Política de Privacidad y Protección de Datos Personales

Última actualización: Octubre 2026 | Versión 2.2

La presente Política de Privacidad describe cómo GestorWork (en adelante, "el Responsable" o "GestorWork") recopila, trata, conserva y protege los datos personales de sus usuarios y clientes, en cumplimiento de la Ley Orgánica de Protección de Datos Personales del Ecuador (LOPDP), publicada en el Registro Oficial Suplemento N° 459 del 26 de mayo de 2021, y su Reglamento.

1. Responsable del Tratamiento (Art. 6 LOPDP)

Campo	Información
Razón social	GestorWork
País de constitución	Ecuador
Correo de privacidad	info@gestor.work
Delegado de Protección de Datos	info@gestor.work
Autoridad supervisora	Autoridad de Protección de Datos Personales del Ecuador (AEPD)

2. Datos Personales que Tratamos (Art. 4 LOPDP)

2.1 Usuarios del sistema (operadores internos)

Categoría	Datos específicos	Fuente
Identificación	Nombre, apellido, correo electrónico, cédula	Registro del cliente
Contacto	Teléfono, dirección	Registro del cliente
Autenticación	Contraseña (almacenada con hash SHA-512 + salt)	Generado por el usuario
Actividad	Registros de inicio/cierre de sesión, IP, user-agent	Automático del sistema
Preferencias	Configuración de módulos y permisos	Administrador del cliente

2.2 Leads y contactos del CRM

Categoría	Datos específicos	Fuente
Identificación	Nombre, correo electrónico, cédula	Cliente importador
Contacto	Teléfono, ciudad, país, dirección	Cliente importador / scraping autorizado
Clasificación	Categoría, sector, tags, género, fecha de nacimiento	Cliente importador
Interacciones	Historial de mensajes WhatsApp, estado de campañas	Automático del sistema
Mensajería de redes sociales	Nombre o usuario público y mensajes que la persona envía por TikTok, Messenger o Instagram (ver 2.5)	La propia persona, a través de la red social

2.3 Datos de facturación y documentos

Nombre comercial, RUC/cédula, dirección, correo electrónico, datos de transacciones comerciales necesarios para la emisión de documentos tributarios.

2.4 Extensiones de navegador (Chrome)

Gestor.work ofrece dos extensiones de Chrome independientes, que el usuario instala y activa voluntariamente. Ninguna de las dos está afiliada al Servicio de Rentas Internas (SRI) ni a Produbanco.

Extensión	Datos que lee y envía a su cuenta de Gestor.work
Comprobantes electrónicos (portal SRI en línea)	Los comprobantes electrónicos (facturas, retenciones, notas de crédito y similares, en XML) y sus claves de acceso que el propio usuario consulta en su sesión del SRI, y el RUC de la empresa activa. No lee, solicita ni almacena el usuario ni la clave del SRI. Envía además datos técnicos de diagnóstico (versión, navegador, estado y mensajes de avance), con credenciales y claves redactadas antes de guardarse.
Transferencias Produbanco (Cash Management)	Solo la pantalla "Consulta de Transferencias": fecha y hora, monto, estado, tipo de servicio, beneficiario u ordenante y su identificación, cuentas de origen y destino, identificadores de orden y de comprobante, referencias, quién ingresó la transferencia y el RUC de la empresa activa. No lee claves del banco, no ejecuta operaciones (solo expande filas para ver el detalle) y no lee nada hasta que el usuario acepta el aviso de consentimiento dentro de la extensión.

Uso limitado. Estos datos se usan únicamente para prestar la función que el usuario activa (importar sus comprobantes y conciliar sus transferencias en su cuenta de Gestor.work). No se venden, no se usan para publicidad, perfilamiento ni evaluación crediticia, no se transfieren a terceros salvo lo indicado en la sección 6, y ninguna persona los lee salvo para soporte solicitado por el usuario o por obligación legal. Los datos viajan por HTTPS exclusivamente a gestor.work. En el navegador solo se guarda la API Key y las preferencias del usuario (almacenamiento local de la extensión). El usuario puede retirar su consentimiento en cualquier momento desde la extensión o desinstalándola, y ejercer sus derechos conforme a la sección 9.

