Encargo de Tratamiento de Datos Personales

Anexo conforme al Art. 49 de la LOPDP (Ecuador) que regula la relación entre cada empresa emisora (el Responsable del tratamiento) y el operador de la plataforma (el Encargado). Forma parte de los Términos y Condiciones por referencia: al usar el servicio con datos de terceros, el titular de la cuenta lo acepta como Responsable.

RESPONSABLE DEL TRATAMIENTO («el Responsable»): la empresa emisora titular de la cuenta (tenant), identificada por el RUC y la razón social que registra en la plataforma.

ENCARGADO DEL TRATAMIENTO («el Encargado»): QUORVIA S.A.S., RUC 0993411554001, Milann Mz. 6 Solar 27 y Verona, La Aurora, Daule, Guayas, Ecuador; contacto: soporte@contadeo.com.

1. Objeto

El Encargado tratará, por cuenta y bajo instrucciones del Responsable, los datos personales necesarios para la prestación del servicio de emisión de comprobantes electrónicos ante el SRI: recepción de datos de compradores, proveedores y destinatarios; construcción y firma de los XML; transmisión al SRI; generación del RIDE; almacenamiento de los documentos; y, si el Responsable lo activa, envío del comprobante por email al receptor.

2. Datos y titulares afectados

• Titulares: clientes, proveedores y destinatarios del Responsable; sus usuarios autorizados en la plataforma.
• Categorías de datos: identificación (cédula/RUC/pasaporte), nombre o razón social, dirección, email, teléfono, placa; datos transaccionales de los comprobantes. No se tratan categorías especiales de datos.

3. Instrucciones y limitación de finalidad

El Encargado tratará los datos únicamente para las finalidades del numeral 1 y conforme a las instrucciones documentadas del Responsable (incluida la configuración que este realice en la plataforma). No los usará para fines propios ni los cederá a terceros, salvo obligación legal — en cuyo caso lo informará al Responsable antes del tratamiento, salvo prohibición legal.

4. Confidencialidad

El Encargado no concede acceso a los datos del Responsable a ninguna persona que no haya suscrito antes un compromiso de confidencialidad por escrito. Esa exigencia alcanza a todo el personal con acceso, sea cual sea su vínculo: personal propio, profesionales independientes contratados por obra o servicio y colaboradores externos con acceso a los entornos de producción. La obligación subsiste tras terminar la relación laboral o contractual, y el Encargado mantiene los compromisos firmados a disposición del Responsable dentro de la auditoría de la cláusula 9.

5. Medidas de seguridad (Art. 37 LOPDP)

El Encargado implementa, como mínimo:

• Cifrado de los certificados de firma electrónica (.p12 + contraseña) con AES-256-GCM bajo esquema envelope (clave de cifrado por certificado, protegida a su vez por una clave maestra custodiada fuera de la base de datos).
• Contraseñas de usuarios con Argon2id (nunca en claro).
• Aislamiento por tenant con Row-Level Security forzado en PostgreSQL y conexión de aplicación sin privilegios de superusuario.
• Control de acceso por roles (owner, admin, emisor, contador, lector) y tokens de sesión de corta duración con renovación.
• TLS en el transporte (producción) y URLs de descarga prefirmadas con expiración.
• Depuración automática de datos personales en colas de procesamiento (completados ≤ 24 h, fallidos ≤ 7 días) y minimización en registros (emails enmascarados).
• Registro de los accesos del personal de soporte a datos de clientes.
• Copias de seguridad cifradas en tránsito con retención rotativa de 14 días.

6. Subencargados

El Responsable autoriza de forma general al Encargado a recurrir a los subencargados de la lista siguiente, necesarios para la prestación del servicio. La autorización no es en blanco: queda sujeta a la lista publicada, al aviso previo y al derecho de objeción de esta misma cláusula.

Lista vigente al 2 de septiembre de 2026:

dLocal Go, el procesador de pagos de la suscripción, no es subencargado. Trata el correo y el número de documento de quien paga como responsable de su propio tratamiento, con su propia base de licitud, y no recibe datos de los compradores del Responsable. Se nombra aquí por transparencia, no como parte de la autorización anterior. El proveedor del modelo de un asistente de IA tampoco es subencargado del Encargado: la cláusula 10 explica por qué y a quién corresponde ese flujo.

