Política de Privacidad de EmiteCR

Versión: 1.0 Publicada el: 16 de agosto de 2026 Vigente a partir del: 1 de setiembre de 2026

Resumen ejecutivo

Esta Política describe cómo Futura Byte Limitada, operadora de la plataforma EmiteCR, trata los datos personales de (a) los usuarios que se registran en la plataforma, (b) los clientes y proveedores del Cliente cuyos datos el Cliente carga en EmiteCR, y (c) los visitantes del sitio web.

EmiteCR cumple con la Ley 8968 de Protección de la Persona frente al Tratamiento de sus Datos Personales y su Reglamento, el Decreto 37554-JP, bajo la supervisión de la Agencia de Protección de Datos de los Habitantes (PRODHAB).

Aviso clave sobre nuestros roles. Cuando un Cliente carga datos personales en EmiteCR y EmiteCR los trata por cuenta de ese Cliente, EmiteCR actúa como encargado del tratamiento y el Cliente como responsable. Esto significa que el Cliente decide qué datos cargar y para qué, y EmiteCR los procesa en su nombre conforme a esta Política, a los Términos y Condiciones y a la legislación aplicable. Cuando EmiteCR trata datos de los usuarios de su propia plataforma (por ejemplo, datos del propietario de la cuenta), EmiteCR actúa como responsable.

Alcance de la Política. Esta Política protege los datos personales de personas físicas. La información estrictamente corporativa de personas jurídicas (razón social, cédula jurídica, datos registrales) se rige por los Términos y Condiciones y por las obligaciones de confidencialidad aplicables, y no queda bajo el alcance de la Ley 8968.

1. Identidad y contacto del responsable

Razón social: Futura Byte Limitada Cédula jurídica: 3-102-886218 Domicilio: Monteverde, Puntarenas, Costa Rica Plataforma: EmiteCR Correo de privacidad: privacidad@emite.cr

Para cualquier consulta, queja o ejercicio de derechos relacionados con esta Política, puede escribirnos a privacidad@emite.cr, que es el canal designado para el ejercicio de los derechos que reconoce la Ley 8968. El domicilio social exacto consta en el Registro Nacional de Costa Rica y se facilita por escrito a quien lo solicite.

2. Alcance

Esta Política aplica a los datos personales de personas físicas tratados por EmiteCR en los siguientes contextos:

Usuarios que se registran o usan la plataforma EmiteCR.
Visitantes del sitio web emite.cr.
Personas físicas cuyos datos el Cliente carga en EmiteCR para efectos de facturación (clientes, proveedores, empleados y demás titulares del Cliente).
Personas físicas contactadas por EmiteCR en el contexto de su relación comercial, contractual o de soporte.

No aplica a:

Sitios web de terceros enlazados desde nuestra plataforma.
La Administración Tributaria Virtual (ATV) del Ministerio de Hacienda, operada por el Estado costarricense.
Servicios de terceros integrados (bancos, ERPs, etc.), que se rigen por las políticas de privacidad de cada proveedor.
Datos societarios de personas jurídicas (cubiertos por los Términos y Condiciones y por la confidencialidad comercial).

3. Marco normativo

Esta Política se emite en cumplimiento de:

Ley 8968 — Protección de la Persona frente al Tratamiento de sus Datos Personales.
Decreto 37554-JP — Reglamento a la Ley 8968.
Ley 7472 — Ley de Protección al Consumidor, incluido su Capítulo X sobre comercio electrónico (adicionado por el Decreto 40703-MEIC), y su Reglamento (Decreto 37899-MEIC).
Ley 8454 — Certificados, Firmas Digitales y Documentos Electrónicos.
Decreto 44739-H — Reglamento de Comprobantes Electrónicos para efectos tributarios.
Resolución MH-DGT-RES-0027-2024 — Disposiciones técnicas de los comprobantes electrónicos para efectos tributarios (esquema XML 4.4).
Lineamientos y resoluciones emitidos por la PRODHAB.

4. Definiciones

Base de datos: cualquier archivo, fichero, registro u otro conjunto estructurado de datos personales, objeto de tratamiento automatizado o manual.

Consentimiento: manifestación de voluntad libre, informada, expresa y específica del titular mediante la cual acepta el tratamiento de sus datos personales.

Dato personal: cualquier dato relativo a una persona física identificada o identificable.

Dato personal sensible: dato personal cuyo tratamiento indebido puede dar lugar a discriminación o riesgo grave para el titular, incluyendo origen racial o étnico, opiniones políticas, convicciones religiosas, datos de salud, datos biométricos, orientación sexual, y datos relativos a la comisión de infracciones penales.

