Acuerdo de tratamiento de datos

Última actualización: 13 de noviembre de 2026 · Vigente desde: 13 de noviembre de 2026

Partes y definiciones

Este acuerdo es parte de los Términos del servicio entre tú (el «cliente») y Yaya Technologies, Sociedad por Acciones Simplificada de Capital Variable («Open Factura», «nosotros»). Aplica desde que aceptas los términos y mientras tratemos datos por tu encargo.

Datos del cliente: los datos personales que tú, tus usuarios o tus integraciones ponen en el servicio y que tratamos por tu cuenta: sobre todo, los de los receptores de tus documentos y los de tu catálogo de clientes.
Responsable: quien decide para qué y cómo se tratan los datos. Encargado: quien los trata por cuenta del responsable. Subencargado: un proveedor que contratamos y que trata datos del cliente.
Ley aplicable: la Ley para la Protección de Datos Personales de El Salvador y cualquier otra norma de protección de datos que te aplique.

Los datos de tu propia cuenta (tu nombre, tu correo, tu plan) no son objeto de este acuerdo: de esos somos responsables nosotros, según la Política de privacidad.

Quién es quién

Respecto de los datos del cliente, tú eres el responsable y nosotros el encargado. Si a tu vez tratas esos datos por cuenta de otro (por ejemplo, eres una plataforma o un despacho que emite por sus clientes), tú eres encargado de ese tercero y nosotros tu subencargado; en ese caso declaras que tienes su autorización para contratarnos.

El Ministerio de Hacienda no es un subencargado nuestro: recibe los documentos como autoridad tributaria, porque la ley te obliga a transmitírselos.

Tratamos según tus instrucciones

Trataremos los datos del cliente sólo para prestarte el servicio y según tus instrucciones documentadas. Tus instrucciones son: los Términos, este acuerdo, la configuración de tu cuenta y cada operación que tú, tus usuarios, tus claves de API o tus integraciones ejecutan (emitir, consultar, invalidar, enviar un webhook, generar un PDF).

No usaremos los datos del cliente para fines propios, no los venderemos, no los combinaremos con datos de otros clientes y no los usaremos para publicidad ni para entrenar modelos de inteligencia artificial.

Si creemos que una instrucción tuya viola la ley, te lo diremos y podremos dejar de cumplirla mientras se aclara. Si una ley nos obliga a tratar los datos de otra forma, te avisaremos antes, salvo que la propia ley lo prohíba.

Lo que te toca a ti

Tener una base legal para tratar los datos de tus clientes e informarles como manda la ley.
Poner en el servicio sólo los datos necesarios para facturar. No subas datos sensibles.
Configurar bien tus accesos: roles, claves, webhooks y, si la usas, la conexión con una plataforma.
Atender las solicitudes de tus clientes sobre sus datos. Nosotros te ayudamos.
Conservar tus documentos por el plazo legal.

Confidencialidad y personal

Sólo accede a los datos del cliente el personal que lo necesita para operar el servicio, darte soporte o resolver un incidente, con el mínimo acceso necesario y bajo obligación de confidencialidad, que sigue vigente cuando termina su relación con nosotros.

Seguridad

Aplicamos las medidas técnicas y organizativas descritas en el Anexo 2. Podemos actualizarlas, pero no reducir de forma importante el nivel de protección. A ti te corresponde valorar si esas medidas son suficientes para tus datos y usar bien las que dependen de ti.

Vulneraciones de seguridad

Si confirmamos una vulneración de seguridad que afecte datos del cliente, te avisaremos sin demora indebida y, a más tardar, en 72 horas desde que la confirmemos, al correo del propietario de la organización. El aviso dirá, en lo que sepamos en ese momento: qué pasó, qué datos y cuántas personas están afectados, qué hicimos para contenerlo y qué te recomendamos hacer. Completaremos la información a medida que la tengamos.

Te ayudaremos con las notificaciones que debas hacer a la autoridad y a los afectados; decidir si notificar y a quién te corresponde a ti como responsable. Los intentos fallidos que no comprometen datos (escaneos, intentos de acceso bloqueados) no cuentan como vulneración.

Solicitudes de los titulares

El panel y la API te permiten consultar, corregir y eliminar los datos de tus clientes. Si un titular nos escribe directamente sobre datos que tratamos por tu encargo, no resolveremos su solicitud por nuestra cuenta: te la pasaremos sin demora y le diremos que te contacte. Te ayudaremos razonablemente a responder, y también con las evaluaciones de impacto o consultas a la autoridad que la ley te exija.

Subencargados

Nos autorizas a usar los proveedores de la Lista de subencargados. Con cada uno tenemos un contrato con obligaciones de protección de datos equivalentes a las de este acuerdo, y respondemos ante ti por lo que hagan con los datos del cliente.

Antes de sumar un subencargado nuevo que trate datos del cliente actualizaremos la lista y te avisaremos por correo con al menos 15 días de anticipación. Si tienes una objeción razonable de protección de datos, escríbenos dentro de ese plazo: buscaremos una alternativa y, si no la hay, podrás dejar de usar la función afectada o cancelar el servicio sin penalidad, con el reembolso proporcional de lo pagado por adelantado. Sólo en una urgencia de seguridad o de disponibilidad podremos cambiar de proveedor sin aviso previo, y te lo comunicaremos tan pronto como sea posible.

