Acuerdo de Procesamiento de Datos (DPA)

Fecha de entrada en vigor: 23 de septiembre de 2026.

Última actualización: 12 de octubre de 2026.

Este Acuerdo de Procesamiento de Datos, en adelante el “DPA”, forma parte de los Términos de Servicio de RobyContracts y regula el tratamiento de Datos Personales que José Córdova, persona natural con RUC 1707017693001, operando comercialmente bajo la marca RobyContracts, en adelante “RobyContracts”, “Encargado” o “nosotros”, realiza por cuenta de la persona natural, organización o empresa que utiliza los Servicios y determina los fines y medios del tratamiento de los Datos Personales incorporados a dichos Servicios, en adelante el “Cliente” o “Responsable”.

Este DPA aplica únicamente cuando el Cliente actúa como Responsable del tratamiento y RobyContracts trata Datos Personales por cuenta del Cliente como Encargado.

La persona que acepta este DPA en nombre de una organización declara que cuenta con autoridad suficiente para obligar a dicha organización.

Los usuarios invitados posteriormente a una organización no celebran individualmente un nuevo DPA por el mero hecho de acceder a la cuenta. Cuando el Cliente sea una organización, el DPA corresponde a la relación entre RobyContracts y dicha organización.

La aceptación electrónica del DPA podrá registrarse junto con la versión del documento, su contenido o referencia archivada, hash, idioma, organización cuando corresponda, fecha y hora de aceptación y demás evidencia razonablemente necesaria para acreditar la aceptación.

Cuando RobyContracts determine por sí mismo los fines y medios de determinados tratamientos, por ejemplo para la administración de cuentas, seguridad, prevención de fraude, facturación, cumplimiento legal, gestión de disputas, mantenimiento de evidencia contractual o administración de su propia relación comercial con el Cliente, RobyContracts actuará como Responsable respecto de dichos tratamientos, los cuales se regirán por la Política de Privacidad y la legislación aplicable.

1. Definiciones

Para efectos de este DPA:

“Datos Personales” significa cualquier información que identifique o permita identificar, directa o indirectamente, a una persona natural, conforme a la legislación aplicable.

“Datos Personales del Cliente” significa los Datos Personales contenidos en contratos, plantillas, archivos, documentos, imágenes, formularios, enlaces privados, campos estructurados, información proporcionada por arrendadores, arrendatarios, garantes, representantes u otros terceros, archivos firmados, texto u otro contenido que el Cliente o sus usuarios autorizados proporcionen a RobyContracts y que RobyContracts trate por cuenta del Cliente.

“Contenido del Cliente” significa los documentos, contratos, plantillas, archivos, textos, imágenes, datos estructurados, resultados derivados, archivos generados y demás información proporcionada o generada para prestar los Servicios al Cliente. El Contenido del Cliente puede contener Datos Personales.

“Tratamiento” comprende cualquier operación realizada sobre Datos Personales, incluyendo recepción, almacenamiento, lectura automatizada, extracción, estructuración, clasificación, generación de documentos, consulta, transmisión a subencargados autorizados, restauración de contenido desde Archivo o Papelera y eliminación.

“Leyes de Protección de Datos” significa la Ley Orgánica de Protección de Datos Personales del Ecuador, su Reglamento y normativa aplicable emitida por la Superintendencia de Protección de Datos Personales y, cuando correspondan por razón del Cliente, los interesados o el tratamiento, otras normas obligatorias de protección de datos, incluido el GDPR o UK GDPR.

Los demás términos relacionados con protección de datos tendrán el significado establecido por las Leyes de Protección de Datos aplicables.

2. Roles de las Partes

Respecto de los Datos Personales del Cliente tratados para prestar los Servicios:

• El Cliente actúa como Responsable del tratamiento.

• RobyContracts actúa como Encargado del tratamiento.

• El Cliente determina qué contratos, plantillas, documentos, datos e información proporciona a RobyContracts, las finalidades para las que utiliza los Servicios y quiénes están autorizados para utilizarlos.

• RobyContracts trata los Datos Personales del Cliente únicamente para prestar, mantener, proteger y corregir los Servicios (mantenimiento correctivo y verificación del servicio contratado) conforme a las instrucciones documentadas del Cliente y a este DPA, sin utilizar esos datos como material de desarrollo, análisis ni entrenamiento.

• Cuando una organización tenga varios usuarios, la organización Cliente seguirá siendo el Responsable respecto de los Datos Personales incorporados al espacio de trabajo de la organización, independientemente de cuál de sus usuarios autorizados realice materialmente una determinada operación.

