DOCUMENTO 04 / 07 · SADIGE ERP

Anexo de tratamiento de datos y confidencialidad

Versión 2026-09-06.2 · GRUPO SADIGE, SRL

GRUPO SADIGE, SRL · RNC 1-33-12230-8 · Registro Mercantil 8552SC
Documento de GRUPO SADIGE, SRL · SADIGE ERP. Conserva esta identificación al guardar o compartir tu copia.

SADIGE ERP | Versión 0.2

1 Roles objeto y duración

El cliente determina las finalidades de los datos personales que incorpora al ERP para su actividad y actúa como responsable en ese ámbito. GRUPO SADIGE actúa por su cuenta para alojar, organizar, consultar, respaldar, transmitir, exportar y, cuando proceda, bloquear o suprimir esos datos. SADIGE trata por cuenta propia los datos necesarios para administrar su contratación, cobro, seguridad y cumplimiento, según su política de privacidad.

El tratamiento comprende la vigencia del servicio y las tareas de salida, conservación justificada y supresión. No se extiende a fines comerciales propios sobre la base operativa del cliente. Las obligaciones de secreto y seguridad sobreviven mientras subsista acceso a información protegida.

2 Datos e instrucciones

Según los módulos y datos efectivamente utilizados, pueden tratarse identificación y contacto de clientes, proveedores, empleados y usuarios; RNC o cédulas; puestos y permisos; operaciones, facturas, inventarios, cuentas y pagos; información laboral y de nómina; documentos adjuntos y registros de actividad. El cliente evitará incorporar datos sensibles o de menores ajenos a una finalidad legítima y a funcionalidades adecuadas.

La orden, este anexo y las solicitudes del administrador verificado constituyen instrucciones documentadas dentro del alcance contratado. SADIGE informará si considera que una instrucción infringe normas aplicables y suspenderá esa instrucción mientras se aclara, salvo obligación legal que imponga actuar. No incorporará nuevas finalidades por silencio del cliente.

El cliente informará a los titulares y contará con las bases y autorizaciones necesarias. Esa obligación no legitima tratamientos propios ilícitos de SADIGE. Cada parte atenderá lo que le corresponda y colaborará para evitar respuestas contradictorias.

3 Personal y acceso técnico

La consulta de la bitácora por el cliente se limita al administrador general autorizado de la organización. El acceso de SADIGE se asignará a personas identificadas, por necesidad concreta y bajo confidencialidad; no constituye un permiso permanente para observar las operaciones del cliente. Se documentarán persona, organización, motivo, alcance y fecha del acceso técnico. El uso para publicidad, venta de datos o evaluación de empleados por cuenta propia queda excluido.

Los registros se limitarán a metadatos y referencias necesarios. Se evitará registrar contraseñas, tokens, números completos de tarjeta, códigos de seguridad, mensajes privados y contenido íntegro de documentos o formularios. Los campos libres y errores requieren controles de minimización; limitar su longitud no sustituye esos controles. Un evento remitido por el navegador no constituye por sí solo prueba concluyente de una operación: se contrastará con evidencia del servidor.

Solo accederá personal autorizado sujeto a confidencialidad y al mínimo privilegio necesario. Para soporte con datos reales se registrarán solicitud, responsable, finalidad y alcance; se preferirán datos de prueba o minimizados. Cuando el diagnóstico lo requiera, se solicitará autorización del administrador para el acceso concreto y se retirará al concluir.

Se permiten actuaciones técnicas estrictamente necesarias para continuidad, respaldo, integridad y seguridad dentro de las instrucciones del contrato. Ante una emergencia que no permita esperar autorización puntual, el acceso se limitará a contener el riesgo, quedará documentado y se informará al cliente tan pronto resulte seguro. Esta regla no autoriza consultas por curiosidad ni aprovechamiento comercial de datos.

4 Medidas de seguridad

SADIGE aplicará controles proporcionados al riesgo: aislamiento entre organizaciones, permisos, protección de credenciales, comunicaciones cifradas, control de acceso a respaldos y archivos, registro de operaciones administrativas, actualización de componentes y procedimientos de recuperación. Revisará sus medidas ante cambios e incidentes. No se afirma una certificación ISO, auditoría independiente ni invulnerabilidad que no se haya acreditado.