2.5 Canales de mensajería de redes sociales (TikTok, Messenger e Instagram)

Una empresa cliente de Gestor.work puede conectar su propia cuenta de TikTok Business, su Página de Facebook (Messenger) y su cuenta profesional de Instagram para atender, desde la bandeja del CRM, los mensajes directos que las personas le escriben. Gestor.work actúa como encargado de tratamiento de la empresa cliente, que es la responsable de esa conversación.

Aspecto	Detalle
Cómo se conecta	Un administrador de la empresa cliente inicia sesión en la red social y autoriza expresamente la conexión (OAuth). Nunca pedimos ni guardamos la contraseña de la red social.
Qué datos recibimos	De la cuenta de la empresa: identificador, nombre de usuario y nombre visible. De la persona que escribe: su identificador en la red social, su nombre o usuario público y el contenido de los mensajes que ella envía (texto y, cuando el canal lo permite, indicación de imágenes o publicaciones compartidas). No accedemos a su lista de contactos, videos, mensajes con otras cuentas ni a otros datos de su perfil.
Quién inicia la conversación	Solo tratamos mensajes de personas que escribieron primero a la empresa. En TikTok, además, la empresa solo puede responder dentro de las 48 horas posteriores al último mensaje de la persona y hasta 10 mensajes seguidos sin que ella conteste. No enviamos mensajes masivos ni publicitarios por estos canales.
Para qué se usan	Exclusivamente para mostrar la conversación al equipo de la empresa cliente, permitirle responder y llevar el historial de atención. No se venden, no se usan para publicidad ni para elaborar perfiles y no se comparten con terceros distintos de los indicados en las secciones 6 y 7. Hoy las respuestas por TikTok las redactan personas del equipo de la empresa cliente; si en el futuro se activa asistencia con inteligencia artificial en estos canales, se informará en esta Política.
Seguridad	Las credenciales de acceso (tokens) que entrega la red social se guardan cifradas, no se muestran en el navegador y se renuevan o eliminan cuando la conexión vence o se desconecta. Los datos de cada empresa cliente están aislados de los de las demás.
Cómo se revoca	La empresa cliente puede desconectar la cuenta en cualquier momento desde CRM → Configuración → Canales, lo que elimina los tokens guardados y detiene la recepción de mensajes. También puede retirar el permiso desde los ajustes de seguridad de su cuenta de TikTok o de Meta.
Derechos de la persona que escribió	Puede solicitar acceso, rectificación o eliminación de sus mensajes a la empresa a la que escribió o directamente a Gestor.work en info@gestor.work (sección 9). Atenderemos la solicitud con la empresa responsable.

3. Finalidades y Bases de Legitimación (Art. 9-11 LOPDP)

Finalidad	Base de legitimación	Módulo
Prestación del servicio de gestión operativa	Contrato	Todos los módulos
Autenticación y control de acceso	Contrato	Login / Usuarios
Facturación electrónica y cumplimiento tributario	Obligación legal	Facturación
Gestión de leads y campañas de CRM	Interés legítimo / Consentimiento	CRM
Comunicaciones por WhatsApp	Interés legítimo / Consentimiento	WhatsApp CRM
Atención de mensajes directos de TikTok, Messenger e Instagram (la persona escribe primero)	Interés legítimo / Consentimiento	CRM
Seguridad, auditoría y trazabilidad	Interés legítimo	Logs / Auditoría
Gestión de activos y recursos humanos	Contrato	Activos / Gestión
Notificaciones operativas y alertas	Contrato	Todos

4. Datos Sensibles (Art. 22-25 LOPDP)

El sistema puede tratar datos sensibles cuando el cliente (empresas usuarias) así lo requiera para sus procesos internos. Entre estos se incluyen: datos de salud (en módulos de gestión de personal), datos biométricos (fotografías en expedientes civiles) y datos de origen étnico cuando son proporcionados voluntariamente.

