Anexo de Encargo de Tratamiento

1.Objeto, duración y naturaleza

Datil trata datos personales por cuenta del cliente con el único objeto de prestar los servicios contratados: emitir y conservar comprobantes, ejecutar procesos de firma, llevar contabilidad y nómina, y operar la API. El encargo dura lo que dure el contrato; la naturaleza del tratamiento es el almacenamiento, estructuración, transmisión a las autoridades que el cliente indique y conservación de los datos descritos en este anexo.

2.Datos y titulares alcanzados

• Clientes y proveedores del cliente: identificación (RUC, cédula, DNI), nombre, contacto, y el contenido de los comprobantes que los mencionan.
• Firmantes: identidad, contacto, certificados usados y la evidencia de cada firma (fecha, dirección IP, dispositivo).
• Empleados del cliente (módulo de nómina): identidad, remuneraciones y descuentos, necesarios para el rol de pagos.

El cliente declara contar con la base legal para entregar estos datos; Datil no verifica esa base y no responde por su ausencia.

3.Instrucciones documentadas

Datil trata estos datos únicamente según las instrucciones del cliente, que se expresan por la configuración de la cuenta y el uso de la plataforma y la API. Nunca los usa para fines propios, no los cruza entre clientes y no los cede a terceros salvo los subencargados autorizados o mandato legal. Si una instrucción infringe la normativa, Datil lo informa antes de ejecutarla.

4.Confidencialidad

Todo el personal de Datil con acceso a datos personales está sujeto a deber de confidencialidad contractual, que sobrevive a la terminación de su relación con Datil. El acceso se limita por roles al mínimo necesario para operar el servicio.

5.Medidas de seguridad

• Cifrado en tránsito (TLS) y en reposo (AWS KMS).
• Control de acceso por roles y autenticación para todo acceso administrativo.
• Registro de auditoría de las acciones sensibles, con encadenamiento criptográfico de los registros contables.
• Separación estricta entre ambientes de prueba y de producción.
• Respaldos cifrados y procedimientos de recuperación probados.

6.Subencargados

El cliente autoriza de forma general a los subencargados publicados en el registro de subencargados, que detalla qué datos recibe cada uno y bajo qué salvaguardas. Los cambios materiales se anuncian en esa página y por correo a las cuentas activas con 30 días de anticipación; si un cambio no te satisface, puedes terminar el contrato antes de que surta efecto. Datil responde ante el cliente por sus subencargados como por hechos propios. Registro de subencargados

7.Asistencia al cliente

Cuando un titular ejerce sus derechos ante el cliente, Datil asiste con las herramientas de la plataforma (exportación, rectificación, eliminación dentro de los límites de conservación legal). Si el titular acude directamente a Datil, lo redirigimos al cliente e informamos a este sin dilación.

8.Vulneraciones de seguridad

Si una vulneración de seguridad afecta datos tratados por encargo, Datil notifica al cliente sin dilación y a más tardar dentro de las 48 horas de conocerla, con la información necesaria para que el cliente cumpla sus propios plazos: 5 días ante la Superintendencia de Protección de Datos Personales en Ecuador, 48 horas ante la ANPD en Perú. Datil documenta toda vulneración, su alcance y las medidas tomadas.

9.Fin del encargo

Al terminar el contrato, el cliente puede exportar sus datos en formatos estándar durante 30 días. Después, Datil elimina los datos tratados por encargo, salvo los que la ley obliga a conservar (comprobantes fiscales, registros de certificados), que quedan bloqueados: se conservan solo para la autoridad y no se tratan para ningún otro fin.

10.Verificación

Datil pone a disposición del cliente la información necesaria para demostrar el cumplimiento de este anexo: esta documentación pública, el registro de subencargados y, para clientes con contrato empresarial, resúmenes de sus medidas de seguridad y de las evaluaciones de impacto pertinentes, previa solicitud a legal@datil.com.