Contrato de encargo del tratamiento (AVV)

1. Partes y objeto

Este contrato de encargo del tratamiento (AVV) se celebra entre tu negocio —agencia de viajes, taller, bodega de bebidas o cliente de alguno de los servicios de Michinauta— como responsable del tratamiento, y Michinauta como encargado del tratamiento. Forma parte de los términos de servicio (AGB) que aceptaste y se aplica siempre que Michinauta trate datos personales por tu cuenta para prestarte el servicio contratado. Rige tanto bajo el Reglamento general de protección de datos (RGPD, art. 28), porque el establecimiento de Michinauta está en Alemania, como bajo la Ley Orgánica de Protección de Datos Personales de Ecuador (LOPDP, art. 34) y su Reglamento, porque tu negocio suele estar establecido en Ecuador y responde por los datos de sus propios clientes.

2. Naturaleza, finalidad y duración

El tratamiento consiste en almacenar, alojar, transmitir y respaldar los datos personales que cargas o que se generan al usar el servicio: la gestión de clientes, productos, pedidos o reservas, la contabilidad y la facturación electrónica, y el resto de funciones del producto que contrataste. La finalidad es únicamente prestarte ese servicio según el contrato principal. La duración de este AVV es la misma que la del contrato principal: comienza cuando empiezas a usar el servicio y termina cuando ese contrato termina, sin perjuicio de lo previsto en la sección 10 sobre supresión o devolución al terminar.

3. Tipos de datos y categorías de titulares

Los titulares de los datos son, por un lado, los clientes de tu negocio (las personas o empresas a las que atiendes) y, por otro, los usuarios que tu negocio da de alta para usar la plataforma. Los datos tratados incluyen:

Identificación y contacto: nombre o razón social, identificación (cédula, RUC), dirección, teléfono y email de los clientes de tu negocio.
Datos fiscales: los que exige emitir un comprobante electrónico (facturas, notas de crédito) a nombre de tu negocio.
Pedidos, reservas y vehículos: según el producto, cotizaciones y expedientes de viaje, órdenes de trabajo del taller y los vehículos asociados, o pedidos de la bodega.

Michinauta no espera tratar categorías especiales de datos (art. 9 del RGPD; datos sensibles según la LOPDP), como datos de salud, biométricos o de afiliación sindical o religiosa. No cargues ese tipo de datos en la plataforma salvo que sea estrictamente necesario para el servicio que contrataste; si lo es, avisa a Michinauta por escrito antes de hacerlo, conforme a la sección 4.

4. Instrucciones

Michinauta trata los datos personales solo siguiendo tus instrucciones documentadas. El uso ordinario de las funciones del producto ya es, en sí mismo, una instrucción documentada. Cualquier instrucción adicional o distinta debe darse por escrito (email a info@michinauta.com u otro canal que acordemos). El tratamiento en las ubicaciones de los subencargados de la sección 7, incluidos los que están fuera de Suiza y de la Unión Europea, se hace por instrucción documentada tuya, que das al aceptar este AVV.

Si Michinauta considera que una instrucción viola el RGPD, la LOPDP o cualquier otra norma de protección de datos aplicable, te lo informa antes de ejecutarla. Michinauta no usa los datos para ningún fin propio ni para uno distinto del que motivó el encargo.

5. Confidencialidad del personal

El personal de Michinauta que tiene acceso a los datos personales que tratas está sujeto a un deber de confidencialidad, ya sea por ley, por contrato o por un compromiso expreso, y solo accede a los datos que necesita para su función (acceso mínimo necesario).

6. Medidas técnicas y organizativas (TOM)

Michinauta aplica estas medidas sobre la infraestructura del ERP:

Ubicación: los servidores están en Suiza (Infomaniak Public Cloud).
Cifrado en tránsito: todo el tráfico público usa HTTPS.
Cifrado de la firma electrónica: la firma electrónica (.p12) se guarda cifrada con una clave dedicada.
Respaldos: backups diarios de la base de datos, con retención local de 14 días, replicados y cifrados de extremo a extremo en Swiss Backup (Infomaniak, Suiza) con retención de 90 días.
Aislamiento por cliente: cada negocio registrado tiene un espacio aislado (multi-tenant) con sus propios usuarios, datos y configuración.
Control de acceso: acceso basado en roles dentro de cada negocio.
Registros de acceso: se conservan y se eliminan a los 90 días.
Límites de solicitudes: rate limiting para contener abusos y ataques.
Autenticación de dos factores: disponible para los usuarios, quienes pueden activarla desde su cuenta.

Estas medidas pueden actualizarse para mantener o mejorar el nivel de protección, sin reducirlo por debajo del descrito aquí.

