Aviso de privacidad

1. Responsable del tratamiento

• Razón social: GOLEMSERVICE S.A.S. (“Golem”)
• RUC: 0195113076001
• Domicilio: Federico Proaño 09-65 y Av. 10 de Agosto, parroquia Sucre, Cuenca, Azuay, Ecuador.
• Correo para temas de datos personales: [email protected], con el asunto “Protección de datos”.
• Sitio web: golem.ec

---

2. Definiciones

• Dato personal: información que identifica a una persona natural o permite identificarla.
• Titular: la persona natural a quien se refieren los datos.
• Tratamiento: cualquier operación con datos personales, como recogerlos, guardarlos, usarlos, enviarlos o eliminarlos.
• Responsable: quien decide para qué y cómo se tratan los datos.
• Encargado: quien trata datos por cuenta de un responsable y siguiendo sus instrucciones.
• Servicio: la aplicación Golem Facturación en facturacion.golem.ec, su API y el sitio golem.ec. En este aviso, el servicio incluye todas las páginas de golem.ec.
• Empresa: el contribuyente registrado en el servicio con su RUC.
• Titular de la cuenta: la persona natural o jurídica que registró la empresa y aceptó los términos.
• Usuario adicional: la persona a quien el titular de la cuenta da acceso a la cuenta de su empresa.
• Usuario: la persona que tiene acceso al servicio, sea el titular de la cuenta o un usuario adicional.
• SPDP: Superintendencia de Protección de Datos Personales.
• Días hábiles: de lunes a viernes, excepto los feriados nacionales. Cuando un plazo dice solo “días”, se cuentan todos los días del calendario.

---

3. Dos papeles distintos: responsable y encargado

3.1 Golem como responsable

Golem es responsable de los datos que necesita para darte el servicio y relacionarse contigo:

• los datos de registro y de la cuenta;
• los datos de acceso de todos los usuarios: correo de usuario, contraseña, fecha del último inicio de sesión y registros técnicos del acceso;
• los pagos y los reembolsos;
• el soporte;
• la seguridad;
• la navegación en golem.ec y en la aplicación.

Este aviso trata sobre esos datos.

3.2 Golem como encargado

Cuando usas el servicio para emitir comprobantes, cargas datos de otras personas:

• tus clientes y demás receptores de comprobantes;
• los sujetos de tus retenciones;
• los destinatarios y transportistas de tus guías de remisión;
• tus proveedores y contactos;
• los datos de perfil de tus usuarios adicionales: nombres, apellidos, dirección, teléfono, permisos y establecimientos asignados.

Respecto de esos datos, el responsable es tu empresa. Golem los trata solo por cuenta de tu empresa y según sus instrucciones. Las reglas de ese encargo están en la sección 15 de los términos y condiciones.

Los comprobantes que tu empresa emite en el ambiente de pruebas del SRI no se envían al receptor. El correo va a un buzón de Golem, que solo lo usa para verificar el funcionamiento del servicio.

3.3 Si recibiste un comprobante emitido con Golem

Si recibiste un comprobante emitido con Golem y quieres ejercer tus derechos, dirígete a la empresa que lo emitió. Si escribes a Golem, Golem reenvía tu solicitud a esa empresa en un máximo de 2 días hábiles y te lo informa.

3.4 Si eres usuario adicional

• Golem es responsable de tus datos de acceso (sección 3.1) y atiende tus solicitudes sobre ellos.
• Tus datos de perfil los registró la empresa que te dio acceso, que es su responsable. Para ejercer tus derechos sobre ellos, dirígete a esa empresa. Si escribes a Golem, se aplica lo indicado en la sección 3.3.

---

4. Qué datos trata Golem

Golem no recibe ni guarda el número completo de tu tarjeta ni su código de seguridad. Esos datos se ingresan en el formulario de Payphone.

Golem no trata datos sensibles de sus usuarios.

