Contrato de encargo de tratamiento

Este documento regula el tratamiento de datos personales que Ofivia realiza por cuenta de la empresa cliente cuando esta usa la plataforma. Complementa los términos del servicio y se firma como anexo del contrato.

Quien lo firma como encargado es [razón social], una sociedad de Delaware, la misma entidad que contrata a todos los clientes en los términos del servicio. El servicio se opera desde el Ecuador: ahí están los servidores, la bóveda, la base de datos y el equipo que los maneja. Las comunicaciones al encargado bajo este documento van a esa entidad, a [domicilio legal] y a hola@ofivia.com.

En el vocabulario de la Ley Orgánica de Protección de Datos Personales del Ecuador:

• La empresa cliente es el responsable del tratamiento. Decide qué datos entran, para qué y por cuánto tiempo.
• Ofivia es el encargado del tratamiento. En este documento “Ofivia” significa [razón social]. Trata esos datos siguiendo las instrucciones documentadas del responsable, y nada más.

Si la empresa cliente no es responsable sino encargada de un tercero, por ejemplo una agencia que trabaja con datos de sus propios clientes, Ofivia actúa como subencargada y este documento se lee con esa equivalencia: donde dice responsable, léase la empresa cliente en la posición que ocupe frente a su propio responsable.

1. Qué norma se aplica

El encargado está constituido en Estados Unidos y el tratamiento corre en el Ecuador. Los dos hechos cuentan, y apuntan a normas distintas.

La Ley Orgánica de Protección de Datos Personales del Ecuador se aplica al tratamiento descrito aquí, porque se realiza con medios situados en el Ecuador: los servidores, la bóveda, la base de datos y el equipo que los opera. Constituir en Delaware la entidad que firma no mueve ese tratamiento ni lo saca de la ley ecuatoriana.

El Reglamento General de Protección de Datos de la Unión Europea se aplica además cuando el responsable está establecido en la Unión, o cuando su tratamiento cae bajo el artículo 3 de ese Reglamento. En ese caso las cláusulas 2 a 11 de este documento cumplen el artículo 28 apartado 3, y las transferencias se rigen por el Anexo IV.

Cuando al responsable le aplique una ley de privacidad de un estado de Estados Unidos, Ofivia actúa como su proveedor de servicios o encargado en el sentido que esa ley da a esos términos, y usa los datos solo para las finalidades de este contrato.

Ofivia todavía no ha designado representante en la Unión Europea conforme al artículo 27 del Reglamento. Firmar desde Estados Unidos no elimina esa obligación: el representante sigue siendo necesario mientras haya clientes establecidos en la Unión. Cuando lo designe, sus datos de contacto se publican en la política de privacidad. El marcador es [representante en la Unión Europea conforme al artículo 27 del RGPD].

El delegado de protección de datos que exige la normativa ecuatoriana para quien presta servicios de tecnologías de la información, cosa que Ofivia hace desde el Ecuador, se identifica en [nombre del delegado de protección de datos], correo [correo del delegado de protección de datos]. No publicamos ese dato inventado.

2. Objeto, naturaleza, finalidad y duración

Objeto. Ofivia trata los datos personales que la empresa cliente cargue o genere dentro de la plataforma.

Naturaleza. Las operaciones son las descritas en el Anexo I: recolección, almacenamiento, indexación, consulta, transcripción, generación de texto, imagen y video por los agentes, comunicación entre usuarios, publicación cuando el responsable la activa, archivado, respaldo y supresión.

Finalidad. Prestar el servicio contratado, y ninguna otra. Ofivia no usa esos datos para fines propios.

Tipos de datos y categorías de interesados. Constan en el Anexo I. Los define el responsable con lo que decide cargar.

Duración. Todo el tiempo que dure el contrato de servicio, y después hasta que se cumplan las obligaciones de devolución y supresión de la cláusula 9.

