POLÍTICA DE PRIVACIDAD

SIGN.EC by CRYPTOSIGN S.A.S.

La presente Política de Privacidad describe la forma en que CRYPTOSIGN S.A.S. recopila, utiliza, almacena, comparte y protege los datos personales de los usuarios de la plataforma de firma electrónica SIGN.EC, accesible a través del sitio web sign.ec y de sus aplicaciones móviles para Android e iOS (en adelante, la "Plataforma"), así como de los visitantes del sitio web signec.app (en adelante, el "Sitio Informativo"), en cumplimiento de la Ley Orgánica de Protección de Datos Personales, su Reglamento General y la demás normativa ecuatoriana aplicable en materia de protección de datos personales y comercio electrónico. Esta Política forma parte integrante de los Términos y Condiciones de Uso de la Plataforma.

El Sitio Informativo es un sitio oficial de CRYPTOSIGN destinado a presentar la Plataforma, difundir contenidos y campañas promocionales y dirigir a los interesados hacia sign.ec. El Sitio Informativo no permite crear cuentas, cargar documentos ni firmar. Salvo indicación expresa, las referencias de esta Política a la Plataforma no comprenden el Sitio Informativo, cuyo tratamiento de datos se describe en las cláusulas 3.8, 3.9 y 13.

1. RESPONSABLE DEL TRATAMIENTO

El responsable del tratamiento de los datos personales recopilados a través de la Plataforma, del Sitio Informativo y del centro de ayuda help.sign.ec (en adelante, el "Centro de Ayuda") es CRYPTOSIGN S.A.S., sociedad domiciliada en la ciudad de Quito, República del Ecuador, con Registro Único de Contribuyentes número 1793237190001, con domicilio en Av. Francisco de Orellana E11-75 y Av. Coruña, Quito, Ecuador.

Los titulares de datos personales pueden dirigir sus consultas, solicitudes o reclamos relacionados con el tratamiento de sus datos personales al correo electrónico [email protected].

2. PRINCIPIOS APLICABLES AL TRATAMIENTO

CRYPTOSIGN trata los datos personales de los titulares conforme a los principios de licitud, lealtad y transparencia, finalidad determinada, minimización de datos, calidad y exactitud, proporcionalidad, confidencialidad, seguridad de la información y responsabilidad demostrada, previstos en la Ley Orgánica de Protección de Datos Personales.

3. DATOS PERSONALES QUE SE RECOPILAN

3.1. Datos de cuenta y contacto.

Para crear una cuenta en la Plataforma, CRYPTOSIGN recopila únicamente la dirección de correo electrónico del titular, la cual se utiliza como identificador principal de su cuenta dentro de la Plataforma. Cuando el registro o el inicio de sesión se realiza a través de un proveedor externo de identidad, tales como Google, Apple o Microsoft, CRYPTOSIGN conserva únicamente la dirección de correo electrónico asociada a dicha cuenta externa y el identificador que dicho proveedor asigna a la cuenta del titular, el cual se utiliza exclusivamente para vincular la cuenta externa con su cuenta en la Plataforma y se elimina cuando el titular desvincula dicho proveedor o elimina su cuenta. En tal caso, el proveedor externo de identidad conocerá que el titular utilizó su cuenta para iniciar sesión en la Plataforma, información que tratará conforme a sus propias condiciones. Durante la configuración inicial de su cuenta, la Plataforma ofrece además al titular indicar, de forma opcional, el nombre con el que desea ser llamado. Este dato no se incorpora a ninguna firma electrónica, que toma el nombre del certificado, y se utiliza para saludar al titular dentro de la Plataforma y para identificarlo ante el personal de soporte conforme a la cláusula 3.9.

3.2. Datos asociados al passkey y a la autenticación.

La Plataforma no recopila ni almacena información biométrica del titular. La verificación biométrica o de acceso al dispositivo que el titular utilice para desbloquear su passkey, tal como una huella dactilar, el reconocimiento facial o el código de acceso del equipo, ocurre exclusivamente dentro del propio dispositivo del titular y bajo el control del fabricante del sistema operativo o del dispositivo criptográfico correspondiente, sin que dicha información biométrica sea en ningún momento transmitida a ni almacenada por CRYPTOSIGN.

Lo único que CRYPTOSIGN recibe y almacena como parte del proceso de passkey es el componente público de la llave criptográfica generada por el dispositivo del titular, el cual permite identificar al titular y verificar su identidad en cada inicio de sesión, junto con metadatos técnicos necesarios para el funcionamiento del proceso de autenticación. Dicho componente público no es secreto por naturaleza, no permite utilizar ni reproducir el passkey y se almacena en la base de datos de CRYPTOSIGN, cuyo acceso se encuentra restringido a personal autorizado.

Cuando el titular habilita la firma mediante passkey respecto de un certificado que almacena en la Plataforma, conforme a la cláusula 3.4 siguiente, ya sea de forma expresa o al guardar un certificado durante la configuración inicial de su cuenta inmediatamente después de haber creado un passkey compatible, el propio dispositivo del titular emplea la extensión PRF del protocolo WebAuthn para derivar una llave de cifrado de datos, con la cual se cifra localmente la llave privada del certificado antes de que dicha llave privada, ya cifrada, sea remitida a CRYPTOSIGN para su almacenamiento. En ningún momento de este proceso la llave privada del certificado ni la contraseña que la protege son transmitidas a CRYPTOSIGN en forma descifrada. Cuando el titular establece una contraseña de acceso a su cuenta, CRYPTOSIGN no almacena dicha contraseña, sino únicamente un resumen criptográfico de ella que permite verificarla al iniciar sesión. Los códigos de un solo uso que CRYPTOSIGN remite al correo electrónico del titular se almacenan únicamente hasta su utilización o vencimiento.