Lista publicada y aviso previo de cambios. La lista vigente es la de esta cláusula, publicada en contadeo.com/encargo-tratamiento y consultable en cualquier momento. El Encargado avisará de la incorporación o sustitución de un subencargado con al menos 15 días de antelación a que este empiece a tratar datos, por dos vías a la vez: correo electrónico a la dirección de contacto de la cuenta y actualización de esta página. Dentro de esos 15 días el Responsable puede oponerse por escrito y de forma motivada; si la objeción no se resuelve con una alternativa aceptable para ambas partes, el Responsable puede dar por terminada la relación sin penalidad y con derecho a la devolución de los datos prevista en la cláusula 8.

El Encargado impone a cada subencargado, por escrito, obligaciones de protección equivalentes a las de este anexo, y responde frente al Responsable por el tratamiento que aquellos realicen.

6.1 Transferencia internacional

El tratamiento por el subencargado de alojamiento ocurre fuera de Ecuador (Estados Unidos) y el del proveedor de correo, en la Unión Europea. Ninguno de los dos destinos cuenta hoy con declaración de adecuación de la Superintendencia de Protección de Datos Personales, que aún no ha publicado el listado de países con nivel adecuado, de modo que ambos flujos se amparan en cláusulas contractuales que imponen obligaciones de protección equivalentes a las de la ley ecuatoriana, sumadas a las medidas técnicas de la cláusula 5, y, mientras esas cláusulas se completan hasta el estándar de garantía adecuada del Art. 57 LOPDP, en el plan de adecuación de la transitoria primera de la resolución SPDP-SPD-2026-0004-R, con el alcance y las carencias que se detallan a continuación.

Dónde está exactamente ese amparo, dicho sin adornos:

• Instrumento suscrito. El Encargado firmó con Netcup GmbH un contrato de tratamiento de datos conforme al Art. 28 del RGPD con fecha 18 de agosto de 2026, que incluye las obligaciones de subencargado y nombra a los subencargados ulteriores de la tabla anterior. Con el proveedor de correo rigen sus condiciones estándar de tratamiento, aceptadas al contratar el servicio.
• Adecuación en curso. Esos instrumentos todavía no cubren todos los requisitos que la resolución SPDP-SPD-2026-0004-R exige a una garantía adecuada, señaladamente el sometimiento expreso del destinatario a la jurisdicción de la Superintendencia y de los jueces ecuatorianos. Por eso los flujos se acogen además al plan de adecuación de la transitoria primera de esa resolución, que el Encargado presentará ante la Superintendencia junto con la notificación de sus transferencias antes del vencimiento del 13 de febrero de 2027. Mientras el plan se ejecuta, la transitoria segunda de esa resolución suspende la imposición de sanciones sobre los flujos declarados.
• Documentación disponible. El contraste requisito por requisito, el cronograma de hitos y el estado de cada uno constan en el plan de adecuación de transferencias internacionales del Encargado (TRANSFERENCIAS-PLAN-ADECUACION.md, hito H-12a, del que procede la redacción de esta cláusula). El Encargado entrega ese plan y el contrato de alojamiento al Responsable a su solicitud.

7. Asistencia al Responsable

El Encargado asistirá al Responsable, teniendo en cuenta la naturaleza del tratamiento, en:

