Acuerdo de tratamiento de datos

1. Partes y objeto

Este acuerdo es el contrato de encargo que exige el art. 34 de la LOPDP entre la empresa cliente ( responsable ) y José Enrique Tabango Castillo, RUC 0705842110001, que presta Kostoa Transporte ( encargado ). Forma parte de los términos y condiciones y de la política de privacidad , se acepta con ellos y dura lo que dure el servicio, más el plazo de devolución y borrado. Si su empresa firmó un contrato de servicio, su cláusula de datos y este acuerdo se complementan.

2. Qué datos y de quién

Titulares: clientes, proveedores, trabajadores y sus cargas familiares, socios, contactos y usuarios del cliente. Datos: identificación, contacto, tributarios, contables, bancarios, laborales y de nómina y, si el cliente los registra, categorías especiales como salud o discapacidad de trabajadores, que el cliente solo registra con la base legal que le corresponde. Tratamiento: alojar, registrar, organizar, consultar, calcular, respaldar, transmitir por instrucción del cliente (SRI, IESS, bancos, correo, WhatsApp) y suprimir.

3. Instrucciones del cliente

El encargado trata los datos solo para prestar el servicio y según las instrucciones del cliente, que son este acuerdo y el uso que el cliente hace del sistema. No los usa para otras finalidades ni los comunica a terceros fuera de lo aquí previsto. Además, el cliente instruye expresamente al encargado para:

• anonimizarlos o agregarlos de forma irreversible y usar ese resultado, sin límite de tiempo, para estadísticas, comparativos sectoriales, mejora del servicio y entrenamiento de Kostia y de otros modelos del encargado, sin mostrar ni permitir deducir los datos de una empresa en particular (LOPDP, arts. 2, letra c, y 4);
• usar los subencargados de la lista publicada en la política de privacidad;
• alojarlos o tratarlos fuera del Ecuador con nivel adecuado o garantías adecuadas (arts. 56 y 57).

Si el encargado considera que una instrucción infringe la ley, lo avisa al cliente.

4. Obligaciones del encargado

• Confidencialidad de su personal y de quienes accedan, aun después de terminar.
• Medidas técnicas y organizativas adecuadas: cifrado en tránsito, aislamiento por empresa, permisos, auditoría, respaldos y control de accesos.
• Entrar a la empresa del cliente solo con su autorización registrada.
• Ayudar al cliente a atender las solicitudes de los titulares y, cuando lo pida, con la información que tenga para sus evaluaciones de impacto.
• Avisar al cliente de toda vulneración de seguridad que afecte sus datos en máximo 2 días desde que la conoce (LOPDP, art. 43).
• Informar por escrito, a pedido del cliente y una vez al año, las medidas aplicadas. Una auditoría presencial se coordina con 30 días de aviso, a costo del cliente, con reserva y sin acceso a datos de otros clientes.

5. Subencargados

El encargado puede recurrir a los subencargados de la lista publicada, bajo contrato con obligaciones de protección iguales a las de este acuerdo, y responde por ellos ante el cliente. Avisa en el sistema cualquier cambio con 15 días de anticipación; si el cliente se opone por escrito con razones dentro de ese plazo y el encargado no puede atender la objeción, el cliente puede terminar sin multa y se le devuelve lo prepagado no usado.

6. Obligaciones del cliente

El cliente garantiza que tiene base legal para tratar y registrar los datos, que informó a sus titulares, que obtuvo los consentimientos que correspondan y que cumple la LOPDP como responsable, incluida la notificación de vulneraciones a la autoridad. Responde frente a los titulares, terceros y la autoridad por los datos que registra y por sus instrucciones.

7. Fin del encargo

Al terminar el servicio, el cliente descarga sus datos durante 60 días; luego el encargado los destruye, salvo lo que la ley le obligue a conservar y lo anonimizado, y lo confirma por correo (LOPDP, art. 34). La responsabilidad de las partes se rige por los términos y condiciones.