Política de Seguridad de la Información

JEFACT, S.R.L. — Controles de seguridad de la plataforma JeFact

1. Objetivo

Proteger la confidencialidad, integridad, autenticidad y disponibilidad de toda la información procesada, almacenada o transmitida por la plataforma JeFact, asegurando el cumplimiento de la Ley núm. 172-13 sobre Protección de Datos Personales y de las normativas de la DGII aplicables a los proveedores de servicios de facturación electrónica.

2. Alcance

Esta política aplica a toda la información gestionada por JeFact: datos personales y fiscales de los contribuyentes usuarios, comprobantes fiscales electrónicos (e-CF), credenciales de acceso y la infraestructura tecnológica que soporta el servicio.

3. Clasificación de la información

JeFact clasifica la información según su sensibilidad y aplica controles proporcionales a cada nivel, priorizando la protección de credenciales, datos fiscales y datos personales de los contribuyentes.

Nivel	Comprende
Crítica	Credenciales de acceso a servicios de firma, claves de aplicación y secretos de configuración.
Confidencial	Contenido de los e-CF, datos fiscales y contables, datos personales de clientes y empleados del contribuyente.
Interna	Configuraciones del sistema, registros de operación y documentación técnica.
Pública	Documentación comercial, políticas publicadas y contenido del sitio web.

4. Controles de seguridad

4.1 Cifrado de datos

• Cifrado de todas las comunicaciones entre el navegador del usuario y los servidores de la plataforma.
• Conexión cifrada obligatoria entre la aplicación y la base de datos.
• Cifrado en reposo de la información almacenada en la infraestructura del proveedor.
• Comunicaciones con los servicios de la DGII y con la entidad de certificación exclusivamente sobre canales cifrados.

4.2 Autenticación y control de acceso

• Las contraseñas se almacenan mediante funciones criptográficas irreversibles con salt. En ningún caso se guardan ni se transmiten en texto plano.
• Las sesiones se sostienen mediante tokens firmados con tiempo de expiración definido.
• Acceso restringido por perfiles, bajo el principio de mínimo privilegio: cada usuario accede únicamente a los módulos necesarios para su función.
• La baja de un usuario surte efecto de forma inmediata.

4.3 Aislamiento entre contribuyentes

JeFact opera bajo un modelo multi-inquilino. La separación entre la información de cada contribuyente constituye un control crítico:

• Toda entidad de datos incorpora el identificador del contribuyente al que pertenece, con integridad referencial garantizada a nivel de base de datos.
• El identificador se deriva de la sesión validada en el servidor, nunca de un parámetro suministrado por el navegador.
• Toda consulta se restringe al contribuyente de la sesión activa, sin excepción.

4.4 Gestión de secretos

• Las credenciales de conexión, claves de firma de tokens y credenciales de servicios externos residen en variables de entorno del servidor.
• Ningún secreto se incorpora al repositorio de código fuente.
• La rotación de secretos se ejecuta ante sospecha de compromiso y, de forma programada, al menos una vez al año.

4.5 Acceso del personal de JEFACT

El panel de administración de la plataforma solo es accesible para el personal autorizado de JEFACT, S.R.L., verificado en el servidor en cada consulta. Muestra un resumen de cada contribuyente —cantidades, estado de su certificación y actividad—, pero no el contenido de sus comprobantes ni de sus registros. Las acciones realizadas desde ese panel quedan anotadas en la bitácora del contribuyente afectado.

5. Certificados digitales: custodia y uso

JeFact admite dos modalidades de custodia:

• En la entidad de certificación. Cuando la entidad lo ofrece, el certificado permanece en sus módulos de seguridad de hardware (HSM). JeFact solicita cada firma mediante interfaz de programación sobre canal cifrado, sin acceso a la clave privada.
• Archivo del contribuyente. El contribuyente puede cargar su certificado en formato .p12. El archivo y su contraseña se almacenan cifrados con AES-256-GCM. La clave de cifrado reside en el entorno del servidor, fuera de la base de datos, de modo que una copia de la base de datos no basta para utilizar los certificados.

En ambas modalidades se aplican los mismos controles:

• El certificado se descifra solo en la memoria del servidor, en el momento de firmar. Nunca se guarda descifrado, ni se muestra, ni se transmite.
• Se utiliza exclusivamente para los fines que el contribuyente autoriza en los Términos y Condiciones: firmar sus comprobantes, acuses de recibo, aprobaciones comerciales y anulaciones, y autenticarse ante la DGII y ante los receptores electrónicos.
• Al cargarlo, se rechazan los certificados emitidos por entidades de prueba y se verifica que la contraseña corresponda al archivo.
• Se avisa al contribuyente a los 30, 15, 7 y 1 día de su vencimiento. Con el certificado vencido, el sistema bloquea la firma.
• El contribuyente puede eliminar su certificado de la plataforma en cualquier momento, con lo que cesa la facultad de firmar en su nombre.

