Política de Privacidad

1 Responsable del tratamiento

El responsable del tratamiento de los datos personales recabados a través de JacoSaaS es el Proveedor del servicio. El responsable actúa conforme a las disposiciones de la LOPDP (Ley Orgánica de Protección de Datos Personales, publicada en el Registro Oficial Suplemento 459 del 26 de mayo de 2021) y su Reglamento General.

Para ejercer sus derechos de protección de datos (acceso, rectificación, cancelación, oposición, portabilidad y limitación del tratamiento), el Usuario puede contactarnos en: privacidad@jacosaas.com

2 Datos que recopilamos

JacoSaaS recopila los siguientes tipos de datos:

2.1 Datos de registro y cuenta

• Nombre completo y correo electrónico del Usuario registrado.
• Datos del negocio: nombre comercial, RUC o Cédula de Identidad/Pasaporte (para configuración tributaria).
• Dirección del establecimiento (opcional, para configuración del negocio).
• Contraseña (almacenada en formato cifrado mediante bcrypt; jamás en texto plano).

2.2 Datos operativos del negocio

Los datos que el Usuario ingresa en la plataforma para gestionar su negocio:

• Productos e inventario: nombres, SKUs, precios de costo y venta, niveles de stock, historial de movimientos.
• Clientes: nombre, cédula/RUC, correo, teléfono, dirección. Estos datos son ingresados por el Usuario y corresponden a sus propios clientes.
• Proveedores: nombre, RUC, contacto.
• Ventas y compras: montos, fechas, ítems, formas de pago.
• Caja: movimientos de efectivo, aperturas y cierres.
• Gastos, bancos y contabilidad (según plan): gastos, cuentas bancarias y sus movimientos, cuadres con el estado de cuenta, deudas con proveedores, y los resúmenes que el sistema arma para el formulario 104 y el ATS.
• Comprobantes recibidos: facturas y otros comprobantes que los proveedores emitieron al Usuario. Se cargan a partir del reporte del SRI, los XML o las claves de acceso que el propio Usuario sube; con esas claves, JacoSaaS consulta al SRI el detalle de cada comprobante.
• Tienda en línea: productos, precios y fotos que el Usuario decide publicar en su catálogo público, y los pedidos que sus clientes envían desde ahí.

Estos datos son propiedad del Usuario (ver sección 6 de los Términos y Condiciones) y JacoSaaS los trata en calidad de encargado del tratamiento.

2.3 Firma electrónica (si aplica)

2.4 Datos técnicos y de uso

• Dirección IP y datos del navegador/dispositivo al momento de acceder a la plataforma.
• Registros de actividad (logs) para fines de seguridad y diagnóstico técnico.
• Cookies de sesión necesarias para el funcionamiento del servicio.

2.5 Datos recopilados a través de la aplicación móvil

JacoSaaS dispone de una aplicación oficial para Android (paquete com.jacosaas.app) distribuida a través de Google Play Store. Cuando el Usuario instala y usa la aplicación móvil, además de los datos descritos en las secciones anteriores, se recopilan:

• Token de notificaciones push (FCM): identificador anónimo generado por Firebase Cloud Messaging que permite enviar avisos del sistema (nueva venta, caja sin cerrar, anomalías, etc.) al dispositivo. Se elimina al desinstalar la app o cerrar sesión.
• Modelo y versión del dispositivo: usados únicamente para diagnóstico técnico y para excluir dispositivos con tokens FCM inválidos. No se vinculan a publicidad ni a terceros distintos de Firebase.
• Identificador de sesión móvil: token Sanctum equivalente al de la sesión web, almacenado de forma segura en el dispositivo. Sirve para mantener la sesión iniciada y no requiere reingresar credenciales en cada apertura.

La aplicación móvil NO recopila ubicación GPS, contactos, fotos, micrófono ni datos del calendario. Los permisos solicitados al instalar son exclusivamente: conexión a internet y notificaciones del sistema.

El Usuario puede desactivar las notificaciones push en cualquier momento desde los ajustes del dispositivo o desinstalar la aplicación para eliminar todos los datos locales.

3 Finalidades del tratamiento

JacoSaaS trata los datos personales para las siguientes finalidades:

4 Compartición de datos con terceros

JacoSaaS no vende, alquila ni comercializa los datos del Usuario ni de sus clientes. Los datos pueden ser compartidos únicamente en los siguientes supuestos limitados:

