Aviso de Privacidad

Esta plataforma de facturación electrónica es operada por QUORVIA S.A.S. (RUC 0993411554001, Milann Mz. 6 Solar 27 y Verona, La Aurora, Daule, Guayas, Ecuador) y funciona bajo los roles definidos por la LOPDP:

• Para los datos de su cuenta (email, nombre, contraseña): el operador de la plataforma actúa como responsable del tratamiento.
• Para los datos de los comprobantes (clientes, proveedores, destinatarios de cada empresa emisora): la empresa emisora (tenant) es la responsable y la plataforma actúa como encargada del tratamiento, bajo sus instrucciones y conforme al Encargo de Tratamiento.
• Para los datos de contacto profesional de quien recibe un correo comercial nuestro sin ser todavía cliente: el operador actúa como responsable del tratamiento. Este supuesto tiene su propia sección, la 10.
• Para los datos de quien postula o participa en el programa de distribuidores de firma electrónica: el operador actúa como responsable del tratamiento. Tiene su propia sección, la 11.

• Cuenta: email, nombre, contraseña (almacenada solo como hash Argon2id), fechas de aceptación de este aviso y de los términos.
• Evidencia de las declaraciones de titularidad (del RUC y de la firma electrónica): fecha, usuario, dirección IP desde la que se declaró y versión del texto aceptado. Se conserva mientras exista la cuenta o el certificado, como prueba de la autorización expresa del titular.
• Empresa emisora: RUC, razón social, direcciones, certificado de firma electrónica (cifrado con AES-256-GCM).
• Clientes / proveedores / destinatarios del emisor: tipo y número de identificación (cédula, RUC o pasaporte), nombre o razón social y, si el emisor los registra, email, teléfono, dirección y placa.
• Comprobantes: XML firmados/autorizados y RIDE (PDF), que incluyen los datos del comprador exigidos por la normativa tributaria.
• Pedido de firma electrónica (servicio distinto de la facturación, que se pide sin abrir cuenta): nombres y apellidos, correo, teléfono, número de cédula y, si lo aporta, código dactilar; fecha de nacimiento, género, título y dirección cuando el envío es por API; RUC, razón social y cargo cuando el tipo de firma los exige; fotografías de la cédula por sus dos caras y una fotografía del titular sosteniéndola (selfie de verificación); el comprobante de la transferencia y, si firma por una compañía, sus documentos societarios. Se guarda además la evidencia del consentimiento: fecha, dirección IP desde la que se dio y versión del texto aceptado. Si usted pide la firma con el código de un distribuidor, ese código queda guardado en el pedido.
• Programa de distribuidores de firma electrónica: los datos de quien postula o participa, detallados en la sección 11.

• Emisión de comprobantes electrónicos y su transmisión al SRI: cumplimiento de una obligación legal (normativa tributaria ecuatoriana). No requiere consentimiento del comprador.
• Gestión de su cuenta y acceso a la plataforma: ejecución del contrato de servicio.
• Envío del comprobante por email al receptor: instrucción de la empresa emisora responsable.
• Prospección comercial: presentar Contadeo a profesionales que publican su contacto profesional. Base de licitud: interés legítimo (Art. 7 LOPDP), en el supuesto de mercadotecnia directa por expectativa razonable de contacto del Art. 11.3.2 de la resolución SPDP-SPD-2025-0041-R. Detalle y oposición en la sección 10.
• Formulario de contacto: atender su consulta antes de contratar. Base de licitud: medidas precontractuales a petición del titular (Art. 7 LOPDP). Se tratan el nombre, el correo, la empresa si la indica y el contenido del mensaje; conservamos el mensaje el tiempo necesario para responder y, como máximo, 12 meses.
• Tramitar la emisión de una firma electrónica ante la entidad de certificación: consentimiento del titular (Art. 7.1 LOPDP), recogido en el propio formulario. No darlo impide el trámite, porque sin comunicar esos datos la entidad de certificación no puede emitir el certificado. Quién los recibe y cómo viajan, en la sección 5.
• Programa de distribuidores de firma electrónica: revisar postulaciones, atribuir ventas y pagar comisiones. Base de licitud, según el paso: medidas precontractuales a petición del titular, ejecución de los términos del programa y obligación legal tributaria. Para quien pide la firma con un código, su consentimiento: el campo es opcional. Detalle en la sección 11.
• Medición de audiencia de las páginas públicas, sin cookies y con una herramienta autohospedada (Umami): páginas vistas y eventos agregados, sin identificadores personales, sin perfiles y sin cesión a terceros. La medición no usa cookies ni huella del dispositivo, no guardamos su IP y las métricas son agregadas: no permiten identificarle ni singularizarle, así que no constituyen un tratamiento de datos personales. Se lo contamos por transparencia, no porque haga falta una base de licitud.