3. Instrucciones del responsable

Ofivia trata los datos únicamente conforme a las instrucciones documentadas del responsable. El uso normal de la plataforma constituye esa instrucción: cargar documentos, indexarlos, buscarlos, transcribirlos, compartirlos según los permisos configurados, ejecutar turnos del agente sobre ellos, generar contenido con las herramientas de imagen y video, y publicar hacia fuera lo que el responsable decida publicar.

Las instrucciones incluyen también las transferencias a terceros países descritas en la cláusula 11 y en el Anexo IV. Cualquier otra instrucción debe constar por escrito, y si exige trabajo de ingeniería fuera del producto se cotiza antes de ejecutarla.

Ofivia informará al responsable de inmediato si, en su opinión, una instrucción infringe la normativa de protección de datos, y podrá suspender esa instrucción hasta que el responsable la confirme o la corrija. Suspenderla no es incumplimiento del contrato de servicio.

Ofivia no usa el contenido del responsable para entrenar modelos de inteligencia artificial, propios o de terceros, ni para ningún fin distinto de prestar el servicio.

4. Confidencialidad

Ofivia se obliga a que toda persona con acceso a datos del responsable haya asumido un compromiso de confidencialidad antes de recibir ese acceso. El compromiso subsiste tras el fin de la relación laboral o contractual. El acceso se limita a las personas que lo necesitan para operar el servicio o para dar soporte.

El acceso de un administrador de plataforma a los datos de una empresa requiere entrar explícitamente en ella. No es un acceso pasivo ni permanente.

5. Medidas de seguridad

Ofivia aplica medidas técnicas y organizativas apropiadas al riesgo, en los términos del artículo 32 del Reglamento europeo y de los artículos 37 a 40 de la ley ecuatoriana. Están descritas en detalle en la página de seguridad, incluida una relación honesta de lo que todavía no existe. Las principales, resumidas, forman el Anexo II:

• Aislamiento por empresa en cuatro capas: identificador de empresa en cada fila, seguridad a nivel de fila en PostgreSQL en modo FORCE sobre 33 tablas, una carpeta por empresa en modo 0700, y un espacio de nombres propio en el grafo.
• Autenticación: contraseñas con argon2, token de acceso de quince minutos y de refresco de siete días firmados con secretos distintos, revocación inmediata de todas las sesiones al cerrar sesión, y dos límites contra fuerza bruta en las rutas de credenciales: un bloqueo por cuenta contado por correo, y un límite de peticiones por IP delante del inicio de sesión y del refresco.
• Superficie expuesta: cabeceras de seguridad, CORS con lista explícita de orígenes, límite de tamaño de cuerpo, validación que rechaza campos desconocidos y límites de peticiones por minuto, globales y por empresa.
• Secretos: cifrados con pgcrypto y nunca devueltos por ningún endpoint; se listan por nombre.
• Ejecución de código: el contenedor donde se ejecuta código es efímero y rootless, sin red, con raíz de solo lectura, sin capacidades del kernel, sin escalada de privilegios y con muerte por reloj a los veinte segundos. El contenedor donde corre el agente sí tiene salida a internet, porque la necesita para hablar con el proveedor del modelo, y hoy no hay lista blanca de destinos.
• Trazabilidad: cadena de hashes por empresa sobre cada ejecución de herramienta del agente, y bitácora mensual de consumo que registra el tamaño del texto cubierto, nunca el contenido.
• Continuidad: respaldo diario con rotación de catorce días y fotos incrementales de la bóveda por enlaces duros.
• Red: los servicios internos escuchan en la interfaz local y solo son alcanzables a través del proxy inverso.

Ofivia puede modificar estas medidas, y lo hará cuando cambie el riesgo o la tecnología, pero ningún cambio puede bajar el nivel de protección acordado.

El responsable declara conocer dos límites de esta arquitectura:

1. Ofivia no cifra los documentos a nivel de aplicación en reposo. La protección en esa capa depende del modo 0700, del control de acceso al servidor y del cifrado que ofrezca el disco.
2. La media antigua se archiva en almacenamiento de objetos de un tercero. El video con más de siete días y el resto de archivos grandes con más de treinta se copian a almacenamiento S3 y en el servidor queda un testigo de menos de un kilobyte. A partir de ese momento la copia principal de ese archivo vive en el proveedor de almacenamiento, no en la carpeta 0700.