Encargado del tratamiento: persona física o jurídica que trata datos personales por cuenta del responsable.

PRODHAB: Agencia de Protección de Datos de los Habitantes, autoridad de control en Costa Rica.

Responsable del tratamiento: persona física o jurídica que decide sobre la finalidad, los medios y el tratamiento de los datos personales.

Titular: persona física cuyos datos personales son tratados.

Transferencia internacional: comunicación o traslado de datos personales a un destinatario ubicado fuera de Costa Rica, cuando jurídicamente corresponda considerarlo una transferencia conforme a la Ley 8968 y su Reglamento.

Tratamiento: cualquier operación o conjunto de operaciones realizadas sobre datos personales, incluyendo recolección, registro, almacenamiento, organización, adaptación, modificación, consulta, uso, comunicación, difusión, cotejo, combinación, bloqueo o eliminación.

5. Datos personales que tratamos

5.1 Datos del Cliente

Cuando el Cliente es persona física con actividad lucrativa:

Nombre completo, número de identificación (cédula física, DIMEX o NITE), fecha de nacimiento cuando aplique.
Dirección comercial, provincia, cantón, distrito.
Teléfono, correo electrónico.
Actividad económica y código CIIU.
Datos de facturación y pago.
Credenciales de autenticación a la plataforma.

Cuando el Cliente es persona jurídica, EmiteCR trata los datos personales de su representante legal, contacto administrativo, contacto técnico y de facturación. La información estrictamente societaria (razón social, cédula jurídica, datos registrales) se rige por los Términos y Condiciones.

5.2 Datos de Usuarios (personas con acceso a la plataforma)

Nombre, cédula, correo electrónico, teléfono.
Contraseña (almacenada como hash, no en texto plano).
Registro de actividad (logs de acceso y operación).
Preferencias de idioma y notificaciones.
Tokens de sesión y API keys generadas.
Canal WhatsApp (cuando el Cliente lo habilite): número de teléfono asociado, mensajes intercambiados con el asistente, códigos de verificación (OTP) y metadatos del canal.
Registro de aceptaciones legales: documento aceptado, versión, fecha y hora, dirección IP, hash criptográfico (SHA-256) del texto aceptado y método de aceptación. Este registro funciona como evidencia de la celebración del contrato.

5.3 Datos de clientes y proveedores del Cliente (tratados por encargo)

Cuando el Cliente carga en EmiteCR datos de sus propios clientes o proveedores para efectos de facturación, EmiteCR trata los siguientes tipos de datos por cuenta del Cliente:

Nombre o razón social.
Número de identificación.
Dirección, teléfono, correo electrónico.
Datos de las operaciones comerciales realizadas.
Historial de comprobantes emitidos o recibidos.

El correo electrónico del receptor se utiliza, además, para enviarle el comprobante electrónico y su representación gráfica (PDF) por cuenta del Cliente, conforme a la normativa de comprobantes electrónicos.

El Cliente es responsable de contar con la base legal para cargar estos datos en EmiteCR, conforme a la Ley 8968.

5.4 Datos de visitantes del sitio web

Dirección IP y User-Agent del navegador, contenidos en los registros técnicos de acceso de la infraestructura que sirve el sitio.
Identificadores de cookies (limitados a las descritas en la Política de Cookies).
Datos aportados voluntariamente a través de formularios de contacto o registro a boletines.

5.5 Datos generados automáticamente

Logs de la plataforma, métricas de uso, telemetría.
Datos de soporte (tickets, conversaciones).
Datos de facturación electrónica (comprobantes emitidos y recibidos).

EmiteCR no graba llamadas de soporte de manera predeterminada. Si en algún momento EmiteCR habilita la grabación, lo notificará previamente y solicitará el consentimiento del titular.

5.6 Datos en cuentas demo

Las cuentas de demostración operan con datos ficticios o de prueba, están confinadas al ambiente sandbox y se eliminan automáticamente al cabo de su duración limitada (actualmente dos horas), incluido cualquier dato que el visitante haya ingresado voluntariamente. Se recomienda no cargar datos personales reales en una cuenta demo.

