Anexo de Protección de Datos del Partner OEM

Anexo de protección de datos del contrato de partner del programa OEM / marca blanca de Contadeo. Ordena la cadena que se abre cuando una empresa integradora factura al SRI en nombre de sus propios clientes: quién es responsable, quién encargado, quién avisa a quién y en cuánto tiempo.

Se acepta al solicitar el acceso al programa y complementa al Encargo de Tratamiento, que no sustituye: lo proyecta sobre la cadena OEM. Donde este texto remite a "el encargo", remite a ese documento en su versión publicada.

Texto redactado por el operador y pendiente de validación por asesoría legal. Se publica como el compromiso que Contadeo asume desde ya.

EL OPERADOR ("Contadeo"): QUORVIA S.A.S., RUC 0993411554001, Milann Mz. 6 Solar 27 y Verona, La Aurora, Daule, Guayas, Ecuador; contacto: soporte@contadeo.com.

EL PARTNER: la empresa integradora identificada por la razón social, el RUC y la dirección de contacto que registró al solicitar el acceso al programa OEM, y que consta en su ficha de partner.

LOS CLIENTES DEL PARTNER: las empresas emisoras (cada una, un tenant en la plataforma) que el Partner aprovisiona y opera dentro de Contadeo.

1. Objeto

Este anexo forma parte del contrato de partner OEM y regula el tratamiento de datos personales que ocurre cuando el Partner usa la plataforma para que sus clientes emitan comprobantes electrónicos ante el SRI. Su aceptación queda registrada con fecha y versión en la ficha del Partner: la casilla del formulario de alta nombra y enlaza este anexo, y la solicitud no se admite sin marcarla.

Sin la aceptación de este anexo no se emite credencial cdop_. De las solicitudes anteriores a la puesta en marcha de este registro no consta esa fecha en la ficha, porque el registro no existía todavía y no se inventa hacia atrás: en esos casos el operador recaba la aceptación por escrito antes de aprobar la empresa y emitir su primera credencial.

Partners con credencial ya emitida. Lo anterior solo alcanza a quien todavía no tiene key. Para un Partner que ya opera con una credencial cdop_ emitida antes de la entrada en vigor de este anexo (la fecha de su publicación en esta página, que es cuando la plataforma empezó a registrar la aceptación) no queda ningún acto futuro en el que exigir la aceptación, y sin esta previsión se quedaría fuera del anexo precisamente en el caso que la resolución SPDP-SPD-2025-0006-R deja en infracción continuada. A cada uno de ellos Contadeo le remite este anexo a la dirección de contacto de su ficha, con acuse, y el Partner dispone de 15 días término desde esa remisión para devolverlo aceptado por escrito. Vencido el plazo sin aceptación, Contadeo suspende la credencial; transcurridos otros 15 días término sin aceptación, la revoca, con el destino de los datos de la cláusula 12. Mientras corre ese plazo el anexo ya obliga a Contadeo: lo que asume "hacia abajo" en la cláusula 3 rige desde la remisión y no espera a la firma, porque son obligaciones suyas y no dependen de que el Partner las acepte. La aceptación que llegue por esta vía se registra con la fecha de la firma, no con la del asiento.

2. Reparto de papeles

Aquí no hay una cadena inventada para quedar bien: es la que el producto tiene.

• El cliente final es el responsable de los datos de sus compradores, proveedores y destinatarios. Emite con su RUC y su firma electrónica, tiene la obligación tributaria de conservar 7 años y es quien mantiene la relación con el titular. Que opere a través del Partner no le quita ese papel.
• El Partner actúa por cuenta de ese cliente, ordinariamente como encargado suyo: aprovisiona el tenant, crea el emisor, sube el certificado .p12, emite en su nombre y recibe los estados por webhook. Elige el medio (elige Contadeo), no la finalidad.
• El Partner puede ser además responsable de tratamientos propios sobre los mismos titulares dentro de su propia aplicación (su base de clientes, su histórico, su analítica). Eso ocurre fuera de la plataforma, no lo instruye ni lo ejecuta Contadeo, y este anexo no lo cubre: de esos tratamientos responde el Partner por su cuenta y con su propia base de licitud.
• Contadeo es encargado del cliente final por el encargo publicado, y respecto de las instrucciones que entran por la credencial del Partner actúa por debajo de él: subencargado en la cadena, encargado frente al responsable. Ninguna instrucción del Partner amplía las finalidades del numeral 1 del encargo.
• Lo que esta cadena no es. El Partner y Contadeo no son corresponsables: no deciden juntos fines ni medios sobre los datos de los compradores. Y Contadeo no trata esos datos para el Partner con finalidad propia: no los usa para su comercial, su producto ni su analítica.

