Protección de datos personales en la facturación electrónica

1Quién responde por tus datos

El servicio de facturación electrónica de Declara Tax —la emisión, firma, envío, recepción, aprobación y conservación de comprobantes fiscales electrónicos (e-CF) ante la Dirección General de Impuestos Internos (DGII)— lo presta Oak Development S.R.L., RNC 131-19356-2, sociedad dominicana con domicilio en Av. Roberto Pastoriza 457, Torre Villa Palmera Business Center, Suite 804-A, Piantini, Santo Domingo, Distrito Nacional («Oak», «nosotros»), autorizada por la DGII como emisor electrónico y, una vez concluido el trámite correspondiente, como Proveedor de Servicios de Facturación Electrónica. Oak es el responsable del tratamiento de los datos que se describen aquí, en el sentido de la Ley núm. 172-13 sobre protección de datos de carácter personal.

El resto del servicio Declara Tax (preparación de los formatos 606, 607, 608, 609, Anexo A, IT-1 e IR-17, lectura de facturas y suscripción) se rige por la política de privacidad general. Donde las dos coincidan sobre el mismo dato, se aplica la que ofrezca mayor protección al titular.

Para cualquier asunto relacionado con tus datos escribe a support@declaratax.cloud. Respondemos en los plazos de la sección 7.

2Qué datos tratamos y de quién

La facturación electrónica trata, por su propia naturaleza, datos de tres clases de personas. La Ley 172-13 protege los de las personas físicas; los datos de sociedades y demás personas jurídicas quedan fuera de su ámbito (art. 4.4), aunque los tratamos con la misma confidencialidad.

No tratamos datos sensibles (salud, origen, creencias, vida sexual, afiliación) ni los pedimos. Si un contribuyente los incluyera en la descripción de un comprobante, lo haría bajo su exclusiva responsabilidad.

3Para qué los tratamos y con qué base

Tratamos los datos únicamente para prestar el servicio contratado y cumplir las obligaciones que la ley impone a los emisores electrónicos y a sus proveedores:

• Elaborar, firmar y enviar los e-CF a la DGII y a sus destinatarios, y obtener de la DGII su estado (TrackId, aceptación o rechazo).
• Recibir los e-CF que otros contribuyentes emiten a nuestros clientes, devolver el acuse de recibo y gestionar las aprobaciones comerciales en ambos sentidos.
• Generar la representación impresa de cada e-CF y entregársela al cliente para su comprador.
• Alimentar las declaraciones del contribuyente (607, 606, 609) con lo emitido y recibido.
• Conservar los comprobantes y sus acuses durante el plazo legal, y exhibirlos a la DGII cuando lo requiera.
• Proteger la cuenta: verificar el correo, bloquear accesos indebidos y mantener la bitácora de accesos y de firmas.

La base que legitima el tratamiento es la relación contractual con el contribuyente (art. 27.4 de la Ley 172-13) y el cumplimiento de obligaciones legales: la Ley núm. 32-23 de Facturación Electrónica, su reglamento y las normas de la DGII determinan qué datos debe contener un e-CF, a quién debe remitirse y cuánto tiempo debe conservarse. Respecto de los compradores y proveedores que aparecen en los comprobantes, quien recaba sus datos y responde de haberlos obtenido lícitamente es el contribuyente que los factura o que recibe su factura; Oak los trata por cuenta de ese contribuyente y conforme a la ley.

4A quién se comunican

No vendemos, alquilamos ni cedemos datos a nadie para publicidad ni para ningún otro fin. Solo entregaríamos datos a una autoridad distinta de la DGII por mandato judicial u obligación legal que nos vincule, y en ese caso avisaríamos al titular salvo prohibición legal.

Transferencia internacional. El alojamiento en Estados Unidos constituye una transferencia internacional de datos en el sentido del art. 80 de la Ley 172-13. Se realiza para la ejecución del contrato con el contribuyente, bajo contratos con el proveedor de alojamiento y con el de respaldos que los obligan a la confidencialidad, y con los datos cifrados de modo que ninguno de los dos puede leerlos. Al contratar el servicio, el contribuyente consiente esta transferencia.

5Cómo los protegemos

Toda comunicación va cifrada por HTTPS; los expedientes, los comprobantes y los certificados digitales se guardan cifrados con AES-256-GCM con una clave que no está en la base de datos ni en los respaldos; la contraseña del certificado digital no se guarda; cada firma queda registrada en una bitácora que el titular puede ver; el acceso administrativo al servidor es por clave SSH con cortafuegos; y nadie ajeno a Oak accede al contenido en claro. El cifrado no es de extremo a extremo —la clave es del servidor— y lo decimos expresamente: Oak podría abrir un expediente, y solo lo hace a petición del titular o por obligación legal. Las medidas completas están en la Política de Seguridad de la Información de Oak, disponible a petición.

