Política de privacidad

El responsable del tratamiento de los datos de tu cuenta es FONLES STUDIOS, CORP., sociedad constituida en el estado de Delaware, Estados Unidos, titular del servicio DevFact. Contacto: info@fonles.com.

Delegada de protección de datos: Nathalia Viviana Lescano Galeas, Av. Corazón y Chiles, tras el Coliseo de los Deportes, Ambato, Ecuador, teléfono +593 99 298 9693, info@fonles.com.

Como responsables, tratamos los datos de tu cuenta, que nos das tú al registrarte y al usar el servicio:

• Identificación y contacto: nombres, apellidos, correo y teléfono.
• Datos del emisor: RUC (si eres persona natural, contiene tu número de cédula), razón social, nombre comercial, provincia y ciudad, y la marca de tus comprobantes si la configuras (logo, color y correo de respuesta).
• Datos de perfil: tu rol, el volumen aproximado de comprobantes al mes, el sistema de facturación que usas hoy y, si lo indicas, cómo nos conociste.
• Consentimientos: qué documentos aceptaste, en qué versión y cuándo, y si quieres recibir novedades.
• Facturación del servicio: plan, cobros y facturas. Los datos de tu tarjeta los recibe directamente Stripe; nosotros no los vemos ni los guardamos.
• Registros técnicos de seguridad: dirección IP y navegador de cada sesión, identificador de cada petición y eventos de la cuenta, como la activación de la verificación en dos pasos. Para limitar los intentos de ingreso usamos además la IP y el correo sólo como un resumen criptográfico con clave (HMAC), que se borra en un plazo aproximado de un día.

Como encargados, por cuenta tuya, tratamos los datos que incluyes en tus comprobantes (identificación, razón social, dirección y correo de tus compradores, entre otros) y tu certificado de firma electrónica. Respecto de esos datos, el responsable eres tú, como emisor; nosotros sólo los usamos para generar, firmar, enviar al SRI y entregar tus comprobantes, según el contrato de encargo que forma parte de los términos del servicio.

Los datos de identificación, contacto y del emisor son necesarios para prestarte el servicio: sin ellos no podemos crear tu cuenta ni emitir tus comprobantes. Los datos de perfil son opcionales o aproximados. Si nos das datos erróneos, tus comprobantes pueden salir con errores o ser rechazados por el SRI, y los avisos pueden no llegarte.

Tus datos constan en la base de datos de cuentas y emisores de DevFact, a cargo de FONLES STUDIOS, CORP., alojada en un servidor en Núremberg, Alemania. Los tratamos de forma automatizada: los recogemos, almacenamos, consultamos y usamos, los comunicamos a los destinatarios indicados más abajo y, al vencer su plazo, los suprimimos.

• Crear y administrar tu cuenta y prestarte el servicio (generar, firmar, enviar al SRI y entregar tus comprobantes): identificación, contacto y datos del emisor. Base: ejecución del contrato.
• Proteger tu cuenta y prevenir el abuso (límites de intentos, avisos de seguridad, como una clave de producción creada): registros técnicos. Base: interés legítimo en la seguridad del servicio.
• Adaptar la puesta en marcha y el soporte a tu caso, y entender qué canales nos traen clientes: rol, volumen aproximado, sistema actual y cómo nos conociste. Base: interés legítimo. Puedes oponerte escribiéndonos.
• Facturarte: ejecución del contrato. Conservar los registros de facturación y cumplir nuestras obligaciones tributarias y contables: obligación legal. Conservarlos hasta 7 años después de la baja para atender reclamos: interés legítimo en la defensa de reclamaciones (art. 11 del Reglamento General de la LOPDP).
• Avisarte del vencimiento de tu certificado de firma, si configuras un correo de alertas. Base: ejecución del contrato.
• Enviarte novedades del producto, sólo si marcaste esa casilla. Base: tu consentimiento, que retiras desde cualquier correo o escribiéndonos.
• Inteligencia tributaria con proveedor externo, sólo si la activas. Base: para los datos de tus comprobantes, tu instrucción como responsable, dentro del encargo del tratamiento; para los tuyos, si eres persona natural, tu consentimiento expreso. La desactivas en cualquier momento desde la API o escribiéndonos.

No elaboramos perfiles con fines publicitarios ni vendemos datos personales. No tomamos decisiones basadas únicamente en tratamientos automatizados que te produzcan efectos jurídicos: las validaciones del servicio aplican las reglas del SRI, y las sugerencias de inteligencia tributaria no modifican nada sin tu decisión.

Los datos de tus compradores no los obtenemos de ellos: nos los envías tú, como emisor. Te corresponde contar con una base legal para tratarlos e informarles, en tu calidad de responsable. Nosotros los tratamos sólo por tu cuenta y para emitir tus comprobantes.

Si eres comprador de uno de nuestros clientes, dirígete primero al emisor de tu comprobante, que es el responsable de tus datos; le ayudaremos a atender tu solicitud.