6. Finalidades y bases legales

Finalidad	Base legal	Datos tratados	Conservación
Prestación del servicio de facturación electrónica	Ejecución del contrato	Datos del Cliente, datos fiscales, credenciales IDP	Vigencia del contrato
Cumplimiento de obligaciones tributarias	Obligación legal	Comprobantes electrónicos firmados, datos de clientes y proveedores del Cliente contenidos en los comprobantes	5 años desde la fecha de emisión del comprobante
Autenticación y seguridad de la cuenta	Ejecución del contrato	Credenciales, logs de acceso	Vigencia del contrato
Facturación y cobro al Cliente	Ejecución del contrato	Datos de pago, historial de transacciones	5 años desde la transacción
Soporte técnico y atención al Cliente	Ejecución del contrato	Tickets, datos de contacto	3 años desde la resolución del ticket
Comunicaciones comerciales y marketing	Consentimiento	Correo electrónico, datos de uso del sitio	Hasta revocación del consentimiento
Cumplimiento de obligaciones legales (PRODHAB, Hacienda, etc.)	Obligación legal	Datos necesarios para cumplir con la obligación	Plazo legal aplicable
Atención de derechos de los titulares	Obligación legal	Datos del titular solicitante	5 años desde la atención
Mejora del servicio mediante datos anonimizados	No requiere base legal (los datos anonimizados irreversiblemente no son datos personales)	Datos agregados y completamente anonimizados	N/A (datos no personales)
Seguridad de la información y prevención de fraude	Ejecución del contrato	Logs, direcciones IP, patrones de uso	1 año
Asistente y notificaciones por WhatsApp	Ejecución del contrato	Número telefónico, mensajes y metadatos del canal	Conforme a los plazos de los Asistentes IA (12 y 24 meses)
Evidencia de aceptación de documentos legales	Obligación legal y ejecución del contrato	Documento, versión, fecha, dirección IP, hash del texto y método	Vigencia de la relación contractual y 5 años adicionales

Las bases legales aplicadas son las previstas en la Ley 8968 y su Reglamento. EmiteCR no invoca categorías de bases legales importadas de otros ordenamientos (por ejemplo, el "interés legítimo" del RGPD europeo) que no tengan equivalente directo en la legislación costarricense.

7. Tratamiento de datos sensibles

EmiteCR no solicita ni trata categorías especiales de datos sensibles (origen racial, opiniones políticas, salud, vida sexual, etc.) como parte de su servicio. En caso de que un Cliente cargue datos sensibles en EmiteCR para una finalidad específica, el Cliente será el único responsable de obtener el consentimiento escrito conforme al artículo 9 de la Ley 8968, y de cualquier consecuencia derivada de dicho tratamiento.

8. Cookies y tecnologías similares

EmiteCR utiliza cookies y tecnologías similares en su sitio web y plataforma. Los detalles se describen en la Política de Cookies, que forma parte integrante de esta Política.

En la versión actual, EmiteCR utiliza únicamente:

Cookies estrictamente necesarias: para el funcionamiento de la plataforma (sesión, autenticación, selección de ambiente). No requieren consentimiento.
Una cookie de preferencia de idioma.

EmiteCR no utiliza cookies de analítica ni de marketing. Si en el futuro se introducen cookies no esenciales, se solicitará el consentimiento previo del usuario antes de activarlas. El usuario puede gestionar las cookies desde la configuración de su navegador.

9. Compartición con terceros

9.1 Encargados del tratamiento (subprocesadores)

EmiteCR comparte datos personales con proveedores que prestan servicios necesarios para operar la plataforma. La lista vigente de subprocesadores, con su rol, ubicación y finalidad, se publica y mantiene actualizada en emite.cr/legal/subprocesadores.

EmiteCR procura celebrar contratos con cada subprocesador que impongan obligaciones de confidencialidad y seguridad equivalentes a las asumidas en esta Política.

9.2 Comunicaciones por obligación legal

EmiteCR podrá comunicar datos personales cuando exista requerimiento fundamentado de:

La Dirección General de Tributación (DGT / TRIBU-CR), conforme a las obligaciones de emisión y reporte de comprobantes electrónicos.
Autoridades judiciales o administrativas competentes, en cumplimiento de requerimiento fundado en derecho.
La PRODHAB, en el contexto de investigaciones o procedimientos administrativos.

9.3 No venta de datos

EmiteCR no vende, alquila ni comercia con datos personales de titulares bajo ninguna circunstancia.

10. Transferencias internacionales

Algunos de los proveedores enumerados en la sección anterior pueden almacenar o procesar datos personales en servidores ubicados fuera de Costa Rica. La Ley 8968, en su artículo 14, establece la regulación general sobre la materia, y exige el consentimiento expreso y válido del titular cuando corresponda conforme a los principios y derechos de la ley.

