Política de Seguridad de la Información

1. Objetivo

Establecer los lineamientos, controles y responsabilidades que rigen la seguridad de la información dentro de ELYTEK SRL, en su condición de Proveedor de Servicios de Facturación Electrónica (PSFE), a fin de garantizar la confidencialidad, integridad, autenticidad y disponibilidad de los Comprobantes Fiscales Electrónicos (e-CF) y demás información tributaria procesada en nombre de sus clientes.

2. Alcance

Esta política aplica a todo el personal, sistemas, procesos e infraestructura tecnológica de ELYTEK SRL involucrados en la elaboración, emisión, transmisión, consulta y almacenamiento de e-CF, incluyendo la infraestructura de hosting contratada (Odoo.sh, infraestructura gestionada sobre Amazon Web Services).

3. Marco normativo de referencia

• Ley núm. 32-23 de Facturación Electrónica de la República Dominicana.
• Ley núm. 126-02 sobre Comercio Electrónico, Documentos y Firmas Digitales.
• Ley núm. 172-13 que tiene por objeto la Protección Integral de los Datos Personales.
• Código Tributario de la República Dominicana y normas complementarias de la DGII.

4. Roles y responsabilidades

El responsable designado ante la DGII para los asuntos de seguridad de la información es Alejandro Ganzó Amador (Gerente General), quien vela por el cumplimiento de esta política y actúa como punto de contacto ante incidentes o requerimientos de la Administración Tributaria.

• Dirección/Gerencia: aprueba y revisa la política, y asigna los recursos necesarios.
• Equipo técnico: implementa los controles técnicos, administra accesos y monitorea la plataforma.
• Todo el personal: cumple la política y reporta incidentes o anomalías de seguridad.

5. Control de acceso e identidad

• Acceso a los sistemas mediante usuario y contraseña individual; se prohíbe el uso de credenciales compartidas.
• Principio de mínimo privilegio: cada usuario recibe únicamente los permisos necesarios para su función.
• Revisión periódica de los accesos activos y revocación inmediata al finalizar una relación laboral o contractual.
• Uso de conexiones cifradas (HTTPS/TLS) para todo acceso remoto a los sistemas de facturación electrónica.

6. Gestión de certificados digitales y firma electrónica

Los certificados digitales para procedimientos tributarios utilizados en el proceso de firma de los e-CF se administran conforme a lo dispuesto en la Ley 126-02, resguardando su confidencialidad y evitando su uso no autorizado. Cuando el modelo operativo lo requiera, ELYTEK SRL garantiza que el titular del certificado mantenga control sobre su uso para el firmado.

7. Seguridad de la infraestructura tecnológica

La plataforma de facturación electrónica de ELYTEK SRL opera sobre Odoo.sh (infraestructura gestionada sobre Amazon Web Services), que provee cifrado de datos en tránsito y en reposo, aislamiento de bases de datos por cliente, parches de seguridad y actualizaciones gestionadas por el proveedor de hosting, y monitoreo continuo de la infraestructura.

8. Gestión de vulnerabilidades y actualizaciones

• Aplicación oportuna de actualizaciones de seguridad del sistema operativo, base de datos y aplicación.
• Revisión periódica de vulnerabilidades conocidas en los componentes utilizados.
• Ambientes separados de desarrollo/pruebas y producción para evitar impacto de cambios no probados.

9. Bitácora de eventos (logs) y trazabilidad

ELYTEK SRL mantiene bitácoras de eventos que registran accesos, cambios de configuración y operaciones relevantes sobre los e-CF, permitiendo la trazabilidad y el control de cambios conforme a lo exigido por la DGII.

10. Gestión de incidentes de seguridad

• Todo incidente de seguridad detectado debe reportarse de inmediato al responsable designado.
• Se documentan la causa, el impacto y las acciones correctivas de cada incidente.
• Cuando el incidente afecte la integridad o disponibilidad del servicio de FE, se notificará a los contribuyentes afectados y, de corresponder, a la DGII.

11. Capacitación y concientización

El personal de ELYTEK SRL recibe capacitación periódica sobre buenas prácticas de seguridad de la información y manejo responsable de datos fiscales.

12. Revisión y actualización

Esta política será revisada al menos una vez al año, o antes si ocurren cambios normativos, tecnológicos u organizacionales que lo ameriten.