En resumen
FACTURED, S.A. DE C.V., que opera FactuRed, trata datos personales para crear y administrar su cuenta, emitir y conservar los documentos tributarios electrónicos que la ley exige, notificarlos a sus destinatarios y prestarle soporte. La base de ese tratamiento es el contrato que acepta al registrarse y la normativa tributaria del Ministerio de Hacienda.
Solo le enviamos comunicaciones comerciales si usted lo consiente. No vendemos sus datos. Puede ejercer sus derechos de acceso, rectificación, cancelación, oposición, portabilidad, olvido y limitación ante nuestro Delegado de Protección de Datos Personales, sin costo, como explica la sección 10.
Este aviso se emite conforme al artículo 24 de la Ley para la Protección de Datos Personales de El Salvador, Decreto Legislativo N.º 144 de 2024, y se publica de acuerdo con el artículo 31 de los Lineamientos para el Delegado de Protección de Datos Personales de la Agencia de Ciberseguridad del Estado.
1.Responsable del tratamiento
- Razón social:FACTURED, S.A. DE C.V.
- NIT: Pendiente: NIT
- Domicilio:Pendiente: domicilio completo
- Correo para asuntos de protección de datos:Pendiente: correo de protección de datos
- Correo de soporte: soporte@factured.sv
2.Cuándo somos responsables y cuándo encargados
La ley distingue entre quien decide la finalidad y los medios del tratamiento, el responsable, y quien trata los datos por cuenta de aquél, el encargado. Nuestro papel cambia según de quién sean los datos.
Somos responsables de los datos de las personas que usan la plataforma: quienes abren una cuenta, quienes la administran y quienes la operan, así como de los datos de contacto y facturación de las empresas suscriptoras y de las personas que nos escriben.
Somos encargados de los datos de las personas que aparecen como receptores, sujetos excluidos, donantes o terceros en los documentos tributarios que emiten nuestras empresas clientes. En esos casos el responsable es la empresa que emite el documento: es ella quien decide qué datos recolecta, para qué y con qué base legal, y es ella quien debe obtener el consentimiento cuando la ley lo exige, en particular si incorpora datos sensibles. Nosotros los tratamos solo para prestarle el servicio, siguiendo sus instrucciones.
Si sus datos aparecen en una factura emitida por un negocio que usa FactuRed y desea ejercer un derecho sobre ellos, diríjase a ese negocio. Si nos escribe a nosotros, remitiremos su solicitud al responsable dentro de los cinco días hábiles siguientes y le asistiremos en su atención.
3.Fundamento legal del tratamiento
Tratamos datos personales con base en el contrato de servicio que usted acepta al registrarse, lo que el artículo 28 letra f) de la Ley exceptúa del consentimiento previo; en el cumplimiento de las obligaciones que la normativa tributaria de El Salvador impone sobre la emisión, transmisión y conservación de documentos tributarios electrónicos; y en su consentimiento, cuando se trata de finalidades que lo requieren y que la sección 5 identifica de forma expresa.
4.Datos personales que tratamos
Este inventario refleja los datos que efectivamente recolectan y almacenan nuestros sistemas, tanto en el formulario de registro de factured.sv como dentro de la plataforma. No todos los campos se llenan en todos los casos: muchos son opcionales y dependen del tipo de documento tributario y de la configuración de cada empresa.
4.1 Personas que usan la plataforma
| Categoría | Datos que tratamos |
|---|---|
| Identificación y contacto | Nombre completo y correo electrónico de la persona que usa la plataforma. |
| Credenciales de acceso | Nombre de usuario; contraseña, guardada únicamente como hash y nunca en claro; claves de API; secreto del segundo factor de autenticación, guardado cifrado; códigos de recuperación, guardados como hash; tokens de un solo uso para confirmar el correo, restablecer la contraseña o confirmar un cambio de correo. |
| Perfil operativo | Rol y permisos asignados, puntos de venta asignados, empresa a la que pertenece y estado de la cuenta. |
| Actividad dentro del sistema | Registro de quién emitió, invalidó o retransmitió cada documento y desde qué canal (web, API o aplicación móvil); apertura y cierre de sesiones de caja con sus montos y diferencias; ventas atribuidas a cada cajero; movimientos de efectivo e inventario; solicitudes, aprobaciones y rechazos de traslados y órdenes de compra; cargas masivas de documentos. Esta información permite reconstruir la jornada y el desempeño individual de la persona. |
| Uso de los asistentes de inteligencia artificial | Texto de las consultas escritas por la persona, historial de la conversación, respuestas generadas y configuración de sus tableros. |
4.2 Empresa suscriptora y sus representantes
Cuando el contribuyente suscriptor es una persona natural comerciante, estos datos son datos personales suyos.
