Política de Privacidad

KMRP Consulting (en adelante, "KMRP") es el responsable del tratamiento de los datos personales recolectados a través de la plataforma Skorpios (en adelante, "la Plataforma"), sin perjuicio de los casos en que actúa como encargado por cuenta del Cliente (ver sección 5).

Esta política se rige por la Ley Orgánica de Protección de Datos Personales del Ecuador (LOPDP) y complementa los Términos y Condiciones de Uso.

2.1. Datos de la cuenta

• Nombre completo, correo electrónico y rol asignado.
• Contraseña: se almacena únicamente como hash criptográfico irreversible; nunca en texto plano.
• Secreto de autenticación de dos factores (si el Usuario la activa).

2.2. Datos de las empresas registradas

• RUC, razón social, nombre comercial, régimen tributario y periodicidad de declaración.
• Información del catastro público del SRI asociada al RUC: estado del contribuyente, actividad económica, tipo de contribuyente, categoría, obligación de llevar contabilidad, calidad de agente de retención o contribuyente especial, fechas de inicio/cese/reinicio de actividades y marcas regulatorias publicadas por el SRI.
• Identificación (cédula/RUC) y nombre de los representantes legales, según constan en el catastro público del SRI.

2.3. Credenciales de portales gubernamentales

• Credenciales del portal SRI en Línea (usuario y clave) y credenciales del portal IESS (cédula y clave) que el Usuario registre voluntariamente.
• Estas credenciales se almacenan cifradas con AES-256-GCM, con claves derivadas mediante scrypt. El personal de KMRP no puede leerlas en texto plano.
• Al registrarlas, la Plataforma puede validar su vigencia iniciando sesión de prueba en el portal correspondiente.

2.4. Información tributaria, contable y de nómina

• Comprobantes electrónicos y físicos: facturas de compra y venta, retenciones emitidas y recibidas, notas de crédito y débito, liquidaciones de compra, importaciones.
• Declaraciones presentadas y sus valores, anexos (ATS) y clasificaciones contables que el Usuario asigne.
• Datos de nómina obtenidos del IESS y del Ministerio del Trabajo, que pueden incluir datos personales de los empleados del Cliente (identificación, nombres, remuneraciones, aportes).

2.5. Información bancaria

• Cuentas bancarias registradas por el Usuario: banco, número de cuenta, tipo y descripción.
• Movimientos bancarios que el Usuario cargue para conciliación y su vinculación con comprobantes.
• No almacenamos claves ni credenciales de banca en línea.

2.6. Datos de pago y suscripción

• Plan contratado, estado de la suscripción, empresas adicionales y fechas de vigencia.
• Los pagos se procesan a través de Stripe. KMRP almacena únicamente identificadores de cliente y de suscripción de Stripe; los datos de su tarjeta nunca se almacenan en nuestros servidores y son tratados directamente por Stripe bajo sus propias políticas y certificación PCI-DSS.

2.7. Datos técnicos y de seguridad

• Registro de auditoría inmutable de las acciones realizadas en la Plataforma (usuario, acción, entidad afectada, fecha y dirección IP).
• Registro de intentos de inicio de sesión (correo, dirección IP, resultado), utilizado para prevención de fuerza bruta y auditoría de seguridad.
• Archivos que el Usuario cargue como soporte o justificación.

Los datos descritos en la sección 2 se tratan exclusivamente para:

1. Prestar, operar y mantener las funcionalidades de la Plataforma.
2. Sincronizar información con el SRI, IESS y fuentes oficiales.
3. Preparar declaraciones, anexos, reportes y conciliaciones solicitados por el Usuario.
4. Gestionar la facturación y cobro de la suscripción.
5. Garantizar la seguridad de la Plataforma (auditoría, prevención de fraude y de accesos no autorizados).
6. Cumplir obligaciones legales aplicables a KMRP.

KMRP no vende ni cede los datos de sus Usuarios a terceros con fines comerciales o publicitarios.

El registro de credenciales del SRI o del IESS implica una autorización expresa y revocable para que los sistemas automatizados de KMRP inicien sesión en dichos portales en nombre del Usuario, con el único fin de descargar, sincronizar y validar su información. Los alcances de esta autorización están detallados en la sección 5 de los Términos y Condiciones.

El Usuario puede eliminar o reemplazar sus credenciales desde la Plataforma en cualquier momento, con efecto inmediato.

La información sincronizada puede incluir datos personales de terceros: empleados del Cliente, representantes legales, proveedores y clientes que aparecen en comprobantes. Respecto de estos datos, el Cliente actúa como responsable del tratamiento y KMRP como encargado, tratándolos únicamente conforme a esta política y a las instrucciones del Cliente. El Cliente declara contar con la base legal necesaria (relación contractual, obligación legal o consentimiento) para incorporar dichos datos a la Plataforma.

Para operar la Plataforma, KMRP se apoya en proveedores que pueden tratar datos por cuenta nuestra:

• Stripe — procesamiento de pagos y gestión de suscripciones.
• Microsoft (OneDrive) — almacenamiento y exportación de archivos cuando el Usuario utiliza esa integración.
• Proveedores de infraestructura (servidores, bases de datos y almacenamiento en caché) bajo acuerdos de confidencialidad y medidas de seguridad equivalentes a las aquí descritas.

KMRP implementa, entre otras, las siguientes medidas:

• Cifrado AES-256-GCM para credenciales de portales gubernamentales, con derivación de claves scrypt.
• Contraseñas de cuenta almacenadas con hashing criptográfico irreversible.
• Autenticación de dos factores (TOTP) con protección anti-replay.
• Invalidación global de sesiones al cambiar contraseña, correo o desactivar MFA.
• Limitación de intentos de inicio de sesión (protección contra fuerza bruta).
• Registro de auditoría inmutable con trazabilidad de acciones e IP.
• Control de acceso por roles y segregación multi-empresa (multi-tenant).

Ningún sistema es infalible. El Usuario se obliga a notificar de inmediato cualquier uso no autorizado de su cuenta.

8.1. Los datos se conservan mientras la cuenta esté activa y durante el tiempo necesario para cumplir las finalidades descritas.

8.2. Los registros de auditoría y seguridad pueden conservarse por períodos adicionales por razones legales y de seguridad.

8.3. El Usuario puede solicitar la eliminación de sus credenciales SRI/IESS en cualquier momento (efecto inmediato) y la eliminación de su cuenta y datos asociados, sin perjuicio de la información que KMRP deba conservar por obligación legal (p. ej. registros de facturación).

Conforme a la LOPDP, el Usuario puede ejercer sus derechos de acceso, rectificación, actualización, eliminación, oposición, portabilidad y suspensión del tratamiento escribiendo al canal de contacto de la sección 10. KMRP responderá dentro de los plazos legales aplicables.

Para consultas sobre esta política, ejercicio de derechos sobre datos personales o revocatoria de autorizaciones:

KMRP Consulting — correo: info@kmrpconsulting.com

KMRP puede modificar esta Política de Privacidad. Los cambios sustanciales serán notificados a través de la Plataforma o por correo electrónico con al menos 15 días de anticipación. El uso continuado del servicio después de la entrada en vigencia de los cambios constituye aceptación.