---

5. De dónde obtiene Golem los datos

• De ti: los que ingresas al registrarte, al configurar tu empresa, al pagar o al escribir a Golem.
• Del catastro público del SRI. Al escribir el RUC en el registro, el servicio consulta el catastro del SRI y obtiene la razón social y el tipo de persona. Al crear la cuenta obtiene también, si están disponibles, el régimen, la obligación de llevar contabilidad, el nombre comercial y la dirección de la matriz.
• De Payphone: los datos del pago que Payphone devuelve cuando se aprueba la transacción.
• Del titular de la cuenta: los datos de los usuarios adicionales que registra. Los términos le piden informarte antes de registrarte.
• De tu navegador: la dirección IP y los datos técnicos que envía al visitar el sitio o la aplicación.

---

6. Para qué usa Golem los datos y con qué base legal

Las bases legales son las del artículo 7 de la LOPDP.

Golem no vende datos personales.

Golem no usa para fines propios los datos que tu empresa carga como responsable.

Si Golem quisiera usar tus datos para una finalidad nueva, te lo informará antes y, si la base es el consentimiento, te lo pedirá.

---

7. Datos obligatorios y efectos de no entregarlos

• Registro: todos los campos del formulario son obligatorios. Sin ellos no se puede crear la cuenta.
• Correo: si es incorrecto, no recibirás el enlace para crear la contraseña ni los avisos del servicio.
• Datos de la empresa: si son incorrectos, el SRI puede rechazar tus comprobantes o estos pueden salir con datos equivocados.
• Firma electrónica: sin ella no puedes emitir comprobantes electrónicos.
• Pagos: los datos que pide Payphone son necesarios para procesar el pago.
• Cookies de analítica y publicidad: son opcionales. Si las rechazas, el servicio funciona igual.
• Mensajes comerciales: son opcionales y no afectan al servicio.

---

8. Con quién comparte Golem los datos

Además:

1. Amazon Web Services, Cloudflare y el proveedor de servidores actúan como encargados de Golem. Tratan los datos solo para prestar su servicio a Golem.
2. Google y Meta tratan los datos también para sus propios fines, según sus propias políticas de privacidad.
3. Payphone es responsable de los datos que ingresas en su formulario de pago y los trata según su propia política de privacidad. Golem le envía el monto y la referencia de la compra. Payphone devuelve a Golem el resultado del pago y los datos indicados en la sección 4.
4. Si esta lista cambia, Golem actualiza este aviso según la sección 21.

---

9. Datos que se tratan fuera del Ecuador

9.1 Encargados de Golem

Amazon Web Services (Estados Unidos, región us-east-1), Cloudflare (centros de datos en varios países) y el proveedor de servidores de la sección 8, cuyos servidores pueden estar fuera del Ecuador, tratan datos solo por cuenta de Golem.

Según la ley ecuatoriana, el acceso de un encargado para prestar un servicio a Golem no es una transferencia de datos (LOPDP, art. 34; Resolución SPDP-SPD-2026-0004-R, art. 23).

9.2 Terceros que usan los datos también para sus propios fines

• Google reCAPTCHA en el registro. Se usa porque es necesario para atender tu solicitud de registro (LOPDP, art. 60, num. 4).
• Google reCAPTCHA y Google Fonts en la aplicación. La aplicación carga el programa de reCAPTCHA y su tipo de letra desde servidores de Google. Google recibe tu dirección IP y los datos técnicos de tu navegador.
• Google Analytics y Meta Pixel. Solo se activan si das tu consentimiento explícito en el aviso de cookies, después de conocer esta transferencia y sus riesgos (LOPDP, art. 60, num. 2).

En esos países la ley puede no dar el mismo nivel de protección que la ley ecuatoriana. Sus autoridades podrían pedir acceso a los datos según sus propias normas.

---

10. Cuánto tiempo guarda Golem los datos

Al vencer cada plazo, los datos se eliminan o se anonimizan. Si una ley obliga a conservarlos más tiempo, se bloquean: se guardan con acceso restringido y solo se usan para cumplir esa obligación.

