Carta responsiva y mandato de custodia

Este texto todavía no es la versión definitiva

Es un borrador en revisión legal. Fue revisado por un abogado fiscalista el 14 de agosto de 2026 y está sujeto a una segunda revisión programada para la semana del 18 de agosto de 2026. Se publica antes de estar cerrado para que usted pueda leerlo con anticipación.

Mientras no exista una versión definitiva, este documento no se le presenta para firma ni le impone obligaciones. Cuando quede cerrado se lo haremos saber y se le pedirá su aceptación de forma expresa, ligada a la versión exacta que acepte. Los puntos marcados como pendiente son precisamente lo que falta por definir.

Qué hace el sistema hoy, y qué no

El mandato de la cláusula TERCERA describe el alcance máximo de lo que usted podría autorizar. No describe lo que la plataforma sabe hacer hoy. Para que no haya malentendido:

• Hoy la plataforma solamente consulta y descarga información del SAT: sus comprobantes y sus metadatos, su Constancia de Situación Fiscal y su Opinión de Cumplimiento.
• Hoy la plataforma no presenta ninguna declaración, no firma nada a su nombre y no realiza trámites ante el SAT. Si eso llega a cambiar, se le pedirá una autorización nueva y específica.
• La emisión y cancelación de comprobantes con sus sellos digitales ocurre únicamente cuando usted la ordena desde la plataforma.

PRIMERA. Quién es el responsable

RIVIERA MEDIA DIGITAL, S.A. DE C.V., con Registro Federal de Contribuyentes RMD170310LT8 y domicilio fiscal en Farallón de Seboruco, Manzana 3, Lote 4, Casa 514, Colonia Playa del Sol, C.P. 77726, Playa del Carmen, Municipio de Solidaridad, Quintana Roo, México, y correo [email protected], es responsable del tratamiento de sus datos personales. Teléfono de contacto: +529848019402.

Estos medios están disponibles para reclamaciones y aclaraciones.

SEGUNDA. Usted declara ser el titular

Declara, bajo protesta de decir verdad, que es la persona titular legítima de las credenciales que entregue en custodia, o que cuenta con facultades suficientes y vigentes para obligar a su titular. Si actúa por cuenta de un tercero, se obliga a poner esta carta a disposición del titular y a acreditar sus facultades cuando se le requiera. Riviera Media Digital podrá suspender el servicio si no se acreditan.

TERCERA. Qué autoriza (mandato especial, sin representación)

Otorga a Riviera Media Digital un mandato especial, revocable en cualquier momento, sin facultades de representación, limitado exclusivamente a los siguientes actos y únicamente respecto de los RFC que usted habilite:

Con su Contraseña (CIEC):

1. Descargar sus CFDI emitidos y recibidos, y sus metadatos.
2. Descargar su Constancia de Situación Fiscal y su Cédula de Identificación Fiscal. (La descarga de la Cédula de Identificación Fiscal aún no disponible).
3. Descargar su Opinión de Cumplimiento de Obligaciones Fiscales.
4. Consultar y reimprimir los acuses de sus trámites del RFC.
5. Presentar el pago provisional mensual del Régimen Simplificado de Confianza para personas físicas, únicamente previa autorización específica de usted para cada declaración, en los términos de la cláusula QUINTA. (Función aún no disponible: hoy la plataforma no presenta declaraciones).

Cualquier acto no enumerado queda fuera del mandato y requiere una autorización nueva y específica. Este mandato no es general y no comprende facultades de dominio, de administración general ni de pleitos y cobranzas.

Queda expresamente prohibido, sin excepción: presentar avisos al RFC (cambio de domicilio, suspensión, reanudación, aumento o disminución de obligaciones), cambiar de régimen fiscal, presentar declaraciones anuales o complementarias, cancelar CFDI, solicitar devoluciones, y realizar cualquier trámite ante autoridad distinta del SAT.

CUARTA. El límite frente al SAT — léala con atención

Conforme al artículo 17-D del Código Fiscal de la Federación, tanto su e.firma como su Contraseña sustituyen su firma autógrafa y producen los mismos efectos y valor probatorio. Conforme al artículo 17-J, usted, como titular del certificado, es responsable de las consecuencias jurídicas que deriven de su uso.