3.3. Documentos cargados a la Plataforma.

Los documentos que el titular firma fuera de un flujo de firma compartido no se almacenan de manera automática en los servidores de CRYPTOSIGN: el titular debe realizar una acción expresa, ya sea desde la sección de almacenamiento de la Plataforma o inmediatamente después de firmar el documento, para que este quede almacenado. En cambio, cuando el titular firma un documento como participante de un flujo de firma compartido, incluido aquel que él mismo compartió, la versión firmada se remite a la Plataforma de forma automática al completarse la firma o, si el titular así lo ha configurado en su cuenta, cuando confirme su envío, y se almacena como parte del documento compartido, accesible para el titular que lo cargó y para los demás participantes de dicho flujo, junto con los datos del certificado que cada firma incorpora al documento, tales como el nombre y el número de cédula o pasaporte del firmante y, cuando el certificado los contiene, el nombre de la organización, su RUC y su cargo. Además, cada participante que firma un documento compartido que no cargó conserva en su cuenta una copia de dicho documento, que se computa dentro de su almacenamiento y le permanece accesible hasta que la elimine, aun cuando el titular que lo cargó elimine el documento o su cuenta; en tal caso, CRYPTOSIGN conserva también la dirección de correo electrónico de dicho titular, con la única finalidad de mostrarla a esos participantes como remitente del documento, hasta que el último de ellos elimine su copia. Una vez cargado, CRYPTOSIGN almacena el documento, tanto si se encuentra pendiente de firma como si ya cuenta con firma completa, durante el tiempo necesario para la prestación del servicio y conforme a los plazos de conservación indicados en la cláusula 9 de esta Política.

Los documentos se encuentran cifrados en reposo por el proveedor de infraestructura de almacenamiento en la nube, mediante llaves de cifrado administradas por dicho proveedor, lo que los protege frente a accesos no autorizados en caso de sustracción de los medios físicos de almacenamiento; sin embargo, los documentos no cuentan con cifrado de extremo a extremo. La Plataforma puede conservar en el navegador o en el dispositivo del titular una copia cifrada de los documentos que este consulta. Adicionalmente, los documentos se almacenan bajo un nombre de archivo generado de forma aleatoria que no permite, por sí solo, identificar al titular ni el contenido del documento. No obstante, CRYPTOSIGN conserva en su base de datos el nombre que el documento tenía al cargarse o que el titular le asigne, el cual se muestra en la Plataforma y se comunica al proveedor de almacenamiento al descargar el documento, para que el archivo descargado conserve dicho nombre. El acceso a un documento está limitado al titular que lo cargó y a las personas que este último invite a participar en el respectivo flujo de firma. Debido a que el proveedor de infraestructura de almacenamiento en la nube administra las llaves de cifrado, de manera excepcional podría tener acceso técnico al archivo, y, si bien el nombre bajo el cual se almacena el archivo no permite identificar al titular, los documentos firmados contienen los datos de identificación de sus firmantes descritos en el párrafo anterior. El acceso a la base de datos de CRYPTOSIGN se encuentra restringido a personal autorizado. El titular reconoce que los documentos que carga pueden contener, según su propio contenido, datos personales adicionales a los descritos en esta cláusula, de los cuales dicho titular es responsable en los términos de los Términos y Condiciones de Uso.

3.4. Datos contenidos en certificados almacenados en la Plataforma.

Cuando el titular opta por almacenar en la Plataforma un certificado de firma electrónica emitido por una entidad de certificación de información distinta de CRYPTOSIGN, para su conveniencia y con el fin de habilitar la firma mediante passkey o mediante contraseña, CRYPTOSIGN almacena (i) una copia completa del archivo del certificado, cifrada mediante el estándar AES con la contraseña que protege el archivo original del certificado o con la que el titular establezca posteriormente desde la Plataforma, la cual nunca es transmitida a CRYPTOSIGN; y, (ii) una copia de la información contenida en el certificado distinta de la llave privada, la cual se almacena sin cifrar. Adicionalmente, cuando el titular habilita la firma mediante passkey, CRYPTOSIGN almacena (iii) la llave privada del certificado, cifrada mediante el estándar AES con una llave derivada conforme al proceso descrito en la cláusula 3.2 anterior. En ninguno de estos casos CRYPTOSIGN almacena la llave privada en forma descifrada.

Según lo que la entidad de certificación emisora haya incluido en cada certificado, esta información puede comprender el nombre y apellido del titular, su número de cédula de identidad, su Registro Único de Contribuyentes, su número de teléfono móvil, su dirección de correo electrónico y otros datos similares. CRYPTOSIGN aclara que, debido a la falta de un estándar técnico uniforme que las entidades de certificación de información apliquen de manera consistente en el Ecuador, incluso con posterioridad a la Resolución ARCOTEL-2024-0176, no resulta posible ofrecer un listado exhaustivo y definitivo de todos los campos de datos que un certificado determinado puede contener; la información efectivamente almacenada corresponderá a aquella que la entidad emisora hubiere incluido en el certificado específico que el titular decida almacenar.

