Centro de confianza
Dividend Refund tramita exenciones y devoluciones por doble imposición para entidades financieras y sus clientes. Aquí explicamos cómo protegemos la información que nos confiáis, qué certificaciones lo respaldan y cómo pedirnos la documentación para vuestra evaluación de proveedores.
Revisado el 2 oct 2026
ISO 27701Privacidad
ISO 27001Seguridad
ISO 22301Continuidad de negocio
ISO 14001Medioambiente
ISO 9001Calidad
ISO 37001Antisoborno
UNE 19601Compliance
Seguridad, privacidad, continuidad, calidad y compliance
Plataforma y copias en AWS Irlanda; IA en regiones de la UE
Base de datos y documentos de clientes cifrados
En producción con clientes desde 2025
Certificaciones
La barra de cada certificado muestra su ciclo de certificación: cuándo empezó, hasta cuándo es válido y cuánto ha transcurrido.
Seguridad, privacidad y continuidad
ISO/IEC 27701:2019
Gestión de la privacidad
- Certificadora
- Alcumus ISOQAR Limited
- Acreditación
- UKAS (0026)
- Certificado
- 23756-PIM-001
Vigente hasta el 7 mar 2027
7 mar 20247 mar 2027Alcance del certificadoEl sistema de seguridad de la información que da soporte a los Servicios de tramitación de exenciones de doble imposición. SoA v.1 2023.
ISO/IEC 27001:2022
Seguridad de la información
- Certificadora
- Alcumus ISOQAR Limited
- Acreditación
- UKAS (0026)
- Certificado
- 23756-ISMS-001
Vigente hasta el 7 mar 2027
7 mar 20247 mar 2027Alcance del certificadoEl sistema de seguridad de la información que da soporte a los Servicios de tramitación de exenciones de doble imposición. SoA v.1 2023.
ISO 22301:2019
Continuidad de negocio
- Certificadora
- Alcumus ISOQAR Limited
- Acreditación
- UKAS (0026)
- Certificado
- 23756-BCM-001
Vigente hasta el 12 dic 2026
12 dic 202312 dic 2026Recertificación prevista antes de la caducidad.
Alcance del certificadoServicios de tramitación de exenciones de doble imposición.
Otras certificaciones
ISO 14001:2015
Gestión ambiental
- Certificadora
- Alcumus ISOQAR Limited
- Acreditación
- UKAS (0026)
- Certificado
- 23756-EMS-001
Vigente hasta el 12 dic 2026
12 dic 202312 dic 2026Recertificación prevista antes de la caducidad.
Alcance del certificadoServicios de tramitación de exenciones de doble imposición.
ISO 9001:2015
Gestión de la calidad
- Certificadora
- Alcumus ISOQAR Limited
- Acreditación
- UKAS (0026)
- Certificado
- 23756-QMS-001
Vigente hasta el 12 dic 2026
12 dic 202312 dic 2026Recertificación prevista antes de la caducidad.
Alcance del certificadoServicios de tramitación de exenciones de doble imposición.
UNE-ISO 37001:2017
Gestión antisoborno
- Certificadora
- ADOK Certificación, S.L.
- Certificado
- 554382
Vigente hasta el 27 jun 2027
28 jun 202427 jun 2027Alcance del certificadoServicios de tramitación de exenciones de doble imposición. Emplazamiento: Calle Zurbano, 92, 28003 Madrid.
UNE 19601:2017
Compliance penal
- Certificadora
- ADOK Certificación, S.L.
- Certificado
- 194382
Vigente hasta el 27 jun 2027
28 jun 202427 jun 2027Alcance del certificadoServicios de tramitación de exenciones de doble imposición. Emplazamiento: Calle Zurbano, 92, 28003 Madrid.
Documentación
La política de seguridad es pública. El resto de documentos los compartimos tras firmar un acuerdo de confidencialidad.
Política de seguridad de la información y privacidad
Aprobada por la Dirección el 26 de febrero de 2026.
Descargar PDFCertificados vigentes
ISO/IEC 27001, ISO/IEC 27701, ISO 22301, ISO 9001 e ISO 14001.
Bajo NDADeclaración de aplicabilidad
Controles de ISO/IEC 27001 e ISO/IEC 27701 y su estado de implantación.
