Política Pública de Protección de Datos Personales y Privacidad

01 Marco legal aplicable

Esta Política se elabora conforme al marco legal vigente en la República Dominicana en materia de protección de datos personales, comercio electrónico y facturación electrónica, incluyendo de manera enunciativa y no limitativa:

• Constitución de la República Dominicana, artículo 44, que reconoce el derecho a la intimidad y a la protección de los datos personales.
• Ley núm. 172-13, del 13 de diciembre de 2013, que tiene por objeto la protección integral de los datos personales (Gaceta Oficial núm. 10737).
• Ley núm. 126-02, sobre Comercio Electrónico, Documentos y Firmas Digitales.
• Ley núm. 32-23, de Facturación Electrónica, del 16 de mayo de 2023.
• Decreto núm. 587-24, del 10 de octubre de 2024, que establece el Reglamento para la aplicación de la Ley núm. 32-23.
• Norma General de la DGII núm. 10-2021, sobre el procedimiento y los requisitos de certificación de los PSFE.
• Norma General de la DGII núm. 06-2018, sobre Comprobantes Fiscales, y demás normas complementarias sobre e-CF.
• Ley núm. 11-92, Código Tributario de la República Dominicana, y sus modificaciones, en lo relativo a la conservación de documentos y comprobantes con incidencia fiscal.
• Cualquier otra ley, reglamento, norma general o aviso vigente emitido por la DGII u otro organismo competente, directamente relacionado con la privacidad, la protección de datos, la seguridad de la información o la facturación electrónica.

02 Objetivo

El objetivo de esta Política es proteger los datos personales tratados por Softlink (en lo adelante, "la Empresa") y garantizar que su recopilación, almacenamiento, uso, conservación, transferencia y eliminación se realicen de manera responsable, segura y conforme a la legislación dominicana aplicable, en su condición de Proveedor de Servicios de Facturación Electrónica (PSFE) certificado ante la DGII.

A través de esta Política, la Empresa informa de manera clara y accesible:

• Qué datos personales recopila.
• Para qué finalidades los recopila.
• Cómo los utiliza.
• Con quién puede compartirlos.
• Cómo los protege.
• Durante cuánto tiempo los conserva.
• Qué derechos tienen los titulares de los datos.
• Cómo pueden ejercer esos derechos.
• Cómo pueden contactar a la Empresa para asuntos de privacidad.

03 Ámbito de aplicación

Esta Política aplica al tratamiento de datos personales realizado por la Empresa a través de, entre otros, los siguientes canales:

• Página web institucional.
• Plataforma de facturación electrónica.
• Aplicaciones móviles o de escritorio propias.
• Interfaces de programación de aplicaciones (API).
• Sistemas internos de gestión.
• Formularios en línea o físicos.
• Correo electrónico.
• Mesa de ayuda y servicios de soporte técnico.
• Procesos de contratación de personal.
• Procesos de facturación y cobranza.
• Comprobantes Fiscales Electrónicos (e-CF).
• Comunicaciones con clientes, usuarios y proveedores.
• Cualquier otro canal mediante el cual la Empresa recopile o procese datos personales.

04 Identificación del responsable del tratamiento

El responsable del tratamiento de los datos personales descritos en esta Política es:

05 Definiciones

Para efectos de esta Política, y en coherencia con la Ley 172-13, se entiende por:

• Dato personal: toda información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, referida a personas físicas o jurídicas identificadas o identificables.
• Titular de los datos: la persona física o jurídica a la que se refieren los datos personales objeto de tratamiento.
• Tratamiento: cualquier operación o conjunto de operaciones realizadas sobre datos personales, tales como recolección, almacenamiento, uso, modificación, transferencia, bloqueo o eliminación.
• Responsable del tratamiento: la persona física o jurídica que decide sobre la finalidad, contenido y uso del tratamiento de los datos personales.
• Encargado del tratamiento: la persona física o jurídica que, sola o conjuntamente con otras, trata datos personales por cuenta del responsable del tratamiento.
• Base de datos: conjunto organizado de datos personales objeto de tratamiento o procesamiento.
• Datos sensibles: aquellos referidos a características físicas o morales de las personas, o a hechos o circunstancias de su vida privada o actividad, como los hábitos personales, el origen racial, las ideas políticas, las convicciones religiosas o filosóficas, y aquellos relativos a la salud o a la vida sexual, entre otros de naturaleza análoga.
• Transferencia de datos: toda comunicación de datos personales realizada a persona distinta del titular.
• Consentimiento: manifestación de voluntad, libre, inequívoca, específica e informada, mediante la cual el titular acepta el tratamiento de sus datos personales.
• Incidente de seguridad: evento que compromete la confidencialidad, integridad o disponibilidad de los datos personales tratados por la Empresa.

