Documentos legales/Encargo de Tratamiento de Datos
Versión 2026-08-18 · Última actualización: 18 de agosto de 2026
CONTRATO DE ENCARGO DE TRATAMIENTO DE DATOS PERSONALES - GESTIONS
Versión: 2026-08-18
Última actualización: 18 de agosto de 2026
URL oficial: https://www.gestions.app/legal/encargo-tratamiento
1. Partes y alcance
El presente Contrato de Encargo de Tratamiento de Datos Personales, en adelante “DPA” o “Contrato de Encargo”, regula el tratamiento de datos personales realizado por GESTIONS por cuenta de sus clientes.
Por una parte, la persona natural o jurídica que contrata GESTIONS y determina las finalidades y medios esenciales del tratamiento de datos personales que incorpora a la plataforma, en adelante “EL RESPONSABLE”.
Por otra parte, INNOVA3EC CONSULTORES, RUC 1792628881001, domiciliada en Quito, Pichincha, Ecuador, operadora de GESTIONS, en adelante “EL ENCARGADO”.
Este DPA complementa el Contrato de Licencia de Uso y Prestación del Servicio GESTIONS. En materia de tratamiento de datos por cuenta de EL RESPONSABLE, prevalecerá este DPA sobre estipulaciones generales incompatibles.
2. Objeto del encargo
EL RESPONSABLE encarga a INNOVA3EC el tratamiento de los datos personales necesarios para prestar GESTIONS y las funcionalidades que EL RESPONSABLE habilite.
EL ENCARGADO tratará los datos personales únicamente conforme a las instrucciones documentadas de EL RESPONSABLE, las configuraciones efectuadas dentro de la plataforma, este DPA y la legislación aplicable.
3. Duración
El encargo permanecerá vigente mientras exista una relación contractual o técnica que requiera tratamiento de datos por cuenta de EL RESPONSABLE.
Las obligaciones de confidencialidad, seguridad, devolución, eliminación y cooperación que por su naturaleza deban subsistir continuarán después de la terminación durante el tiempo legalmente aplicable.
4. Naturaleza y operaciones de tratamiento
Según las funcionalidades utilizadas, las operaciones pueden incluir recolección, recepción, registro, estructuración, organización, almacenamiento, consulta, recuperación, visualización, modificación bajo instrucciones, transmisión técnica, comunicación a subencargados autorizados, respaldo, bloqueo, exportación, supresión y otras operaciones necesarias para prestar GESTIONS.
5. Finalidades del tratamiento por encargo
El tratamiento puede tener como finalidad técnica prestar funcionalidades de:
- gestión de clientes y contactos;
- facturación electrónica y documentación tributaria;
- cobros y registros financieros;
- proyectos, tareas y actividades;
- recursos humanos y nómina;
- gestión documental y almacenamiento de adjuntos;
- comunicaciones por correo o WhatsApp cuando se habiliten;
- notificaciones push;
- automatizaciones;
- soporte técnico y seguridad;
- respaldos y recuperación;
- funciones de inteligencia artificial mediante GIA cuando sean activadas por EL RESPONSABLE o sus usuarios autorizados.
EL ENCARGADO no utilizará los datos tratados por cuenta de EL RESPONSABLE para finalidades propias incompatibles con el encargo.
6. Categorías de titulares
Los titulares cuyos datos pueden tratarse incluyen, según el uso de EL RESPONSABLE: clientes; potenciales clientes; trabajadores; ex trabajadores; colaboradores; representantes; proveedores; contactos; profesionales; usuarios; familiares o dependientes registrados de forma lícita; y otras personas relacionadas con los procesos administrativos gestionados por EL RESPONSABLE.
7. Categorías de datos
Las categorías pueden incluir:
- nombres, apellidos, cédula, DNI, RUC y fecha de nacimiento;
- correo, teléfono y dirección;
- fotografía y documentos de identidad;
- datos laborales, cargo, salario, fechas de contrato/IESS y vacaciones;
- género, estado civil, número de hijos y contacto de emergencia cuando EL RESPONSABLE los utilice para procesos legítimos de talento humano;
- datos bancarios necesarios para procesos administrativos;
- información tributaria, facturas, XML/PDF SRI y documentos relacionados;
- ubicación cuando se utilicen funciones de mapas o check-in;
- archivos, fotografías, comprobantes, gastos y adjuntos;
- comunicaciones procesadas a través de integraciones habilitadas;
- datos técnicos necesarios para seguridad y operación.
EL RESPONSABLE deberá evaluar previamente la licitud y necesidad de incorporar datos sensibles, categorías especiales o información de alto riesgo que no forme parte del uso ordinario de GESTIONS y deberá coordinar con EL ENCARGADO medidas adicionales cuando sean necesarias.