Datos del propio Partner. Los datos de las personas del Partner (la persona de contacto del alta y el equipo con acceso al portal: nombre, correo y teléfono) los trata Contadeo como responsable, para gestionar el contrato, la credencial, los cortes y el soporte. No es encargo: se rige por el Aviso de Privacidad.

2.1 Título del Partner sobre los datos que instruye tratar

El Partner declara y garantiza que, respecto de cada cliente que aprovisiona:

• tiene con él un contrato escrito que le habilita a tratar los datos de sus compradores para emitir comprobantes por cuenta suya;
• ese contrato incluye la autorización previa y escrita para subcontratar, que es lo que le permite designar a Contadeo (el modelo responsable-encargado de la resolución SPDP-SPD-2025-0006-R exige autorización previa y escrita para subcontratar: no basta el silencio);
• ha puesto a disposición de ese cliente el encargo publicado, que describe las medidas, los subencargados y las transferencias internacionales de la plataforma, y
• el cliente conoce y consiente que su facturación se opere sobre Contadeo.

Contadeo no verifica caso por caso esos títulos: el Partner responde de ellos y mantiene indemne a Contadeo por su ausencia, en los términos de la cláusula 13.

3. Espejo de las obligaciones del encargo

Las cláusulas del encargo publicado se aplican a esta relación en los dos sentidos:

• Hacia abajo (Contadeo → Partner). Contadeo asume frente al Partner las mismas obligaciones que el encargo le impone frente al responsable: instrucciones y limitación de finalidad (cláusula 3), confidencialidad del personal con acceso (4), medidas de seguridad del Art. 37 LOPDP (5), subencargados con lista publicada y aviso previo (6), transferencias internacionales con el estado real declarado (6.1), asistencia y plazos (7), destino de los datos al terminar (8), auditoría (9), canal MCP (10) y responsabilidad e indemnidad (11).
• Hacia arriba (Partner → sus clientes). El Partner se obliga a imponer a sus clientes-responsables, o a asumir frente a ellos, obligaciones no inferiores a las de este anexo, de modo que la cadena no pierda garantías en ningún eslabón. En particular: los plazos de la cláusula 8 (brechas), la cascada de la 9 (derechos) y las condiciones de la 12 (fin de la relación).

Cuando un plazo de este anexo sea más estricto que el del encargo, rige el más estricto.

4. Qué datos ve el Partner y por dónde

Escrito por superficie real, no por categoría abstracta:

Y lo que el Partner no puede, por diseño y no por promesa: una credencial cdop_ con un X-Cuenta de un tenant que no gestiona recibe 403, y dentro de cada tenant el aislamiento lo fuerza el Row-Level Security de PostgreSQL. Las credenciales cdop_ no llevan nunca el rol owner: se emiten con admin y emisor, y sobre eso se apoyan las cláusulas 9 y 12.

5. Instrucciones y limitación de finalidad

Contadeo trata los datos de los compradores de los clientes del Partner únicamente para las finalidades del numeral 1 del encargo y conforme a las instrucciones que llegan por la credencial del Partner o por la configuración de la plataforma. No los usa para fines propios, no los cede y no los cruza entre tenants.

El uso de una funcionalidad es la instrucción: activar las notificaciones por correo instruye el envío al comprador; habilitar el canal MCP instruye lo que la cláusula 10 del encargo describe, con el reparto de papeles que allí consta y que el Partner traslada a su cliente.

6. Confidencialidad

Rige la cláusula 4 del encargo: nadie accede a los datos sin compromiso de confidencialidad por escrito previo, sea personal propio, profesional independiente o colaborador externo con acceso a producción, y la obligación subsiste tras terminar el vínculo.

El Partner asume la obligación equivalente respecto de su propio personal con acceso a la credencial cdop_, al portal o a los datos que la plataforma le devuelve.