06 Tipos de datos personales que puede recopilar la Empresa

Dependiendo del canal y de la relación que la persona tenga con la Empresa (cliente, usuario, contribuyente, visitante del sitio web, empleado o proveedor), la Empresa puede recopilar las siguientes categorías de datos, en la medida en que resulten necesarias para la prestación de sus servicios como PSFE:

Datos de identificación

• Nombre y apellidos.
• Número de cédula de identidad.
• RNC.
• Pasaporte, cuando corresponda (por ejemplo, para usuarios extranjeros).

Datos de contacto

• Correo electrónico.
• Número de teléfono.
• Dirección física.

Datos comerciales

• Información de la empresa contratante (razón social, actividad económica).
• Información de clientes y proveedores relacionados con el servicio contratado.
• Datos sobre los servicios contratados y su facturación.

Datos relacionados con la facturación electrónica

• Información contenida en los e-CF que la Empresa procesa, emite o transmite en su condición de PSFE.
• Información necesaria para la emisión, transmisión, validación o recepción de e-CF.
• Datos de compradores y vendedores contenidos en las transacciones facturadas.
• Información tributaria estrictamente necesaria para la prestación del servicio de facturación electrónica.

Datos técnicos

• Dirección IP.
• Información del navegador y del dispositivo utilizado.
• Sistema operativo.
• Registros de acceso (logs).
• Fecha y hora de conexión.
• Información técnica necesaria para la seguridad de la plataforma y la prevención de fraude.

07 Finalidades del tratamiento

Los datos personales recopilados por la Empresa son utilizados, principalmente, para las siguientes finalidades necesarias para la prestación del servicio:

• Prestación del servicio de facturación electrónica.
• Emisión, transmisión, validación y procesamiento de e-CF.
• Integración con los sistemas y servicios de la DGII.
• Administración de las cuentas de los usuarios.
• Soporte técnico y atención al cliente.
• Gestión contractual con clientes y proveedores.
• Facturación y cobro de los servicios prestados por la Empresa.
• Seguridad de la plataforma y prevención y detección de fraude.
• Cumplimiento de obligaciones legales, fiscales y regulatorias.
• Atención de requerimientos válidos de autoridades competentes.
• Mantenimiento, soporte y mejora continua de los servicios.
• Gestión de incidentes de seguridad.
• Auditoría y trazabilidad de las operaciones.

Adicionalmente, y solo cuando exista una base legal para ello (por ejemplo, el consentimiento del titular), la Empresa podrá utilizar datos de contacto con finalidades opcionales, tales como el envío de comunicaciones comerciales o informativas. Estas finalidades opcionales son independientes de las finalidades necesarias para la prestación del servicio, y el titular puede oponerse a ellas sin que esto afecte la prestación del servicio contratado.

08 Tratamiento de datos por cuenta de los clientes (responsable vs. encargado)

Dado que la Empresa presta servicios de facturación electrónica a terceros, es importante distinguir dos roles posibles en el tratamiento de datos personales:

• La Empresa actúa como responsable del tratamiento respecto de los datos personales que recopila y utiliza para sus propios fines (por ejemplo, los datos de sus propios clientes contractuales, empleados y proveedores, necesarios para administrar la relación comercial, contractual y de facturación con ellos).
• La Empresa actúa como encargada del tratamiento respecto de los datos personales contenidos en los e-CF y demás información que procesa por cuenta de sus clientes contribuyentes, en su condición de PSFE, para la emisión, transmisión y almacenamiento de comprobantes fiscales electrónicos.

Cuando la Empresa trate datos personales por cuenta de un cliente contribuyente, en su condición de encargada del tratamiento, lo hará conforme a las instrucciones y finalidades autorizadas por dicho cliente y dentro del marco legal aplicable, sin utilizar dicha información para fines incompatibles con la prestación del servicio de facturación electrónica ni con propósitos ajenos a la relación contractual establecida.

