Acuerdo de Encargo de Tratamiento

Versión 1.1 · Vigente desde 04 de octubre de 2026 ·

Versión 1.1 · Vigente desde el 4 de octubre de 2026

Lo esencial en un minuto

Tema	Resumen
¿Qué es este documento?	Un contrato entre tu Organización (Responsable) y Yakindu (Encargado) para regular cómo Katyk procesa los datos personales de terceros que cargas en la Plataforma.
¿Cuándo aplica?	Cuando usas Katyk para procesar datos de tus propios clientes, proveedores, empleados o cualquier tercero.
¿Cuándo lo aceptas?	Al crear tu primera Organización con datos de terceros y, posteriormente, al cambiar de versión sustancialmente.
¿Quién es responsable de qué?	Tu Organización decide qué hace con esos datos; Yakindu los procesa para ti, con las garantías y límites de este DPA.
¿Yakindu puede usar tus datos para otra cosa?	No. Solo los procesamos para prestarte el servicio.
¿Subcontratamos partes del servicio?	Sí, a proveedores tecnológicos listados públicamente en `www.katyk.app/subprocesadores`. Tienes derecho a oponerte.

Si tu Organización requiere un DPA firmado en papel o con firma electrónica formal adicional, podemos atender ese requerimiento. Escribe a [email protected].

1. Partes del Acuerdo

Este Acuerdo de Encargo de Tratamiento (en adelante, "DPA") se celebra entre:

El Responsable del Tratamiento: la persona natural o jurídica titular de la cuenta o de la Organización en Katyk que carga, procesa, consulta o gestiona en la Plataforma datos personales de terceros (en adelante, "el Responsable" o "tú").
El Encargado del Tratamiento: Yakindu Cía. Ltda., sociedad ecuatoriana con Registro Único de Contribuyentes 1792455499001, domiciliada en el Distrito Metropolitano de Quito, Ecuador, propietaria de la marca Katyk (en adelante, "Yakindu" o "el Encargado").

2. Marco normativo

Este DPA se rige principalmente por:

La Ley Orgánica de Protección de Datos Personales del Ecuador (LOPDP), publicada en el Registro Oficial Suplemento 459 de 26 de mayo de 2021, y su Reglamento.
Las disposiciones aplicables del Código Civil, Código de Comercio y Código Tributario del Ecuador.
Los Términos y Condiciones de Uso de Katyk y la Política de Privacidad publicada en www.katyk.app/legal.

3. Objeto

El Responsable encarga al Encargado el tratamiento de los datos personales de terceros que el Responsable cargue, procese o gestione a través de Katyk, con la finalidad exclusiva de que el Encargado preste los servicios contratados.

El tratamiento se realiza por cuenta y bajo instrucción del Responsable. El Encargado no determina las finalidades del tratamiento. Los datos tratados bajo este DPA pertenecen al Responsable y a los titulares respectivos, no al Encargado.

4. Datos personales tratados

Las categorías de datos personales de terceros que el Encargado puede tratar en virtud de este DPA incluyen, sin estar limitadas a:

Datos de identificación de clientes y proveedores: nombre, razón social, identificación tributaria (RUC, cédula, pasaporte), tipo de contribuyente.
Datos de contacto de clientes y proveedores: correo electrónico, teléfono, dirección.
Datos contables y tributarios: facturas, notas de crédito, retenciones, declaraciones, asientos contables, libros.
Datos de empleados: identificación, fecha de nacimiento, dirección, cargas familiares, salarios, aportes, anticipos, beneficios sociales.
Datos de contadores externos y otros usuarios autorizados por el Responsable.
Datos derivados que el Responsable cargue o que la Plataforma genere a partir de los anteriores.

5. Categorías de titulares

Los titulares cuyos datos se tratan son las personas naturales que figuran en los registros del Responsable y que aparecen en la operación contable que el Responsable lleva a cabo a través de Katyk.

6. Duración

Este DPA tiene la misma vigencia que la relación contractual entre el Responsable y Yakindu. Termina cuando dicha relación termine, sin perjuicio de las obligaciones residuales del Encargado en materia de devolución y supresión (sección 13).

7. Obligaciones del Encargado

En virtud de este DPA, Yakindu se obliga a:

7.1 Limitación de finalidad

Tratar los datos personales únicamente para prestar los servicios contratados y conforme a las instrucciones del Responsable. No utilizar los datos personales para finalidades propias, salvo en forma agregada y anonimizada según la sección 7.7.

7.2 Confidencialidad

Mantener la confidencialidad de los datos personales y garantizar que el personal autorizado a tratarlos esté sujeto a obligaciones de confidencialidad equivalentes (contractualmente o por deber profesional).