El principal destino de tratamiento fuera de Costa Rica es Estados Unidos: la infraestructura principal de la plataforma (aplicación y base de datos) se aloja en centros de datos de Northflank ubicados en la región US-Central de Estados Unidos, y en ese mismo país operan los proveedores puntuales de servicios (monitoreo de errores, envío de correo transaccional, hosting del frontend, canal de WhatsApp y modelos de IA), según se detalla en la página de subprocesadores. El almacenamiento de archivos (XML firmados y PDFs) se realiza en la red global de Cloudflare R2, que puede procesarlos en múltiples regiones. El procesamiento de pagos con tarjeta se realiza en Costa Rica, a través de Onvo.

Cuando un proveedor ubicado fuera de Costa Rica trate datos personales por cuenta de EmiteCR, EmiteCR:

Verificará que el proveedor ofrezca garantías adecuadas de confidencialidad y seguridad.
Establecerá obligaciones contractuales equivalentes a las de esta Política.
Informará al titular, cuando proceda, sobre la transferencia y obtendrá su consentimiento cuando la Ley 8968 lo requiera.
Procurará que el acceso del proveedor se limite al mínimo necesario para la finalidad del tratamiento.

EmiteCR no afirma la existencia en Costa Rica de un sistema de "países con nivel de protección adecuado" ni de "cláusulas contractuales tipo" equivalentes a los del RGPD europeo. Cada transferencia se evalúa caso por caso conforme a la legislación costarricense y a los instrumentos contractuales que resulten aplicables.

La comunicación de datos a un encargado o proveedor tecnológico para que preste un servicio por cuenta de EmiteCR no se considera, en principio, una transferencia internacional a los efectos de esta sección, sin perjuicio de las obligaciones de informar al titular y de celebrar los contratos que correspondan conforme a la legislación aplicable.

11. Conservación de datos

EmiteCR conserva los datos personales durante el plazo necesario para cumplir con las finalidades para las que fueron recolectados, tomando en cuenta:

La duración de la relación contractual.
Las obligaciones legales de conservación (particularmente la conservación de comprobantes electrónicos por cinco (5) años conforme al artículo 22 del Decreto Ejecutivo N.° 44739-H, Reglamento de Comprobantes Electrónicos para efectos tributarios, en concordancia con el artículo 109 del Código de Normas y Procedimientos Tributarios).
La necesidad de resolver disputas o hacer cumplir los Términos.
Los plazos de prescripción aplicables a eventuales acciones legales.

La conservación de los comprobantes puede realizarse en servidores ubicados fuera de Costa Rica; en tal caso, EmiteCR mantiene los comprobantes disponibles para ponerlos a disposición de la Administración Tributaria cuando esta lo requiera.

Al finalizar el plazo de conservación aplicable, los datos se eliminan de forma segura o se anonimizan de manera irreversible.

11.1 Plazos específicos por categoría

Categoría	Plazo de conservación
Comprobantes electrónicos firmados y respuestas de Hacienda	5 años desde la fecha de emisión
Datos personales contenidos en los comprobantes (clientes, proveedores del Cliente)	5 años desde la fecha de emisión del comprobante al que están asociados
Datos de cuenta del Cliente (perfil, organización)	Durante la relación contractual
Credenciales de autenticación a la plataforma (contraseña, tokens)	Durante la relación contractual; revocables en cualquier momento por el Cliente
Certificado digital y credenciales IDP/ATV del Cliente	Almacenados durante la relación contractual; eliminados al término conforme a los Términos y Condiciones
Logs de uso de credenciales tributarias	5 años desde la interacción (bitácora de auditoría)
Logs de auditoría de la plataforma	5 años desde el evento
Logs operativos y técnicos (observabilidad)	1 año desde el evento
Datos de pago y cobros	5 años desde la transacción
Tickets de soporte (consultas y gestiones de atención al Cliente)	3 años desde la resolución
Datos de marketing	Hasta revocación del consentimiento
Prompts y respuestas de los Asistentes IA	12 meses desde la interacción
Metadatos de uso y logs de auditoría de los Asistentes IA	24 meses desde la interacción
Mensajes del canal WhatsApp (contenido)	12 meses desde la interacción
Notificaciones y correos operativos enviados	1 año desde el envío
Registro de aceptaciones legales (documento, versión, IP, hash, método)	Vigencia de la relación contractual y 5 años adicionales
Datos anonimizados y agregados para mejora del servicio	Sin plazo (no constituyen datos personales)

12. Medidas de seguridad

EmiteCR implementa medidas técnicas y organizativas razonables y proporcionales al riesgo, conforme al artículo 6 de la Ley 8968 y a los lineamientos de la PRODHAB, para proteger los datos personales contra tratamiento no autorizado o ilícito y contra pérdida, destrucción o daño accidental.

