Esta política explica qué datos personales tratamos en sudte, para qué, con quién los compartimos y cómo puedes ejercer tus derechos. Se basa en la Ley para la Protección de Datos Personales de El Salvador (Decreto Legislativo N.º 144 de 2024 y sus reformas) y en la regla 12.2 de la Normativa de Cumplimiento de los DTE.
1. Responsable y delegado de protección de datos
El responsable del tratamiento es TSA EL SALVADOR, S.A. de C.V., NIT 0000-000000-000-0, con domicilio en San Salvador, El Salvador. Puedes contactar a nuestro Delegado de Protección de Datos en privacidad@sudte.com.
2. Nuestro papel según el tipo de dato
- Responsables de los datos de nuestros clientes y de los usuarios del panel (cuenta, facturación, soporte) y de quienes visitan este sitio.
- Encargados de los datos personales que nuestros clientes incluyen en sus DTE (por ejemplo, nombre, documento de identidad, correo o dirección de sus compradores). Los tratamos solo por cuenta e instrucción del emisor, que es el responsable frente a sus clientes.
3. Datos que tratamos
| Categoría | Ejemplos |
|---|---|
| Cuenta y usuarios | Nombre, correo, teléfono, cargo, contraseña (guardada con hash), segundo factor. |
| Facturación | Razón social, NIT, NRC, dirección y datos de pago. Las tarjetas las tokeniza la pasarela de pago; no guardamos el número completo ni el código de seguridad. |
| Emisores | Datos fiscales, establecimientos y credenciales del MH (certificado, clave privada y contraseña de API), siempre cifradas. |
| Contenido de los DTE | Datos de receptores y de las operaciones que el cliente envía para emitir sus documentos. |
| Datos técnicos | Dirección IP, agente de usuario, fecha y hora de las solicitudes e identificadores de petición. Nunca registramos contraseñas, claves privadas, tokens ni API keys completas. |
| Soporte | Mensajes y archivos que nos envías al pedir ayuda. |
4. Finalidades y bases de licitud
- Prestar el servicio (generar, firmar, transmitir, conservar y entregar DTE; administrar tu cuenta): ejecución del contrato.
- Cumplir obligaciones legales, como transmitir los DTE al MH, emitir nuestros propios comprobantes y conservar la información tributaria.
- Proteger la plataforma, prevenir fraudes y abusos, y mejorar el servicio: interés legítimo.
- Enviarte novedades comerciales: solo con tu consentimiento, que puedes retirar en cualquier momento.
5. Con quién compartimos datos
Solo con quienes necesitamos para prestar el servicio, bajo contrato y con medidas de seguridad equivalentes:
- Ministerio de Hacienda (DGII): recibe los DTE y eventos por mandato legal.
- Amazon Web Services: infraestructura, almacenamiento, administración de claves (KMS) y envío de correos.
- Cloudflare: red de entrega, DNS y protección contra ataques para este sitio y la API.
- Pasarela de pago local para cobrar con tarjeta.
- Destinatarios que tú indiques, como los receptores a quienes enviamos sus DTE por correo.
Algunos de estos proveedores procesan datos fuera de El Salvador (por ejemplo, en Estados Unidos). Solo lo hacemos con proveedores que ofrecen un nivel de protección adecuado y con las garantías contractuales que exige la ley. No vendemos datos personales.
6. Cuánto tiempo los conservamos
- Datos de cuenta: mientras la cuenta esté activa y hasta 12 meses después, salvo obligación legal distinta.
- DTE, eventos y sus representaciones gráficas: el plazo del artículo 147 del Código Tributario.
- Registros técnicos: hasta 90 días, salvo que se necesiten para investigar un incidente.
7. Seguridad
Cifrado en tránsito (TLS) y en reposo, cifrado de sobre con AWS KMS para las credenciales del MH, API keys guardadas como hash, control de acceso por roles, segundo factor en el panel, respaldos cifrados y registro de auditoría de los accesos administrativos. Más detalles en seguridad.
8. Tus derechos (ARCO-POL)
Puedes ejercer tus derechos de acceso, rectificación, cancelación, oposición, portabilidad, olvido y limitación del tratamiento escribiendo a privacidad@sudte.com, con una copia de tu documento de identidad. Responderemos dentro de los plazos legales (en general, 20 días hábiles). Si consideras que no atendimos tu solicitud, puedes acudir a la Agencia de Ciberseguridad del Estado.
Si recibiste un DTE de una empresa que usa sudte y quieres ejercer tus derechos sobre esos datos, dirígete primero a esa empresa, que es la responsable; la apoyaremos para atender tu solicitud. Ten en cuenta que los DTE deben conservarse por obligación tributaria y no pueden alterarse después de sellados.
9. Incidentes de seguridad
Si ocurre una vulneración que afecte datos personales, la notificaremos a la autoridad competente y a los titulares afectados dentro de las 72 horas siguientes a conocerla, y a nuestros clientes sin demora para que puedan cumplir sus propias obligaciones.
10. Cookies y almacenamiento local
Este sitio no usa cookies ni herramientas de rastreo de terceros. Solo guarda en tu navegador la preferencia de tema claro u oscuro. El panel usa una cookie de sesión estrictamente necesaria para mantenerte conectado.
11. Cambios a esta política
Publicaremos cualquier cambio en esta página y, si es relevante, te avisaremos por correo antes de que entre en vigencia.