Aviso de privacidad

Versión 2026.8, vigente desde el 15 de octubre de 2026.

1. Quién es responsable de tus datos

SICF Consultores Contables y Fiscales, S.C., RFC SCC240730IM1, que opera la marca Whale Design (whaledesing.site), con domicilio en Fray Manuel de Navarrete 3568, col. La Aurora, C.P. 44790, Guadalajara, Jalisco, es responsable del tratamiento de tus datos personales en términos de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y su normativa.

Para cualquier asunto sobre tus datos: [email protected].

2. Qué datos tratamos

Depende de lo que uses.

Herramientas gratis, sin cuenta.

• XML a Excel y las calculadoras trabajan en tu navegador: tus archivos y tus cifras no llegan a nuestro servidor.
• Estatus de un CFDI: tu navegador lee el XML y nos manda solo el folio fiscal (UUID), el RFC del emisor y del receptor, el total y los últimos caracteres del sello. Con eso consultamos al SAT y te damos la respuesta. No lo guardamos.
• Validador 69-B y Consultar RFC: recibimos los RFC que consultas para buscarlos en nuestra copia de las listas públicas del SAT. No los guardamos.
• Asistente de ayuda («¿Dudas?»): lo que escribes en el chat se envía a Anthropic para generar la respuesta. No guardamos las conversaciones. Fuera del panel, o sin aceptar el aviso del asistente, no escribas RFC, contraseñas ni datos de tus clientes.
• Formulario de soporte: tu nombre, tu correo, el tema y tu mensaje nos llegan por correo para contestarte. No se guardan en la base de datos.
• Tu dirección IP se usa para limitar el número de consultas, mensajes e intentos de inicio de sesión. No se guarda en la base de datos: ahí solo queda una huella cifrada que no permite recuperarla, y se borra al día siguiente.

Si creas una cuenta (eres el contador o el despacho):

• Tu nombre, tu correo, el nombre de tu despacho y una huella cifrada de tu contraseña (nunca la contraseña).
• Tu plan, las fechas de tu prueba y de tu pago, los planes que solicitas y, si usas XML a PDF, el nombre y el logo que eliges para el encabezado y el sello.
• Si invitas a tu equipo (usuarios auxiliares): el nombre y el correo de cada persona que invitas, para enviarle la invitación, y, cuando la acepta, lo mismo que de ti. Anotamos quién subió cada XML, quién marcó cada paso del cierre del mes y quién guardó o borró la e.firma de un cliente.
• Si pagas un plan: el plan, el periodo, el importe, la fecha, si pagaste con tarjeta o SPEI, el estado de tu renovación y los identificadores que nos da Conekta (de cliente, de suscripción y de cada orden). Tu teléfono se lo pasamos a Conekta para abrir tu cuenta de pago; no lo guardamos. Los datos de tu tarjeta o de tu cuenta bancaria (número, vencimiento, código de seguridad, CLABE) los capturas en la página de Conekta y nunca llegan a nosotros. Si cancelas la renovación, el motivo que elijas (es opcional) y si aceptaste el mes de regalo.
• Si pides factura: tu RFC, nombre o razón social, régimen fiscal, código postal, uso del CFDI y el correo donde la quieres recibir.
• Si llegas con el enlace de un socio: guardamos su código en una cookie propia por 30 días y, al crear tu cuenta, quién te recomendó. Al socio solo le mostramos el nombre de tu despacho.
• Si aceptas que el asistente del panel consulte tus datos: cuándo lo aceptaste y, por despacho y día, cuántas consultas, palabras procesadas (tokens) y costo usa. No guardamos la conversación.

Si eres socio del programa de recomendación y no tienes cuenta de despacho (por ejemplo, creas contenido o das capacitación): tu nombre, tu correo, tu RFC y los CFDI que nos emites para cobrar, y el libro de tus comisiones (qué despachos recomendaste, por su nombre, y cuánto y cuándo se generó y se pagó cada comisión). Si eres socio y despacho cliente, lo mismo de tus comisiones, que se acreditan a tu plan.

