Aviso de Privacidad

Esta plataforma de facturación electrónica es operada por QUORVIA S.A.S. (RUC 0993411554001, Milann Mz. 6 Solar 27 y Verona, La Aurora, Daule, Guayas, Ecuador) y funciona bajo los roles definidos por la LOPDP:

• Para los datos de su cuenta (email, nombre, contraseña): el operador de la plataforma actúa como responsable del tratamiento.
• Para los datos de los comprobantes (clientes, proveedores, destinatarios de cada empresa emisora): la empresa emisora (tenant) es la responsable y la plataforma actúa como encargada del tratamiento, bajo sus instrucciones y conforme al Encargo de Tratamiento.
• Para los datos de contacto profesional de quien recibe un correo comercial nuestro sin ser todavía cliente: el operador actúa como responsable del tratamiento. Este supuesto tiene su propia sección, la 10.

• Cuenta: email, nombre, contraseña (almacenada solo como hash Argon2id), fechas de aceptación de este aviso y de los términos.
• Evidencia de las declaraciones de titularidad (del RUC y de la firma electrónica): fecha, usuario, dirección IP desde la que se declaró y versión del texto aceptado. Se conserva mientras exista la cuenta o el certificado, como prueba de la autorización expresa del titular.
• Empresa emisora: RUC, razón social, direcciones, certificado de firma electrónica (cifrado con AES-256-GCM).
• Clientes / proveedores / destinatarios del emisor: tipo y número de identificación (cédula, RUC o pasaporte), nombre o razón social y, si el emisor los registra, email, teléfono, dirección y placa.
• Comprobantes: XML firmados/autorizados y RIDE (PDF), que incluyen los datos del comprador exigidos por la normativa tributaria.

• Emisión de comprobantes electrónicos y su transmisión al SRI: cumplimiento de una obligación legal (normativa tributaria ecuatoriana). No requiere consentimiento del comprador.
• Gestión de su cuenta y acceso a la plataforma: ejecución del contrato de servicio.
• Envío del comprobante por email al receptor: instrucción de la empresa emisora responsable.
• Prospección comercial: presentar Contadeo a profesionales que publican su contacto profesional. Base de licitud: interés legítimo (Art. 7 LOPDP), en el supuesto de mercadotecnia directa por expectativa razonable de contacto del Art. 11.3.2 de la resolución SPDP-SPD-2025-0041-R. Detalle y oposición en la sección 10.
• Formulario de contacto: atender su consulta antes de contratar. Base de licitud: medidas precontractuales a petición del titular (Art. 7 LOPDP). Se tratan el nombre, el correo, la empresa si la indica y el contenido del mensaje; conservamos el mensaje el tiempo necesario para responder y, como máximo, 12 meses.
• Medición de audiencia de las páginas públicas, sin cookies y con una herramienta autohospedada (Umami): páginas vistas y eventos agregados, sin identificadores personales, sin perfiles y sin cesión a terceros. No usamos cookies ni huella del dispositivo, no guardamos su IP y las métricas son agregadas: no permiten identificarle ni singularizarle, así que no constituyen un tratamiento de datos personales. Se lo contamos por transparencia, no porque haga falta una base de licitud.

En cumplimiento del Art. 18 de la resolución SPDP-SPD-2026-0005-R, declaramos de forma expresa que el tratamiento descrito en este aviso es un tratamiento de datos personales a gran escala.

Conviene entender de dónde sale esa calificación, porque no es una cuestión de volumen. El modelo técnico de la propia resolución puntúa seis variables, y en Contadeo pesan tres: la frecuencia (un servicio de emisión que funciona de forma continua, no por campañas), la permanencia (los comprobantes se conservan 7 años porque la ley tributaria lo exige) y el alcance geográfico (empresas emisoras y compradores en todo el país). La misma norma califica además como gran escala, sin necesidad de cálculo, los flujos continuos y estructurales de datos entre responsables y encargados, que es exactamente el recorrido de cada emisión: del emisor a la plataforma y de ahí al SRI.

Qué abarca la declaración:

• Finalidades: emisión de comprobantes electrónicos y su transmisión al SRI, envío del comprobante a su receptor, y gestión de la cuenta y del servicio. El detalle y las bases de licitud están en la sección 3.
• Categorías de datos: tipo y número de identificación (cédula, RUC o pasaporte), nombre o razón social, datos de contacto (email, teléfono, dirección, placa) y el contenido y los montos de cada comprobante. No se tratan categorías especiales de datos: lo tributario no lo es.
• Categorías de titulares: compradores y receptores de los comprobantes que emiten nuestros clientes, las personas de contacto de esas empresas emisoras y los usuarios registrados de la plataforma.

Para usted, esta calificación no resta nada: suma obligaciones de nuestro lado. Nos somete a evaluación de impacto previa, designación de un Delegado de Protección de Datos, inscripción del tratamiento en el registro de la Superintendencia, auditoría al menos cada doce meses y medidas de seguridad reforzadas. Sus derechos se ejercen igual, por la vía de la sección 7.

