Acuerdo de tratamiento de datos

1. Papel de cada parte

Sobre los datos personales que el cliente registra en la plataforma, como los de sus clientes, proveedores, empleados y usuarios:

• el cliente es el responsable del tratamiento (Ley 172-13, artículo 6.18): decide para qué se usan y qué se registra;
• Numetria es la encargada del tratamiento (artículo 6.12): los trata solo por cuenta del cliente y según sus instrucciones, que son las que da al usar la plataforma.

Este acuerdo forma parte de los Términos y condiciones del servicio.

2. Qué datos y para qué

• Clientes y proveedores del cliente: nombre, identificación (RNC o cédula), contacto, dirección, condiciones de crédito y el historial de documentos.
• Empleados del cliente: nombre, cédula o pasaporte, contacto, puesto, sucursal, fechas de ingreso y salida, salario y su historial, novedades de nómina, préstamos y recibos.
• Datos bancarios de los empleados: solo el banco y los últimos dígitos de la cuenta, para identificar el pago. Nunca el número completo.
• Usuarios de la plataforma: nombre, correo, roles, sucursales permitidas, verificación en dos pasos y registro de actividad (auditoría).

La única finalidad es prestar el servicio: registrar operaciones, calcular, generar documentos y reportes, enviar los recibos de nómina a cada empleado y mantener la seguridad. Numetria no vende esos datos, no los usa para publicidad ni los combina con datos de otros clientes.

3. Obligaciones de Numetria

• tratar los datos solo para prestar el servicio y por cuenta del cliente;
• guardar secreto sobre ellos y exigir lo mismo a su personal (artículo 5.6);
• aplicar las medidas de seguridad de la sección 5;
• ayudar al cliente a atender las solicitudes de los titulares (sección 6);
• avisar al cliente sin demora indebida, y en un máximo de 72 horas desde que lo confirme, de cualquier incidente de seguridad que afecte sus datos, con lo que se sepa del alcance y las medidas tomadas;
• al terminar el servicio, devolver los datos mediante exportación y luego eliminarlos, según los Términos.

4. Subencargados

Para prestar el servicio, Numetria usa estos proveedores de infraestructura, que tratan datos por su cuenta y con obligaciones de confidencialidad y seguridad:

• Supabase: base de datos, autenticación y archivos. Los servidores están en Estados Unidos (región us-east-1).
• Cloudflare: alojamiento y entrega de la aplicación.
• Resend: envío de los recibos de nómina por correo electrónico.

Si Numetria agrega o cambia un subencargado, avisará al cliente con al menos 30 días de anticipación. Cuando se habilite la facturación electrónica, el proveedor autorizado de comprobantes fiscales electrónicos se incorporará a esta lista.

5. Seguridad

• Aislamiento: los datos de cada empresa están separados en la base de datos; ninguna empresa puede ver los de otra.
• Permisos: se definen por rol y por sucursal. El acceso a salarios y nómina es exclusivo de los roles autorizados.
• Verificación en dos pasos para las operaciones sensibles.
• Cifrado: los datos viajan cifrados (HTTPS/TLS) y se guardan cifrados en los servidores del subencargado.
• Auditoría de las acciones importantes.
• Archivos privados: los recibos de nómina y los logos solo se sirven con sesión y permiso, nunca con enlaces públicos.

6. Derechos de los titulares

Las personas cuyos datos registra el cliente (por ejemplo, sus empleados) pueden pedir acceso, rectificación, actualización o supresión, conforme a los artículos 8, 9, 10 y 14 de la Ley 172-13.

Esas solicitudes las atiende el cliente, como responsable. Si llegan a Numetria, las reenviará al cliente sin demora y le dará la ayuda técnica necesaria para responder en los plazos legales: 5 días hábiles para el acceso y 10 días hábiles para la rectificación o la supresión.

7. Transferencia internacional

Como los servidores de los subencargados están fuera de República Dominicana, prestar el servicio implica una transferencia internacional de datos.

Se hace porque es necesaria para ejecutar el contrato con el cliente (Ley 172-13, artículo 80). El cliente debe informarlo a los titulares cuando recoja sus datos.

8. Obligaciones del cliente

• contar con una base legal para tratar los datos que registra, por ejemplo la relación laboral o comercial (artículo 27), e informar a los titulares (artículo 5.3);
• registrar solo los datos necesarios y mantenerlos exactos y al día (artículo 5.2);
• dar acceso solo a quien lo necesite y retirarlo cuando ya no corresponda;
• no registrar datos sensibles innecesarios.