7.3 Medidas de seguridad

Aplicar medidas técnicas y organizativas apropiadas para proteger los datos personales contra la destrucción accidental o ilícita, la pérdida, alteración, divulgación o acceso no autorizado. Las medidas se describen en términos generales en la sección 11.

7.4 Asistencia al Responsable

Brindar asistencia razonable al Responsable para que pueda atender:

Solicitudes de los titulares para ejercer sus derechos (acceso, rectificación, supresión, oposición, portabilidad).
Obligaciones de seguridad y notificación de brechas.
Evaluaciones de impacto cuando el Responsable las realice.
Consultas de la SPDP u otras autoridades.

7.5 Notificación de brechas

Notificar al Responsable sin demora indebida (objetivo: dentro de las setenta y dos (72) horas siguientes al conocimiento) cualquier brecha de seguridad que afecte los datos personales tratados bajo este DPA. La notificación incluye, en la medida disponible: naturaleza de la brecha, categorías y cantidad aproximada de titulares afectados, consecuencias probables, medidas adoptadas.

7.6 Subprocesadores

Yakindu utiliza proveedores tecnológicos externos (subencargados o subprocesadores) para prestar el servicio. El Responsable autoriza expresamente la utilización de los subprocesadores listados en www.katyk.app/subprocesadores al momento de aceptación de este DPA.

Yakindu puede agregar, reemplazar o retirar subprocesadores, comprometiéndose a:

Mantener la lista pública actualizada en www.katyk.app/subprocesadores.
Habilitar (próximamente) un mecanismo de suscripción para notificar cambios.
Suscribir con cada subprocesador un acuerdo que imponga obligaciones de protección de datos equivalentes a las de este DPA.

El Responsable puede objetar la incorporación de un nuevo subprocesador por motivos razonables relacionados con la protección de datos personales, comunicándolo por escrito al Encargado dentro de los treinta (30) días siguientes a la publicación del cambio. En tal caso, las partes buscarán de buena fe una solución alternativa. Si no fuera posible, el Responsable puede terminar el contrato sin penalidad.

7.7 Estadísticas anonimizadas

El Encargado puede generar estadísticas agregadas y completamente anonimizadas a partir del uso de la Plataforma, sin posibilidad de reidentificación, para mejorar el producto, generar reportes de mercado y benchmarks sectoriales. Por aplicación del artículo 4 de la LOPDP, los datos anonimizados quedan fuera del ámbito de la ley. Esta facultad NO incluye la cesión de datos personales identificables a terceros.

7.8 Asistencia con inteligencia artificial

En las funcionalidades en que el Encargado utilice herramientas de inteligencia artificial generativa de terceros, los datos involucrados se transmiten al proveedor de inteligencia artificial bajo las garantías contractuales estándar de ese proveedor. Las funcionalidades que la usan, los datos que se transmiten en cada una y el país de procesamiento se enumeran en la sección 5.1 de la Política de Privacidad de Katyk vigente, que es la lista de funciones de este DPA. El Responsable autoriza este uso al aceptar este DPA. El Responsable puede desactivar el uso de inteligencia artificial para su Organización desde la configuración de la Plataforma.

8. Transferencias internacionales

Yakindu utiliza subprocesadores localizados fuera del Ecuador, principalmente en Estados Unidos y la Unión Europea. Estas transferencias internacionales se realizan al amparo de cláusulas contractuales estándar de los proveedores correspondientes y conforme a los artículos 56 al 61 de la LOPDP.

9. Derechos de los titulares

Cuando un titular contacta directamente a Yakindu ejerciendo derechos sobre datos tratados bajo este DPA, Yakindu trasladará la solicitud al Responsable sin atenderla unilateralmente, salvo que la solicitud sea de naturaleza puramente técnica (consulta sobre un usuario de la Plataforma, por ejemplo) o cuando la atención sea claramente atribución del Encargado.

El Responsable es responsable de responder en plazo a los titulares conforme a la LOPDP, asistido por Yakindu cuando sea técnicamente necesario.

10. Auditoría

A pedido razonable del Responsable, Yakindu pone a disposición la información necesaria para demostrar el cumplimiento de las obligaciones del presente DPA, incluyendo:

La Política de Privacidad pública.
El listado actualizado de subprocesadores.
Reportes resumidos de seguridad e incidentes (no detallados por confidencialidad).
Respuestas a cuestionarios estándar de seguridad (por ejemplo, SIG o CAIQ) cuando estén disponibles.