Estas medidas pueden incluir, según corresponda:

Cifrado de datos en tránsito y en reposo.
Controles de acceso y segregación de funciones.
Registros de auditoría.
Respaldos periódicos.
Monitoreo y procedimientos de respuesta a incidentes.
Capacitación del personal en protección de datos.

Las medidas se revisan y actualizan cuando cambian los procesos, la plataforma tecnológica, el riesgo, o cuando ocurre una afectación de datos, conforme a los lineamientos de la PRODHAB.

Los detalles verificables del programa de seguridad se publican en emite.cr/seguridad, cuando esa página esté disponible.

13. Derechos de los titulares

Conforme a la Ley 8968 y a los lineamientos de la PRODHAB, los titulares de los datos personales tienen, entre otros, los siguientes derechos:

13.1 Derecho de acceso

El titular tiene derecho a obtener confirmación de si EmiteCR trata sus datos personales y a acceder a ellos.

13.2 Derecho de rectificación

El titular tiene derecho a obtener la rectificación de datos personales inexactos o incompletos.

13.3 Derecho de eliminación

El titular tiene derecho a obtener la eliminación de sus datos personales cuando, entre otros motivos, los datos ya no sean necesarios para los fines para los que fueron recolectados.

13.4 Derecho de oposición

El titular tiene derecho a oponerse al tratamiento de sus datos personales en los supuestos previstos por la Ley 8968.

13.5 Limitaciones

Los derechos anteriores pueden ser limitados cuando el tratamiento sea necesario para el cumplimiento de una obligación legal (por ejemplo, conservación de comprobantes electrónicos por el plazo legal aplicable).

13.6 Medidas adicionales de transparencia y protección

Como medidas adicionales de transparencia y protección, que EmiteCR procura ofrecer de manera voluntaria, más no exigibles directamente al amparo de la Ley 8968, se incluyen:

Portabilidad de datos: cuando sea técnicamente posible, el titular puede recibir sus datos personales en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable.
Revocación del consentimiento: cuando el tratamiento se base en consentimiento, el titular puede revocarlo en cualquier momento, sin que ello afecte la licitud del tratamiento previo basado en dicho consentimiento.
Revisión humana de decisiones automatizadas: cuando una decisión basada exclusivamente en tratamiento automatizado produzca efectos jurídicos o significativos sobre el titular, EmiteCR procurará permitir la revisión humana de la decisión y la expresión del punto de vista del titular.

Estas medidas adicionales se ofrecen en la medida de las capacidades técnicas y operativas de EmiteCR y pueden requerir verificación de identidad previa.

14. Ejercicio de derechos

Para ejercer cualquiera de los derechos anteriores, el titular deberá presentar una solicitud por escrito a privacidad@emite.cr que incluya:

Nombre completo y documento de identificación.
Descripción clara y precisa del derecho que se desea ejercer.
En su caso, documentación o información que acredite la identidad del titular o su representación.
Domicilio o dirección de correo electrónico para recibir la respuesta.

EmiteCR responderá la solicitud dentro de los cinco (5) días hábiles siguientes a su recepción, conforme al artículo 22 del Decreto 37554-JP. La respuesta se realizará de forma gratuita, salvo que la solicitud sea manifiestamente infundada o excesiva, en cuyo caso podrá cobrarse una tarifa razonable.

Si el titular no estuviera conforme con la respuesta, podrá presentar una denuncia ante la PRODHAB.

15. Reclamaciones ante la PRODHAB

Todo titular tiene derecho a presentar una denuncia o queja ante la Agencia de Protección de Datos de los Habitantes (PRODHAB) si considera que el tratamiento de sus datos personales vulnera la Ley 8968 o su Reglamento.

Datos de contacto de PRODHAB:

Sitio web: www.prodhab.go.cr
Correo general: info@prodhab.go.cr
Denuncias: denuncias@prodhab.go.cr
Teléfono: (506) 2234-0189

Se recomienda, antes de acudir a la PRODHAB, agotar la vía directa con EmiteCR a través de privacidad@emite.cr.

16. Decisiones automatizadas

EmiteCR puede utilizar decisiones automatizadas en casos limitados, como por ejemplo:

Detección de fraude o actividades sospechosas.
Asignación de límites de uso de la plataforma.
Sugerencias de configuración para el Cliente.

Cuando estas decisiones produzcan efectos jurídicos o significativos sobre el titular, EmiteCR procurará permitir la revisión humana, la expresión del punto de vista del titular y la impugnación de la decisión, conforme a lo descrito en la sección de derechos.