Datos de tus clientes que tú capturas, subes o pides al SAT:

• RFC, nombre o razón social, régimen, correo, teléfono y notas; y las fechas de vencimiento de su e.firma, de su sello digital y de su opinión de cumplimiento.
• Cada XML (CFDI) que subes o que se baja del SAT se guarda completo, con todo lo que trae (emisor, receptor, conceptos e importes), para darte el resumen del cliente y poder imprimirlo con XML a PDF. Aparte guardamos su folio fiscal, el tipo, la fecha, el RFC y el nombre del emisor y del receptor, el subtotal, el IVA, el total, la moneda, el método de pago y los últimos caracteres del sello, quién lo subió, y lo que contesta el SAT de su estatus: vigente o cancelado, cuándo lo revisamos y si marca al emisor en la lista 69-B.
• Bajar del SAT con la e.firma en tu navegador: la llave privada (.key) y su contraseña se usan solo en tu navegador para firmar cada petición y no nos llegan. Nos llegan el .cer, que es público, y las peticiones ya firmadas, que reenviamos al SAT. Guardamos el estado de cada solicitud (periodo, tipo, número de solicitud y paquetes del SAT) y la lista del SAT (metadatos): de cada CFDI emitido o recibido por el cliente, su folio fiscal, el RFC del emisor y del receptor, el total, el tipo, la fecha y si está vigente o cancelado, sin nombres.
• Descarga automática: si el titular de la cuenta lo elige, la e.firma del cliente guardada y cifrada (punto 4).
• Del certificado .cer que subes en «Certificados» solo leemos la fecha de vencimiento y comprobamos que sea del RFC del cliente; ese archivo no se guarda. Nunca pedimos la contraseña del SAT (CIEC). La llave privada (.key) y su contraseña solo nos llegan si el titular guarda la e.firma de un cliente para la descarga automática.
• Cuando le pides documentos a tu cliente con un enlace, guardamos por tu cuenta los archivos que el cliente sube (PDF, imágenes, hojas de cálculo) y los borramos 90 días después de cerrada la solicitud. No entran en los respaldos. Los XML pasan a los CFDI del cliente.

No tratamos datos personales sensibles (salud, origen, creencias, opiniones políticas, preferencia sexual ni datos biométricos). El servicio está dirigido a profesionales y no a menores de edad.

3. Para qué los usamos

Finalidades necesarias (sin ellas no podemos darte el servicio):

1. Crear tu cuenta, abrir tu sesión, proteger el acceso y enviar las invitaciones a tu equipo.
2. Prestarte la plataforma: guardar tu cartera, resumir los XML de cada cliente por mes, revisar ante el SAT si siguen vigentes (cada madrugada los que no se han verificado y los vigentes, otra vez a los 3, 30 y 90 días de su fecha y en abril del año siguiente), cruzar a tus clientes, a sus proveedores y a quienes les facturan con las listas 69-B y 69 del SAT, llevar el cierre del mes, mostrarte los vencimientos y avisarte por correo de los cambios en las listas, de los CFDI que aparezcan cancelados, de lo que está por vencer y de lo que se bajó del SAT (esos avisos los apagas en Ajustes).
3. Pedir al SAT, con la e.firma del cliente, la lista y los XML de sus CFDI: firmando tú en tu navegador o, si el titular la guardó, de forma automática (punto 4); y conciliar lo que dice el SAT con lo cargado.
4. Contestar las consultas que haces en las herramientas gratis, en el asistente de ayuda (en el panel, con los datos de tu despacho si lo aceptas) y en el formulario de soporte.
5. Cobrarte tu plan (también la renovación mensual, si la eliges), emitir tu factura, atender tus solicitudes de plan y, al cancelar, ofrecerte el mes de regalo.
6. Llevar el programa de socios: saber quién te recomendó, aplicar el descuento del referido y calcular, pagar o acreditar las comisiones.
7. Enviarte los correos necesarios de tu cuenta: recuperar tu contraseña, confirmar tus pagos y tu solicitud de plan, avisarte si un cobro no pasa y antes de que terminen tu prueba o tu periodo pagado.
8. Prevenir abusos y cumplir las obligaciones legales y los requerimientos de autoridad.

