1. Quién es el responsable
El responsable del tratamiento de los datos descritos en esta política es SIGNIADIGITAL S.A. (“Flashpi”, “nosotros”), con RUC 0993411372001 y domicilio en Av. J. Orrantia 106 y J. L. Benítez, edificio Elite Building, piso 1, parroquia Tarqui, Guayaquil, Guayas, Ecuador.
- Correo para temas de privacidad: privacidad@flashpi.com.ec
- Teléfono: +593 98 773 7533
2. A quién aplica y en qué papel actuamos
Flashpi es una API de facturación electrónica: las empresas la integran para generar, firmar y enviar sus comprobantes electrónicos al Servicio de Rentas Internas (SRI). Según el caso, actuamos en uno de dos papeles:
- Como responsable, tratamos los datos de las personas que crean una cuenta en la consola o son invitadas a un equipo, de quienes visitan este sitio y de quienes nos escriben.
- Como encargado, tratamos los datos que nuestros clientes envían a la API para emitir sus comprobantes: por ejemplo, los de sus compradores, proveedores, sujetos retenidos y transportistas. En ese caso el responsable es la empresa que emite el comprobante, y nosotros tratamos esos datos solo por su cuenta y según sus instrucciones. La sección 6 explica este caso.
3. Qué datos tratamos como responsable
- Datos de tu cuenta: correo electrónico, contraseña (si la creas), idioma preferido, nombre de la cuenta, fechas de verificación del correo y de último inicio de sesión, y la versión de los términos y de esta política vigente cuando creaste tu usuario, con la fecha y hora en que lo creaste. Nunca guardamos tu contraseña en texto: solo un resumen criptográfico (argon2id).
- Inicio de sesión con Google, si lo eliges:
- Google nos envía, y guardamos mientras esté vinculada a tu usuario, la información básica de tu cuenta de Google que tenga: su identificador, tu correo y si Google lo verificó, el dominio de Google Workspace si tu cuenta pertenece a una organización, tu nombre completo, tu nombre y tu apellido, la dirección (URL) de tu foto de perfil, no la imagen, y tu idioma. La actualizamos cada vez que entras con Google, y guardamos también cuándo vinculamos tu cuenta de Google y cuándo la usaste por última vez. La usamos para identificarte cuando entras con Google y para mostrarte en la consola qué cuenta de Google está conectada.
- Mientras inicias sesión con Google, guardamos un registro temporal del intento: tu dirección IP y los datos del formulario desde el que empezaste (por ejemplo, el nombre de la cuenta o la invitación).
- Si te registras con Google, damos tu correo por verificado solo si lo administra Google (una dirección @gmail.com o una cuenta de Google Workspace); si no, te enviamos el enlace de verificación habitual. Si al crear una cuenta con Google no escribes un nombre para ella, le ponemos tu nombre de Google.
- Si ya tienes un usuario con el mismo correo, vinculamos tu cuenta de Google a él automáticamente solo si Google administra ese correo, y te avisamos por correo. Si ese usuario nunca verificó su correo, al vincularlo damos su correo por verificado, eliminamos su contraseña, cerramos sus sesiones y registramos de nuevo la versión de los términos y de esta política que aceptas, para que nadie más conserve el acceso. Restablecer tu contraseña desvincula tu cuenta de Google.
- Nunca recibimos tu contraseña de Google ni guardamos tokens que den acceso a tu cuenta de Google. No le pedimos a Google otros datos, como tu fecha de nacimiento, tu teléfono o tus contactos, ni acceso a tu correo, tus archivos u otros servicios de Google.
- Verificación en dos pasos: si la activas, guardamos el secreto de tu aplicación de autenticación cifrado, y tus códigos de recuperación solo como resumen criptográfico.
- Equipo: el correo de las personas que invitas, quién las invitó, y el rol y el alcance de cada miembro.
- Datos de tus emisores: RUC, razón social, nombre comercial, direcciones de la matriz y de los establecimientos, y la configuración tributaria. Si el emisor es una persona natural, estos datos son personales.
- Claves de API y webhooks: de cada clave de API guardamos solo un resumen criptográfico, su nombre, su lista de IP permitidas y la fecha de su último uso. De cada webhook guardamos la dirección de destino y su secreto de firma cifrado.