6. Subencargados

El responsable autoriza de forma general el uso de subencargados. Las categorías actuales son:

La lista nominal y vigente está publicada en subencargados, con el proveedor, para qué se usa, qué datos toca, en qué país trata y el enlace a su propia política. Esa página es el Anexo III de este contrato.

Ofivia avisa cualquier incorporación o sustitución con treinta días de anticipación, por correo al contacto administrativo del responsable y actualizando esa página. El responsable puede oponerse dentro de los quince días siguientes al aviso, por escrito y por motivos fundados de protección de datos. Si no se opone en ese plazo, el cambio se entiende aceptado.

Ante una oposición, Ofivia busca una alternativa razonable o una medida que resuelva el motivo. Si en treinta días no hay una, el responsable puede terminar la parte del servicio afectada, o el contrato entero, sin penalidad y con la devolución de la cláusula 9. Si por una urgencia de seguridad o de continuidad hay que sustituir un proveedor sin los treinta días de aviso, Ofivia avisa apenas pueda y el derecho de oposición se conserva igual.

Ofivia impone a cada subencargado obligaciones equivalentes a las de este documento y responde ante el responsable por su actuación como si fuera propia.

7. Asistencia al responsable

Ofivia asistirá al responsable, con medidas técnicas apropiadas y con la información de la que disponga, para:

• Atender las solicitudes de los titulares sobre acceso, rectificación, actualización, eliminación, oposición, suspensión, portabilidad y las demás del capítulo III del Reglamento europeo. La portabilidad es directa: la bóveda son archivos Markdown y la base es PostgreSQL estándar. Si un titular escribe a Ofivia sobre datos que están dentro de la cuenta de una empresa, Ofivia no responde por su cuenta: traslada la solicitud al responsable dentro de los dos días hábiles siguientes.
• Cumplir los artículos 32 a 36 del Reglamento europeo y sus equivalentes ecuatorianos, es decir la seguridad del tratamiento, la notificación de brechas, la evaluación de impacto y la consulta previa a la autoridad.
• Entregar la información técnica que el responsable necesite para explicar una decisión en la que haya influido un agente, presentar los criterios de valoración usados y atender una impugnación.
• Demostrar el cumplimiento de las obligaciones de seguridad.

Ofivia responde una solicitud de asistencia documentada dentro de los cinco días hábiles siguientes. Ese plazo está pensado para que el responsable llegue a tiempo a los suyos: quince días para los derechos bajo la ley ecuatoriana, un mes bajo el Reglamento europeo.

8. Brechas de seguridad

Si Ofivia tiene conocimiento de una violación de seguridad que afecte datos personales del responsable, se lo notificará sin dilación indebida y, a más tardar, dentro de las 48 horas siguientes a tener conocimiento, con la información disponible:

• Naturaleza del incidente y sistemas comprometidos.
• Categorías y volumen aproximado de titulares y de registros afectados.
• Consecuencias probables.
• Medidas adoptadas o propuestas para contenerlo y mitigarlo.
• Contacto de Ofivia para el seguimiento.

Si al momento de notificar falta información, Ofivia envía lo que tenga y completa el resto por etapas, sin esperar a tenerlo todo.

La notificación a la autoridad y a los titulares corresponde al responsable. Ofivia colabora con lo que necesite para hacerla. Los plazos que el responsable debe cumplir son suyos y son más cortos de lo que parece: setenta y dos horas ante la autoridad de control europea, término de cinco días ante la Superintendencia de Protección de Datos Personales y ante la Agencia de Regulación y Control de las Telecomunicaciones, y término de tres días ante el titular cuando la brecha entrañe riesgo para sus derechos. Las 48 horas de Ofivia existen para que esos plazos sean alcanzables.

