Resumen: Cuando usas Kofacture para gestionar datos de otras personas (tus empleados, clientes, proveedores, candidatos), tú eres el Responsable y Kofacture es el Encargado. Este acuerdo regula cómo tratamos esos datos por cuenta tuya: solo según tus instrucciones, con seguridad, confidencialidad y los subencargados listados. Especialmente relevante para contadores que gestionan datos de múltiples empresas.
1. Partes y roles
- Responsable: el Cliente (empresa, contador o freelancer) que determina los fines del tratamiento de los datos personales de terceros que carga en Kofacture.
- Encargado: KODIFY INTERNATIONAL LLC, que trata esos datos por cuenta y según instrucciones del Responsable, para prestar el servicio.
Este DPA forma parte de los Términos de Servicio.
2. Objeto y duración
El Encargado tratará datos personales únicamente para prestar el servicio Kofacture durante la vigencia de la suscripción. Al terminar, aplica la cláusula 11 (devolución/eliminación).
3. Detalle del tratamiento (Anexo I)
Ver Anexo I al final. Resumen:
- Categorías de titulares: empleados, clientes, proveedores, contactos/leads, candidatos del Responsable.
- Categorías de datos: identificación (nombre, RNC/cédula), contacto, datos laborales y salariales, deducciones de seguridad social, datos bancarios, datos contables y, según módulos, geolocalización/foto de marcaje.
- Naturaleza/fin: almacenamiento, organización, OCR, asistencia por IA, generación de comprobantes y reportes.
4. Instrucciones del Responsable
El Encargado tratará los datos solo conforme a las instrucciones documentadas del Responsable (las contenidas en este DPA y en el uso normal del servicio). Si una instrucción infringe la ley, el Encargado lo informará.
5. Confidencialidad
El Encargado garantiza que su personal con acceso a los datos está sujeto a deber de confidencialidad.
6. Medidas de seguridad
El Encargado aplica medidas técnicas y organizativas apropiadas, incluyendo: cifrado en tránsito (TLS) y de campos sensibles en reposo; aislamiento por empresa mediante Row-Level Security; control de acceso por roles; autenticación reforzada (2FA disponible); registros de auditoría; y respaldos.
7. Subencargados
- El Responsable autoriza al Encargado a usar los subencargados listados en el Anexo II para prestar el servicio.
- El Encargado impone a cada subencargado obligaciones de protección equivalentes a las de este DPA.
- El Encargado informará de la incorporación o sustitución de subencargados que traten datos personales, con antelación razonable, permitiendo objeción fundada.
8. Inteligencia Artificial
Parte del tratamiento implica enviar datos a proveedores de IA (Anexo II) para OCR y asistente. El Encargado contrata dichos servicios bajo condiciones que prohíben el uso de los datos para entrenar modelos. El Responsable reconoce y autoriza este tratamiento como parte del servicio.
8.bis Transferencias y exportaciones dirigidas por el Responsable (API, webhooks, integraciones)
El servicio permite al Responsable activar API públicas, webhooks e integraciones (p. ej. e-commerce) que transmiten datos a sistemas de terceros que el Responsable elige y configura. Respecto de esos destinos:
- El Responsable es el único controlador de la finalidad y del destino, y declara contar con base legal para esa transmisión.
- El Encargado actúa solo como medio de transmisión conforme a las instrucciones del Responsable y no es responsable del tratamiento que el tercero destino realice.
- El Responsable mantendrá indemne al Encargado frente a reclamos derivados de exportaciones que el Responsable configuró sin base legal.
9. Transferencia internacional
Los datos pueden tratarse fuera de la RD (principalmente EE.UU. y, para e-CF, Colombia/LatAm), según el Anexo II. El Encargado adopta garantías contractuales con cada subencargado. El Responsable autoriza estas transferencias conforme a la Ley 172-13.
10. Derechos de los titulares y asistencia
- El Encargado asistirá razonablemente al Responsable para atender solicitudes ARCO de los titulares y para cumplir sus obligaciones de seguridad y notificación.
- Si un titular contacta directamente al Encargado, este lo derivará al Responsable.
11. Notificación de brechas
El Encargado notificará al Responsable sin demora indebida y dentro de 72 horas tras confirmar una violación de seguridad que afecte datos personales tratados por cuenta del Responsable, con la información disponible para que el Responsable cumpla sus deberes.
12. Devolución y eliminación
A la terminación, a elección del Responsable, el Encargado devolverá o eliminará los datos personales (incluyendo copias), salvo obligación legal de conservación. El Responsable dispone de 30 días para exportar.
13. Auditoría
El Encargado pondrá a disposición del Responsable la información razonable para demostrar el cumplimiento de este DPA, y permitirá auditorías proporcionadas (p. ej., cuestionarios o certificaciones), con aviso previo y confidencialidad.
14. Responsabilidad
La responsabilidad por este DPA se rige por los límites de los Términos de Servicio. Cada parte responde por el incumplimiento de sus propias obligaciones legales como responsable/encargado.
ANEXO I — Detalle del tratamiento
| Elemento | Descripción |
|---|---|
| Objeto | Prestación del servicio SaaS Kofacture |
| Duración | Vigencia de la suscripción |
| Naturaleza y fin | Almacenamiento, organización, OCR, asistencia IA, generación de comprobantes y reportes contables/fiscales/laborales |
| Tipo de datos | Identificación (nombre, RNC/cédula), contacto, laborales/salariales, deducciones AFP/ARS/SFS, ISR, bancarios, contables; según módulos: geolocalización y foto de marcaje, CV de candidatos |
| Categorías de titulares | Empleados, clientes, proveedores, contactos/leads y candidatos del Responsable |
| Datos sensibles | Datos de seguridad social (salud/pensión), geolocalización, imagen — tratados con cuidado reforzado |
ANEXO II — Lista de Subencargados
| Subencargado | Servicio | Datos tratados | Ubicación |
|---|---|---|---|
| Alanube | Facturación electrónica e-CF | e-CF (RNC, NCF, montos, cliente) | Colombia/LatAm |
| Anthropic (Claude) | OCR + asistente IA | Facturas, datos de negocio consultados | EE.UU. |
| Google (Gemini) | OCR (respaldo) | Facturas | EE.UU. |
| OpenAI | Asistente IA (respaldo) / embeddings | Datos de negocio consultados | EE.UU. |
| Groq | Asistente IA (respaldo) | Datos de negocio consultados | EE.UU. |
| Supabase | BD, almacenamiento, auth | Todos los datos | EE.UU./región |
| Railway | Hosting backend/BD | Todos los datos | EE.UU. |
| Vercel | Hosting frontend | Tráfico/metadatos | Global |
| Stripe | Pagos | Pago, email, identidad | EE.UU. |
| Whop | Pagos | Pago, email, identidad | EE.UU. |
| PayPal | Pagos (alternativo) | Pago, email, identidad | EE.UU. |
| Resend | Email transaccional y de secuencias CRM | Email, contenido | EE.UU. |
| Sentry | Monitoreo de errores | Datos técnicos (posible PII) | EE.UU./UE |
| Firebase (Google) | Push notifications | Device tokens | EE.UU./global |
Aceptación: click-wrap en onboarding (empresa/contador), registrada como evidencia de cumplimiento.