El SAT le atribuye a usted todo acto realizado con sus credenciales, sin importar quién materialmente lo ejecute.

Riviera Media Digital no actúa como su representante legal ante el SAT —esa representación exige escritura pública o carta poder ratificada, conforme al artículo 19 del propio Código— sino que opera su credencial por cuenta suya. Ante la autoridad, el promovente es usted.

Este mandato surte efectos entre usted y Riviera Media Digital y no modifica ni puede modificar su responsabilidad frente a la autoridad fiscal. Cualquier proveedor que le ofrezca asumir esa responsabilidad ante el SAT le está informando mal.

QUINTA. Autorización acto por acto

Riviera Media Digital no puede presentar ninguna declaración sin una autorización específica suya para esa declaración en particular. No existe autorización general ni permanente para actos de presentación.

Antes de cada presentación se le mostrará: las cifras determinadas, el detalle de los comprobantes considerados, la diferencia contra la información precargada por el SAT y su motivo en lenguaje claro, y un papel de trabajo descargable. La autorización se otorga introduciendo el código de su aplicación de autenticación (segundo factor), y queda registrada con el momento exacto y el resumen digital de las cifras que aprobó.

El silencio nunca autoriza. Si usted no autoriza, no se presenta nada; se le avisa y el caso se escala a revisión humana.

Esta cláusula describe el procedimiento que regirá cuando la plataforma pueda presentar declaraciones. Hoy no puede, y por lo tanto no hay presentación alguna que autorizar.

SEXTA. No somos sus contadores

Riviera Media Digital no presta servicios de contaduría ni de asesoría fiscal, no dictamina y no emite opinión sobre criterios de aplicación de la ley. Ejecuta actos que usted instruye, con la información que usted y el SAT proveen.

Si usted designa a un contador o asesor, Riviera Media Digital le dará acceso de lectura, copia de cada acuse y la facultad de pausar la operación de sus RFC, sin costo para él.

SÉPTIMA. Advertencia sobre criterios (CFF art. 89, último párrafo)

Los cálculos se realizan conforme a la interpretación que Riviera Media Digital hace de las disposiciones fiscales vigentes. Se le advierte expresamente que ese criterio puede ser contrario a la interpretación de las autoridades fiscales. Ante cualquier duda sobre la aplicación de la norma a su caso, consulte a un profesional.

OCTAVA. Consentimiento expreso y por escrito

Sus credenciales y la información fiscal derivada son datos personales de carácter financiero o patrimonial y, dado que su uso indebido conlleva un riesgo grave para usted, Riviera Media Digital los trata bajo el estándar de datos personales sensibles. Conforme a los artículos 7 y 8 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, usted otorga su consentimiento expreso y por escrito, marcando de forma separada:

☐ Autorizo la custodia de mi Contraseña (CIEC).
☐ Autorizo el uso de mi Contraseña para los actos de la cláusula TERCERA.
☐ Autorizo la custodia de mis CSD para emisión de comprobantes.
☐ (Anexo A) Autorizo la custodia y uso de mi e.firma.

Cada autorización es independiente y revocable por separado. Negar cualquiera no le impide usar las demás funciones que no dependan de ella.

Finalidad de la base de datos (art. 8, párrafo 2): se crea con la finalidad legítima y concreta de automatizar el cumplimiento de sus obligaciones fiscales, lo que exige acceso recurrente a los sistemas del SAT. Sin esta custodia el servicio no puede prestarse. No se tratan para ninguna finalidad distinta, y en particular no se usan para entrenar modelos, ni se venden, ni se ceden en forma agregada. Cualquier finalidad nueva requerirá su consentimiento nuevamente.

NOVENA. Dónde están sus datos y cómo se protegen

Ubicación. Sus datos se almacenan y procesan en servidores en Alemania, operados por Hetzner Online GmbH, y transitan por la red de Cloudflare, Inc. Estos proveedores actúan como encargados por cuenta de Riviera Media Digital, bajo instrucciones contractuales que les prohíben usar su información para fines propios. Riviera Media Digital conserva íntegramente la responsabilidad. Se le informa para que usted lo sepa, no porque constituya una transferencia a terceros.

