Política de Privacidad y Protección de Datos Personales — Avero

Responsable: GAERTEC, SRL · RNC 133600161 · Santo Domingo, República Dominicana

Fecha de vigencia: 3 de noviembre de 2026

Última actualización: 3 de noviembre de 2026

Versión: 1.1

Historial de versiones: v1.1 (3 de noviembre de 2026): Se añade información sobre el estado del RNC según el listado público de la DGII (4.10), la marca blanca en la carga del certificado (secciones 3.1 y 9.1), el registro de cambios de marca (4.11), el registro de intentos rechazados de registrar un RNC (4.12), sus finalidades (5) y su conservación (8).

Esta Política de Privacidad explica qué datos personales trata GAERTEC, SRL ("GAERTEC", "nosotros") a través de Avero, de su portal y de su sitio web avero.gaertec.com: para qué los usamos, con quién los compartimos, dónde se alojan, cuánto tiempo los conservamos, cómo los protegemos y qué derechos tiene usted sobre ellos, conforme a la Ley núm. 172-13 sobre protección de datos personales y demás normas aplicables de la República Dominicana.

Esta Política complementa los Términos y Condiciones de Uso de Avero (los "Términos"). Los términos con mayúscula inicial que no se definen aquí (por ejemplo, Cuenta, Contribuyente, e-CF, Certificado digital) tienen el significado que les dan los Términos.

---

1. Quiénes somos

GAERTEC, SRL

RNC: 133600161

Santo Domingo, República Dominicana

Correo para temas de privacidad: [email protected]

Teléfono: +1 849 806 5752

Qué es Avero. Avero es una herramienta tecnológica (software como servicio, con API y portal web) que permite a sus clientes generar, firmar, transmitir, recibir y resguardar sus Comprobantes Fiscales Electrónicos (e-CF). GAERTEC no es un Proveedor de Servicios de Facturación Electrónica autorizado por la Dirección General de Impuestos Internos (DGII). El emisor de cada e-CF es el cliente (el Contribuyente), que se certifica por sí mismo como emisor electrónico ante la DGII y es el responsable de sus obligaciones fiscales.

2. A quién aplica esta Política

Esta Política aplica a:

• a) Clientes y usuarios de Avero: las personas que crean o administran una Cuenta, sus representantes, sus contactos administrativos, técnicos y de facturación, y quienes acceden al portal o a la API.
• b) Titulares de certificados digitales: las personas físicas a cuyo nombre se emitió el certificado de firma que se carga en Avero.
• c) Visitantes del sitio web avero.gaertec.com, incluidas las personas que completan el formulario de contacto.
• d) Compradores y receptores cuyos datos aparecen en los e-CF que emiten o reciben nuestros clientes.
• e) Clientes Finales de los Integradores (ISV): las empresas y personas que emiten e-CF a través del software de un tercero que integra Avero.

No aplica a los sitios, aplicaciones o servicios de terceros (incluidos los de la DGII, las entidades de certificación o el software de un Integrador), que se rigen por sus propias políticas.

3. Nuestro papel: responsable y encargado del tratamiento

GAERTEC trata los datos personales en dos calidades distintas:

3.1. Como responsable del tratamiento.

GAERTEC decide sobre el tratamiento, y responde directamente ante usted, de:

• los datos de sus clientes y usuarios (Cuenta, contactos, acceso, facturación y soporte);
• los datos de los titulares de certificados que se necesitan para cargar y confirmar el certificado;
• los datos de los visitantes del sitio web y del formulario de contacto.

Cuando una Cuenta tiene habilitada la marca blanca, la página de carga del certificado y los correos de ese flujo pueden mostrar el nombre visible, el logotipo y los colores de esa Cuenta, y la página usa de fondo un tinte claro de su color primario. Los correos llevan el nombre visible de la Cuenta como remitente. Eso no cambia nuestro papel: GAERTEC sigue siendo el responsable de los datos del titular que se necesitan para cargar y confirmar el certificado, y la Cuenta no recibe el archivo del certificado, la llave privada ni la contraseña.