| Categoría | Datos que tratamos |
|---|---|
| Identificación tributaria | NIT, NRC, razón social, nombre comercial, actividad económica, categoría tributaria, régimen y NIT de afiliación. Cuando el contribuyente es una persona natural, estos datos son datos personales suyos. |
| Contacto y domicilio | Dirección, departamento, municipio y distrito; teléfono fijo y celular; correo electrónico y correo de soporte. Lo mismo para cada sucursal y punto de venta. |
| Configuración de la cuenta | Plan contratado, subdominio elegido y tipos de documento tributario que la empresa habilitó al registrarse. |
| Credenciales frente al Ministerio de Hacienda | Usuario y contraseña del portal de Hacienda, almacenados cifrados, y el certificado de firma electrónica con su clave privada y su contraseña. |
| Medios de pago del servicio | Marca de la tarjeta, últimos cuatro dígitos, mes y año de vencimiento y nombre del tarjetahabiente; identificador y código de autorización de cada transacción; comprobantes de pago que la propia empresa adjunta, los cuales pueden contener capturas de transferencias bancarias. El número completo de la tarjeta y su código de seguridad se ingresan directamente en la pasarela de pagos y no llegan a nuestros sistemas. |
| Integraciones configuradas por la empresa | Direcciones de destino y credenciales de los webhooks hacia sus propios sistemas. |
4.3 Personas nombradas en los documentos tributarios
Los datos de esta tabla los aporta la empresa emisora, que actúa como responsable. Incluye a receptores de facturas y comprobantes de crédito fiscal, sujetos excluidos, donantes, receptores de exportaciones y terceros mencionados en el documento.
| Categoría | Datos que tratamos |
|---|---|
| Documento de identidad | Tipo y número de documento: Documento Único de Identidad (DUI), NIT, pasaporte, carné de residente u otro. Advertencia: el NIT de una persona natural salvadoreña incorpora en su estructura la fecha de nacimiento y el municipio de nacimiento de su titular, de modo que registrar un NIT implica registrar esos dos datos. |
| Identificación | Nombre o razón social, nombre comercial, NRC, actividad económica, tipo de persona (natural o jurídica) y condición de domiciliado. |
| Contacto y domicilio | Dirección o complemento, departamento, municipio, distrito y país; teléfono; correo electrónico. También las direcciones adicionales a las que el emisor pide enviar copia del documento. |
| Contenido del documento tributario | Descripción de los bienes o servicios facturados, cantidades, precios, impuestos, condiciones de pago y referencias de pago; firma electrónica del documento y sello de recepción del Ministerio de Hacienda; observaciones y apéndices de texto libre. |
| Terceros nombrados en el documento | Nombre y número de documento de quien entrega y de quien recibe la mercadería; placa del vehículo; nombre y número de documento del conductor en las facturas de exportación; NIT y nombre en las ventas o compras a cuenta de terceros; código de empleado en los documentos contables de liquidación. |
| Invalidación de documentos | Nombre, tipo y número de documento tanto de la persona que solicita la invalidación como de la persona responsable de ejecutarla, y el motivo declarado. |
| Servicios médicosDato sensible | En las facturas y comprobantes de crédito fiscal el emisor puede declarar el nombre, el NIT y el documento de identificación del médico que prestó el servicio, junto con el tipo de servicio: cirugía, operación o tratamiento médico. Asociado al receptor identificado del mismo documento, ese dato revela información de salud. |
| Descripción de bienes y serviciosDato sensible | Cuando el emisor es una clínica, un laboratorio, una farmacia o cualquier prestador de servicios de salud, la descripción de los ítems facturados puede revelar diagnósticos, procedimientos, medicamentos o tratamientos del receptor. |
| Comprobantes de donaciónDato sensible | Un comprobante de donación vincula el nombre y el documento del donante con la institución beneficiaria, lo que puede revelar convicciones religiosas, ideología o pertenencia a organizaciones. |
| Campos de texto libreDato sensible | Los campos de observaciones, notas y apéndice quedan a discreción del emisor y pueden contener cualquier dato, incluidos datos sensibles, sin que FactuRed determine ni pueda anticipar su contenido. La responsabilidad de lo que se escriba en ellos recae en el emisor del documento. |