6. Registro de eventos y trazabilidad

La plataforma mantiene una bitácora de eventos que permite reconstruir la secuencia de operaciones relevantes y atribuirlas a un usuario identificado. Se registran, entre otros: autenticación de usuarios, emisión y anulación de comprobantes, operaciones sobre registros contables, cambios en usuarios, permisos y configuración fiscal, y las acciones del proceso de certificación.

Cada intento de inicio de sesión —correcto o fallido— se registra desde el servidor con su fecha y hora, dirección IP y navegador. La contraseña nunca se registra. Cinco o más intentos fallidos en 24 horas sobre una misma empresa generan una alerta para el equipo de JEFACT. También se registra cada solicitud recibida en los servicios de recepción y autenticación, con su resultado.

Los registros son de solo lectura desde la interfaz y se conservan mientras la cuenta del contribuyente esté activa.

7. Respaldo y recuperación

Los procedimientos detallados se desarrollan en nuestra Política de Contingencia. Los principios rectores son:

• Respaldos automáticos gestionados por el proveedor de infraestructura, con capacidad de restauración a un punto anterior en el tiempo.
• Función de exportación integral disponible para cada contribuyente en todo momento desde la propia plataforma.
• Verificación periódica de los procedimientos de restauración, con constancia documental.

Antes de eliminar la cuenta de un contribuyente, o de reiniciar sus datos de prueba, se genera un respaldo de la información eliminada. Ese respaldo se conserva durante 30 días y después se destruye.

8. Seguridad en el desarrollo

• El código fuente se gestiona bajo control de versiones, con registro de autor y fecha de cada modificación.
• Todo cambio se verifica antes de su publicación en el entorno productivo.
• Las modificaciones en la estructura de la base de datos se ejecutan mediante procedimientos documentados, idempotentes y con respaldo previo.
• Cuando la DGII publica una nueva versión del formato de comprobante fiscal, JeFact adecúa la plataforma y gestiona su recertificación.

9. Gestión de incidentes de seguridad

JeFact cuenta con un procedimiento documentado que comprende: detección y registro, contención inmediata, evaluación del alcance, erradicación de la causa raíz, notificación y documentación del incidente.

Ante un incidente que comprometa la confidencialidad o integridad de datos fiscales o personales, JEFACT, S.R.L. se compromete a notificar a los contribuyentes afectados dentro de las 72 horas siguientes a su confirmación, informando la naturaleza del incidente, la información involucrada y las medidas adoptadas. Cuando corresponda, se notificará igualmente a la DGII y a las autoridades competentes.

10. Seguridad en la relación con proveedores

JeFact se apoya en proveedores tecnológicos especializados. En todos los casos se verifica que ofrezcan garantías de seguridad adecuadas al tipo de información tratada. La incorporación de un nuevo proveedor con acceso a información confidencial requiere evaluación previa y aprobación de la Gerencia.

Función	Información involucrada
Infraestructura de aplicación y base de datos	Datos fiscales y contables de los contribuyentes.
Entidad de certificación digital	Custodia de certificados y ejecución de firmas. Custodia y firma en su infraestructura, cuando el contribuyente elige esa modalidad.
Procesamiento de pagos	Datos de facturación de la suscripción. JeFact no almacena datos de tarjetas.
Correo transaccional	Direcciones de correo y contenido de notificaciones.

11. Responsabilidades

La Gerencia de JEFACT, S.R.L. designa un Responsable de Seguridad de la Información encargado de mantener vigente esta política, coordinar la atención de incidentes, actuar como punto de contacto ante la DGII y verificar la aplicación efectiva de los controles descritos.

Todo el personal con acceso a los sistemas está obligado a guardar reserva sobre la información de los contribuyentes —incluso después de finalizada la relación laboral—, utilizar credenciales personales e intransferibles, reportar de inmediato cualquier incidente y acceder únicamente a la información necesaria para su función.

12. Cumplimiento y revisión

Esta política se revisa al menos una vez al año, y adicionalmente ante modificaciones sustanciales de la arquitectura, publicación de nueva normativa, incidentes de severidad alta o incorporación de proveedores con acceso a información confidencial.

Su incumplimiento por parte del personal o de colaboradores externos dará lugar a las medidas disciplinarias o contractuales que correspondan, sin perjuicio de las responsabilidades derivadas de la Ley núm. 53-07 sobre Crímenes y Delitos de Alta Tecnología y de la Ley núm. 172-13.

13. Marco legal

• Ley núm. 32-23 — Facturación Electrónica en la República Dominicana
• Ley núm. 172-13 — Protección de Datos Personales
• Ley núm. 126-02 — Comercio Electrónico, Documentos y Firmas Digitales
• Ley núm. 53-07 — Crímenes y Delitos de Alta Tecnología
• Ley núm. 11-92 — Código Tributario y sus modificaciones

14. Contacto

Para reportar incidentes de seguridad o consultas relacionadas con esta política: info@jefact.com · WhatsApp +1 (809) 790-9947