7. Seguridad y custodia de las credenciales

Las medidas de Contadeo son las de la cláusula 5 del encargo. Del lado del Partner, y como medida de seguridad exigible en esta cadena:

• La partner key cdop_ se muestra una sola vez y se guarda solo su hash SHA-256: el Partner la custodia como secreto, no la incrusta en clientes ni aplicaciones distribuidas, y avisa a Contadeo sin dilación si sospecha que se comprometió, para revocarla.
• El secreto del webhook se verifica en cada entrega con comparación en tiempo constante y rechazo de marcas de tiempo viejas. Un endpoint de webhook que no verifica la firma es una puerta abierta a datos de comprobantes de sus clientes.
• Los certificados .p12 de sus clientes se suben por la API y quedan cifrados con AES-256-GCM en esquema envelope; el Partner no los conserva en claro en sus propios sistemas más allá de lo necesario para subirlos.
• El Partner mantiene su cuenta del portal con segundo factor cuando gestione más de un cliente, y retira el acceso de las personas de su equipo que dejen de necesitarlo.

8. Notificación de vulneraciones de seguridad: 24 horas

Contadeo comunicará al Partner toda vulneración de seguridad que afecte a los datos de los tenants que gestiona sin dilación y a más tardar en 24 horas desde que la conozca, con la información necesaria para que el Partner cumpla sus propios deberes hacia arriba. Si a las 24 horas no dispone de todos los detalles, comunicará lo que sepa y completará la información conforme avance el análisis, sin esperar a tenerlo todo.

Por qué 24 horas y no 2 días. El modelo responsable-encargado de la resolución SPDP-SPD-2025-0006-R fija en 2 días término el plazo máximo del encargado para avisar al responsable. En una cadena de tres, ese plazo se consume dos veces: si Contadeo agotara sus 2 días término, al Partner no le quedaría margen para avisar a su cliente dentro de los suyos, y al cliente responsable le quedaría un plazo imposible para notificar a los titulares dentro de los 3 días término del Art. 46 de la LOPDP y a la Superintendencia dentro de los 5 días término del Art. 43. El reloj que manda en esta cadena es el corto, el de los 3 días hacia el titular. Contadeo se obliga por debajo del máximo para que el reloj de cada eslabón siga siendo real. El Partner, a su vez, avisa a su cliente responsable dentro de sus 2 días término, y ese aviso no espera a tener el análisis cerrado.

El canal es la dirección de contacto registrada por el Partner, con confirmación por el canal de soporte. Los plazos en días término se cuentan en días hábiles; los expresados en horas corren de forma continua desde el hecho que los origina.

9. Cascada de solicitudes de derechos

Una solicitud de un titular (acceso, rectificación, actualización, eliminación, oposición o portabilidad) la resuelve el responsable: el cliente final. Lo que este anexo ordena es el camino y los relojes, que son los de la resolución SPDP-SPD-2025-0030-R:

• Si la solicitud llega a Contadeo, Contadeo no la resuelve por su cuenta: la traslada al Partner en un máximo de 2 días término desde que la recibe, informa al titular del traslado y de quién es el responsable, y colabora después para que quede resuelta dentro de los 15 días legales del responsable.
• Si la solicitud llega al Partner, este la traslada a su cliente responsable dentro de su propio plazo de 2 días término y, si necesita a Contadeo para ejecutarla, la canaliza por soporte o por la API.
• Suspensión del tratamiento: máximo 3 días término desde la notificación (art. 16). El Partner tiene además la palanca inmediata: PATCH /partner/tenants/:id {estado:"suspendido"} bloquea la emisión de ese cliente en el acto.
• Eliminación: máximo 3 días término (art. 23). La supresión granular por comprador se pide con POST /privacidad/supresiones, endpoint que admite rol admin, de modo que el Partner puede ejecutarla él mismo con su credencial cdop_ y su X-Cuenta.
• Cuando la eliminación no procede porque una obligación legal ampara la conservación (el caso ordinario aquí: los comprobantes y su trazabilidad se conservan 7 años desde su emisión), el dato no se borra: queda bloqueado (arts. 12-14), fuera de las búsquedas de la plataforma, del canal MCP, de los reenvíos y de cualquier otro uso, y solo se trata para atender un requerimiento de la autoridad tributaria o judicial. Contadeo lo comunica dentro del mismo plazo.
• Constancia: el documento acreditativo de eliminación se consulta en GET /privacidad/constancias, endpoint de rol owner. Como la credencial del Partner no lleva owner, Contadeo se la entrega al Partner por el canal de soporte a su solicitud, dentro de los 3 días término del propio plazo.

