Aviso de privacidad integral

1. Responsable

Cuadra es un producto de Leaintelligence Solutions, nombre comercial bajo el cual opera Luis Eduardo Alcántara Ibarra, persona física con actividad empresarial, con RFC AAIL951002823, quien es el proveedor del servicio y el responsable del tratamiento de los datos personales.

• Domicilio para oír y recibir notificaciones: Paseo de la Honestidad 83, Paseos de Izcalli, Cuautitlán Izcalli, Estado de México, C.P. 54719.
• Teléfono: 55 7630 0778.
• Correo electrónico: contacto@leaintelligence.mx.
• Persona designada para atender tus solicitudes sobre datos personales: Luis Eduardo Alcántara Ibarra, en el mismo correo.

2. Datos personales que tratamos

2.1 Si creas una cuenta

• Identificación y contacto: tu correo electrónico, para crear tu cuenta y enviarte el enlace de acceso.
• Compras: el pase adquirido, el monto, el estado del pago, la fecha y los identificadores de la operación en Mercado Pago, así como el saldo y la vigencia de tus créditos. Nunca vemos ni guardamos los datos de tu tarjeta.
• Registro de uso: el tipo y la fecha de cada uso de créditos y una huella criptográfica (SHA-256) de cada archivo procesado con tu cuenta. La huella no permite reconstruir el contenido y sirve para no cobrarte dos veces el mismo documento.
• Registro de aceptación: si tienes la sesión iniciada, la primera vez que procesas un documento con cada versión de estos documentos después de marcar las casillas de autorización (en el convertidor o en el auditor), guardamos el identificador de tu cuenta, una huella (SHA-256) de tu correo, que es un dato seudonimizado y no contiene el correo en claro, la versión aceptada y una huella del texto de los documentos legales de esa versión, el texto exacto de las casillas, el flujo en el que la usaste por primera vez, la fecha y hora de esa solicitud, tu navegador (agente de usuario) y un código derivado de tu IP con una clave secreta (nunca la IP).
• Datos de sesión: por seguridad, nuestro proveedor de autenticación (Supabase) registra la dirección IP y el navegador (agente de usuario) de tus sesiones. También usamos cookies de sesión (sección 9).
• Regalo de bienvenida: una huella (hash) de tu correo normalizado, que es un dato seudonimizado y no contiene el correo en claro, para entregar el crédito de regalo una sola vez por buzón.

2.2 Aunque no tengas cuenta

• Límites del nivel gratuito: un código derivado de tu dirección IP con una clave secreta (HMAC-SHA256), que no permite recuperar la IP sin esa clave. No guardamos tu IP en nuestra base de datos. Como cualquier servidor web, nuestro proveedor de alojamiento (Vercel) procesa tu IP para entregarte cada página.
• Tu aceptación de las casillas de autorización: sin sesión, la recuerda solo tu navegador (almacenamiento local) y no guardamos ningún registro en nuestros servidores.
• Medición de anuncios y uso del sitio (si no la rechazas): mediante las etiquetas y cookies de Google (sección 9), Google recibe identificadores de sus cookies, las páginas de este sitio que visitas (sin los parámetros privados de la dirección), el anuncio o la campaña de la que llegas (identificador de clic), datos técnicos de tu dispositivo y navegador, tu dirección IP (que Google recibe al cargar sus etiquetas) y estos eventos: convertir un estado de cuenta (sin su contenido), auditar CFDI (sin su contenido), crear tu cuenta, iniciar una compra y completarla (pase, monto sin IVA y folio del pago en Mercado Pago). No le enviamos tu correo, tu nombre ni el contenido de tus documentos, y no usamos sus etiquetas en las páginas de inicio de sesión.

2.3 El contenido de tus documentos

• Estados de cuenta: el texto de las páginas (o su imagen, si el PDF está escaneado), que incluye el nombre del titular, datos de la cuenta, movimientos, conceptos, importes y saldos. También recibe nuestro servidor, pero no la inteligencia artificial, el nombre del archivo, su número de páginas y su huella criptográfica; no los guardamos, salvo la huella si tienes cuenta (sección 2.1). El archivo y su contraseña no salen de tu navegador.
• CFDI: solo los RFC de emisores y receptores. Los XML, con sus nombres, importes y conceptos, se leen en tu navegador y no salen de tu equipo.