7. Subencargados

Autorizas con carácter general a Michinauta a recurrir a estos subencargados:

Infomaniak Network SA (Suiza): alojamiento y respaldos.
Zoho Corporation B.V. (Países Bajos): envío de los correos de la plataforma, con datos en la UE (Países Bajos e Irlanda).
Cloudflare, Inc. (Estados Unidos): entrega y protección del sitio; se apoya en el Marco de Privacidad de Datos UE-EE. UU. (DPF) y en cláusulas contractuales tipo.
Anthropic PBC (Estados Unidos): solo cuando la función correspondiente está disponible y habilitas y aceptas expresamente el asistente de Ayuda, la carga de catálogo o Análisis con IA; se apoya en cláusulas contractuales tipo. El asistente envía el texto de la pregunta y contenido de Michinauta ya publicado. Si lo usas para cargar el catálogo, también envía la foto que eliges subir; esa foto puede contener nombres, RUC u otros datos de terceros visibles en ella. En Michi Viajes, Michi Taller y Michi Bodega, Análisis con IA (plan Pro), cuando ANALISIS_IA_ENABLED está habilitado y el administrador lo acepta expresamente, envía sobre los últimos 30 días solo cifras agregadas del negocio, como ventas o facturación, margen, cuentas por cobrar y otros totales; no envía registros sin agregar, nombres de clientes, pasajeros o productos, placas, cédulas, RUC, firmas electrónicas ni contraseñas. En Michi Bodega, el administrador lo acepta expresamente con el mismo aviso del asistente de Ayuda. Por defecto, Anthropic no los usa para entrenar sus modelos. Anthropic borra lo enviado y lo respondido dentro de los 30 días, salvo que su sistema automático lo marque como posible infracción de su política de uso, en cuyo caso puede conservarlo hasta 2 años, o que la ley le exija conservarlo.

Stripe Payments Europe, Ltd. (Irlanda) y Triple A Technologies Pte. Ltd. (Singapur) tratan únicamente los datos de facturación propios de Michinauta, como proveedores independientes de Michinauta, y no los datos del ERP de tu negocio. Por eso no son subencargados en el sentido de este AVV.

El SRI y Payphone tampoco son subencargados. El SRI recibe los comprobantes electrónicos que tu negocio está obligado por ley a emitir, y Michinauta se los transmite por tu instrucción. Payphone es la pasarela de pago propia de tu negocio: se activa con las credenciales que tu negocio carga, Michinauta no custodia ese dinero y, cuando un cliente paga, Payphone recibe el monto y una referencia. En ambos casos los datos salen por instrucción tuya, como responsable del tratamiento.

Hotelbeds permite hoteles, actividades y traslados con credenciales propias de la agencia o en modo gestionado con credenciales de Michinauta. Con credenciales propias, la agencia contrata directamente a Hotelbeds; lo mismo ocurre con DePay y Binance Pay, configurados con credenciales por agencia. En esos casos Michinauta solo transmite los datos por instrucción de la agencia; el rol de cada proveedor y las garantías de transferencia se rigen por el contrato de la agencia con ese proveedor. En modo gestionado, Hotelbeds es destinatario de Michinauta; su política oficial identifica a Hotelbeds Spain, S.L.U. (España). La política de privacidad detalla los datos enviados por producto y el régimen de transferencias aplicable. La sede del proveedor no determina todos los lugares de tratamiento.

Michinauta te avisa con al menos 30 días de anticipación antes de sumar o cambiar un subencargado. Puedes oponerte por un motivo razonable de protección de datos dentro de ese plazo; si no llegamos a un acuerdo, puedes terminar el servicio afectado.

Conforme al art. 28(4) del RGPD, Michinauta impone a cada subencargado, por contrato, las mismas obligaciones de protección de datos que este AVV fija a Michinauta, y responde ante tu negocio por el incumplimiento de esas obligaciones por parte del subencargado.

Al aceptar este AVV, tu negocio, como responsable del tratamiento, autoriza por escrito a Michinauta a recurrir a los subencargados de esta lista, incluso para la conservación de los datos (art. 34 de la LOPDP). Fuera de ellos y de los destinatarios descritos arriba, que reciben datos por instrucción tuya, Michinauta no transfiere ni comunica los datos que trata por tu cuenta a otras personas, ni siquiera para su conservación.

8. Transferencias y exposición internacional

Bajo el RGPD, el envío de datos a un subencargado fuera de la Unión Europea (Estados Unidos) es una transferencia internacional que se apoya en el Marco de Privacidad de Datos UE-EE. UU. o en cláusulas contractuales tipo del artículo 46, según el destinatario, como se detalla en la política de privacidad.

Según el art. 34 de la LOPDP de Ecuador y el art. 23 de la Res. SPDP-SPD-2026-0004-R, encargar el tratamiento a Michinauta en el exterior no se considera una transferencia. Aun así, este contrato declara la exposición internacional: los servidores están en Suiza, que cuenta con decisión de adecuación de la Comisión Europea; los subencargados de la sección 7 y su país; y el cifrado descrito en la sección 6.

