YanamisiAcuerdo de Encargo de Tratamiento de Datos Personales
Versión 1.0 · vigente desde el 8 de octubre de 2026
Este acuerdo forma parte de los Términos de Servicio y se acepta junto con ellos.
1. Partes
- Responsable del tratamiento: el Cliente que contrata Yanamisi, identificado en su Cuenta.
- Encargado del tratamiento: Juan Marcelo Arteaga Gordon, RUC 1715125256001, titular del servicio Yanamisi ("Yanamisi").
Los términos definidos en los Términos de Servicio tienen aquí el mismo significado.
2. Objeto
Este acuerdo regula el tratamiento que Yanamisi hace, por cuenta del Cliente, de los datos personales de los Clientes Finales y demás personas que el Cliente registra en el Servicio, conforme a la Ley Orgánica de Protección de Datos Personales (LOPDP). Yanamisi trata esos datos únicamente para prestar el Servicio y siguiendo las instrucciones documentadas del Cliente, que son: los Términos de Servicio, este acuerdo y la configuración y uso que el Cliente hace de la plataforma.
3. Detalle del tratamiento
| Aspecto | Detalle |
|---|---|
| Titulares | Clientes Finales del Cliente (compradores, receptores de comprobantes), proveedores y contactos que el Cliente registre |
| Datos | Nombre o razón social, cédula, RUC o pasaporte, dirección, correo, teléfono, detalle de compras y montos, datos de envío |
| Datos sensibles | Ninguno. El Cliente no debe registrar datos sensibles en el Servicio |
| Operaciones | Registro, almacenamiento, consulta, generación y envío de comprobantes al SRI y al Cliente Final, respaldo, exportación y eliminación |
| Finalidad | Emitir comprobantes electrónicos, gestionar inventario y ventas, operar la tienda en línea y generar reportes para el Cliente |
| Duración | La vigencia del contrato, más los plazos de conservación de la sección 11 |
| Ubicación principal | Servidores de Yanamisi en Ecuador |
4. Obligaciones de Yanamisi como encargado
Yanamisi se obliga a:
- Tratar los datos solo conforme a las instrucciones del Cliente y para prestar el Servicio. Si considera que una instrucción infringe la ley, lo informará al Cliente.
- No usar los datos para fines propios, publicidad, perfilamiento ni venta o cesión a terceros.
- Mantener la confidencialidad de los datos y exigirla por escrito a toda persona que tenga acceso a ellos.
- Aplicar las medidas de seguridad de la sección 8.
- Recurrir a subencargados solo en las condiciones de la sección 6.
- Ayudar al Cliente a atender los derechos de los titulares y a cumplir sus obligaciones de seguridad, notificación y evaluación de impacto, en la medida que corresponda a su rol.
- Notificar al Cliente las vulneraciones de seguridad conforme a la sección 9.
- Devolver o eliminar los datos al terminar el contrato, conforme a la sección 11.
- Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de este acuerdo.
5. Obligaciones del Cliente como responsable
El Cliente se obliga a:
- Contar con una base legal para tratar los datos de sus Clientes Finales y para encargar su tratamiento a Yanamisi, e informarles conforme a la LOPDP.
- Registrar solo los datos necesarios y no registrar datos sensibles.
- Atender las solicitudes de derechos de sus Clientes Finales, con la asistencia de Yanamisi.
- Notificar a la Superintendencia de Protección de Datos Personales y a los titulares las vulneraciones de seguridad, cuando corresponda.
- Gestionar con responsabilidad los accesos de sus Usuarios.
6. Subencargados
6.1. El Cliente autoriza a Yanamisi a recurrir a los siguientes subencargados:
| Subencargado | Servicio | Datos a los que accede | Ubicación |
|---|---|---|---|
| Cloudflare, Inc. | Red, cifrado del tráfico, protección contra ataques, control de acceso y envío de correos | Datos en tránsito y correos enviados a Clientes Finales | Estados Unidos y red global |
| Google LLC | Correo de soporte, si el Cliente envía datos por esa vía | Lo que el Cliente incluya en sus mensajes | Estados Unidos y red global |
El SRI no es subencargado: recibe los comprobantes como autoridad tributaria, por obligación legal del Cliente.
6.2. Yanamisi exigirá a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este acuerdo, y responderá ante el Cliente por su cumplimiento.
6.3. Yanamisi avisará al Cliente con al menos 30 días de anticipación antes de agregar o cambiar un subencargado. Si el Cliente tiene un motivo razonable de oposición relacionado con la protección de datos, las partes buscarán una solución; si no la hay, el Cliente podrá cancelar sin penalidad y con reembolso de la parte no utilizada del período pagado.