3.2. Como encargado (o subencargado) del tratamiento.

GAERTEC trata por cuenta de su cliente, y siguiendo sus instrucciones:

• los datos de los compradores y receptores que figuran en los e-CF emitidos o recibidos por el cliente;
• los datos de los Clientes Finales de un Integrador (ISV).

En estos casos el responsable es el cliente de Avero (el Contribuyente emisor). Cuando el servicio se presta a través de un Integrador (ISV), el Integrador actúa como responsable o como encargado según su relación con el Cliente Final, y GAERTEC actúa como encargado o subencargado. GAERTEC no utiliza esos datos para fines propios. Las condiciones de este tratamiento se rigen por el Acuerdo de Tratamiento de Datos, que es el Anexo A de los Términos.

Si usted es comprador, receptor o Cliente Final y quiere ejercer sus derechos sobre esos datos, diríjase primero a la empresa que emitió el comprobante o al Integrador. GAERTEC les prestará la asistencia necesaria. Si nos escribe directamente, trasladaremos su solicitud al responsable que corresponda.

4. Qué datos tratamos

4.1. Datos de la Cuenta y de los usuarios.

Nombre, cargo o función, correo electrónico, teléfono, empresa y datos de contacto de facturación.

4.2. Datos del Contribuyente.

RNC o cédula, razón social, nombre comercial, dirección y los demás datos fiscales necesarios para operar la facturación electrónica. Cuando el Contribuyente es una persona física, estos datos son datos personales.

4.3. Credenciales de acceso.

Claves de API y accesos al portal. Las claves de API no se guardan en texto legible: solo conservamos su huella criptográfica (hash).

4.4. Datos del certificado digital.

Del certificado de firma conservamos únicamente:

• el certificado público, que contiene los datos de identificación del titular que incluye la entidad de certificación (por ejemplo, su nombre, su número de identificación y las fechas de vigencia del certificado);
• una referencia a la llave privada, que se custodia en un servicio de gestión de llaves (ver sección 9); y
• un registro de cada carga, con el nombre y la cédula del titular, la entidad emisora y el número de serie del certificado, su fecha de vencimiento y el correo electrónico con el que se confirmó la carga.

GAERTEC no recibe ni guarda el archivo del certificado (.p12 / .pfx) ni su contraseña. La contraseña solo se usa en el navegador del titular para abrir el archivo. Nunca se transmite a GAERTEC, ni se almacena ni se registra.

4.5. Datos de los comprobantes (e-CF).

El contenido de los e-CF emitidos y recibidos y de sus acuses: montos, impuestos, fechas, detalle de la operación y los datos del comprador o receptor que el cliente incluye (por ejemplo, RNC o cédula, nombre o razón social y, si se incluyen, datos de contacto). GAERTEC no determina ni valida el contenido: lo transmite tal como lo suministra el cliente.

4.6. Registros de auditoría de las operaciones.

De cada emisión registramos la Cuenta, el e-NCF, el tipo de comprobante, el RNC del emisor, el estado, la respuesta de la DGII y la solicitud y la respuesta técnicas, que pueden incluir datos del comprador. También registramos los documentos de cada emisor (RNC del emisor y del comprador, montos y fechas). El XML firmado de cada e-CF se guarda en un almacenamiento inmutable.

4.7. Dirección IP y datos técnicos.

Usamos la dirección IP de origen de las solicitudes para limitar el abuso del servicio. No la guardamos en nuestras bases de datos, pero puede quedar registrada en las bitácoras técnicas de la aplicación y en los registros de acceso del servidor. Además, Cloudflare procesa la dirección IP de todos los visitantes del sitio, del portal y de la página de carga para entregar el contenido y protegerlos contra ataques.

4.8. Datos del formulario de contacto del sitio web.

Nombre completo, empresa o comercio, correo electrónico, teléfono, el tipo de solución que busca y el sistema (POS, ERP o software) que usa actualmente.