Debido a que la información referida en el numeral (ii) anterior se almacena sin cifrar, CRYPTOSIGN tiene la posibilidad técnica de acceder a ella. Sin embargo, CRYPTOSIGN únicamente utiliza la información contenida de forma estructurada en el certificado para los siguientes fines: (i) la prestación del servicio de firma, lo que incluye mostrar el certificado a su titular, generar la firma y su representación visible, evitar que un mismo certificado se almacene más de una vez y verificar su vigencia y su estado de revocación, así como la verificación y validación de las firmas; (ii) la generación de estadísticas agregadas, tales como el número de certificados cargados por cada entidad de certificación, incluyendo aquellas que se requieran para reportar volúmenes de uso o acreditar el cumplimiento de obligaciones legales ante las autoridades competentes; y, (iii) con fundamento en el interés legítimo de CRYPTOSIGN y en beneficio del titular, la remisión de comunicaciones por correo electrónico en las que se le ofrezca la emisión o renovación de un certificado de firma electrónica a través de la Plataforma, así como avisos cuando su certificado actual se encuentre próximo a caducar. El titular podrá oponerse a recibir estas comunicaciones en cualquier momento y de forma gratuita, a través del mecanismo incluido en cada comunicación o escribiendo a [email protected]. Para este último fin, CRYPTOSIGN utilizará únicamente los datos del titular del certificado, y no utilizará los datos de terceros que pudieran constar en el certificado, tales como los datos de una persona jurídica o de otras personas naturales. Ninguno de estos usos implica el acceso a información adicional distinta de la contenida en el propio certificado.

3.5. Ausencia de recopilación de documentos de verificación de identidad para la emisión de certificados.

Debido a que CRYPTOSIGN no emite certificados propios, la Plataforma no solicita al titular fotografías de su cédula de identidad, licencia de conducir, fotografías de rostro ni documentos similares con fines de verificación de identidad para la emisión de un certificado. No obstante, si dicha información se encontrase incorporada dentro de un certificado de un tercero que el titular decida almacenar en la Plataforma conforme a la cláusula 3.4 anterior, dicha información será tratada en los términos allí descritos.

3.6. Datos de personas invitadas por otros titulares.

CRYPTOSIGN trata la dirección de correo electrónico que un titular proporciona con el propósito de compartir un documento y solicitar la firma de otras personas, y asocia el documento compartido a dicha dirección. La persona invitada recibirá una invitación por correo electrónico y el documento compartido le será accesible una vez que se registre en la Plataforma con esa misma dirección de correo electrónico, ya sea a través del enlace de invitación o de forma directa, o cambie a ella la dirección de correo electrónico de la cuenta que ya tenga, momento a partir del cual dicha persona adquiere, a su vez, la condición de usuario de la Plataforma para efectos de esta Política.

Las invitaciones y notificaciones del flujo de firma compartido incluyen el nombre del documento y la dirección de correo electrónico del titular que lo compartió, y cada participante puede ver las direcciones de correo electrónico de los demás participantes, su orden de firma y la fecha en que cada uno firmó o rechazó firmar. CRYPTOSIGN conserva además, asociadas a la cuenta del titular que compartió el documento, las direcciones de correo electrónico a las que este haya solicitado firmas, con la única finalidad de sugerírselas al preparar nuevas solicitudes, hasta que dicho titular elimine su cuenta.

3.7. Datos técnicos, de dispositivo y de uso.

CRYPTOSIGN recopila la dirección IP y el tipo de navegador o aplicación desde la cual el titular accede a la Plataforma y, cuando el titular utiliza las aplicaciones móviles, el identificador de notificaciones push del dispositivo, el modelo del dispositivo, la versión de su sistema operativo y de la aplicación, y el idioma, la región y la zona horaria configurados en el dispositivo, con el fin de habilitar el envío de notificaciones push, diagnosticar y corregir errores técnicos, prevenir accesos fraudulentos, generar estadísticas de uso, mantener la seguridad general de la Plataforma y medir la efectividad de las campañas publicitarias de CRYPTOSIGN conforme a la cláusula 13.

Asimismo, CRYPTOSIGN registra el uso que se hace de la Plataforma, esto es, las secciones que se visitan, las acciones que se realizan en ellas y su resultado, junto con el sitio web de procedencia, el idioma y la versión de la Plataforma o de la aplicación, datos técnicos del dispositivo y la ubicación geográfica aproximada derivada de la dirección IP, conforme a la cláusula 13. Desde que el titular acepta esta Política, estos registros se asocian a su cuenta y a su dirección de correo electrónico. Estos registros no incluyen el nombre ni el contenido de los documentos, los datos de los certificados, las direcciones de correo electrónico de otras personas ni las contraseñas del titular. Cuando se produce un error en la Plataforma, CRYPTOSIGN genera además un reporte de diagnóstico con la descripción técnica del error y de las circunstancias en que se produjo, tales como las secciones de la Plataforma visitadas y las solicitudes técnicas realizadas inmediatamente antes, los identificadores internos de los elementos involucrados, el emisor del certificado afectado y los datos técnicos del navegador, del dispositivo o de la instalación de la aplicación, al que se asocian, desde que el titular inicia sesión y aun antes de que acepte esta Política, el identificador interno de su cuenta y su dirección de correo electrónico. Estos reportes se utilizan únicamente para diagnosticar y corregir errores técnicos, no incluyen el contenido de los documentos ni las contraseñas, y se conservan conforme a la cláusula 9.