Aplicamos una política de retención mínima: el XML autorizado y los datos del comprador se purgan de nuestra base después del estado final del comprobante y del envío de su correo, según el plazo que configures (24 horas por defecto, entre 0 y 720 horas). Si un comprobante nunca llega a un estado final, sus datos se purgan igual a los 30 días de creado. Después sólo quedan metadatos del comprobante: la clave de acceso, el número, el estado, el importe y las fechas, que borramos automáticamente a los 7 años de creado el comprobante. Ese mismo plazo de 7 años aplica al registro de auditoría de tu cuenta. El proveedor de correo conserva su copia del envío por su propio plazo (ver “Con quién los compartimos”).

• Un sandbox que no reclamas se borra entero a los 7 días.
• Una cuenta que no confirma su correo se borra a los 30 días, junto con los datos de su empresa.
• Los datos de tu cuenta se conservan mientras esté activa. Al cerrarla, la baja se hace en un máximo de 10 días hábiles: se borran tus datos de usuario y de contacto, y conservamos sólo la identificación de tus emisores y certificados, los metadatos de tus comprobantes y el registro de auditoría, por obligaciones tributarias y contables y para atender reclamos. Los registros de los cobros quedan en Stripe, que los conserva como responsable independiente. Los metadatos de cada comprobante y cada registro de auditoría se borran a los 7 años de creados, y lo demás que quede de la cuenta, a los 7 años de la baja, automáticamente (ver los términos).
• Las copias de respaldo de la base de datos, cuando existen, están cifradas y se renuevan en un máximo de 14 días: un dato purgado puede seguir en ellas hasta entonces. Después de restaurar una copia volvemos a purgar lo vencido.

La obligación de conservar tus comprobantes durante 7 años es tuya como emisor: guarda el XML que te entregamos.

Puedes conectar agentes de IA y otras aplicaciones (Claude, ChatGPT, Cursor u otros clientes MCP) a tu cuenta con OAuth o con una clave de agente. Para estas conexiones:

• Las herramientas del servidor MCP reciben los datos del comprobante que el agente pide preparar o emitir y los tratan igual que la API: no guardamos el contenido de las conversaciones ni los argumentos de las herramientas en registros; sólo metadatos técnicos (ruta, estado, duración y cuenta).
• Si tus reglas de aprobación retienen una emisión, lo pedido se guarda cifrado hasta que la apruebes, la rechaces o venza (24 horas por defecto), y se borra entonces.
• Para la regla de “destinatario nuevo” guardamos un resumen criptográfico con clave (HMAC-SHA256) de los correos a los que ya emitiste en producción, nunca el correo en claro, y lo borramos tras 400 días (unos 13 meses) sin uso.
• Guardamos sólo una huella de los tokens de acceso y renovación; puedes desconectar una aplicación en Claves API y sus tokens dejan de funcionar al instante.
• La capa gratuita sin cuenta (validar identificaciones, decodificar claves de acceso, calcular totales) no guarda lo que recibe.

El proveedor del agente (por ejemplo, el de tu asistente de IA) trata la conversación según su propia política de privacidad.

Sólo con quienes necesitamos para prestar el servicio. Los proveedores de infraestructura, correo e inteligencia tributaria actúan como encargados por cuenta nuestra (y, para los datos de tus comprobantes, como subencargados por cuenta tuya):

• Servicio de Rentas Internas (SRI), destinatario de tus comprobantes por mandato legal.
• netcup GmbH (Karlsruhe, Alemania), que nos provee el servidor donde funcionan el servicio y su base de datos, ubicado en Núremberg, Alemania. Cuenta con certificación ISO/IEC 27001. Nuestro sistema de cuentas (Supabase) funciona en ese mismo servidor.
• Resend (Plus Five Five, Inc., Estados Unidos), para enviar los correos con el XML y el RIDE a tus compradores y los correos de servicio de tu cuenta (confirmación, recuperación de acceso, códigos de verificación y avisos de vencimiento del certificado). Resend conserva el contenido de cada correo, incluidos los adjuntos, y sus registros hasta 30 días; sus propios subencargados, como Svix para los webhooks, se publican en resend.com/legal/subprocessors.
• Stripe, LLC (Estados Unidos), sólo si contratas un plan de pago: recibe tu nombre, tu correo y los datos de tu tarjeta para cobrarte, y los trata como responsable independiente, según su propia política de privacidad, para prevenir el fraude y cumplir sus obligaciones financieras. Esa comunicación se basa en que es necesaria para ejecutar el contrato contigo (art. 60 num. 4 de la LOPDP).
• TypeSafe AI (modelo Jev), a través de OpenRouter, Inc. (Estados Unidos), sólo si activas la inteligencia tributaria con proveedor externo. Recibe la descripción de cada ítem o compra, con las identificaciones, los números largos, los correos, las URL y los nombres detectados ya redactados, y, según el caso, el tipo de proveedor (retención) o la actividad del emisor (gastos personales); nunca el RUC, los montos ni el comprobante. TypeSafe AI no conserva lo que recibe, por acuerdo con nosotros. OpenRouter, como intermediario técnico, conserva metadatos de cada petición según su propia política.