Estos datos son financieros o patrimoniales. Los tratamos de forma transitoria, solo durante el procesamiento, y requieren tu consentimiento expreso (sección 5). No son datos sensibles: no necesitamos datos sensibles y te pedimos no cargar documentos que los contengan.

Cuando tus documentos contienen datos de otras personas (por ejemplo, de tus clientes), tú eres responsable de esos datos frente a sus titulares y nosotros los tratamos como encargado, solo para darte el resultado que pides, como describe la sección 5 de los términos.

El servicio no está dirigido a menores de edad.

3. Lo que NO hacemos con tus documentos

• No subimos tu PDF ni su contraseña a nuestros servidores: se abren en tu navegador.
• No guardamos tus estados de cuenta, tus XML ni su contenido (movimientos, saldos, conceptos, importes o RFC) en nuestra base de datos ni en los registros de nuestra aplicación.
• No vendemos, rentamos ni compartimos el contenido de tus documentos con terceros para sus propios fines.
• No lo usamos para publicidad, mercadotecnia ni para crear perfiles, ni para ningún fin distinto de darte el resultado que pediste.
• No entrenamos modelos de inteligencia artificial con tus documentos, y nuestro proveedor de inteligencia artificial tiene prohibido hacerlo conforme a sus términos comerciales.
• Nadie de nuestro equipo ve el contenido de tus estados de cuenta ni de tus XML: no lo guardamos ni lo registramos. Los RFC que consultas pueden quedar temporalmente en los registros técnicos de nuestro proveedor de base de datos, como se explica abajo.
• No vemos ni guardamos los datos de tu tarjeta.

Lo que sí ocurre, para que lo sepas

• Anthropic recibe el texto (o la imagen) de las páginas de tus estados de cuenta para estructurarlo. Conforme a su política vigente, lo elimina de sus sistemas en un máximo de 30 días; solo lo conserva más tiempo (hasta 2 años) si sus controles automáticos de seguridad lo marcan por un posible uso indebido, en cuyo caso su personal puede revisarlo, o si la ley se lo exige. Lo almacena en Estados Unidos y puede procesarlo en otras regiones donde opera.
• Supabase: los RFC que consultas contra la Lista 69-B pueden quedar temporalmente en los registros técnicos de nuestro proveedor de base de datos, que los conserva entre 1 y 90 días según el plan contratado y los almacena en la Unión Europea.
• Huellas criptográficas: si tienes cuenta, guardamos la huella SHA-256 de cada archivo procesado (sección 2.1).

4. Finalidades del tratamiento

Tratamos tus datos para estas finalidades, necesarias para la relación que tienes con nosotros:

• Crear y administrar tu cuenta y permitirte iniciar sesión.
• Prestarte el servicio: convertir tus estados de cuenta a Excel o CSV, validar sus saldos y auditar tus CFDI contra la Lista 69-B del SAT.
• Procesar tus pagos, asignar tus créditos y controlar su vigencia.
• Aplicar los límites del nivel gratuito, mantener la seguridad del servicio y prevenir fraudes o abusos.
• Conservar la constancia de tu aceptación de los términos y de este aviso.
• Atender tus solicitudes de soporte, facturación, quejas y derechos ARCO.
• Cumplir obligaciones legales y fiscales y atender requerimientos de autoridades competentes.

Finalidades secundarias (no son necesarias para el servicio y puedes negarte): con los datos de medición de la sección 2.2, (a) medir la efectividad de nuestros anuncios en Google y (b) entender cómo se usa el sitio para mejorarlo. Si te niegas, el servicio funciona igual.

No usamos tus datos para mostrarte publicidad personalizada (remarketing), ni para mercadotecnia, prospección comercial o elaboración de perfiles, y nunca usamos el contenido de tus documentos para ninguna finalidad secundaria. Si algún día quisiéramos hacerlo, te lo informaremos antes y te pediremos tu consentimiento.

