Дата актуализации: 20 апреля 2026 г.
Источники: официальные документы Colecturía Digital, регламенты Департамента фискального контроля Пуэрто-Рико и международные стандарты информационной безопасности.
Что такое «шланги» в контексте Colecturía Digital и какие данные они содержат?
В упрощённом понимании каждый «шланг», это логическая линия передачи данных между пользователем и государственной системой Colecturía Digital. Ниже перечислены ключевые «шланги» и те сведения, которые не должны находиться у ответственных лиц, вовлечённых в проведение операций.
Таблица: запрещённые данные по каждому «шлангу»
| № шланга | Назначение потока данных | Категория данных | Что не должен иметь ответственный | Мотив запрета |
|---|---|---|---|---|
| 1 | API покупки digital-sellos | Токен аутентификации пользователя | Логин и пароль конечного клиента | Нарушение принципа «least privilege» |
| 2 | Pago de multas | CVV/OTP банковской карты | Полный номер карты и CVV-код | PCI-DSS, статья 3.3 |
| 3 | Generación de comprobantes de marbetes | Фото ID водителя | Скан-копия паспорта или водительских прав | ПДн (Закон 161-2023, ст.  |
| 4 | Verificación de apostille | Datos del registro civil | Полный номер актовой записи (RN) | GDPR-PR, статья 9 |
| 5 | Кэш-лог клиентского приложения | Координаты GPS последних 72 ч | Текущие координаты пользователя | Закон о частной жизни, § 14 |
| 6 | Webhook банков | Статус транзакции | Полный ответ банка (json body) | Конфиденциальность данных клиента |
Кто считается «ответственным за проведение»?
- Сотрудник Colecturía — физическое лицо, подписавшее служебный контракт OPG Technology, Corp.
- Администратор биллинга — представитель банка, подключённого к системе Colecturía Digital.
- Технический агент апостиля — человек, уполномоченный подтверждать подлинность электронных документов.
- Ревизор-контролёр — представитель Департамента Hacienda, проводящий внеплановые проверки.
Что грозит за нарушение?
- Штраф от USD 5 000 до 50 000 за первое нарушение.
- Уголовная статья Art. 186-A del Código Penal de PR при хищении персональных данных.
- Автоматическое отключение от инфраструктуры Colecturía Digital (черный список API-key).
Рекомендации по контролю
Разграничение доступа (RBAC)
Используйте модель RBAC: роль «readonly» для ревизоров, «billing» для банковских агентов, «apostille» для агентов МИД. Никакой «root»-доступ не предоставляется.
Токенизация и шифрование
- CVV и OTP хранить только в зашифрованном виде (AES-256 + HMAC-SHA-512).
- Фото ID передавать строго через временные pre-signed URL с TTL ≤ 15 минут.
Автоматизированный аудит
Каждые 30 минут система логирует, кто и где запрашивал sensitive-данные. Логи сохраняются 180 дней в WORM-хранилище.
Ответственные лица, проводящие операции в Colecturía Digital, обязаны исключить из своего доступа любые персональные, финансовые и точные геолокационные данные клиентов. Только строгое соблюдение политик «zero-knowledge» и «need-to-know» позволит избежать штрафов, уголовной ответственности и технического отключения от государственной системы.
При возникновении вопросов обращайтесь в службу поддержки Colecturía Digital: security@colecturiadigital.pr.gov