Si una autoridad extranjera solicita acceso a los datos que tratamos por tu cuenta, Michinauta te lo notifica, salvo que una norma le prohíba legalmente hacerlo.

Si tu negocio quiere documentar este encargo con las cláusulas contractuales tipo de la Superintendencia de Protección de Datos Personales (SPDP) de Ecuador, como buena práctica, Michinauta las pone a disposición como anexo (ver sección 13).

9. Asistencia al responsable

Michinauta te asiste, dentro de lo que permite la naturaleza del tratamiento y la información de la que dispone, para que puedas cumplir con:

las solicitudes de los titulares para ejercer sus derechos (acceso, rectificación, supresión, portabilidad y los demás que reconocen el RGPD y la LOPDP);
una evaluación de impacto relativa a la protección de datos (DPIA), cuando corresponda;
la notificación de una violación de seguridad de los datos a la autoridad de control y, si corresponde, a los titulares afectados.

Si Michinauta detecta una violación de seguridad que afecte los datos que trata por tu cuenta, te lo notifica sin dilación indebida y, como máximo, dentro de las 48 horas de tener conocimiento de ella, con la información disponible en ese momento, para que puedas cumplir el plazo de 72 horas del RGPD ante tu autoridad de control.

10. Supresión o devolución al terminar

Cuando cancelas el plan de pago, tu cuenta pasa al plan Free y permanece activa: tus datos siguen consultables y exportables. Michinauta no tiene una eliminación automática y no los elimina automáticamente al cancelar. Ante tu solicitud escrita de supresión, primero se te entrega la exportación completa desde Configuración → «Descargar todos mis datos», en formato JSON, y después Michinauta suprime de los sistemas activos todos los datos de tu negocio, incluidos los comprobantes fiscales, con confirmación dentro de 30 días. La confirmación no abarca las copias de seguridad. Este plazo contractual de confirmación del encargado no amplía ningún plazo legal más breve que sea aplicable, incluidas las solicitudes de titulares.

Al terminar el contrato, conforme al art. 34 de la LOPDP, los datos personales que Michinauta trató por tu cuenta se destruyen o se te devuelven, a tu elección, bajo la supervisión de la Autoridad de Protección de Datos Personales (SPDP) cuando la LOPDP aplica al tratamiento. Eso se cumple con la exportación y la supresión a pedido descritas arriba.

Tu negocio, como responsable del tratamiento, tiene la obligación de conservar sus comprobantes fiscales y demás registros exigidos por la ley y debe guardar la exportación antes de la supresión. Esa obligación no recae en Michinauta como encargado: no actúa como archivo de tu negocio después del contrato. Michinauta conserva únicamente sus propias facturas de suscripción y registros contables conforme al § 147 AO, como responsable de esos datos, no los comprobantes fiscales de tu negocio. Cancelar el plan de pago no termina por sí solo el servicio: la cuenta continúa en el plan Free, con las funciones de consulta y exportación disponibles para ese plan.

Las copias de seguridad descritas en la sección 6 pueden conservar datos ya suprimidos hasta que se cumpla su propia retención (14 días en el servidor y 90 días en la copia remota), tras lo cual se eliminan también de ahí; la confirmación de supresión no las abarca.

11. Auditorías y pruebas

Michinauta te da, a solicitud razonable, la información necesaria para demostrar el cumplimiento de este AVV. Si necesitas una auditoría más allá de esa información, la coordinamos con un aviso previo razonable, en un horario y alcance que no comprometan la seguridad de otros negocios que usan la plataforma (por el aislamiento multi-tenant de la sección 6), y los costos razonables de esa auditoría corren por tu cuenta salvo que revele un incumplimiento de Michinauta.

12. Responsabilidad

La responsabilidad de cada parte por el tratamiento de datos personales se rige por el art. 82 del RGPD y por la LOPDP, según corresponda. Para todo lo no regulado específicamente en este AVV, se aplica la cláusula de responsabilidad de los términos de servicio (AGB) que rigen el contrato principal.

13. Anexo: cláusulas modelo de la SPDP

Las cláusulas contractuales modelo-tipo de la RIPD reconocidas por la Superintendencia de Protección de Datos Personales (SPDP) de Ecuador en la Res. SPDP-SPD-2026-0004-R, están disponibles como anexo de este AVV a solicitud de las agencias, talleres o bodegas ecuatorianas que quieran usarlas. El art. 23 de esa resolución establece que el encargo del tratamiento no constituye una transferencia ni comunicación de datos personales; por eso estas cláusulas no son una obligación en un encargo, sino una buena práctica (art. 24). Escribe a info@michinauta.com para solicitarlo. Consulta también la Política de privacidad y el Aviso legal.