Medidas de seguridad (se informan antes de contratar, conforme al artículo 76 bis, fracción II de la Ley Federal de Protección al Consumidor):

• Sus credenciales se guardan cifradas con AES-256-GCM en la base de datos.
• La llave maestra de cifrado no vive en la base de datos: se administra por separado, en la configuración del servidor de aplicación, y es obligatoria para que el sistema arranque en producción.
• Mientras dura una sesión con el portal del SAT, su Contraseña puede mantenerse hasta 30 minutos en una memoria temporal, también cifrada, aunque con un algoritmo distinto (AES-128-CBC con autenticación). Al vencer ese plazo se borra sola.
• Toda operación contra el SAT queda en bitácora: quién la ordenó, de qué tipo fue, sobre qué RFC, con cuál credencial y cuándo empezó y terminó.
• El descifrado ocurre solo en memoria y solo durante la operación. La credencial no se escribe en claro en disco, no se registra en bitácoras y ninguna interfaz del servicio la devuelve.
• Su cuenta admite segundo factor (aplicación de autenticación) y le recomendamos activarlo.

Límite honesto. Riviera Media Digital no opera bajo un modelo de conocimiento cero: para ejecutar operaciones a su nombre sin que usted esté presente, el sistema debe poder descifrar sus credenciales. Por lo tanto, un servidor comprometido podría exponer sus credenciales durante su operación. Tres precisiones que preferimos decirle de frente: la llave maestra se guarda en la configuración del servidor y no en un módulo de seguridad por hardware; es una sola llave para todas las credenciales, no una por cada una; y el segundo factor protege el acceso a su cuenta, pero hoy no se exige un segundo factor adicional cada vez que el sistema usa una credencial ya guardada. Las medidas anteriores reducen el riesgo de forma sustancial, pero no lo eliminan. Al aceptar, usted reconoce que se le informó este límite de manera previa, clara y expresa.

DÉCIMA. Si ocurre una vulneración

Si ocurre pérdida, destrucción, robo, extravío, copia, uso, acceso, daño o alteración no autorizados que afecte de forma significativa sus derechos, Riviera Media Digital se lo informará sin dilación alguna y, en todo caso, dentro de las 24 horas siguientes a su confirmación. Tratándose de credenciales fiscales, todo acceso no autorizado se considera significativo, sin margen de apreciación.

La notificación incluirá: (i) la naturaleza del incidente; (ii) los datos comprometidos; (iii) las recomendaciones para proteger sus intereses —incluida, de forma destacada, la instrucción de revocar de inmediato sus credenciales ante el SAT, con el procedimiento y la liga—; (iv) las acciones correctivas realizadas de inmediato; y (v) dónde obtener más información.

DÉCIMA PRIMERA. Revocación, derechos y borrado real

Puede revocar su consentimiento y ejercer sus derechos de acceso, rectificación, cancelación y oposición en cualquier momento y sin costo. Puede eliminar sus credenciales usted mismo desde Configuración → Conexión SAT, sin pedirle permiso a nadie, o escribir a [email protected] dirigido al oficial de privacidad. Se le comunicará la determinación en 20 días y, de proceder, se hará efectiva en los 15 días siguientes.

Qué significa eliminar una credencial. Se destruye de inmediato de los sistemas en operación y deja de poder usarse en ese mismo momento. Las copias de respaldo —que existen para recuperar el servicio ante una falla— se sobrescriben conforme a su ciclo de rotación y desaparecen en un plazo máximo de seis meses. Durante ese periodo permanecen cifradas y no se usan para ninguna operación. Dada su naturaleza, las credenciales no se someten a periodo de bloqueo: se destruyen.