• Proveedores de infraestructura técnica (servidores, bases de datos): actúan como subencargados bajo contratos de confidencialidad y solo acceden a los datos para mantener el servicio.
• Servicio de Rentas Internas (SRI): exclusivamente cuando el Usuario ha activado la integración y para la transmisión de comprobantes electrónicos autorizados por el propio Usuario.
• Proveedores de servicios que hacen funcionar partes del sistema, solo con los datos necesarios para cada función: inteligencia artificial (Anthropic), mensajes de WhatsApp (Meta), medición de anuncios en las páginas públicas (píxel de Meta, ver sección 8), notificaciones al celular (Google Firebase), envío de correos y procesadores de pago (PayPhone u otros). El detalle está en la sección 9.
• Contador o despacho contable autorizado por el Usuario: cuando el propio Usuario crea un usuario contador o vincula su negocio a un despacho contable en JacoSaaS, esa persona accede a la información contable y tributaria del negocio con los permisos que el Usuario le asigne. El Usuario puede quitar ese acceso cuando quiera.
• Autoridades competentes: cuando exista una obligación legal, requerimiento judicial o administrativo debidamente fundado conforme a las leyes ecuatorianas.

En ningún otro caso se comparten datos con terceros.

5 Almacenamiento y seguridad

JacoSaaS implementa medidas técnicas y organizativas para proteger los datos, incluyendo:

• Arquitectura multi-tenant con aislamiento de datos por empresa (cada negocio opera en una base de datos independiente).
• Cifrado de contraseñas con bcrypt (factor de costo 12).
• Cifrado AES-256 para datos sensibles como la firma electrónica.
• Transmisión de datos protegida mediante HTTPS/TLS.
• Copias de seguridad diarias de las bases de datos, cifradas con AES-256, con acceso restringido y guardadas por un tiempo limitado (ver sección 6).
• Acceso a los servidores restringido por autenticación de doble factor.
• Monitoreo de accesos y registros de auditoría.

Sin embargo, ningún sistema es completamente invulnerable. En caso de una vulneración de seguridad que afecte datos personales, JacoSaaS avisará al Usuario tan pronto como sea posible y a más tardar en dos (2) días desde que tenga conocimiento, y notificará a la Superintendencia de Protección de Datos Personales (y a la ARCOTEL cuando corresponda) a más tardar en el término de cinco (5) días, conforme al artículo 43 de la LOPDP. Si existe riesgo para los derechos de las personas afectadas, también se les informará.

6 Retención de datos

• Los datos operativos del negocio se conservan mientras la cuenta esté activa.
• Al cancelar la cuenta, el Usuario tiene 30 días para exportar sus datos. Transcurrido ese plazo, los datos serán eliminados de forma permanente.
• Las copias de seguridad se rotan solas: se guardan las de los últimos 7 días, una por semana del último mes y una por mes del último año. Por eso, un dato eliminado puede seguir en una copia de seguridad hasta 12 meses, sin uso y solo para recuperación ante desastres, hasta que esa copia se borra.
• Las notificaciones del sistema leídas con más de 30 días de antigüedad son eliminadas automáticamente.
• Los registros de auditoría (logs de seguridad) se conservan por 12 meses por motivos de seguridad y cumplimiento legal.
• Los datos necesarios para el cumplimiento de obligaciones legales (por ejemplo, registros contables) pueden conservarse por el período que exija la normativa aplicable.

7 Derechos del titular de los datos

Conforme a la LOPDP, el Usuario tiene los siguientes derechos respecto a sus datos personales:

Para ejercer cualquiera de estos derechos, contáctenos en privacidad@jacosaas.com. Responderemos en un plazo máximo de 15 días hábiles.

8 Cookies

JacoSaaS utiliza únicamente las cookies estrictamente necesarias para el funcionamiento del servicio:

• Cookie de sesión: necesaria para mantener al Usuario autenticado mientras usa la plataforma. Se elimina al cerrar el navegador o al cerrar sesión.
• Cookie CSRF: protege contra ataques de falsificación de solicitudes entre sitios.

Además, solo en las páginas públicas de jacosaas.com (inicio, blog, registro y creación del negocio) usamos el píxel de Meta para medir qué anuncios de Instagram y Facebook traen registros. Puede guardar cookies propias de Meta (por ejemplo _fbp) y, al registrarte, enviamos a Meta tu correo cifrado de forma irreversible (hash) para atribuir el registro al anuncio. No se usa dentro del sistema de tu negocio, en tu catálogo ni con los datos de tus clientes. Puedes bloquearlo desde tu navegador o desde la configuración de anuncios de tu cuenta de Meta.

9 Integraciones y datos en servicios de terceros

9.1 Inteligencia Artificial (Anthropic Claude)

Las funciones de análisis con IA envían datos agregados del negocio (totales de ventas, nombres de productos, métricas de inventario) a la API de Anthropic, Inc. para generar análisis y recomendaciones. JacoSaaS no transmite datos personales identificables de los clientes finales del Usuario. Anthropic procesa estos datos bajo su propia política de privacidad. Los análisis generados se almacenan en la base de datos del tenant durante el tiempo de vigencia del caché configurado.