5. Tu consentimiento

Tratamos tu correo y los datos de tu cuenta y tus compras porque son necesarios para la relación que tienes con nosotros. Para el contenido de tus documentos, que incluye datos financieros y patrimoniales, te pedimos tu consentimiento expreso mediante una casilla propia, separada de la aceptación de los términos, que debes marcar tú (nunca viene marcada) antes de procesarlos. Si no la marcas, no podemos procesar documentos, pero puedes seguir consultando el sitio.

En otra casilla confirmas tu declaración de autorización sobre los datos de terceros de tus documentos (sección 5 de los términos). Puedes revocar tu consentimiento en cualquier momento (sección 12).

Para las finalidades secundarias de medición nos basamos en tu consentimiento tácito: al entrar al sitio te mostramos un aviso de cookies con la opción de rechazarlas, y puedes cambiar tu decisión en cualquier momento desde «Preferencias de cookies», al pie de cada página. Si visitas el sitio desde el Espacio Económico Europeo, el Reino Unido o Suiza, la medición queda apagada salvo que la aceptes.

6. Proveedores que tratan datos por nuestra cuenta

Para operar nos apoyamos en estos proveedores (encargados). Todos se ubican fuera de México, por lo que hay remisiones internacionales de datos:

• Anthropic, PBC (Estados Unidos): inteligencia artificial que estructura en movimientos el texto o la imagen de las páginas de tus estados de cuenta. No usa ese contenido para entrenar modelos y lo elimina en un máximo de 30 días, salvo revisión de seguridad (hasta 2 años) o requerimiento legal. Almacena en Estados Unidos y puede procesar en otras regiones.
• Vercel Inc. (Estados Unidos): alojamiento y ejecución de la aplicación. El texto de las páginas y los RFC pasan por sus servidores solo durante el procesamiento; los registros técnicos de nuestra aplicación no incluyen el contenido de tus documentos.
• Supabase, Inc. (Estados Unidos; datos alojados en la región Estados Unidos (Oregón)): autenticación y base de datos (correo, compras, créditos, registros de uso y de aceptación) y consulta de la Lista 69-B. Sus registros técnicos se almacenan en la Unión Europea.
• Resend, Inc. (Estados Unidos): envío del correo con tu enlace de acceso (recibe tu dirección de correo).

Estos proveedores solo pueden tratar los datos para prestarnos sus servicios, conforme a sus contratos de tratamiento de datos y sus políticas; Anthropic puede conservar el contenido que marquen sus controles de seguridad, como se describe en la sección 3. Las remisiones a encargados no requieren tu consentimiento (artículo 53 del Reglamento de la Ley); te las informamos por transparencia.

7. Transferencias de datos

No vendemos ni rentamos tus datos personales, y no transferimos el contenido de tus documentos a terceros para sus propios fines. Solo hacemos estas transferencias, que la ley permite sin tu consentimiento (artículo 36 de la LFPDPPP):

• Mercado Pago, que procesa tu pago como responsable independiente: le compartimos tu correo y el detalle de tu compra (pase, monto e identificador del pedido) porque es necesario para cumplir el contrato que celebras con nosotros. Los datos que le das directamente (tarjeta, SPEI u OXXO) los trata conforme a su propio aviso de privacidad.
• Autoridades competentes, cuando nos lo requieran mediante una orden fundada y motivada, o cuando sea necesario para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.

Además, si no la rechazas, hacemos esta transferencia para las finalidades secundarias de la sección 4:

• Google LLC (Estados Unidos), que recibe mediante sus etiquetas en nuestro sitio los datos de medición de la sección 2.2 para darnos la medición de anuncios y la analítica del sitio, y que los trata también conforme a su propia política de privacidad. Configuramos sus servicios para no usar remarketing ni personalización de anuncios ni compartir los datos de analítica con otros productos de Google. Puedes negarte rechazando las cookies (sección 9).