3.8. Datos de los visitantes del Sitio Informativo.

Cuando una persona visita el Sitio Informativo, CRYPTOSIGN recopila su dirección IP, el tipo de navegador y de dispositivo, la página de origen, los parámetros incluidos en el enlace a través del cual accedió, tales como identificadores de campañas publicitarias, y las interacciones realizadas en el Sitio Informativo. Cuando el visitante proporcione voluntariamente datos adicionales a través de un formulario del Sitio Informativo, tales como su nombre o dirección de correo electrónico, dichos datos se tratarán únicamente para la finalidad indicada en el respectivo formulario. Los datos de los visitantes del Sitio Informativo se conservarán por un plazo máximo de veinticuatro meses desde su recopilación, y los datos proporcionados a través de formularios, hasta que el visitante solicite su eliminación o retire su consentimiento. Si el visitante registra una cuenta en la Plataforma, se aplicará la cláusula 9. Los terceros indicados en el Anexo 2 conservan la información que reciben conforme a sus propias políticas. CRYPTOSIGN podrá conservar sin límite de tiempo estadísticas agregadas o anonimizadas que no permitan identificar a ningún titular o visitante.

3.9. Datos proporcionados en solicitudes de soporte.

Cuando el titular o un visitante del Sitio Informativo contacta a CRYPTOSIGN para solicitar soporte, a través de cualquiera de los canales de soporte que CRYPTOSIGN habilite, tales como servicios de mensajería instantánea, el correo electrónico o el chat del Centro de Ayuda, CRYPTOSIGN trata los datos que dicha persona proporcione, tales como su nombre, su dirección de correo electrónico, su número de teléfono, el contenido de sus mensajes y los archivos que adjunte, con la única finalidad de atender su solicitud y llevar un registro de la atención brindada. Dichos datos no se utilizarán con fines de mercadeo sin el consentimiento previsto en la cláusula 6. CRYPTOSIGN nunca solicitará al titular, por ninguno de estos canales, la contraseña de su certificado, el archivo de su certificado ni sus credenciales de acceso, y recomienda no remitir documentos con información confidencial salvo que resulten estrictamente necesarios para atender la solicitud. Los registros de soporte se conservarán durante el tiempo necesario para atender la solicitud y, posteriormente, conforme a la cláusula 9. Las solicitudes remitidas por correo electrónico a [email protected] se reciben a través del proveedor de correo electrónico y se gestionan en el sistema de soporte del proveedor de gestión de soporte, ambos indicados en el Anexo 1. El Centro de Ayuda, incluido su chat de soporte, es alojado, por cuenta de CRYPTOSIGN, por el proveedor de gestión de soporte indicado en el Anexo 1, el cual trata la dirección IP, el tipo de navegador y de dispositivo, los artículos consultados y los términos de búsqueda de sus visitantes, y utiliza cookies estrictamente necesarias para su funcionamiento y seguridad, con la finalidad de prestar el Centro de Ayuda y atender las solicitudes que se remitan a través de él. El sistema de soporte agrupa en un mismo registro las solicitudes que provienen de una misma dirección de correo electrónico, cualquiera que sea el canal por el que se remitan. El Centro de Ayuda no incorpora tecnologías publicitarias de terceros.

3.10. Datos de facturación y pago.

Cuando el titular, o la persona natural o jurídica que lo represente o pague por él, contrata un plan de almacenamiento u otro servicio pagado, CRYPTOSIGN recopila los datos necesarios para acordar las condiciones comerciales, emitir los comprobantes de venta electrónicos, gestionar el cobro y atender eventuales reclamos o devoluciones, a saber: (i) los datos de facturación, tales como el nombre o razón social, el número de cédula, RUC o pasaporte, la dirección, el teléfono y el correo electrónico de facturación y, cuando la contratación se realiza a nombre de una persona jurídica, el nombre, el cargo y los datos de contacto de quien actúa en su representación; (ii) los datos de la contratación, tales como el servicio contratado, su precio, su vigencia, sus renovaciones y el historial de pagos y devoluciones; y, (iii) los datos del pago que comuniquen a CRYPTOSIGN el propio pagador, la entidad financiera, el procesador de pagos o la tienda de aplicaciones que intervenga en el cobro, tales como el nombre del pagador, la entidad financiera, el tipo y la marca del medio de pago, sus últimos dígitos, el identificador de la transacción y el comprobante de la transferencia o del cobro.

Los pagos se realizan por los medios que CRYPTOSIGN habilite en cada momento, tales como transferencias o depósitos bancarios, tarjetas de crédito o débito, billeteras digitales y compras dentro de las aplicaciones móviles a través de las tiendas de aplicaciones. Los datos completos de las tarjetas y demás credenciales de pago se ingresan directamente ante el procesador de pagos o la tienda de aplicaciones correspondiente y no son recibidos ni almacenados por CRYPTOSIGN, la cual podrá conservar únicamente el identificador que dicho proveedor asigne al medio de pago para efectuar los cobros posteriores que el titular haya autorizado. Los procesadores de pago y demás proveedores que actúan por cuenta de CRYPTOSIGN constan en el Anexo 1. Las entidades financieras y las tiendas de aplicaciones tratan los datos del pago como responsables independientes, conforme a sus propias condiciones, y las tiendas de aplicaciones constan en el Anexo 2. Los comprobantes de venta electrónicos se transmiten al Servicio de Rentas Internas para su autorización, conforme a la normativa tributaria.