- Datos técnicos y de seguridad:
- la dirección IP y el agente de usuario (navegador) de cada inicio de sesión y de cada sesión;
- el registro de auditoría de las acciones en tu cuenta (qué se hizo, quién, cuándo, desde qué IP y con qué navegador);
- el registro de solicitudes a la API: método, ruta sin parámetros, resultado, tiempo de respuesta, clave usada e IP de origen;
- los registros técnicos de nuestros servidores: IP, solicitud completa (incluidos sus parámetros), página de origen y agente de usuario.
- Analítica del sitio, solo si la aceptas: en el sitio público y en la documentación, nunca en la consola: las páginas que visitas, de dónde llegas, tus clics, desplazamientos y movimientos del puntero, el tiempo en cada página, datos técnicos de tu navegador y de tu dispositivo (tipo, sistema, idioma y tamaño de pantalla), tu dirección IP, de la que se estima una ubicación aproximada, y los identificadores aleatorios de las cookies de analítica. Los recogen Google Analytics y Microsoft Clarity (sección 7); Clarity enmascara lo que escribes en los campos de los formularios.
- Comunicaciones: si nos escribes, tu correo y el contenido de tu mensaje. Si nos escribes por WhatsApp, tu número de teléfono, tu nombre de perfil de WhatsApp y el contenido de tus mensajes. El botón de WhatsApp del sitio abre la conversación con un texto sugerido sobre la página o la sección que estabas viendo, que puedes cambiar antes de enviarlo; nada se envía hasta que lo envías tú.
- Datos de facturación: cuando contrates un plan de pago, los necesarios para emitirte nuestras facturas: RUC o cédula, razón social, dirección y correo.
No pedimos datos sensibles y no tratamos datos de niños, niñas ni adolescentes.
4. Para qué los usamos y con qué base legal
| Finalidad | Base legal (LOPDP, art. 7) |
|---|---|
| Crear y administrar tu cuenta y prestarte el servicio contratado | Ejecución del contrato |
| Crear tu cuenta e iniciar sesión con Google, si lo eliges, y vincular tu cuenta de Google a tu usuario | Ejecución del contrato |
| Enviarte correos de la cuenta: verificación, restablecimiento de contraseña, invitaciones, avisos de seguridad (por ejemplo, la revocación de una clave de producción) y el aviso de que pausamos el envío por correo de los comprobantes de tu cuenta | Ejecución del contrato e interés legítimo en la seguridad de tu cuenta |
| Proteger el servicio: límites de intentos, listas de IP permitidas, registro de auditoría y detección de abusos | Interés legítimo y deber de seguridad (LOPDP, art. 37) |
| Responder tus consultas y darte soporte | Ejecución del contrato o medidas precontractuales a tu pedido |
| Medir cómo se usan el sitio público y la documentación (páginas visitadas, recorridos, mapas de calor y grabaciones de la sesión) para mejorarlos, con Google Analytics y Microsoft Clarity, solo si lo aceptas | Consentimiento, que puedes retirar en cualquier momento en «Preferencias de cookies» |
| Emitir nuestras facturas y llevar nuestra contabilidad | Obligación legal |
| Cumplir obligaciones legales y requerimientos de autoridades competentes | Obligación legal u orden judicial |
No enviamos publicidad, no vendemos ni alquilamos datos personales y no elaboramos perfiles. Si aceptas la analítica del sitio, la usamos solo para medir y mejorar las páginas, nunca para publicidad (sección 7). Los límites automáticos de intentos (por ejemplo, bloquear temporalmente un inicio de sesión tras varios intentos fallidos) son medidas de seguridad. No tomamos decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre ti.
5. Qué pasa si no nos das tus datos
Para crear una cuenta necesitamos tu correo y una contraseña, o tu cuenta de Google. Para emitir comprobantes necesitamos los datos del emisor y su certificado de firma electrónica. Sin ellos no podemos prestar el servicio. Si los datos son inexactos, el SRI puede rechazar los comprobantes, y los avisos de la cuenta pueden no llegarte.
