Acuerdo de encargo de tratamiento de datos personales — ISM Faktura

Comparecientes

Comparecen a la celebración del presente Acuerdo de encargo de tratamiento de datos personales (en adelante, el "Acuerdo"):

1. El Cliente, persona natural o jurídica titular de la cuenta de ISM Faktura, identificada con el RUC o la cédula registrados en dicha cuenta, por sus propios derechos o por medio de su representante legal o apoderado, a quien en adelante se denominará el "Responsable"; y,
2. VISITEC VISION Y TECNOLOGIA S.A., sociedad constituida conforme a las leyes de la República del Ecuador, con RUC 1792390559001, domiciliada en Cristóbal Colón E8-57-59 y Diego de Almagro, Iñaquito, Quito, Pichincha, representada por su representante legal, a quien en adelante se denominará el "Encargado" o "ISM".

Las partes, en adelante denominadas conjuntamente las "Partes", convienen en celebrar el presente Acuerdo al tenor de las siguientes cláusulas.

Cláusula primera.- Antecedentes

1.1. El Responsable ha contratado el servicio ISM Faktura conforme a los Términos y condiciones de servicio publicados en ism.ec/legal/faktura/terminos (en adelante, el "Contrato de Servicio").

1.2. Para prestar dicho servicio, el Encargado debe tratar datos personales de los compradores, proveedores y demás receptores de los comprobantes electrónicos del Responsable, por cuenta y a nombre de este.

1.3. El artículo 34 de la Ley Orgánica de Protección de Datos Personales (en adelante, "LOPDP") dispone que el tratamiento realizado por el encargado deberá estar regulado por un contrato, y el artículo 41 del Reglamento General de la LOPDP (en adelante, el "Reglamento") exige que dicho contrato sea escrito y contenga, al menos, el objeto, la duración, la naturaleza, la finalidad, la categoría de los datos, la identificación de los titulares y las obligaciones y responsabilidades del encargado. Las cláusulas segunda a octava de este Acuerdo cubren, en ese orden, los numerales 1 a 7 del citado artículo 41.

1.4. El presente Acuerdo se celebra por medios electrónicos y tiene el mismo valor jurídico que un documento escrito (Ley de Comercio Electrónico, Firmas Electrónicas y Mensajes de Datos, Arts. 2 y 45). El Encargado conserva la constancia de su aceptación, con la versión y la fecha.

Cláusula segunda.- Objeto (Reglamento, Art. 41, num. 1)

El objeto del presente Acuerdo es regular el tratamiento de datos personales que el Encargado realiza por cuenta del Responsable para la prestación del servicio ISM Faktura, que comprende la generación, firma electrónica, transmisión al Servicio de Rentas Internas (SRI), entrega a los receptores, consulta y conservación de los comprobantes de venta, retención y documentos complementarios electrónicos del Responsable, así como la gestión de sus registros de clientes y proveedores dentro del sistema.

Cláusula tercera.- Duración (Reglamento, Art. 41, num. 2)

3.1. El presente Acuerdo rige desde su aceptación y mientras se mantenga vigente la cuenta del Responsable en ISM Faktura, en cualquiera de sus planes, incluido el gratuito.

3.2. Las obligaciones de conservación bloqueada, confidencialidad, devolución y eliminación previstas en las cláusulas octava y novena subsistirán tras la terminación, durante los plazos allí señalados.

Cláusula cuarta.- Naturaleza del tratamiento (Reglamento, Art. 41, num. 3)

El tratamiento es automatizado y comprende las siguientes operaciones: recogida (a través de los datos que el Responsable o sus usuarios ingresan o importan), registro, organización, estructuración, almacenamiento, consulta, utilización para generar y firmar comprobantes, comunicación al SRI por mandato legal, envío al receptor del comprobante por correo electrónico y, si el Responsable lo ordena, por WhatsApp, puesta a disposición mediante un enlace de descarga, conservación, bloqueo, devolución y supresión.

Cláusula quinta.- Finalidad del tratamiento (Reglamento, Art. 41, num. 4)

5.1. El Encargado tratará los datos personales única y exclusivamente para:

a) emitir, firmar y transmitir al SRI los comprobantes electrónicos que el Responsable ordene;

b) entregar dichos comprobantes (archivo XML y RIDE) a sus receptores y notificarles cualquier cambio en su estado;

c) conservar los comprobantes y permitir al Responsable consultarlos y descargarlos;

d) mantener los registros de clientes, proveedores y productos que el Responsable utiliza para emitir;

e) generar para el Responsable los reportes y avisos que ofrece el servicio; y,

f) dar soporte técnico al Responsable, cuando este lo solicite.