3.11. Imagen del sello QR.

El titular puede, de forma opcional, incorporar una imagen de su elección, tal como el logotipo de su empresa, en el centro del código QR que acompaña a la representación visible de sus firmas. La imagen se reduce en el propio dispositivo del titular y CRYPTOSIGN almacena únicamente esa versión reducida, asociada a su cuenta, con la sola finalidad de incorporarla en los documentos que firme, donde será visible para cualquier persona que acceda a ellos. El titular puede reemplazarla o eliminarla en cualquier momento y, en todo caso, se elimina junto con su cuenta, sin afectar a los documentos ya firmados.

4. FINALIDADES DEL TRATAMIENTO

Los datos personales descritos en la cláusula 3 se tratan para las siguientes finalidades:

5. BASE LEGAL DEL TRATAMIENTO

El tratamiento de los datos personales descritos en esta Política se fundamenta, según la finalidad de que se trate, en la ejecución del contrato de prestación de servicios existente entre el titular y CRYPTOSIGN, en el consentimiento libre, específico, informado e inequívoco del titular, en el cumplimiento de obligaciones legales aplicables a CRYPTOSIGN, y en el interés legítimo de CRYPTOSIGN para la generación de estadísticas agregadas, el análisis del uso de la Plataforma descrito en la cláusula 13, la medición de la efectividad de sus campañas publicitarias descrita en la misma cláusula, la seguridad de la Plataforma, el diagnóstico y la corrección de errores técnicos, la prevención de fraude y el ofrecimiento al titular, en su beneficio, de la emisión o renovación de certificados de firma electrónica a través de la Plataforma, siempre que dicho interés legítimo no prevalezca sobre los derechos y libertades fundamentales del titular. Cuando el tratamiento se fundamente en el interés legítimo, el titular podrá oponerse a él en cualquier momento, conforme a la cláusula 11 de esta Política. En particular, los datos de facturación y pago se tratan para la ejecución del contrato del servicio pagado y para el cumplimiento de las obligaciones tributarias de CRYPTOSIGN.

6. CONSENTIMIENTO PARA FINES DE MERCADEO, INVESTIGACIÓN Y NUEVAS FUNCIONALIDADES

El tratamiento de los datos personales del titular con fines de mercadeo, búsqueda comercial o investigación, así como el uso de la información contenida en los documentos cargados para dichos fines, requiere el consentimiento previo, libre, específico e informado del titular, el cual podrá otorgarse de manera independiente a la aceptación de estos Términos y de esta Política, y podrá ser revocado en cualquier momento sin que ello afecte la licitud del tratamiento previo a su revocatoria ni la posibilidad del titular de seguir utilizando las funcionalidades esenciales de la Plataforma. Las comunicaciones de mercadeo se remitirán únicamente a los titulares que hayan otorgado dicho consentimiento y solo a través de los canales que hayan autorizado expresamente, los cuales podrán incluir el correo electrónico, los mensajes de texto (SMS) o servicios de mensajería instantánea como WhatsApp. Para este fin, CRYPTOSIGN podrá utilizar la dirección de correo electrónico asociada a la cuenta del titular o el número de teléfono móvil que el titular autorice, incluyendo aquel que conste en su propio certificado. El consentimiento se solicitará de forma separada para cada canal, y cada comunicación incluirá un mecanismo sencillo y gratuito para revocar el consentimiento y dejar de recibir dichas comunicaciones. Lo anterior no aplica a las comunicaciones por correo electrónico en las que se ofrezca la emisión o renovación de certificados descritas en la cláusula 3.4, las cuales se fundamentan en el interés legítimo de CRYPTOSIGN y que el titular podrá dejar de recibir en cualquier momento mediante el ejercicio de su derecho de oposición.

Tampoco aplica al análisis del uso de la Plataforma ni a la medición de la efectividad de las campañas publicitarias descritos en la cláusula 13, los cuales se fundamentan en el interés legítimo de CRYPTOSIGN y a los que el titular podrá oponerse conforme a la cláusula 11.

7. ENCARGADOS DEL TRATAMIENTO Y TERCEROS PROVEEDORES

Para la prestación del servicio, CRYPTOSIGN se apoya en proveedores tecnológicos que actúan como encargados del tratamiento por cuenta de CRYPTOSIGN, tales como proveedores de seguridad de red, de almacenamiento en la nube, de infraestructura de cómputo y de base de datos, de envío de comunicaciones por correo electrónico y de notificaciones push, de gestión de solicitudes de soporte y de alojamiento del Sitio Informativo, así como procesadores de pago, cuando intervengan en el cobro de los servicios pagados.

El listado actualizado de dichos proveedores, con indicación del servicio que presta cada uno, consta en el Anexo 1 de esta Política. CRYPTOSIGN actualizará el Anexo 1 y lo publicará en la Plataforma cada vez que se incorpore o sustituya un proveedor, siempre que el nuevo proveedor cumpla estándares de seguridad y protección de datos equivalentes a los descritos en esta Política. Las actualizaciones del Anexo 1 no constituyen una modificación de esta Política.

CRYPTOSIGN suscribe con cada uno de sus encargados del tratamiento los acuerdos necesarios para asegurar que dichos terceros traten los datos personales únicamente conforme a las instrucciones de CRYPTOSIGN, con las medidas de seguridad apropiadas y sin destinarlos a finalidades distintas de las autorizadas.

