Medidas que AVOC aplica en AVOC Administración Integral - CFDI, conforme al artículo 18 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.
1. Medidas técnicas
- Cifrado AES-256-GCM de la llave privada de la e.firma, su contraseña y la CIEC; la llave de cifrado se guarda fuera de la base de datos.
- Las credenciales se procesan en memoria: la llave privada nunca se escribe en disco sin cifrar y nunca se envía al navegador.
- Contraseñas de las personas usuarias guardadas solo como huella; bloqueo por intentos fallidos; recuperación con código de un solo uso.
- Separación de la información por despacho y control de acceso por rol (administrador, operador, consulta).
- Protección contra falsificación de solicitudes, política de contenido del navegador y encabezados de seguridad.
- Registro de uso de credenciales y bitácora de acciones con fecha, persona y dirección IP.
2. Medidas administrativas
- Aceptación de términos con compromiso de confidencialidad por cada persona usuaria (artículo 20 de la Ley).
- Contrato de encargo del tratamiento con cada despacho.
- Autorización firmada por cada contribuyente antes de conservar su e.firma o su CIEC.
- Bajas oportunas de personas usuarias y revisión periódica de accesos.
3. Medidas físicas
- Servidores y respaldos en instalaciones con acceso restringido y equipos con cifrado de disco y bloqueo de pantalla.
- Respaldos cifrados y periódicos de la base de datos y de los archivos.
4. Vulneraciones de seguridad
- Contener el incidente, identificar la información afectada y documentarlo.
- Informar de inmediato a los titulares afectados y, cuando AVOC actúa como encargado, al despacho a más tardar dentro de las 72 horas siguientes a confirmarlo (artículo 19 de la Ley), con la naturaleza del incidente, los datos comprometidos, las recomendaciones y las medidas tomadas.
- Si están involucradas credenciales fiscales, eliminarlas de la Plataforma y recomendar al titular revocar su e.firma y cambiar su CIEC.
5. Conservación y supresión
- Credenciales: mientras esté vigente la autorización; se borran al revocarla o al quitarlas.
- Comprobantes y reportes: mientras dure el servicio; 30 días después de terminar para su exportación; después se suprimen.
- Constancias de autorización, bitácora y registro de uso de credenciales: bloqueados hasta 5 años, solo para atender responsabilidades; después se suprimen.
Versión 1.0 · 24/09/2026 · huella SHA-256 8e469d11d34d41c5…