RobyContracts no adquiere propiedad sobre los Datos Personales del Cliente por el hecho de tratarlos.

Este DPA es el contrato escrito entre Responsable y Encargado que exige la normativa de protección de datos. Su objeto es el tratamiento descrito en la Sección 3; su naturaleza y finalidad son prestar los Servicios al Cliente; su duración es la indicada en la Sección 17 y en el ciclo de conservación y eliminación de la Sección 10; y los tipos de Datos Personales y de titulares son los que el Cliente incorpora a los Servicios conforme a la Sección 3 (por ejemplo, partes de los contratos, personas de contacto y sus representantes).

3. Instrucciones del Cliente

El Cliente instruye a RobyContracts para tratar los Datos Personales del Cliente en la medida necesaria para:

• recibir y almacenar contratos, plantillas DOCX, documentos PDF, imágenes, archivos adjuntos y demás archivos proporcionados por el Cliente;

• leer, extraer, estructurar, clasificar y organizar información contenida en dichos documentos;

• identificar y organizar campos contractuales, incluyendo cuando corresponda nombres, identificadores, información de contacto, partes contractuales, fechas, valores, garantías, cánones, información de inmuebles, datos tributarios y demás información relevante para el contrato;

• utilizar información extraída o proporcionada directamente por el Cliente para preparar, renovar, completar o generar contratos y documentos relacionados;

• crear y conservar archivos DOCX, PDF u otros documentos generados mediante los Servicios;

• permitir que el Cliente revise, corrija, complete y administre información contractual;

• generar enlaces privados u otros mecanismos que permitan a personas autorizadas por el Cliente, como arrendadores, arrendatarios, garantes o representantes, completar información necesaria para un contrato;

• recibir y almacenar la información proporcionada mediante dichos enlaces privados;

• recibir y almacenar copias finales o firmadas de contratos que el Cliente cargue nuevamente al Servicio;

• ejecutar cálculos, transformaciones, validaciones estructurales y operaciones automatizadas necesarias para las funcionalidades ofrecidas por RobyContracts, incluyendo cálculos relacionados con información o índices oficiales cuando dicha función esté disponible;

• procesar información mediante proveedores de inteligencia artificial autorizados cuando sea necesario para extracción, comprensión, estructuración o generación de contenido contractual;

• generar metadatos, historial documental y resultados derivados necesarios para prestar los Servicios;

• proporcionar funciones de búsqueda, visualización, descarga, exportación, archivo, restauración y eliminación;

• realizar verificaciones de integridad, seguridad y disponibilidad del Servicio;

• proporcionar soporte solicitado por el Cliente; y

• eliminar información conforme a las instrucciones del Cliente, este DPA y el ciclo de vida aplicable a los Servicios.

RobyContracts no utilizará los Datos Personales del Cliente para finalidades diferentes a las señaladas en este DPA y en los Términos de Servicio.

RobyContracts no utiliza los contratos, plantillas, archivos ni demás Contenido del Cliente para entrenar o realizar fine-tuning de modelos propios.

Las solicitudes de inteligencia artificial que contienen información del Cliente se configuran conforme a la arquitectura de privacidad utilizada por RobyContracts y a las restricciones de recopilación y retención aplicables a los proveedores seleccionados.

4. Obligaciones del Cliente

El Cliente declara y garantiza que:

• cuenta con una base jurídica válida para recopilar, utilizar y proporcionar a RobyContracts los Datos Personales que incorpora a los Servicios;

• ha proporcionado a los interesados los avisos y demás información exigidos por la legislación aplicable;

• sus instrucciones a RobyContracts son lícitas;

• tiene derecho a permitir el tratamiento por RobyContracts y los subencargados autorizados conforme a este DPA;

• es responsable de determinar si los Datos Personales que incorpora al Servicio, incluidos datos sensibles o categorías especiales de datos, pueden ser lícitamente tratados mediante RobyContracts;

• es responsable de determinar qué usuarios pueden acceder a la organización y a sus contratos;

• es responsable de las instrucciones que proporcione mediante los Servicios, incluyendo la generación, modificación, archivo, restauración o eliminación de Contenido del Cliente; y

• no instruirá a RobyContracts para realizar tratamientos que violen las Leyes de Protección de Datos.

RobyContracts informará al Cliente cuando considere razonablemente que una instrucción infringe las Leyes de Protección de Datos aplicables, salvo que una norma impida hacerlo.