En cumplimiento del Art. 18 de la resolución SPDP-SPD-2026-0005-R, declaramos de forma expresa que el tratamiento descrito en este aviso es un tratamiento de datos personales a gran escala.

Conviene entender de dónde sale esa calificación, porque no es una cuestión de volumen. El modelo técnico de la propia resolución puntúa seis variables, y en Contadeo pesan tres: la frecuencia (un servicio de emisión que funciona de forma continua, no por campañas), la permanencia (los comprobantes se conservan 7 años porque la ley tributaria lo exige) y el alcance geográfico (empresas emisoras y compradores en todo el país). La misma norma califica además como gran escala, sin necesidad de cálculo, los flujos continuos y estructurales de datos entre responsables y encargados, que es exactamente el recorrido de cada emisión: del emisor a la plataforma y de ahí al SRI.

Qué abarca la declaración:

• Finalidades: emisión de comprobantes electrónicos y su transmisión al SRI, envío del comprobante a su receptor, y gestión de la cuenta y del servicio. El detalle y las bases de licitud están en la sección 3.
• Categorías de datos: tipo y número de identificación (cédula, RUC o pasaporte), nombre o razón social, datos de contacto (email, teléfono, dirección, placa) y el contenido y los montos de cada comprobante. No se tratan categorías especiales de datos: lo tributario no lo es.
• Categorías de titulares: compradores y receptores de los comprobantes que emiten nuestros clientes, las personas de contacto de esas empresas emisoras y los usuarios registrados de la plataforma.

Para usted, esta calificación no resta nada: suma obligaciones de nuestro lado. Nos somete a evaluación de impacto previa, designación de un Delegado de Protección de Datos, inscripción del tratamiento en el registro de la Superintendencia, auditoría al menos cada doce meses y medidas de seguridad reforzadas. Sus derechos se ejercen igual, por la vía de la sección 7.