Ofivia documenta toda violación de seguridad, sus efectos y las medidas correctoras, y entrega ese registro al responsable que lo pida.

9. Devolución y supresión

Al terminar el contrato, y a elección del responsable, Ofivia le entregará su bóveda completa y un volcado de su base de datos, o suprimirá esa información. La elección se comunica por escrito dentro de los treinta días siguientes a la terminación; si el responsable no dice nada en ese plazo, Ofivia entrega y después suprime.

La entrega son los archivos tal como están, Markdown y binarios, más el volcado en formato PostgreSQL estándar. No hay conversión, no hay costo por salir y no retenemos datos como palanca.

La supresión de una empresa arrastra en cascada sus bitácoras de uso, permisos, sesiones, mensajes, notificaciones, secretos e hilos de conversación, y hay pruebas automatizadas que verifican que no quedan registros huérfanos. Los respaldos que contengan esa información rotan y desaparecen dentro de los catorce días siguientes. Ofivia confirma la supresión por escrito cuando el responsable lo pida.

Ofivia conservará únicamente lo que una obligación legal le exija conservar, y solo durante ese plazo. Lo conservado sigue protegido por este documento.

10. Auditorías e inspecciones

Ofivia pone a disposición del responsable la información necesaria para acreditar el cumplimiento de estas obligaciones, atiende sus preguntas técnicas por escrito, y permite y contribuye a auditorías e inspecciones realizadas por el responsable o por un auditor que este designe.

Ofivia no cuenta hoy con certificaciones SOC 2 o ISO 27001 ni con un informe de auditoría de un tercero. Preferimos decirlo en el contrato antes que en la revisión.

Las reglas de una auditoría propia, y aquí es donde el responsable cede algo:

• Una vez cada doce meses, salvo que la pida una autoridad de control o que haya ocurrido una brecha que afecte al responsable, casos en los que no hay límite de frecuencia.
• Con treinta días de aviso, en horario laboral y bajo confidencialidad.
• El auditor designado no puede ser un competidor de Ofivia, y firma confidencialidad antes de empezar.
• El alcance llega hasta los sistemas y las áreas que sirven al responsable. No incluye acceso a datos de otras empresas de la plataforma, ni a información que revele su identidad, porque esa restricción es la misma que protege al responsable frente a la auditoría de un tercero.
• Las pruebas intrusivas o destructivas se acuerdan por escrito antes, según la cláusula de uso aceptable de los términos.
• El costo de la auditoría lo asume el responsable, salvo que encuentre un incumplimiento material de este documento, en cuyo caso lo asume Ofivia.

Para requisitos de auditoría más estrictos, la alternativa es el autoalojamiento en infraestructura del propio responsable.

11. Transferencias internacionales

Hay que separar dos cosas que la práctica confunde.

El encargo no es una transferencia. Que el responsable entregue datos a Ofivia, y que Ofivia los entregue a un subencargado, es encargo de tratamiento en el sentido del artículo 34 de la ley ecuatoriana y de la normativa secundaria de la Superintendencia. Se rige por este contrato y por los contratos equivalentes que Ofivia firma con cada subencargado, no por el régimen de transferencias. Para el responsable domiciliado en el Ecuador eso se mantiene aunque el encargado esté constituido fuera: los datos se guardan y se tratan en la infraestructura del Ecuador, y lo que cruza la frontera es el contrato, no la base de datos.

La transferencia a un tercero que actúa como responsable sí lo es. Cuando eso ocurra, se apoya en un país reconocido como adecuado o en las garantías adecuadas que exige la ley ecuatoriana, incluida la sumisión expresa del destinatario a la jurisdicción, la normativa y las resoluciones de la autoridad ecuatoriana. Ofivia conserva por al menos tres años la documentación que respalda cada transferencia.