17. Tratamiento de datos por los Asistentes de IA

Esta sección describe el tratamiento de datos personales que EmiteCR realiza en el contexto de los Asistentes de IA disponibles en la plataforma. Los principios generales de uso de los Asistentes IA se establecen en la sección de Asistentes de inteligencia artificial de los Términos y Condiciones.

17.1 Datos tratados

Cuando el Cliente utiliza un Asistente IA, EmiteCR trata, según la funcionalidad utilizada, las siguientes categorías de datos:

Contenido del Cliente cargado en EmiteCR y que sea necesario para responder a la consulta o ejecutar la acción solicitada (por ejemplo, datos de facturas, clientes, productos, contactos).
Prompts e instrucciones enviados por el Cliente al Asistente.
Respuestas generadas por el Asistente, incluyendo los borradores propuestos.
Metadatos de uso: identificador de usuario, identificador de organización (tenant), marca de tiempo, tipo de acción solicitada, y, cuando aplique, métricas de uso.

El Asistente no accede a datos fuera del entorno aislado del Cliente, salvo cuando la funcionalidad específica lo requiera (por ejemplo, una búsqueda externa o el envío de un comprobante a la ATV).

17.2 Proveedores externos de modelos de IA

Cuando EmiteCR utilice proveedores externos de modelos de IA (model-as-a-service) para prestar la funcionalidad, los datos tratados podrán ser transferidos a dichos proveedores para generar la respuesta solicitada. La lista vigente de proveedores de IA utilizados se publica como parte del registro de subprocesadores en emite.cr/legal/subprocesadores.

EmiteCR procura celebrar contratos con esos proveedores que incluyan, como mínimo:

Prohibición de utilizar los datos del Cliente para entrenar, reentrenar o mejorar modelos de uso general, cuando ello sea exigible conforme a la legislación aplicable.
Obligaciones de confidencialidad y seguridad equivalentes a las de esta Política.

Cuando el Cliente habilite el asistente por WhatsApp, el canal opera sobre la infraestructura de Meta Platforms, Inc. (WhatsApp Cloud API), que trata el número telefónico, el contenido y los metadatos de los mensajes como encargado del tratamiento, conforme a sus propios términos y políticas. Meta no es un proveedor de modelos de IA: su rol se limita al transporte de los mensajes del canal.

17.3 Entrenamiento de modelos

El Contenido del Cliente no se utiliza para entrenar modelos de inteligencia artificial de terceros ni para mejorar modelos de uso general, sin el consentimiento explícito del Cliente.

EmiteCR podrá, previa notificación al Cliente y conforme a la legislación aplicable, utilizar datos agregados y completamente anonimizados (sin posibilidad razonable de reidentificación) para fines de mejora del servicio, análisis de calidad y desarrollo de modelos propios. Mientras los datos no hayan sido anonimizados, la base legal del tratamiento es la ejecución del contrato o el consentimiento del Cliente, según corresponda.

EmiteCR podrá solicitar al Cliente su consentimiento para participar en programas opcionales de mejora que requieran el uso de datos adicionales o con un nivel de detalle mayor. La participación del Cliente en estos programas es siempre voluntaria y revocable.

17.4 Logs y trazabilidad

EmiteCR conserva registros de las interacciones del Cliente con los Asistentes IA con finalidades de auditoría, seguridad, mejora del servicio y cumplimiento legal. El detalle de los plazos específicos se describe en la sección de conservación de datos.

17.5 Desactivación

Los Asistentes IA son opt-in: el asistente por WhatsApp solo opera cuando el Cliente contrata el add-on correspondiente y cada usuario vincula expresamente su número. El Cliente puede dejar de usarlo en cualquier momento: cada usuario puede desvincular su número de WhatsApp desde la plataforma, las notificaciones del canal pueden apagarse en la configuración de notificaciones, y el add-on puede cancelarse de forma independiente. Dejar de usar el Asistente no afecta el resto de las funcionalidades de la plataforma ni elimina retroactivamente los logs ya generados, que se conservarán conforme a los plazos indicados en esta Política.

La posibilidad de acceder al historial de interacciones y de eliminar prompts individuales desde la cuenta del Cliente depende de las funcionalidades que EmiteCR tenga implementadas a la fecha de la consulta; EmiteCR procura ampliar estas funcionalidades a medida que evoluciona la plataforma.

17.6 Transferencias internacionales

Cuando un proveedor externo de modelos de IA procese datos del Cliente fuera de Costa Rica, la transferencia se realiza conforme a las reglas descritas en la sección sobre transferencias internacionales de esta Política.