Al aceptar este aviso, aceptas las transferencias descritas en esta sección; la de Google puedes rechazarla en cualquier momento sin que cambie el servicio. Si en el futuro necesitáramos otra transferencia que requiera tu consentimiento, te lo pediremos antes.

8. Cuánto tiempo conservamos los datos

• Contenido de tus documentos: no lo conservamos; existe en nuestros servidores solo durante el procesamiento. En Anthropic, hasta 30 días (hasta 2 años si sus controles de seguridad lo marcan). Los RFC en los registros técnicos de Supabase, entre 1 y 90 días según el plan.
• Correo, saldo, registro de uso y huellas de archivos: mientras tu cuenta exista; al eliminarla se borran.
• Compras y pagos: hasta 5 años, el plazo que exige la legislación fiscal (artículo 30 del Código Fiscal de la Federación); después los eliminaremos o anonimizaremos. Si eliminas tu cuenta antes, se conservan sin tu correo, solo con el identificador interno de la cuenta eliminada.
• Registros de aceptación: hasta 10 años desde la aceptación, como evidencia del contrato (artículo 49 del Código de Comercio), aunque elimines tu cuenta; en ese caso quedan ligados solo a la huella de tu correo.
• Huella del correo para el regalo de bienvenida: se conserva aunque elimines tu cuenta, para evitar abusos del regalo; es un dato seudonimizado que no contiene tu correo en claro.
• Código derivado de la IP (nivel gratuito): se elimina automáticamente después de unos 7 días.
• Datos de medición en Google: Google Analytics conserva los datos de eventos 2 meses (el plazo mínimo que permite configurar). Las cookies de Google Analytics duran hasta 2 años y las de Google Ads hasta 90 días, salvo que las borres o las rechaces; al rechazarlas las eliminamos de tu navegador.
• Datos de sesión y registros técnicos de los proveedores: los plazos que fija cada proveedor (por ejemplo, los registros de ejecución de Vercel se conservan de 1 hora a 30 días, según el plan).

Al vencer estos plazos, o cuando se cumple la finalidad, bloqueamos los datos y después los suprimimos, conforme a la ley.

9. Cookies y tecnologías similares

Usamos dos tipos de cookies y tecnologías similares:

• Necesarias: cookies de sesión para mantener tu sesión iniciada de forma segura, y el almacenamiento local de tu navegador para recordar que aceptaste las casillas de autorización de la versión vigente (y con qué cuenta, para pedirlas de nuevo si otra persona inicia sesión), tu elección sobre las cookies de medición y, si compraste, los folios de compra ya medidos (para no contarlos dos veces). Al crear tu cuenta dejamos además una cookie temporal, sin datos personales, que dura 15 minutos y solo sirve para contar ese registro una vez. Si bloqueas las cookies podrás usar la vista previa gratuita, pero no iniciar sesión.
• De medición (Google Analytics y Google Ads), para las finalidades secundarias de la sección 4: cookies como _ga, _ga_* y _gcl_*, que permiten a Google distinguir visitas y atribuir a un anuncio las visitas, registros y compras. Recaban los datos de medición de la sección 2.2. No las cargamos en las páginas de inicio de sesión y quitamos de las direcciones los parámetros privados (como el código del enlace de acceso o los datos del pago) antes de que lleguen a Google.

Puedes rechazar las cookies de medición en el aviso que aparece al entrar o en «Preferencias de cookies», al pie de cada página; al hacerlo dejamos de cargarlas y borramos las que existan en tu navegador para este sitio. También puedes bloquearlas en la configuración de tu navegador o con el complemento de inhabilitación de Google Analytics (tools.google.com/dlpage/gaoptout). Rechazarlas no afecta el servicio.

10. Seguridad y avisos de vulneración

Aplicamos medidas administrativas, técnicas y físicas para proteger tus datos, entre ellas: cifrado en tránsito (HTTPS); lectura de tus archivos en tu propio navegador; control de acceso por usuario en la base de datos; claves privilegiadas de los servicios guardadas solo en el servidor; huellas criptográficas en lugar de datos en claro cuando es posible, y acceso mínimo necesario para nuestro personal y proveedores. Lo explicamos en Seguridad y datos.