Para el responsable establecido en la Unión Europea, la entrega de datos a Ofivia es una transferencia del capítulo V del Reglamento. El importador es [razón social], en Estados Unidos. Desde ahí los datos se tratan en la infraestructura del Ecuador y por los subencargados del Anexo III. Ningún tramo de esa cadena se apoya en una decisión de adecuación: Ecuador no tiene, y la decisión de la Comisión Europea del 10 de julio de 2023 sobre Estados Unidos alcanza solo a las organizaciones certificadas en el marco UE-Estados Unidos de protección de datos, el Data Privacy Framework, y [razón social] no es una de ellas. La transferencia se apoya por lo tanto en las cláusulas contractuales tipo. El instrumento, los módulos, las partes y el estado de la evaluación de impacto están en el Anexo IV.

Ofivia no garantiza residencia de datos en un país determinado bajo la modalidad administrada. El responsable que necesite esa garantía puede optar por el autoalojamiento.

12. Prelación y cambios

En materia de protección de datos este documento prevalece sobre los términos del servicio y sobre cualquier otro anexo, salvo que el contrato firmado diga expresamente lo contrario.

Si este documento cambia, actualizamos la fecha del encabezado. Cuando el cambio afecte de manera sustancial las obligaciones de cualquiera de las partes, avisamos por correo con treinta días de anticipación.

Anexo I. Descripción del tratamiento

• Categorías de titulares: colaboradores del responsable con cuenta en la plataforma; personas mencionadas en los documentos, audios o videos que el responsable decida cargar; contactos con los que el responsable se comunique desde el correo o el chat de la plataforma; y quien reciba un enlace o una página que el responsable publique.
• Categorías de datos: datos identificativos y de contacto profesional, rol dentro de la organización, credenciales de acceso, registros de sesión y de consumo, y el contenido que el responsable cargue o genere, cuyo alcance decide él. Ese contenido incluye documentos, notas, mensajes, grabaciones de audio, transcripciones, imágenes, video, archivos adjuntos y el correo alojado en los buzones de su dominio.
• Datos sensibles: la plataforma no está diseñada para tratar categorías especiales de datos. Si el responsable decide cargarlos, debe informarlo por escrito para acordar medidas adicionales y evaluar si corresponde una evaluación de impacto previa.
• Operaciones: recolección, almacenamiento, indexación y búsqueda, consulta, transcripción de audio, generación de texto, imagen y video por los agentes, comunicación entre usuarios, llamadas, envío y recepción de correo, publicación hacia fuera cuando el responsable la activa, archivado en almacenamiento de objetos, respaldo y supresión.
• Duración: la de la cláusula 2.
• Frecuencia: continua, mientras el servicio esté activo.
• Destinatarios: los subencargados del Anexo III, cada uno limitado a lo que su función exige.

Anexo II. Medidas técnicas y organizativas

Las de la cláusula 5, con el detalle y las carencias declaradas en la página de seguridad. Ese anexo se actualiza cuando cambian las medidas, y el responsable recibe la versión vigente cuando la pida.

Anexo III. Subencargados

La página subencargados, en su versión vigente a la fecha del contrato y con las actualizaciones que se avisen conforme a la cláusula 6.

Anexo IV. Transferencias, cláusulas contractuales tipo y evaluación de impacto

Situación de partida

La cadena es esta: un responsable establecido en la Unión Europea, un importador en Estados Unidos que es [razón social], el encargado que firma este documento, y el tratamiento en sí realizado en la infraestructura del Ecuador y por los subencargados del Anexo III.

Ninguna decisión de adecuación cubre esa cadena.

• Ecuador no tiene decisión de adecuación de la Comisión Europea. Verificado el 18 de agosto de 2026 contra la lista oficial de decisiones de adecuación.
• Estados Unidos sí tiene una, adoptada el 10 de julio de 2023, pero alcanza únicamente a las organizaciones que se autocertifican en el marco UE-Estados Unidos de protección de datos, el Data Privacy Framework, y figuran en la lista que mantiene el Departamento de Comercio. [razón social] no está certificada ni figura en esa lista, así que esa decisión no cubre esta transferencia.

