Política de Seguridad de la Información

JEFACT, S.R.L. — Controles de seguridad de la plataforma JeFact

1. Objetivo

Proteger la confidencialidad, integridad, autenticidad y disponibilidad de toda la información procesada, almacenada o transmitida por la plataforma JeFact, asegurando el cumplimiento de la Ley núm. 172-13 sobre Protección de Datos Personales y de las normativas de la DGII aplicables a los proveedores de servicios de facturación electrónica.

2. Alcance

Esta política aplica a toda la información gestionada por JeFact: datos personales y fiscales de los contribuyentes usuarios, comprobantes fiscales electrónicos (e-CF), credenciales de acceso y la infraestructura tecnológica que soporta el servicio.

3. Clasificación de la información

JeFact clasifica la información según su sensibilidad y aplica controles proporcionales a cada nivel, priorizando la protección de credenciales, datos fiscales y datos personales de los contribuyentes.

4. Controles de seguridad

4.1 Cifrado de datos

• Cifrado de todas las comunicaciones entre el navegador del usuario y los servidores de la plataforma.
• Conexión cifrada obligatoria entre la aplicación y la base de datos.
• Cifrado en reposo de la información almacenada en la infraestructura del proveedor.
• Comunicaciones con los servicios de la DGII y con la entidad de certificación exclusivamente sobre canales cifrados.

4.2 Autenticación y control de acceso

• Las contraseñas se almacenan mediante funciones criptográficas irreversibles con salt. En ningún caso se guardan ni se transmiten en texto plano.
• Las sesiones se sostienen mediante tokens firmados con tiempo de expiración definido.
• Acceso restringido por perfiles, bajo el principio de mínimo privilegio: cada usuario accede únicamente a los módulos necesarios para su función.
• La baja de un usuario surte efecto de forma inmediata.

4.3 Aislamiento entre contribuyentes

JeFact opera bajo un modelo multi-inquilino. La separación entre la información de cada contribuyente constituye un control crítico:

• Toda entidad de datos incorpora el identificador del contribuyente al que pertenece, con integridad referencial garantizada a nivel de base de datos.
• El identificador se deriva de la sesión validada en el servidor, nunca de un parámetro suministrado por el navegador.
• Toda consulta se restringe al contribuyente de la sesión activa, sin excepción.

4.4 Gestión de secretos

• Las credenciales de conexión, claves de firma de tokens y credenciales de servicios externos residen en variables de entorno del servidor.
• Ningún secreto se incorpora al repositorio de código fuente.
• La rotación de secretos se ejecuta ante sospecha de compromiso y, de forma programada, al menos una vez al año.

5. Certificados digitales: custodia externa

Por esa razón, JEFACT, S.R.L. adopta el modelo operativo en el cual la custodia de los certificados y la ejecución de las operaciones de firma residen en la infraestructura de una entidad de certificación autorizada conforme a la Ley núm. 126-02:

• Los certificados permanecen en módulos de seguridad de hardware (HSM) operados por la entidad de certificación.
• JeFact no almacena, transmite ni tiene acceso a los archivos de certificado ni a sus claves privadas.
• Las operaciones de firma se solicitan mediante interfaz de programación sobre canal cifrado, y se ejecutan en la infraestructura de la entidad de certificación.
• El contribuyente conserva en todo momento el control sobre su identidad digital, incluida la facultad de revocar el acceso.

6. Registro de eventos y trazabilidad

La plataforma mantiene una bitácora de eventos que permite reconstruir la secuencia de operaciones relevantes y atribuirlas a un usuario identificado. Se registran, entre otros: autenticación de usuarios, emisión y anulación de comprobantes, operaciones sobre registros contables, y cambios en usuarios, permisos y configuración fiscal.

Los registros son de solo lectura desde la interfaz y se conservan por el plazo exigido por la normativa tributaria vigente, quedando a disposición de la DGII conforme al Código Tributario.

7. Respaldo y recuperación

Los procedimientos detallados se desarrollan en nuestra Política de Contingencia. Los principios rectores son:

• Respaldos automáticos gestionados por el proveedor de infraestructura, con capacidad de restauración a un punto anterior en el tiempo.
• Función de exportación integral disponible para cada contribuyente en todo momento desde la propia plataforma.
• Verificación periódica de los procedimientos de restauración, con constancia documental.

8. Seguridad en el desarrollo

• El código fuente se gestiona bajo control de versiones, con registro de autor y fecha de cada modificación.
• Todo cambio se verifica antes de su publicación en el entorno productivo.
• Las modificaciones en la estructura de la base de datos se ejecutan mediante procedimientos documentados, idempotentes y con respaldo previo.
• Cuando la DGII publica una nueva versión del formato de comprobante fiscal, JeFact adecúa la plataforma y gestiona su recertificación.

9. Gestión de incidentes de seguridad

JeFact cuenta con un procedimiento documentado que comprende: detección y registro, contención inmediata, evaluación del alcance, erradicación de la causa raíz, notificación y documentación del incidente.

Ante un incidente que comprometa la confidencialidad o integridad de datos fiscales o personales, JEFACT, S.R.L. se compromete a notificar a los contribuyentes afectados dentro de las 72 horas siguientes a su confirmación, informando la naturaleza del incidente, la información involucrada y las medidas adoptadas. Cuando corresponda, se notificará igualmente a la DGII y a las autoridades competentes.

10. Seguridad en la relación con proveedores

JeFact se apoya en proveedores tecnológicos especializados. En todos los casos se verifica que ofrezcan garantías de seguridad adecuadas al tipo de información tratada. La incorporación de un nuevo proveedor con acceso a información confidencial requiere evaluación previa y aprobación de la Gerencia.

11. Responsabilidades

La Gerencia de JEFACT, S.R.L. designa un Responsable de Seguridad de la Información encargado de mantener vigente esta política, coordinar la atención de incidentes, actuar como punto de contacto ante la DGII y verificar la aplicación efectiva de los controles descritos.

Todo el personal con acceso a los sistemas está obligado a guardar reserva sobre la información de los contribuyentes —incluso después de finalizada la relación laboral—, utilizar credenciales personales e intransferibles, reportar de inmediato cualquier incidente y acceder únicamente a la información necesaria para su función.

12. Cumplimiento y revisión

Esta política se revisa al menos una vez al año, y adicionalmente ante modificaciones sustanciales de la arquitectura, publicación de nueva normativa, incidentes de severidad alta o incorporación de proveedores con acceso a información confidencial.

Su incumplimiento por parte del personal o de colaboradores externos dará lugar a las medidas disciplinarias o contractuales que correspondan, sin perjuicio de las responsabilidades derivadas de la Ley núm. 53-07 sobre Crímenes y Delitos de Alta Tecnología y de la Ley núm. 172-13.

13. Marco legal

• Ley núm. 32-23 — Facturación Electrónica en la República Dominicana
• Ley núm. 172-13 — Protección de Datos Personales
• Ley núm. 126-02 — Comercio Electrónico, Documentos y Firmas Digitales
• Ley núm. 53-07 — Crímenes y Delitos de Alta Tecnología
• Ley núm. 11-92 — Código Tributario y sus modificaciones

14. Contacto

Para reportar incidentes de seguridad o consultas relacionadas con esta política: info@jefact.com · WhatsApp +1 (809) 790-9947