Términos y Condiciones del Servicio

Los presentes Términos y Condiciones establecen los derechos, deberes y obligaciones bajo los cuales Defriction (defriction.org) presta a integradores de software, desarrolladores y empresas emisoras el servicio de software y API REST denominado Gravamenex.

Gravamenex suministra infraestructura tecnológica en la nube especializada en:

• Generación sintáctica y semántica de documentos XML bajo estándar internacional UBL 2.1.
• Firmado digital criptográfico XAdES-EPES conforme a las directrices de la DIAN.
• Cálculo oficial de CUFE (Código Único de Factura Electrónica) y CUDE (Código Único de Documento Electrónico).
• Transmisión sincrónica SOAP directa ante los servicios web de validación previa de la DIAN.
• Generación automática de la representación gráfica oficial en formato PDF con código QR bidimensional.
• Empaquetamiento y entrega del contenedor electrónico oficial AttachedDocument.

El acceso, creación de credenciales o consumo de cualquiera de los endpoints de la API implica la aceptación plena, inequívoca y sin reservas de estos Términos, constituyendo un acuerdo vinculante de conformidad con el Artículo 42 de la Ley 1480 de 2011 (Estatuto del Consumidor).

El acceso a la infraestructura se realiza mediante credenciales seguras (API Keys) diferenciadas por ambiente: llaves de producción con prefijo dfi_live_... y llaves de prueba con prefijo dfi_test_....

Gravamenex almacena únicamente el digest criptográfico (hash unidireccional SHA-256) de las llaves y nunca la llave en texto claro. El Proveedor se reserva la facultad de revocar de inmediato credenciales que presenten patrones de tráfico sospechosos o ataques de denegación de servicio (Decreto 1377 de 2013, Art. 4).

Gravamenex provee una suite exhaustiva de microservicios y endpoints para el ecosistema tributario colombiano:

Gravamenex opera como Software como Servicio (SaaS). El Proveedor podrá implementar actualizaciones, parches de seguridad y mejoras técnicas sin necesidad de autorización previa, garantizando en todo caso la inalterabilidad de los hechos fiscales previamente aceptados por la DIAN.

El servicio opera en estricta sujeción a la normatividad fiscal colombiana y a los Anexos Técnicos obligatorios expedidos por la Dirección de Impuestos y Aduanas Nacionales (DIAN):

• Resolución DIAN 165 de 2023: Especificación técnica de la Factura Electrónica de Venta (Anexo 1.9) y especificaciones del Documento Soporte Electrónico.
• Resolución DIAN 166 de 2023: Estructura del archivo XML UBL 2.1 y validaciones semánticas.
• Decreto 358 de 2020: Reglamentación de los sistemas de facturación y obligatoriedad técnica.
• Ley 1231 de 2008: Factura electrónica como título valor y circulación en el registro RADIAN.
• Estatuto Tributario, Arts. 615, 616-1 y 617: Obligación de facturar, validez probatoria y requisitos sustanciales del documento de venta.
• Ley 527 de 1999 y Decreto 427 de 2020: Mensajes de datos, comercio electrónico, equivalencia funcional y firma digital certificada.

Cada documento fiscal emitido debe estar respaldado por un certificado digital de firma electrónica X.509 abierto, expedido por una Entidad de Certificación Digital acreditada ante el Organismo Nacional de Acreditación de Colombia (ONAC) (como Certicámara, GSE o Andes SCD).

Los certificados se almacenan en bóvedas criptográficas en la nube con llaves segregadas por emisor (KMS/HSM). Gravamenex prohíbe la exportación de llaves privadas en texto plano y realiza monitoreo automatizado de vigencia para advertir con 30 días de anticipación el vencimiento del certificado.

El acceso a los servicios de emisión en producción se rige por los planes de suscripción contratados (Starter, Pro e Integrador):

• Pool de documentos compartido: En los planes Pro (hasta 3 NITs) e Integrador (hasta 10 NITs), la cuota mensual de documentos es compartida entre todas las empresas emisoras habilitadas en la cuenta.
• Empresas adicionales: Se pueden vincular empresas emisoras por encima del límite base del plan mediante el pago de la tarifa mensual fijada para cada NIT extra (+$25.000 COP/mes en Pro, +$18.000 COP/mes en Integrador).
• Documentos excedentes: Todo documento emitido por encima del volumen mensual contratado será liquidado al valor por documento excedente pactado en el plan ($150, $70 o $45 COP según el plan).
• Consumo en rechazos DIAN: Toda petición enviada al servicio web de la DIAN consume una unidad de cuota, independientemente de si la DIAN responde con aceptación (código 00) o rechazo fiscal por inconsistencias atribuibles a los datos enviados por el emisor.

El Usuario, integrador o empresa emisora se compromete a:

• Utilizar la plataforma en estricto cumplimiento de la ley colombiana y de estos Términos.
• Contar con la autorización jurídica y mandato expreso de cada una de las empresas emisoras que configure en la plataforma para emitir facturación en su nombre.
• No utilizar el servicio para la emisión de facturas ficticias, simulación de operaciones mercantiles, lavado de activos ni cualquier forma de evasión tributaria.
• No intentar eludir los límites de tasa (rate limits) asignados, no efectuar ataques de denegación de servicio ni intentar acceder a información de otras organizaciones.
• No realizar ingeniería inversa, descompilación ni reventa no autorizada del software Gravamenex.

