Seguridad y datos

1. Estados de cuenta, paso a paso

1. Abres el PDF en tu navegador. Si tiene contraseña, la escribes ahí mismo: nunca se envía a nuestros servidores.
2. Tu navegador extrae el texto de cada página (o una imagen de la página, si el PDF está escaneado) y lo envía cifrado por HTTPS a nuestro servidor, junto con el nombre del archivo, su número de páginas y su huella criptográfica, que no se envían a la inteligencia artificial. El archivo PDF no se sube.
3. Nuestro servidor envía ese texto o imagen a Anthropic, nuestro proveedor de inteligencia artificial, que lo transcribe en movimientos. Anthropic no lo usa para entrenar modelos y lo elimina de sus sistemas en un máximo de 30 días, salvo que sus controles de seguridad lo marquen por un posible uso indebido (hasta 2 años) o que la ley le exija conservarlo.
4. Nuestro código comprueba los saldos y totales (el semáforo) y te devuelve el resultado. Nuestro servidor no guarda el texto ni los movimientos: existen solo mientras se procesan.
5. El Excel y el CSV se generan en tu equipo.

Si tienes cuenta, guardamos solo el registro del crédito usado y una huella criptográfica (SHA-256) del archivo, que no permite reconstruir su contenido y sirve para no cobrarte dos veces el mismo documento.

2. XML de CFDI, paso a paso

1. Tus XML y ZIP se abren y se leen en tu navegador; no se suben a nuestros servidores.
2. Solo enviamos a nuestro servidor, cifrados, los RFC de emisores y receptores, para compararlos contra nuestra copia de la Lista 69-B del SAT.
3. No guardamos esos RFC en nuestra base de datos. Pueden quedar temporalmente en los registros técnicos de nuestro proveedor de base de datos (Supabase), entre 1 y 90 días según el plan.
4. El Excel de auditoría se genera en tu equipo.

3. Qué guardamos y qué no

No guardamos

• Tus archivos PDF ni sus contraseñas.
• El texto, los movimientos, los saldos, los conceptos ni los importes de tus estados de cuenta.
• Tus XML ni sus importes.
• Los RFC consultados, en nuestra base de datos (pueden quedar temporalmente en los registros técnicos de Supabase, como explicamos arriba).
• Los datos de tu tarjeta.
• Tu dirección IP en las tablas de nuestra aplicación: para los límites gratuitos guardamos solo un código derivado de ella.

Sí guardamos, solo lo necesario

• Si tienes cuenta: tu correo, tus compras, tu saldo de créditos y el registro de uso con huellas SHA-256.
• Si iniciaste sesión, el registro de tu aceptación de las casillas de autorización: cuenta, huella del correo, versión y huella de los documentos legales, texto aceptado, fecha y hora, navegador y un código derivado de tu IP (nunca la IP).
• Para los límites gratuitos: un código derivado de tu IP con una clave secreta, que se elimina después de unos 7 días.
• Si inicias sesión, nuestro proveedor de autenticación (Supabase) registra la dirección IP y el navegador de tus sesiones, por seguridad.

Los plazos exactos están en la sección 8 del aviso de privacidad.

4. Proveedores y dónde están

Todos nuestros proveedores se ubican fuera de México:

• Anthropic, PBC (Estados Unidos): estructura el texto de tus estados de cuenta. Almacena en Estados Unidos y puede procesar en otras regiones.
• Vercel Inc. (Estados Unidos): aloja y ejecuta la aplicación.
• Supabase, Inc. (Estados Unidos; región Estados Unidos (Oregón)): cuentas y base de datos; sus registros técnicos se guardan en la Unión Europea.
• Resend, Inc. (Estados Unidos): envía el correo con tu enlace de acceso.
• Mercado Pago: procesa tu pago como responsable independiente, conforme a su propio aviso de privacidad.

5. Cómo lo protegemos

• Las conexiones de tu navegador con nuestro servidor, y las de nuestro servidor con sus proveedores y con el SAT, van cifradas por HTTPS.
• Tus archivos se abren en tu propio navegador, así que el archivo completo nunca viaja.
• La base de datos aplica control de acceso por usuario: cada cuenta solo puede leer sus propios datos.
• Las claves privilegiadas (base de datos con permisos de servidor, inteligencia artificial y pagos) se guardan solo en el servidor. Tu navegador solo usa una clave pública de acceso, limitada por las reglas de la base de datos.
• Usamos huellas criptográficas en lugar de datos en claro cuando es posible (archivos, correo para el regalo e IP para los límites).
• Los registros de nuestra aplicación anotan solo datos técnicos (como códigos de error), nunca el contenido de tus documentos.
• El contenido de tus documentos nunca llega a herramientas de analítica o publicidad. En las páginas del sitio usamos Google Analytics y Google Ads solo para medir nuestros anuncios y el uso del sitio, sin tu correo ni tus documentos, sin remarketing y nunca en las páginas de inicio de sesión; puedes rechazarlas en «Preferencias de cookies» (aviso de privacidad, sección 9).

6. Lo que no podemos prometer

Preferimos decirte las cosas como son:

• No podemos prometer "cero retención": nuestro proveedor de inteligencia artificial conserva el contenido hasta 30 días, o más en los casos que describimos arriba.
• Tus datos pasan por servidores fuera de México, principalmente en Estados Unidos (y algunos registros técnicos en la Unión Europea).
• Ningún sistema es infalible. Si ocurriera una vulneración que afecte de forma significativa tus derechos, te avisaremos de inmediato por correo.

7. Contacto

Si tienes dudas o encuentras un problema de seguridad, escríbenos a contacto@leaintelligence.mx. Lo atiende directamente Luis Eduardo Alcántara Ibarra. Más detalle en el aviso de privacidad y en los términos y condiciones.