Ninguna medida es infalible. Si ocurre una vulneración de seguridad que afecte de forma significativa tus derechos patrimoniales o morales, te lo informaremos de inmediato por correo, con lo que sepamos de su naturaleza, los datos comprometidos, las medidas que tomamos y lo que puedes hacer para protegerte (artículo 19 de la LFPDPPP).

11. Derechos ARCO

Tienes derecho a acceder a tus datos personales, rectificarlos si son inexactos o incompletos, cancelarlos y oponerte a su tratamiento para fines específicos (derechos ARCO). Para ejercerlos, escribe a contacto@leaintelligence.mx con el asunto "Derechos ARCO" e incluye:

1. Tu nombre y un medio para comunicarte la respuesta (por ejemplo, el correo de tu cuenta).
2. Un documento que acredite tu identidad o, en su caso, la representación de quien actúa en tu nombre.
3. La descripción clara de los datos sobre los que quieres ejercer el derecho (salvo que se trate del derecho de acceso) y del derecho que ejerces.
4. Cualquier otro elemento que nos ayude a localizar tus datos.

Te responderemos en un máximo de 20 días hábiles desde que recibamos tu solicitud y, si procede, la haremos efectiva dentro de los 15 días hábiles siguientes. Si fuera necesario, cada plazo podrá ampliarse una sola vez por un periodo igual, cuando lo justifiquemos. Ejercer tus derechos es gratuito; solo podrían cobrarse, en su caso, los gastos de envío o de reproducción. Para proteger tus datos verificaremos tu identidad antes de responder.

Para eliminar tu cuenta puedes escribirnos al mismo correo con el asunto "Eliminar mi cuenta"; la eliminaremos en un máximo de 5 días hábiles y conservaremos solo los datos que la ley nos obliga a guardar (sección 8).

12. Revocación del consentimiento y cómo limitar el uso de tus datos

Puedes revocar tu consentimiento en cualquier momento, sin efectos retroactivos, y pedirnos que limitemos el uso o la divulgación de tus datos, con el mismo procedimiento de la sección 11 (asunto "Revocación del consentimiento"). Si revocas el consentimiento para tratar el contenido de tus documentos o los datos necesarios para tu cuenta, no podremos seguir prestándote el servicio. También puedes limitar los datos que nos compartes: por ejemplo, usar la vista previa sin crear cuenta o cargar solo los documentos que necesitas.

Para oponerte a las finalidades secundarias de medición no necesitas escribirnos: rechaza las cookies en «Preferencias de cookies», al pie de cada página. Si prefieres, también puedes pedirlo por correo.

13. Autoridad en materia de protección de datos

Si consideras que tu derecho a la protección de datos personales fue vulnerado, o no estás conforme con nuestra respuesta a una solicitud, puedes presentar una solicitud de protección de datos ante la Secretaría Anticorrupción y Buen Gobierno, autoridad en la materia conforme a la LFPDPPP, dentro de los 15 días hábiles siguientes a que recibas nuestra respuesta o, si no te respondimos, una vez vencido el plazo para hacerlo.

Dirección General de Datos Personales en el Sector Privado (Unidad de Protección de Datos Personales): Av. Insurgentes Sur 1735, Col. Guadalupe Inn, Alcaldía Álvaro Obregón, C.P. 01020, Ciudad de México. Correo: updp.privado@buengobierno.gob.mx · Tel. 55 2000 3000 · www.gob.mx/buengobierno.

14. Cambios a este aviso

Podemos actualizar este aviso por cambios legales, en el servicio o en nuestros proveedores. Publicaremos la versión vigente en esta página con su fecha y su número de versión (vigente: 2026-11-01.2). Si el cambio es relevante (por ejemplo, nuevas finalidades, nuevos proveedores o nuevas transferencias), te avisaremos por correo o dentro del servicio con al menos 15 días naturales de anticipación y, cuando la ley lo exija, te pediremos de nuevo tu consentimiento.

Consulta también nuestros términos y condiciones, el aviso legal y Seguridad y datos.