Política de privacidad

Quién responde por tus datos

El responsable del tratamiento es Yaya Technologies, Sociedad por Acciones Simplificada de Capital Variable, que opera Open Factura Cloud.

Razón social

Yaya Technologies, Sociedad por Acciones Simplificada de Capital Variable (Yaya Technologies, S.A.S. de C.V.)

NIT

0113-080325-101-5

NRC (registro de IVA)

360950-5

Actividad económica

Otras actividades de tecnología de información y servicios de computadora

Domicilio

1.ª Calle, Calle Cerro Artillería, Colonia Magaña, n.º 21, contiguo a Iglesia Bethel, distrito de Ahuachapán, municipio de Ahuachapán Centro, departamento de Ahuachapán, El Salvador

Representante legal

Henry Edgardo Benavides Magaña

Contacto legal y de privacidad

legal@openfactura.co

Esta política se rige por la Ley para la Protección de Datos Personales de El Salvador y las demás normas aplicables.

A qué aplica esta política

Aplica al sitio openfactura.co, al panel y la API en app.openfactura.co, al servidor MCP, al canal de WhatsApp y al soporte. Hay dos situaciones distintas y conviene separarlas:

• Datos de tu cuenta (quién eres, cómo entras, qué plan pagas, cómo usas el servicio). Aquí nosotros decidimos para qué se usan: somos el responsable.
• Datos que tú pones en el servicio (tus clientes, tus documentos, los receptores de tus facturas). Aquí decides tú: tú eres el responsable y nosotros somos tu encargado. Los tratamos sólo según tus instrucciones, bajo el Acuerdo de tratamiento de datos.

No aplica a las instalaciones autoalojadas del código abierto (mira Versión autoalojada) ni a los servicios de terceros como Hacienda, WhatsApp o Lemon Squeezy, que tienen sus propias políticas.

Qué datos tratamos

No pedimos ni necesitamos datos sensibles (salud, origen étnico, religión, biometría y similares). No los pongas en campos de texto libre de tus documentos.

Lo que no hacemos

• No vendemos ni alquilamos datos personales.
• No mostramos publicidad ni compartimos datos con redes publicitarias.
• No usamos herramientas de analítica de terceros, píxeles de seguimiento ni grabación de sesiones.
• No entrenamos modelos de inteligencia artificial con tus datos ni los enviamos a proveedores de IA. Si conectas tu propio asistente por MCP, ese asistente y su proveedor los eliges y los controlas tú.
• No tomamos decisiones automatizadas con efectos legales sobre las personas ni elaboramos perfiles.
• No leemos tus documentos por curiosidad: el acceso de nuestro personal se limita a lo necesario para operar el servicio, darte soporte cuando lo pides o atender un incidente.

Para qué los usamos y con qué base

Con quién los compartimos

• Ministerio de Hacienda. Cada documento y evento que emites se transmite a Hacienda, con tus credenciales, porque así lo exige la ley y es el propósito del servicio. Hacienda trata esos datos como autoridad, bajo sus propias reglas.
• Proveedores que nos ayudan a operar (subencargados): infraestructura, mensajería de WhatsApp, envío de correos y cobro. Están todos, con lo que recibe cada uno, en la Lista de subencargados.
• Destinos que tú configuras. Tus webhooks, las integraciones que usan tus claves de API y los asistentes de IA que conectas reciben los datos que tú decides.
• Tu plataforma, si eres cliente de una. Si conectaste tu empresa a una plataforma (un sistema o despacho que emite por ti), esa plataforma puede ver y emitir documentos de tu empresa con las claves que creó, hasta que te desconectes. Nunca ve tus credenciales de Hacienda.
• Otros miembros de tu organización, según su rol.
• Autoridades, cuando una ley o una orden válida de autoridad competente nos obligue. Entregaremos sólo lo exigido y, si la ley lo permite, te avisaremos antes.
• Un sucesor del negocio, si hay una fusión o venta. Te avisaremos y esta política seguirá aplicando a tus datos.

Dónde están tus datos

El servicio corre sobre la infraestructura de Cloudflare, cuyos centros de datos están fuera de El Salvador: la base de datos reside en el este de Norteamérica (región ENAM de Cloudflare) y las peticiones se atienden desde su red mundial. Nuestros demás proveedores también operan desde el extranjero. Usar el servicio implica, entonces, que tus datos se transfieren y se guardan fuera del país.

Elegimos proveedores con compromisos contractuales de seguridad y confidencialidad, y les entregamos sólo lo necesario para su función. El detalle por proveedor está en la Lista de subencargados. Si necesitas que tus datos no salgan de una infraestructura que tú controlas, la versión autoalojada existe para eso.

Cuánto tiempo los guardamos

Importante: la ley te obliga a ti, como emisor, a conservar tus DTE durante el plazo del artículo 147 del Código Tributario. Descárgalos antes de eliminar tu organización: después no podremos recuperarlos. Hacienda conserva además su propia copia de lo que le transmitiste.