8. TRANSFERENCIA INTERNACIONAL DE DATOS

En la medida en que alguno de los encargados del tratamiento indicados en el Anexo 1 se encuentre domiciliado fuera del Ecuador o preste sus servicios desde infraestructura ubicada en el extranjero, el tratamiento de los datos personales podrá implicar una transferencia internacional de datos. CRYPTOSIGN adoptará las medidas contractuales y técnicas necesarias para que dicha transferencia se realice garantizando un nivel de protección adecuado a los titulares, conforme a lo previsto en la Ley Orgánica de Protección de Datos Personales y su Reglamento General. Lo anterior se aplica igualmente a los terceros indicados en el Anexo 2, cuyos servicios pueden implicar el tratamiento de datos fuera del Ecuador.

9. PLAZO DE CONSERVACIÓN

Los datos personales del titular, así como los documentos y certificados que almacene en la Plataforma, se conservarán mientras su cuenta permanezca activa y el propio titular no solicite su eliminación. Sin perjuicio de lo anterior, considerando que CRYPTOSIGN pone a disposición del titular espacio de almacenamiento sin costo, cuando el titular no haya accedido a la Plataforma con su cuenta durante un período continuo superior a seis meses y no mantenga un plan de almacenamiento pagado vigente, CRYPTOSIGN se reserva el derecho de eliminar los documentos cargados por dicho titular; y, cuando no haya accedido a ella con su cuenta durante un período continuo superior a un año y no mantenga un plan de almacenamiento pagado vigente, CRYPTOSIGN se reserva el derecho de eliminar su cuenta, junto con los documentos, certificados y demás datos personales asociados a ella. Asimismo, al vencimiento de un plan de almacenamiento, sea pagado u otorgado sin costo por un período determinado, que no sea renovado, CRYPTOSIGN podrá eliminar de inmediato, comenzando por los más antiguos, los documentos que excedan el espacio o el número máximo de documentos del almacenamiento sin costo vigente. En cualquiera de estos casos, CRYPTOSIGN notificará al titular, a la dirección de correo electrónico asociada a su cuenta, con dos semanas de anticipación a la eliminación o al vencimiento del plan, según corresponda, y le remitirá un recordatorio con tres días de anticipación, a fin de que pueda acceder, descargar o resguardar por otros medios su información. No obstante, los avisos relativos al vencimiento de un plan de almacenamiento no se remitirán cuando el titular haya desactivado las notificaciones de almacenamiento en la configuración de su cuenta o mediante el enlace incluido en dichos avisos; en tal caso, la eliminación se efectuará igualmente al vencimiento del plan. En los casos de inactividad, el acceso del titular a la Plataforma con su cuenta antes de la fecha indicada en la notificación bastará para evitar la eliminación. CRYPTOSIGN no será responsable cuando la notificación no pueda ser entregada por causas ajenas a su control, tales como una dirección de correo electrónico inexistente o inhabilitada. Los documentos cargados por un titular le pertenecen; en consecuencia, cuando dichos documentos o su cuenta sean eliminados, ya sea por decisión del propio titular o conforme a esta cláusula, las personas con quienes los haya compartido perderán acceso a ellos, salvo los participantes que ya los hubieran firmado, quienes conservan su copia conforme a la cláusula 3.3.

Con posterioridad a la eliminación de la cuenta, CRYPTOSIGN podrá conservar determinada información durante el plazo adicional que resulte necesario para atender obligaciones legales, contables, tributarias o regulatorias, o para la atención de eventuales reclamos relacionados con los documentos firmados a través de la Plataforma, conforme a los plazos de prescripción previstos en la legislación ecuatoriana. En particular, los comprobantes de venta electrónicos y los datos de facturación y pago asociados a ellos se conservan durante el plazo que exija la normativa tributaria, actualmente de siete años contados desde su emisión, aun cuando el titular haya eliminado su cuenta.

Al eliminarse la cuenta, ya sea por decisión del titular o conforme a esta cláusula, CRYPTOSIGN suprime los métodos de autenticación del titular, los certificados que haya almacenado, las copias que conservaba de documentos compartidos por otros titulares y los documentos que haya cargado, salvo aquellos de los que algún participante que los firmó conserve una copia, conforme al literal (vii) siguiente. Sin perjuicio de la información que CRYPTOSIGN conserve conforme al párrafo anterior, con posterioridad a dicha eliminación subsisten únicamente: (i) las copias de seguridad de la base de datos de la Plataforma, que se conservan por un plazo máximo de dos meses y solo se utilizan para restablecer el servicio ante un incidente; si fuera necesario restaurar una de ellas, CRYPTOSIGN eliminará nuevamente las cuentas cuya eliminación se hubiere solicitado con posterioridad a la copia restaurada; (ii) los registros técnicos de operación, de seguridad y de diagnóstico de errores, que se conservan por un plazo máximo de dos meses; (iii) los registros de uso de la Plataforma, de los cuales se suprime la dirección de correo electrónico del titular dentro de los siete días siguientes a la eliminación y que, asociados únicamente a un identificador aleatorio que ya no corresponde a ninguna cuenta, se conservan por un plazo máximo de doce meses desde su generación; (iv) un registro de la eliminación, con el identificador de la cuenta, su dirección de correo electrónico y la fecha, que CRYPTOSIGN conserva por un plazo máximo de dos meses con la única finalidad de completar las supresiones descritas en esta cláusula y de atender los reclamos o solicitudes relacionados con ellas; (v) la dirección de correo electrónico y las firmas que el titular haya incorporado a documentos compartidos por otros titulares, que forman parte de dichos documentos y permanecen en ellos, por cuanto estos pertenecen a quien los cargó; (vi) la dirección de correo electrónico del titular en la lista de direcciones sugeridas de los titulares que le hayan solicitado firmas, conforme a la cláusula 3.6, hasta que estos eliminen su cuenta; y, (vii) los documentos que el titular haya compartido y de los que algún participante que los firmó conserve una copia, junto con su nombre, las firmas y los datos de sus participantes y la dirección de correo electrónico del titular, que se muestra a dichos participantes como remitente, hasta que el último de ellos elimine su copia.