Bajo NDAPolíticas de seguridad
Control de acceso, copias de seguridad, gestión de incidentes, proveedores, desarrollo seguro y otras.
Bajo NDAContrato de encargo del tratamiento (DPA)
Modelo estándar para clientes.
Bajo NDA
Solicitar documentación
Para tu evaluación de proveedores, compartimos la documentación bajo acuerdo de confidencialidad.
- 01Rellena el formulario.
- 02Te enviamos el acuerdo de confidencialidad.
- 03Una vez firmado, te damos acceso de lectura durante un tiempo limitado.
Lo que hacemos para proteger la información, agrupado por áreas. Todo lo que aparece aquí está comprobado.
Infraestructura en AWS
7 controlesLa plataforma Refunder y los datos de nuestros clientes están en Amazon Web Services, en la región de Irlanda (eu-west-1).
Cifrado en tránsito
El portal de clientes solo acepta TLS 1.2 o 1.3 y redirige a HTTPS cualquier acceso sin cifrar. La base de datos rechaza las conexiones que no usen TLS.
Base de datos cifrada
La base de datos de producción (PostgreSQL en Amazon RDS) está cifrada en reposo, igual que sus copias automáticas.
Documentos de los clientes
Se guardan en Amazon S3 cifrados con claves de AWS KMS, con el acceso público bloqueado y versionado para recuperar cualquier versión anterior.
Alta disponibilidad de la base de datos
Funciona en dos zonas de disponibilidad de Irlanda: una réplica síncrona toma el relevo automáticamente si falla la zona principal.
Copias de seguridad
La base de datos se puede restaurar a cualquier momento de los últimos 35 días. AWS Backup copia los servidores y la base de datos cada día: las copias diarias se conservan 35 días, las semanales 90 días y las mensuales, un año.
Base de datos aislada
La base de datos de producción no es accesible desde Internet y tiene activada la protección contra borrado.
Acceso a la cuenta de AWS
La cuenta raíz está protegida con autenticación multifactor y no tiene claves de acceso.
Plataforma y continuidad
4 controlesInteligencia artificial en la UE
Los modelos de IA se ejecutan en Amazon Bedrock con perfiles de inferencia de la Unión Europea y el contenido no se usa para entrenar modelos. El reconocimiento de texto se hace con Amazon Textract en Irlanda, con el uso del contenido para mejorar servicios de AWS desactivado.
Privacidad desde el diseño
Aplicamos privacidad desde el diseño y por defecto en los cambios de la plataforma, dentro de nuestro sistema certificado según ISO/IEC 27701.
Cambios controlados
La plataforma evoluciona siguiendo nuestro procedimiento de gestión de cambios, dentro del sistema certificado según ISO/IEC 27001.
Continuidad de negocio certificada
Sistema de gestión de la continuidad certificado según ISO 22301, con análisis de impacto, planes por escenario y objetivos de recuperación definidos.
Organización y personas
5 controlesAuditorías independientes
El sistema de gestión se audita internamente cada año y lo revisan auditores externos acreditados en las auditorías de certificación.
Evaluación de proveedores
Antes de contratar a un proveedor con acceso a información, revisamos sus certificaciones y firmamos acuerdos de tratamiento de datos.
Gestión de incidentes
Procedimientos para responder a incidentes de seguridad y notificar las brechas de datos personales a clientes y autoridades en los plazos legales.
Formación del equipo
Plan anual de formación y concienciación en seguridad para todo el equipo, que incluye el uso seguro de herramientas de IA.
Protección de los equipos
Los equipos corporativos tienen protección antimalware gestionada, y los servidores cuentan con análisis de malware mediante Amazon GuardDuty.
Madurez de la plataforma
Refunder, nuestra plataforma de reclamación, está en el nivel 7 de la escala de madurez tecnológica (TRL) que utiliza la Comisión Europea. Funciona en producción con clientes desde 2025.
TRL 7, nuestro nivel actual
Demostración del sistema en un entorno operativo real: Refunder tramita reclamaciones reales de clientes en producción.
Siguientes niveles
TRL 8 corresponde a un sistema completo y cualificado, y TRL 9 a un sistema probado en operación real de forma continuada.
Privacidad y RGPD
Nuestro sistema de gestión de la privacidad está certificado según ISO/IEC 27701. Así aplicamos el RGPD al servicio de reclamación.