4.9. Datos de navegación y cookies.

Ver la sección 11.

4.10. Estado del RNC según el listado público de la DGII.

Cargamos en Avero el listado de contribuyentes que la DGII publica para descarga. Incluye, entre otros datos, el RNC o la cédula, el nombre o la razón social, la actividad económica y el estado de cada contribuyente, y por eso contiene datos de personas físicas. Lo usamos solo para validar los RNC que se registran en Avero y para suspender o reactivar su emisión según el Artículo 13.10 de los Términos. De cada RNC registrado guardamos además el registro de cada suspensión y reactivación, con su fecha y hora y el estado en que se basó. No usamos el listado para ningún otro fin.

4.11. Registro de cambios de marca blanca.

Si una Cuenta usa la marca blanca, registramos cada habilitación y cada cambio de su nombre, su logotipo, sus colores o su correo de respuesta en el flujo de carga de certificados, con el usuario que hizo el cambio y su correo electrónico en ese momento, la fecha y hora y los valores anteriores y los nuevos, incluidos el nombre visible y el correo de respuesta que configura la Cuenta. Cuando se reemplaza un logotipo, la imagen anterior se elimina y el registro conserva solo su huella digital (hash), que permite comprobar cuál se mostró. Solo el administrador de Avero consulta este registro.

También registramos los intentos rechazados de usar un nombre visible reservado o de hacer una acción reservada al administrador de Avero, con la Cuenta, el motivo, el usuario y su correo electrónico, y la fecha y hora. No guardamos el nombre que se intentó usar.

4.12. Registro de intentos rechazados de registrar un RNC.

Cuando se rechaza el registro de un RNC o una cédula en una Cuenta, guardamos la Cuenta, el RNC o la cédula que se intentó registrar (solo si está formado por dígitos), el motivo del rechazo, el estado del contribuyente en el listado de la DGII cuando aplica, si lo intentó un usuario de la Cuenta o un administrador de Avero, el identificador del usuario o, si no está disponible, su correo electrónico, y la fecha y hora. Lo usamos para auditoría y para limitar los intentos repetidos. Solo el administrador de Avero consulta este registro.

No solicitamos datos sensibles (como datos de salud, origen racial o étnico, u opiniones políticas o religiosas) ni los necesitamos para prestar el servicio. Le pedimos no incluirlos en los comprobantes ni en las comunicaciones con nosotros.

5. Para qué usamos los datos y con qué base

No vendemos ni alquilamos datos personales, no los usamos para publicidad de terceros ni para fines distintos de los aquí descritos. Si quisiéramos enviarle comunicaciones comerciales no relacionadas con el servicio contratado, le pediremos su consentimiento, y podrá retirarlo en cualquier momento.

No tomamos decisiones con efectos jurídicos sobre usted basadas únicamente en tratamientos automatizados. Las validaciones técnicas de Avero (la estructura, el formato y la firma que exige la DGII) y la respuesta de la DGII sobre cada comprobante no constituyen una evaluación de su persona. Tampoco la constituye la suspensión de la emisión por el estado del RNC (sección 4.10), que se basa solo en el estado que publica la DGII, y el cliente puede pedir que una persona la revise (Artículo 13.10.6 de los Términos).

6. Con quién compartimos los datos

6.1. DGII.

Transmitimos a la DGII los e-CF y los datos que requiere la normativa de facturación electrónica, por instrucción del cliente emisor.

6.2. Receptores de los comprobantes.

Transmitimos los e-CF y los acuses a los receptores que correspondan, por instrucción del cliente.

6.3. Integradores (ISV).

Cuando un Cliente Final usa Avero a través de un Integrador, este tiene acceso a la información de las emisiones que envía con sus credenciales. El Integrador nunca recibe el archivo del certificado, la llave privada ni la contraseña del Cliente Final.