6Cuánto tiempo los conservamos

e-CF emitidos y recibidos, resúmenes, acuses, aprobaciones y anulaciones, con sus firmas

Diez (10) años desde su emisión: es el plazo de conservación que la Ley 32-23 y el Código Tributario imponen a los comprobantes que sustentan créditos y gastos; Oak lo cumple por cuenta del contribuyente.

Datos de la cuenta y expedientes de trabajo

Mientras la cuenta esté activa y treinta (30) días después de su cancelación, para que puedas descargar tu información; después se borran, salvo lo que la fila anterior obliga a conservar.

Certificado digital y su clave

Hasta que el titular lo borre, lo sustituya o venza. Puedes borrarlo en cualquier momento desde la aplicación.

Bitácoras de acceso y de firmas

Al menos doce (12) meses, para la trazabilidad ante incidentes y requerimientos.

Cuando el contribuyente deja el servicio, puede exportar sus comprobantes; los que Oak deba seguir conservando por obligación legal se mantienen cifrados y fuera de uso, únicamente para exhibirlos a la DGII o al propio contribuyente.

7Tus derechos

Toda persona física cuyos datos tratemos puede ejercer gratuitamente los derechos que reconoce la Ley 172-13:

• Información (art. 5.3): saber qué datos tenemos, para qué, de dónde salieron y a quién se comunican. Esta página es la primera respuesta.
• Acceso (art. 10): obtener copia de sus datos. Respondemos dentro de los cinco (5) días hábiles siguientes a la solicitud.
• Rectificación, actualización y supresión (art. 8): corregir lo inexacto, completar lo incompleto o pedir el borrado. Respondemos dentro de los diez (10) días hábiles. La supresión no procede sobre los datos que la ley nos obliga a conservar (sección 6) ni cuando cause perjuicio a terceros; en ese caso los bloqueamos para que no se usen más que para esa obligación.
• Oposición: a un tratamiento que no sea necesario para el contrato ni para una obligación legal.
• Hábeas data (art. 17): si no respondemos o la respuesta no satisface, acudir a los tribunales conforme a la Constitución y la ley.

Un comprador o proveedor que figure en un e-CF y quiera corregir un dato debe saber que el comprobante firmado y aceptado por la DGII no se modifica: la corrección se hace mediante una nota de crédito o débito o un nuevo comprobante, que emite el contribuyente que lo facturó. Le indicaremos a quién dirigirse y, si el dato está en nuestros registros fuera del comprobante, lo corregiremos.

8Cómo ejercerlos

Escribe a support@declaratax.cloud indicando qué derecho ejerces, sobre qué datos y un medio para responderte, y acredita tu identidad (copia de la cédula o acceso desde la cuenta registrada). Si actúas en nombre de otra persona, acredita la representación. Acusamos recibo en un (1) día hábil y respondemos en los plazos de la sección 7. Si la solicitud es manifiestamente repetitiva o infundada podremos rechazarla motivadamente, por escrito.

9Lo que nunca hacemos

• Usar los datos de los comprobantes para fines propios, estadísticos, comerciales o publicitarios, ni construir perfiles de compradores o proveedores.
• Compartir datos con terceros distintos de los de la sección 4.
• Pedir la contraseña del certificado digital por correo, chat o teléfono, ni guardarla.
• Usar el certificado digital de un contribuyente para firmar algo que él no haya ordenado desde su cuenta.
• Tratar datos de menores de edad: el servicio está dirigido a contribuyentes.

10Incidentes

Si un incidente de seguridad afectara a tus datos, te lo comunicaremos dentro de las 72 horas siguientes a confirmarlo, con lo ocurrido, los datos afectados y las medidas tomadas, y lo notificaremos a la DGII cuando afecte a comprobantes fiscales o a los servicios publicados en su directorio.

11Cookies

El servicio de facturación electrónica no usa cookies de seguimiento, analítica ni publicidad. La aplicación mantiene tu sesión iniciada con una cookie estrictamente necesaria (HttpOnly, Secure, SameSite=Strict). Lo relativo a la medición publicitaria del sitio de ventas y de las altas de cuenta se describe en la política de privacidad general.

12Cambios a esta política

Publicaremos cualquier cambio en esta misma dirección con su fecha de actualización y, si el cambio afecta a tus derechos o a los fines del tratamiento, te avisaremos por correo con al menos treinta (30) días de antelación. La versión vigente es siempre la publicada.

Ley aplicable: Ley núm. 172-13 sobre protección de datos de carácter personal; Ley núm. 32-23 de Facturación Electrónica y Decreto 587-24; Ley núm. 126-02 sobre comercio electrónico, documentos y firmas digitales; Código Tributario de la República Dominicana.