7. Transferencias internacionales
Los datos se almacenan en Ecuador. Cuando un subencargado los procese fuera del país, Yanamisi se asegurará de que existan garantías adecuadas conforme a la LOPDP, como cláusulas contractuales tipo o mecanismos equivalentes reconocidos por la Superintendencia de Protección de Datos Personales.
8. Medidas de seguridad
Yanamisi mantiene, como mínimo, estas medidas:
| Ámbito | Medida |
|---|---|
| Aislamiento entre clientes | Seguridad a nivel de fila en la base de datos: cada consulta solo ve los datos de la empresa activa del usuario |
| Control de acceso | Usuarios con roles, contraseñas con hash argon2id, sesiones con cookies seguras, límite de intentos de inicio de sesión |
| Cifrado | HTTPS en todas las conexiones; firmas electrónicas y sus claves cifradas con AES-256-GCM y llaves guardadas fuera de la base de datos |
| Acceso administrativo | Paneles internos protegidos por autenticación adicional; acceso del personal limitado a lo necesario |
| Trazabilidad | Registro de auditoría de solo inserción de las acciones relevantes |
| Continuidad | Respaldos cifrados y réplica en un segundo sitio con energía de respaldo |
| Desarrollo | Pruebas automatizadas y revisión de dependencias antes de cada despliegue |
Yanamisi revisará y actualizará estas medidas según la evolución de los riesgos y la tecnología, sin reducir el nivel de protección.
9. Notificación de vulneraciones de seguridad
9.1. Si Yanamisi tiene conocimiento de una vulneración de seguridad que afecte los datos del Cliente, se lo notificará sin demora y en un plazo máximo de 24 horas, a los correos registrados en la Cuenta.
9.2. La notificación incluirá, en la medida en que se conozca: la naturaleza de la vulneración, las categorías y el número aproximado de titulares y registros afectados, las consecuencias probables, las medidas adoptadas o propuestas y un contacto para más información. Si no toda la información está disponible de inmediato, se entregará por fases.
9.3. Yanamisi tomará de inmediato las medidas razonables para contener la vulneración y reducir sus efectos, y colaborará con el Cliente para que este cumpla sus obligaciones de notificación ante la Superintendencia de Protección de Datos Personales y los titulares.
9.4. Notificar una vulneración no implica que Yanamisi reconozca responsabilidad.
10. Asistencia con los derechos de los titulares
10.1. Si Yanamisi recibe directamente una solicitud de un Cliente Final para ejercer sus derechos, la trasladará al Cliente en un plazo máximo de 3 días hábiles y no la responderá por su cuenta, salvo instrucción del Cliente.
10.2. El Servicio permite al Cliente consultar, corregir, exportar y eliminar los datos de sus Clientes Finales. Cuando esas herramientas no sean suficientes, Yanamisi asistirá al Cliente a solicitud suya.
11. Fin del contrato y conservación
11.1. Al terminar el contrato, el Cliente tendrá 90 días para exportar sus datos. Vencido ese plazo, Yanamisi eliminará o anonimizará los datos personales tratados por cuenta del Cliente, incluidas sus copias de respaldo en el siguiente ciclo de rotación, salvo lo previsto en 11.2.
11.2. Los comprobantes electrónicos y los registros que la normativa tributaria obliga a conservar se mantendrán bloqueados durante el plazo legal, actualmente siete (7) años desde su emisión. Durante ese tiempo no se usarán para ningún otro fin y solo se entregarán al Cliente o a la autoridad competente que los solicite. Esta conservación se basa en el cumplimiento de una obligación legal.
11.3. A pedido del Cliente, Yanamisi certificará por escrito la eliminación de los datos.
12. Verificación, responsabilidad y vigencia
12.1. Una vez al año, o tras una vulneración de seguridad, el Cliente puede pedir información sobre las medidas de seguridad y el cumplimiento de este acuerdo. Yanamisi responderá por escrito en un plazo razonable. Las auditorías presenciales se acordarán previamente, a costo del Cliente, sin afectar la seguridad ni la confidencialidad de otros clientes.
12.2. La responsabilidad de cada parte por incumplir este acuerdo se rige por la sección de limitación de responsabilidad de los Términos de Servicio, sin perjuicio de lo que disponga la LOPDP de forma imperativa.
12.3. Este acuerdo rige mientras Yanamisi trate datos por cuenta del Cliente, incluido el plazo de conservación de 11.2. Si hay contradicción con los Términos de Servicio en materia de protección de datos, prevalece este acuerdo.