Por lo tanto, toda entrega de datos desde un responsable establecido en la Unión hacia Ofivia necesita una garantía del artículo 46 del Reglamento, y la garantía que se usa son las cláusulas contractuales tipo.

Instrumento, módulos y partes

Las partes incorporan las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea, con estas selecciones:

Las controversias que nazcan de esas cláusulas van a los tribunales del Estado miembro designado en su cláusula 18. Esa vía queda excluida del pacto de arbitraje de los términos del servicio: ni el acuerdo de arbitrar ante la American Arbitration Association ni la renuncia a la demanda colectiva se aplican a un reclamo presentado al amparo de estas cláusulas.

Un límite que preferimos declarar. El considerando 7 de la Decisión 2021/914 dice que esas cláusulas solo pueden usarse en la medida en que el tratamiento del importador no caiga bajo el Reglamento europeo. El importador no está establecido en la Unión, pero su tratamiento sí puede quedar alcanzado por el artículo 3 apartado 2 cuando ofrece el servicio a titulares en la Unión. La Comisión anunció un juego adicional de cláusulas para importadores en esa posición, y a la fecha de este documento no lo ha adoptado. Mientras no exista, las partes usan las cláusulas de 2021 junto con las obligaciones directas de este documento, y Ofivia se obliga a migrar los contratos dentro de los noventa días siguientes a la adopción del juego nuevo.

Evaluación de impacto de la transferencia: todavía no documentada

Las Recomendaciones 01/2020 del Comité Europeo de Protección de Datos piden que el exportador y el importador evalúen por escrito el derecho del país de destino y las medidas suplementarias que la transferencia necesita. Ofivia todavía no ha documentado esa evaluación. Está en la lista de pendientes, y Ofivia se obliga a tenerla escrita antes de incorporar al primer cliente con datos personales de la Unión Europea. No vamos a prometer un documento que no existe.

Lo que tendrá que cubrir, y cómo está la situación hoy:

1. Qué se transfiere y a dónde. Contenido del responsable hacia Estados Unidos, donde está el importador, desde ahí hacia el Ecuador, donde están los servidores y la bóveda, y desde ahí hacia los subencargados del Anexo III. Los destinos actuales están listados en esa página con su país.
2. Con qué instrumento. Las cláusulas contractuales tipo descritas arriba para el tramo del responsable europeo, y contratos de encargo equivalentes con cada subencargado.
3. Qué dice el derecho de los países de destino. Estados Unidos mantiene facultades de inteligencia de señales bajo la sección 702 de FISA y la Orden Ejecutiva 12333, que el Tribunal de Justicia de la Unión Europea examinó en Schrems II. La Orden Ejecutiva 14086 agregó límites de proporcionalidad y creó el Data Protection Review Court como vía de reparación, y esa vía no depende de que el importador esté certificado, pero tampoco sustituye el instrumento del artículo 46 para un importador que no lo está. Ecuador tiene una ley de protección de datos con autoridad de control activa y régimen sancionador en aplicación desde mayo de 2023, y sus normas de acceso de autoridades exigen orden judicial.
4. Medidas suplementarias. Cifrado en tránsito en todos los tramos; minimización de lo que sale, porque la indexación, la búsqueda y la transcripción corren en infraestructura propia y ese contenido no llega a ningún proveedor; enlaces firmados de vida corta para los archivos que un proveedor de generación debe descargar; prohibición contractual de entrenamiento con el contenido del responsable; compromiso de notificar al responsable cualquier requerimiento de una autoridad extranjera cuando la ley lo permita, y de impugnarlo cuando haya base para hacerlo; y la opción de autoalojamiento para quien no acepte este esquema.
5. Pasos formales. Las cláusulas se firman como anexo del contrato y sus anexos se completan con los datos de cada responsable.
6. Revisión. Al menos una vez al año, y cada vez que se incorpore o sustituya un subencargado.

Este anexo describe la situación tal como está hoy. No sustituye la revisión de un abogado habilitado, que sigue pendiente.