• SRI (Servicio de Rentas Internas): recibe los XML de los comprobantes, por mandato legal.
• Proveedor de email (solo si la empresa emisora activa las notificaciones): recibe el email del receptor y el comprobante adjunto, únicamente para entregarlo.
• Proveedor de cobros (solo si contrata un plan de pago): recibe su email y número de documento para procesar el pago. Nunca recibimos ni almacenamos los datos de su tarjeta: se introducen directamente en la página del procesador.
• Proveedor del modelo de inteligencia artificial (solo si la empresa emisora conecta un asistente de IA a la plataforma por el canal MCP): los datos del comprobante que el asistente consulta o prepara (identificación, nombre o razón social, importes y, si constan, contacto) se incorporan al contexto del proveedor del modelo que esa empresa haya elegido y contratado, por ejemplo Anthropic (Claude) u OpenAI (ChatGPT). La elección del asistente y de su proveedor es de la empresa emisora, que responde de ese tratamiento como responsable y como desplegadora del sistema de IA; Contadeo no elige ni contrata ese proveedor y solo entrega los datos que la propia empresa pide desde su cuenta. Ningún comprobante se emite sin que una persona lo confirme y los cálculos tributarios los hace la plataforma, no el modelo (resolución SPDP-SPD-2026-0009-R).
• No se usan servicios de analítica, publicidad ni rastreo de terceros: la medición de audiencia descrita en la sección 3 es autohospedada, sin cookies y sin identificadores personales.

Transferencias internacionales

La plataforma se aloja en servidores ubicados en Estados Unidos (Manassas, Virginia), operados por Netcup GmbH, nuestro proveedor de infraestructura, que a su vez se apoya en Anexia Holding GmbH y Anexia Cloud Solutions GmbH (Austria y Alemania) para soporte y centro de datos. Sus datos se almacenan y procesan fuera de Ecuador.

Al no existir una declaración general de adecuación para ese país, la transferencia se ampara en las garantías adecuadas previstas en el Art. 57 de la LOPDP: cláusulas contractuales que imponen al proveedor obligaciones de protección equivalentes a las de la ley ecuatoriana, sumadas a las medidas técnicas descritas en la sección 9 (cifrado, aislamiento por empresa y control de accesos). El contrato de tratamiento con Netcup está suscrito desde el 18 de agosto de 2026.

Ese instrumento se está completando para cubrir todas las condiciones que exige el Art. 21 de la resolución SPDP-SPD-2026-0004-R, en vigor desde febrero de 2026. Mientras tanto, el flujo está acogido al plan de adecuación de su disposición transitoria primera, que se notifica a la Superintendencia y se ejecuta dentro del plazo que vence el 13 de febrero de 2027; la transitoria segunda ampara los flujos declarados mientras el plan se cumple. Lo decimos con esta precisión porque el estado real es "suscrito y en adecuación", no "cerrado".

El proveedor de email y el de mensajería, cuando se activan, también pueden tratar datos fuera de Ecuador bajo las mismas garantías y dentro del mismo plan. El flujo hacia el proveedor del modelo de IA, cuando la empresa emisora activa ese canal, es en cambio una transferencia de esa empresa: el instrumento que la ampara lo elige y lo suscribe ella con el proveedor que contrata. Puede solicitar información sobre estas garantías en la dirección de contacto de la sección 7.

• Comprobantes (XML, RIDE) y su trazabilidad: 7 años, por obligación tributaria (Código Tributario). Este plazo prevalece sobre las solicitudes de supresión.
• Datos de clientes: mientras la empresa emisora los mantenga; puede rectificarlos o eliminarlos en cualquier momento desde la plataforma.
• Cuenta: mientras el contrato esté vigente.
• Copias de seguridad: ciclo de retención corto y rotativo (por defecto 14 días).
• Colas de procesamiento: los trabajos con datos personales se depuran automáticamente (completados ≤ 24 h, fallidos ≤ 7 días).
• Registros técnicos y trazas de auditoría (quién accedió a qué, qué correos se enviaron, qué respondió el SRI, qué entregó el canal de IA): entre 90 días y 24 meses según la traza, salvo la traza fiscal de los comprobantes, que sigue los 7 años del primer punto. Una pasada diaria elimina de la base de datos lo que ha vencido en cada traza, y la eliminación se suspende sobre los registros implicados en un incidente notificado, una reclamación en curso o un requerimiento de autoridad.
• Contactos de prospección comercial: hasta su baja o 24 meses sin respuesta, lo que ocurra antes (sección 10).

Usted puede ejercer los derechos de acceso, rectificación y actualización, eliminación, oposición y portabilidad reconocidos por la LOPDP, dirigiéndose al responsable del tratamiento: la empresa que emitió su comprobante, o el operador de la plataforma para datos de cuenta (escribiendo a soporte@contadeo.com). Las solicitudes se atienden en un máximo de 15 días.

Si considera que su solicitud no fue atendida debidamente, tiene derecho a presentar un reclamo ante la Superintendencia de Protección de Datos Personales del Ecuador.

Delegado de Protección de Datos: [correo del DPD, pendiente de designación]. La designación está en curso por la declaración de la sección 4; mientras tanto, las solicitudes se atienden en la dirección de arriba.