Los datos que Golem trata como encargado de tu empresa se conservan según la sección 11 de los términos.

---

11. Seguridad

Golem aplica medidas técnicas y organizativas para proteger los datos. Entre ellas:

• las comunicaciones entre tu navegador y el servicio van cifradas (HTTPS), y el navegador está obligado a usar siempre la conexión cifrada;
• las contraseñas se guardan transformadas con un algoritmo (bcrypt) que no permite recuperar el texto original;
• la sesión en la aplicación vence a las 8 horas y se guarda solo en la pestaña del navegador, que la borra al cerrarse;
• la clave de la firma electrónica no se muestra ni se devuelve en la aplicación, en la API ni en correos;
• el acceso a los servidores está restringido al personal que opera el servicio.

Estas medidas reducen los riesgos, pero ningún sistema los elimina por completo. Tú también ayudas a proteger tus datos:

• usa una contraseña que no uses en otros sitios;
• no compartas tus credenciales ni tus tokens de API;
• cierra la sesión en equipos compartidos.

---

12. Vulneraciones de seguridad

Si ocurre una vulneración de seguridad que afecte a datos personales:

1. Golem notifica la vulneración a la SPDP y a la Agencia de Regulación y Control de las Telecomunicaciones (ARCOTEL) en un máximo de 5 días hábiles desde que la conoce. No lo hace si es improbable que genere un riesgo para las personas.
2. Si la vulneración pone en riesgo tus derechos, Golem te avisa en un máximo de 3 días hábiles, en lenguaje claro. El aviso explica lo ocurrido, sus posibles consecuencias, las medidas tomadas y lo que puedes hacer.
3. Si la vulneración afecta a datos que Golem trata como encargado, avisa a la empresa responsable en un máximo de 2 días hábiles.

---

13. Tus derechos

Como titular de datos personales tienes derecho a:

• Información: conocer cómo se tratan tus datos, que es lo que describe este aviso.
• Acceso: saber qué datos tuyos trata Golem y obtener una copia.
• Rectificación y actualización: corregir los datos inexactos o incompletos.
• Eliminación: pedir que se borren tus datos cuando ya no sean necesarios, cuando retires tu consentimiento o en los demás casos de la ley.
• Oposición: pedir que no se traten tus datos para una finalidad, en especial para mensajes comerciales.
• Portabilidad: recibir tus datos en un formato estructurado y de uso común, o pedir que se envíen a otro responsable.
• Suspensión del tratamiento: pedir que se detenga el tratamiento mientras se resuelve una reclamación u otros casos de la ley.
• No ser objeto de decisiones basadas solo en tratamientos automatizados que te afecten de forma significativa (sección 19).
• Revocar tu consentimiento en cualquier momento, con la misma facilidad con que lo diste. La revocación no afecta al tratamiento hecho antes.

Algunos derechos tienen límites legales. Por ejemplo, Golem no puede eliminar una factura que está obligado a conservar. Si Golem no puede atender tu pedido, te explica el motivo.

---

14. Cómo ejercer tus derechos

14.1 Cómo presentar la solicitud

1. Escribe a [email protected] con el asunto “Protección de datos”, o envía una carta al domicilio de Golem.
2. Incluye:
   • tus nombres y tu número de cédula o pasaporte;
   • el derecho que quieres ejercer y los datos a los que se refiere;
   • un correo o dirección para responderte;
   • una copia de tu documento de identidad, o firma la solicitud con tu firma electrónica.
3. Si actúas en nombre de otra persona, adjunta el documento que acredita tu representación.
4. Ejercer tus derechos es gratuito.

14.2 Plazos

1. Golem responde en un máximo de 10 días hábiles desde que recibe la solicitud completa.
2. Si falta información, Golem te la pide una sola vez, en un máximo de 5 días hábiles. Tienes 10 días hábiles para completarla. Si no la completas, Golem archiva la solicitud y te lo notifica con las razones. Puedes presentar una nueva en cualquier momento.
3. La suspensión del tratamiento y la revocación del consentimiento se aplican en un máximo de 3 días hábiles.
4. Si pides la eliminación y procede, Golem te entrega un documento que acredita la eliminación.

