Lex API MX
Aviso de Privacidad
1. Responsable del tratamiento
Lex API MX, con domicilio para oír y recibir notificaciones en Calle 73 S/N, Montes de Amé, C.P. 97115, Mérida, Yucatán, México (en adelante, «Lex API MX» o «nosotros»), es el responsable del tratamiento de tus datos personales conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, su Reglamento y los lineamientos aplicables. Lex API MX opera el servicio en los dominios lexapi.mx, api.lexapi.mx y lexapi.com.mx.
Para cualquier asunto relacionado con este aviso escríbenos a admin@lexapi.mx.
2. Datos personales que recabamos
Recabamos únicamente los datos necesarios para operar el servicio. No recabamos datos personales sensibles.
| Categoría | Datos | Cuándo |
|---|---|---|
| Cuenta | Correo electrónico; identificador de usuario; fecha de alta y de cada inicio de sesión. | Al crear tu cuenta o entrar con el enlace que enviamos a tu correo. |
| Datos fiscales | RFC, nombre o razón social, régimen fiscal, código postal fiscal y uso del CFDI. | Solo si los capturas para solicitar un CFDI. Se envían al timbrado cuando el comprobante se emite. |
| Pagos | Identificador de cliente y de pago en Stripe, monto, fecha, producto contratado y forma de pago (por ejemplo, tarjeta de crédito). No almacenamos números de tarjeta: los procesa Stripe. | Al contratar un plan o comprar una recarga. |
| Uso del servicio | Registros de cada petición a la API: fecha y hora, ruta, código de respuesta, latencia, clave de API utilizada (solo su huella SHA-256), dirección IP y agente de usuario, ambos convertidos en una huella irreversible (hash con sal) antes de guardarse; el tipo de cliente (SDK, servidor MCP u otro, derivado del agente de usuario); el número de resultados devueltos y, en el mapa normativo, los temas detectados, la cobertura y una huella irreversible de la consulta (no su texto). | Cada vez que tu aplicación, tu agente o el servidor MCP consultan la API. |
| Soporte | Los datos que incluyas al escribirnos por correo. | Cuando nos contactas. |
Las consultas que envías a la API (por ejemplo, el texto de una búsqueda o de un caso) se procesan para responderlas y se registran en los registros de auditoría del servicio únicamente con fines de seguridad, medición del consumo y mejora del producto. No las usamos para construir perfiles sobre ti ni las compartimos con terceros.
3. Finalidades del tratamiento
Finalidades primarias, necesarias para prestar el servicio:
- Crear y administrar tu cuenta y tus claves de API.
- Comprobar el correo al abrir la cuenta: lo normalizamos (minúsculas y, en Gmail, sin etiquetas
+ni puntos) y lo comparamos con una lista de dominios de correo temporal, para mantener una cuenta por buzón real. - Medir el consumo, aplicar los límites de tu plan y cobrar los planes y recargas que contrates.
- Emitir el CFDI que solicites desde tu cuenta. Hasta que se emite, tus datos fiscales permanecen en la cuenta.
- Atender tus solicitudes de soporte y notificarte cambios que afecten tu cuenta o tu integración.
- Prevenir fraudes y abusos, proteger la seguridad del servicio y cumplir obligaciones legales.
Finalidades secundarias, que no son necesarias para el servicio:
- Informarte sobre novedades del producto, nuevas normas incorporadas y reformas relevantes.
Si no deseas que tus datos se usen para las finalidades secundarias, escríbenos a admin@lexapi.mx. Tu negativa no afecta la prestación del servicio.