• SRI (Servicio de Rentas Internas): recibe los XML de los comprobantes, por mandato legal.
• Proveedor de email (solo si la empresa emisora activa las notificaciones): recibe el email del receptor y el comprobante adjunto, únicamente para entregarlo.
• Proveedor de cobros (solo si contrata un plan de pago): recibe su email y número de documento para procesar el pago. Nunca recibimos ni almacenamos el número de su tarjeta: se introduce directamente en la página del procesador. Si activa la renovación automática, el procesador nos entrega un identificador de la tarjeta (token) y los datos del titular (nombre, email, teléfono y documento) que exige para cada cobro. Los guardamos cifrados, solo para cobrar las renovaciones que usted autorizó, y los borramos cuando elimina la tarjeta o paga con otra.
• Proveedor del modelo de inteligencia artificial (solo si la empresa emisora conecta un asistente de IA a la plataforma por el canal MCP): los datos del comprobante que el asistente consulta o prepara (identificación, nombre o razón social, importes y, si constan, contacto) se incorporan al contexto del proveedor del modelo que esa empresa haya elegido y contratado, por ejemplo Anthropic (Claude) u OpenAI (ChatGPT). La elección del asistente y de su proveedor es de la empresa emisora, que responde de ese tratamiento como responsable y como desplegadora del sistema de IA; Contadeo no elige ni contrata ese proveedor y solo entrega los datos que la propia empresa pide desde su cuenta. Ningún comprobante se emite sin que una persona lo confirme y los cálculos tributarios los hace la plataforma, no el modelo (resolución SPDP-SPD-2026-0009-R).
• CorpNewBest Cía. Ltda. (NewBest), entidad de certificación de información acreditada en Ecuador, solo si usted pide una firma electrónica: recibe sus datos identificativos y de contacto, las fotografías de su cédula y su selfie de verificación, y los documentos que adjunte. NewBest actúa como responsable de su propio tratamiento: valida su identidad, emite el certificado bajo su acreditación y le entrega el archivo directamente a usted. Como responsable que es, NewBest tiene su propio consentimiento y su propio aviso de privacidad, que usted lee y acepta en la misma pantalla de la solicitud, antes de enviarla y por separado del nuestro. Ahí consta, en sus palabras, que sus proveedores tecnológicos pueden tratar los datos dentro y fuera del Ecuador, incluidos Estados Unidos y la Unión Europea, y que sus derechos frente a NewBest se ejercen escribiendo a protecciondatos@newbest.net. El documento completo está publicado por ellos en newbest.net y se enlaza desde esa misma pantalla.
• Cómo llega el expediente a NewBest. Cuando el formulario indica envío por API, Contadeo transmite los datos y documentos directamente a NewsignAPI tras recibir el expediente completo y los dos consentimientos. En el canal manual, una persona identificada del equipo abre el portal de NewBest y carga allí el expediente. El canal usado queda registrado con cada pedido. El personal de soporte puede acceder a los documentos para resolver errores; cada descarga queda auditada y los ficheros se eliminan según los plazos de la sección 6.
• El distribuidor de firma electrónica cuyo código usted usa, solo si pide la firma con ese código: ve la referencia, la fecha, la vigencia y el estado de su pedido, nunca su nombre, cédula, datos de contacto ni documentos. Los destinatarios de los datos del propio distribuidor están en la sección 11.
• No se usan servicios de analítica, publicidad ni rastreo de terceros: la medición de audiencia descrita en la sección 3 es autohospedada, sin cookies y sin identificadores personales.

Transferencias internacionales

La plataforma se aloja en servidores ubicados en Estados Unidos (Manassas, Virginia), operados por Netcup GmbH, nuestro proveedor de infraestructura, que a su vez se apoya en Anexia Holding GmbH y Anexia Cloud Solutions GmbH (Austria y Alemania) para soporte y centro de datos. Sus datos se almacenan y procesan fuera de Ecuador.

Al no existir una declaración general de adecuación para ese país, la transferencia se ampara en las garantías adecuadas previstas en el Art. 57 de la LOPDP: cláusulas contractuales que imponen al proveedor obligaciones de protección equivalentes a las de la ley ecuatoriana, sumadas a las medidas técnicas descritas en la sección 9 (cifrado, aislamiento por empresa y control de accesos). El contrato de tratamiento con Netcup está suscrito desde el 18 de agosto de 2026.

Ese instrumento se está completando para cubrir todas las condiciones que exige el Art. 21 de la resolución SPDP-SPD-2026-0004-R, en vigor desde febrero de 2026. Mientras tanto, el flujo está acogido al plan de adecuación de su disposición transitoria primera, que se notifica a la Superintendencia y se ejecuta dentro del plazo que vence el 13 de febrero de 2027; la transitoria segunda ampara los flujos declarados mientras el plan se cumple. Lo decimos con esta precisión porque el estado real es "suscrito y en adecuación", no "cerrado".

El proveedor de email y el de mensajería, cuando se activan, también pueden tratar datos fuera de Ecuador bajo las mismas garantías y dentro del mismo plan. El flujo hacia el proveedor del modelo de IA, cuando la empresa emisora activa ese canal, es en cambio una transferencia de esa empresa: el instrumento que la ampara lo elige y lo suscribe ella con el proveedor que contrata. Puede solicitar información sobre estas garantías en la dirección de contacto de la sección 7.