10. Subencargados

El Partner autoriza de forma general a Contadeo a recurrir a los subencargados de la lista publicada en la cláusula 6 del encargo de tratamiento, consultable en cualquier momento. La autorización no es en blanco: queda sujeta a esa lista, al aviso previo y al derecho de objeción de esta cláusula.

Contadeo avisará de la incorporación o sustitución de un subencargado con al menos 15 días de antelación a que este empiece a tratar datos, por dos vías a la vez: correo electrónico a la dirección de contacto registrada por el Partner y actualización de la página publicada. Dentro de esos 15 días el Partner puede oponerse por escrito y de forma motivada; si la objeción no se resuelve con una alternativa aceptable para ambas partes, el Partner puede terminar el contrato sin penalidad y con derecho a la devolución de los datos prevista en la cláusula 12.

Contadeo impone a cada subencargado, por escrito, obligaciones de protección equivalentes, y responde frente al Partner por el tratamiento que aquellos realicen.

El Partner, a su vez, no puede subcontratar a un tercero el acceso a los datos que la plataforma le devuelve sin la autorización previa y escrita de su propio cliente responsable, y lo comunicará a Contadeo cuando ese tercero vaya a operar la credencial cdop_.

11. Transferencias internacionales

El alojamiento de la plataforma ocurre fuera de Ecuador y el proveedor de correo trata en la Unión Europea. El estado real de esos flujos (qué instrumento está firmado, qué requisito falta y bajo qué transitoria corren) está declarado sin adornos en la cláusula 6.1 del encargo de tratamiento.

El Partner conoce y traslada esa información a sus clientes antes de aprovisionarlos: informar previamente de la transferencia es deber del responsable, y sin este traslado el responsable no puede cumplirlo.

12. Fin de la relación: devolución o eliminación en 5 días

Terminado el contrato de partner, o terminada la relación con un cliente concreto, el destino de los datos lo elige el responsable (el cliente final) entre devolución y eliminación, y Contadeo ejecuta lo instruido en un máximo de 5 días término (art. 24 de la resolución SPDP-SPD-2025-0030-R), con documento acreditativo.

Cómo está implementado de verdad, no cómo debería estarlo:

• Fase 1, devolución. POST /tenants/current/baja devuelve el paquete en el acto, en su propia respuesta: CSV sin tope de clientes, productos y comprobantes, con Producción y Pruebas separados, más un manifiesto paginado con URLs prefirmadas de cada XML y cada RIDE. Queda fuera lo que una supresión anterior dejó bloqueado: devolver la ficha o el RIDE de quien pidió desaparecer sacaría su nombre y su dirección de la plataforma por la puerta de atrás. No bloquea ni apaga nada: la empresa sigue emitiendo mientras el titular se lleva sus datos, y repetir la llamada no reinicia el plazo. Las URLs caducan a las 24 horas y GET /tenants/current/baja/manifiesto las regenera, también con la empresa ya archivada, porque los 7 años ante el SRI son obligación del titular.
• Fase 2, archivo bloqueado. POST /tenants/current/baja/confirmar archiva por cualquiera de los dos caminos del art. 24: la confirmación expresa de que el paquete ya se descargó (confirmoDevolucion: true) o que hayan pasado los 5 días desde la solicitud; antes del plazo y sin el flag, responde 409. No hay proceso automático: hace falta siempre una llamada. Al archivar, la empresa sale de operación y sus comprobantes y fichas del directorio quedan bloqueados en masa, no borrados: el borrado físico se difiere al cumplimiento de los 7 años, porque el bloqueo de los arts. 12-14 es precisamente la forma que la norma da a la conservación amparada por una obligación legal.
• Constancia. El archivo emite una constancia de alcance archivo_empresa, el único que no certifica un borrado: su inventario va entero en lo conservado, con el borrado diferido declarado, y lleva un hash SHA-256 canónico que la hace verificable.
• Empresa que nunca emitió. Ahí sí hay eliminación efectiva: DELETE /tenants/:id borra los datos y los objetos del tenant en el almacenamiento, y devuelve la constancia de eliminación en la propia respuesta, porque después no queda sesión desde la que pedirla.

Limitación conocida, y se dice porque es verdad. Los tres endpoints de la baja exigen rol owner, y una credencial cdop_ solo lleva admin o emisor; además, un tenant gestionado nace sin usuario. De modo que hoy el Partner no puede ejecutar por sí mismo la baja de un cliente gestionado: la pide por escrito al canal de soporte y Contadeo la ejecuta dentro del mismo plazo de 5 días término, entregando al Partner el paquete de devolución y la constancia. Si el cliente final tiene usuario propio con rol owner en el dashboard, puede ejecutarla él mismo. Contadeo se obliga a que el plazo se cumpla por cualquiera de las dos vías.