5.2. El Encargado no utilizará los datos para fines propios ni de terceros, incluidos la publicidad, la elaboración de perfiles, la venta o la cesión, ni los comunicará o transferirá a otras personas, ni siquiera para su conservación, salvo lo previsto en la cláusula décima (subencargados) o cuando una norma u orden de autoridad competente lo exija (LOPDP, Art. 34).

5.3. Si el Encargado destinara los datos a otras finalidades, determinando sus fines y medios, será considerado responsable del tratamiento respecto de dicho tratamiento, con las consecuencias legales correspondientes (Reglamento, Art. 43).

Cláusula sexta.- Categorías de datos personales (Reglamento, Art. 41, num. 5)

6.1. Se tratan las siguientes categorías de datos personales:

a) De identificación: nombres y apellidos o razón social; tipo y número de identificación (cédula, RUC o pasaporte).

b) De contacto: dirección, correo electrónico y número de teléfono.

c) Comerciales y tributarios: descripción, cantidad, precio y valor de los bienes y servicios adquiridos o vendidos; impuestos; retenciones; formas de pago; fechas; número, clave de acceso y estado de autorización de cada comprobante; datos de transporte en guías de remisión (incluida la identificación del transportista y la placa del vehículo); y la información adicional que el Responsable decida incluir.

d) Del titular del certificado de firma electrónica del Responsable, contenidos en el certificado y en las firmas.

6.2. El servicio no está diseñado para tratar datos sensibles ni categorías especiales de datos (LOPDP, Arts. 4 y 25). El Responsable se abstendrá de incluirlos en los campos de texto libre de los comprobantes, salvo que una norma tributaria lo exija.

Cláusula séptima.- Titulares de los datos (Reglamento, Art. 41, num. 6)

Los titulares de los datos tratados son:

a) los compradores, clientes, usuarios y consumidores a quienes el Responsable emite comprobantes;

b) los proveedores y sujetos retenidos del Responsable, incluidas las personas naturales a quienes emite liquidaciones de compra o comprobantes de retención;

c) los transportistas y destinatarios que constan en guías de remisión;

d) el titular del certificado de firma electrónica del Responsable; y,

e) cualquier otra persona natural cuyos datos el Responsable ingrese en el sistema para las finalidades de la cláusula quinta.

Cláusula octava.- Obligaciones y responsabilidades del Encargado (Reglamento, Art. 41, num. 7)

El Encargado se obliga a:

8.1. Instrucciones. Tratar los datos únicamente conforme a las instrucciones documentadas del Responsable. Constituyen instrucciones del Responsable el presente Acuerdo, el Contrato de Servicio y las órdenes que el Responsable o sus usuarios autorizados den a través de las funciones de ISM Faktura. Si el Encargado considera que una instrucción es contraria a la ley, informará de inmediato al Responsable (Reglamento, Art. 43).

8.2. Medidas de seguridad. Mantener, desde antes de iniciar el servicio, medidas técnicas, organizativas, físicas, administrativas y jurídicas adecuadas y equivalentes a las exigibles al Responsable (LOPDP, Art. 37; Reglamento, Art. 41), entre ellas: cifrado de los datos en tránsito y en reposo; almacenamiento cifrado del certificado de firma electrónica, con acceso restringido al servicio de firma; control de acceso por roles; registro de accesos y operaciones; copias de respaldo; segregación de los datos de cada cliente; y gestión de vulnerabilidades. El detalle vigente consta en el Anexo II.

8.3. Confidencialidad. Guardar sigilo y secreto sobre los datos, y garantizar que todo su personal y los subencargados con acceso a ellos hayan suscrito compromisos de confidencialidad y de tratamiento adecuado de datos personales, que subsistirán aun después de terminada su relación con el Encargado (LOPDP, Arts. 10 lit. g y 47 num. 10).

8.4. Notificación de vulneraciones. Notificar al Responsable cualquier vulneración de la seguridad de los datos personales tratados por su cuenta tan pronto sea posible y, a más tardar, dentro del término de dos (2) días contados desde que tenga conocimiento de ella (LOPDP, Art. 43, inciso segundo). La notificación se hará al correo electrónico de la cuenta del Responsable y, adicionalmente, por aviso dentro de ISM Faktura (Res. SPDP-SPD-2026-0040-R, Art. 11), y contendrá, en la medida en que se conozca: la naturaleza y tipo de la vulneración; los titulares afectados; el detalle inicial de los sistemas vulnerados; la causa presunta; el volumen y tipos de datos comprometidos; y las medidas adoptadas y previstas (Reglamento, Arts. 26 y 27). El Encargado colaborará con el Responsable para que este cumpla sus propias notificaciones a la Autoridad y a los titulares (LOPDP, Arts. 43 y 46).