4.4 Otras personas relacionadas
| Categoría | Datos que tratamos |
|---|---|
| Personas que nos contactan | Nombre de la empresa, correo electrónico, teléfono, sitio web y volumen estimado de documentos que escriben en el formulario de contacto de factured.sv o en un correo a ventas o soporte. |
| Proveedores y sus contactos | Nombre, nombre de la persona de contacto, correo electrónico, teléfono, dirección e identificación tributaria. |
| Destinatarios de notificaciones | Dirección de destino de cada notificación (correo electrónico, número de teléfono o número de WhatsApp), estado de entrega y, cuando el proveedor de correo lo informa, si el mensaje fue abierto. |
Datos sensibles: qué son y cómo los tratamos
El artículo 4 letra g) de la Ley considera sensibles los datos que revelan, entre otros, salud física y mental, creencias y convicciones religiosas, origen étnico, ideología política, afiliación sindical, preferencias sexuales, información biométrica o genética, y hábitos personales. Las filas marcadas como dato sensible en la sección 4.3 son las únicas vías por las que un dato de esa naturaleza puede entrar a nuestros sistemas, y en todos los casos lo hace por decisión de la empresa emisora del documento, no nuestra.
Conforme al artículo 26 de la Ley, el tratamiento de datos sensibles requiere el consentimiento por escrito del titular, con firma autógrafa o su equivalente. Obtener y conservar ese consentimiento es obligación de la empresa emisora, que es el responsable del tratamiento. FactuRed no solicita ni requiere que se incorporen datos sensibles a un documento tributario más allá de lo que exija la normativa del Ministerio de Hacienda.
No tratamos datos biométricos, genéticos, de afiliación sindical, de ideología política, de preferencias sexuales ni de antecedentes penales, ni pedimos fotografías de personas.
5.Finalidades y cuáles requieren su consentimiento
| Finalidad | Fundamento | Requiere consentimiento |
|---|---|---|
| Crear, administrar y dar de baja las cuentas de usuario y controlar el acceso a la plataforma. | Ejecución del contrato de servicio aceptado al registrarse (art. 28 letra f LPDP). | No |
| Generar, firmar electrónicamente, transmitir al Ministerio de Hacienda y conservar los documentos tributarios electrónicos, así como sus invalidaciones y eventos de contingencia. | Cumplimiento de una obligación legal tributaria y ejecución del contrato (art. 28 letra f LPDP). | No |
| Remitir por correo electrónico o mensajería el documento emitido al receptor y a las direcciones adicionales que indique el emisor. | Ejecución del contrato, por instrucción del emisor del documento. | No |
| Atender solicitudes de soporte técnico y resolver incidencias. | Ejecución del contrato. | No |
| Responder solicitudes de información comercial y preparar propuestas a quienes nos escriben. | Consentimiento del interesado, que nos contacta por iniciativa propia. | Sí |
| Facturar y cobrar el servicio, gestionar pagos y validar comprobantes. | Ejecución del contrato y obligaciones contables. | No |
| Garantizar la seguridad de la plataforma, prevenir el fraude, auditar operaciones y atender requerimientos de autoridad competente. | Cumplimiento de obligaciones legales y deber de adoptar medidas de seguridad (art. 4 letra n y art. 5 LPDP). | No |
| Procesar las consultas que el usuario escribe en los asistentes de inteligencia artificial y generar las respuestas. | Ejecución del contrato, como funcionalidad del servicio solicitada por el propio usuario. | No |
| Permitir que el personal de soporte de FactuRed acceda a los datos de la empresa para diagnosticar un problema. | Consentimiento de la empresa, otorgado y revocable desde la configuración de la cuenta. | Sí |
| Enviar comunicaciones comerciales, novedades del producto y ofertas. | Consentimiento del titular (art. 26 LPDP). | Sí |
| Tratar los datos sensibles que un emisor incorpore a un documento tributario, en particular los relativos a salud. | Consentimiento por escrito del titular, que conforme al art. 26 LPDP corresponde obtener al emisor del documento en su calidad de responsable. FactuRed los trata únicamente por cuenta de ese emisor. | Sí |
No tomamos decisiones automatizadas que produzcan efectos jurídicos sobre usted, ni elaboramos perfiles con esa finalidad.