Asistente de Soporte. Cuando el Usuario escribe una pregunta al asistente, se envía a la IA únicamente el texto de esa pregunta y la lista de pantallas del sistema a las que su usuario tiene acceso, para entender qué necesita. Las cifras del negocio (ventas, ganancia, gastos, saldos) se calculan dentro de JacoSaaS y no se envían a la IA. El asistente respeta los permisos de cada rol: un usuario solo recibe los datos que ya puede ver en el sistema. Conforme a sus términos comerciales, Anthropic no usa los datos recibidos por su API para entrenar sus modelos. JacoSaaS no vende ni comparte estos datos (ver sección 4).

9.2 Conector WhatsApp Business (Meta)

Cuando el Usuario activa el Conector WhatsApp Business, JacoSaaS actúa como intermediario técnico entre el sistema del Usuario y la API de WhatsApp Business de Meta Platforms, Inc. En este contexto:

• El número de teléfono de los clientes finales a los que el Usuario envíe mensajes es procesado por la API de Meta bajo sus propias políticas de privacidad.
• JacoSaaS almacena los tokens de autenticación de la cuenta WhatsApp Business del Usuario de forma cifrada.
• El Usuario es el único responsable de obtener el consentimiento de sus clientes para recibir comunicaciones por WhatsApp.
• Los mensajes generados por IA para WhatsApp se procesan primero por Anthropic (ver 9.1) antes de ser enviados.

Reportes por WhatsApp. Si el Usuario lo activa, JacoSaaS le envía al número de WhatsApp que registró (y a los de su equipo que él indique) el cierre diario, el reporte mensual y avisos del negocio, desde un número de JacoSaaS. Estos mensajes viajan por WhatsApp, un servicio de Meta, y contienen cifras del negocio; no se envían a ningún otro número. El Usuario puede desactivarlos desde la configuración.

9.3 Conector MercadoLibre

Al activar el Conector MercadoLibre, el Usuario autoriza a JacoSaaS a acceder a su cuenta de vendedor en MercadoLibre mediante el protocolo OAuth 2.0. En este contexto:

• JacoSaaS almacena los tokens de acceso y actualización (access_token / refresh_token) de la cuenta MercadoLibre del Usuario de forma cifrada en la base de datos del tenant.
• Los datos de órdenes recibidas desde MercadoLibre (incluyendo datos de compradores como nombre y dirección de entrega) se almacenan en la base de datos del tenant del Usuario.
• JacoSaaS únicamente lee y escribe en MercadoLibre los datos necesarios para la sincronización de inventario, precios y órdenes. No accede a información bancaria ni financiera del Usuario en MercadoLibre.
• El Usuario puede revocar el acceso en cualquier momento desde MercadoLibre o desde la configuración del conector en JacoSaaS, momento en el cual los tokens serán eliminados.

9.4 Notificaciones push de la app móvil (Google Firebase)

La aplicación móvil de JacoSaaS para Android usa Firebase Cloud Messaging (FCM) de Google LLC para entregar notificaciones push al dispositivo del Usuario. En este contexto:

• Google recibe un token FCM anónimo asociado al dispositivo del Usuario, necesario técnicamente para que la notificación llegue.
• El contenido de las notificaciones (título y cuerpo de cada aviso) pasa por la infraestructura de Google únicamente durante el tránsito al dispositivo — Google declara no usarlo para publicidad ni análisis propios.
• JacoSaaS no envía datos de los clientes finales del Usuario en el cuerpo de las notificaciones móviles. Los avisos solo contienen información operativa del propio negocio del Usuario (ej. "Caja sin cerrar", "Nueva venta").
• Google procesa estos datos bajo su política de privacidad y su adenda de procesamiento de datos.
• El Usuario puede desactivar notificaciones desde los ajustes del sistema Android o desinstalar la app para eliminar el token.

9.5 Transferencias internacionales de datos

Los datos del Usuario se almacenan preferentemente en servidores en América Latina. El uso de servicios de terceros (Anthropic en EE.UU., Meta en EE.UU., Google Firebase en EE.UU., MercadoLibre con servidores en distintos países) implica transferencias internacionales de datos. JacoSaaS se asegura de que dichas transferencias cuenten con las garantías adecuadas conforme a la LOPDP.

10 Cambios a esta política

JacoSaaS puede actualizar esta Política de Privacidad para reflejar cambios en el servicio, en la legislación aplicable o en nuestras prácticas de privacidad. Los cambios serán notificados por correo electrónico y mediante aviso en la plataforma con al menos 15 días de anticipación.

11 Contacto y reclamaciones

Para cualquier consulta, solicitud de ejercicio de derechos o reclamación relacionada con la privacidad de sus datos:

• Correo: privacidad@jacosaas.com
• Formulario de soporte dentro de la plataforma.

Si considera que su solicitud no ha sido atendida adecuadamente, tiene derecho a presentar una reclamación ante la Superintendencia de Protección de Datos Personales del Ecuador.