• Comprobantes (XML, RIDE) y su trazabilidad: 7 años, por obligación tributaria (Código Tributario). Este plazo prevalece sobre las solicitudes de supresión.
• Datos de clientes: mientras la empresa emisora los mantenga; puede rectificarlos o eliminarlos en cualquier momento desde la plataforma.
• Cuenta: mientras el contrato esté vigente.
• Copias de seguridad: ciclo de retención corto y rotativo (por defecto 14 días).
• Colas de procesamiento: los trabajos con datos personales se depuran automáticamente (completados ≤ 24 h, fallidos ≤ 7 días).
• Registros técnicos y trazas de auditoría (quién accedió a qué, qué correos se enviaron, qué respondió el SRI, qué entregó el canal de IA): entre 90 días y 24 meses según la traza, salvo la traza fiscal de los comprobantes, que sigue los 7 años del primer punto. Una pasada diaria elimina de la base de datos lo que ha vencido en cada traza, y la eliminación se suspende sobre los registros implicados en un incidente notificado, una reclamación en curso o un requerimiento de autoridad.
• Fotografías de la cédula y selfie de verificación de un pedido de firma: 48 horas desde que se suben. Una pasada horaria las borra del almacenamiento y de la base de datos, y deja constancia de que se borraron. Decimos 48 y no un número más cómodo porque la pasada es cada hora: con una pasada diaria el borrado real caería entre las 48 y las 72 horas, y entonces lo honesto sería publicar 72.
• Datos de contacto y estado de un pedido de firma (nombre, correo, teléfono, referencia, tipo de firma y fechas): 180 días, para poder atender a quien pregunte por su trámite semanas después. La evidencia del consentimiento se conserva ese mismo plazo. Ninguno de los dos plazos empieza a contar al tramitar, sino al recibir el pedido: quien deja el formulario a medias también tiene fecha de caducidad.
• Contactos de prospección comercial: hasta su baja o 24 meses sin respuesta, lo que ocurra antes (sección 10).
• Programa de distribuidores de firma electrónica: los plazos de la sección 11.

Usted puede ejercer los derechos de acceso, rectificación y actualización, eliminación, oposición y portabilidad reconocidos por la LOPDP, dirigiéndose al responsable del tratamiento: la empresa que emitió su comprobante, o el operador de la plataforma para datos de cuenta (escribiendo a soporte@contadeo.com). Las solicitudes se atienden en un máximo de 15 días.

Si considera que su solicitud no fue atendida debidamente, tiene derecho a presentar un reclamo ante la Superintendencia de Protección de Datos Personales del Ecuador.

Delegado de Protección de Datos: [correo del DPD, pendiente de designación]. La designación está en curso por la declaración de la sección 4; mientras tanto, las solicitudes se atienden en la dirección de arriba.

Qué pasa con la eliminación cuando hay comprobantes de por medio. Los comprobantes que la ley tributaria obliga a conservar 7 años no se eliminan a petición, pero tampoco siguen en uso normal: quedan bloqueados (Arts. 12 a 14 de la resolución SPDP-SPD-2025-0030-R), es decir, se conservan solo como respaldo de esa obligación legal, con acceso limitado a esa finalidad, y al vencer el plazo se eliminan o se anonimizan. Lo que no está cubierto por la retención, como la ficha del directorio de clientes o el correo usado para reenviarle el comprobante, sí se elimina.

Los relojes. El responsable le contesta en 15 días. Cuando ese responsable es la empresa emisora y la instrucción llega a la plataforma como encargada, esta suspende el tratamiento en 3 días y ejecuta la eliminación en 3 días desde la notificación (Arts. 16 y 23 de la misma resolución). De toda eliminación se deja constancia documental, que el responsable puede solicitar y trasladarle.

Si lo que recibió fue un correo comercial nuestro y no es cliente: puede oponerse en el acto respondiendo baja a ese mismo correo, sin dar motivos y sin formulario, y puede pedir en la misma respuesta de dónde salió su dato, porque cada contacto guarda la dirección exacta de la página en la que usted lo publicó y la fecha en que se tomó. Las condiciones completas están en la sección 10.

No usamos cookies de publicidad ni de análisis. La medición agregada de páginas con Umami no usa cookies.

En el almacenamiento local del navegador se guardan los tokens de su sesión, imprescindibles para autenticarle, y sus preferencias de uso (tema claro u oscuro, filtros y la última empresa abierta). Se eliminan al cerrar sesión.