09 Datos contenidos en los Comprobantes Fiscales Electrónicos (e-CF)

Los e-CF que la Empresa procesa, emite o recibe en su condición de PSFE pueden contener datos personales de compradores, vendedores y demás partes involucradas en las transacciones documentadas. Respecto de esta información, la Empresa establece que:

• El acceso a los e-CF y a la información en ellos contenida está limitado al personal y a los sistemas debidamente autorizados.
• La información será utilizada exclusivamente para las finalidades relacionadas con la prestación del servicio de facturación electrónica.
• Se implementan medidas de seguridad razonables orientadas a evitar accesos no autorizados a dicha información.
• Los e-CF serán conservados durante el período requerido por la normativa fiscal aplicable (ver sección 22).
• La información contenida en los e-CF podrá ser suministrada a la DGII o a otras autoridades competentes cuando exista una obligación legal o un requerimiento válido para ello.

10 Base y legitimidad del tratamiento

El tratamiento de los datos personales por parte de la Empresa se sustenta, según corresponda, en una o varias de las siguientes circunstancias reconocidas por la legislación dominicana aplicable:

• El consentimiento del titular de los datos.
• El cumplimiento de obligaciones legales y regulatorias a cargo de la Empresa, incluidas las derivadas de su condición de PSFE ante la DGII.
• La ejecución de una relación contractual con el titular o con la persona jurídica que este representa.
• La prestación del servicio expresamente solicitado por el titular o por su empresa.
• El cumplimiento de requerimientos válidos formulados por autoridades competentes.
• La protección de los sistemas de la Empresa y la prevención de fraude o de actividades ilícitas.

11 Consentimiento

Cuando el tratamiento de un dato personal requiera el consentimiento del titular, la Empresa:

• Informará previamente al titular sobre la finalidad del tratamiento.
• Solicitará el consentimiento de forma clara y comprensible, de manera previa a la recopilación o al uso del dato, cuando ello sea aplicable.
• Mantendrá un registro razonable de la obtención del consentimiento, como buena práctica de gestión.
• Permitirá la revocación del consentimiento cuando ello legalmente proceda, sin que esto afecte la licitud del tratamiento realizado con anterioridad a dicha revocación.
• Diferenciará entre el consentimiento necesario para la prestación del servicio y el consentimiento relacionado con comunicaciones comerciales u otras finalidades opcionales.

12 Principios de protección de datos

El tratamiento de datos personales por parte de la Empresa se rige por los siguientes principios, en línea con la Ley 172-13:

• Legalidad: el tratamiento se realiza conforme a la ley y a las finalidades informadas al titular.
• Finalidad: los datos se recopilan y utilizan únicamente para las finalidades informadas.
• Calidad de los datos: la Empresa procura que los datos sean exactos, pertinentes y actualizados.
• Proporcionalidad: solo se recopilan los datos necesarios para las finalidades del tratamiento.
• Confidencialidad: la información se mantiene reservada frente a terceros no autorizados.
• Seguridad: se aplican medidas razonables para proteger los datos frente a pérdida, alteración o acceso no autorizado.
• Transparencia: se informa a los titulares sobre el tratamiento de sus datos, en los términos de esta Política.
• Limitación del uso: los datos no se utilizan para fines incompatibles con los informados.
• Responsabilidad: la Empresa responde por el cumplimiento de estos principios en el tratamiento que realiza.

13 Seguridad de los datos

La Empresa implementa medidas de seguridad razonables, orientadas a proteger los datos personales frente a pérdida, uso indebido, alteración o acceso no autorizado. Entre las medidas contempladas se incluyen:

• Control de acceso a los sistemas y a la información.
• Autenticación de usuarios mediante credenciales individuales.
• Cifrado de información, cuando corresponda.
• Gestión de permisos y perfiles de acceso.
• Segregación de funciones entre el personal.
• Registro de accesos (logs) y monitoreo de la plataforma.
• Copias de seguridad periódicas.
• Procedimientos de recuperación ante incidentes.
• Protección contra software malicioso.
• Gestión de vulnerabilidades y actualizaciones tecnológicas.
• Evaluación y control de proveedores tecnológicos.
• Capacitación periódica del personal en materia de protección de datos y seguridad de la información.

14 Confidencialidad

La Empresa se compromete a mantener la confidencialidad de la información a la que tenga acceso en su condición de PSFE, incluyendo de manera particular:

• Información fiscal de sus clientes.
• Contenido de los e-CF.
• Datos personales de titulares.
• Certificados digitales y credenciales de acceso.
• Información comercial de clientes y proveedores.