8. Obligaciones de EL RESPONSABLE
EL RESPONSABLE se obliga a:
- disponer de una base de legitimación válida para cada tratamiento que realice mediante GESTIONS;
- cumplir los deberes de información frente a los titulares;
- obtener consentimiento cuando éste sea legalmente exigible;
- impartir instrucciones lícitas, documentadas y coherentes con el contrato;
- configurar roles, permisos y accesos de sus usuarios;
- mantener actualizada la información necesaria para el tratamiento;
- atender los derechos de los titulares en los casos en que sea responsable;
- no utilizar GESTIONS para tratamientos ilícitos ni para categorías de datos que requieran salvaguardas no implementadas sin coordinación previa;
- evaluar los riesgos propios de sus finalidades y procesos;
- cumplir sus obligaciones ante la SPDP y demás autoridades cuando resulten aplicables.
9. Obligaciones de EL ENCARGADO
EL ENCARGADO se obliga a:
- tratar los datos únicamente conforme a instrucciones documentadas de EL RESPONSABLE, salvo obligación legal aplicable;
- garantizar que las personas autorizadas para tratar datos estén sujetas a deberes de confidencialidad;
- implementar medidas de seguridad razonables y proporcionales al riesgo;
- asistir razonablemente a EL RESPONSABLE en la atención de derechos de titulares cuando el tratamiento se efectúe por cuenta de éste;
- colaborar en la gestión de incidentes, evaluaciones y obligaciones regulatorias en el ámbito bajo su control;
- mantener información y registros razonablemente necesarios para demostrar el cumplimiento de sus obligaciones como encargado;
- administrar subencargados conforme a este DPA y a la normativa aplicable;
- devolver, eliminar, anonimizar o bloquear los datos al terminar el servicio conforme a este DPA y a la normativa aplicable;
- informar a EL RESPONSABLE cuando considere que una instrucción infringe manifiestamente la normativa de protección de datos, sin que ello implique asumir la función jurídica de EL RESPONSABLE.
10. Confidencialidad
EL ENCARGADO limitará el acceso a los datos personales al personal y colaboradores que requieran dicho acceso para prestar o asegurar el servicio.
Las personas autorizadas estarán sujetas a obligaciones de confidencialidad y uso limitado a las funciones correspondientes. Esta obligación subsistirá después de finalizar la relación cuando sea aplicable.
11. Medidas de seguridad
EL ENCARGADO aplicará medidas técnicas y organizativas razonables atendiendo al estado de la técnica, costos de aplicación, naturaleza, alcance, contexto y riesgos del tratamiento.
Las medidas pueden incluir autenticación; control de acceso basado en roles; segregación lógica por cuenta o tenant; cifrado en tránsito y/o reposo cuando corresponda; servicios de administración de claves; registros y monitoreo; respaldos; control de infraestructura; gestión de vulnerabilidades; medidas de continuidad; y controles de acceso administrativo.
Las medidas concretas podrán evolucionar para mejorar la seguridad sin reducir materialmente el nivel de protección comprometido.
12. Subencargados
EL RESPONSABLE autoriza de forma general a EL ENCARGADO a utilizar proveedores tecnológicos necesarios para prestar GESTIONS, siempre que su intervención sea coherente con las finalidades del servicio y se encuentren sujetos a obligaciones de protección de datos y confidencialidad apropiadas.
Según las funcionalidades activadas, pueden intervenir:
- Amazon Web Services (AWS), incluidos Amplify, AppSync, DynamoDB, S3, Cognito, Lambda, SES, KMS y Bedrock;
- Google y Firebase;
- Microsoft;
- Apple;
- Payphone;
- Mercurio;
- Meta / WhatsApp;
- SRI y proveedores tecnológicos relacionados, incluido Jupiter;
- proveedores de correo electrónico, SMTP y comunicaciones.
EL ENCARGADO podrá sustituir o incorporar subencargados cuando resulte necesario para operar el servicio. Cuando la normativa o el riesgo del cambio lo requieran, informará a EL RESPONSABLE por medios razonables para que pueda ejercer los derechos que legalmente correspondan.
13. Transferencias y tratamiento internacional
La infraestructura principal de GESTIONS se encuentra actualmente en AWS us-east-1, Norte de Virginia, Estados Unidos. Algunos subencargados pueden tratar información en otras jurisdicciones de acuerdo con sus infraestructuras y servicios.
EL ENCARGADO adoptará los mecanismos y salvaguardas exigibles bajo la legislación ecuatoriana para las transferencias o comunicaciones internacionales realizadas bajo su responsabilidad.
EL RESPONSABLE reconoce que la prestación de un servicio cloud global puede implicar tratamiento fuera de Ecuador y se obliga a informar a sus titulares cuando legalmente corresponda.
14. Integraciones solicitadas por EL RESPONSABLE
Cuando EL RESPONSABLE o sus usuarios conecten Gmail, Outlook, WhatsApp u otros servicios externos, dicha acción constituirá una instrucción documentada para que GESTIONS trate los datos necesarios para ejecutar la integración dentro de los permisos otorgados.
EL RESPONSABLE deberá verificar que cuenta con base jurídica para los datos y comunicaciones que gestione mediante dichas integraciones.