6.Encargados y otros destinatarios
Para prestar el servicio recurrimos a los proveedores que se enumeran a continuación. Con cada encargado mantenemos un contrato que lo obliga a tratar los datos únicamente según nuestras instrucciones y a guardar confidencialidad. No vendemos ni cedemos datos personales con fines comerciales.
| Proveedor | Para qué | Qué datos recibe |
|---|---|---|
| Ministerio de Hacienda de El SalvadorNo es un encargado: es el destinatario legal de la información tributaria. | Recepción, validación y sellado de los documentos tributarios electrónicos, sus invalidaciones y los eventos de contingencia. | El documento tributario completo, incluidos todos los datos del emisor, del receptor y de los terceros nombrados en él. |
| Pendiente: proveedor de infraestructura en la nubePendiente: razón social, domicilio y correo | Alojamiento de los servidores y las bases de datos. | La totalidad de los datos descritos en la sección 4. |
| Pendiente: proveedor de almacenamiento de objetosPendiente: razón social, domicilio y correo | Almacenamiento de comprobantes de pago y de los logotipos de las empresas. | Archivos adjuntos subidos por la empresa y el nombre de archivo original. |
| Pendiente: proveedor de envío de correo electrónico, SMS y WhatsAppPendiente: razón social, domicilio y correo | Entrega de los documentos emitidos y de las notificaciones transaccionales al receptor. | Dirección de correo o número de teléfono del destinatario, nombre y el documento tributario adjunto. |
| Powertranz, pasarela de pagosPendiente: razón social, domicilio y correo | Captura de la tarjeta en el registro y cobro recurrente de la cuota mensual del servicio. | Número completo, vencimiento y código de seguridad de la tarjeta, que se ingresan directamente en su formulario; nombre del tarjetahabiente e identificadores de la transacción. |
| Pendiente: proveedor de modelos de inteligencia artificialPendiente: razón social, domicilio y correo | Generación de las respuestas de los asistentes. | Texto de la consulta del usuario y los datos de la cuenta que sean necesarios para responderla, que pueden incluir el contenido de documentos tributarios. |
| Cloudflare, Inc.Pendiente: domicilio y correo de contacto | Alojamiento y entrega del sitio factured.sv, incluido el formulario de registro, y protección del sitio frente a ataques. | Datos técnicos de cada visita necesarios para servir el sitio: dirección IP, navegador y página solicitada. |
| Vercel Inc.Pendiente: domicilio y correo de contacto | Alojamiento de la aplicación web y medición agregada de tráfico (Vercel Analytics). | Datos técnicos de la visita: dirección IP, que Vercel Analytics procesa de forma agregada y no almacena de manera individual, página visitada, país, tipo de dispositivo y navegador. |
| Sistemas propios de la empresa clienteA través de los webhooks que ella misma configura. | Sincronización de los documentos emitidos con los sistemas de la empresa. | Identificadores del documento: código de generación, número de control, sello de recepción y estado. No se envían los datos de identificación del receptor. |
Además, comunicamos datos personales a las autoridades competentes cuando exista un requerimiento fundado en ley, y a nuestros asesores legales o contables cuando sea necesario para defender un derecho.