• La atención de los derechos de los titulares (acceso, rectificación, actualización, eliminación, oposición y portabilidad), mediante las funciones de la plataforma o soporte directo, dentro del plazo legal de 15 días. Cuando un titular dirija su solicitud directamente al Encargado, este no la resolverá por su cuenta: la trasladará al Responsable en un máximo de 2 días término desde que la reciba, informará al titular de ese traslado y de quién es el responsable, y colaborará después con el Responsable para que la solicitud quede resuelta dentro de esos 15 días.
• La ejecución de las instrucciones sobre el ciclo de vida del dato, con los relojes de la resolución SPDP-SPD-2025-0030-R: suspensión del tratamiento en un máximo de 3 días término desde la notificación del Responsable (Art. 16) y eliminación en un máximo de 3 días término (Art. 23). Cuando la eliminación no proceda porque una obligación legal ampara la conservación, el dato queda bloqueado en los términos de la cláusula 8 y el Encargado se lo comunica al Responsable dentro del mismo plazo.
• La notificación de vulneraciones de seguridad: el Encargado comunicará al Responsable toda brecha que afecte a sus datos sin dilación y a más tardar en 24 horas desde que la conozca, con la información necesaria para que el Responsable notifique a los titulares dentro de su plazo legal de 3 días término (Art. 46 LOPDP) y a la Superintendencia dentro de los 5 días término del Art. 43 de la misma ley. Ese compromiso de 24 horas es más estricto que el mínimo normativo: el modelo de cláusula responsable-encargado de la resolución SPDP-SPD-2025-0006-R fija en 2 días término el plazo máximo del encargado para avisar al responsable, y el Encargado se obliga por debajo de ese máximo para dejar margen real de reacción. Si a las 24 horas no dispone de todos los detalles, comunicará lo que sepa y completará la información conforme avance el análisis, sin esperar a tenerlo todo.
• Las evaluaciones de impacto y consultas previas que correspondan, aportando la información técnica del tratamiento que el Responsable no puede obtener por sí mismo.

Canal del delegado de protección de datos del Encargado: [correo del DPD, pendiente de designación]. La designación está en curso conforme a las resoluciones SPDP-SPD-2025-0028-R y SPDP-SPD-2026-0005-R; mientras no haya delegado designado, las comunicaciones de esta cláusula se dirigen al contacto del Encargado indicado al inicio de este anexo.

Los plazos de este anexo expresados en días término se cuentan en días hábiles; los expresados en horas corren de forma continua desde el hecho que los origina.

8. Destino de los datos al terminar el servicio

Terminada la relación, el Responsable elige entre devolución y eliminación y comunica su elección por escrito. El Encargado ejecuta lo instruido en un máximo de 5 días término desde esa instrucción (Art. 24 de la resolución SPDP-SPD-2025-0030-R). Si el Responsable no instruye nada dentro de los 30 días posteriores a la terminación, el Encargado se lo advertirá una vez más y procederá a la eliminación.

• Devolución: exportación de la base de clientes, de los comprobantes (XML y RIDE) y de su trazabilidad, en formato estructurado y de uso común. La conservación de esos comprobantes durante 7 años ante el SRI corresponde al Responsable.
• Eliminación: borrado de los datos personales y de sus copias en los sistemas del Encargado, incluidas las copias de seguridad conforme venza su ciclo rotativo, de 14 días como máximo contados desde el borrado en los sistemas activos. El Encargado entregará al Responsable un documento acreditativo de la eliminación: constancia firmada con la fecha de ejecución, el alcance (qué categorías y en qué sistemas), qué quedó bloqueado por el párrafo siguiente y hasta cuándo, y quién la ejecutó.
• Conservación excepcional por obligación legal: los comprobantes electrónicos y su trazabilidad se conservan 7 años contados desde su emisión (Código Tributario). No se eliminan en el plazo anterior, pero tampoco siguen en caliente: pasan a un archivo separado y bloqueado (la "base de datos separada y bloqueada" del Art. 24 de la resolución SPDP-SPD-2025-0030-R), con acceso limitado y restringido al personal indispensable, fuera de las búsquedas de la plataforma, del canal MCP de la cláusula 10, de los reenvíos y de cualquier otro uso, y tratados únicamente para atender un requerimiento de la autoridad tributaria o judicial. Cumplido el plazo se eliminan o se anonimizan.

9. Auditoría

El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este anexo: el registro de actividades de tratamiento en lo que le concierna, la lista de subencargados y sus contratos, los compromisos de confidencialidad de la cláusula 4 y las constancias de eliminación de la cláusula 8.

El Responsable puede auditar, por sí o por un tercero sujeto a confidencialidad, una vez al año y además cuando ocurra una vulneración que afecte a sus datos, con preaviso de 15 días, en horario laborable y sin acceso a datos de otros tenants. Cada parte asume sus propios costes.