6. Datos que tratamos por cuenta de nuestros clientes
Cuando una empresa emite comprobantes con Flashpi, nos envía datos de terceros, que tratamos como encargado:
- Compradores, proveedores y sujetos retenidos: tipo y número de identificación (cédula, RUC o pasaporte), nombre o razón social, dirección y correo electrónico, y la información adicional que el emisor agregue al comprobante.
- Guías de remisión: identificación y nombre del transportista, placa del vehículo e identificación, nombre y dirección de los destinatarios.
- Certificado de firma electrónica del emisor: el archivo .p12 y su contraseña, que pueden contener el nombre y la identificación de una persona natural.
Los usamos solo para:
- leer del certificado el RUC o la cédula y el nombre de su titular o de su organización cuando el cliente agrega un emisor o renueva su firma, para proponerle el RUC (con una cédula, la cédula seguida de 001) y la razón social, que el cliente revisa y completa;
- generar, firmar y enviar los comprobantes al SRI y consultar su autorización;
- generar el RIDE en PDF;
- enviarle al comprador el RIDE y el XML por correo, cuando el emisor lo solicita;
- enviar los eventos a las direcciones de webhook que el emisor configuró;
- guardar los comprobantes para que el emisor los consulte y descargue.
El acuerdo de encargo de tratamiento, que forma parte de nuestros términos, regula este tratamiento.
Si eres comprador o proveedor de uno de nuestros clientes, el responsable de tus datos es la empresa que emitió el comprobante. Dirige tus solicitudes a ella. Si nos escribes, le trasladaremos tu solicitud sin demora y la ayudaremos a responderte.
7. Con quién compartimos los datos
| Destinatario | Para qué | Dónde |
|---|---|---|
| Amazon Web Services (AWS), como encargado | Alojamiento: servidores, base de datos, almacenamiento de archivos, claves de cifrado, colas, registros técnicos y envío de correos, entre ellos los correos con los comprobantes (Amazon SES) | Estados Unidos (región us-east-1) |
| Resend (Plus Five Five, Inc.), como encargado | Envío de los correos de la cuenta: verificación, restablecimiento de contraseña, invitaciones, avisos de seguridad y el aviso de que pausamos el envío por correo de los comprobantes de tu cuenta. No envía los correos con los comprobantes | Estados Unidos |
| Servicio de Rentas Internas (SRI) | Recepción y autorización de los comprobantes, por obligación tributaria del emisor | Ecuador |
| Entidades de certificación que emitieron el certificado | Comprobar si el certificado está vigente o revocado. Solo enviamos datos del certificado, como su número de serie | Ecuador y otros países, según la entidad |
| Proveedor de nuestro correo corporativo (Purelymail) | Recibir y responder los mensajes que nos envías | Fuera de Ecuador (sus servidores están en AWS) |
| WhatsApp (Meta), solo si nos escribes por ese canal | Recibir y responder los mensajes que nos envías por WhatsApp | Estados Unidos y otros países donde WhatsApp trata datos |
| Google LLC (Google Analytics), como encargado según sus términos de tratamiento de datos | Medir el uso del sitio público y de la documentación, solo si aceptas la analítica | Estados Unidos y otros países donde Google trata datos |
| Microsoft Corporation (Microsoft Clarity), que según Microsoft actúa como responsable | Mapas de calor y grabaciones de la sesión del sitio público y de la documentación, solo si aceptas la analítica | Estados Unidos y otros países donde Microsoft trata datos (nube de Microsoft Azure) |
| Direcciones de webhook configuradas por el cliente | Notificar los cambios de estado de sus comprobantes | Donde el cliente lo decida |
| Autoridades competentes | Cuando una ley o una orden judicial lo exija | Ecuador |
Resend guarda en Estados Unidos una copia de cada correo de la cuenta (destinatario, asunto y contenido) hasta 30 días, más 7 días en copias de seguridad, y puede revisar una pequeña muestra de los correos mediante análisis automatizado para prevenir abusos.