7.Transferencias internacionales
Algunos de los proveedores enumerados en la sección 6 procesan datos en servidores ubicados fuera de El Salvador. Antes de recurrir a ellos verificamos que ofrezcan garantías adecuadas de protección mediante las cláusulas contractuales correspondientes.
Asimismo, cuando una empresa cliente emite una factura de exportación, los datos del receptor extranjero se incorporan al documento y se transmiten al Ministerio de Hacienda junto con el país de destino. Esa comunicación la decide la empresa emisora en su calidad de responsable.
8.Plazos de conservación
| Información | Plazo |
|---|---|
| Documentos tributarios electrónicos, sus invalidaciones, los eventos de contingencia y los registros de su transmisión al Ministerio de Hacienda. | Pendiente: plazo que fija la normativa tributaria, a confirmar con asesoría legal. Durante ese plazo no procede la cancelación de los datos: quedan bloqueados conforme al art. 4 letra c LPDP. |
| Datos de la cuenta de usuario y del perfil operativo. | Mientras la cuenta esté activa y, tras su baja, el tiempo necesario para atender responsabilidades derivadas de la relación. |
| Datos del catálogo de clientes, incluido el histórico de cambios sobre ellos. | Mientras la empresa mantenga el registro, salvo que ejerza su supresión y no exista un documento tributario que obligue a conservarlos. |
| Comprobantes de pago del servicio y registros de facturación. | El plazo que fija la normativa contable y tributaria aplicable. |
| Mensajes recibidos por el formulario de contacto o en los correos de ventas y soporte. | Pendiente: plazo pendiente de definir. |
| Registros de las consultas a los asistentes de inteligencia artificial. | Pendiente: plazo pendiente de definir. Se purgan por fecha de creación. |
| Tokens de confirmación de correo, de restablecimiento de contraseña y de cambio de correo. | Caducan automáticamente. Se invalidan al usarse o al vencer su plazo. |
| Registros técnicos de operación y de errores. | Pendiente: plazo de rotación y purga pendiente de definir. |
Vencido el plazo aplicable, los datos se suprimen o se someten a un procedimiento de anonimización que impide volver a asociarlos con su titular.
9.Seguridad y notificación de vulneraciones
Aplicamos medidas técnicas y organizativas para proteger los datos: cifrado en tránsito, cifrado de las credenciales de Hacienda y del segundo factor de autenticación, almacenamiento de contraseñas y códigos de recuperación únicamente como hash, control de acceso por roles y permisos, segundo factor de autenticación opcional y exigible por la empresa, separación de la información de cada empresa en bases de datos distintas, y registro de quién realiza cada operación.
Si tenemos conocimiento de una vulneración de seguridad que afecte datos personales, la notificaremos dentro de las setenta y dos horas siguientes a la Agencia de Ciberseguridad del Estado, a la Fiscalía General de la República y a los titulares afectados, conforme al artículo 25 de la Ley, indicando la naturaleza del incidente, los datos comprometidos, las recomendaciones para proteger sus intereses y los medios para obtener más información.
10.Sus derechos y cómo ejercerlos
La Ley le reconoce siete derechos sobre sus datos personales, de ejercicio gratuito e independiente entre sí.
