Acuerdo de encargo de tratamiento

1. Partes y objeto

Este acuerdo forma parte de los términos y condiciones de Flashpi. Sus partes son:

• El cliente, que actúa como responsable del tratamiento.
• SIGNIADIGITAL S.A. (“Flashpi”), con RUC 0993411372001, que actúa como encargado del tratamiento.

Regula el tratamiento de los datos personales que el cliente envía a Flashpi, por la API o la consola, para emitir sus comprobantes electrónicos. En materia de protección de datos, este acuerdo prevalece sobre los términos.

2. Duración

Rige mientras el cliente use el servicio y hasta que Flashpi termine de devolver o eliminar los datos según la sección 13.

3. Naturaleza y finalidad del tratamiento

Flashpi trata los datos solo para prestar el servicio:

• leer del certificado de firma del cliente el RUC o la cédula y el nombre de su titular o de su organización, para proponerle los datos del emisor cuando agrega un emisor o renueva su firma;
• generar los comprobantes electrónicos, firmarlos con el certificado del cliente y enviarlos al SRI;
• consultar su autorización y guardar la respuesta;
• generar el RIDE en PDF;
• enviar el RIDE y el XML por correo a los destinatarios, cuando el cliente lo solicita;
• notificar los cambios de estado a las direcciones de webhook que el cliente configure;
• guardar los comprobantes para que el cliente los consulte y descargue;
• dar soporte técnico cuando el cliente lo pida.

Flashpi no usa estos datos para fines propios, no los vende y no los combina con otras fuentes.

4. Titulares y categorías de datos

• Titulares: compradores, proveedores, sujetos retenidos, transportistas y destinatarios de los comprobantes del cliente, y el titular del certificado de firma electrónica.
• Datos: tipo y número de identificación (cédula, RUC o pasaporte), nombre o razón social, dirección, correo electrónico, placa del vehículo, el detalle y los valores de las transacciones, la información adicional que el cliente incluya en los comprobantes y los datos del certificado de firma.

El cliente no debe incluir datos sensibles en los comprobantes, por ejemplo en los campos de información adicional.

5. Obligaciones del cliente

El cliente:

• tiene una base legal para entregar los datos a Flashpi y para cada tratamiento que le encarga;
• informa a los titulares, en su propio aviso de privacidad, que usa un encargado con servidores fuera de Ecuador;
• entrega datos exactos y limitados a lo necesario;
• responde las solicitudes de los titulares, con la ayuda de Flashpi descrita en la sección 10.

6. Instrucciones

Flashpi trata los datos solo según las instrucciones documentadas del cliente. Son instrucciones los términos, este acuerdo, las solicitudes que el cliente hace por la API y la configuración que elige en la consola.

Si Flashpi considera que una instrucción infringe la ley, se lo avisará al cliente y podrá no cumplirla hasta que el cliente la confirme o la cambie. Flashpi también tratará los datos cuando una ley o una orden judicial lo exija, y se lo avisará al cliente salvo que la ley lo prohíba.

7. Confidencialidad

Solo acceden a los datos las personas de Flashpi que lo necesitan para prestar el servicio. Esas personas tienen una obligación de confidencialidad, que sigue vigente después de que terminen su relación con Flashpi.

8. Seguridad

Flashpi aplica medidas técnicas y organizativas adecuadas al riesgo, entre ellas:

• cifrado en tránsito (TLS 1.2 o superior) y en reposo, con claves de AWS KMS de rotación automática;
• el certificado de firma y su contraseña cifrados (AES-256-GCM), que solo el servicio de firma puede descifrar;
• la base de datos en una red privada sin acceso a Internet y un firewall de aplicaciones web frente al sitio y la API;
• el acceso del personal limitado, con verificación en dos pasos y con registro de sus consultas;
• copias de seguridad diarias de la base de datos, que se conservan 7 días.

9. Subencargados

El cliente autoriza a Flashpi a usar como subencargado a:

Flashpi impone a cada subencargado obligaciones de protección de datos equivalentes a las de este acuerdo y responde por su cumplimiento. Avisará al cliente con 30 días de anticipación antes de agregar o cambiar un subencargado. Si el cliente se opone con motivos razonables, podrá terminar el contrato antes de que el cambio entre en vigencia.

El SRI no es un subencargado: recibe los comprobantes por la obligación tributaria del cliente. Las entidades de certificación solo reciben datos del certificado para comprobar su vigencia.

10. Derechos de los titulares

Si un titular le dirige a Flashpi una solicitud sobre datos del cliente, Flashpi se la trasladará al cliente dentro de 2 días hábiles y no la responderá por su cuenta, salvo que el cliente se lo pida. Flashpi ayudará al cliente a responder las solicitudes de acceso, rectificación, eliminación, oposición, portabilidad y suspensión, en la medida en que el servicio lo permita.

11. Vulneraciones de seguridad

Si Flashpi conoce una vulneración de seguridad que afecte datos del cliente, se lo notificará sin demora y, como máximo, dentro de 2 días hábiles, con la información disponible:

• qué ocurrió y cuándo;
• qué datos y titulares podrían estar afectados;
• qué medidas tomó o propone.

Flashpi ayudará al cliente a cumplir sus propias obligaciones de notificar a la Superintendencia de Protección de Datos Personales y a los titulares.

12. Auditoría y asistencia

Flashpi pondrá a disposición del cliente la información necesaria para demostrar que cumple este acuerdo. El cliente puede auditarlo una vez al año, con aviso previo de 30 días, a su costo y bajo confidencialidad, o antes si una autoridad lo exige. Flashpi también ayudará al cliente con sus evaluaciones de impacto y con los requerimientos de la Superintendencia relacionados con este servicio.

13. Devolución y eliminación de los datos

Mientras su cuenta esté activa, el cliente puede descargar sus comprobantes (XML y RIDE) por la API o la consola. Al terminar el contrato, tiene 30 días para descargarlos. Después, Flashpi eliminará los datos del cliente, incluidas sus copias, salvo los que una ley le obligue a conservar. Las copias de seguridad se eliminan cuando vence su plazo de conservación.

14. Registro de actividades

Flashpi lleva un registro de las actividades de tratamiento que realiza por cuenta de sus clientes, cuando la ley lo exige.

15. Responsabilidad

Cada parte responde por el incumplimiento de sus obligaciones bajo la LOPDP y este acuerdo. Flashpi responde frente al cliente por los daños que cause cuando incumpla este acuerdo o actúe fuera de sus instrucciones. Se aplican los límites de responsabilidad de los términos, salvo cuando la LOPDP no permita limitarla.

16. Aceptación

El cliente acepta este acuerdo electrónicamente, junto con los términos. Para cualquier consulta sobre él, escribe a privacidad@flashpi.com.ec.

17. Cambios a este acuerdo

Este acuerdo forma parte de los términos y cambia como ellos (sección 19 de los términos). Publicamos cada versión en esta página con su fecha de vigencia.

Versiones

• 29 de octubre de 2026: agregamos a las finalidades la lectura del RUC o la cédula y del titular del certificado de firma, para proponer los datos del emisor cuando el cliente lo agrega o renueva su firma (sección 3).
• 21 de octubre de 2026: primera versión.