El cliente protegerá dispositivos y permisos de sus usuarios. No compartirá credenciales ni almacenará números completos de tarjeta o códigos de seguridad en campos libres para eludir el procesador. Una obligación del cliente no reemplaza controles a cargo de SADIGE.

Base legal: artículo 5 de la Ley 172-13, relativo a los principios del tratamiento. Las medidas concretas se ajustan al riesgo; la cita no constituye certificación de seguridad.

5 Proveedores y transferencias

SADIGE podrá utilizar proveedores de infraestructura, respaldo y comunicaciones bajo compromisos adecuados de confidencialidad, seguridad y finalidad. Mantendrá a disposición del cliente una relación con identidad, función, ubicación del tratamiento y condiciones relevantes, que deberá comunicarse antes del tratamiento correspondiente. Los procesadores de pago pueden asumir responsabilidades propias respecto de sus transacciones.

Un nuevo proveedor con acceso material a datos se comunicará con quince días calendario de antelación cuando sea previsible. El cliente podrá formular objeción fundada en protección de datos; SADIGE evaluará una alternativa. Si no existe solución razonable, las partes podrán terminar el servicio afectado y liquidar el período no prestado, sin imponer la cesión objetada como hecho consumado. Una sustitución urgente por seguridad se informará sin demora, con sus salvaguardas.

No se presume que todos los datos estén alojados en República Dominicana. Antes de una transferencia internacional se identificarán destino, finalidad y base habilitante y se aplicarán las condiciones legales correspondientes. La aceptación del ERP no constituye un consentimiento indiscriminado a cualquier país o uso.

Base legal: artículo 80 de la Ley 172-13, sobre transferencias internacionales. Los quince días para cambios previsibles de proveedor son una regla contractual adicional, no un plazo atribuido a ese artículo.

6 Incidentes y colaboración

SADIGE comunicará al contacto autorizado, sin demora indebida, un incidente confirmado que comprometa datos personales del cliente. Como compromiso de notificación inicial se establece un máximo de cuarenta y ocho horas corridas desde que tenga conocimiento de ese compromiso, aun si la investigación no concluye. Este compromiso es distinto del horario ordinario de soporte y no se suspende en festivos. La información se ampliará a medida que se confirme.

El aviso describirá naturaleza, datos y personas potencialmente afectados, consecuencias conocidas, medidas adoptadas y contacto de seguimiento, sin divulgar detalles que agraven el riesgo. Cada responsable cumplirá las comunicaciones a titulares o autoridades que legalmente le correspondan. No se presenta el plazo contractual como un plazo general impuesto por la legislación dominicana.

SADIGE asistirá en solicitudes de titulares, investigación de incidentes y acreditación de sus obligaciones. Permitirá verificaciones documentales razonables que protejan datos ajenos y secretos de seguridad; una inspección intrusiva se coordinará previamente salvo potestad legal de la autoridad. No se cobra por corregir un incumplimiento propio ni se condiciona un derecho legal a contratar consultoría.

7 Exportación y archivo

El cliente podrá solicitar una exportación estándar de los datos de su organización por un canal oficial, tras verificar autoridad y destinatario. SADIGE informará formato y plazo estimado dentro de dos días hábiles de atención. Los registros estructurados se entregarán en formato común técnicamente disponible y los archivos en su formato original cuando sea posible. La entrega utilizará un canal seguro, no copias abiertas a terceros.

Tras una suspensión efectiva por impago, o desde el fin del período pagado luego de cancelar, los datos permanecerán en el entorno operativo durante noventa días calendario. Si continúa esa situación, podrán trasladarse a archivo seguro recuperable fuera del entorno operativo. No se cuenta desde la mera petición de cancelación ni por la falta de inicio de sesión de una cuenta activa.

SADIGE avisará con al menos quince días calendario de antelación, ofreciendo exportación o regularización. Si se prevé archivar el día noventa, el aviso se programa para el día setenta y cinco. Un aviso retrasado difiere el archivo para respetar el preaviso. Se enviará al propietario, con copia al correo de empresa si difiere y a gruposadige@gmail.com y crodriguez@gruposadige.com para seguimiento interno. No se incluirán credenciales ni enlaces de acceso a exportaciones en esas copias.

