Acuerdo de nivel de servicio
Esta traducción se facilita únicamente a título informativo. Solo la versión en alemán es jurídicamente vinculante.
para el uso de la plataforma SaaS faktoora
RGPD · GoBD · SGSI alineado con ISO/IEC 27001:2022
⬇ Descargar el SLA en PDF (v4.2)
Nota: La presente versión es aplicable a partir del 01.12.2026. Hasta el 30.11.2026 se aplica la versión anterior: SLA, versión 4.1 (PDF).
| Versión | Vigencia | Última revisión | Responsable |
|---|---|---|---|
| 4.2 | 01.12.2026 | 29.10.2026 | faktoora GmbH – Dirección |
01 · Introducción y finalidad
El presente acuerdo de nivel de servicio (SLA) de faktoora GmbH regula los niveles de servicio de la plataforma SaaS faktoora y describe la seguridad, la continuidad operativa y el servicio de soporte. Complementa el contrato principal y el contrato de encargo del tratamiento conforme al art. 28 RGPD.
Los compromisos de prestación vinculantes figuran en las secciones 4, 5 y 10.1. Las demás secciones describen el estado actual de las medidas; faktoora puede adaptarlas conforme a la cláusula 4, apartado 2, del contrato de encargo del tratamiento, siempre que no se reduzca el nivel de protección. Para las medidas técnicas y organizativas conforme al art. 32 RGPD es vinculante el anexo 2 del contrato de encargo del tratamiento. Con el presente SLA, faktoora no asume garantías en el sentido de la cláusula 9.2 de las CGC.
El documento se orienta por los requisitos de las siguientes normas:
- ISO/IEC 27001:2022 – Sistema de gestión de la seguridad de la información (SGSI alineado con la norma)
- RGPD – Reglamento General de Protección de Datos
- GoBD – Principios alemanes para la llevanza y conservación correctas de libros, registros y documentos en formato electrónico, así como para el acceso a los datos
El SLA se aplica a los clientes con el plan «Enterprise» (antes «Personalizada») y un contrato activo. Los clientes con otro plan de pago cuyo contrato se haya celebrado antes del 01.12.2026 conservan el SLA durante la vigencia de dicho contrato (protección de clientes existentes). No se aplica a otros planes ni a accesos de prueba gratuitos, salvo que se acuerde expresamente en forma de texto.
Esta versión es aplicable a partir del 01.12.2026. Para los clientes cuyo contrato se haya celebrado antes de esa fecha, se aplicará a partir del 01.12.2026, pero no antes de que transcurran cuatro semanas desde la recepción de la comunicación de la modificación, salvo que el cliente se oponga conforme a la cláusula 8.10 de las CGC; hasta entonces se aplica la versión anterior.
02 · Ámbito de aplicación
El presente SLA se aplica a todos los servicios y componentes que faktoora opera directamente, en particular:
- Plataforma SaaS faktoora (aplicación web y API)
- Infraestructura de autenticación y autorización
- Almacenamiento de datos y operación de bases de datos
- Infraestructura de copias de seguridad y recuperación
- Servicios de soporte conforme a la sección 5
Quedan expresamente excluidos: los servicios de terceros proveedores (proveedores de pago externos, proveedores de servicios de correo electrónico, infraestructura de red de los proveedores de servicios de Internet, dispositivos del cliente).
03 · Definiciones
| Término | Definición |
|---|---|
| Disponibilidad | Porcentaje de un mes natural sin tiempo de inactividad. |
| Tiempo de inactividad (downtime) | Periodo durante el cual la aplicación web y la API no están accesibles en la salida del router del centro de datos (cláusula 2.2 de las CGC), según lo constatado por la supervisión de faktoora; quedan excluidos el mantenimiento planificado y las exclusiones conforme a la sección 4.3. |
| Mantenimiento planificado | Mantenimiento dentro de las ventanas de mantenimiento fijas, así como mantenimiento de mayor envergadura anunciado en el marco de la sección 9.1, durante el cual la plataforma puede estar limitada o no disponible. |
| Tiempo de respuesta | Tiempo transcurrido entre la recepción de una notificación y la primera respuesta cualificada de faktoora. |
| RTO (Recovery Time Objective) | Periodo objetivo desde el fallo hasta el restablecimiento de la disponibilidad operativa, computado dentro del horario comercial (valor objetivo). |
| RPO (Recovery Point Objective) | Periodo máximo objetivo de pérdida de datos en caso de emergencia (valor objetivo). |
| Incidente | Incidente de seguridad o incidencia que afecta a la disponibilidad o a la seguridad de los datos. |
| Crédito SLA | Abono de valor monetario en la cuota mensual como compensación en caso de incumplimiento del SLA. |
| Cambio | Modificación de componentes del sistema, configuraciones o versiones de software. |
| SGSI | Sistema de gestión de la seguridad de la información, alineado con ISO/IEC 27001:2022. |
| Registro de auditoría | Registro que permite detectar manipulaciones de todos los eventos y accesos relevantes para la seguridad (solo adición [append-only], cadena de hash criptográfica). |
04 · Disponibilidad de la plataforma
4.1 Compromiso de disponibilidad
En el ámbito de aplicación del presente SLA, faktoora se compromete a una disponibilidad mínima mensual del 99,5 %.
| Nivel de servicio | Disponibilidad/mes | Tiempo de inactividad máx./mes | Tiempo de inactividad máx./año |
|---|---|---|---|
| Plan «Enterprise» y clientes existentes (sección 01) | 99,5 % | aprox. 3,6 horas | aprox. 43,8 horas |
El compromiso de disponibilidad se refiere al tiempo fuera de las ventanas de mantenimiento fijas conforme a la sección 9.1 (de lunes a viernes de 18:00 a 22:00 h y los sábados durante todo el día). Los periodos dentro de estas ventanas de mantenimiento, así como el mantenimiento de mayor envergadura anunciado conforme a la sección 9.1 de hasta 8 horas en total por mes natural, no se tienen en cuenta en el cálculo de la disponibilidad.
Metodología de medición
La base del cálculo de la disponibilidad es la documentación interna de incidencias de faktoora; el cliente puede oponerse al cálculo aportando sus propios registros. El periodo de medición es el mes natural. El mantenimiento planificado en el marco de la sección 9.1 no se computa como tiempo de inactividad. Los clientes pueden solicitar en cualquier momento una consulta de estado por correo electrónico; previa solicitud puede obtenerse un resumen de las incidencias documentadas. La plataforma se supervisa de forma automatizada.
4.2 Créditos SLA en caso de incumplimiento
Si no se alcanza la disponibilidad comprometida, el cliente tiene derecho a los siguientes abonos:
| Disponibilidad real | Crédito SLA |
|---|---|
| 99,0 % hasta < 99,5 % | 5 % de la cuota mensual |
| 95,0 % hasta < 99,0 % | 10 % de la cuota mensual |
| < 95,0 % | 25 % de la cuota mensual |
Los créditos deben solicitarse en forma de texto en support@faktoora.com en un plazo de 30 días tras el mes correspondiente. Están limitados a la cuota mensual del periodo correspondiente; en caso de facturación anual, se considera cuota mensual una doceava parte de la cuota anual. Con los créditos SLA quedan satisfechas las pretensiones de reducción del precio por no alcanzarse la disponibilidad. La superación de los tiempos de respuesta (sección 5.2) no da lugar a créditos SLA. Los créditos SLA se imputan a eventuales pretensiones de indemnización de daños y perjuicios; por lo demás, se aplica el régimen de responsabilidad de las CGC (cláusula 9).
4.3 Exclusiones
Los siguientes periodos no se consideran tiempo de inactividad:
- Mantenimiento en las ventanas de mantenimiento fijas conforme a la sección 9.1
- Mantenimiento de mayor envergadura anunciado fuera de las ventanas de mantenimiento fijas conforme a la sección 9.1, de hasta 8 horas en total por mes natural
- Fuerza mayor (catástrofes naturales, huelgas, intervenciones estatales)
- Fallos causados por el cliente o por terceros que no sean auxiliares en el cumplimiento de faktoora
- Fallos de red en los proveedores de servicios de Internet
- Ataques DDoS que superen los mecanismos de protección del proveedor de alojamiento
05 · Servicios de soporte
5.1 Contacto y horario comercial
| Canal | Dirección / número | Disponibilidad |
|---|---|---|
| Correo electrónico (estándar) | support@faktoora.com | Recepción 24/7; tramitación de lunes a viernes de 09 a 17 h (CET/CEST) |
| Teléfono (solo plan «Enterprise») | +49 731 85070390 | De lunes a viernes, de 09:00 a 17:00 h (CET/CEST) |
| Incidentes de seguridad | security@faktoora.com | Recepción 24/7; tramitación priorizada conforme a la sección 10 |
Horario comercial: de lunes a viernes, de 09:00 a 17:00 h (CET/CEST), excepto los días festivos oficiales en Baviera.
5.2 Prioridades y tiempos de respuesta
| Prioridad | Descripción | Tiempo de respuesta |
|---|---|---|
| A – Crítica | Fallo total de la plataforma o pérdida de datos. Sin solución alternativa. | 1 hora |
| B – Alta | Función esencial afectada, solución alternativa posible. | 4 horas |
| C – Media | Limitación funcional sin impacto crítico. | 1 día hábil |
| D – Baja | Errores estéticos, sugerencias de mejora, consultas generales. | 2 días hábiles |
Los tiempos de respuesta se computan dentro del horario comercial (de lunes a viernes, de 09:00 a 17:00 h CET/CEST). Fuera del horario comercial, los plazos comienzan a correr el siguiente día hábil. Prioridad A: los incidentes críticos se detectan mediante supervisión automatizada y, en la medida de lo posible, se tratan automáticamente; la respuesta humana se produce en el plazo de 1 hora desde el inicio del siguiente horario comercial. No se comprometen tiempos de resolución; faktoora tramita las incidencias según su prioridad.
5.3 Procedimiento de escalado
El cliente puede escalar una notificación en cualquier momento por correo electrónico con el asunto "ESKALATION: [Ticket-ID]" (utilícelo literalmente); faktoora revisa entonces la priorización e informa al cliente sobre los pasos siguientes.
06 · Seguridad de los datos y cifrado
La información siguiente describe el estado actual de las medidas; para las medidas técnicas y organizativas (MTO) conforme al art. 32 RGPD es vinculante el anexo 2 del contrato de encargo del tratamiento.
6.1 Cifrado
| Ámbito | Estándar | Detalles |
|---|---|---|
| Datos en reposo | Cifrado de disco completo | Cifrado completo de todos los sistemas de producción. Gestión de claves mediante procedimientos documentados con un círculo restringido de personas. |
| Datos en tránsito | TLS 1.2 o superior | Exclusivamente protocolos seguros para todas las conexiones externas. |
| Copias de seguridad | Copias de seguridad cifradas | Las copias de seguridad se transmiten cifradas y se almacenan en una ubicación físicamente separada. |
| Credenciales | Proveedor de identidad operado por nosotros mismos; alternativamente, inicio de sesión único (Single Sign-On) a través del proveedor de identidad del cliente | Las contraseñas se gestionan exclusivamente en forma de hash en el proveedor de identidad; la propia aplicación no almacena contraseñas. En caso de inicio de sesión único (p. ej., Microsoft Entra ID), el inicio de sesión se realiza en el proveedor de identidad del cliente. Las claves de API solo se guardan como hash. |
6.2 Copia de seguridad y recuperación
| Parámetro | Valor |
|---|---|
| Frecuencia de las copias de seguridad | Copia de seguridad de todos los conjuntos de datos persistentes (bases de datos, almacenamiento de archivos, registros de auditoría) al menos cada 2 horas; adicionalmente, instantáneas (snapshots) completas diarias del sistema |
| Plazo de conservación | 14 días (copias de seguridad diarias); hasta 12 meses (copias de seguridad mensuales) |
| RPO (Recovery Point Obj.) | Valor objetivo: 2 horas |
| RTO (Recovery Time Obj.) | Valor objetivo: 8 horas dentro del horario comercial para la recuperación completa de la plataforma; servicios individuales, por lo general, considerablemente más rápido |
| Ubicación de las copias de seguridad | Centros de datos con certificación ISO 27001 en Alemania (Hetzner), físicamente separados de la producción |
| Pruebas de las copias de seguridad | Ejercicios de recuperación documentados periódicos |
| Comprobación de integridad | Copias de seguridad protegidas mediante sumas de comprobación, con comprobación periódica de la integridad |
6.3 Resiliencia y recuperación
- Plataforma de contenedores con reinicio automático de los servicios caídos
- Procedimiento documentado para la recuperación de toda la plataforma a partir de una instantánea del sistema en una nueva infraestructura
- Dos niveles independientes de copias de seguridad (copias de seguridad de datos cifradas e instantáneas diarias del sistema)
- Alojamiento en centros de datos con certificación ISO 27001 con suministro eléctrico y de red redundante
07 · Certificaciones y cumplimiento normativo
7.1 Certificaciones y normas
| Certificación / norma | Alcance | Estado | Acreditación |
|---|---|---|---|
| ISO/IEC 27001:2022 | SGSI de la plataforma SaaS faktoora | SGSI alineado con ISO/IEC 27001:2022 | Declaración de aplicabilidad (resumen) previa solicitud |
| ISO 27001 – centro de datos | Infraestructura de alojamiento | Certificado | Certificado del centro de datos previa solicitud |
| RGPD / art. 28 | Encargo del tratamiento | Contrato de encargo del tratamiento conforme al art. 28 RGPD | Contrato de encargo del tratamiento como parte integrante del contrato |
| GoBD | Almacenamiento de facturas durante la vigencia del contrato | Registro de auditoría que permite detectar manipulaciones; protección frente a la supresión durante la vigencia del contrato; la conservación legal corresponde al cliente | Descripción del almacenamiento y de la exportación previa solicitud |
faktoora facilita, previa solicitud, los certificados y acreditaciones disponibles. Los informes de auditoría de entidades independientes se ponen a disposición, en la medida en que existan, previa solicitud y tras la firma de un NDA.
7.2 Conformidad con los GoBD
- Registro de auditoría que permite detectar manipulaciones (solo adición, cadena de hash criptográfica)
- Registro de todas las modificaciones relevantes para el negocio realizadas a través de la aplicación, con marca de tiempo e identificación del usuario
- Exportación de datos en autoservicio como CSV y PDF, para determinados ámbitos de datos también como XLSX; adicionalmente, previa solicitud, como JSON
- Almacenamiento que permite detectar manipulaciones durante la vigencia del contrato y exportación completa conforme a la cláusula 5.2 de las CGC; la conservación legal (8 años para las facturas y los justificantes contables, 10 años para los libros y registros, § 147 AO, Código Tributario alemán) corresponde al cliente
08 · Control de acceso y registro de auditoría
8.1 Control de acceso
- Modelo de acceso basado en roles (RBAC) conforme al principio de mínimo privilegio
- Autenticación multifactor para los accesos administrativos a la infraestructura (accesos a servidores, a la nube y a los sistemas de desarrollo)
- Revisión periódica de los derechos de acceso a producción y de los desarrolladores
- Bloqueo del acceso sin demora indebida cuando un empleado causa baja
- El acceso al entorno de producción está restringido a un círculo reducido de personas designadas nominalmente
- Separación estricta de los entornos de desarrollo, pruebas y producción; ningún acceso automatizado de CI/CD a producción
8.2 Registro de auditoría
- Registro de eventos de autenticación
- Registro de las modificaciones administrativas en la aplicación en el registro de auditoría, así como de todos los inicios de sesión en los sistemas de producción
- Registro de auditoría de solo adición con cadena de hash criptográfica; las manipulaciones son técnicamente detectables
- Conservación de los registros de auditoría de la aplicación durante la vigencia del contrato; tras la finalización del contrato se aplica la cláusula 12 del contrato de encargo del tratamiento
- Información sobre los datos propios registrados en el marco de los derechos de los interesados conforme al RGPD
09 · Gestión de cambios y mantenimiento
Los cambios están sujetos a un proceso formal de gestión de cambios con comprobaciones de calidad automatizadas y capacidad de reversión (rollback).
9.1 Ventanas de mantenimiento
| Tipo | Franja horaria | Aviso |
|---|---|---|
| Mantenimiento regular | Ventanas de mantenimiento fijas de lunes a viernes de 18:00 a 22:00 h y los sábados durante todo el día (CET/CEST) | Sin aviso específico |
| Mantenimiento de mayor envergadura fuera de las ventanas de mantenimiento fijas | Según necesidad, preferentemente fuera del horario comercial; hasta un total de 8 horas por mes natural no se computa como tiempo de inactividad, y lo que exceda de ese límite se computa como tiempo de inactividad | Al menos 48 horas antes por correo electrónico |
9.2 Cambios de emergencia
- Los parches de seguridad críticos pueden aplicarse sin aviso previo
- Información a los clientes afectados con prontitud, en la medida en que el cambio les afecte
- Informe del incidente disponible previa solicitud
10 · Incidentes de seguridad – gestión de incidentes
10.1 Clasificación y obligaciones de notificación
| Nivel de gravedad | Descripción | Respuesta interna (valor objetivo) | Notificación al cliente | Notificación a la autoridad |
|---|---|---|---|---|
| P1 – Crítico | Violación de la seguridad de los datos personales (art. 4.12 RGPD), en particular pérdida, comunicación no autorizada o acceso no autorizado | Supervisión automatizada; evaluación sin demora indebida durante el horario comercial y, fuera del horario comercial, a partir del inicio del siguiente día hábil | sin demora indebida y, a más tardar, en un plazo de 4 horas desde la clasificación como crítico | Notificación a la autoridad de control por el cliente como responsable del tratamiento (art. 33 RGPD); faktoora presta asistencia conforme a la cláusula 9 del contrato de encargo del tratamiento |
| P2 – Alto | Compromiso del sistema sin pérdida de datos confirmada | Sin demora indebida (horario comercial) | Sin demora indebida (horario comercial), en la medida en que haya clientes afectados | Por el cliente como responsable del tratamiento, en la medida en que sea necesario |
| P3 – Medio | Anomalía con posibles repercusiones en la seguridad | 1 día hábil | Previa solicitud | Por lo general, no necesaria |
| P4 – Bajo | Posible vulnerabilidad sin explotación activa | 5 días hábiles | Previa solicitud | No necesaria |
Las obligaciones de notificación conforme a la cláusula 9 del contrato de encargo del tratamiento no se ven afectadas; las notificaciones a las autoridades de control relativas a datos que faktoora trata por encargo las realiza el cliente.
10.2 Proceso de respuesta a incidentes
- Detección: identificación mediante supervisión, alertas o notificación del cliente
- Contención: limitación inmediata de los daños (aislamiento, bloqueo de accesos)
- Análisis: análisis de la causa raíz y evaluación del impacto
- Corrección: implementación de las medidas correctoras y recuperación
- Informe final: revisión interna posterior al incidente; informe resumido para los clientes afectados previa solicitud
- Lecciones aprendidas: las conclusiones se incorporan al SGSI y a la documentación de los procesos
10.3 Gestión de vulnerabilidades
- Análisis automatizados de vulnerabilidades en la pipeline de CI (análisis de las dependencias en busca de vulnerabilidades conocidas y análisis estático de código)
- Nuestro programa de pruebas establece pruebas de penetración periódicas
- Corrección priorizada y basada en el riesgo: las vulnerabilidades críticas se tratan sin demora indebida
- Facilitamos, previa solicitud (bajo NDA), un resumen de los resultados de las pruebas de penetración realizadas
11 · Protección de datos y localización de los datos
- El alojamiento y el almacenamiento de los datos de la plataforma se realizan en centros de datos con certificación ISO 27001 en Alemania; determinados subencargados del tratamiento tratan datos para su respectiva prestación también en otros lugares (anexo 3 del contrato de encargo del tratamiento y trust.faktoora.com)
- Las transferencias a terceros países y las garantías correspondientes conforme a los arts. 44 y ss. RGPD figuran en el anexo 3 del contrato de encargo del tratamiento
- Encargo del tratamiento regulado en el contrato de encargo del tratamiento conforme al art. 28 RGPD
- faktoora remite sin demora indebida al cliente las solicitudes de los interesados (arts. 15 a 22 RGPD) relativas a datos del cliente y le presta asistencia conforme a la cláusula 5 del contrato de encargo del tratamiento
- Delegado de protección de datos externo: PROLIANCE GmbH, datenschutzbeauftragter@datenschutzexperte.de
12 · Derechos de auditoría y obligaciones de acreditación
- Se aplican los derechos de control conforme a la cláusula 8 del contrato de encargo del tratamiento; en caso de contradicción, prevalece el contrato de encargo del tratamiento
- faktoora facilita, previa solicitud (bajo NDA), acreditaciones adecuadas a su elección
- La puesta a disposición de las pruebas existentes y de la información es gratuita; a las inspecciones, así como a las comprobaciones y cuestionarios individuales, se aplica la cláusula 8, apartado 4, del contrato de encargo del tratamiento
13 · Continuidad de negocio y recuperación ante desastres
faktoora opera una gestión de la continuidad de negocio y de la recuperación ante desastres.
| Parámetro | Valor objetivo |
|---|---|
| RTO – Plataforma completa | Valor objetivo: 8 horas dentro del horario comercial |
| RTO – Servicios individuales | Por lo general, inferior a 1 hora (recuperación automática) |
| RPO | Valor objetivo: 2 horas |
| Pruebas de recuperación ante desastres | Periódicas, documentadas |
| Revisión del plan de continuidad de negocio | Periódica, así como tras cambios sustanciales en el sistema |
| Niveles de copia de seguridad | Dos niveles independientes de copias de seguridad (copias de seguridad de datos cifradas e instantáneas diarias del sistema) |
14 · Informes y transparencia
- Resumen de las incidencias documentadas y de los tiempos de mantenimiento previa solicitud
- Notificación a los clientes afectados en caso de incidentes por correo electrónico conforme a la sección 10
15 · Vigencia, modificaciones y derecho de resolución extraordinaria
- El presente SLA se aplica durante la vigencia de la relación contractual principal subyacente
- faktoora revisa el SLA periódicamente
- Las modificaciones se comunican en forma de texto al menos cuatro semanas antes de su entrada en vigor; por lo demás, se aplica por analogía la cláusula 8.10 de las CGC (oposición, resolución del contrato principal hasta que la modificación surta efecto)
- El SLA vigente en cada momento puede consultarse en faktoora.com/dokumente
16 · Aceptación
El presente SLA forma parte integrante del contrato principal y se considera aceptado con la celebración del contrato. No se requiere una firma separada, salvo que se acuerde otra cosa en el contrato principal.
faktoora GmbH · Acuerdo de nivel de servicio · v4.2 · vigente a partir del 01.12.2026