Qué pasa con la eliminación cuando hay comprobantes de por medio. Los comprobantes que la ley tributaria obliga a conservar 7 años no se eliminan a petición, pero tampoco siguen en uso normal: quedan bloqueados (Arts. 12 a 14 de la resolución SPDP-SPD-2025-0030-R), es decir, se conservan solo como respaldo de esa obligación legal, con acceso limitado a esa finalidad, y al vencer el plazo se eliminan o se anonimizan. Lo que no está cubierto por la retención, como la ficha del directorio de clientes o el correo usado para reenviarle el comprobante, sí se elimina.

Los relojes. El responsable le contesta en 15 días. Cuando ese responsable es la empresa emisora y la instrucción llega a la plataforma como encargada, esta suspende el tratamiento en 3 días y ejecuta la eliminación en 3 días desde la notificación (Arts. 16 y 23 de la misma resolución). De toda eliminación se deja constancia documental, que el responsable puede solicitar y trasladarle.

Si lo que recibió fue un correo comercial nuestro y no es cliente: puede oponerse en el acto respondiendo baja a ese mismo correo, sin dar motivos y sin formulario, y puede pedir en la misma respuesta de dónde salió su dato, porque cada contacto guarda la dirección exacta de la página en la que usted lo publicó y la fecha en que se tomó. Las condiciones completas están en la sección 10.

La plataforma no usa cookies de rastreo. Solo guarda en el almacenamiento local del navegador los tokens de su sesión, imprescindibles para autenticarle; se eliminan al cerrar sesión.

Medidas implementadas: cifrado de certificados de firma con AES-256-GCM (clave de cifrado por certificado, protegida por una clave maestra custodiada fuera de la base de datos), contraseñas con Argon2id, aislamiento estricto por empresa a nivel de base de datos (Row-Level Security), acceso por roles, transporte cifrado (TLS) en producción y depuración automática de datos personales en las colas de procesamiento.

Si usted recibió un correo nuestro presentándole Contadeo sin haberlo pedido, esta es la sección que le corresponde. El tratamiento es distinto de los anteriores y en él QUORVIA S.A.S. es la responsable.

• Titulares: profesionales en libre ejercicio y despachos del Ecuador que publican su contacto profesional. Hoy, abogados y estudios jurídicos.
• Datos tratados: nombre del despacho o del profesional, correo y teléfono profesionales, ciudad y provincia, área de práctica, sitio web, la dirección exacta de la página de la que se tomó el dato, la fecha de la captura y el estado del contacto. No se recogen cédulas, domicilios particulares, teléfonos no publicados ni datos de los clientes del despacho.
• Origen: datos publicados por el propio titular en su sitio web o en la ficha de contacto de su despacho, apoyados en dos registros públicos: el registro de Estudios Jurídicos Colectivos del Foro de Abogados (que no publica datos de contacto de nadie) y el catastro público del SRI, este último solo cuando el propio titular publica su RUC. No se compran ni se alquilan bases de datos. El primer correo le dice en su primera línea de dónde salió su dato.
• Base de licitud: interés legítimo (Art. 7 LOPDP), en el supuesto de mercadotecnia directa por expectativa razonable de contacto del Art. 11.3.2 de la resolución SPDP-SPD-2025-0041-R, con la evaluación de ponderación previa, motivada y firmada que esa norma exige. Puede pedir un resumen de esa evaluación en la dirección de contacto de la sección 7.
• Destinatarios: ninguno. La lista no se cede, no se vende y no se carga en ninguna herramienta de email marketing ni CRM. En este tratamiento no hay transferencia internacional.
• Sin perfilado ni rastreo: los correos no llevan imágenes, píxeles ni enlaces con seguimiento; no se miden aperturas ni clics, no se elabora ningún perfil y la lista no se cruza con otras fuentes.
• Volumen y frecuencia: como máximo dos mensajes por titular, el de presentación y un único seguimiento. No hay tercer intento.
• Conservación: hasta su baja o 24 meses sin respuesta, lo que ocurra antes. Si pide la baja, su fila no se borra: queda marcada como excluida de forma permanente, para poder acreditar que se respetó su decisión y para no volver a escribirle.
• Oposición: responda baja a cualquiera de esos correos. Es inmediato, no hay que dar motivos y no hay formulario. También puede escribir a soporte@contadeo.com.

Esta es la versión del 3 de septiembre de 2026: publica en la sección 6 el plazo de los registros técnicos y trazas de auditoría, que hasta ahora no aparecía en ningún plazo del aviso, y la pasada diaria que lo ejecuta. La anterior era del 2 de septiembre de 2026: añadió la sección 4 (declaración de tratamiento a gran escala), el canal de asistentes de IA entre los destinatarios, el bloqueo y los plazos de la sección 7, la sección 10 de prospección comercial a profesionales (con QUORVIA como responsable, el rol correspondiente en la sección 1 y su finalidad de interés legítimo en la sección 3), y precisó el estado de las transferencias internacionales. Los cambios materiales se comunicarán a los usuarios registrados y se reflejarán en el dashboard antes de entrar en vigor.