Finalidad adicional (puedes negarte sin que cambie el servicio): enviarte novedades de Whale Design y boletines fiscales. Hoy no los enviamos; si empezamos, cada correo dirá cómo darte de baja. Para negarte desde ahora, escribe a [email protected].

4. La e.firma guardada para la descarga automática

Es voluntaria: sin ella la plataforma funciona igual y puedes bajar del SAT firmando tú en tu navegador. Solo existe con un plan pagado; la prueba no la incluye.

• Quién la guarda y con qué base: solo el titular de la cuenta, en la ficha del cliente, después de leer qué se guarda y para qué, de marcar que su cliente lo autorizó y de aceptar (consentimiento expreso). Guardamos la fecha, la versión del texto aceptado y quién lo aceptó. Los auxiliares no la guardan ni la borran. Frente al cliente, el responsable de su e.firma es el despacho; nosotros la tratamos por su cuenta y solo para esto.
• Qué guardamos: el .cer (público) y la llave privada (.key), que abrimos una sola vez con la contraseña que escribe el titular. La contraseña no se guarda: se usa en ese momento y se descarta. La llave queda cifrada (AES-256) con una llave propia que a su vez va cifrada con una llave maestra que no está en la base de datos ni en los respaldos.
• Para qué: solo para pedirle al SAT, con el RFC del cliente, la lista (metadatos) y los XML de sus CFDI emitidos y recibidos: cada semana, y el mes completo al empezar el siguiente. No firma ni presenta nada más: declaraciones, facturas, avisos ni trámites.
• Quién la usa y a quién llega: solo el proceso automático de Whale en nuestro servidor. Nadie del despacho ni de Whale puede verla ni descargarla. Al SAT le llegan las peticiones firmadas con ella y el .cer.
• Registro: anotamos cada uso (cuándo y qué se le pidió al SAT) y lo ves en la ficha del cliente; cada semana el titular recibe un correo con cuántos XML se bajaron. El registro se conserva un año.
• Cuánto tiempo y cómo se borra: hasta que el titular pulse «Borrar la e.firma» en la ficha del cliente, que la borra al momento; al eliminar al cliente; o sola, 30 días después de que venza o de que termine el plan (al vencer deja de usarse ese mismo día). No entra en los respaldos, así que una vez borrada no queda copia.

5. Los datos de tus clientes

Frente a tus clientes, el responsable de sus datos eres tú. Whale Design los trata solo por tu cuenta y para darte el servicio: no los usa para nada propio, no los vende y ningún otro despacho puede verlos. Te toca contar con la base para tratarlos (por ejemplo, tu contrato de servicios contables), darles tu propio aviso de privacidad y, si guardas la e.firma de uno, tener su autorización para guardarla y usarla así. Si uno de tus clientes nos escribe, te pasamos su solicitud.

6. Con quién los compartimos

No vendemos, rentamos ni cedemos tus datos. Estos proveedores los tratan por nuestra cuenta y bajo nuestras instrucciones (remisiones); no son transferencias y no requieren tu consentimiento, pero tienes derecho a saber quiénes son:

Tus datos salen de México: el servidor está en Finlandia, país de la Unión Europea, con un régimen de protección de datos equivalente o superior al mexicano. Lo que escribes en el asistente y los datos que consulta con tu aceptación se procesan en Estados Unidos.

Al SAT, que es autoridad y no proveedor, le enviamos: los cinco datos del punto 2 cuando usas Estatus de un CFDI y, de los CFDI que subes a la plataforma, cada madrugada y cuando pulsas «Verificar en el SAT»; y, para la descarga masiva, el .cer, el RFC del cliente y las peticiones firmadas con su e.firma (en tu navegador o, si la guardaste, en nuestro servidor). Fuera de eso, solo compartimos datos con una autoridad que los requiera legalmente o con quien tú nos autorices por escrito.