El tratamiento de datos sensibles se realiza únicamente con:

• Consentimiento explícito del titular, o
• Habilitación legal expresa para la finalidad específica.

GestorWork no recopila ni trata por iniciativa propia datos sensibles de titulares ajenos a sus clientes directos.

5. Plazos de Conservación (Art. 9.e LOPDP)

Tipo de dato	Plazo de conservación	Fundamento
Datos de usuarios activos	Mientras el contrato esté vigente	Ejecución del contrato
Datos de usuarios tras baja	5 años adicionales	Obligaciones legales y comerciales
Documentos tributarios (facturas, retenciones)	7 años	Código Tributario Ecuador, Art. 94
Logs de auditoría y acceso	3 años	Seguridad e interés legítimo
Leads del CRM sin interacción	2 años desde el último contacto	Interés legítimo
Comunicaciones WhatsApp	1 año desde la última interacción	Interés legítimo
Mensajes de TikTok, Messenger e Instagram	1 año desde la última interacción	Interés legítimo
Registros de brechas de seguridad	5 años	Art. 41 LOPDP

Transcurridos los plazos, los datos son eliminados o anonimizados de forma segura.

6. Destinatarios (Art. 16 LOPDP)

Los datos personales no son vendidos ni cedidos a terceros con fines comerciales. Los datos pueden ser comunicados a:

• Encargados de tratamiento: proveedores de infraestructura (servidores en la nube), servicios de correo, servicios de mensajería, bajo acuerdos de confidencialidad y tratamiento de datos que garantizan niveles de seguridad equivalentes.
• Autoridades públicas: cuando exista obligación legal (SRI, Superintendencia de Compañías, autoridades judiciales).
• Empresas del grupo: en su caso, bajo los mismos estándares de protección.

7. Transferencias Internacionales (Art. 44-47 LOPDP)

GestorWork puede utilizar servicios alojados fuera de Ecuador, incluyendo:

Proveedor / Servicio	País	Garantía
Google Cloud / Vertex AI	Estados Unidos	Cláusulas contractuales estándar
Amazon Web Services (S3)	Estados Unidos	Cláusulas contractuales estándar
Meta (WhatsApp Business API, Messenger e Instagram)	Estados Unidos	Términos de servicio Meta + cláusulas contractuales
TikTok (TikTok API for Business, mensajería)	Según la región de la cuenta (Singapur / Estados Unidos)	Términos de servicio de TikTok para desarrolladores y empresas
OpenAI / Gemini	Estados Unidos	Acuerdo de procesamiento de datos del proveedor

Todas las transferencias se realizan con salvaguardas adecuadas conforme al Art. 44 de la LOPDP.

8. Medidas de Seguridad (Art. 30 LOPDP)

GestorWork implementa medidas técnicas y organizativas para proteger los datos personales, entre ellas:

• Cifrado de contraseñas: algoritmo SHA-512 con salt único por usuario.
• Transmisión segura: HTTPS/TLS en todas las comunicaciones.
• Control de acceso: autenticación mediante JWT con expiración, cookies HttpOnly.
• Autorización basada en roles: permisos granulares por módulo y sección.
• Registro de auditoría: log de accesos, modificaciones y eliminaciones sobre datos personales.
• Backups automáticos: copias de seguridad cifradas con rotación programada.
• Segregación de datos: arquitectura multi-tenant que aísla datos de cada empresa cliente.
• Sanitización de entradas: protección contra inyección MongoDB (express-mongo-sanitize).
• Notificación de brechas: procedimiento interno con plazo de 72 horas para notificación a la AEPD.