Golem lleva un registro de las solicitudes que recibe y de cómo las atendió.

---

15. Reclamo ante la autoridad

Si Golem no responde a tiempo o no estás de acuerdo con la respuesta, puedes presentar un reclamo ante la Superintendencia de Protección de Datos Personales (SPDP):

• En línea: en el módulo de denuncias del sistema SISPDP, desde spdp.gob.ec, en “Servicios en línea”.
• Por correo: [email protected]
• Sitio web: https://spdp.gob.ec

Esto no impide que ejerzas otras acciones legales.

---

16. Cookies y tecnologías similares

16.1 Qué tecnologías usa Golem

16.2 Cómo se piden y cómo se desactivan

1. Las tecnologías necesarias se usan porque sin ellas el sitio o el servicio no funcionan o no son seguros.
2. Google Analytics y Meta Pixel solo se cargan si los aceptas en el aviso de cookies. Ese aviso te deja aceptar, rechazar o elegir por tipo, con la misma facilidad.
3. Si no eliges nada, no se cargan.
4. Puedes cambiar tu elección en cualquier momento desde el enlace “Configurar cookies” del pie de página.
5. También puedes borrar o bloquear las cookies desde la configuración de tu navegador. Si bloqueas las necesarias, es posible que el registro o la aplicación no funcionen.
6. Retirar tu consentimiento detiene la carga desde ese momento. Los datos que ya se enviaron a Google o a Meta se rigen por sus políticas.
7. La página de creación de la contraseña no carga Google Analytics ni Meta Pixel en ningún caso.

---

17. Mensajes comerciales

1. Golem solo te envía mensajes comerciales o información sobre nuevas funciones si das tu consentimiento aparte. Aceptar los términos no incluye ese consentimiento.
2. Cada mensaje comercial incluye un enlace para darte de baja.
3. También puedes darte de baja escribiendo a [email protected].
4. La baja rige desde que Golem la recibe y no afecta a los correos necesarios del servicio.

---

18. Menores de edad

1. El servicio es para contribuyentes mayores de 18 años y para quienes actúan en su nombre. No se ofrece a menores de edad.
2. Si Golem detecta que un menor se registró sin su representante legal, se lo informa al titular de la cuenta. Luego elimina los datos del menor, salvo que una ley obligue a conservarlos.

---

19. Decisiones automatizadas

1. En el formulario de registro, Google reCAPTCHA evalúa de forma automática si quien lo envía es una persona o un programa. Si no supera la comprobación, el formulario no se envía.
2. El servicio también limita los intentos de inicio de sesión, de registro y de recuperación de la contraseña. El límite se cuenta por dirección IP y, en algunos casos, por usuario, en un periodo corto. Los intentos que lo superan se bloquean por un tiempo.
3. Si una de estas comprobaciones te impide registrarte o ingresar, escribe a [email protected] y una persona revisará tu caso.
4. Golem no elabora perfiles de sus usuarios ni toma otras decisiones automatizadas que los afecten.
5. Si aceptas Meta Pixel, Meta puede usar tus datos de navegación para mostrarte anuncios según sus políticas.

---

20. Delegado de protección de datos

1. Las consultas sobre protección de datos se reciben en [email protected], con el asunto “Protección de datos”.
2. Cuando Golem registre ante la SPDP la designación de su delegado de protección de datos, publicará en este aviso su nombre y su contacto.

---

21. Cambios a este aviso

1. Si Golem cambia este aviso de forma importante, te avisa por correo al menos 15 días antes de que rija la nueva versión.
2. Si el cambio requiere tu consentimiento, Golem lo pide de forma expresa.
3. Puedes pedir a [email protected] una copia de cualquier versión anterior de este aviso, con su fecha de vigencia.
4. Esta es la versión 1.0, vigente desde el 26 de septiembre de 2026.