En QrPana tratamos datos personales para operar la plataforma, proteger las cuentas, validar operaciones, atender solicitudes y habilitar funcionalidades como registro, autenticación, pagos, retiros, beneficios, referidos, KYC y herramientas para comercios. Esta política explica de forma clara qué información se trata, por qué se trata, cómo se protege y cuáles son los derechos que reconoce la legislación ecuatoriana.
1. Identidad del responsable
El responsable de los tratamientos propios de la plataforma QrPana es QRPANA S.A.S., RUC 2390643831001, con domicilio en SANTO DOMINGO DE LOS COLORADOS / RÍO MALAUTE Y QUITO Y GUAYAQUIL, Ecuador. Para asuntos de privacidad y protección de datos puedes contactarnos en soporte@qrpana.com. Cuando legalmente corresponda la designación de un Delegado de Protección de Datos (DPD), los datos de contacto publicados por QrPana serán los vigentes al momento de la consulta.
En determinados módulos de QrPana Negocios, un comercio puede definir directamente qué datos de sus clientes registra y para qué los utiliza. En esas operaciones, el comercio podrá actuar como responsable y QrPana como encargado o proveedor tecnológico. Si QrPana utiliza esos datos para una finalidad propia, informará la base jurídica y el rol aplicable.
2. Alcance
Esta política aplica al sitio web, registro e inicio de sesión, autenticación con factores adicionales, perfil de usuario, referidos, planes, pagos, retiros, verificación de identidad, seguridad, soporte, comunicaciones, tienda o módulos de comercio, y a las demás funciones que formen parte del ecosistema de QrPana.
3. Datos que podemos tratar
| Categoría | Ejemplos | Finalidad principal |
|---|---|---|
| Identificación y cuenta | Nombres, apellidos, cédula u otro identificador, fecha de nacimiento, fotografía de perfil, código de referido, identificador de Google, estado de verificación. | Crear y administrar la cuenta, evitar duplicidades, habilitar funciones y mantener seguridad. |
| Contacto y ubicación declarada | Correo, teléfono, país, ciudad, dirección y, cuando el usuario o cliente la suministre para entregas, provincia, parroquia, referencias y coordenadas. | Prestación del servicio, comunicaciones transaccionales, entregas y soporte. |
| Seguridad y autenticación | Contraseña almacenada mediante hash, tokens de activación, TOTP, credenciales públicas WebAuthn, fechas de acceso, IP, agente de usuario y registros de auditoría. | Autenticación, prevención de fraude, trazabilidad y respuesta a incidentes. |
| Plan, red y actividad | Plan, estado de cuenta, límites, códigos de invitación, patrocinador, referidos, rango, posición y registros de comisiones o saldos internos. | Operar las funcionalidades contratadas y las reglas del programa. |
| Pagos y comprobantes | Monto, método, identificadores de transacción, comprobantes, banco, número de comprobante y datos detectados mediante OCR como remitente, beneficiario o cuentas de origen/destino. | Confirmar pagos, conciliación, prevención de fraude, soporte y obligaciones contables o legales. |
| Retiros | Banco, tipo y número de cuenta, identificación, monto, factura o documento de respaldo y comprobante de pago. | Procesar liquidaciones o retiros válidamente solicitados y documentarlos. |
| KYC | País emisor, tipo de documento, imagen frontal, reverso cuando corresponda y selfie; resultado de la revisión, fechas y trazabilidad. | Verificar que la persona que opera la cuenta corresponde con la identidad declarada, prevenir suplantaciones y cumplir obligaciones aplicables. |
| QrPana Negocios | RUC, representante legal, identificación y datos comerciales; datos de clientes como identificación, nombres, contacto, dirección, crédito, compras, pagos y devoluciones. | Operar POS, inventario, ventas, facturación, entregas, cartera y administración del comercio. |
| Soporte y comunicaciones | Mensajes, solicitudes, reclamos, evidencia y preferencias de comunicación. | Atender solicitudes y mantener evidencia de gestión. |
4. Fuentes
Los datos pueden provenir directamente del titular; de un comercio que utiliza QrPana Negocios; de proveedores que el titular decide usar, por ejemplo autenticación o pago; de comprobantes aportados por el usuario; y de registros técnicos generados durante el uso del servicio. Cuando una fuente distinta del titular sea utilizada, se aplicarán los deberes de información y legitimación correspondientes.
5. Finalidades y bases de legitimación
QrPana no basa todo tratamiento en una única casilla de “consentimiento”. Según el caso, el tratamiento podrá resultar necesario para ejecutar una relación contractual o adoptar medidas precontractuales; cumplir una obligación legal; proteger la seguridad de la plataforma mediante un interés legítimo debidamente evaluado; o basarse en consentimiento libre, específico, informado e inequívoco cuando esta sea la base adecuada.