9. Sus Derechos ARCO+ (Art. 26 LOPDP)

Derecho	Descripción	Plazo de respuesta
Acceso	Conocer qué datos personales tratamos sobre usted, su origen, finalidad y destinatarios.	15 días hábiles
Rectificación	Corregir datos inexactos, incompletos o desactualizados.	15 días hábiles
Supresión / Eliminación	Solicitar la eliminación de sus datos cuando no sean necesarios para la finalidad original, o retire su consentimiento.	15 días hábiles
Portabilidad	Recibir sus datos en formato estructurado (JSON), legible por máquina, para trasladarlos a otro responsable.	15 días hábiles
Oposición	Oponerse al tratamiento de sus datos en determinadas circunstancias, especialmente para fines de marketing directo.	15 días hábiles
No-decisión automatizada	No ser objeto de decisiones con efectos jurídicos basadas únicamente en tratamiento automatizado, incluyendo perfilado.	15 días hábiles
Revocación del consentimiento	Retirar en cualquier momento el consentimiento previamente otorgado, sin efecto retroactivo.	Inmediato

Si considera que sus derechos no han sido atendidos correctamente, puede presentar una reclamación ante la Autoridad de Protección de Datos Personales del Ecuador (AEPD).

10. Datos de Menores de Edad (Art. 13 LOPDP)

Los servicios de GestorWork están destinados a empresas y a personas mayores de 18 años. No recopilamos conscientemente datos personales de menores de edad. Si detectamos que se han proporcionado datos de menores sin el consentimiento de sus representantes legales, procederemos a su eliminación inmediata.

En módulos específicos (gestión de becarios, personal de RRHH) donde puedan aparecer menores de edad como beneficiarios, el tratamiento se realiza sobre la base de la relación contractual con la institución cliente y con las salvaguardas adicionales requeridas por la ley.

11. Cookies y Tecnologías Similares

a) Cookies estrictamente necesarias. Imprescindibles para el funcionamiento del servicio; no requieren consentimiento:

Cookie	Tipo	Finalidad	Duración
authToken	Necesaria	Token de autenticación JWT (HttpOnly)	30 días
userID	Necesaria	Identificador de sesión del usuario	30 días
isAdmin	Necesaria	Rol de administrador (Secure)	30 días

b) Cookies de medición y publicidad (terceros). En nuestro sitio web público (no dentro de la aplicación que usan nuestros clientes) utilizamos herramientas de analítica y publicidad de terceros para entender cómo se usa el sitio y mejorar nuestras campañas:

Cookie / Tecnología	Proveedor	Finalidad	Duración
_ga, _gid	Google Analytics 4 (Google LLC)	Medición de uso y audiencia del sitio (IP anonimizada)	hasta 24 meses
_fbp, _fbc	Meta Pixel (Meta Platforms, Inc.)	Medición de conversiones y publicidad en Facebook/Instagram	hasta 90 días

La base de legitimación de estas tecnologías es nuestro interés legítimo (Art. 9-11 LOPDP) en medir y mejorar nuestra comunicación y publicidad. Funcionan bajo un modelo de oposición (opt-out): puedes rechazarlas en cualquier momento desde el banner de cookies del sitio; al rechazar, dejamos de cargarlas y eliminamos las cookies de terceros ya almacenadas. Estos proveedores pueden tratar los datos fuera de Ecuador (ver sección 7, Transferencias Internacionales).

Adicionalmente, cuando creas una cuenta enviamos a Meta una notificación del registro mediante su Conversions API (medición del lado del servidor), para evaluar la efectividad de nuestra publicidad. Esa notificación se asocia a un identificador de evento y a tu correo electrónico transmitido de forma cifrada (hash SHA-256), nunca en texto claro.

12. Marco Legal por País

GestorWork opera en múltiples países. Cada titular de datos queda amparado por la ley de protección de datos vigente en su país de residencia. A continuación se detalla el marco aplicable y los plazos de respuesta a solicitudes de derechos en cada jurisdicción:

El marco más estricto (GDPR) sirve como estándar base de toda nuestra operación. Para ejercer sus derechos indique su país en el formulario de solicitud y aplicaremos el plazo y el procedimiento que corresponde a su jurisdicción.

13. Cambios en esta Política

Podemos actualizar esta Política periódicamente para reflejar cambios en nuestras prácticas, mejoras del servicio o modificaciones normativas. Le notificaremos los cambios significativos mediante correo electrónico o aviso prominente en la plataforma con al menos 15 días de anticipación. La fecha de la última actualización siempre estará visible al inicio de este documento.

14. Contacto y Delegado de Protección de Datos