Seguridad y retención

Los CFDI y CEP contienen datos financieros. El diseño de RESET Verifica parte de una regla: guardar lo mínimo, el menor tiempo posible, segregado por organización.

Quién responde por el servicio

RESET Verifica no es buró de crédito ni está afiliado al SAT, a Banco de México ni a ninguna autoridad: consulta las fuentes oficiales públicas y entrega lo que dicen, con su folio y su fundamento. Los términos con los que se presta el servicio están en los Términos y, para postpago y cortesía, en el contrato.

Dónde viven los datos

• La API y las bases de datos corren en Amazon Web Services, región México (mx-central-1). Ahí se guardan tu cuenta, tus verificaciones y tus constancias.
• Este sitio y el panel se sirven desde un hosting web que no guarda datos de clientes: el panel reenvía cada operación a la API por HTTPS y sólo deja en tu navegador una cookie de sesión (HttpOnly, Secure, SameSite=Lax), limitada a verifica.resetparatodos.com.
• Las contraseñas se guardan derivadas con scrypt y sal propia; nadie, tampoco nosotros, puede leerlas. Si la olvidas, se repone con un código que llega a tu correo.
• Los comprobantes de pago que subes desde el panel se guardan en el servidor de la API, sólo los ve quien revisa pagos, y sirven únicamente para acreditar ese depósito.

Separación de datos

• Datos públicos (listados oficiales, contratos, versiones de fuentes) viven en una base separada de los datos privados (organizaciones, verificaciones, conciliaciones).
• Cada organización solo puede ver sus propias verificaciones, obligaciones y conciliaciones. Nada se comparte ni se cruza entre clientes.

Process-and-discard

• El XML de un CFDI no se almacena: se procesa, se conserva su huella irreversible y los campos mínimos (UUID, RFCs, total, estado), y se descarta.
• El XML de un CEP no se almacena: de las cuentas bancarias solo se guardan los últimos 4 dígitos y un código derivado irreversible (que permite detectar "es la misma cuenta" sin conservar el número).
• Nunca se guardan CLABEs completas, tarjetas ni teléfonos completos.

Acceso y autenticación

• API autenticada por llave; la llave nunca se almacena en claro.
• La e.firma de los clientes nunca se solicita ni se almacena de forma central.
• Sin datos privados en analytics ni en logs; los identificadores sensibles se redactan.

Evidencia sin exposición

El Verification Record guarda huellas irreversibles de entrada y salida — suficiente para auditar una verificación sin duplicar los documentos originales.

Marco de privacidad

El Aviso de Privacidad Integral y los Términos del Servicio detallan el tratamiento de datos, los derechos ARCO y las reglas del servicio.

Controles liberados en la apertura

• Anexo de Tratamiento de Datos (DPA) publicado y aceptado electrónicamente junto con los Términos, con evidencia de versión, fecha, IP y navegador por cuenta.
• TLS extremo a extremo: sitio y API (api.resetparatodos.com) con certificados de renovación automática; los formularios del sitio hablan con la API únicamente por HTTPS.
• Respaldos diarios cifrados con copia fuera del servidor (AES-256) y verificación de restaurabilidad; retención de 14 días local y 7 días externa.
• Bitácora completa de acceso a la API (IP, operación, resultado, latencia) con retención limitada a 12 meses.
• Procedimiento de respuesta a incidentes y calendario de retención y supresión por categoría de dato.
• Validación de depósitos contra Banxico: un fondeo solo se acredita automáticamente cuando Banxico confirma la transferencia.

El endurecimiento es continuo; esta página se actualiza con cada control relevante.