8.5. Derechos de los titulares. Asistir al Responsable para que atienda las solicitudes de acceso, rectificación y actualización, eliminación, oposición, portabilidad, suspensión y demás derechos de los titulares (Reglamento, Art. 42). Si el Encargado recibe directamente una solicitud, la trasladará al Responsable dentro del término de dos (2) días, sin atenderla por sí mismo salvo instrucción del Responsable, e informará al titular que la trasladó. Ante una solicitud de suspensión del tratamiento o de revocatoria del consentimiento comunicada por el Responsable, el Encargado la ejecutará en un término no mayor de tres (3) días (Res. SPDP-SPD-2025-0030-R, Arts. 16 y 18), salvo respecto de los datos cuya conservación sea obligatoria por norma tributaria.

8.6. Colaboración. Proporcionar al Responsable la información y asistencia razonables para sus evaluaciones de impacto, consultas a la Autoridad de Protección de Datos Personales y registros de actividades de tratamiento.

8.7. Revisión y auditoría. Permitir al Responsable, o a la persona que este designe, revisar en cualquier momento que lo solicite los registros y procesos relacionados con el tratamiento encomendado, y facilitarle toda la información necesaria para demostrar el cumplimiento (Reglamento, Art. 47). Para no afectar la seguridad de los demás clientes, la revisión se coordinará con 5 días hábiles de anticipación, salvo que obedezca a una vulneración de seguridad o a un requerimiento de autoridad, y se realizará preferentemente mediante la entrega de documentación, informes y evidencias.

8.8. Registro de actividades. Llevar un registro de las actividades de tratamiento que realiza por cuenta del Responsable (Reglamento, Arts. 38, 39 y 44).

8.9. Contacto de protección de datos. El punto de contacto del Encargado para todo lo relativo a este Acuerdo es info@ism.ec.

8.10. Ubicación de los datos. Los datos se alojan en servidores de Amazon Web Services en Estados Unidos (región us-east-1). Las Partes reconocen que el acceso de los encargados y subencargados para prestar el servicio no constituye transferencia o comunicación de datos personales (LOPDP, Art. 34; Res. SPDP-SPD-2026-0004-R, Art. 23). El Encargado no trasladará el tratamiento a otro país sin aviso previo al Responsable conforme a la cláusula décima.

8.11. Responsabilidad. El Encargado responderá frente al Responsable por los daños y perjuicios que se deriven del incumplimiento de este Acuerdo o de la normativa de protección de datos que le sea atribuible, incluido el incumplimiento de sus subencargados, y el Responsable tendrá derecho a repetir contra el Encargado por los importes que haya debido asumir frente a titulares, autoridades o tribunales como consecuencia de actuaciones u omisiones imputables al Encargado.

Cláusula novena.- Conservación, devolución y eliminación

9.1. Durante la vigencia. El Encargado conservará los comprobantes electrónicos autorizados durante siete (7) años contados desde su emisión, por instrucción del Responsable, para que este pueda cumplir la obligación de conservación prevista en el artículo 11 de la Resolución NAC-DGERCGC18-00000233 del SRI. Los demás datos (registros de clientes, proveedores y productos, borradores y comprobantes no autorizados) se conservarán mientras el Responsable los mantenga en su cuenta.

9.2. Al terminar. A la terminación del Acuerdo, por cualquier causa:

a) el Encargado pondrá a disposición del Responsable, durante al menos 30 días, la descarga de todos sus comprobantes (XML y RIDE) y registros en formatos de uso común (devolución, LOPDP Art. 34; Reglamento, Art. 46);

b) vencido ese plazo, el Encargado eliminará de forma segura todos los datos personales tratados por cuenta del Responsable, incluidas las copias, con excepción de los comprobantes electrónicos autorizados;

c) los comprobantes electrónicos autorizados se conservarán bloqueados, en un repositorio separado, con acceso restringido y sin otro uso que su entrega al Responsable o a la autoridad competente que lo requiera, hasta completar los siete (7) años desde su emisión, y luego se eliminarán de forma segura (Res. SPDP-SPD-2025-0030-R, Arts. 12 y 13);

d) el Responsable podrá instruir por escrito la eliminación anticipada de los comprobantes bloqueados, una vez que acredite haberlos descargado, en cuyo caso asumirá su conservación; y,

e) el Encargado entregará al Responsable un documento que acredite la eliminación (Res. SPDP-SPD-2025-0030-R, Art. 20).

9.3. Certificado de firma electrónica. El certificado de firma electrónica y su clave se eliminarán de forma segura cuando el Responsable los reemplace o elimine, o dentro de los 30 días siguientes a la terminación.

