Política de seguridad de la información
Esta política describe los controles con los que Nodiq Tech protege la confidencialidad, integridad y disponibilidad de la información procesada en Nodiq e-CF, en su calidad de Proveedor de Servicios de Facturación Electrónica ante la DGII. Aplica a la plataforma, a su infraestructura y a todo el personal y proveedores con acceso a ella.
1. Objetivos y alcance
- Confidencialidad: solo las personas autorizadas acceden a los datos de cada cliente y nadie puede usar el certificado digital de un cliente fuera de las órdenes de emisión de ese cliente.
- Integridad: los comprobantes firmados no se alteran y queda registro verificable de cada acción.
- Disponibilidad: el servicio opera según el acuerdo de nivel de servicio y se recupera ante fallas según la política de contingencia.
2. Organización y responsabilidades
La Dirección de Nodiq Tech aprueba esta política y designa un responsable de seguridad de la información que coordina su aplicación, la gestión de incidentes y su revisión. Todo el personal con acceso a la plataforma firma compromisos de confidencialidad, recibe orientación en seguridad y accede solo a lo que su función requiere.
3. Clasificación de la información
| Nivel | Ejemplos | Tratamiento |
|---|---|---|
| Crítica | Certificados digitales y sus contraseñas, secretos de webhooks, claves de API, credenciales de servicios. | Cifrado en reposo con clave separada de la base de datos; nunca se muestran ni se exportan; acceso solo por procesos automatizados. |
| Confidencial | Comprobantes, datos de clientes y compradores, bitácoras. | Aislamiento por empresa, acceso por roles, cifrado en tránsito y respaldos cifrados. |
| Pública | Documentación, precios, estado del servicio. | Publicación controlada. |
4. Cifrado
- En reposo: el certificado digital (.p12) del cliente y su contraseña se cifran individualmente con cifrado autenticado de la biblioteca libsodium (XSalsa20-Poly1305,
crypto_secretbox) y un número aleatorio único por archivo. La clave maestra se guarda fuera del directorio público y fuera de la base de datos, con permisos restringidos al proceso de la aplicación. Lo mismo aplica a otros secretos, como credenciales SMTP de los clientes. - Las contraseñas de los usuarios no se guardan: se almacena solo su huella con un algoritmo de derivación lento y con sal (bcrypt). Las claves de API se guardan como huella criptográfica; se muestran completas una sola vez, al crearlas.
- En tránsito: todo el tráfico usa HTTPS con TLS 1.2 o superior y HSTS. Las comunicaciones con la DGII y con los receptores se realizan por HTTPS.
- Los respaldos se cifran antes de salir del servidor.
5. Control de acceso
- Cada empresa es un espacio aislado: toda consulta se filtra por la empresa activa del usuario y por su pertenencia a ella.
- Roles con privilegio mínimo: dueño y administrador (configuración, usuarios, anulaciones, API), facturador (emitir), contador (aprobar recibidos y reportes) y solo lectura.
- El personal de soporte de Nodiq accede a la cuenta de un cliente solo para atender una solicitud, mediante un modo de soporte visible en pantalla y registrado en la bitácora.
- El acceso administrativo a los servidores está limitado a personal autorizado, con autenticación por llave y registro de sesiones.
- Las altas, bajas y cambios de permisos del personal se revisan periódicamente y se revocan al terminar la relación.
6. Autenticación
- Contraseñas de al menos 10 caracteres y bloqueo temporal ante intentos fallidos repetidos.
- Verificación en dos pasos (2FA) con códigos TOTP de aplicaciones de autenticación.
- Sesiones con cookies seguras (Secure, HttpOnly, SameSite) y protección contra falsificación de peticiones (CSRF) en todos los formularios.
- Claves de API separadas para práctica (
nq_test_) y producción (nq_live_), revocables al instante, con límite de peticiones por minuto. - Los servicios de recepción para la DGII y otros emisores usan la autenticación por semilla firmada que define la DGII.
7. Bitácora y trazabilidad
Registramos en una bitácora de auditoría, con usuario, fecha, hora y dirección IP: inicios de sesión, emisión, reenvío, anulación y envío de comprobantes, aprobaciones y rechazos comerciales, carga o eliminación de certificados, cambios de configuración, de secuencias y de permisos, creación y revocación de claves de API, y el uso del modo de soporte. Cada comprobante conserva además su historial de eventos (firma, envío, respuesta de la DGII, entregas). Los registros no se pueden editar desde la plataforma y se conservan junto con los comprobantes.
8. Integridad de los comprobantes
- Cada e-CF se valida contra los esquemas XSD oficiales de la DGII antes de firmarse.
- La firma digital XML (XMLDSig) garantiza que cualquier alteración posterior sea detectable.
- El XML firmado se guarda tal como se envió; las correcciones se hacen siempre con un nuevo comprobante o una nota de crédito o débito, nunca modificando el original.
- Los e-NCF se asignan en transacciones atómicas para evitar duplicados o saltos en las secuencias.
9. Respaldos
- Respaldo diario completo de la base de datos y de los archivos, con copias en una ubicación distinta del servidor principal.
- Retención de respaldos diarios por al menos treinta (30) días, más copias periódicas de mayor plazo.
- Pruebas periódicas de restauración para comprobar que los respaldos son utilizables.
- Objetivos de recuperación: punto de recuperación (RPO) de 24 horas como máximo y tiempo de recuperación (RTO) de 8 horas como máximo ante la pérdida total del servidor.
10. Seguridad de la infraestructura
- Servidores con sistema operativo y componentes actualizados, cortafuegos que solo expone los servicios necesarios y protección contra ataques de fuerza bruta.
- Los archivos de configuración, secretos y almacenamiento de la aplicación quedan fuera del directorio público.
- Cabeceras de seguridad (HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy).
- Monitoreo continuo de la disponibilidad de la plataforma y de los servicios de la DGII, publicado en ecf.nodiqtech.com/estado.
11. Desarrollo seguro
Todo acceso a la base de datos usa consultas parametrizadas, toda salida se escapa para prevenir inyección de código, y los cambios se revisan antes de pasar a producción. Las dependencias se mantienen actualizadas y se revisan sus avisos de seguridad.
12. Gestión de incidentes
- Detección y registro: por monitoreo, alertas, reporte de un cliente o del personal. Cualquier persona puede reportar una vulnerabilidad a soporte@nodiqtech.com con el asunto «Seguridad».
- Clasificación por severidad e impacto en la emisión y en los datos.
- Contención: por ejemplo, revocar credenciales, aislar componentes o suspender temporalmente una integración.
- Erradicación y recuperación desde respaldos verificados cuando haga falta.
- Notificación: a los clientes afectados sin demora indebida y, cuando corresponda, a la DGII y demás autoridades, indicando la naturaleza del incidente, los datos afectados y las medidas tomadas.
- Lecciones aprendidas: análisis de causa y acciones para evitar que se repita.
Si un incidente compromete el certificado digital de un cliente, se lo comunicaremos de inmediato para que solicite su revocación a la entidad certificadora.
13. Proveedores
Los proveedores con acceso a información (infraestructura, respaldos, correo, inteligencia artificial) se seleccionan por sus garantías de seguridad y se obligan contractualmente a la confidencialidad. Se les da acceso solo a la información estrictamente necesaria.
14. Revisión
Esta política se revisa al menos una vez al año y cada vez que cambian de forma relevante la plataforma, la normativa de la DGII o los riesgos identificados.
¿Preguntas sobre este documento? Escríbenos a soporte@nodiqtech.com o por WhatsApp al +1 (809) 943-0625.