Si eliges iniciar sesión con Google, te identificas en las páginas de Google, y Google LLC (Estados Unidos) nos envía los datos de tu cuenta de Google que lista la sección 3. Google actúa como responsable independiente, no como encargado nuestro: trata tus datos según su propia política de privacidad y sabe que usaste tu cuenta de Google para entrar en Flashpi. Solo le enviamos lo necesario para el inicio de sesión, como el idioma de sus pantallas: no le enviamos tu correo ni otros datos de tu cuenta de Flashpi, tampoco el correo de una invitación. Cuando la consola muestra tu foto de perfil de Google, tu navegador la carga desde los servidores de Google, que reciben tu dirección IP e información del navegador. Omitimos la dirección de la página de origen en esa solicitud.
Analítica del sitio, solo con tu consentimiento. Si aceptas la analítica en el sitio público o en la documentación, tu navegador carga Google Analytics y Microsoft Clarity y les envía directamente los datos de analítica de la sección 3. Si la rechazas, o mientras no elijas, no se carga ninguno de los dos y tu navegador no les envía nada; la consola nunca los carga. En Google Analytics desactivamos Google Signals y la personalización de anuncios, y negamos todo almacenamiento con fines publicitarios (modo de consentimiento de Google); Google trata estos datos por cuenta de Flashpi según los Términos de Tratamiento de Datos de Google Ads, que rigen Google Analytics, y su política de privacidad. A Clarity le indicamos, con su API de consentimiento, que aceptaste el almacenamiento de analítica y no el publicitario. Microsoft indica que en Clarity actúa como responsable del tratamiento, según la Declaración de privacidad de Microsoft; Clarity también puede usar cookies propias de Microsoft en sus dominios (clarity.ms y bing.com), que no podemos borrar desde este sitio.
WhatsApp, solo si nos escribes por ese canal. El botón de WhatsApp del sitio es un enlace: hasta que lo usas, tu navegador no envía nada a WhatsApp. Si nos escribes por WhatsApp, usas un servicio de WhatsApp (Meta), que trata tus datos según su propia política de privacidad.
Nuestros correos, los de la cuenta y los de los comprobantes, llegan al proveedor de correo del destinatario. Se envían cifrados (TLS) cuando su servidor lo admite.
8. Transferencias internacionales
Nuestros servidores están en Estados Unidos (AWS, región us-east-1), y Resend, que envía los correos de la cuenta, también guarda allí sus datos. Estados Unidos no tiene declaración de nivel adecuado de protección de la Superintendencia de Protección de Datos Personales. Protegemos esos datos con:
- los términos contractuales de protección de datos de AWS como encargado;
- el cifrado de los datos en tránsito y en reposo;
- los controles de acceso que describe la sección 10.
Algunas entidades de certificación consultan desde otros países, pero solo reciben datos del certificado.
Si aceptas la analítica del sitio, Google Analytics (Google LLC) y Microsoft Clarity (Microsoft Corporation) reciben tus datos de analítica en Estados Unidos y en otros países donde tratan datos. Esa transferencia se hace con tu consentimiento, que puedes retirar en cualquier momento (sección 11).
Si nos escribes por WhatsApp, tus mensajes pasan por WhatsApp (Meta), en Estados Unidos y en otros países donde trata datos, porque eliges ese canal. Si prefieres evitarlo, escríbenos por correo.
