Acuerdo de tratamiento de datos

1. Partes y roles

Responsable: la persona natural o jurídica que contrata Elainex y decide para qué y cómo trata los datos de sus clientes, empleados, vendedores, proveedores u otras personas.

Encargado: Elainex — Sistemas de Gestión, servicio operado desde El Carmen, Manabí, Ecuador. La identificación legal y tributaria completa del prestador se incorpora al contrato individual y al comprobante correspondiente, y puede solicitarse mediante contact@elainex.net.

Elainex también será responsable independiente respecto de los datos necesarios para administrar su propia relación comercial, seguridad, facturación y cumplimiento legal, conforme a la Política de Privacidad.

2. Objeto y duración

El responsable encarga a Elainex el tratamiento de datos personales estrictamente necesario para alojar, organizar, consultar, respaldar, transmitir y eliminar la información utilizada en el sistema de gestión.

El encargo dura mientras esté activa la prueba o suscripción y durante el periodo posterior necesario para exportar, devolver o eliminar la información conforme a este acuerdo.

3. Naturaleza, finalidad y categorías

4. Instrucciones y deberes de las partes

Elainex se obliga a:

• Tratar los datos únicamente conforme a este acuerdo, los Términos y las instrucciones documentadas del responsable.
• No utilizar los datos del comercio para publicidad propia, venta de bases, perfilado incompatible ni finalidades ajenas.
• Garantizar compromisos de confidencialidad del personal autorizado.
• Informar si una instrucción parece contraria a la normativa de protección de datos, sin ejecutarla mientras se aclara cuando ello sea legalmente posible.
• Mantener la información necesaria para demostrar el cumplimiento.

El responsable se obliga a:

• Tener una base legítima para recopilar e ingresar los datos y entregar la información exigida a sus titulares.
• Configurar correctamente usuarios y permisos, mantener datos exactos y retirar accesos innecesarios.
• No ingresar información excesiva, ilícita o sensible no autorizada.
• Atender los derechos de sus titulares y comunicar instrucciones claras a Elainex.

5. Medidas técnicas y organizativas

Según el riesgo y estado de la tecnología, Elainex mantendrá medidas razonables, que actualmente incluyen:

• Conexiones HTTPS y controles de sesión.
• Credenciales, enlaces o tokens personales; los secretos de acceso almacenados no deben conservarse en texto legible.
• Separación lógica de los registros mediante identificadores de negocio y validación de autorización en las operaciones.
• Roles de propietario y vendedor, con restricciones administrativas.
• Base de datos Cloudflare D1 y almacenamiento de archivos en Cloudflare R2.
• Registros de actividad relevantes, actualizaciones y medidas de recuperación proporcionales.
• Limitación de acceso administrativo a personas autorizadas.

Las medidas se revisarán cuando cambien el riesgo, la arquitectura o la normativa. El responsable reconoce que ninguna medida elimina totalmente el riesgo y debe conservar las exportaciones que sean esenciales para su continuidad.

6. Subencargados y tratamiento internacional

El responsable autoriza de manera general a Elainex a utilizar proveedores indispensables para infraestructura, archivos, comunicaciones y soporte. Actualmente pueden incluir Cloudflare, Netlify, WhatsApp/Meta y proveedores técnicos equivalentes.

Elainex exigirá obligaciones de protección apropiadas y seguirá siendo responsable frente al responsable por el cumplimiento del encargo en lo que legalmente corresponda. Los proveedores de pago actúan normalmente como responsables independientes respecto de la operación financiera.

Elainex informará cambios materiales en subencargados con al menos 30 días de anticipación cuando sea razonablemente posible. El responsable podrá presentar una objeción motivada por riesgos de protección de datos; las partes buscarán una solución y, si no existe alternativa viable, el responsable podrá terminar el servicio afectado.

Las comunicaciones o tratamientos internacionales se someterán a las garantías y mecanismos exigidos por la legislación ecuatoriana.

7. Asistencia con derechos y obligaciones

Cuando Elainex reciba una solicitud relacionada con datos controlados por el negocio, la comunicará al responsable tan pronto sea posible y, de ser aplicable, dentro del término máximo de 2 días. No responderá en nombre del responsable salvo autorización o mandato legal.

Considerando la naturaleza del tratamiento, Elainex brindará asistencia razonable para acceso, rectificación, actualización, eliminación, oposición, suspensión y portabilidad; evaluaciones de riesgo o impacto; consultas de autoridad y demostración de cumplimiento. Los trabajos extraordinarios podrán cotizarse previamente si exceden el soporte ordinario.

8. Vulneraciones de seguridad

Elainex notificará al responsable una vulneración confirmada que afecte sus datos tan pronto sea posible y, como máximo, dentro del término de 2 días desde que tenga conocimiento. La notificación incluirá, conforme esté disponible, naturaleza del incidente, datos y personas afectadas, riesgos, medidas adoptadas y punto de contacto.

El responsable decidirá y realizará las notificaciones a titulares, Superintendencia de Protección de Datos Personales y autoridades que correspondan. Elainex cooperará con la investigación y contención, preservando evidencia y evitando comunicaciones públicas no coordinadas, salvo obligación legal.

9. Devolución, conservación y eliminación

• Durante la vigencia, el responsable podrá usar las herramientas de exportación disponibles o solicitar una exportación razonable.
• Al terminar la prueba o suscripción, los datos activos se conservarán hasta 30 días para exportación o reactivación.
• Después se eliminarán o anonimizarán los datos activos. Las copias técnicas rotativas podrán conservarse hasta 90 días y no se restaurarán salvo necesidad de continuidad o seguridad.
• Los datos sujetos a una obligación legal se bloquearán y separarán del uso ordinario durante el plazo obligatorio.

El responsable podrá solicitar confirmación razonable de la eliminación. La devolución o eliminación no incluye datos anónimos que ya no permitan identificar a una persona.

10. Información, auditoría y disposiciones finales

Elainex pondrá a disposición la información razonablemente necesaria para demostrar cumplimiento. El responsable podrá solicitar una revisión documental una vez al año, con al menos 15 días de aviso, durante horario laboral y sin comprometer la seguridad o información de otros clientes. Auditorías adicionales por incidente o requerimiento de autoridad se coordinarán de buena fe.

Si una autoridad exige condiciones superiores, las partes adaptarán este acuerdo. En caso de contradicción sobre tratamiento de datos, este acuerdo prevalece sobre los Términos generales.

Se aplica la legislación ecuatoriana. Las controversias se procurarán resolver de buena fe y, de ser necesario, ante las autoridades o jueces competentes de El Carmen, Manabí.

Aceptación

La aceptación electrónica del servicio identifica a las partes y deja constancia de la versión vigente. La identificación legal y tributaria completa constará en el ejemplar individual del acuerdo.