6.4. Proveedores (subencargados).

Usamos los siguientes proveedores para operar el servicio. Solo acceden a los datos que necesitan para su función y están sujetos a obligaciones contractuales de confidencialidad y seguridad:

Mantendremos esta lista actualizada y avisaremos a los clientes de los cambios relevantes de subencargados conforme al Acuerdo de Tratamiento de Datos (Anexo A de los Términos).

6.5. Autoridades.

Podremos comunicar datos cuando lo exija la ley o lo ordene una autoridad judicial o administrativa competente, limitándonos a lo requerido.

6.6. Operaciones societarias.

En caso de fusión, adquisición o transferencia del negocio, los datos podrán transferirse al sucesor, que quedará obligado por esta Política o por otra que ofrezca una protección equivalente, previo aviso a los clientes.

7. Transferencias internacionales

Los datos que tratamos se alojan fuera de la República Dominicana, principalmente en los Estados Unidos: en los servidores de Contabo en St. Louis, Missouri; en Google Cloud KMS, en Virginia del Norte; y en Resend, en Virginia del Norte. Cloudflare presta sus servicios desde su red global, por lo que el tráfico del sitio, del portal y de la página de carga puede pasar por servidores de distintos países. Otros proveedores de la lista (Cloudflare R2, Supabase, Formspree y Google reCAPTCHA) operan con servidores fuera de la República Dominicana.

Para proteger estas transferencias aplicamos las siguientes garantías:

• contratamos con los proveedores bajo términos que incluyen obligaciones de confidencialidad y seguridad, y que limitan el tratamiento a nuestras instrucciones;
• ciframos los datos en tránsito (HTTPS/TLS) y la bóveda de secretos en reposo;
• la llave privada del certificado se custodia en un HSM y no puede exportarse;
• aplicamos control de accesos con mínimo privilegio y autenticación de dos factores en los paneles de administración.

Al aceptar los Términos, o al enviar el formulario de contacto, usted queda informado de estas transferencias y, en la medida en que la ley lo requiera, las consiente.

8. Cuánto tiempo conservamos los datos

Los planes pagos son Starter, Platform y Escala. El plan Dev es gratuito.

Diferencia entre planes. La obligación legal de conservar los comprobantes es del Contribuyente emisor. En los planes pagos, GAERTEC ofrece como parte del servicio el resguardo durante diez (10) años. En el plan Dev el resguardo es de doce (12) meses, y el Contribuyente es responsable de conservar por su cuenta una copia de sus comprobantes durante el plazo legal. Puede exportarlos en cualquier momento desde el portal. Si la Cuenta pasa del plan Dev a un plan pago, los comprobantes ya resguardados pasan a conservarse diez (10) años desde su resguardo. Si vuelve al plan Dev, los comprobantes ya resguardados mantienen su plazo y los nuevos se conservan doce (12) meses.

Inmutabilidad. Los e-CF se resguardan de forma inmutable: durante su plazo de conservación no pueden alterarse ni borrarse, ni siquiera a solicitud del cliente. Vencido el plazo, GAERTEC podrá eliminarlos.

Al terminar la relación. El cliente puede exportar sus comprobantes durante los treinta (30) días siguientes a la terminación. Después, GAERTEC conserva solo lo indicado en esta sección, durante los plazos señalados, y luego lo elimina o lo anonimiza. Durante el plazo de conservación de su plan, el cliente puede pedir gratis copias de sus comprobantes resguardados escribiendo a [email protected].

9. Certificados digitales

9.1. Carga.

El titular carga su certificado desde su propio navegador, mediante un enlace de un solo uso y de vigencia limitada. Allí abre el archivo con su contraseña, que no sale de su navegador. La llave privada se cifra en el navegador antes de enviarse, de modo que GAERTEC no recibe ni conserva el archivo del certificado ni la llave privada en forma legible. La carga solo se activa cuando el titular la confirma desde el correo electrónico asociado a su certificado.