| Derecho | Qué puede pedir |
|---|---|
| Acceso | Saber qué datos suyos tratamos, con qué finalidad, de dónde los obtuvimos y a quién los hemos comunicado. |
| Rectificación | Corregir datos inexactos, incompletos o desactualizados. Si el dato inexacto consta en un documento tributario ya sellado por el Ministerio de Hacienda, la corrección se realiza emitiendo el documento de ajuste que la normativa tributaria prevé, no modificando el documento original. |
| Cancelación o supresión | Que eliminemos sus datos cuando ya no sean necesarios para la finalidad que justificó su recolección o cuando revoque su consentimiento. No procede sobre la información que la normativa tributaria obliga a conservar; en ese caso los datos quedan bloqueados y no se usan para ninguna otra finalidad. |
| Oposición | Que dejemos de tratar sus datos para comunicaciones comerciales, elaboración de perfiles o mercadeo directo. |
| Portabilidad | Recibir sus datos en un formato estructurado y de uso común, o que los transfiramos a otro proveedor. |
| Olvido | Que eliminemos los datos suyos que hubiésemos publicado en internet, junto con sus copias y enlaces. |
| Limitación | Que suspendamos el uso de sus datos mientras se resuelve una controversia sobre su exactitud o sobre la licitud del tratamiento. |
Cómo presentar la solicitud
- Use el formulario oficial que publica la Agencia de Ciberseguridad del Estado para el derecho que desea ejercer, o redacte una solicitud libre que contenga, conforme al artículo 18 de la Ley: su nombre y domicilio, un medio para recibir notificaciones, la descripción de los datos y del derecho que ejerce, y su firma. Para el derecho de acceso, indique en qué forma prefiere recibir la información.
- Adjunte copia de su Documento Único de Identidad o pasaporte. Si actúa en nombre de otra persona, adjunte el poder o documento que acredite la representación.
- Envíela al correo del Delegado indicado en la sección 11, desde la dirección registrada en su cuenta, o entréguela en la dirección señalada allí. Recibirá un acuse con número de referencia.
Los formularios oficiales de la Agencia están disponibles en ace.gob.sv/page/formularios. Los aceptamos en cualquiera de sus versiones. Pendiente: subir copia de los formularios a este sitio y enlazarlos desde aquí.
Si tiene cuenta en FactuRed, varias gestiones puede realizarlas usted mismo desde la configuración de su perfil: corregir sus datos, cambiar su correo, activar o desactivar el segundo factor y exportar sus documentos.
Plazos y costos
- Respondemos en un máximo de veinte días hábiles. Si por causa justificada necesitamos más tiempo, se lo notificaremos dentro de ese plazo mediante resolución motivada, dentro de los tres días hábiles siguientes a la decisión.
- Si a su solicitud le falta algún requisito, se lo indicaremos para que la complete.
- Toda respuesta, incluida una denegatoria, será motivada y se notificará por el medio que usted indique dentro de los tres días hábiles siguientes a la decisión.
- El ejercicio de los derechos es gratuito. Conforme al artículo 23 de la Ley solo podemos cobrar los costos de reproducción, certificación o envío, que le informaremos antes de la entrega y que no excederán el valor de los materiales o de la remisión. El envío por correo electrónico no tiene costo. Si pide sus datos en un dispositivo de almacenamiento, deberá aportarlo.
- Puede revocar su consentimiento en cualquier momento por el mismo canal, de forma gratuita y sin efecto retroactivo. La revocación no afecta la licitud del tratamiento anterior ni el que se sustente en otra base legal, como la conservación tributaria.
11.Delegado de Protección de Datos Personales
- Nombre: Pendiente: nombre completo del Delegado
- Correo electrónico:Pendiente: correo institucional del Delegado
- Teléfono: Pendiente: teléfono institucional
- Dirección para solicitudes presenciales:Pendiente: dirección para solicitudes presenciales
- Nombramiento:Pendiente: número y fecha del acta de nombramiento
El Delegado es el enlace oficial con la Dirección de Protección de Datos Personales de la Agencia de Ciberseguridad del Estado y está obligado a guardar confidencialidad sobre la información a la que accede en el ejercicio de sus funciones.
13.Cambios a este aviso
Podemos actualizar este aviso cuando cambien los datos que tratamos, las finalidades, los encargados o la normativa aplicable. La versión vigente estará siempre publicada en esta página, con su fecha de última actualización. Cuando el cambio sea sustancial, se lo comunicaremos por correo electrónico a la dirección registrada en su cuenta y mediante un aviso dentro de la plataforma, antes de que el cambio surta efecto.
14.Si no está conforme
Si considera que su solicitud no fue atendida conforme a la Ley, puede presentar su reclamo ante la Dirección de Protección de Datos Personales de la Agencia de Ciberseguridad del Estado dentro de los diez días hábiles siguientes a nuestra respuesta: ace.gob.sv, teléfono (503) 7530-6114.