1. Objeto y alcance
Esta política define los controles de seguridad de la información aplicables a las plataformas, sistemas, datos y procesos mediante los cuales NexConnect Solutions SRL presta servicios de facturación electrónica (e-CF). Aplica a todo el personal, contratistas y servicios de terceros que intervienen en la operación del servicio.
2. Marco normativo
- Ley núm. 172-13 sobre Protección de Datos de Carácter Personal de la República Dominicana.
- Normativa de la Dirección General de Impuestos Internos (DGII) sobre Comprobantes Fiscales Electrónicos (e-CF).
- La norma ISO/IEC 27001 como marco de referencia para la gestión de la seguridad de la información.
3. Principios
Nuestra gestión de seguridad se rige por tres principios:
- Confidencialidad: la información solo es accesible para quienes están debidamente autorizados.
- Integridad: la información y los comprobantes se mantienen exactos y completos, protegidos contra alteraciones no autorizadas.
- Disponibilidad: los servicios y la información están disponibles cuando se requieren, conforme a los compromisos de servicio.
4. Organización de la seguridad
La responsabilidad máxima de la seguridad de la información recae en la Gerencia General. NexConnect Solutions SRL designa un responsable de seguridad encargado de mantener, difundir y hacer cumplir esta política, así como de coordinar la respuesta ante incidentes. Esta política se revisa al menos una vez al año o ante cambios significativos.
5. Control de acceso
- Autenticación multifactor (MFA) para el acceso a sistemas sensibles.
- Control de acceso basado en roles (RBAC) y principio de mínimo privilegio.
- Aislamiento entre clientes (multi-tenant) mediante seguridad a nivel de fila (Row-Level Security) en la base de datos.
- Revisión periódica de accesos y revocación oportuna al cesar la necesidad.
6. Cifrado y protección de datos
- Cifrado en tránsito mediante TLS en todas las comunicaciones.
- Cifrado en reposo de los datos y de los respaldos.
- Manejo seguro de los certificados digitales y de las firmas electrónicas (XMLDSig) utilizadas ante la DGII, con segregación por cliente.
7. Seguridad de la infraestructura
La plataforma opera bajo un modelo de responsabilidad compartida sobre proveedores de infraestructura con certificaciones de seguridad vigentes, cuyos controles heredamos en las capas que ellos gestionan:
- Sevalla / Kinsta (cómputo y base de datos gestionada), con certificación SOC 2 Type II, sobre Google Cloud Platform (ISO/IEC 27001, 27017, 27018 y SOC 1/2/3).
- Cloudflare (CDN, DNS, WAF y almacenamiento de objetos), con certificación ISO/IEC 27001 y SOC 2 Type II.
NexConnect Solutions SRL no posee, a la fecha, una certificación ISO/IEC 27001 propia; esta certificación forma parte de nuestra hoja de ruta de seguridad.
8. Bitácora de eventos y trazabilidad
Mantenemos una bitácora de eventos (logs) que permite la trazabilidad de las acciones relevantes y el control de cambios sobre los sistemas y los comprobantes. Los registros se protegen contra alteración y se conservan por el plazo necesario para fines de auditoría y cumplimiento.
9. Monitoreo y gestión de vulnerabilidades
Realizamos monitoreo continuo de disponibilidad y de errores de la plataforma, gestión de parches y actualización de dependencias, y atención de las vulnerabilidades identificadas conforme a su criticidad.
10. Gestión de incidentes de seguridad
Disponemos de un procedimiento de gestión de incidentes que comprende la detección, clasificación, contención, erradicación, recuperación, comunicación a las partes afectadas cuando corresponda y registro de las lecciones aprendidas.
11. Respaldo, recuperación y continuidad
Los procedimientos de respaldo, recuperación de la información y continuidad operativa se detallan en nuestra Política de Contingencia (Anexo 1.2).
12. Cumplimiento y revisión
El incumplimiento de esta política puede dar lugar a medidas correctivas. La política se mantiene vigente desde su fecha de publicación y se revisa periódicamente. Para consultas relacionadas con seguridad de la información, escríbanos a compliance@nexconnect.do.