13. Responsabilidad, indemnidad y repetición

Cada parte responde por los daños causados por su incumplimiento de la LOPDP y de este anexo.

Indemnidad de Contadeo hacia el Partner. Contadeo mantendrá indemne al Partner y le reembolsará las multas, indemnizaciones, costas y gastos de defensa que este deba asumir frente a los titulares, frente a sus clientes o ante la Superintendencia cuando deriven de un incumplimiento imputable a Contadeo o a sus subencargados, incluido el tratamiento fuera de las instrucciones documentadas. El Partner conserva su derecho de repetición contra Contadeo por lo que haya pagado en esos supuestos.

Indemnidad del Partner hacia Contadeo. La regla opera a la inversa: el Partner mantendrá indemne a Contadeo por lo que derive de instrucciones ilícitas suyas, de la falta de los títulos de la cláusula 2.1, de tratamientos propios que decida por su cuenta fuera de la plataforma o del incumplimiento de sus obligaciones de custodia de la cláusula 7. Contadeo conserva el mismo derecho de repetición.

Sin exención encubierta. Ninguna estipulación de este anexo, del contrato de partner ni de los Términos y Condiciones, incluida su limitación de responsabilidad, exime a Contadeo de sus obligaciones legales en materia de protección de datos ni limita su responsabilidad frente a los titulares o frente a la Superintendencia.

14. Delegado de Protección de Datos del Partner

El art. 10.13 de la resolución SPDP-SPD-2025-0028-R obliga a designar Delegado de Protección de Datos a las personas jurídicas privadas que presten servicios de tecnologías de la información, incluidas las dedicadas al desarrollo, implementación o despliegue de inteligencia artificial, sin umbral de tamaño ni de volumen.

Un partner OEM es, casi por definición, una empresa de software. Si el Partner es persona jurídica ecuatoriana y su giro son servicios de tecnologías de la información, está obligado a designar su propio delegado, por pequeño que sea, y a inscribirlo en el portal de la Superintendencia dentro de los 15 días término siguientes a la designación. Esa obligación es suya y Contadeo no la suple: el delegado de Contadeo no es el delegado del Partner.

El Partner declara en el onboarding si le alcanza esa obligación y, si tiene delegado designado, facilita su nombre y su canal de contacto, que pasa a ser el destinatario preferente de las comunicaciones de las cláusulas 8 y 9.

Canal del delegado de Contadeo: [correo del DPD, pendiente de designación]. La designación está en curso conforme a las resoluciones SPDP-SPD-2025-0028-R y SPDP-SPD-2026-0005-R; mientras no haya delegado designado, las comunicaciones de este anexo se dirigen al contacto de Contadeo indicado al inicio.

15. Vigencia y aceptación

Este anexo rige desde su aceptación y mientras el Partner mantenga una credencial activa o un tenant gestionado, salvo lo previsto en la cláusula 1 para los partners con credencial emitida antes de la entrada en vigor de este anexo: frente a ellos las obligaciones de Contadeo rigen desde la remisión del anexo, y las del Partner desde que lo acepta o, si no lo acepta, hasta la revocación de su credencial. Las cláusulas 6 (confidencialidad), 12 (fin de la relación) y 13 (responsabilidad) subsisten tras su terminación. Ley aplicable: República del Ecuador.

La aceptación se registra con fecha y versión en la ficha del Partner. Un cambio de versión se comunica por la vía y con el preaviso de la cláusula 10.

Versión 0.1, del 2 de septiembre de 2026. Primera versión: antes de ella el contrato de partner OEM no tenía anexo de protección de datos.

Anexo A. Verificación contra el art. 4 de la SPDP-SPD-2025-0006-R

El art. 4 de la resolución funciona como checklist negativo de redacción: enumera doce defectos en los que una cláusula de protección de datos no puede caracterizarse, cada uno con su encabezado propio (4.1 a 4.12). Los doce se contrastan aquí, y los encabezados van con el literal del PDF oficial de la resolución publicado por la SPDP (spdp.gob.ec, art. 4). Lo que sigue pendiente no es el texto de la norma, que está disponible y leído, sino el juicio profesional sobre si cada respuesta basta: eso lo cierra la validación por asesoría legal que este documento declara al inicio.