7. Cookies, almacenamiento en tu navegador y estadísticas

• Cookies propias: whale_sesion mantiene abierta tu sesión hasta 14 días y es necesaria para entrar a la plataforma; y, si llegas con el enlace de un socio, otra guarda su código por 30 días para saber quién te recomendó. Ninguna sirve para rastrearte en otros sitios.
• En el almacenamiento de tu navegador quedan, sin llegarnos: lo último que capturaste en las calculadoras, si cerraste la franja de avisos del sitio y, en el panel, los clientes que abriste hace poco (se borran al salir). Mientras dura tu visita, también si ya viste el aviso de la prueba en cada herramienta y el identificador del chat. Lo borras al borrar los datos del sitio.
• No usamos cookies de publicidad, píxeles de redes sociales ni analítica de terceros. Contamos, como totales por día y sin IP, cookies ni datos personales, cuántas veces se usa y se termina cada herramienta, cuántas personas pulsan «Empezar la prueba» y cuántas cuentas se abren. Cloudflare genera además estadísticas agregadas de visitas con los datos técnicos del punto 6.

8. Cómo los protegemos

• Todo el tránsito va cifrado. La aplicación y la base de datos no están expuestas a internet: las visitas llegan por un túnel cifrado.
• Las contraseñas se guardan como huella (scrypt) y la sesión va firmada.
• El aislamiento entre despachos lo impone la base de datos, no la pantalla, y se comprueba con pruebas automáticas.
• La e.firma guardada va cifrada con una llave por registro y una llave maestra fuera de la base, y la aplicación del despacho no puede leerla (punto 4).
• Se respalda la base cada día; se conservan 7 respaldos diarios y 4 semanales, fuera del servidor y cifrados con una clave que el proveedor no tiene.

Ninguna medida es absoluta. Si ocurriera una vulneración que afecte de forma significativa tus derechos, te lo diremos sin demora para que puedas tomar medidas.

9. Cuánto tiempo los conservamos

Los datos de tu cuenta y de tu cartera, el registro de tus pagos y tus datos de factura, mientras tengas cuenta; si tu prueba termina sin plan, quedan en solo lectura hasta que pidas borrarlos. Al pedir que borremos tu cuenta, la quitamos de la base y desaparece de los respaldos en un máximo de cinco semanas, cuando estos rotan. Solo conservamos lo que la ley nos obligue (por ejemplo, las facturas que te emitamos y el registro contable de tus pagos, cinco años según el artículo 30 del Código Fiscal de la Federación). Lo que consultas en las herramientas gratis y lo que escribes en el asistente de ayuda no se guarda; los mensajes del formulario de soporte quedan solo en nuestro buzón de correo. La e.firma guardada y su registro de usos tienen sus propios plazos (punto 4). El libro de comisiones de los socios y sus CFDI, cinco años, como registro contable.

10. Tus derechos

Puedes acceder a tus datos, pedir que se rectifiquen, que se cancelen o oponerte a un uso concreto (derechos ARCO). También puedes revocar tu consentimiento o limitar el uso de tus datos: el de la e.firma guardada, al momento con «Borrar la e.firma»; el del asistente con tus datos, dejando de usarlo o escribiéndonos. Escribe a [email protected] con:

1. Tu nombre y un correo o domicilio para responderte.
2. Copia de una identificación oficial (o del poder, si actúas por otra persona).
3. Qué derecho ejerces y sobre qué datos.
4. Si pides una corrección, el dato correcto.

Te responderemos dentro de los veinte días hábiles siguientes y, si procede, lo haremos efectivo dentro de los quince días hábiles posteriores. Es gratis. Si consideras que tu derecho fue lesionado, puedes acudir a la autoridad de protección de datos personales (desde 2025, la Secretaría Anticorrupción y Buen Gobierno).

11. Cambios a este aviso

Este aviso puede cambiar. La versión vigente es siempre la publicada en whaledesing.site/privacidad, con su número y su fecha al inicio y un resumen de lo que cambió. Si cambia qué datos tratamos o para qué, te avisaremos por correo antes de que entre en vigor. En cualquier momento puedes dejar de usar el servicio y pedir la cancelación de tus datos (punto 10). Ve también la página de transparencia y el resumen Tus datos y los de tus clientes.