10. Canal MCP y asistentes de inteligencia artificial

El Encargado pone a disposición un servidor MCP que permite conectar un asistente de inteligencia artificial a la cuenta del Responsable. Ese canal tiene su propio reparto de papeles y aquí queda escrito:

• Usarlo es una instrucción del Responsable. El canal no trata nada mientras el Responsable no lo habilite creando una API key o autorizando el conector remoto. Hacerlo constituye una instrucción documentada de tratamiento en el sentido de la cláusula 3, con el alcance que el rol de esa credencial permita.
• Qué datos entran al contexto del asistente. Los que las herramientas devuelven sobre los compradores, proveedores y destinatarios acerca de los que el Responsable consulte o emita: identificación, nombre o razón social, dirección, correo, teléfono y datos transaccionales del comprobante. Esos datos pueden incorporarse al contexto del asistente de IA que el Responsable elija.
• El proveedor del modelo no es subencargado del Encargado. El Encargado no lo elige, no lo contrata y no le remite datos: la transmisión ocurre entre el cliente de IA que el Responsable conectó y el proveedor de ese modelo. El Responsable la ejecuta y responde por ella, incluido el cumplimiento del régimen de transferencias internacionales cuando ese proveedor trate los datos fuera del Ecuador. Por eso ese proveedor no figura en la lista de la cláusula 6 ni se incorporará a ella por este motivo.
• El deber de informar es del Responsable. Como responsable del tratamiento y como desplegador del sistema de IA (resolución SPSP-SPD-2026-0009-R), corresponde al Responsable informar a los titulares de que hay un sistema de IA de por medio e incorporar ese tratamiento a su registro de actividades. Para facilitarlo, el Encargado publica en /aviso-ia un texto modelo para el aviso de privacidad del Responsable (TEXTO-MODELO-AVISO-IA.md), que el Responsable adapta y valida por su cuenta.
• Lo que el Encargado sí sostiene en este canal. Ninguna emisión sale sin confirmación humana sobre el resumen previamente mostrado; los cálculos tributarios se hacen en el servidor y no en el modelo, de modo que no hay decisión basada únicamente en tratamiento automatizado (Art. 20 LOPDP); la credencial y el aislamiento por tenant acotan lo que el asistente puede ver; las instrucciones del servidor ordenan al asistente usar los datos solo para la tarea en curso; y cada llamada queda auditada sin datos personales (herramienta, resultado y número de registros expuestos, nunca la identificación ni el correo del titular).

11. Responsabilidad, indemnidad y vigencia

Cada parte responde por los daños causados por su incumplimiento de la LOPDP y de este anexo.

Indemnidad y derecho de repetición. El Encargado mantendrá indemne al Responsable y le reembolsará las multas, indemnizaciones, costas y gastos de defensa que este deba asumir frente a los titulares o ante la Superintendencia cuando deriven de un incumplimiento imputable al Encargado o a sus subencargados, incluido el tratamiento fuera de las instrucciones documentadas. El Responsable conserva su derecho de repetición contra el Encargado por lo que haya pagado en esos supuestos. La regla opera también a la inversa: el Responsable mantendrá indemne al Encargado por lo que derive de instrucciones ilícitas suyas o de tratamientos que decida por su cuenta, señaladamente el de la cláusula 10.

Sin exención encubierta. Ninguna estipulación de este anexo ni de los Términos y Condiciones, incluida la limitación de responsabilidad de su numeral 11, exime al Encargado de sus obligaciones legales como encargado del tratamiento ni limita su responsabilidad frente a los titulares o frente a la Superintendencia.

Vigencia. Este anexo rige mientras el Responsable mantenga su cuenta en la plataforma. Las cláusulas 4 (confidencialidad), 8 (destino de los datos) y 11 (responsabilidad) subsisten tras su terminación. Ley aplicable: República del Ecuador.

Versión del 2 de septiembre de 2026, que incorpora los plazos de las resoluciones SPDP-SPD-2025-0006-R y SPDP-SPD-2025-0030-R, la lista publicada de subencargados con aviso previo, la cláusula 10 del canal MCP y el estado real de las transferencias internacionales; la anterior era del 18 de agosto de 2026.