Las conversaciones que el titular haya mantenido a través del chat de soporte que la Plataforma ofrecía a quienes habían iniciado sesión se eliminan dentro de los siete días siguientes a la eliminación de la cuenta. Las demás solicitudes de soporte, tales como las remitidas por correo electrónico, por servicios de mensajería instantánea o desde el Centro de Ayuda, incluido su chat, así como el registro de quien las remitió en el sistema de soporte, se conservan hasta que el titular solicite su eliminación a [email protected], sin perjuicio de la conservación que exija la ley.

10. MEDIDAS DE SEGURIDAD

CRYPTOSIGN aplica medidas técnicas y organizativas orientadas a proteger los datos personales de los titulares frente al acceso no autorizado, la pérdida, la alteración o la destrucción indebida. Entre dichas medidas se encuentran el cifrado de la llave privada y del archivo completo de los certificados almacenados, así como de otros componentes criptográficos administrados por la Plataforma; el cifrado en reposo, mediante el estándar AES, de los datos que CRYPTOSIGN almacena en sus proveedores de infraestructura en la nube, incluyendo sus entornos de cómputo, de base de datos y de aplicaciones, de forma tal que la sustracción de los medios físicos de almacenamiento no permita acceder a dichos datos; la verificación de la vigencia y del estado de revocación y de suspensión de los certificados electrónicos antes de completar cualquier proceso de firma; y la ejecución del proceso de autenticación biométrica o de desbloqueo del dispositivo de forma local en el equipo del titular, sin que dicha información sea transmitida a los servidores de CRYPTOSIGN.

A nivel de infraestructura, el tráfico dirigido a la Plataforma se canaliza a través del proveedor de seguridad de red de CRYPTOSIGN mediante conexiones salientes iniciadas desde los propios servidores de CRYPTOSIGN, lo que evita exponer dicha infraestructura a conexiones entrantes directas. Las comunicaciones entre los servidores de CRYPTOSIGN y su personal técnico autorizado se realizan a través de una red privada virtual cifrada, administrada mediante una plataforma de control de acceso a dicha red.

El titular reconoce que ninguna medida de seguridad, por robusta que sea, elimina en su totalidad los riesgos inherentes al tratamiento electrónico de información, y que la seguridad de su cuenta depende también de que el propio titular resguarde adecuadamente su dispositivo y sus credenciales de acceso.

11. DERECHOS DE LOS TITULARES

Conforme a la Ley Orgánica de Protección de Datos Personales, el titular puede ejercer en cualquier momento, y de forma gratuita, los siguientes derechos frente a CRYPTOSIGN:

El titular puede ejercer estos derechos remitiendo su solicitud al correo electrónico [email protected], indicando el derecho que desea ejercer y acompañando la información necesaria para verificar su identidad. CRYPTOSIGN atenderá dichas solicitudes dentro de los plazos previstos en la normativa aplicable. Adicionalmente, el titular que haya aceptado esta Política puede eliminar su cuenta en cualquier momento, directamente desde la configuración de su cuenta en la Plataforma; quien no la haya aceptado puede solicitar su eliminación a [email protected].

12. DATOS PERSONALES DE NIÑOS, NIÑAS Y ADOLESCENTES

La Plataforma está dirigida exclusivamente a personas que hayan cumplido dieciocho años de edad y cuenten con capacidad legal, conforme a los Términos y Condiciones de Uso. Debido a que el registro de una cuenta solo requiere una dirección de correo electrónico, CRYPTOSIGN no verifica la edad de los titulares en esa etapa y se basa en la declaración que el titular efectúa al aceptar los Términos y Condiciones de Uso. En caso de que CRYPTOSIGN identifique que ha recopilado datos personales de una persona menor de dieciocho años, adoptará las medidas necesarias para eliminar dicha información a la mayor brevedad posible.

13. COOKIES Y TECNOLOGÍAS SIMILARES

La Plataforma utiliza cookies y tecnologías similares estrictamente necesarias para su funcionamiento, tales como aquellas que permiten mantener activa la sesión del titular. Para conocer la forma en que se utiliza la Plataforma y mejorar sus funcionalidades, CRYPTOSIGN utiliza además una herramienta de analítica propia que no instala cookies en el dispositivo del titular; los visitantes se distinguen mediante un identificador técnico calculado en los servidores de CRYPTOSIGN a partir de la dirección IP y del tipo de navegador. Por ello, este tratamiento no puede deshabilitarse desde la configuración del navegador; el titular podrá oponerse a él en cualquier momento conforme a la cláusula 11, sin que ello afecte el uso de las funcionalidades esenciales de la Plataforma. La oposición se registra en la cuenta del titular, por lo que se aplica mientras este tenga su sesión iniciada en la Plataforma. Los registros generados antes de la oposición se eliminan en un plazo máximo de doce meses desde su generación.