15. Inteligencia artificial - GIA
Cuando EL RESPONSABLE utilice GIA con datos personales, deberá determinar la licitud de incluir dichos datos, aplicar el principio de minimización, evitar introducir datos sensibles o confidenciales innecesarios y establecer revisión humana cuando el resultado pueda afectar significativamente a una persona.
EL ENCARGADO procurará limitar el contexto enviado a sistemas de IA a la información necesaria para la función solicitada y aplicará las medidas bajo su control conforme a la normativa ecuatoriana aplicable a protección de datos personales e inteligencia artificial.
16. Derechos de los titulares
Cuando un titular presente a EL ENCARGADO una solicitud relativa a datos cuyo responsable sea EL RESPONSABLE, EL ENCARGADO podrá remitir la solicitud a EL RESPONSABLE, indicar al titular el canal correspondiente o asistir técnicamente en su atención.
EL ENCARGADO no decidirá por cuenta propia sobre el fondo de solicitudes cuando dicha decisión corresponda a EL RESPONSABLE, salvo obligación legal o autorización expresa.
17. Incidentes y vulneraciones de seguridad
Cuando EL ENCARGADO tenga conocimiento de una vulneración de seguridad que afecte datos personales tratados por cuenta de EL RESPONSABLE, comunicará a éste la información pertinente sin dilación indebida, en cuanto disponga de elementos razonablemente suficientes para ello.
La comunicación podrá incluir, conforme esté disponible, naturaleza del incidente, categorías de datos o titulares potencialmente afectados, posibles consecuencias, medidas de contención y un punto de contacto.
EL RESPONSABLE será responsable de realizar las notificaciones a titulares o autoridades que le correspondan como responsable, con la asistencia razonable de EL ENCARGADO.
18. Auditoría y demostración de cumplimiento
EL ENCARGADO proporcionará a EL RESPONSABLE información razonablemente necesaria para demostrar el cumplimiento de las obligaciones de este DPA, considerando las características del servicio, la confidencialidad, secretos empresariales, seguridad y derechos de otros clientes.
Las auditorías extraordinarias solicitadas por EL RESPONSABLE deberán coordinarse previamente para no comprometer la seguridad o continuidad del servicio. Los costos extraordinarios podrán ser acordados entre las partes, sin limitar facultades irrenunciables de la SPDP u otras autoridades competentes.
19. Conservación, devolución y eliminación
Al terminar el servicio, EL RESPONSABLE podrá solicitar o ejecutar la exportación de la información mediante las funcionalidades habilitadas o mecanismos acordados.
La información operativa tratada por cuenta de EL RESPONSABLE podrá mantenerse durante un período ordinario de hasta treinta (30) días después de la terminación para permitir cierre, exportación, recuperación o eliminación, salvo instrucciones válidas de eliminación anterior o una obligación legal que requiera conservarla.
Luego del período aplicable, EL ENCARGADO eliminará, anonimizará o bloqueará los datos bajo su control conforme corresponda, salvo que exista una obligación jurídica de conservación.
Las copias de respaldo pueden permanecer durante sus ciclos técnicos de rotación. Durante dicho período se mantendrán protegidas y fuera del tratamiento ordinario hasta su eliminación o sobrescritura.
20. Responsabilidad de las partes
Cada parte responderá por las obligaciones que le correspondan conforme a su rol, conducta y a la legislación aplicable.
Nada en este DPA limita derechos de los titulares ni facultades de la SPDP u otras autoridades competentes que no puedan limitarse contractualmente.
21. Vigencia y modificaciones
Este DPA se incorpora a la relación contractual de GESTIONS desde su aceptación o desde la utilización de GESTIONS para tratamientos por encargo, según resulte jurídicamente aplicable.
INNOVA3EC podrá actualizarlo por cambios normativos, regulatorios, técnicos o de subencargados. Las modificaciones materiales serán comunicadas por medios razonables y, cuando sea jurídicamente necesario, se solicitará aceptación adicional.
22. Legislación aplicable
Este DPA se rige por la legislación de la República del Ecuador, en particular por la Ley Orgánica de Protección de Datos Personales, su Reglamento General y la normativa aplicable emitida por la Superintendencia de Protección de Datos Personales.
23. Aceptación electrónica
Las partes reconocen la validez de la aceptación mediante mensajes de datos, mecanismos electrónicos y registros verificables, conforme a la legislación ecuatoriana aplicable.
La evidencia de aceptación podrá incluir identificadores de usuario y empresa, versión del documento, fecha y hora, dirección IP cuando se registre, agente de usuario, huella o hash del documento y demás elementos técnicos utilizados por GESTIONS para acreditar la versión aceptada.
24. Contacto
INNOVA3EC CONSULTORES
RUC: 1792628881001
Quito, Pichincha, Ecuador
Correo: carlos@innova3ec.com
Web: https://www.gestions.app
URL del DPA: https://www.gestions.app/legal/encargo-tratamiento