Política de Seguridad de la Información
Proveedor de la herramienta: GAERTEC, SRL
Servicio: Avero — Emisión y recepción de Comprobantes Fiscales Electrónicos (e-CF)
Documento: Política de Seguridad de la Información
Versión: 1.0 (vigente)
Fecha de emisión: 20 de agosto de 2026
Próxima revisión: 20 de agosto de 2027
Declaración institucional
En GAERTEC entendemos que prestar la herramienta tecnológica de facturación electrónica implica tratar información que no nos pertenece: los datos fiscales de nuestros clientes y las referencias de sus llaves de firma. Esa responsabilidad guía cada decisión técnica y organizativa de Avero. La presente política formaliza el compromiso de la empresa con la confidencialidad, integridad y disponibilidad de esa información, y establece los controles que lo hacen efectivo en el día a día.
1. Objetivo
Esta política define los principios, controles y responsabilidades que GAERTEC aplica para proteger la información gestionada por el servicio Avero, con especial atención a las referencias de las llaves de firma y al certificado público, y a los comprobantes fiscales electrónicos (e-CF) que la plataforma emite, recibe y resguarda.
2. Alcance
La política cubre la plataforma Avero y la infraestructura que la soporta, los datos de los contribuyentes y las referencias de sus llaves de firma, y a todo el personal, contratistas y proveedores que operan o acceden al servicio. Aplica a la plataforma en su operación actual —en fase de pruebas y certificación ante la DGII (ambientes TesteCF/CerteCF)— y en producción (eCF) una vez habilitada.
Queda expresamente fuera de alcance la validación contable de los montos e impuestos declarados por el cliente: Avero transmite a la DGII los totales que provee el contribuyente, y la exactitud de esas cifras es responsabilidad del emisor.
3. Marco normativo de referencia
GAERTEC alinea esta política con la normativa aplicable, en particular la Ley núm. 172-13 sobre Protección de Datos Personales, la Ley núm. 32-23 sobre Facturación Electrónica y sus normas complementarias, las especificaciones técnicas de e-CF emitidas por la DGII, y el artículo 50 del Código Tributario en cuanto a la conservación de la documentación por diez años.
4. Clasificación de la información
GAERTEC clasifica la información que gestiona para aplicarle el nivel de protección que corresponde. En el nivel más alto, crítico, se encuentran las referencias a las llaves de firma, el certificado público, las claves de acceso y los secretos de infraestructura. GAERTEC no guarda el archivo del certificado ni su contraseña. Como confidencial se tratan los datos de los contribuyentes, los e-CF emitidos y recibidos, y todo dato personal alcanzado por la Ley 172-13. La información interna comprende las bitácoras, la configuración y la documentación técnica, mientras que se considera pública únicamente aquello que por su naturaleza lo es, como la cadena de confianza de la DGII o la documentación de la API publicada.
5. Control de acceso
GAERTEC parte de un principio simple: cada quien accede únicamente a lo que le corresponde, y nada más. Sobre esa base construimos el control de acceso a Avero en tres capas.
Identidad de cada cliente. Todo contribuyente que utiliza el servicio se identifica mediante una clave de acceso propia. GAERTEC nunca conserva esa clave en texto legible: se resguarda y se verifica únicamente a través de su huella criptográfica (hash SHA-256), y la comparación se realiza con una técnica de tiempo constante que impide deducirla por análisis de los tiempos de respuesta. La validación se apoya en un padrón central de claves que opera de forma restrictiva: ante cualquier indisponibilidad o duda, el acceso se deniega por defecto, nunca se concede.
Acceso limitado a lo propio. No basta con estar autenticado. Cada contribuyente accede exclusivamente a la información asociada a su RNC, y el servicio verifica la titularidad de cada comprobante antes de entregar dato alguno. Conocer el identificador de un documento ajeno no habilita a consultarlo: la plataforma responde como si no existiera, evitando incluso confirmar su presencia.
Separación de responsabilidades y protección de los accesos administrativos. GAERTEC distingue con claridad los distintos tipos de acceso a la plataforma —la operación administrativa, la comunicación interna entre nuestros propios sistemas y el uso por parte de los contribuyentes—, cada uno con credenciales y alcances diferenciados, de modo que ninguna función disponga de más privilegios que los estrictamente necesarios. Este mismo criterio de mínimo privilegio rige el acceso de nuestro personal a la infraestructura crítica —bóveda de secretos, servicio de llaves, base de datos y almacenamiento—, que se otorga solo por necesidad operativa comprobada y se revoca ante la desvinculación del personal. Todos los paneles de administración (orquestador, gestor de secretos y proveedor de CDN) exigen autenticación de dos factores (2FA).
6. Gestión de certificados y credenciales
La llave de firma es el activo más sensible que trata el servicio. El titular carga el certificado desde su navegador, por el flujo de Avero. La contraseña no se transmite a GAERTEC, ni se almacena ni se registra. La llave privada se cifra en el navegador y se importa a Google Cloud KMS con nivel de protección HSM, de modo que no puede exportarse. GAERTEC no recibe ni conserva el archivo del certificado ni la llave en forma legible: solo guarda una referencia a la llave y el certificado público. La firma se solicita mediante identidades de servicio con permisos limitados. Los demás secretos de la plataforma, como claves y cadenas de conexión, se inyectan por variables de entorno gestionadas fuera del código fuente.
