Seguridad y tratamiento de la información

NOVIX procesa documentos fiscales, contabilidad, planillas y estados financieros: información sensible del negocio de tus clientes. Esta página explica, sin marketing, cómo la protegemos, quién puede verla y qué pasa si algo sale mal. Solo afirmamos lo que el sistema hace hoy.

1. Aislamiento entre cuentas

Cada despacho es un espacio separado. El aislamiento no depende de que la aplicación «recuerde» filtrar: está impuesto en la propia base de datos (Row Level Security) y en el almacenamiento de archivos, de modo que una consulta de una cuenta no puede devolver datos de otra aunque se intente por medios técnicos.

Los clientes finales que usan el Portal tienen un acceso todavía más acotado: su cuenta no tiene permisos sobre el negocio y solo puede ver la empresa a la que fue autorizada, con los módulos que su contador le habilitó.

2. Quién puede ver tu información

• Vos y los usuarios que crees en tu despacho —hoy todos con el mismo alcance sobre las empresas de la cuenta; ver la sección 9—.
• Tus clientes, solo si les habilitás el Portal y solo sobre su propia empresa.
• El personal del operador (NOCTURA), únicamente para dar soporte, corregir una falla o cumplir un requerimiento legal — y ese acceso queda REGISTRADO (quién, a qué empresa y qué día). Podés pedirnos ese registro cuando quieras.

No usamos tu información ni la de tus clientes para fines comerciales, publicidad ni entrenamiento de modelos de inteligencia artificial.

3. Los documentos y los archivos

• Los PDF y JSON de los DTE se guardan con acceso restringido y se sirven mediante enlaces firmados de vigencia corta, no como archivos públicos.
• El cifrado en tránsito (HTTPS) y en reposo lo provee la infraestructura (Supabase, Vercel).
• Las credenciales de emisión electrónica se guardan cifradas (AES-256-GCM) y el certificado de firma no reside en nuestra base de datos.
• El buzón de recepción por correo es de tránsito: los documentos se procesan de forma automatizada y el correo se archiva; los adjuntos que no corresponden a ninguna cuenta se purgan.

4. Integridad de lo fiscal

Además de proteger el acceso, el sistema protege la información contra cambios indebidos:

• Los períodos con declaración presentada quedan CERRADOS: no se pueden alterar los documentos ni las partidas de un mes ya declarado.
• Toda acción que modifica información queda registrada, y el historial permite restaurar lo borrado por error.
• La emisión de DTE tiene control de duplicados por contenido, para que un reintento no selle dos veces el mismo documento ante Hacienda.
• Los cálculos fiscales están cubiertos por una batería de pruebas automatizadas que se ejecuta en cada cambio.

5. Si ocurre un incidente

Si detectamos un incidente de seguridad que afecte tu información, te avisamos sin demora indebida y, en todo caso, dentro de las 72 horas de conocerlo, con lo que sepamos: qué pasó, qué datos pudieron verse afectados, qué hicimos y qué te recomendamos hacer. El aviso aparece DENTRO de la plataforma —el canal que siempre llega— y también por correo o WhatsApp si tenés uno registrado. Conservamos registros de acceso y actividad que permiten reconstruir lo ocurrido.

La comunicación a tus clientes, cuando corresponda, la hacés vos —que sos quien tiene la relación con ellos— y nosotros te damos la información técnica que necesites.

6. Respaldos y continuidad

La base de datos cuenta con los respaldos automáticos del proveedor de infraestructura. Aun así, y como toda plataforma, te recomendamos mantener tu propio resguardo de la información crítica: podés exportar libros, anexos, estados financieros y el paquete del mes cuando quieras.

7. Tu información es tuya

Mientras tu cuenta esté activa podés exportar, por tus propios medios y sin pedirnos permiso:

• Los ARCHIVOS ORIGINALES de tus DTE (PDF y JSON) en un ZIP por período, desde Documentos. Estos son los que la ley te obliga a conservar. Cada descarga admite hasta 500 documentos: si un período tiene más, se baja por tandas seleccionando documentos (hasta 300 por tanda) o nos pedís el período completo y lo preparamos.
• Los libros de IVA, los anexos del MH, los estados financieros, el Diario, la balanza y la planilla, en Excel o CSV.
• El «Paquete del mes» y el «Paquete del despacho», que reúnen los reportes contables del período. ⚠ Ese paquete NO incluye los archivos originales de los DTE: para esos, usá el ZIP de Documentos.

Hoy la exportación es POR PERÍODO y por módulo: no existe todavía un botón único que entregue toda la cuenta de una vez. Si necesitás una extracción completa —por ejemplo para migrar a otro sistema o para un requerimiento—, escribinos y la preparamos; no cobramos por entregarte tu propia información.

Si terminás la relación, mantenemos la posibilidad de exportar por al menos noventa (90) días antes de eliminar.

RESGUARDO FISCAL: la obligación de conservar la documentación tributaria y contable por los plazos que exige la ley salvadoreña es del CONTRIBUYENTE y de su contador. NOVIX es una herramienta de trabajo, no tu archivo legal: exportá y resguardá por tu cuenta, sobre todo antes de cerrar una cuenta o eliminar una empresa.

8. Lo que todavía NO tenemos

Preferimos decirlo antes de que lo preguntes, porque un control que no existe no debe figurar en una promesa:

• No ofrecemos todavía autenticación de dos factores (2FA/MFA). La seguridad de tu cuenta depende hoy de tu contraseña: usá una fuerte y única, y no la compartas.
• No tenemos certificaciones formales de seguridad (ISO 27001, SOC 2). Somos un operador pequeño y no vamos a decir lo contrario.
• No ofrecemos un compromiso de disponibilidad (SLA) con porcentaje garantizado.
• No hay cifrado adicional a nivel de campo por encima del que provee la infraestructura.
• El rol Solo lectura permite consultar y exportar información del negocio; Contador y Asistente permiten editarla. Un administrador autorizado puede limitar las empresas asignadas. Administrar usuarios, configurar emisión y administrar el portal requieren permisos adicionales. El permiso para gestionar protección de datos comprende los expedientes de la cuenta y no concede permisos contables ni sustituye el nombramiento legal del delegado.

Podés activar un segundo factor con una aplicación de códigos TOTP desde Seguridad de mi acceso. Una vez confirmado, NOVIX exige ese factor para acceder a la información protegida. Las cuentas existentes conservan su forma de ingreso mientras completan el enrolamiento. Ante pérdida del dispositivo, contactá a soporte para verificar tu identidad; nunca compartas tus códigos o contraseñas.

10. Reportar un problema de seguridad

Si encontrás una vulnerabilidad, escribinos a empresa@novixfinance.com antes de divulgarla. No tomamos acciones contra quien reporta de buena fe, sin acceder a datos de terceros ni degradar el servicio.