Política de privacidad
Qué datos personales tratamos de quienes usan LexAppliance GRC, para qué, con qué base legal, cuánto tiempo y cómo ejercer tus derechos según la LOPDP.
1. Responsable del tratamiento
[Razón social o nombre del titular del servicio], RUC [RUC], con domicilio en [Domicilio legal: ciudad, calle y número], teléfono [Teléfono] y correo [Correo para protección de datos].
No hemos designado un delegado de protección de datos porque nuestra actividad no está entre los casos en que el art. 48 de la LOPDP lo exige. Para cualquier asunto sobre tus datos, escribe a [Correo para protección de datos].
2. A qué datos se aplica
Esta política cubre los datos de las personas que crean una cuenta, son invitadas a un equipo, contratan un plan o nos escriben.
La información que cada organización registra en la plataforma (por ejemplo, su registro de actividades, sus brechas o los nombres de su equipo en los historiales) la trata esa organización como responsable; nosotros actuamos como encargados según el Contrato de encargo de tratamiento. Para ejercer derechos sobre esos datos, dirígete a la organización correspondiente; si nos llega tu solicitud, se la trasladaremos.
3. Qué datos tratamos, para qué y con qué base legal
| Datos | Finalidad | Base legal (LOPDP art. 7) | Conservación |
|---|---|---|---|
| Nombres, apellidos, correo, institución, perfil profesional y contraseña cifrada | Crear y gestionar tu cuenta, darte acceso y prestar el servicio contratado | Ejecución del contrato (num. 5) | Mientras la cuenta esté activa y 30 días después de cerrarla |
| Datos de la empresa: razón social, RUC, representante legal, domicilio, correo del delegado, oficial de seguridad y logo | Rellenar los documentos y reportes de la organización | Ejecución del contrato (num. 5) | Igual que la cuenta |
| Correo y rol de las personas invitadas al equipo | Enviar la invitación y gestionar el acceso | Ejecución del contrato con la organización que invita (num. 5) | La invitación caduca a los 7 días; la membresía, mientras dure |
| Plan, estado de la suscripción y datos de facturación | Cobrar el servicio y emitir comprobantes | Ejecución del contrato (num. 5) y obligación legal tributaria (num. 2) | El plazo que exija la normativa tributaria |
| Dirección IP, fecha y resultado de los intentos de acceso y registro | Proteger las cuentas frente a accesos indebidos y abuso (límite de intentos) | Interés legítimo en la seguridad del servicio (num. 8) | Horas: el contador de intentos se borra solo |
| Autor y fecha de los cambios y documentos emitidos dentro de la plataforma | Trazabilidad que la organización necesita para auditorías | Ejecución del contrato (num. 5) | Mientras la organización conserve esa información |
| Mensajes que nos envías y solicitudes de información sobre funciones | Responderte y atender tu solicitud | Medidas precontractuales o ejecución del contrato (num. 5) | 12 meses desde la última comunicación |
Solo enviaremos comunicaciones comerciales si das tu consentimiento expreso, que puedes revocar en cualquier momento sin justificación.
Los datos de registro marcados como obligatorios son necesarios para crear la cuenta: sin ellos no podemos prestarte el servicio. Si los datos son inexactos, los documentos que generes los reproducirán; puedes corregirlos en cualquier momento desde tu cuenta y los datos de la empresa.
No elaboramos perfiles ni tomamos decisiones basadas en valoraciones automatizadas que produzcan efectos jurídicos sobre ti. Los indicadores de cumplimiento se calculan sobre la información de la organización, no sobre personas.
4. Origen de los datos
Los obtenemos de ti al registrarte y usar el servicio. Si te invita una organización, recibimos de ella tu correo y el rol asignado. Si inicias sesión con Google o con Microsoft, recibimos de ese proveedor tu nombre, tu correo y, en el caso de Google, tu imagen de perfil.
5. A quién se comunican y transferencias internacionales
No vendemos ni cedemos tus datos. Solo acceden a ellos los proveedores que nos prestan servicios necesarios (alojamiento, base de datos, correo, pagos), como encargados y bajo contrato, conforme al art. 34 de la LOPDP. La lista actualizada, con su ubicación, está en la página de subencargados.
Algunos de esos proveedores almacenan o procesan datos fuera del Ecuador. Esas transferencias se realizan con garantías adecuadas conforme al art. 57 de la LOPDP: cláusulas contractuales que obligan al proveedor a un nivel de protección igual o superior al ecuatoriano, con vías de reclamo efectivas, o a países que la Autoridad declare con nivel adecuado.
También comunicaremos datos a autoridades administrativas o judiciales cuando lo exijan en ejercicio de sus competencias (art. 36, num. 3).
6. Seguridad
Aplicamos medidas técnicas y organizativas acordes al riesgo: cifrado en tránsito, contraseñas guardadas con hash, separación de los datos de cada organización, control de acceso por roles, límite de intentos de acceso, registros de cambios y copias de seguridad. Si ocurre una vulneración que afecte a tus datos, la notificaremos a la Superintendencia de Protección de Datos Personales y a la ARCOTEL y, cuando conlleve un riesgo para tus derechos, a ti, en los términos de los arts. 43 y 46 de la LOPDP.
7. Tus derechos y cómo ejercerlos
Puedes ejercer en cualquier momento y de forma gratuita los derechos que te reconoce la LOPDP:
- Acceso, rectificación y actualización, eliminación y oposición (arts. 13 a 16): respondemos en un plazo de quince (15) días.
- Portabilidad (art. 17): te entregamos tus datos en un formato estructurado y de uso común, o los transmitimos a otro responsable cuando sea técnicamente posible.
- Suspensión del tratamiento (art. 19) y a no ser objeto de decisiones basadas en valoraciones automatizadas (art. 20).
- Revocar el consentimiento que hayas dado, sin efectos retroactivos (art. 8).
Desde «Mi cuenta» puedes, sin escribirnos, descargar todos tus datos en un archivo estructurado (acceso y portabilidad) y eliminar tu cuenta con toda su información (eliminación).
Para los demás derechos, escribe a [Correo para protección de datos] indicando el derecho que ejerces y un medio para identificarte. También puedes presentar requerimientos, quejas o reclamaciones directamente ante nosotros; los contestaremos en el término de diez (10) días (art. 62).
Si no estás conforme con la respuesta, puedes reclamar ante la Superintendencia de Protección de Datos Personales.
8. Menores de edad
El servicio está dirigido a organizaciones y profesionales; no está destinado a menores de edad y no tratamos conscientemente sus datos como responsables.
9. Cambios en esta política
Si cambiamos esta política de forma sustancial, te lo comunicaremos antes por correo o dentro de la plataforma. Cada versión indica su fecha.