Nuestro papel
Cuando nos contrata una entidad financiera
Reclamamos en nombre de sus clientes como encargado del tratamiento (artículo 28 del RGPD), con un contrato de encargo firmado con la entidad.
Cuando nos contrata un inversor particular
Somos responsables del tratamiento de sus datos, en los términos de nuestra política de privacidad.
Qué datos tratamos
Solo los necesarios para tramitar la reclamación: datos identificativos (nombre y DNI o NIF) y los datos bancarios y económicos de los dividendos y cupones que se reclaman. Para el servicio no tratamos categorías especiales de datos.
Dónde están los datos
Los datos del servicio se alojan en la Unión Europea: la plataforma en AWS (Irlanda), sus servicios de IA en regiones de AWS de la UE, y el correo y los archivos en Google Workspace, con almacenamiento en la UE. Los datos salen del Espacio Económico Europeo en dos casos: cuando hay que presentar una reclamación ante una hacienda de fuera del EEE, y en los registros de envío de nuestro proveedor de correo transaccional, que se guardan en EE. UU. En ambos casos, con las garantías que exige el RGPD.
Conservación
Conservamos los datos solo durante el tiempo necesario para prestar el servicio y durante los plazos legales aplicables. Después se eliminan de forma segura.
Qué incluye nuestro contrato de encargo
- Tratamos los datos solo siguiendo las instrucciones documentadas del cliente.
- Todo el personal con acceso tiene un compromiso de confidencialidad por escrito.
- Solo recurrimos a subencargados autorizados, con las mismas obligaciones que nosotros.
- Ayudamos al cliente a atender los derechos de los interesados.
- Notificamos las brechas de seguridad sin dilación indebida.
- Facilitamos las auditorías e inspecciones que el cliente necesite.
- Al terminar el servicio, devolvemos o suprimimos los datos, según elija el cliente.
Cómo lo gestionamos
- Coordinador de Protección de Datos designado.
- Registro de actividades de tratamiento actualizado.
- Evaluación documentada de la necesidad de evaluaciones de impacto.
- Privacidad desde el diseño y por defecto en los cambios de la plataforma.
Para dudas sobre privacidad o sobre nuestro contrato de encargo, escríbenos a seguridad@dividendrefund.com. Para ejercer tus derechos, consulta nuestra política de privacidad.
DORA
El Reglamento (UE) 2022/2554 de resiliencia operativa digital (DORA) no nos aplica: no somos una entidad financiera ni un proveedor de servicios TIC. Nuestro servicio es la tramitación de exenciones y devoluciones por doble imposición.
Si tu entidad necesita información adicional para su evaluación de proveedores, solicítala a través del formulario de documentación o escríbenos a seguridad@dividendrefund.com.
Subencargados
Los proveedores que tratan datos de nuestros clientes para prestar el servicio. Todos alojan los datos en la Unión Europea, salvo los registros de envío de correo, que se guardan en EE. UU. con cláusulas contractuales tipo y el marco de privacidad UE-EE. UU.
| Proveedor | Para qué lo usamos | Dónde están los datos |
|---|---|---|
| Amazon Web ServicesAmazon Web Services EMEA SARL | Infraestructura de la plataforma Refunder: servidores, base de datos, documentos, cifrado y servicios de IA | Unión Europea (Irlanda; IA en regiones de AWS de la UE) |
| Correo, archivos y colaboración (Google Workspace) | Unión Europea (región de datos de Google Workspace) | |
| Despachos colaboradoresDespachos profesionales en la UE | Presentación ante haciendas extranjeras, solo cuando la autoridad lo exige | Unión Europea |
| ResendPlus Five Five, Inc. | Envío de los correos de la plataforma (avisos y enlaces de acceso) | Envío desde la UE (Irlanda); registros de envío en EE. UU. |
Reportar una vulnerabilidad
Si crees que has encontrado un problema de seguridad en nuestros sistemas, escríbenos a seguridad@dividendrefund.com. Confirmaremos la recepción en un máximo de 5 días hábiles.
- Incluye una descripción del problema y los pasos para reproducirlo.
- No accedas, modifiques ni borres datos que no sean tuyos más allá de lo imprescindible para demostrar el problema.
- No hagas pruebas de denegación de servicio, ingeniería social ni pruebas físicas.
- Danos un plazo razonable para corregirlo antes de hacerlo público.