Anexo A de los Términos y Condiciones de Uso — Acuerdo de Tratamiento de Datos

Partes: GAERTEC, SRL ("GAERTEC") y el Cliente que acepta los Términos y Condiciones de Uso de Avero (los "Términos")

Versión: 1.0

Fecha de vigencia: 23 de octubre de 2026

Última actualización: 23 de octubre de 2026

Este Acuerdo de Tratamiento de Datos (el "Acuerdo") forma parte de los Términos y se acepta junto con ellos. Los términos con mayúscula inicial que no se definen aquí tienen el significado que les dan los Términos. Si hay conflicto entre este Acuerdo y los Términos en materia de datos personales, prevalece este Acuerdo.

1. Objeto y roles

1.1. Este Acuerdo regula el tratamiento de datos personales que GAERTEC realiza por cuenta del Cliente al prestar Avero, conforme a la Ley núm. 172-13 sobre protección de datos personales y demás normas aplicables de la República Dominicana.

1.2. Respecto de esos datos, el Cliente es el responsable del tratamiento y GAERTEC es el encargado. Cuando el Cliente es un Integrador (ISV) que presta el servicio a Clientes Finales, el Integrador actúa como responsable o como encargado, según su relación con cada Cliente Final, y GAERTEC actúa como encargado o subencargado.

1.3. Este Acuerdo no se aplica a los datos que GAERTEC trata como responsable (los datos de la Cuenta, de los Usuarios, de facturación del servicio y del sitio web), que se rigen por la Política de Privacidad.

2. Detalle del tratamiento

3. Instrucciones del Cliente

3.1. GAERTEC trata los datos solo para prestar el Servicio y siguiendo las instrucciones documentadas del Cliente. Los Términos, este Acuerdo, la configuración de la Cuenta y las solicitudes que el Cliente envíe por el portal o la API son las instrucciones del Cliente.

3.2. GAERTEC no usa esos datos para fines propios, no los vende y no los comunica a terceros, salvo a los subencargados de la sección 6 o cuando lo exija la ley o una autoridad competente. En este último caso, y si la ley lo permite, avisará al Cliente.

3.3. Si GAERTEC considera que una instrucción infringe la ley, se lo informará al Cliente y podrá abstenerse de cumplirla.

3.4. El Cliente garantiza que tiene una base legal para tratar los datos que envía a Avero y para encargar su tratamiento a GAERTEC, y que ha informado a los titulares en los términos que exige la ley.

4. Confidencialidad del personal

GAERTEC solo da acceso a los datos al personal que lo necesita para prestar el Servicio, darle soporte o mantenerlo. Ese personal está sujeto a obligaciones de confidencialidad, legales o contractuales, que subsisten después de terminada su relación con GAERTEC.

5. Medidas de seguridad

5.1. GAERTEC aplica medidas técnicas y organizativas adecuadas al riesgo para proteger los datos contra la destrucción, la pérdida, la alteración, la divulgación o el acceso no autorizados. Entre ellas:

• cifrado de las comunicaciones en tránsito;
• gestión de las llaves privadas de los certificados en Google Cloud KMS, con nivel de protección HSM y llaves no exportables;
• almacenamiento de secretos en una bóveda con acceso restringido, y firma mediante identidades de servicio con permisos limitados;
• control de acceso por roles y principio de mínimo privilegio;
• registros de auditoría de las emisiones y de las cargas de certificados;
• almacenamiento inmutable de los comprobantes y respaldos cifrados;
• protección perimetral y contra abusos, y límites de frecuencia.

5.2. GAERTEC puede actualizar estas medidas, siempre que no reduzca el nivel general de protección.

6. Subencargados

6.1. El Cliente autoriza a GAERTEC a usar subencargados para prestar el Servicio. A la fecha de este Acuerdo son los siguientes:

6.2. GAERTEC exige a cada subencargado obligaciones de protección de datos sustancialmente equivalentes a las de este Acuerdo, y responde ante el Cliente por su cumplimiento conforme a la sección 12.

6.3. Aviso de cambios

GAERTEC mantendrá esta lista actualizada en su sitio y avisará al Cliente por correo electrónico, con al menos quince (15) días de antelación, antes de añadir o sustituir un subencargado. El Cliente puede oponerse por escrito y con motivos razonables dentro de ese plazo. Si las partes no llegan a una solución, el Cliente puede terminar el contrato sin penalidad, con el procedimiento de salida de los Términos. Cuando un cambio sea urgente por razones de seguridad o de continuidad del Servicio, GAERTEC avisará lo antes posible.

7. Transferencias internacionales

7.1. El Cliente queda informado de que los datos se tratan fuera de la República Dominicana, principalmente en los Estados Unidos, en los servidores de los subencargados de la sección 6, y de que el tráfico puede pasar por la red global de Cloudflare.

