Acuerdo de Encargo del Tratamiento (DPA)

Este Acuerdo de Encargo del Tratamiento (DPA) forma parte del contrato entre vos (el “Responsable”: el despacho o empresa titular de la cuenta) y NOVIX, operado por NOCTURA Studio (el “Encargado”), y regula el tratamiento de datos personales de terceros (tus clientes/contribuyentes) que realizás a través de NOVIX.

1. Objeto y rol de las partes

El Responsable determina los fines y medios del tratamiento de los datos de sus clientes. El Encargado (NOVIX) trata esos datos únicamente por cuenta y según las instrucciones del Responsable, para prestar el servicio contratado.

2. Finalidad y duración

Finalidad: registro, clasificación, almacenamiento y procesamiento de DTE y datos contables/fiscales; recepción de documentos por correo; generación de libros, reportes y declaraciones. Duración: mientras esté vigente el contrato de servicio.

3. Instrucciones y límites

• NOVIX trata los datos solo conforme a las instrucciones del Responsable y a lo necesario para el servicio.
• NOVIX no usa los datos de los clientes del Responsable para fines propios ni los comparte fuera de lo previsto en este acuerdo.

4. Confidencialidad

El personal de NOVIX con acceso a los datos está sujeto a deber de confidencialidad. El acceso se limita a lo necesario para operar la plataforma y brindar soporte.

5. Medidas de seguridad

• Aislamiento por cuenta a nivel de base de datos (Row Level Security), aplicado también al almacenamiento de archivos: una cuenta no puede leer los datos ni los archivos de otra, aunque lo intente por medios técnicos.
• Verificación de propiedad y unicidad global de los correos de ingesta (un correo = una sola cuenta). El ruteo por REMITENTE además exige que el correo llegue autenticado (DKIM/DMARC); si no lo está, no se auto-asigna: queda en cola para confirmación manual.
• Buzón de tránsito procesado de forma automatizada y archivado tras el procesamiento; los adjuntos no reclamados se purgan.
• Archivos de DTE en almacenamiento con acceso restringido y por enlaces firmados de vigencia corta; cifrado en tránsito y en reposo del proveedor de infraestructura.
• Credenciales de emisión cifradas (AES-256-GCM) y separadas del certificado de firma, que no reside en la base de datos.
• Registro de auditoría de las acciones que modifican información, historial con capacidad de restauración, y bloqueo de los períodos fiscales ya declarados.
• Registro del acceso del personal del operador a los datos de una cuenta (ver la sección siguiente).

5-bis. Acceso del operador y su registro

Para brindar soporte, corregir fallas o cumplir un requerimiento legal, el personal autorizado de NOVIX puede acceder a los datos de una cuenta. Ese acceso se limita a lo estrictamente necesario, está sujeto a deber de confidencialidad y QUEDA REGISTRADO: se guarda qué persona del operador accedió a qué empresa y en qué fecha.

El Responsable puede solicitar ese registro en cualquier momento. NOVIX no accede a los datos del Responsable para fines comerciales, publicitarios ni de entrenamiento de modelos de inteligencia artificial.

6. Subencargados

El Responsable autoriza a NOVIX a apoyarse en los siguientes subencargados, exigiéndoles compromisos de seguridad equivalentes:

• Supabase (EE. UU.) — base de datos y almacenamiento de los archivos de DTE.
• Vercel (EE. UU.) — alojamiento y ejecución de la aplicación.
• Google Workspace (EE. UU.) — buzón de tránsito de la ingesta por correo.
• Resend (EE. UU.) — envío de correos del sistema.

NOVIX informará al Responsable, con antelación razonable, la incorporación o el cambio de un subencargado que trate datos personales. El Responsable podrá objetarlo por escrito por motivos razonables de protección de datos; si la objeción impide prestar el servicio, cualquiera de las partes podrá terminar el contrato sin penalidad.

La lista vigente de subencargados es la publicada en esta página; NOVIX no incorporará un tratamiento nuevo de datos del Responsable sin declararlo acá.

7. Asistencia al Responsable

NOVIX asiste razonablemente al Responsable para atender las solicitudes de las personas titulares (acceso, rectificación, cancelación, oposición) y para cumplir sus obligaciones de seguridad.

8. Notificación de incidentes

Ante un incidente de seguridad que afecte datos personales tratados por cuenta del Responsable, NOVIX se lo notificará SIN DEMORA INDEBIDA y, en todo caso, dentro de las setenta y dos (72) horas siguientes a haberlo conocido, por CORREO ELECTRÓNICO y/o WhatsApp a los datos de contacto que el Responsable registró al contratar y debe mantener actualizados (por eso el correo de contacto es obligatorio), y dejará además constancia visible en la plataforma cuando el incidente lo amerite. El aviso en la plataforma es el canal principal porque el acceso a NOVIX puede hacerse con un usuario que no es una dirección de correo real.

La notificación incluirá, con la información disponible al momento: qué ocurrió y cuándo se detectó, qué categorías de datos y qué cuentas o empresas pudieron verse afectadas, las medidas ya tomadas para contenerlo, las recomendadas al Responsable, y un punto de contacto. Si al inicio no se tiene todo, se enviará lo que haya y se completará después: no se retrasa el aviso para tener el informe perfecto.

La comunicación a las personas titulares y a la autoridad, cuando corresponda, es responsabilidad del Responsable —que es quien tiene la relación con ellas—; NOVIX lo asistirá con la información técnica necesaria y no la obstaculizará.

NOVIX conserva registros de acceso y de actividad que permiten reconstruir lo ocurrido; esos registros se ponen a disposición del Responsable ante un incidente que lo afecte.

9. Devolución o supresión

Al terminar el servicio, NOVIX, a elección del Responsable, devuelve o elimina los datos personales tratados por su cuenta, salvo que deba conservarlos por obligación legal.

10. Ley aplicable

Este acuerdo se rige por la legislación de El Salvador, incluida la Ley de Protección de Datos Personales. Para temas de este DPA: empresa@novixfinance.com.