El incumplimiento de cualquiera de estas disposiciones dará lugar a la cancelación o suspensión inmediata de la cuenta sin derecho a reembolso (Ley 1480 de 2011, Art. 42).

El Proveedor asume los siguientes compromisos operativos:

• Disponibilidad (SLA): Garantizar un nivel de servicio del 99.9% de disponibilidad mensual en entornos productivos calificados.
• Garantía de Idempotencia: Los endpoints de emisión admiten el encabezado Idempotency-Key con vigencia de 30 días en producción para evitar la duplicidad involuntaria de documentos ante caídas de red.
• Ventanas de Mantenimiento: Notificación previa de al menos 48 horas en mantenimientos programados que impliquen desconexión temporal.
• Esquema de Contingencia: Habilitación de flujo de contingencia DIAN en caso de falla generalizada confirmada en los servidores de validación de la entidad tributaria.

El entorno Sandbox se proporciona de forma gratuita con fines de certificación técnica y no cuenta con compromisos vinculantes de SLA ni compensación por indisponibilidad.

El tratamiento de datos personales en Gravamenex se rige por la Ley Estatutaria 1581 de 2012, el Decreto 1377 de 2013 y la doctrina de la Superintendencia de Industria y Comercio (SIC):

Conforme al Artículo 8 de la Ley 1581 de 2012, todo titular de datos personales tiene derecho a ejercer sus prerrogativas legales:

Para ejercer los derechos ARCO, envíe su solicitud al correo [email protected]. Las consultas serán resueltas en un término máximo de diez (10) días hábiles y los reclamos en un término máximo de quince (15) días hábiles, conforme a los Artículos 14 y 15 de la Ley 1581.

Gravamenex implementa controles de seguridad física, lógica y criptográfica conforme al Artículo 15 de la Ley 1581 de 2012:

• Cifrado en tránsito universal mediante TLS 1.3 con Perfect Forward Secrecy.
• Cifrado en reposo mediante AES-256 en bases de datos y almacenamiento de artefactos.
• Aislamiento multi-inquilino a nivel de base de datos mediante Row-Level Security (RLS).
• Firmado HMAC-SHA256 con marca de tiempo en todos los eventos enviados a webhooks.

En aplicación de la Ley 1273 de 2009 (Delitos Informáticos), se advierte que las siguientes conductas serán denunciadas inmediatamente ante la Fiscalía General de la Nación:

La plataforma Gravamenex, su arquitectura de software, algoritmos de firma, librerías, SDKs, interfaces, marcas comerciales y documentación son de propiedad exclusiva de Defriction, amparados por la Ley 23 de 1982 sobre Derechos de Autor y tratados internacionales (Acuerdo ADPIC/TRIPS).

Por su parte, los datos de los clientes, catálogos comerciales y documentos fiscales generados (XMLs y PDFs) son de propiedad exclusiva e inalienable del Usuario y de cada Empresa Emisora titular.

El Usuario puede cancelar su suscripción en cualquier momento sin penalidad contractual:

• Plazo de portabilidad de 90 días: Al solicitar la baja del servicio, el Usuario dispondrá de noventa (90) días calendario para descargar o exportar masivamente sus XMLs firmados, ApplicationResponses y PDFs a través de los endpoints de consulta.
• Conservación fiscal obligatoria: Los hechos tributarios formalizados ante la DIAN permanecerán archivados conforme al deber legal de conservación de 5 años (Estatuto Tributario, Art. 632).
• Una vez vencido el periodo de portabilidad, las credenciales de API quedan inactivas de forma permanente.

El servicio se provee «tal cual» y conforme al estado actual del arte tecnológico, en los términos del Artículo 16 de la Ley 1480 de 2011 (Estatuto del Consumidor).

En ningún evento el Proveedor asumirá responsabilidad por:

• Sanciones, multas o intereses tributarios originados por errores en la información enviada por el emisor.
• Caídas, lentitud o contingencias exclusivas de los servidores de la DIAN o de las entidades certificadoras.
• Lucro cesante, daños consecuenciales o pérdidas de negocio indirectas.

En cualquier evento de responsabilidad comprobada imputable directamente al Proveedor, la indemnización total máxima se limitará al valor efectivamente pagado por el Usuario en los tres (3) meses anteriores al evento.

En aplicación de la Ley 1480 de 2011 (Estatuto del Consumidor), los usuarios de Gravamenex cuentan con las siguientes garantías legales:

• Información veraz y transparente (Art. 6): Precios explícitos sin cargos ocultos por asiento de usuario ni por terminal POS.
• Equilibrio contractual (Art. 43): Ausencia de cláusulas abusivas o desproporcionadas.
• Garantía de calidad e idoneidad (Arts. 8 y 11): Compromiso de prestación del servicio conforme a las especificaciones técnicas ofrecidas.

El Proveedor podrá modificar estos Términos mediante notificación previa de treinta (30) días calendario vía correo electrónico registrado o aviso en la consola web.

Estos Términos y Condiciones se rigen e interpretan conforme a las leyes de la República de Colombia.

Cualquier controversia que surja en relación con este contrato se intentará resolver en primera instancia mediante arreglo directo y conciliación extrajudicial en un Centro de Conciliación autorizado en la ciudad de Bogotá D.C.

De no prosperar la conciliación, las partes se someten a la justicia ordinaria de la República de Colombia y, en asuntos de protección al consumidor y Habeas Data, a la autoridad administrativa de la Superintendencia de Industria y Comercio (SIC).