7.2. El Cliente autoriza esas transferencias. GAERTEC las realiza con las medidas de la sección 5 y en los términos que establece la Ley núm. 172-13. Corresponde al Cliente, como responsable, informar a los titulares y obtener su consentimiento cuando la ley lo exija.

8. Asistencia con los derechos de los titulares

8.1. Si GAERTEC recibe directamente una solicitud de un titular sobre datos que trata por cuenta del Cliente, la remitirá al Cliente sin demora indebida y no la contestará por sí misma, salvo para indicar al titular que se dirija al Cliente.

8.2. GAERTEC ayudará al Cliente, en la medida razonable y según la naturaleza del tratamiento, a atender las solicitudes de acceso, rectificación, cancelación u oposición. El Cliente reconoce que los e-CF ya emitidos y sus acuses no pueden modificarse ni suprimirse antes de que venza su plazo de conservación, y que las correcciones de un comprobante se hacen con los medios que prevé la normativa tributaria.

9. Incidentes de seguridad

9.1. GAERTEC notificará al Cliente, por correo electrónico al Usuario administrador, cualquier incidente que comprometa los datos tratados por su cuenta, dentro de las setenta y dos (72) horas siguientes a su confirmación.

9.2. La notificación indicará, en la medida en que se conozcan, la naturaleza del incidente, las categorías y el volumen aproximado de datos y de titulares afectados, las consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto. GAERTEC completará la información a medida que la obtenga.

9.3. GAERTEC adoptará sin demora medidas razonables para contener el incidente y mitigar sus efectos, y colaborará con el Cliente para que este cumpla sus propias obligaciones frente a los titulares y las autoridades. Notificar un incidente no implica reconocer responsabilidad.

10. Devolución y supresión al terminar

10.1. Durante los treinta (30) días siguientes a la terminación, el Cliente puede exportar sus comprobantes resguardados, como prevén los Términos.

10.2. Después, GAERTEC conserva los e-CF, sus acuses y los registros de auditoría durante el plazo de conservación del Plan del Cliente: diez (10) años en los planes pagos y doce (12) meses en el plan Dev. Durante ese plazo, el Cliente puede pedir gratis copias de sus comprobantes. Al vencer, GAERTEC los elimina o los anonimiza.

10.3. Las llaves privadas de los certificados se destruyen tras la solicitud de cancelación, en un plazo máximo de treinta (30) días, como prevén los Términos.

10.4. Los demás datos tratados por cuenta del Cliente se eliminan en los plazos de la Política de Privacidad, incluida la rotación de los respaldos, salvo que la ley exija conservarlos por más tiempo.

11. Información y auditoría

11.1. GAERTEC pondrá a disposición del Cliente, a solicitud por escrito, la información razonablemente necesaria para demostrar que cumple este Acuerdo, como descripciones de sus medidas de seguridad, de sus subencargados y respuestas a cuestionarios de seguridad.

11.2. Si esa información no basta, o si lo exige una autoridad competente, el Cliente puede realizar una auditoría, por sí mismo o mediante un auditor independiente sujeto a confidencialidad, con estas condiciones: aviso escrito con al menos treinta (30) días de antelación; no más de una vez cada doce (12) meses, salvo que lo exija una autoridad o tras un incidente que afecte al Cliente; en horario laborable, sin interrumpir el Servicio y sin acceso a los datos de otros clientes ni a información que comprometa la seguridad; y a cargo del Cliente.

11.3. La auditoría no da acceso a las instalaciones de los subencargados. Para ellos, GAERTEC facilitará la información o las certificaciones que estos publiquen o le entreguen.

12. Responsabilidad

12.1. Cada parte responde por el incumplimiento de sus propias obligaciones de este Acuerdo y de la ley.

12.2. La responsabilidad de GAERTEC en virtud de este Acuerdo está sujeta a las exclusiones y al tope del Artículo 16 de los Términos, que no se aplican en caso de dolo o culpa grave ni en los casos en que la ley no permita limitar la responsabilidad.

12.3. El Cliente mantendrá indemne a GAERTEC frente a reclamaciones de titulares o autoridades que se deriven de que el Cliente haya tratado datos sin base legal, haya incumplido su deber de informar a los titulares o haya dado instrucciones contrarias a la ley.

13. Vigencia

Este Acuerdo rige mientras estén vigentes los Términos y, después, mientras GAERTEC conserve datos por cuenta del Cliente. Se modifica con el mismo procedimiento que los Términos.

Contacto

GAERTEC, SRL · RNC 133600161 · Santo Domingo, República Dominicana

Correo: [email protected] (asunto "Protección de datos")

Teléfono: +1 849 806 5752