Solo se retirará la fuente operativa cuando se comprueben cobertura, integridad y recuperación del archivo. Si falla la comprobación, se conservará la fuente y se gestionará la incidencia. El archivo no equivale a supresión definitiva ni garantiza acceso inmediato desde el ERP.

8 Conservación y restauración

Para la bitácora se establece una política diferenciada: navegación ordinaria, apertura y cierre de pantallas, treinta días calendario; accesos, bloqueos, errores y eventos de seguridad, ciento ochenta días; cambios operativos y consultas administrativas auditadas, trescientos sesenta y cinco días. Se cuentan desde el evento. Son plazos de política del servicio, no períodos impuestos de manera general por ley. El archivo de una empresa a los noventa días no reinicia estos cómputos.

Al vencer el plazo se eliminará o anonimizará irreversiblemente el registro, salvo conservación individualizada por incidente, reclamación o deber legal acreditado. Cada excepción identificará motivo, responsable, alcance y fecha de revisión, como máximo cada noventa días. No se utilizará para retener toda la actividad de la empresa. Los comprobantes y soportes contractuales originales tienen su propia conservación legal; no se borran por vencer una copia de su evento en la bitácora. Las copias de respaldo tendrán un ciclo documentado y la recuperación reaplicará las supresiones procedentes antes de poner datos en servicio.

Base legal: artículos 5, 8, 14 y 15 de la Ley 172-13. Los plazos de treinta, ciento ochenta y trescientos sesenta y cinco días son decisiones de conservación sujetas a ejecución técnica y a excepciones justificadas.

El archivo posterior se mantendrá mientras exista una finalidad legítima de recuperación, una obligación de conservación o una necesidad acreditada de defensa de derechos, con revisión al menos anual. No se establece una fecha automática de eliminación por el solo paso de tres meses. Tampoco se ofrece custodia perpetua ni se conservarán datos personales innecesarios por mera conveniencia. La decisión de bloqueo o supresión deberá respetar las instrucciones legítimas del responsable y las obligaciones legales aplicables.

Antes de una supresión ordinaria planificada del archivo se notificará al cliente con treinta días calendario para exportar, salvo solicitud legítima de supresión, mandato o plazo legal que requiera actuar antes. Las categorías sujetas a conservación se separarán y restringirán a ese fin. Los respaldos rotatorios no podrán emplearse para reactivar datos suprimidos sin reaplicar la supresión que corresponda.

Restaurar será gratuito si no genera costo adicional para SADIGE. Si exige un costo externo incremental, documentado y atribuible a esa recuperación, se cotizará previamente y requerirá aceptación expresa; no se cobrará unilateralmente ni se incluirán costos de corregir un fallo propio. SADIGE comunicará la viabilidad y un plazo estimado tras evaluar volumen, integridad y proveedor. No se promete restauración inmediata. Restaurar datos no reactiva cobros cancelados ni condona cuotas válidas.

Las obligaciones tributarias de conservación de cada contribuyente son distintas de esta disponibilidad comercial. El cliente debe obtener oportunamente los documentos que necesita; SADIGE conserva por separado sus propios soportes legalmente exigibles. No se usará esa distinción para incumplir una custodia expresamente contratada.

Base legal: artículos 8, 14 y 15 de la Ley 172-13, sobre supresión procedente y conservación o bloqueo; artículo 13 de la Ley 32-23 y artículo 50 del Código Tributario, citados en la consulta oficial de DGII sobre conservación. Los plazos comerciales de archivo no sustituyen los fiscales aplicables.

9 Requerimientos y devolución

Ante un requerimiento de autoridad, SADIGE comprobará su alcance y entregará solamente lo exigible, comunicándolo al cliente cuando esté permitido. Al concluir el tratamiento, facilitará devolución y aplicará bloqueo o supresión conforme al régimen anterior. No venderá, cederá con fines publicitarios ni utilizará datos operativos para entrenar modelos de inteligencia artificial de propósito general sin un acuerdo específico y una base legal válida.