Política de privacidad

1. Quién es el responsable

José Enrique Tabango Castillo, RUC 0705842110001, domicilio en Machala, provincia de El Oro, Ecuador, nombre comercial Kostoa Transporte. Contacto para todo lo relativo a datos personales: hola@kostoa.com . Esta política se dicta conforme a la Ley Orgánica de Protección de Datos Personales (LOPDP) y su reglamento.

Delegado de protección de datos. El proveedor designa un delegado de protección de datos personales, como exigen el art. 48 de la LOPDP y la Resolución SPDP-SPD-2025-0028-R a quien trata, como encargado, datos de trabajadores que pueden incluir categorías especiales (salud o discapacidad). Se le escribe a hola@kostoa.com con el asunto «Delegado de protección de datos».

2. Dos papeles distintos

• Responsable de los datos de quienes visitan transporte.kostoa.com, llenan sus formularios, se anotan en la lista de espera, piden una demostración o son socios, y de los datos de cuenta y uso de los usuarios del sistema.
• Encargado de los datos que cada empresa cliente registra (sus clientes, proveedores, trabajadores y sus familiares, documentos y saldos). Esa empresa es la responsable y Kostoa Transporte los trata por su cuenta, según el acuerdo de tratamiento de datos (LOPDP, art. 34).

3. Qué datos tratamos como responsable

• De cuenta: nombre, cédula o RUC, correo, teléfono, cargo, empresa y la clave guardada con cifrado de una vía.
• De uso y técnicos: dirección IP, navegador, dispositivo, fechas y horas, pantallas visitadas, acciones clave, errores y el registro de auditoría de ingresos y cambios.
• De soporte y de Kostia: los casos, mensajes y preguntas que nos envía, con las capturas que adjunta.
• De facturación: RUC, pagos, facturas y retenciones de la suscripción.
• De formularios públicos: nombre, correo, teléfono, empresa y lo que escribe al contactarnos.
• De socios: identificación, cuenta bancaria y comisiones.
• Ubicación: solo si usted la permite en una app móvil, para la función que la necesita.

4. Para qué y con qué base legal

• Crear la cuenta, prestar el servicio, Kostia y el soporte, y enviar los avisos del servicio: ejecución del contrato (LOPDP, art. 7, num. 5).
• Facturar y cumplir obligaciones tributarias, contables y los requerimientos de autoridad: obligación legal (num. 2).
• Proteger la cuenta y el servicio, prevenir fraudes y abusos, auditar y defender derechos: interés legítimo (num. 8).
• Medir el uso sin cookies, analizar el rendimiento, corregir errores, mejorar y desarrollar funciones: interés legítimo (num. 8).
• Ofrecer a clientes y usuarios nuestros productos, novedades y capacitaciones: interés legítimo , con la opción de darse de baja en cada envío (LOPDP, art. 16, num. 2; Ley de Comercio Electrónico, art. 50).
• Grabar la navegación con cookies de medición y responder a la lista de espera o a una solicitud de demostración: consentimiento (num. 1), que puede retirar en cualquier momento.

Al invocar el interés legítimo ponderamos que no prevalezcan sus derechos (LOPDP, art. 9), y usted puede oponerse por su situación personal (art. 16, num. 3).

5. Datos anonimizados

Anonimizamos o agregamos datos de forma irreversible, con medidas que impiden identificar o reidentificar a una persona sin esfuerzos desproporcionados (LOPDP, art. 4). Esos datos dejan de ser personales mientras no se pueda identificar a su titular (art. 2, letra c) y los usamos libremente, sin límite de tiempo, para estadísticas, comparativos sectoriales, mejora del servicio y entrenamiento de Kostia y de otros modelos de inteligencia artificial del proveedor. Nunca muestran ni permiten deducir los datos de una empresa en particular. Con los datos de las empresas cliente lo hacemos por su instrucción expresa, en el acuerdo de tratamiento de datos.

6. Con quién se comparten

Solo con los proveedores que el servicio necesita (subencargados), bajo contrato y con obligaciones de protección iguales a las nuestras, y solo lo necesario. Su acceso para prestar el servicio no es una transferencia (LOPDP, art. 34). Lista vigente:

• Servidores virtuales en la nube donde funciona el sistema y su base de datos.
• Google (Drive y Gmail): respaldos diarios cifrados de la base y envío de correos y comprobantes.
• Proveedores de inteligencia artificial para Kostia (hoy Groq, Z.ai y Anthropic): reciben solo la pregunta y los datos necesarios para responderla, nunca la base completa.
• Microsoft Clarity: mapas de clics y grabación de la navegación, solo con su permiso en el aviso de cookies y con el contenido del sistema oculto.
• Umami: medición de visitas sin cookies.
• Firebase Cloud Messaging: avisos en las apps móviles.
• Meta (API de WhatsApp Business): mensajes que el cliente envía a sus propios clientes, cuando activa esa función.
• Payphone: cobros en línea que el cliente activa y pago de la suscripción, cuando se ofrece.
• OpenStreetMap (búsqueda de lugares y rutas): solo los puntos de origen y destino de un flete o de un viaje, para ubicarlos en el mapa y medir la distancia.