Si la Cuenta que pidió la carga tiene habilitada la marca blanca, la página y los correos pueden llevar su marca. En ese caso, la marca de Avero solo aparece en el pie, que dice «Procesado de forma segura por Avero · Términos · Política de privacidad» y enlaza a los Términos y a esta Política. Si la Cuenta configuró y verificó un correo de respuesta, las respuestas a esos correos llegan a esa Cuenta. En las páginas de carga y de Confirmar o Rechazar, y en los correos, con marca blanca, se muestra una nota fija con el nombre visible de la Cuenta, que indica que la Cuenta nunca le pedirá su contraseña ni su certificado por correo, teléfono o chat, y que solo debe ingresarlos en la página de carga.

9.2. Custodia y uso.

La llave privada se importa a Google Cloud KMS, con nivel de protección HSM (módulo de seguridad de hardware), en la región us-east4 (Virginia del Norte, EE. UU.), y no puede exportarse. En nuestra bóveda solo guardamos una referencia a la llave y el certificado público. Ni GAERTEC ni sus sistemas pueden leer, copiar ni extraer la llave privada: solo pueden solicitar firmas con ella, mediante identidades de servicio con permisos limitados. La llave se usa exclusivamente para firmar los e-CF y acuses que instruye el cliente y para las pruebas de validación que se hacen al cargarla.

9.3. Destrucción.

Tras la solicitud de cancelación de la Cuenta, GAERTEC destruye la llave privada en Google Cloud KMS y elimina la referencia a la llave y el certificado público, en un plazo máximo de treinta (30) días desde la solicitud. Una vez destruida, la llave no puede recuperarse. Como GAERTEC nunca tiene el archivo del certificado, no hay nada que devolver: el titular conserva su archivo original. El registro de la carga (4.4) se conserva durante el plazo indicado en la sección 8, como constancia de las firmas realizadas.

9.4. Vencimiento y revocación.

GAERTEC envía avisos al titular cuando su certificado está próximo a vencer. Renovar el certificado, cargar uno nuevo y mantenerlo vigente es responsabilidad del titular.

10. Cómo protegemos los datos

Aplicamos medidas técnicas y organizativas acordes con la sensibilidad de los datos, que se describen con más detalle en nuestra Política de Seguridad de la Información. Entre ellas:

• cifrado de todas las comunicaciones (HTTPS/TLS);
• custodia de la llave privada del certificado en un HSM, sin posibilidad de exportarla;
• bóveda de secretos cifrada;
• claves de API guardadas solo como huella criptográfica;
• aislamiento de los datos por RNC, de modo que cada Contribuyente accede solo a su propia información;
• control de accesos con mínimo privilegio y autenticación de dos factores en los paneles de administración;
• resguardo inmutable de los e-CF;
• protección perimetral contra ataques (CDN/WAF).

Ningún sistema es completamente infalible. Si detectamos un incidente de seguridad que comprometa datos personales o certificados, actuaremos según la sección 12.

11. Cookies y tecnologías similares

Sitio web público (avero.gaertec.com). No usa cookies de analítica ni de publicidad. El formulario de contacto usa Google reCAPTCHA para distinguir a las personas de los programas automatizados. reCAPTCHA puede instalar cookies de Google y recoger datos técnicos del dispositivo y de la navegación, que Google trata conforme a su propia política de privacidad y sus condiciones de servicio.

Portal de Avero. Usa solo cookies propias estrictamente necesarias para su funcionamiento:

• una cookie de sesión y autenticación, que mantiene la sesión iniciada del usuario; y
• una cookie temporal que se usa durante el inicio de sesión seguro.

El portal no usa analítica ni scripts de terceros.

Página de carga de certificados. Usa una cookie de sesión de carga que dura entre 10 y 15 minutos y sirve solo para completar la carga del certificado.

Cloudflare. Como proveedor de seguridad, Cloudflare puede instalar sus propias cookies técnicas de seguridad y de detección de bots en el sitio, el portal y la página de carga.

