales). Solo guardamos más tiempo lo que la ley nos obliga: tus facturas y el registro de tus pagos.

Lo que no se sube o no se guarda

• XML a Excel y las calculadoras trabajan en tu navegador: tus archivos y tus cifras no llegan al servidor.
• XML a PDF arma el PDF en tu navegador: los XML que eliges ahí no se suben (sí se guardan el nombre y el logo de tu sello).
• Estatus de CFDI lee el XML o el ZIP en tu navegador y nos manda solo cinco datos para consultar al SAT: folio fiscal, RFC del emisor y del receptor, total y el final del sello. No se guardan.
• El validador 69-B recibe los RFC que consultas y no los guarda.
• Nunca pedimos la contraseña del SAT (CIEC). Con «Bajar del SAT», la llave privada (.key) y su contraseña se usan solo en tu navegador; al servidor llegan el .cer, que es público, y las peticiones firmadas. La .key solo llega a Whale si el titular la guarda para la descarga automática, y entonces queda cifrada y sin su contraseña.
• Del .cer que subes en «Certificados» solo leemos la fecha de vencimiento; ese archivo no se guarda.

Actualizado el 15 de octubre de 2026, con el aviso de privacidad versión 2026.8. ¿Dudas? Escribe a [email protected].