Acuerdo de Encargo de Tratamiento de Datos Personales

1. Partes, objeto y vigencia

Este Acuerdo de Encargo de Tratamiento (el «Acuerdo» o «DPA») forma parte integrante de los Términos y Condiciones de ContiFinanzas y aplica automáticamente, sin necesidad de firma adicional, entre cada organización usuaria del Servicio (el «Responsable») y Galgo Tech S.A. Galgotecsa, RUC 0992711752001 (el «Encargado»), respecto de los datos personales que el Responsable registra en el Servicio por cuenta propia. Se celebra en cumplimiento de la Ley Orgánica de Protección de Datos Personales del Ecuador (LOPDP) y rige mientras esté vigente la suscripción del Responsable y durante la ventana de exportación posterior a su terminación.

2. Naturaleza y finalidad del tratamiento

El Encargado realiza, por cuenta del Responsable, las operaciones necesarias para prestar el Servicio: almacenamiento, estructuración, consulta, procesamiento contable y tributario (emisión de comprobantes electrónicos, retenciones, anexos), cálculo de nómina, generación de reportes, conciliación, respaldo, exportación y supresión. El Encargado no trata esos datos para fines propios ni los comunica a terceros distintos de los subencargados autorizados.

3. Categorías de titulares y de datos

• Titulares: clientes, proveedores, empleados, contactos y demás terceros cuya información el Responsable registra en el Servicio.
• Datos: identificación y contacto (nombres, cédula/RUC/pasaporte, correos, teléfonos, direcciones); información contable, tributaria y financiera; información laboral y de nómina; y, de forma incidental, los datos de categoría especial que el Responsable decida registrar (por ejemplo, ausencias médicas en nómina), cuya base de licitud es responsabilidad del Responsable.

4. Obligaciones del Encargado

• Instrucciones documentadas. Tratar los datos únicamente conforme a los Términos y Condiciones, este Acuerdo y la configuración que el Responsable aplica en el Servicio, que constituyen las instrucciones documentadas del Responsable. Si una instrucción infringiera a juicio del Encargado la LOPDP, lo informará al Responsable.
• Confidencialidad. Garantizar que las personas autorizadas a tratar los datos están sujetas a obligaciones de confidencialidad.
• Seguridad. Aplicar las medidas técnicas y organizativas descritas en la Política de Privacidad (cifrado en tránsito y en reposo, AES-256-GCM para certificados, aislamiento por organización con RLS, control de acceso por roles, auditoría y respaldos).
• Subencargados. El Responsable otorga una autorización general para el uso de los subencargados listados en la Política de Privacidad (infraestructura, almacenamiento, pagos y correo transaccional). El Encargado les impone obligaciones equivalentes a las de este Acuerdo, publica la lista actualizada y comunica los cambios relevantes; el Responsable puede oponerse por motivos razonables, en cuyo caso podrá terminar la suscripción conforme a los Términos si no existe alternativa.
• Asistencia. Asistir al Responsable, en la medida de lo posible y mediante las funciones del Servicio o el canal de soporte, para atender las solicitudes de derechos de los titulares y para cumplir sus obligaciones de seguridad y de notificación de vulneraciones.
• Vulneraciones. Notificar al Responsable sin dilación indebida las vulneraciones de seguridad que afecten datos personales tratados por su cuenta, con la información disponible para que el Responsable cumpla sus propios deberes de notificación.
• Supresión o devolución. Al terminar la relación, mantener disponibles las herramientas de exportación durante 60 días y, vencido el plazo, suprimir de forma segura los datos tratados por cuenta del Responsable, salvo lo que la ley obligue a conservar.
• Demostración de cumplimiento. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este Acuerdo y permitir auditorías razonables (máximo una por año, con aviso previo de 15 días, en horario laborable, sin acceso a información de otros clientes ni a secretos industriales, y a costo del Responsable).

5. Obligaciones del Responsable

El Responsable garantiza que: (a) cuenta con una base de licitud válida para los datos que registra en el Servicio, incluidos los deberes de información a los titulares; (b) sus instrucciones de tratamiento son lícitas; (c) mantiene actualizados los roles y permisos de acceso de sus usuarios; y (d) atiende las solicitudes de derechos de los titulares de los datos que registró, con la asistencia del Encargado.

6. Transferencias internacionales

El tratamiento puede implicar transferencias internacionales hacia los subencargados listados en la Política de Privacidad (principalmente Estados Unidos), realizadas con garantías contractuales y estándares de seguridad reconocidos conforme al Título VIII de la LOPDP.

7. Responsabilidad y prelación

Cada parte responde por el incumplimiento de las obligaciones que la LOPDP y este Acuerdo le asignan según su rol. En materia de encargo de tratamiento, este Acuerdo prevalece sobre cualquier disposición en contrario de los Términos y Condiciones. En lo no previsto, aplican los Términos y Condiciones y la ley ecuatoriana.

Documento vigente desde el 8 de septiembre de 2026. Ver también los Términos y Condiciones, la Política de Privacidad y la Política de Cookies.