FONLES STUDIOS, CORP. está constituida en los Estados Unidos y no está establecida en Ecuador. Está sujeta a la LOPDP porque ofrece el servicio a personas en Ecuador. Tus datos se alojan en Alemania, como se indica arriba. Según el art. 23 de la Norma General de Transferencias Internacionales de Datos Personales (Res. SPDP-SPD-2026-0004-R), el encargo del tratamiento a un proveedor, aunque esté en el exterior, no constituye una transferencia ni una comunicación de datos. Con netcup y Resend rigen los contratos de encargo del tratamiento que tenemos con ellos, basados en el Reglamento General de Protección de Datos europeo, que establecen medidas de seguridad, confidencialidad, aviso de vulneraciones y eliminación al terminar. Con OpenRouter y TypeSafe AI rigen sus condiciones de servicio y el acuerdo de no retención descrito arriba. Si en algún caso hubiera una transferencia internacional en sentido estricto, la haremos con las garantías adecuadas que reconoce la ley o porque es necesaria para cumplir el contrato contigo. Te avisaremos con al menos 14 días de anticipación antes de agregar o cambiar un proveedor.

También podemos comunicar datos a una autoridad cuando una ley o una orden judicial nos obligue. No vendemos datos personales.

Conforme a la Ley Orgánica de Protección de Datos Personales del Ecuador, tienes derecho a la información, al acceso, a la rectificación y actualización, a la eliminación, a la oposición, a la anulación, a la portabilidad, a la suspensión o limitación del tratamiento y a no ser objeto de decisiones basadas únicamente en valoraciones automatizadas. Cuando el tratamiento se basa en tu consentimiento, puedes revocarlo en cualquier momento, sin efecto retroactivo.

Para ejercerlos, escríbenos a info@fonles.com e indica qué derecho ejerces y sobre qué datos. De preferencia, hazlo desde el correo de tu cuenta; si no tienes acceso a él, adjunta un documento que acredite tu identidad o tu representación. Si no podemos confirmar que eres el titular, te pediremos que lo acredites. Respondemos y ejecutamos lo que corresponda en un máximo de 10 días hábiles y, en todo caso, dentro de 15 días calendario desde que recibimos tu solicitud, sin costo. Para la portabilidad te entregamos tus datos en un formato estructurado y de uso común (JSON o CSV).

Si no estás conforme con la respuesta, o no la recibes a tiempo, puedes presentar un reclamo ante la Superintendencia de Protección de Datos Personales (spdp.gob.ec), conforme al art. 64 de la LOPDP.

Los certificados de firma, sus contraseñas y los datos de comprobantes retenidos se sellan con cifrado envolvente (AES-256-GCM, con una clave por objeto protegida por una clave maestra que se guarda aparte de la base de datos). Al purgarse, borramos el objeto cifrado junto con su clave envuelta. Las claves de producción exigen verificación en dos pasos. No registramos XML, certificados, contraseñas, identificaciones ni correos de compradores en nuestros registros técnicos.

Si ocurre una vulneración de seguridad que afecte a tus datos, la notificaremos a la Superintendencia de Protección de Datos Personales y a la Agencia de Regulación y Control de las Telecomunicaciones (ARCOTEL) tan pronto sea posible y a más tardar en el término de 5 días desde que tengamos constancia de ella. Si supone un riesgo para tus derechos, te avisaremos dentro del término de 3 días, con lo que pasó, los datos afectados y lo que hicimos. Si afecta a los datos de tus compradores, te avisaremos a ti, como responsable, dentro del término de 2 días.

Usamos sólo cookies necesarias para que el servicio funcione. No usamos cookies publicitarias ni de analítica.

• Sesión (sb-…-auth-token, que puede dividirse en .0, .1…): mantiene tu sesión iniciada hasta que la cierres; caduca a los 400 días como máximo.
• Verificador de acceso (sb-…-auth-token-code-verifier): protege los enlaces de ingreso y de recuperación de contraseña mientras completas el paso.
• Correo por confirmar (devfact_correo_pendiente, 1 hora): guarda el correo con el que te registraste para reenviarte la confirmación sin ponerlo en la dirección de la página.
• Barra lateral del panel (sidebar_state, 7 días): recuerda si la dejaste abierta o cerrada.

El almacenamiento local del navegador sólo recuerda tu preferencia de tema. La página de pago del procesador de pagos, que se abre en su propio dominio, usa sus propias cookies. Si algún día agregamos otras, lo indicaremos aquí antes de usarlas.

Si cambiamos esta política te avisaremos por correo, en el panel y en esta página con al menos 30 días de anticipación. Si el cambio introduce una finalidad que requiere tu consentimiento, te lo pediremos por separado. Los cambios que exija la ley pueden regir antes, y te los avisaremos en cuanto los conozcamos.