18. Datos de menores de edad

La plataforma EmiteCR está dirigida a personas físicas con actividad lucrativa y a personas jurídicas. EmiteCR no trata intencionalmente datos personales de menores de edad. Si el Cliente carga en EmiteCR datos de menores para efectos de facturación (por ejemplo, como contacto de un cliente), el Cliente será el único responsable de contar con la base legal correspondiente conforme a la Ley 8968.

19. Cambios a esta Política

EmiteCR podrá modificar esta Política de Privacidad en cualquier momento. Las modificaciones se notificarán al titular con al menos treinta (30) días naturales de anticipación mediante un aviso visible dentro de la plataforma y, cuando el cambio lo amerite, mediante correo electrónico a la dirección registrada.

Se considerará cambio material toda modificación que afecte las finalidades del tratamiento, las categorías de datos tratados, los destinatarios, los plazos de conservación, o los derechos del titular.

El historial de versiones anteriores se conservará disponible para consulta.

20. Seguridad de la información — Resumen público

EmiteCR publica un resumen ejecutivo de su programa de seguridad en emite.cr/seguridad, cuando esa página esté disponible. El resumen podrá incluir, entre otros:

Estándares adoptados.
Programa de gestión de vulnerabilidades.
Procedimiento de notificación de incidentes.
Programa de continuidad de negocio y recuperación ante desastres.

21. Bases de datos inscritas ante PRODHAB

EmiteCR inscribirá ante la PRODHAB las bases de datos que, conforme a la Ley 8968, requieran inscripción por destinarse a distribución, divulgación o comercialización de datos personales.

Las bases de datos de tratamiento interno (gestión de clientes, gestión de usuarios) podrán estar exentas de inscripción conforme al artículo 4 de la Ley 8968. EmiteCR evaluará periódicamente la necesidad de inscripción de cada base de datos.

22. Tratamiento de datos por cuenta del Cliente

Esta sección describe cómo EmiteCR trata los datos personales que el Cliente carga en la plataforma cuando estos datos pertenecen a los clientes, proveedores, empleados u otros titulares del propio Cliente. En ese escenario, el Cliente actúa como responsable del tratamiento y EmiteCR como encargado, conforme a la Ley 8968 y su Reglamento. Esta sección funciona como un mini-DPA dentro de la PP: cubre las reglas operativas que aplican a todos los Clientes. Cuando un cliente Enterprise o corporativo requiera un acuerdo firmado bilateralmente, EmiteCR pone a disposición una plantilla de DPA no versionada que se entrega bajo solicitud y se firma por separado; ese DPA no es parte del signup estándar ni de la aceptación de la presente Política.

22.1 Roles

El Cliente es el responsable del tratamiento. Determina la finalidad y los medios del tratamiento, decide qué datos personales se cargan en EmiteCR, es responsable de contar con la base legal correspondiente conforme a la Ley 8968, informa a los titulares sobre el tratamiento, y atiende directamente los derechos de los titulares.
EmiteCR es el encargado del tratamiento. Trata los datos personales únicamente conforme a las instrucciones del Cliente y a esta Política, no decide la finalidad ni los medios, no utiliza los datos para fines propios distintos de la prestación del servicio contratado, y coopera con el Cliente para el cumplimiento de las obligaciones del responsable.

22.2 Objeto y duración

El tratamiento por encargo tiene por objeto la prestación del servicio de facturación electrónica contratado, incluyendo la emisión y recepción de comprobantes electrónicos, el almacenamiento de XML, respuestas de Hacienda y representaciones gráficas, la gestión de la base de datos de clientes y proveedores del Cliente, y la atención de requerimientos del Ministerio de Hacienda.

El tratamiento se realiza durante la vigencia de la relación contractual entre el Cliente y EmiteCR y se extiende por el período adicional necesario para cumplir con las obligaciones legales de conservación aplicables.

22.3 Tipos de datos y categorías de titulares

EmiteCR trata por encargo, según el caso, las siguientes categorías de datos personales:

Datos identificativos: nombre, cédula, NITE, DIMEX.
Datos de contacto: dirección, teléfono, correo electrónico.
Datos comerciales: historial de operaciones, montos facturados.
Datos fiscales: número de identificación tributaria, régimen tributario, actividad económica.

Los titulares son los clientes del Cliente, sus proveedores, sus empleados y dependientes (cuando aplique), y cualquier otro titular cuyos datos el Cliente decida cargar en EmiteCR.

