Solucrea S.R.L. · RNC 132528905 · Versión 1.0 · Vigente desde 1 oct 2026

1. Objetivo, alcance y marco normativo

Esta política define los controles con los que Solucrea S.R.L. protege la confidencialidad, integridad y disponibilidad de la información que trata como Proveedor de Servicios de Facturación Electrónica.

Alcance. Aplica a todos los empleados, contratistas y proveedores de Solucrea, y a todos los activos de información que soportan el servicio:

• La plataforma de emisión, firma, envío y recepción de Comprobantes Fiscales Electrónicos (e-CF), incluida la API, la interfaz web, las cargas SFTP y los plugins.
• Los certificados digitales de los clientes, los e-CF, sus XML y las respuestas de la DGII.
• La infraestructura de servidores, bases de datos, redes y copias de seguridad.
• Los equipos y cuentas del personal.

Marco normativo:

• Ley No. 32-23 de Facturación Electrónica de la República Dominicana.
• Norma General 10-21 de la DGII y sus actualizaciones sobre proveedores de servicios de facturación electrónica.
• Ley No. 172-13 sobre Protección de Datos de Carácter Personal.
• Ley No. 126-02 sobre Comercio Electrónico, Documentos y Firmas Digitales.
• Como referencia de buenas prácticas, la norma ISO/IEC 27001.

2. Roles y responsabilidades

Todo el personal firma un acuerdo de confidencialidad al ingresar y recibe capacitación en seguridad al menos una vez al año.

3. Controles de seguridad

3.1 Control de acceso

• Acceso según el principio de mínimo privilegio: cada usuario recibe solo los permisos que su función requiere.
• Cuentas personales e intransferibles; prohibido compartir credenciales.
• Contraseñas de al menos 12 caracteres, almacenadas con hash seguro, y autenticación de dos factores para accesos administrativos.
• Revisión trimestral de permisos y baja inmediata de accesos al terminar la relación laboral.
• API Keys separadas por ambiente (Test y Producción), revocables por el cliente en cualquier momento.

3.2 Cifrado y certificados digitales

• Toda comunicación con clientes y con la DGII viaja cifrada (HTTPS con TLS 1.2 o superior, SFTP).
• Las bases de datos y copias de seguridad se cifran en reposo.
• Los certificados digitales (.p12) de los clientes y sus contraseñas se almacenan cifrados, separados del resto de los datos, y solo los usa el proceso de firma.
• Ningún empleado puede descargar ni ver el certificado de un cliente.
• Los e-CF se firman con el estándar exigido por la DGII; una vez firmados y enviados no se modifican.

3.3 Bitácora de eventos (logs)

La plataforma registra, con fecha, hora, usuario e IP: inicios de sesión, emisiones y envíos de e-CF, respuestas de la DGII, llamadas a la API, cambios de configuración y accesos administrativos. Los registros son de solo lectura, se conservan al menos 12 meses y permiten la trazabilidad y el control de cambios.

3.4 Respaldo y recuperación

• Copias de seguridad automáticas de bases de datos y archivos cada [24] horas, con retención de [30] días.
• Copias almacenadas cifradas en una ubicación geográfica distinta a la de producción.
• Prueba de restauración al menos cada [6] meses, con resultado documentado.
• El detalle de recuperación ante desastres está en la Política de Contingencia.

3.5 Seguridad de red e infraestructura

• Infraestructura alojada en [proveedor de nube], con certificaciones de seguridad reconocidas.
• Firewalls y grupos de seguridad que solo exponen los puertos necesarios.
• Protección contra ataques de denegación de servicio y límites de uso en la API.
• Actualizaciones de seguridad del sistema operativo y dependencias aplicadas en un plazo máximo de [30] días, o de inmediato si son críticas.
• Monitoreo continuo de disponibilidad con alertas al equipo técnico.

3.6 Gestión de cambios y desarrollo seguro

• Todo cambio en la plataforma pasa por control de versiones, revisión de código y pruebas en un ambiente separado antes de llegar a Producción.
• Los datos reales de clientes no se usan en ambientes de desarrollo o prueba.
• Cada despliegue queda registrado y puede revertirse.

3.7 Proveedores

Los proveedores que acceden a información de Solucrea o de sus clientes firman acuerdos de confidencialidad y tratamiento de datos, y deben ofrecer un nivel de seguridad equivalente al de esta política.

4. Gestión de incidentes de seguridad

Un incidente es cualquier evento que comprometa o pueda comprometer la confidencialidad, integridad o disponibilidad de la información, como un acceso no autorizado, una filtración de datos o el compromiso de un certificado digital.

1. Reporte: cualquier persona que detecte un incidente lo reporta de inmediato al Responsable de Seguridad en [correo/teléfono interno].
2. Contención: se aíslan los sistemas afectados, se revocan credenciales o API Keys comprometidas y, si un certificado digital está en riesgo, se suspende su uso y se avisa al cliente para que lo revoque ante su entidad de certificación.
3. Análisis: se determina el alcance, la causa y los datos afectados usando la bitácora de eventos.
4. Notificación: se informa sin demora a los clientes afectados y, cuando corresponda, a la DGII y a las autoridades competentes.
5. Recuperación: se restablece el servicio, desde respaldos si es necesario.
6. Cierre: se documenta el incidente, las acciones tomadas y las mejoras para evitar que se repita.

Si el incidente impide emitir o enviar e-CF, se activa además la Política de Contingencia.

5. Cumplimiento, revisión y aprobación

El incumplimiento de esta política puede dar lugar a medidas disciplinarias y, en el caso de proveedores, a la terminación del contrato.

Esta política se revisa al menos una vez al año, o antes si cambian la normativa de la DGII, la infraestructura o tras un incidente relevante.