Cláusula décima.- Subencargados

10.1. Conforme al artículo 45 del Reglamento, el Responsable autoriza expresamente al Encargado a contratar a los subencargados que constan en el Anexo I para complementar la prestación del servicio.

10.2. El Encargado celebrará con cada subencargado un contrato que le imponga obligaciones de protección de datos no menos exigentes que las de este Acuerdo; el subencargado asumirá las obligaciones del encargado en lo pertinente y cumplirá las instrucciones del Responsable (Reglamento, Art. 45). El Encargado seguirá siendo plenamente responsable frente al Responsable por el cumplimiento de sus subencargados.

10.3. El Encargado informará al Responsable, con al menos treinta (30) días de anticipación, por correo electrónico y en ism.ec/legal/faktura/encargo, cualquier incorporación o sustitución de subencargados. El Responsable podrá oponerse por razones fundadas de protección de datos dentro de ese plazo; si las Partes no encuentran una solución, el Responsable podrá terminar el Contrato de Servicio sin penalidad y con reembolso proporcional del período pagado no utilizado.

Cláusula décima primera.- Obligaciones del Responsable

El Responsable declara y se obliga a:

a) contar con base legal para el tratamiento de los datos de los titulares que ingrese en ISM Faktura (LOPDP, Art. 7), lo que en la emisión de comprobantes corresponde, por regla general, al cumplimiento de sus obligaciones legales tributarias y a la ejecución de sus contratos con los titulares;

b) informar a los titulares sobre el tratamiento, incluida la intervención de ISM como encargado (LOPDP, Art. 12);

c) ingresar datos exactos y limitados a lo necesario para la emisión (LOPDP, Art. 10);

d) atender las solicitudes de los titulares que el Encargado le traslade; y,

e) responder ante los titulares por el cumplimiento de la ley en su calidad de responsable del tratamiento.

Cláusula décima segunda.- Comunicación de datos al SRI

Las Partes reconocen que la transmisión de los comprobantes electrónicos al SRI es una comunicación ordenada por la normativa tributaria (Res. NAC-DGERCGC18-00000233, Art. 7) que el Encargado realiza por instrucción del Responsable, y que la inclusión del RUC del Encargado en el campo "RUC Proveedor" de cada comprobante responde al artículo 5 de la Resolución NAC-DGERCGC26-00000027.

Cláusula décima tercera.- Modificaciones

Las modificaciones a este Acuerdo se notificarán al Responsable con al menos treinta (30) días de anticipación, y entrarán en vigor con su aceptación. Las actualizaciones del Anexo I se rigen por la cláusula décima.

Cláusula décima cuarta.- Prelación, ley aplicable y jurisdicción

14.1. En lo relativo al tratamiento de datos personales, este Acuerdo prevalece sobre el Contrato de Servicio.

14.2. El presente Acuerdo se rige por la legislación de la República del Ecuador. Para cualquier controversia, las Partes se someten a los jueces competentes de Quito, sin perjuicio de las competencias de la Superintendencia de Protección de Datos Personales.

Anexo I.- Subencargados autorizados

Stripe procesa los pagos que el Responsable hace a ISM por su plan. No trata datos de los titulares de este Acuerdo y, por tanto, no es subencargado respecto de ellos.

Anexo II.- Medidas de seguridad

• Cifrado en tránsito: todas las conexiones con ISM Faktura y entre sus servicios usan HTTPS (TLS).
• Cifrado en reposo: las bases de datos y el almacenamiento de archivos de Amazon Web Services están cifrados. El certificado de firma electrónica del Responsable se guarda cifrado con una clave propia (AWS KMS) que solo el servicio de firma puede usar.
• Separación de datos: los datos de cada cliente se guardan separados por cuenta; cada consulta del sistema está limitada a la cuenta de quien la hace.
• Control de acceso: cada servicio del sistema tiene un rol con los permisos mínimos que necesita; el acceso de ISM a la infraestructura queda registrado.
• Autenticación de usuarios: ingreso con código de un solo uso enviado al correo o con llaves de acceso (passkeys), con bloqueo tras intentos fallidos y registro de sesiones; el Responsable asigna roles a sus usuarios (propietario, administrador, contador, cajero, lector).
• Registros: los accesos y operaciones del sistema se registran y se conservan hasta 12 meses.
• Respaldos: las tablas de comprobantes y del registro de firmas tienen recuperación a un punto en el tiempo; los archivos firmados se conservan en almacenamiento con versiones.
• Monitoreo y respuesta: alarmas automáticas avisan al equipo de operaciones de errores, rechazos del SRI en producción, certificados vencidos y servicios detenidos; los incidentes que afecten datos personales se gestionan según la cláusula octava, numeral 8.4.