Auditorías presenciales o documentales en profundidad pueden organizarse por acuerdo entre las partes con costos a cargo del Responsable solicitante, programadas con anticipación razonable y respetando confidencialidad y operativa del Encargado. Si el Responsable es a su vez auditado por la SPDP o por una autoridad pública, Yakindu asistirá razonablemente.

11. Medidas de seguridad

Yakindu aplica medidas técnicas y organizativas apropiadas y proporcionales al riesgo. Entre ellas:

Cifrado en tránsito (TLS) para todas las comunicaciones con la Plataforma.
Cifrado en reposo de información sensible en la base de datos cuando corresponde.
Controles de acceso basados en roles y mínimo privilegio.
Aislamiento por organización (multitenant): cada Responsable solo accede a su propia información mediante el header X-Organization-Id validado por el servidor.
Monitoreo y logging centralizado de eventos de seguridad.
Copias de respaldo periódicas con retención adecuada.
Procedimiento documentado de notificación de brechas.
Formación periódica del equipo en seguridad y protección de datos.
Acuerdos de confidencialidad con personal interno y subprocesadores.
Separación de entornos de desarrollo, prueba y producción.

Estas medidas se actualizan conforme evoluciona el estado del arte y las amenazas.

12. Acceso del equipo Katyk a datos del Responsable

El personal de Yakindu puede acceder a la información del Responsable únicamente cuando sea estrictamente necesario para:

Brindar soporte técnico a una solicitud del Responsable.
Diagnosticar y resolver incidentes operativos.
Cumplir requerimientos legales o de autoridades.
Mejorar el producto con datos efectivamente anonimizados.

Estos accesos se registran en logs internos. Próximamente habilitaremos un registro de impersonación auditable accesible al Responsable.

13. Devolución y supresión al cese

Cuando termine la relación contractual entre el Responsable y Yakindu, a elección del Responsable y dentro de un plazo razonable (mínimo treinta (30) días):

Yakindu pondrá a disposición la información del Responsable en formato estructurado y de uso común para descarga.
Pasada la ventana de descarga, Yakindu eliminará los datos personales tratados bajo este DPA, salvo los registros que una ley aplicable obligue a conservar (notablemente respaldos contables por siete años conforme al artículo 95 del Código Tributario). Los datos en custodia legal se mantienen en acceso restringido únicamente para defensa, requerimientos de autoridad o cumplimiento normativo.
Las copias de respaldo activas se purgan en los ciclos normales de rotación (90 días máximo).

14. Responsabilidad

Cada parte responde por el cumplimiento de las obligaciones que este DPA le impone. La responsabilidad del Encargado frente al Responsable por incumplimiento de este DPA se limita conforme a lo previsto en los Términos y Condiciones de Uso, sin perjuicio de la responsabilidad indelegable que ambos puedan tener frente a los titulares y a las autoridades en sus respectivos roles.

15. Modificaciones al DPA

Yakindu puede actualizar este DPA. Cambios sustanciales se notifican con al menos 30 días de anticipación. Si el Responsable no acepta la nueva versión, puede terminar el contrato sin penalidad antes de la fecha de entrada en vigor.

16. Disposiciones varias

Cesión: el Responsable no puede ceder este DPA sin consentimiento del Encargado. El Encargado puede cederlo en el marco de operaciones corporativas, informando al Responsable.
Divisibilidad: la nulidad de una cláusula no afecta la validez de las demás.
Idioma: el idioma oficial del DPA es el español.

17. Ley aplicable y resolución de conflictos

Este DPA se rige por la ley ecuatoriana. Cualquier controversia que no se resuelva amistosamente se somete al procedimiento de resolución de disputas previsto en los Términos y Condiciones de Uso (reclamo directo, mediación en el Centro de Arbitraje y Mediación de la Cámara de Comercio de Quito, arbitraje en derecho), con las mismas excepciones aplicables a las materias de orden público.

18. Forma de aceptación

Aceptas este DPA por una o varias de las siguientes vías, todas igualmente válidas:

Al activar tu primera Organización con datos personales de terceros en Katyk y confirmar la aceptación electrónica del DPA en la interfaz de la Plataforma.
Al confirmar por correo electrónico desde tu cuenta de Responsable o representante legal hacia [email protected].
Mediante firma electrónica reconocida o firma manuscrita, cuando así lo solicites por escrito.

Cada aceptación queda registrada con identificador único, fecha y hora, dirección IP, navegador utilizado, versión del DPA aceptada y hash criptográfico del contenido aceptado.

Yakindu Cía. Ltda. · RUC 1792455499001 · Distrito Metropolitano de Quito, Ecuador.

¿Necesitas una versión anterior? Escríbenos a [email protected].