9. Cuánto tiempo guardamos los datos
| Datos | Plazo |
|---|---|
| Datos de la cuenta y del equipo | Mientras la cuenta esté activa y 90 días después de su cierre |
| Datos de tu cuenta de Google vinculada | Mientras esté vinculada a tu usuario y, como máximo, lo mismo que los datos de la cuenta. Se eliminan antes si restableces tu contraseña o si nos pides desvincularla |
| Intentos de inicio de sesión con Google | Se eliminan dentro de las 24 horas |
| Comprobantes de producción (datos, XML y RIDE) | 7 años desde su emisión, por la obligación tributaria del emisor. Si el cliente cierra su cuenta, se eliminan 30 días después del cierre |
| Archivos de comprobantes de pruebas (XML y RIDE) | 90 días |
| Archivo .p12 recibido | Se elimina al terminar de registrar el certificado, sea aceptado o rechazado en ese paso. Si el certificado no llega a registrarse (un alta de emisor rechazada al verificar el certificado, o que no se completa), se elimina automáticamente dentro de los 8 días desde que lo recibimos |
| Datos del alta de un emisor desde su certificado: el titular, su identificación y los datos públicos del certificado | 30 días después de que el alta se complete, venza o sea rechazada |
| Certificado de firma cifrado | Mientras el emisor lo mantenga registrado y 30 días después |
| Registro de solicitudes a la API | 30 días |
| Copia de los correos de la cuenta en Resend | Hasta 30 días desde el envío, más 7 días en copias de seguridad |
| Direcciones suprimidas en Resend (rebotes y quejas) | Hasta que las retiremos: al cerrar la cuenta, o cuando su titular lo pida aunque no tenga cuenta |
| Registros técnicos de los servidores | 90 días |
| Copias de seguridad de la base de datos | 7 días |
| Registro de auditoría y de sesiones | 2 años |
| Mensajes de soporte, también los que nos envías por WhatsApp | 2 años |
| Datos de analítica en Google Analytics, de nivel de usuario y de evento | 14 meses, el plazo que configuramos en Google Analytics. Los informes agregados, que no identifican a nadie, se conservan después |
| Datos de analítica en Microsoft Clarity | Grabaciones de la sesión: 30 días, salvo las marcadas como favoritas y una muestra aleatoria de grabaciones, que Microsoft conserva hasta 9 meses. Mapas de calor y datos de clics: hasta 9 meses (plazos que fija Microsoft) |
| Datos de facturación | 7 años, por obligación tributaria |
Vencido el plazo, eliminamos o anonimizamos los datos, salvo que una ley nos obligue a conservarlos por más tiempo.
10. Cómo protegemos los datos
- Cifrado en tránsito: el sitio y la API solo funcionan con HTTPS (TLS 1.2 o superior).
- Cifrado en reposo: en AWS usamos claves de AWS KMS administradas por Flashpi y con rotación automática. Resend guarda cifradas sus copias de los correos de la cuenta.
- Certificados de firma: el certificado y su contraseña se guardan cifrados (AES-256-GCM), y solo el servicio de firma puede descifrarlos.
- Credenciales: las contraseñas, las claves de API y los códigos de recuperación se guardan como resúmenes criptográficos. Los secretos de la verificación en dos pasos y de los webhooks se guardan cifrados.
- Red: la base de datos está en una red privada sin acceso a Internet, y un firewall de aplicaciones web protege el sitio y la API.
- Acceso del personal: solo el personal autorizado accede a las herramientas internas, con verificación en dos pasos y por un canal restringido. Sus consultas a los datos de los clientes quedan registradas. El panel de Resend, donde se ven los correos de la cuenta de los últimos 30 días, solo lo usa el administrador de Flashpi, con verificación en dos pasos.
Si ocurre una vulneración de seguridad que afecte tus datos, lo notificaremos a la Superintendencia de Protección de Datos Personales y, cuando exista riesgo para ti, también a ti, en los plazos de la LOPDP.
11. Tus derechos y cómo ejercerlos
Puedes ejercer en cualquier momento y sin costo tus derechos de:
- acceso;
- rectificación y actualización;
- eliminación;
- oposición;
- portabilidad;
- suspensión del tratamiento;
- no ser objeto de decisiones basadas únicamente en tratamientos automatizados.
Cuando el tratamiento se base en tu consentimiento, puedes revocarlo cuando quieras, sin afectar lo tratado antes. La analítica del sitio la retiras en «Preferencias de cookies», al pie de cada página del sitio y de la documentación, eligiendo Rechazar, tan fácil como la aceptaste: borramos de tu navegador las cookies de analítica y no volvemos a cargar Google Analytics ni Microsoft Clarity. Lo que ya recibieron se conserva según la sección 9; para pedir que se elimine, escríbenos.
Escríbenos a privacidad@flashpi.com.ec e incluye:
- tus nombres y número de identificación;
- el derecho que ejerces y los datos a los que se refiere;
- un medio para responderte;
- si actúas por otra persona, el documento que lo acredite.
Podemos pedirte que confirmes tu identidad. Respondemos dentro de los plazos de la LOPDP. Algunos datos no podremos eliminarlos mientras una ley nos obligue a conservarlos; por ejemplo, los comprobantes autorizados.
Si no estás conforme con nuestra respuesta, puedes presentar un reclamo ante la Superintendencia de Protección de Datos Personales.