Datos sensibles. EmiteCR no requiere datos sensibles para la prestación del servicio. El Cliente se obliga a no cargar datos sensibles en EmiteCR, salvo que sea estrictamente necesario y cuente con la base legal correspondiente conforme al artículo 9 de la Ley 8968.

22.4 Obligaciones de EmiteCR como encargado

Tratamiento conforme a instrucciones. EmiteCR trata los datos personales únicamente conforme a las instrucciones del Cliente, a esta Política, a los Términos y Condiciones, y a la legislación aplicable. Si una instrucción del Cliente infringiera la Ley 8968 u otra normativa aplicable, EmiteCR lo informará al Cliente sin demora indebida.
Confidencialidad. Las personas de EmiteCR autorizadas para tratar datos personales están sujetas a obligaciones de confidencialidad adecuadas.
Medidas de seguridad. EmiteCR implementa las medidas técnicas y organizativas razonables y proporcionales al riesgo descritas en la sección sobre medidas de seguridad de esta Política.
Subprocesadores. EmiteCR puede recurrir a subprocesadores para la prestación del servicio, conforme a las reglas descritas en la sección sobre compartición con terceros. EmiteCR permanece responsable ante el Cliente por el cumplimiento de las obligaciones de sus subprocesadores.
Asistencia al Cliente. EmiteCR asiste al Cliente, mediante medidas técnicas y organizativas adecuadas, en el cumplimiento de sus obligaciones como responsable, incluyendo la atención de derechos de los titulares, la notificación de incidentes de seguridad y, cuando sea razonablemente posible, la realización de evaluaciones de impacto.
Notificación de incidentes. EmiteCR notifica al Cliente cualquier incidente de seguridad que afecte significativamente los datos tratados por encargo, sin demora indebida después de confirmar el incidente, y proporciona la información disponible de manera progresiva. La notificación incluye la naturaleza del incidente, las categorías y volumen aproximado de datos afectados, las medidas de mitigación adoptadas y los datos de contacto para coordinación.
Devolución o eliminación al término. Al término de la relación contractual, EmiteCR, a elección del Cliente, devuelve los datos tratados por encargo en un formato estructurado, de uso común y lectura mecánica (XML, JSON o CSV), o los elimina de sus sistemas activos. La eliminación no afecta la conservación de los comprobantes electrónicos firmados por el plazo legal aplicable.
Transferencias internacionales. Cuando un subprocesador esté ubicado fuera de Costa Rica, EmiteCR aplica las salvaguardas descritas en la sección sobre transferencias internacionales de esta Política.

22.5 Obligaciones del Cliente como responsable

El Cliente se obliga a:

Cargar en EmiteCR únicamente datos personales para los que cuente con la base legal correspondiente.
Informar a los titulares sobre el tratamiento de sus datos en EmiteCR y sobre los medios para ejercer sus derechos.
Atender directamente los derechos de los titulares, con la cooperación de EmiteCR cuando sea necesario.
No utilizar EmiteCR para tratamientos incompatibles con la finalidad del servicio.
Cumplir con las obligaciones legales y regulatorias aplicables como responsable del tratamiento.
Notificar a EmiteCR cualquier instrucción que pueda afectar al tratamiento de los datos personales.

22.6 Auditoría

El Cliente podrá solicitar información sobre el cumplimiento de esta sección mediante:

Acceso a la documentación de seguridad de EmiteCR.
Informes de auditoría independientes, cuando estén disponibles.
Respuesta a cuestionarios de seguridad.

Si el Cliente requiere una auditoría presencial específica, las partes acordarán previamente el alcance, los costos y la duración de la auditoría.

22.7 DPA para clientes Enterprise

EmiteCR pone a disposición una plantilla de Acuerdo de Procesamiento de Datos (DPA) para clientes Enterprise o corporativos que requieran un acuerdo firmado bilateralmente. La plantilla no es parte del catálogo de documentos legales ni del flujo de aceptación en el signup: se entrega y firma únicamente cuando un cliente la solicita expresamente. Las reglas operativas descritas en esta sección 22 aplican a todos los Clientes con independencia de si han firmado o no un DPA separado, y la firma de un DPA bilateral no modifica el alcance ni el contenido de esta Política ni de los Términos y Condiciones.

23. Contacto

Para cualquier consulta, queja o ejercicio de derechos relacionados con esta Política de Privacidad:

Privacidad y derechos de los titulares: privacidad@emite.cr
Términos, contratos y DPA Enterprise: legal@emite.cr
Incidentes de seguridad: security@emite.cr

Futura Byte Limitada Cédula jurídica 3-102-886218 Domicilio: Monteverde, Puntarenas, Costa Rica