Qué pasa exactamente si tuviéramos que restaurar un respaldo. Un respaldo restaurado devuelve la base de datos al estado que tenía cuando se tomó, y por lo tanto podría reintroducir una credencial que usted ya había eliminado. Riviera Media Digital se obliga a llevar registro de las eliminaciones y a volver a aplicarlas como paso obligatorio de todo procedimiento de restauración, antes de reanudar cualquier operación. Se lo decimos así, y no como una garantía automática, porque hoy ese control es un procedimiento operativo y no un mecanismo técnico que lo haga imposible. en construcción

Dos advertencias que usted necesita saber:

1. La revocación no tiene efectos retroactivos: las operaciones ya ejecutadas conservan plena validez ante el SAT.
2. Eliminar su credencial de la plataforma NO la revoca ante el SAT. Mientras usted no lo haga ante la autoridad, su e.firma y sus sellos siguen vigentes. Si sospecha cualquier compromiso, revóquelos ante el SAT de inmediato: es el único acto que de verdad lo protege, y solo usted puede realizarlo.

DÉCIMA SEGUNDA. Cuánto tiempo se conserva cada cosa

• Credenciales: solo mientras el servicio esté activo y usted mantenga la autorización. Ninguna disposición fiscal obliga a Riviera Media Digital a conservarlas, y no se conservan tras la revocación o la baja.
• Información fiscal (CFDI y documentos): hasta cinco años, como servicio de apoyo a su obligación de conservación del artículo 30 del CFF —que es suya, no nuestra—, salvo que solicite su cancelación antes.
• Bitácora (sin secretos): cinco años, con el único propósito de determinar responsabilidades derivadas del tratamiento.

Su expediente —bitácora y acuses— es suyo. Sus comprobantes se pueden exportar en formato abierto directamente desde la plataforma en cualquier momento; el resto del expediente se le entrega a solicitud, también en formato abierto, aunque cancele el servicio.

DÉCIMA TERCERA. Responsabilidad

Riviera Media Digital responde por los daños y perjuicios que cause por incumplimiento de los deberes asumidos en esta carta y en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Riviera Media Digital no limita ni excluye su responsabilidad por dolo, por culpa grave, ni la derivada de disposiciones de orden público en materia de protección de datos y de protección al consumidor.

Garantía por falla propia. Si por defecto del software, error de cálculo imputable a Riviera Media Digital o indisponibilidad del servicio, una declaración se presenta con error o fuera de plazo, Riviera Media Digital cubrirá las actualizaciones, recargos y multas que deriven de ello, hasta un monto máximo pendiente de definir, y preparará la declaración complementaria sin costo. El monto se fijará en la versión definitiva de esta carta y se le informará antes de que se le pida aceptarla.

Riviera Media Digital no responde por: (i) actos que usted, o las personas a quienes usted otorgue acceso, ejecuten válidamente a través del servicio; (ii) el compromiso de su contraseña o de su segundo factor cuando derive de causas no imputables a Riviera Media Digital, correspondiendo a esta acreditar dicha ajenidad; (iii) caso fortuito o fuerza mayor acreditados; (iv) la inexactitud de la información que usted proporcione. Ninguno de estos supuestos la libera de sus obligaciones de seguridad, notificación y colaboración.

DÉCIMA CUARTA. Delegación a terceros

Usted puede autorizar que una aplicación de un tercero solicite a Riviera Media Digital la ejecución de operaciones acotadas. Sus credenciales nunca se entregan a ese tercero ni salen de la bóveda; Riviera Media Digital ejecuta la operación y comunica al tercero únicamente el resultado.

Esa comunicación sí constituye una transferencia de sus datos personales. Por ello cada autorización se otorga de forma individual, informada y afirmativa, indicándole: la identidad del tercero, los datos que recibirá, las finalidades autorizadas, los RFC comprendidos y su vigencia. El tercero receptor asumirá las mismas obligaciones que corresponden a Riviera Media Digital.

☐ Acepto la transferencia de los resultados al tercero en los términos del permiso. ☐ No la acepto.

Cada permiso tiene alcance limitado, vigencia determinada y es revocable en cualquier momento con efecto inmediato. Ninguna operación que firme, presente, timbre o cancele documentos a su nombre se ejecutará sin su confirmación individual; los permisos desatendidos se limitan a consultas. Puede oponerse en todo momento al tratamiento automatizado que le produzca efectos jurídicos.