El acceso a esta información está limitado al personal que lo requiera para el cumplimiento de sus funciones, quien está sujeto a obligaciones de confidencialidad.

15 Compartición y transferencia de datos

La Empresa puede compartir datos personales en las siguientes situaciones:

• Con la DGII, en cumplimiento de sus obligaciones como PSFE y como parte del proceso de emisión, transmisión y validación de e-CF.
• Con otras autoridades competentes, cuando exista una obligación legal o un requerimiento válido.
• Con proveedores tecnológicos que necesiten procesar información para la prestación del servicio (por ejemplo, proveedores de infraestructura o de soporte técnico).
• Cuando exista una obligación legal que así lo requiera.

Los terceros que, en virtud de lo anterior, tengan acceso a datos personales estarán sujetos a obligaciones de confidencialidad y seguridad apropiadas a la naturaleza de la información compartida.

16 Proveedores y terceros

Cuando la Empresa contrate proveedores o terceros que puedan acceder a datos personales, aplicará controles como los siguientes:

• Evaluación previa del proveedor.
• Limitación del acceso a la información estrictamente necesaria.
• Obligaciones contractuales de confidencialidad y seguridad.
• Uso de la información limitado a la finalidad contratada.
• Procedimientos para la gestión de incidentes.
• Terminación del acceso al finalizar la relación contractual.
• Devolución o eliminación de la información, cuando corresponda.

17 Derechos de los titulares de los datos

De conformidad con la legislación dominicana aplicable, los titulares de los datos personales tienen derechos relacionados con:

18 Procedimiento para el ejercicio de derechos

Los titulares que deseen ejercer los derechos descritos en la sección anterior pueden hacerlo mediante solicitud dirigida al correo info@softlink.com.do, siguiendo el siguiente procedimiento:

1. El titular presenta su solicitud indicando el derecho que desea ejercer y una descripción clara de lo solicitado.
2. El solicitante debe proporcionar la información necesaria para identificarlo (nombre completo, documento de identidad y datos de contacto).
3. La Empresa verificará razonablemente la identidad del solicitante antes de procesar la solicitud.
4. La solicitud será analizada por el área responsable de privacidad de la Empresa.
5. El Oficial de Protección de Datos será responsable de atender y dar seguimiento a la solicitud.
6. La respuesta se comunicará al solicitante por el mismo canal utilizado para la solicitud, salvo que este indique otro canal.
7. Cuando la solicitud no pueda ser atendida por existir una obligación legal, fiscal o contractual que impida hacerlo (por ejemplo, la conservación obligatoria de e-CF), la Empresa informará al solicitante las razones de ello.

La legislación dominicana no establece, de forma general, un plazo específico para la atención de este tipo de solicitudes por parte de responsables privados del tratamiento. En ausencia de un plazo legal aplicable, la Empresa establece como política interna un plazo razonable de 10 días hábiles para responder, sin perjuicio de plazos distintos que pudieran resultar aplicables en casos particulares.

19 Uso de cookies en el sitio web

Las cookies son pequeños archivos que se almacenan en el dispositivo del usuario al visitar un sitio web, y que permiten reconocer al navegador, recordar preferencias o recopilar información sobre el uso del sitio.

Dependiendo de la configuración técnica del sitio web, este puede utilizar los siguientes tipos de cookies:

• Cookies necesarias, indispensables para el funcionamiento del sitio.
• Cookies analíticas, que permiten conocer el uso del sitio con fines estadísticos.
• Cookies funcionales, que permiten recordar preferencias del usuario.
• Cookies publicitarias, si aplican, relacionadas con la personalización de contenido publicitario.

El sitio web de la Empresa utiliza cookies necesarias, analíticas y funcionales, conforme a lo confirmado por el área de tecnología de la Empresa.

El usuario puede administrar sus preferencias de cookies a través de la configuración de su navegador.

20 Datos de menores de edad

Los servicios de la Empresa están dirigidos a personas jurídicas y a personas físicas mayores de edad en el ejercicio de actividades comerciales o profesionales. La Empresa no recopila de manera intencional datos personales de menores de edad, y evita recopilar información innecesaria sobre ellos. En caso de que, de manera incidental, se identifique el tratamiento de datos de un menor de edad, la Empresa adoptará una actitud prudente y limitará dicho tratamiento a lo estrictamente necesario y permitido por la legislación aplicable.