Las cookies estrictamente necesarias no pueden desactivarse sin que el portal o la página de carga dejen de funcionar. Puede bloquear o eliminar las cookies desde la configuración de su navegador. Si bloquea las de reCAPTCHA, es posible que no pueda enviar el formulario; en ese caso puede escribirnos directamente a [email protected].

12. Incidentes de seguridad

Si se confirma un incidente que comprometa datos personales o certificados, GAERTEC lo notificará a los clientes y titulares afectados, y a la DGII cuando corresponda, dentro de las setenta y dos (72) horas siguientes a su confirmación. La notificación indicará, en la medida en que se conozcan, la naturaleza del incidente, los datos afectados, las medidas adoptadas y las recomendaciones para el afectado. Cuando el incidente afecte datos que tratamos como encargado, avisaremos al cliente responsable para que pueda cumplir sus propias obligaciones. También informaremos a las autoridades competentes cuando la ley lo exija.

13. Sus derechos

Conforme a la Ley 172-13, usted tiene derecho a:

• Acceso: saber si tratamos sus datos y obtener información sobre ellos.
• Rectificación: corregir o actualizar los datos inexactos o incompletos.
• Cancelación o supresión: pedir que se eliminen sus datos cuando ya no sean necesarios para la finalidad con la que se recogieron o cuando el tratamiento no tenga base.
• Oposición: oponerse a determinados tratamientos, cuando la ley lo permita.

También puede retirar su consentimiento en cualquier momento cuando el tratamiento se base en él, sin que eso afecte la licitud del tratamiento anterior, y ejercer los demás derechos que le reconozca la ley.

Límite por la conservación fiscal. No podremos suprimir ni modificar los e-CF, sus registros de auditoría ni los datos asociados mientras estén dentro de su plazo de conservación (sección 8), porque así lo exigen la normativa tributaria y la integridad de los comprobantes. Un e-CF incorrecto se corrige con los mecanismos que prevé la normativa de la DGII (por ejemplo, notas de crédito o débito), que gestiona el emisor, y no borrando el comprobante. En esos casos le indicaremos el motivo y, cuando sea posible, limitaremos el uso de los datos a su conservación.

Cómo ejercerlos. Escríbanos a [email protected] con el asunto "Protección de datos", e indique su nombre, el derecho que desea ejercer y los datos a los que se refiere. Antes de atender la solicitud podremos pedirle que acredite su identidad, o la representación de la persona en cuyo nombre actúa. El ejercicio de los derechos es gratuito. Responderemos en los plazos que establece la ley.

Si sus datos figuran en un e-CF o los trata un Integrador, consulte la sección 3.2.

Vía de reclamación. Si considera que no hemos atendido debidamente su solicitud, o que el tratamiento de sus datos vulnera sus derechos, puede interponer la acción de hábeas data ante los tribunales competentes de la República Dominicana, conforme a la Constitución de la República y a la Ley núm. 172-13. Le invitamos a contactarnos primero para intentar resolverlo.

14. Menores de edad

Avero es un servicio dirigido a empresas y profesionales (B2B) y no está dirigido a menores de edad. No recogemos a sabiendas datos de menores a través del sitio ni del servicio. Si cree que un menor nos ha proporcionado datos, escríbanos y los eliminaremos, salvo que debamos conservarlos por obligación legal.

15. Cambios a esta Política

Podemos actualizar esta Política para reflejar cambios en el servicio, en nuestros proveedores o en la normativa. Los cambios se notificarán a los clientes por correo electrónico, a la dirección registrada en su Cuenta, con al menos quince (15) días de antelación a su entrada en vigor, y se publicarán en esta página con su fecha de actualización. Si un cambio requiere su consentimiento según la ley, se lo pediremos. Si no está de acuerdo con los cambios, puede terminar la relación conforme a los Términos antes de que entren en vigor.

16. Contacto

Para cualquier consulta sobre esta Política o sobre el tratamiento de sus datos:

GAERTEC, SRL · RNC 133600161

Santo Domingo, República Dominicana

Correo: [email protected]

Teléfono: +1 849 806 5752