El consentimiento para marketing se solicitará por separado, será opcional y podrá retirarse sin afectar la prestación principal. La lectura de esta política es parte del deber de transparencia, pero no convierte automáticamente todos los tratamientos en tratamientos basados en consentimiento.
6. Verificación de identidad
El KYC se rige además por la Política de Verificación de Identidad. Las imágenes de documentos y selfies deben mantenerse con acceso estrictamente limitado y solo durante el tiempo necesario para la finalidad declarada, salvo que una norma obligue a conservar evidencia por un plazo mayor. Una vez finalizada la revisión, el sistema debe retirar las imágenes del acceso operativo ordinario y aplicar eliminación segura o retención legal restringida según la matriz de conservación vigente.
Si en el futuro se utilizara reconocimiento facial, creación de plantillas biométricas, evaluación automatizada o sistemas de inteligencia artificial para decidir o asistir materialmente una verificación, se actualizará esta política antes de activar esa función y se informará de forma específica al titular.
7. Destinatarios y encargados
Podemos comunicar datos a proveedores estrictamente necesarios para hosting, infraestructura, correo, autenticación, pagos, prevención de fraude, soporte, facturación, almacenamiento o seguridad; a comercios cuando la operación lo requiera; a autoridades competentes cuando exista obligación o requerimiento válido; y a asesores sujetos a confidencialidad cuando sea necesario para defender derechos o cumplir obligaciones.
No vendemos datos personales. Tampoco autorizamos a un proveedor a utilizar la información para finalidades propias incompatibles con el servicio contratado.
8. Transferencias nacionales e internacionales
Cuando un proveedor procese información fuera de Ecuador o exista una comunicación internacional, QrPana evaluará la legitimación, garantías, contratos, seguridad y demás requisitos aplicables. La identificación de proveedores relevantes se mantendrá actualizada internamente y se comunicará cuando sea necesario para cumplir con una información transparente.
9. Conservación
Los datos no se conservan indefinidamente por defecto. Se aplica una matriz de conservación basada en finalidad, riesgo y obligaciones legales. Los datos de cuenta se conservarán mientras exista la relación y durante el tiempo adicional necesario para obligaciones, reclamos o defensa de derechos; los registros financieros y tributarios, durante los plazos que imponga la normativa aplicable; la evidencia de aceptación y consentimiento, durante el tiempo necesario para demostrar cumplimiento; y los archivos KYC, únicamente según la política específica de KYC y la clasificación regulatoria de QrPana.
Las copias de respaldo también forman parte del ciclo de vida de datos: deben expirar, quedar protegidas y no convertirse en un mecanismo para conservar indefinidamente información eliminada del sistema activo.
10. Seguridad
Aplicamos medidas técnicas, organizativas, físicas y jurídicas proporcionales al riesgo, incluyendo control de accesos por rol, autenticación, registro de eventos, cifrado en tránsito, separación de archivos de alta sensibilidad del directorio público, validación de archivos, revisión de privilegios, copias de seguridad protegidas y procedimientos de respuesta a incidentes. Ningún sistema es infalible, pero la seguridad se evalúa y mejora de manera continua.
11. Derechos del titular
El titular puede ejercer los derechos reconocidos por la legislación ecuatoriana, entre ellos información, acceso, rectificación y actualización, eliminación cuando corresponda, oposición, suspensión, portabilidad cuando resulte aplicable y los derechos relacionados con decisiones automatizadas. Puede iniciar su solicitud en Ejercicio de Derechos o escribir a soporte@qrpana.com. Podremos verificar razonablemente la identidad antes de entregar o modificar información.
12. Niños, niñas y adolescentes
QrPana no debe utilizarse para crear cuentas o ejecutar tratamientos incompatibles con las reglas aplicables a menores. Si una funcionalidad llegara a dirigirse a menores, se diseñará un flujo específico de información, legitimación y protección reforzada antes de habilitarla.
13. Comunicaciones comerciales
Las comunicaciones necesarias para activar la cuenta, seguridad, recibos, cambios esenciales del servicio o soporte no son marketing. Las promociones u ofertas comerciales se gestionarán según la base jurídica aplicable y podrán incluir mecanismos de exclusión cuando corresponda.
14. Cambios a esta política
Cuando exista un cambio material que afecte el contenido de esta política, QrPana publicará una nueva versión y actualizará su registro interno de versiones. Si el cambio exige una nueva constancia de lectura o un nuevo consentimiento, la plataforma lo solicitará en el flujo correspondiente.