12. Cookies y almacenamiento en el navegador
Este sitio y la documentación solo usan cookies de analítica y scripts de terceros (Google Analytics y Microsoft Clarity) si los aceptas; mientras no elijas, o si los rechazas, no usan ninguno. La consola no usa analítica ni scripts de terceros, y solo usa cookies propias, estrictamente necesarias para que funcione:
| Nombre | Para qué | Duración |
|---|---|---|
__Host-flashpi_session | Mantener tu sesión iniciada | Hasta 12 horas (se cierra tras 2 horas sin actividad) |
__Host-flashpi_csrf | Proteger tus acciones contra solicitudes falsificadas | Igual que la sesión |
__Host-flashpi_verification | Vincular la verificación de tu correo a tu navegador | 24 horas |
__Host-flashpi_google | Proteger el inicio de sesión con Google contra solicitudes falsificadas | Hasta 10 minutos |
Si aceptas la analítica en el sitio público o en la documentación, Google Analytics y Microsoft Clarity guardan estas cookies en tu navegador, en el dominio flashpi.com.ec:
| Nombre | De quién y para qué | Duración |
|---|---|---|
_ga | Google Analytics: distinguir a los visitantes con un identificador aleatorio | 2 años |
_ga_GW6FTDQXQM | Google Analytics: mantener el estado de la visita | 2 años |
_clck | Microsoft Clarity: guardar su identificador de visitante y sus preferencias | 1 año |
_clsk | Microsoft Clarity: unir las páginas de una visita en una sola grabación | 1 día |
Clarity también guarda un identificador de la pestaña en el almacenamiento de sesión de tu navegador (_cltk), que se borra al cerrar la pestaña. Si retiras tu consentimiento, lo borramos junto con las cookies.
Tu elección se guarda en el almacenamiento local de tu navegador (flashpi.analytics-consent), no en una cookie, y no se envía a ningún servidor. Si tu navegador envía la señal Global Privacy Control, la tomamos como un rechazo. Puedes cambiar tu elección en cualquier momento en «Preferencias de cookies», al pie de cada página del sitio y de la documentación; si la retiras, borramos las cookies de analítica y no volvemos a cargar Google Analytics ni Microsoft Clarity.
La consola y la documentación también guardan en tu navegador algunas preferencias: tema, idioma, la última cuenta que usaste y el estado de la verificación de correo, de la invitación o del inicio de sesión con Google en curso. Son preferencias técnicas y puedes borrarlas desde tu navegador.
13. Comunicaciones electrónicas
Solo enviamos correos relacionados con el servicio. Las cuentas usan no-reply@flashpi.com.ec y no-reply@notify.flashpi.com.ec, y los comprobantes comprobantes@flashpi.com.ec, en nombre del emisor. No enviamos correos publicitarios. Si te suscribes al boletín del blog, solo te lo enviaremos con tu consentimiento, y podrás darte de baja en cualquier momento respondiendo al correo.
14. Cambios a esta política
Podemos actualizar esta política. Publicaremos cada versión en esta página con su fecha de vigencia. Si un cambio es importante, te avisaremos por correo o en la consola antes de que entre en vigencia.
Versiones
- 9 de noviembre de 2026: agregamos WhatsApp como canal de contacto del sitio (secciones 3, 7, 8 y 9).
- 29 de octubre de 2026: Resend también envía el aviso de que pausamos el envío por correo de los comprobantes de tu cuenta (secciones 4 y 7). Agregamos la analítica del sitio público y de la documentación con Google Analytics y Microsoft Clarity, solo con tu consentimiento (secciones 3, 4, 7, 8, 9, 11 y 12). Agregamos el alta de emisores desde su certificado de firma, del que leemos el RUC o la cédula y el titular, y cuánto guardamos sus datos y el archivo .p12 (secciones 6 y 9).
- 24 de octubre de 2026: agregamos el inicio de sesión con Google (secciones 3, 4, 5, 7, 9 y 12).
- 23 de octubre de 2026: agregamos a Resend como proveedor de los correos de la cuenta (secciones 7, 8, 9, 10 y 13) y, a los datos de tu cuenta, la versión de los términos y de esta política vigente cuando creaste tu usuario (sección 3).
- 21 de octubre de 2026: primera versión.