Transferencias internacionales

Nos autorizas a tratar los datos del cliente fuera de El Salvador, en los países donde operan nuestros subencargados (indicados en la lista). Exigimos a esos proveedores garantías contractuales de seguridad y confidencialidad. Si la ley aplicable requiere un mecanismo adicional para transferir los datos, lo adoptaremos contigo.

Devolución y eliminación

Mientras tengas cuenta puedes exportar los datos del cliente por el panel y la API. Cuando eliminas tu organización, o cuando el servicio termina y pasa el plazo de exportación de los Términos, borramos los datos del cliente de la base de datos activa; las copias de recuperación desaparecen por rotación en un máximo de 30 días. Sólo conservaremos lo que una ley nos obligue a conservar, y únicamente para ese fin.

Información y auditoría

Te daremos la información razonablemente necesaria para demostrar que cumplimos este acuerdo: respuestas a cuestionarios de seguridad y la documentación de nuestras medidas. El núcleo del servicio es código abierto y puedes revisarlo cuando quieras.

Si eso no basta y la ley te exige más, podrás hacer una auditoría como máximo una vez al año (o cuando haya habido una vulneración confirmada o lo ordene una autoridad), avisando con 30 días de anticipación, por medios remotos y documentales, bajo confidencialidad, sin acceso a datos de otros clientes y cubriendo tú sus costos.

Requerimientos de autoridades

Si una autoridad nos pide datos del cliente, te avisaremos antes de entregarlos, salvo que la ley lo prohíba. Revisaremos que el requerimiento sea válido, lo impugnaremos si hay motivos razonables y entregaremos sólo lo estrictamente exigido.

Responsabilidad y orden de prelación

La responsabilidad de cada parte bajo este acuerdo está sujeta a los límites de los Términos, salvo donde la ley no permita limitarla. Si hay una contradicción entre este acuerdo y los Términos en materia de datos personales, manda este acuerdo. Se rige por la misma ley y los mismos tribunales que los Términos, y sus cambios siguen la misma regla de aviso.

Anexo 1. Detalle del tratamiento

Objeto	Prestar el servicio de facturación electrónica: construir, firmar, transmitir, almacenar y consultar documentos tributarios.
Duración	Mientras exista tu organización, más el plazo de eliminación.
Titulares	Receptores de tus documentos (tus clientes y, en documentos de compra o retención, tus proveedores) y sus personas de contacto.
Datos	Nombre o razón social, tipo y número de documento de identidad (NIT, DUI u otro), NRC, actividad económica, dirección, teléfono, correo y el detalle de la operación (qué se compró, montos, impuestos, forma de pago).
Datos sensibles	Ninguno previsto. El servicio no los necesita.
Operaciones	Recibir, validar, almacenar, firmar, transmitir a Hacienda, generar el PDF, entregar por API y webhooks, respaldar y eliminar.
Subencargados	Los de la Lista de subencargados.

Anexo 2. Medidas técnicas y organizativas

Área	Medida
Cifrado en tránsito	HTTPS (TLS) en todo el servicio, incluida la comunicación con Hacienda y con los proveedores.
Cifrado de credenciales	Credenciales de Hacienda cifradas con AES-256-GCM; la llave maestra se guarda como secreto, separada de la base de datos; cada valor queda ligado a su organización, ambiente y campo. Nunca se devuelven por la API.
Cifrado en reposo	La base de datos y sus copias se guardan cifradas por el proveedor de infraestructura.
Contraseñas y claves	Contraseñas con PBKDF2-SHA256 y sal; claves de API, códigos y enlaces de un solo uso guardados sólo como hash.
Aislamiento entre clientes	Cada consulta se filtra por la organización del actor autenticado; hay pruebas automáticas de aislamiento. En Plataforma, cada clave pertenece a una sola empresa.
Control de acceso	Roles y permisos por usuario y por clave; modo de pruebas o producción por clave; revocación inmediata.
Protección contra abuso	Límite de peticiones por clave y por IP; webhooks entrantes verificados por firma; idempotencia para evitar emisiones duplicadas.
Trazabilidad	Bitácora de auditoría de acciones sensibles, visible para el cliente; registros de peticiones por 30 días. No se registran cuerpos de mensajes ni teléfonos completos.
Desarrollo	Código abierto y revisable; revisión de cambios, pruebas automáticas e integración continua antes de cada despliegue; ambiente de staging separado, sin datos de producción.
Continuidad	Recuperación de la base de datos a un punto en el tiempo de hasta 30 días.
Acceso interno	Acceso administrativo a la infraestructura limitado al personal indispensable.

Limitaciones conocidas, que publicamos para que las tengas en cuenta: no hay auditoría de seguridad externa ni certificaciones; el servicio aún no ofrece verificación de correo ni segundo factor para los usuarios del panel (por eso un enlace de invitación debe compartirse sólo con su destinatario); y no hay todavía un proceso automático de rotación de la llave maestra.