El Sitio Informativo utiliza, adicionalmente, cookies y tecnologías de medición proporcionadas por los terceros de publicidad y analítica indicados en el Anexo 2 de esta Política. A través de dichas tecnologías, estos terceros pueden recibir la dirección IP del visitante, información sobre su navegador y dispositivo, identificadores de campaña y los eventos realizados en el Sitio Informativo, y pueden vincular dicha información con las cuentas que el visitante mantenga en sus servicios, tratándola como responsables independientes conforme a sus propias políticas de privacidad. Estas tecnologías solo se activarán una vez que el visitante otorgue su consentimiento a través del aviso de cookies del Sitio Informativo, consentimiento que podrá retirar en cualquier momento, sin que su negativa impida acceder al Sitio Informativo o a la Plataforma.

La Plataforma no incorpora en sus páginas píxeles, etiquetas ni otras tecnologías publicitarias de terceros. Con fundamento en el interés legítimo de CRYPTOSIGN de medir la efectividad de sus campañas publicitarias, CRYPTOSIGN comunica, desde sus propios servidores, a los terceros de publicidad indicados en el Anexo 2 los eventos del registro y del uso de la cuenta del titular que permiten medir dicha efectividad. Esta comunicación se efectúa respecto de toda cuenta que se registre en la Plataforma, con independencia de que el titular haya accedido a ella desde una campaña publicitaria, e incluye: (i) el nombre y la fecha del evento; (ii) el resultado de aplicar una función de resumen criptográfico (hash) a la dirección de correo electrónico del titular y al identificador interno de su cuenta, que permite a dichos terceros vincular el evento con la cuenta que el titular mantenga en sus servicios; (iii) la dirección IP desde la cual se realizó la acción y, en el sitio web, la información del navegador o, en las aplicaciones móviles, el identificador y la versión de la aplicación, la versión del sistema operativo y el idioma, la región y la zona horaria configurados en el dispositivo; y, (iv) cuando el titular accedió a la Plataforma o instaló la aplicación a través de un enlace abierto desde los servicios de dichos terceros, el identificador que estos asignan a ese clic. La Plataforma conserva dicho identificador en el navegador o en el dispositivo, y en la cuenta del titular hasta que no quede ningún evento por comunicar o se elimine la cuenta, y solo lo utiliza durante los noventa días siguientes a su recepción. En la aplicación para iOS, esta comunicación solo se efectúa si el titular la autoriza en el aviso de rastreo que presenta el sistema operativo del dispositivo. Los terceros de publicidad tratan esta información como responsables independientes, conforme a sus propias políticas de privacidad. El titular podrá oponerse a esta comunicación en cualquier momento conforme a la cláusula 11, sin que ello afecte el uso de la Plataforma; la oposición impide las comunicaciones que aún no se hubieren efectuado, pero no alcanza a las ya realizadas. CRYPTOSIGN no comparte con terceros de publicidad o analítica los documentos ni los certificados de los titulares, ni su dirección de correo electrónico en forma legible.

Las herramientas de analítica y de diagnóstico de errores de la Plataforma se operan en la infraestructura administrada por CRYPTOSIGN, sin que la información que recopilan sea comunicada a terceros distintos de los encargados del tratamiento indicados en el Anexo 1. Las aplicaciones móviles de la Plataforma no incorporan kits de desarrollo de software de publicidad de terceros ni acceden a los identificadores publicitarios del dispositivo; cuando la aplicación se instala desde un enlace abierto desde los servicios de los terceros de publicidad, puede obtener el identificador de ese clic a través del servicio de referencia de instalación de la tienda de aplicaciones, para los fines descritos en el párrafo anterior.

14. AUTORIDAD DE CONTROL

El titular que considere vulnerados sus derechos en materia de protección de datos personales puede presentar su reclamo directamente ante la Superintendencia de Protección de Datos Personales, autoridad de control en esta materia en el Ecuador, sin perjuicio de las acciones que le correspondan ante la jurisdicción competente.

15. CAMBIOS A ESTA POLÍTICA

CRYPTOSIGN podrá actualizar esta Política de Privacidad para reflejar cambios normativos, tecnológicos o del propio servicio, incluyendo la recopilación de nuevos tipos de datos personales. Toda actualización sustancial será comunicada al titular a través de la Plataforma o del correo electrónico asociado a su cuenta, con antelación razonable a su entrada en vigor. Cuando una actualización implique nuevas finalidades o nuevas categorías de datos personales cuyo tratamiento requiera el consentimiento del titular, CRYPTOSIGN solicitará dicho consentimiento de forma expresa a través de la Plataforma antes de efectuar el nuevo tratamiento, y el uso continuado de la Plataforma por parte del titular no se entenderá como consentimiento para tales fines.

16. CONTACTO

Para cualquier consulta relacionada con esta Política de Privacidad o con el tratamiento de sus datos personales, el titular puede comunicarse con CRYPTOSIGN a través del correo electrónico [email protected].

Fecha de entrada en vigor, 26 de octubre de 2026.

ANEXO 1. ENCARGADOS DEL TRATAMIENTO

Última actualización, 26 de octubre de 2026.

Los siguientes proveedores actúan como encargados del tratamiento por cuenta de CRYPTOSIGN para la prestación de los servicios de la Plataforma y del Sitio Informativo. Este Anexo se actualiza cada vez que se incorpora o sustituye un proveedor, conforme a la cláusula 7 de esta Política.

ANEXO 2. TERCEROS DESTINATARIOS

Última actualización, 26 de octubre de 2026.

Los siguientes terceros reciben información conforme a las cláusulas 3.1, 3.10 y 13 y a lo indicado en este Anexo, y la tratan como responsables independientes conforme a sus propias políticas de privacidad. Este Anexo se actualiza cada vez que se incorpora o sustituye uno de estos terceros, y sus actualizaciones no constituyen una modificación de esta Política.