21 Gestión de incidentes de seguridad

Ante la detección de un incidente de seguridad que afecte datos personales, tal como un acceso no autorizado, la pérdida de información, la divulgación accidental, el robo de credenciales, un ataque informático o la alteración indebida de datos, la Empresa seguirá, de forma general, las siguientes etapas:

1. Detección del incidente.
2. Contención de sus efectos.
3. Investigación de las causas.
4. Evaluación del impacto sobre los datos y los titulares afectados.
5. Recuperación de los sistemas o información afectada.
6. Documentación interna del incidente.
7. Comunicación a las partes correspondientes, cuando ello sea aplicable o exigible.
8. Implementación de acciones correctivas para prevenir incidentes similares.

22 Conservación de la información

La Empresa conservará los datos personales durante el tiempo necesario para:

• Cumplir la finalidad para la cual fueron recopilados.
• Cumplir obligaciones legales, fiscales y regulatorias.
• Atender reclamaciones o requerimientos de autoridades competentes.
• Mantener evidencia de las transacciones y de la relación contractual.
• Cumplir obligaciones contractuales asumidas con clientes y proveedores.

Respecto de los e-CF y la documentación con incidencia fiscal, la Empresa aplicará el período de conservación establecido en el artículo 50 del Código Tributario (Ley núm. 11-92), que dispone la conservación de dichos documentos durante diez (10) años, sin perjuicio de plazos adicionales que pudieran derivarse de otras disposiciones aplicables.

23 Eliminación o bloqueo de la información

Una vez vencidos los períodos de conservación aplicables, la Empresa podrá eliminar, anonimizar o bloquear la información correspondiente, siempre considerando:

• Las obligaciones legales y fiscales vigentes.
• Los requerimientos de autoridades competentes.
• La necesidad de conservar evidencia ante litigios o reclamaciones en curso.
• Las obligaciones contractuales pendientes.

24 Responsabilidad del usuario

Los usuarios de la plataforma de la Empresa son responsables de:

• Proteger la confidencialidad de sus credenciales de acceso.
• No compartir sus contraseñas con terceros.
• Hacer un uso seguro y adecuado de la plataforma.
• Reportar oportunamente cualquier actividad sospechosa relacionada con su cuenta.
• Proteger los dispositivos desde los cuales acceden a los servicios de la Empresa.
• Mantener actualizada su información de contacto.

25 Responsabilidad de la Empresa como PSFE

La Empresa, en su condición de Proveedor de Servicios de Facturación Electrónica, se compromete a:

• Proteger la información y los datos personales que trata.
• Mantener controles de seguridad razonables sobre sus sistemas.
• Restringir el acceso a la información al personal debidamente autorizado.
• Mantener trazabilidad sobre el tratamiento de la información.
• Capacitar a su personal en materia de protección de datos y seguridad de la información.
• Gestionar oportunamente los incidentes de seguridad que se presenten.
• Supervisar a los proveedores y terceros que tengan acceso a la información.
• Cumplir con la normativa dominicana aplicable a su actividad.

26 Relación con otras políticas internas

Esta Política Pública de Protección de Datos Personales y Privacidad se complementa con la Política Interna de Seguridad de la Información y con la Política de Contingencia de la Empresa, de carácter interno. Esta Política pública no revela información técnica sensible que pudiera comprometer la seguridad de la plataforma de la Empresa.

27 Modificaciones a esta política

La Empresa podrá actualizar esta Política cuando:

• Cambie la legislación aplicable.
• Cambien los servicios ofrecidos por la Empresa.
• Se incorporen nuevas tecnologías al tratamiento de datos.
• Cambien los procesos de tratamiento de datos personales.
• Se identifiquen nuevas necesidades de protección de la información.
• Se modifiquen las prácticas de privacidad de la Empresa.

La fecha de la última actualización de esta Política se indica en la sección 29.

28 Contacto para asuntos de protección de datos

29 Última actualización

30 Publicación en el sitio web

Esta Política se publica en un lugar claro, legible, accesible y fácil de localizar dentro del sitio web institucional de la Empresa, redactada en español, sin información técnica innecesariamente sensible y sin afirmaciones legales no verificadas.

La Política se encuentra publicada en la siguiente dirección del sitio web de la Empresa: