Políticas de Seguridad

Sitio web

Tomamos todas las medidas y precauciones razonables para proteger tu información personal y seguimos las mejores prácticas de la industria para asegurar que tu información no sea utilizada de manera inapropiada, alterada o destruida.

Toda la comunicación entre tu navegador y coposys.com.do viaja cifrada mediante TLS (Transport Layer Security, sucesor de SSL), con certificado válido y redirección forzada a HTTPS. Ningún dato de tu formulario —incluidos los datos de tu negocio y los de pago— viaja en texto plano.

Las contraseñas nunca se almacenan en texto plano: se guardan como resúmenes criptográficos irreversibles (bcrypt / Argon2). La información de licencias y facturación se aloja en infraestructura gestionada, con controles de acceso restringidos y respaldos periódicos. Los respaldos que Evallish SRL custodia se almacenan cifrados.

Medidas técnicas aplicadas

• Cifrado TLS obligatorio en el sitio y en toda la API de licencias.
• Contraseñas protegidas con funciones de hash de un solo sentido (bcrypt / Argon2).
• Cabeceras de seguridad HTTP, política de orígenes restrictiva (CORS) y protección contra ataques comunes de inyección.
• Límites de tasa por IP y reCAPTCHA v3 en el registro, para frenar ataques automatizados y fraude.
• Control de acceso por roles y aislamiento lógico por empresa aplicado en el servidor: cada negocio sólo accede a sus propios registros.
• Registros de auditoría de las operaciones sensibles y de las validaciones de licencia.
• Respaldos periódicos cifrados de la información de licencias y facturación.
• Actualización continua de dependencias y revisión de vulnerabilidades conocidas.

Pagos

Los métodos de pago en línea utilizados por Evallish SRL son servicios de terceros: Stripe (tarjeta, en pesos dominicanos) y PayPal (en dólares estadounidenses). Ambos cumplen con los estándares de seguridad y cifrado de la industria y solo utilizan la información necesaria para completar el proceso de pago. También recomendamos leer las políticas de privacidad de estos proveedores, para entender mejor cómo manejan la información suministrada.

Cómo se transmiten los datos de tu pago

1. Seleccionas tu plan en coposys.com.do. Hasta este punto no se ha solicitado ningún dato de pago.
2. Se te redirige a la página de pago alojada por Stripe o por PayPal, según el método que elijas, donde ingresas los datos de tu tarjeta o inicias sesión en tu cuenta directamente en su formulario, sobre una conexión cifrada con TLS — esos datos nunca llegan a nuestros servidores.
3. El procesador tramita la autorización con el banco o la cuenta conforme al estándar PCI-DSS (Payment Card Industry Data Security Standard). Los pagos por PayPal se cobran en USD, a partir del precio en DOP convertido con una tasa fija publicada.
4. Al confirmarse el pago, el procesador nos notifica el resultado mediante un webhook firmado: aprobado o rechazado y el monto. Con eso creamos tu orden, activamos tu licencia y emitimos tu comprobante fiscal.

Las notificaciones que el procesador envía a nuestros servidores se verifican con firma criptográfica, de modo que ninguna confirmación de pago pueda ser falsificada por un tercero.

Prevención de fraude

Monitoreamos las transacciones y nos reservamos el derecho de rechazar o anular operaciones que presenten indicios de fraude, así como de solicitar verificación adicional de identidad antes de activar una licencia. Si detectas un cargo que no reconoces, escríbenos de inmediato a info@coposys.com.do o llama al (809) 489-9899; consulta también tus derechos en la Política de Devoluciones y Reembolsos.

Seguridad en el software CopoSys

Los datos operativos de tu negocio (ventas, inventario, clientes) residen en una base de datos local en tu propio equipo. Adicionalmente:

• La aplicación de escritorio se distribuye firmada digitalmente con un certificado de firma de código propio (autofirmado). Para que puedas comprobar que el instalador que descargaste es auténtico y no fue alterado, publicamos más abajo la huella SHA-256 de cada versión y el certificado público; si tu sistema operativo muestra una advertencia de editor no reconocido, verifica que la huella coincida antes de continuar, o escríbenos a info@coposys.com.do para confirmarla.
• Las actualizaciones se descargan solo desde nuestros servidores oficiales, sobre HTTPS.
• La validación de licencia se realiza mediante un token firmado que el software verifica localmente, sin exponer tus datos.
• Si subes tu certificado digital de la DGII a la nube (Certificado DGII → «Subir a la nube», desde la versión 2.18.8), se guarda cifrado, y cada computadora de tu empresa que lo descarga lo guarda cifrado con Windows.
• El acceso al punto de venta está protegido por usuarios, roles y permisos configurables por el propietario del negocio.

Cómo verificar el instalador que descargaste

Antes de instalar, compara la huella SHA-256 del archivo que descargaste con la que publicamos aquí. En Windows, desde PowerShell:

Get-FileHash .\CopoSys-2.18.13-win-x64.exe -Algorithm SHA256

En macOS, desde Terminal:

shasum -a 256 CopoSys-2.18.12.dmg

Huellas SHA-256 de las versiones vigentes (Windows 2.18.13, Linux 2.18.9, macOS 2.18.12):

• CopoSys-2.18.13-win-x64.exe (instalador): 71bb32d2fcd3dc833df2cfd9b6f5932809e2d374330a43035da0ae760751ba0d
• coposys-vite_2.18.9_amd64.deb (Linux, Debian/Ubuntu): 1365c6d07883296f20415a19b2fd746fa884ac5ecde11aa51e00c1d62c387142 — compruébala con sha256sum coposys-vite_2.18.9_amd64.deb.
• CopoSys-2.18.12.dmg (macOS, Intel): 1196bfcd2416f6033fe8fbe0e9a783613e2cd3e75b4b25eaaba299a7fa5d7778 — compruébala con shasum -a 256 CopoSys-2.18.12.dmg.
• CopoSys-2.18.12-arm64.dmg (macOS, Apple Silicon): 7abd8489c0410c72acaa415d27260bd65d2c98ccb6f38dbb58572c43892400b7 — compruébala con shasum -a 256 CopoSys-2.18.12-arm64.dmg.

Nuestros instaladores de macOS todavía no tienen la certificación de desarrollador de Apple (firma ad-hoc): al abrir la app por primera vez, macOS avisará que es de un «desarrollador no identificado» o, en versiones más recientes, que el archivo «está dañado». No está dañado — es el aviso normal de Gatekeeper ante una app sin notarizar. Ve a Ajustes del Sistema → Privacidad y seguridad y pulsa «Abrir de todos modos» junto al aviso sobre CopoSys, o haz clic derecho sobre CopoSys en Aplicaciones y elige Abrir. Si en vez de eso macOS insiste en que el archivo está dañado, abre Terminal y ejecuta xattr -cr /Applications/CopoSys.app.

App Android (Cajero), versión 0.5.1:

• CopoSys-Cajero-0.5.1.apk: 8ec58e6b26ab9ca10866cd4c0e959414a60853933a89897a93c6e2e2d6b95b93 (la versión anterior, CopoSys-Cajero-0.5.0.apk: 6ef8f9b7d047058c53c43b5c8c1b92c28c8e1094955cb1c6d2dd1507f3233ed2)
• Firma del APK (certificado de firma, SHA-256): AD:69:F4:5F:FB:7F:29:FD:53:9D:4D:47:17:B8:6E:5D:3D:6E:C3:30:AA:90:50:CC:A1:FB:15:EA:E4:AE:73:A5 — emitido a nombre de CopoSys Cajero (mismo keystore de siempre, así que actualiza sobre la versión anterior sin reinstalar). Compruébala con apksigner verify --print-certs CopoSys-Cajero-0.5.1.apk. Desde la 0.4.3 el APK usa solo los esquemas de firma v2 y v3 (los de Android 7 en adelante, que es el mínimo que pedimos), así que keytool -printcert -jarfile —que solo lee el esquema v1, más antiguo— responderá «no es un archivo jar firmado»: eso es lo esperado, no una señal de que el archivo esté alterado.

El certificado público con el que se firman nuestros instaladores está disponible en coposys.com.do/releases/coposys.crt. Su huella SHA-256 es 1E:56:D6:05:07:9C:0D:10:6D:29:40:21:88:B6:D6:5A:FB:A2:4A:02:2C:BA:D0:01:61:64:97:6C:A5:D1:44:B2 (emitido a nombre de Coposys, válido hasta el 31 de julio de 2029). Puedes usarlo para comprobar que la firma del instalador procede de nosotros.

Importante: nuestro certificado es autofirmado, por lo que Windows puede seguir mostrando la advertencia de editor desconocido aunque el archivo sea legítimo — SmartScreen decide por la reputación acumulada del archivo, no por el certificado. No recomendamos instalar este certificado como entidad de certificación raíz de confianza: eso quitaría el aviso, pero debilitaría la seguridad de tu equipo. La verificación correcta es comparar la huella SHA-256 del archivo.

Tu responsabilidad

• Mantén tu sistema operativo y tu antivirus actualizados.
• No compartas tus credenciales de acceso ni tu clave de activación.
• Usa contraseñas robustas y distintas para cada usuario del punto de venta.
• Descarga CopoSys únicamente desde coposys.com.do.
• Verifica siempre que la dirección del navegador muestre https://coposys.com.do antes de introducir datos.
• Mantén respaldos de tu información conforme a la Política de Contingencia.

Reporte de incidentes y vulnerabilidades

Si detectas una vulnerabilidad o un incidente de seguridad, repórtalo a info@coposys.com.do. Acusamos recibo dentro de las 48 horas laborables y trabajamos en la corrección según la severidad. Agradecemos el reporte responsable y no emprenderemos acciones contra quien lo haga de buena fe.

En caso de una brecha de seguridad que afecte datos personales, notificaremos a los titulares afectados a la mayor brevedad y por escrito, describiendo la naturaleza del incidente, los datos comprometidos y las medidas correctivas adoptadas. Cuando el incidente pueda constituir un ilícito penal, lo pondremos en conocimiento del Departamento de Investigación de Crímenes y Delitos de Alta Tecnología (DICAT) de la Policía Nacional y del Ministerio Público, conforme a la Ley 53-07 sobre Crímenes y Delitos de Alta Tecnología. Este compromiso de notificación es asumido voluntariamente por Evallish SRL.