4. Transferencias y encargados
No vendemos ni cedemos tus datos personales. Para operar el servicio utilizamos proveedores que actúan como encargados del tratamiento y que solo acceden a los datos necesarios para su función:
| Proveedor | Función | Datos |
|---|---|---|
| Supabase, Inc. | Autenticación por correo y base de datos (Estados Unidos). | Correo, identificador de usuario, datos de la cuenta, fiscales y de uso. |
| Google Cloud (Google LLC) | Alojamiento de la API y la web (Estados Unidos). | Tráfico del servicio y registros de auditoría. |
| Stripe, Inc. | Cobro de planes y recargas, portal de suscripción. | Correo, identificador de cliente, datos de pago y de facturación de Stripe. |
| Facturapi (proveedor autorizado de certificación) | Timbrado del CFDI ante el SAT, solo cuando se emite el comprobante. | Datos fiscales, correo y monto del pago que se factura. |
| Proveedor de correo transaccional | Envío de los enlaces de acceso y avisos de la cuenta. | Correo electrónico. |
Algunos de estos proveedores se encuentran fuera de México; las transferencias se realizan al amparo de contratos que les obligan a tratar los datos conforme a este aviso. Cuando se emite un CFDI, comunicamos al Servicio de Administración Tributaria los datos que contiene, por obligación legal. Estas transferencias no requieren tu consentimiento conforme a la ley aplicable.
5. Derechos ARCO y revocación del consentimiento
Puedes acceder a tus datos personales, rectificarlos, cancelarlos u oponerte a su tratamiento (derechos ARCO), así como revocar el consentimiento que nos hayas otorgado, enviando una solicitud a admin@lexapi.mx con:
- tu nombre y el correo registrado en la cuenta;
- la descripción clara del derecho que deseas ejercer y de los datos a los que se refiere;
- un medio para comunicarte la respuesta.
Para acreditar tu identidad bastará que la solicitud provenga del correo registrado o que respondas a la verificación que te enviemos a ese correo. Responderemos en un plazo máximo de veinte días hábiles y, si procede, haremos efectiva la solicitud dentro de los quince días hábiles siguientes. Ten en cuenta que no podremos cancelar los datos que la legislación fiscal nos obliga a conservar (por ejemplo, los de las facturas emitidas) ni los necesarios para cumplir una relación contractual vigente.
Desde tu cuenta puedes también revocar tus claves de API en cualquier momento y cerrar sesión en todos los dispositivos.
6. Conservación de los datos
Conservamos los datos de tu cuenta mientras esté activa. Los registros de uso se conservan hasta doce meses para fines de seguridad y conciliación del consumo. Los datos fiscales y de pago se conservan durante los plazos que exigen las disposiciones fiscales (cinco años a partir de la fecha de cada comprobante). Después de esos plazos los datos se eliminan o se anonimizan.
7. Cookies y almacenamiento local
La web de Lex API MX no utiliza cookies de rastreo ni de publicidad. Usa el almacenamiento local del navegador para mantener tu sesión y para guardar, solo durante la pestaña abierta, la clave de API que pegues en la consola. También guarda en la caché del navegador (Cache Storage) los archivos de la propia web para que cargue sin conexión; ahí no se guardan consultas ni datos de tu cuenta. Al cargar la página, tu navegador descarga la tipografía desde Google Fonts y, en Precios y Cuenta, la biblioteca de acceso a la cuenta desde jsDelivr; esos servidores reciben tu dirección IP como parte de esa descarga.
8. Seguridad
Las claves de API se guardan únicamente como huella SHA-256 y se muestran una sola vez al crearlas. Las direcciones IP y los agentes de usuario se almacenan como huellas irreversibles. Los secretos del servicio viven en un gestor de secretos y la comunicación con la API se cifra con TLS.
9. Cambios a este aviso
Publicaremos cualquier cambio a este aviso en lexapi.mx/privacidad, con su fecha de actualización. Si el cambio afecta de forma sustancial el tratamiento de tus datos, te lo comunicaremos además al correo de tu cuenta.
10. Autoridad
Si consideras que tu derecho a la protección de datos personales ha sido vulnerado, puedes acudir ante la autoridad competente en materia de protección de datos personales en México.