También con el SRI, el IESS, los bancos y otras entidades cuando el cliente envía desde el sistema sus comprobantes, archivos o pagos, y con autoridades cuando la ley o una orden judicial lo exige. Avisamos en el sistema cualquier cambio de subencargado con 15 días de anticipación.

7. Transferencias internacionales

Varios proveedores tienen servidores fuera del Ecuador, sobre todo en Estados Unidos. Transferimos datos solo a países u organizaciones con nivel adecuado de protección o con garantías adecuadas que aseguran un estándar igual o mayor al ecuatoriano, tutela efectiva y reparación (LOPDP, arts. 56 y 57), o cuando la transferencia es necesaria para ejecutar el contrato con usted (art. 60, num. 4).

8. Cuánto tiempo

• Cuenta y datos de la empresa: mientras dure la relación y 60 días después.
• Respaldos: 60 días cada uno, y se sobrescriben.
• Facturas y registros tributarios: siete años, por obligación legal.
• Registros de seguridad y de aceptación: mientras sirvan como prueba de la relación y hasta que prescriban las acciones.
• Formularios, lista de espera y comunicaciones comerciales: hasta que usted pida salir.
• Datos anonimizados: sin límite, porque ya no son personales.

9. Cómo se protegen

Conexión cifrada (HTTPS) en todo el sitio, claves con cifrado de una vía, clave de la firma electrónica cifrada, aislamiento por empresa, permisos por usuario, registro de auditoría, respaldos diarios cifrados y acceso del equipo solo con autorización del cliente. Las medidas se describen en la página de seguridad .

10. Si hay un incidente

Si ocurre una vulneración de seguridad que afecte datos personales, como responsable la notificamos a la Superintendencia de Protección de Datos Personales y a las autoridades que la ley señale tan pronto sea posible y a más tardar en el término de 5 días (LOPDP, art. 43), y a los titulares cuando corresponda. Como encargado, avisamos a la empresa cliente en máximo 2 días desde que lo sabemos, con lo que se conoce y lo que se está haciendo, para que cumpla sus propios avisos (art. 43 y Resolución SPDP-SPD-2026-0040-R).

11. Sus derechos

Puede pedir gratis acceso, rectificación y actualización, eliminación, oposición, portabilidad y suspensión del tratamiento, y no ser objeto de decisiones basadas solo en tratamientos automatizados (LOPDP, arts. 13 a 20). Escriba a hola@kostoa.com desde el correo de su cuenta o con una copia de su identificación. Respondemos en 15 días (arts. 13 y 14). Puede retirar su consentimiento cuando quiera, sin efecto retroactivo.

Si los datos los registró una empresa cliente (por ejemplo, usted es su trabajador o su cliente), le remitimos la solicitud a esa empresa, que es la responsable, y la ayudamos a atenderla. Si no queda conforme, puede reclamar ante la Superintendencia de Protección de Datos Personales.

Si no entrega los datos obligatorios de la cuenta no podemos prestarle el servicio; si los entrega erróneos, los avisos y comprobantes pueden no llegar o salir mal (art. 12, nums. 11 y 12).

12. Pasajeros que piden un taxi

Cuando una persona pide un taxi con el enlace de una cooperativa o empresa de taxis, comparte su nombre, su teléfono, una referencia y la ubicación de recogida (la de su dispositivo, solo si la permite, o el punto que marca en el mapa), y luego ve el recorrido del vehículo asignado. La responsable de esos datos es la cooperativa o empresa de taxis del enlace; Kostoa Transporte los trata por su cuenta, como encargado, solo para asignar el viaje, mostrar su seguimiento y llevar el registro de la operadora. La ubicación se usa únicamente durante el pedido y el viaje. Los derechos sobre esos datos se ejercen ante la operadora, y le ayudamos a atenderlos.

13. Menores y cambios

El servicio es para empresas y no está dirigido a menores de edad. Los datos de menores que una empresa registre (por ejemplo, cargas familiares de sus trabajadores) los trata como responsable, con la base legal que le corresponde.

Si esta política cambia, avisamos por correo y en el sistema con al menos 30 días de anticipación y publicamos aquí la nueva versión con su fecha. El resumen corto está en el aviso de recopilación .