Esta cláusula aplica únicamente si usted activa una delegación de ese tipo. Si no lo hace, ningún tercero recibe nada.

DÉCIMA QUINTA. Autoridad, ley aplicable y jurisdicción

La autoridad en materia de protección de datos personales en posesión de particulares es la Secretaría Anticorrupción y Buen Gobierno. Tratándose de consumidores, la Procuraduría Federal del Consumidor es competente. Esta carta se rige por las leyes mexicanas y, para lo no previsto, las partes se someten a los tribunales competentes de Playa del Carmen, Quintana Roo, sin que ello implique renuncia a la protección de la Ley Federal de Protección al Consumidor.

---

Anexo A — e.firma y CSD

Este anexo se firma por separado y es revocable por separado, sin afectar el cuerpo principal.

• Si usted es persona física: es opcional. Hace falta solo para la Descarga Masiva de comprobantes y para la declaración anual con saldo a favor superior a $10,000.
• Si usted es persona moral: es necesario para presentar declaraciones. La Resolución Miscelánea Fiscal exige e.firma para el envío de los pagos provisionales, la anual, las retenciones de salarios y las de IVA (reglas 3.9.14, 3.9.15, 3.9.16, 3.13.16 y 3.13.19). No es una decisión de esta plataforma: es requisito de la norma, y la única alternativa es acudir presencialmente a una oficina del SAT.

Para el pago provisional mensual del Régimen Simplificado de Confianza de persona física no es necesario: la Contraseña basta y tiene el mismo valor probatorio (regla 2.2.1 de la Resolución Miscelánea Fiscal).

A.1. Alcance

Autoriza la custodia y el uso de su e.firma (.cer, .key y contraseña) exclusivamente para la Descarga Masiva de CFDI y, cuando la plataforma lo ofrezca, para presentar la declaración anual previa autorización específica suya. (La presentación de la declaración anual está aún no disponible).

A.2. Lo que usted debe saber antes de firmar este anexo

Al tramitar su e.firma ante el SAT, usted se comprometió a mantener absoluta confidencialidad del archivo .key y de su contraseña. Entregarlo en custodia a un tercero —incluso cifrado y por mandato— es una divulgación, y así debe entenderlo.

Ese mismo artículo del Código Fiscal que le impone cuidar la confidencialidad (17-J) lo faculta, en su fracción III, a solicitar la revocación de su certificado ante cualquier circunstancia que usted considere que pone en riesgo la privacidad de sus datos de creación de firma. Esa decisión es suya, en todo momento, y nadie puede tomarla por usted.

Para que decida con todo sobre la mesa:

• La alternativa a esta custodia no es que nadie tenga su e.firma. Salvo que usted lleve personalmente su contabilidad, hoy ya está en manos de alguien: su despacho, un auxiliar, un archivo compartido, una conversación de mensajería. La pregunta práctica no es si se divulga, sino a qué.
• Buena parte de lo que usted necesita no requiere este anexo. Sus comprobantes, su Constancia, su Opinión de Cumplimiento y sus pagos provisionales del Régimen Simplificado de Confianza se obtienen con su Contraseña, que conforme a la regla 2.2.1 de la Resolución Miscelánea Fiscal tiene el mismo valor probatorio que su firma autógrafa.
• Puede revocar este anexo por separado, en cualquier momento y sin afectar el resto del servicio. Y puede revocar su e.firma ante el SAT cuando lo decida, que es el único acto que la deja definitivamente fuera de uso.

Al firmar este anexo, usted reconoce que se le informó lo anterior de manera previa, clara y completa, y decide proceder.

---

Cómo se registrará su aceptación

Cuando exista una versión definitiva, cada aceptación queda ligada a la versión exacta del documento, con la fecha y hora, el método con el que usted se autenticó, las casillas que marcó y un resumen digital del texto que aceptó. Así, más adelante, siempre se puede saber qué decía exactamente lo que usted aceptó.

Documentos relacionados: Aviso de Privacidad · Términos y Condiciones