Se usan cookies técnicasnecesarias para estas funciones:

• contadeo_hay_sesion — sirve para saber si hay una sesión abierta y, con ello, mostrarle en el sitio público un acceso directo a su panel en lugar de los botones de inicio de sesión y registro. Dura 7 días y su contenido es literalmente el número 1: no contiene ningún identificador, ni su correo, ni un token, y no permite reconocerle a usted ni seguir su navegación. No se comparte con terceros.
• firma_reanudar — permite retomar en este navegador un pedido de firma pendiente después de salir para hacer la transferencia. Contiene solo un identificador aleatorio; los datos personales y documentos permanecen en el servidor. Caduca cuando se borran los documentos del pedido, a más tardar 48 horas después de registrarlo. Es HttpOnly y no se comparte con terceros.
• contadeo_cookies — recuerda si elegiste solo las necesarias o también las funcionales. No contiene identificadores y dura 180 días.

Si aceptas las funcionales, se activa el chat y se puede guardar la cookie contadeo_firma_opciones durante 30 días. Esta recuerda solo si es una renovación, el tipo de firma y la vigencia elegida para facilitar el regreso al formulario. No guarda nombres, cédula, contacto, documentos ni número de pedido. El chat puede usar sus propias cookies para mantener la conversación en chat.contadeo.com.

Al elegir solo las necesarias, no se carga el chat y se elimina la cookie de opciones de firma. Puedes cambiar tu elección en cualquier momento.

Medidas implementadas: cifrado de certificados de firma con AES-256-GCM (clave de cifrado por certificado, protegida por una clave maestra custodiada fuera de la base de datos), contraseñas con Argon2id, aislamiento estricto por empresa a nivel de base de datos (Row-Level Security), acceso por roles, transporte cifrado (TLS) en producción y depuración automática de datos personales en las colas de procesamiento.

Si usted recibió un correo nuestro presentándole Contadeo sin haberlo pedido, esta es la sección que le corresponde. El tratamiento es distinto de los anteriores y en él QUORVIA S.A.S. es la responsable.

• Titulares: profesionales en libre ejercicio y despachos del Ecuador que publican su contacto profesional. Hoy, abogados y estudios jurídicos.
• Datos tratados: nombre del despacho o del profesional, correo y teléfono profesionales, ciudad y provincia, área de práctica, sitio web, la dirección exacta de la página de la que se tomó el dato, la fecha de la captura y el estado del contacto. No se recogen cédulas, domicilios particulares, teléfonos no publicados ni datos de los clientes del despacho.
• Origen: datos publicados por el propio titular en su sitio web o en la ficha de contacto de su despacho, apoyados en dos registros públicos: el registro de Estudios Jurídicos Colectivos del Foro de Abogados (que no publica datos de contacto de nadie) y el catastro público del SRI, este último solo cuando el propio titular publica su RUC. No se compran ni se alquilan bases de datos. El primer correo le dice en su primera línea de dónde salió su dato.
• Base de licitud: interés legítimo (Art. 7 LOPDP), en el supuesto de mercadotecnia directa por expectativa razonable de contacto del Art. 11.3.2 de la resolución SPDP-SPD-2025-0041-R, con la evaluación de ponderación previa, motivada y firmada que esa norma exige. Puede pedir un resumen de esa evaluación en la dirección de contacto de la sección 7.
• Destinatarios: ninguno. La lista no se cede, no se vende y no se carga en ninguna herramienta de email marketing ni CRM. En este tratamiento no hay transferencia internacional.
• Sin perfilado ni rastreo: los correos no llevan imágenes, píxeles ni enlaces con seguimiento; no se miden aperturas ni clics, no se elabora ningún perfil y la lista no se cruza con otras fuentes.
• Volumen y frecuencia: como máximo dos mensajes por titular, el de presentación y un único seguimiento. No hay tercer intento.
• Conservación: hasta su baja o 24 meses sin respuesta, lo que ocurra antes. Si pide la baja, su fila no se borra: queda marcada como excluida de forma permanente, para poder acreditar que se respetó su decisión y para no volver a escribirle.
• Oposición: responda baja a cualquiera de esos correos. Es inmediato, no hay que dar motivos y no hay formulario. También puede escribir a soporte@contadeo.com.