Cookies

Usamos sólo las cookies estrictamente necesarias para mantener tu sesión iniciada en el panel (app.openfactura.co). No usamos cookies de publicidad ni de analítica, por eso no verás un aviso para aceptarlas.

El sitio carga sus tipografías desde Google Fonts. Al hacerlo, tu navegador se conecta con Google, que recibe tu dirección IP y los datos técnicos de la petición, bajo la política de privacidad de Google.

Seguridad

Lo que hacemos hoy:

• Las credenciales de Hacienda (contraseña de la API, certificado, contraseña de la llave privada y token) se cifran con AES-256-GCM usando una llave maestra guardada aparte de la base de datos, y nunca se devuelven por la API ni se muestran en el panel.
• Las contraseñas de los usuarios se guardan con un hash PBKDF2-SHA256 con sal. De las claves de API sólo se guarda su hash SHA-256: se muestran una única vez.
• Todo el tráfico viaja cifrado por HTTPS.
• Cada consulta se filtra por la organización de quien la hace, y ese aislamiento tiene pruebas automáticas.
• Permisos por rol y por clave, límite de peticiones, webhooks firmados y una bitácora de auditoría que puedes consultar en el panel.
• El núcleo es código abierto: cualquiera puede revisar cómo se tratan los datos.

Lo que todavía no tenemos, para que decidas con información completa: el servicio no ha pasado una auditoría de seguridad externa, no tiene certificaciones (ISO 27001, SOC 2), y todavía no ofrece verificación del correo ni segundo factor de autenticación. Ningún sistema es totalmente seguro y no podemos prometer lo contrario.

Si hay una vulneración de seguridad que afecte tus datos personales, te avisaremos sin demora indebida y, a más tardar, dentro de las 72 horas siguientes a haberla confirmado, y haremos las notificaciones a la autoridad que la ley exija.

Para reportar una vulnerabilidad no abras un reporte público: usa Security → Report a vulnerability en el repositorio de GitHub o escribe a legal@openfactura.co. Respondemos en un máximo de 5 días hábiles.

Tus derechos

Sobre tus datos personales tienes derecho a:

• Acceder a ellos y saber cómo los tratamos.
• Rectificarlos si están incompletos o equivocados.
• Cancelarlos (pedir que se eliminen) cuando ya no sean necesarios o retires tu consentimiento.
• Oponerte a un tratamiento o pedir que se limite.
• Portarlos: recibirlos en un formato estructurado y de uso común.
• Retirar tu consentimiento cuando el tratamiento se base en él.

Mucho de esto lo puedes hacer tú mismo en el panel. Para lo demás, escribe a legal@openfactura.co desde el correo de tu cuenta, diciendo qué derecho quieres ejercer. Puede que te pidamos confirmar tu identidad. Ejercer tus derechos es gratis; responderemos dentro del plazo que fija la ley y, en todo caso, en no más de 15 días hábiles.

Hay datos que no podemos borrar aunque lo pidas, porque una ley nos obliga a conservarlos (por ejemplo, los de cobro). Te lo diremos cuando sea el caso.

Si crees que no atendimos bien tu solicitud, puedes acudir a la autoridad de protección de datos personales de El Salvador, la Agencia de Ciberseguridad del Estado.

Si recibiste una factura hecha con Open Factura

Si un negocio te emitió un documento usando Open Factura, ese negocio es el responsable de tus datos y nosotros sólo su encargado: no decidimos qué datos tuyos se piden ni para qué. Para acceder a ellos, corregirlos o pedir que se eliminen, contacta primero al negocio que te facturó. Si nos escribes a nosotros, le pasaremos tu solicitud a ese negocio y le ayudaremos a atenderla.

Ten presente que los documentos tributarios ya transmitidos a Hacienda no se pueden alterar ni borrar libremente: la ley obliga al emisor a conservarlos.

Menores de edad

El servicio es para empresas y profesionales. No está dirigido a menores de 18 años y no creamos cuentas para ellos a sabiendas. Si crees que un menor nos dio sus datos, escríbenos y los eliminaremos.

Versión autoalojada

Si instalas el código abierto de Open Factura en tu propia infraestructura, no recibimos ningún dato de tu instalación: el software no nos envía telemetría, documentos, credenciales ni estadísticas de uso, y se comunica directamente con Hacienda. En ese caso el responsable de todos los datos eres tú y esta política no aplica. Sólo trataríamos datos tuyos si nos escribes para pedir soporte o participas en el repositorio público.

Cambios a esta política

Si cambiamos esta política de forma importante (por ejemplo, una finalidad nueva o un tipo de proveedor nuevo), te avisaremos por correo o en el panel con al menos 30 días de anticipación. La fecha de arriba indica la última revisión.

Contacto

Para cualquier asunto de privacidad: legal@openfactura.co, o por escrito a Yaya Technologies, S.A.S. de C.V., 1.ª Calle, Calle Cerro Artillería, Colonia Magaña, n.º 21, contiguo a Iglesia Bethel, distrito de Ahuachapán, municipio de Ahuachapán Centro, departamento de Ahuachapán, El Salvador.