En cuanto a la rotación, GAERTEC rota las credenciales de acceso a la bóveda de secretos de forma anual y ante la desvinculación de personal con acceso; las claves de API de los clientes se rotan bajo demanda o ante sospecha de compromiso; y el titular renueva su certificado al vencer, conforme lo emite la entidad certificadora, y lo vuelve a cargar por el flujo de Avero.
7. Cifrado
GAERTEC protege la información tanto cuando viaja como cuando reposa. En tránsito, todo el tráfico se sirve exclusivamente por HTTPS/TLS: el borde opera con validación estricta del certificado del origen (modo Full strict) y fuerza el uso de HTTPS en todas las solicitudes, y nuestras comunicaciones salientes hacia la DGII verifican el certificado del servidor. En reposo, los secretos de la plataforma permanecen cifrados en la bóveda de secretos, la llave privada permanece en el HSM y no puede exportarse, y los respaldos de la base de datos se almacenan cifrados en un proveedor de almacenamiento de objetos externo.
8. Seguridad de la aplicación
La protección se incorpora desde el diseño del software, no como un añadido posterior. La plataforma limita la frecuencia de solicitudes por identidad —clave de API o dirección de origen— para frenar intentos de fuerza bruta y abuso, respondiendo con un código de "demasiadas solicitudes" cuando corresponde. En la emisión, los datos recibidos se validan y el e-CF se construye siguiendo los esquemas oficiales (XSD) de la DGII como fuente de verdad de su estructura, y se firma conforme a la especificación. En la recepción, GAERTEC valida los documentos entrantes contra el XSD oficial y verifica su firma contra la cadena de confianza de la DGII. Todo el servicio opera, adicionalmente, detrás de un CDN/WAF con protección frente a ataques de denegación de servicio.
9. Registro y monitoreo (bitácora)
GAERTEC registra los eventos fiscales relevantes —principalmente las emisiones— como eventos de auditoría que se conservan de forma persistente, complementados por el resguardo inmutable (WORM) de los propios e-CF; en conjunto garantizan la trazabilidad de las operaciones y el control de cambios del servicio. Adicionalmente, la plataforma genera bitácoras operativas estructuradas (JSON) que registran cada solicitud junto con la identidad (RNC) asociada, útiles para la trazabilidad de accesos. El envío de estas bitácoras a un almacenamiento persistente, con retención mínima de 90 días y acceso restringido al personal técnico autorizado, es una mejora en implementación.
10. Gestión de vulnerabilidades y cambios
Ningún cambio llega a producción de manera improvisada. GAERTEC documenta formalmente cada cambio —con su descripción, evidencia de prueba, script de verificación y plan de reverso— antes de desplegarlo, y desarrolla el software con pruebas automatizadas, integración continua (verificación de estilo y pruebas) y análisis estático de código. La incorporación de un escaneo automatizado de vulnerabilidades de dependencias, con revisión mensual y aplicación de parches críticos en un máximo de 15 días, es una mejora en implementación.
11. Respaldo y recuperación
Los comprobantes fiscales se resguardan de forma inmutable (WORM), con una retención de diez años acorde al Código Tributario, acompañados de un índice que permite su búsqueda. El detalle de los procedimientos de respaldo, recuperación y continuidad operativa se desarrolla en la Política de Contingencia y Continuidad Operativa.
12. Gestión de incidentes
GAERTEC cuenta con un procedimiento de respuesta a incidentes. Todo evento se reporta al Responsable de Seguridad de la Información y se clasifica por severidad: alta (compromiso de certificados o datos fiscales), media (degradación del servicio) o baja, con tiempos de inicio de atención de menos de 1 hora, 4 horas y 24 horas respectivamente. El procedimiento contempla la contención y remediación, el registro posterior del incidente, y la notificación a los afectados y a la DGII —cuando exista compromiso de datos o certificados— dentro de las 72 horas de confirmado.
13. Seguridad de proveedores e infraestructura
La infraestructura de Avero se aloja en un servidor privado virtual del proveedor Contabo y se orquesta mediante contenedores (Dokploy / Docker Swarm), detrás de Cloudflare como CDN/WAF. GAERTEC selecciona a sus proveedores críticos —hosting, CDN y bóveda de secretos— considerando los controles de seguridad que ofrecen, por tratarse de eslabones que inciden directamente en la protección de la información.
14. Cumplimiento, vigencia y revisión
Esta política es de cumplimiento obligatorio para todo el personal y colaboradores; su incumplimiento puede derivar en las medidas disciplinarias y sanciones legales que correspondan. Entra en vigencia a partir de su aprobación y GAERTEC la revisa al menos una vez al año, o antes si ocurren cambios significativos en la plataforma, la infraestructura o el marco normativo.