Si usted postula o participa en el programa de distribuidores de firma electrónica, esta es la sección que le corresponde. En este tratamiento QUORVIA S.A.S. es la responsable. Las condiciones del programa están en sus términos.

• Titulares: las personas que postulan al programa, se aprueben o no, y los distribuidores activos o suspendidos. Indirectamente, quien pide una firma con el código de un distribuidor.
• Datos tratados: nombre, tipo y número de identificación (cédula, RUC o pasaporte), correo, teléfono, ciudad y lo que cuente sobre cómo piensa ofrecer la firma; la evidencia de la aceptación de los términos (fecha, versión y dirección IP); el código asignado; la cuenta bancaria en la que recibe el pago (banco, tipo y número de cuenta, titular e identificación del titular), y el registro de sus ventas, comisiones y pagos. Del enlace privado a su estado de cuenta se guarda solo una huella criptográfica, nunca el enlace.
• Datos del comprador que usa un código: el código queda guardado en su pedido de firma. El distribuidor ve la referencia, la fecha, la vigencia y el estado de ese pedido, nunca su nombre, cédula, datos de contacto ni documentos.
• Finalidades y bases de licitud: revisar la postulación, por medidas precontractuales a petición del propio titular (Art. 7 LOPDP); gestionar la participación, atribuir las ventas y calcular y pagar las comisiones, por ejecución de los términos del programa; y conservar el soporte de cada pago y emitir o recibir su comprobante, por obligación legal tributaria. Para quien pide la firma, la base es su consentimiento (Art. 7.1 LOPDP): el código lo escribe o lo trae en el enlace del distribuidor, el campo es opcional y se puede vaciar, y dejarlo vacío no cambia el precio ni el trámite.
• Destinatarios: el proveedor de email, que entrega el correo de alta con el código, el kit de venta y el enlace privado; la entidad bancaria que ejecuta la transferencia de la comisión, que recibe los datos del beneficiario; y el SRI, a través de la factura o la liquidación de compra que documenta cada pago. No se ceden a nadie más. Se alojan como el resto de la plataforma (transferencias internacionales, sección 5).
• Conservación: una postulación rechazada, 6 meses desde el rechazo, para poder atender una reclamación. Los datos de un distribuidor, mientras dure su participación. Al terminar, la cuenta bancaria se elimina después del último pago, y la identificación, las ventas, las comisiones, los pagos y la evidencia de la aceptación se conservan 7 años desde el último pago, porque respaldan comprobantes tributarios; si no hubo ningún pago, se eliminan al terminar. Hoy estos borrados los hace una persona del equipo, no un proceso automático: lo decimos así en vez de prometer un automatismo que no existe. El código guardado en el pedido de un comprador sigue el plazo de ese pedido (sección 6).
• Derechos: se ejercen como indica la sección 7, en soporte@contadeo.com. Un distribuidor puede además dejar el programa en cualquier momento.

Esta es la versión del 16 de septiembre de 2026: añade la sección 11 (programa de distribuidores de firma electrónica, con QUORVIA como responsable), su rol en la sección 1, sus datos en la 2, su finalidad en la 3, al distribuidor como destinatario del estado del pedido en la 5 y la remisión de sus plazos en la 6; la vigencia y los cambios pasan a la sección 12. La anterior era del 3 de septiembre de 2026: publica en la sección 6 el plazo de los registros técnicos y trazas de auditoría, que hasta ahora no aparecía en ningún plazo del aviso, y la pasada diaria que lo ejecuta. La anterior era del 2 de septiembre de 2026: añadió la sección 4 (declaración de tratamiento a gran escala), el canal de asistentes de IA entre los destinatarios, el bloqueo y los plazos de la sección 7, la sección 10 de prospección comercial a profesionales (con QUORVIA como responsable, el rol correspondiente en la sección 1 y su finalidad de interés legítimo en la sección 3), y precisó el estado de las transferencias internacionales. Los cambios materiales se comunicarán a los usuarios registrados y se reflejarán en el dashboard antes de entrar en vigor.