5. Obligaciones de RobyContracts

RobyContracts:

• tratará los Datos Personales del Cliente únicamente conforme a las instrucciones documentadas del Cliente, este DPA y las Leyes de Protección de Datos aplicables;

• no tratará los Datos Personales del Cliente para finalidades diferentes a las señaladas en este DPA y en los Términos de Servicio;

• no comunicará, cederá ni transferirá los Datos Personales del Cliente a otras personas, ni siquiera para su conservación, salvo (i) a los subencargados autorizados conforme a la Sección 8 y solo en la medida necesaria para prestar los Servicios, (ii) por instrucción del Cliente, o (iii) cuando una autoridad competente lo exija, caso en el cual informará al Cliente, salvo que la ley se lo impida;

• garantizará que las personas autorizadas para tratar Datos Personales estén sujetas a obligaciones apropiadas de confidencialidad;

• aplicará medidas técnicas y organizativas apropiadas al riesgo;

• limitará los accesos humanos a los Datos Personales del Cliente a situaciones autorizadas o necesarias conforme a las instrucciones del Cliente, la seguridad del Servicio o una obligación legal aplicable;

• utilizará subencargados únicamente conforme a este DPA;

• asistirá razonablemente al Cliente, teniendo en cuenta la naturaleza del tratamiento y la información disponible, en la atención de solicitudes de derechos de los interesados, y colaborará con el Cliente dentro de los dos (2) días siguientes a que este se lo solicite;

• asistirá razonablemente al Cliente con sus obligaciones relacionadas con seguridad, incidentes de seguridad, evaluaciones de impacto y consultas regulatorias cuando resulte aplicable;

• notificará al Cliente tan pronto sea posible y a más tardar dentro de dos (2) días desde que tenga conocimiento de una violación de Datos Personales que afecte a Datos Personales tratados por cuenta del Cliente;

• mantendrá información razonablemente necesaria para demostrar el cumplimiento de sus obligaciones como Encargado, incluido un registro de las actividades de tratamiento que realiza por cuenta del Cliente; y

• eliminará los Datos Personales del Cliente conforme a la Sección 10 cuando finalice el tratamiento, salvo que exista una obligación legal aplicable de conservación.

6. Seguridad

RobyContracts aplica medidas técnicas y organizativas apropiadas al riesgo, incluyendo:

• cifrado de datos en tránsito mediante HTTPS/TLS;

• cifrado en reposo proporcionado por sus proveedores de infraestructura;

• almacenamiento de contraseñas mediante mecanismos de hashing gestionados por su proveedor de autenticación;

• controles de autenticación y autorización;

• políticas de seguridad y control de acceso aplicadas a nivel de base de datos;

• autenticación multifactor obligatoria conforme a las reglas del Servicio;

• separación lógica entre cuentas y organizaciones;

• restricciones sobre accesos privilegiados;

• registros operativos y de errores;

• verificaciones automatizadas periódicas destinadas a comprobar el aislamiento entre cuentas;

• verificaciones operativas de disponibilidad del Servicio.

Las herramientas ordinarias de soporte y administración de RobyContracts no están diseñadas para mostrar el contenido de los contratos o documentos del Cliente.

No obstante, personas con acceso privilegiado a la infraestructura podrían técnicamente acceder a información almacenada cuando ello resulte necesario. RobyContracts no utiliza ese acceso para leer contratos o documentos de Clientes durante la operación humana ordinaria del Servicio.

Cuando el Cliente solicite por escrito una intervención técnica que requiera acceso al contenido, dicho acceso podrá realizarse únicamente para la finalidad autorizada y durante el tiempo razonablemente necesario.

Cuando exista un acuerdo separado con el Cliente que autorice expresamente acceso humano adicional para implementación, pruebas, soporte o diagnóstico, dicho acceso podrá realizarse conforme a esa autorización.

RobyContracts podrá modificar sus medidas técnicas y organizativas para adaptarlas a cambios tecnológicos, operativos o regulatorios, siempre que no disminuya de forma sustancial el nivel general de protección de los Datos Personales del Cliente.

7. Inteligencia Artificial

Determinadas funciones de RobyContracts requieren tratamiento automatizado mediante proveedores de inteligencia artificial.

Según la función utilizada, pueden enviarse a los proveedores autorizados:

• documentos o partes de documentos;

• imágenes cuando sean necesarias para interpretar contenido documental;

• fragmentos o bloques de texto;

• texto necesario para extracción estructurada;

• información de campos contractuales;

• instrucciones relacionadas con la generación o renovación del contrato;

• consultas o instrucciones del usuario; y

• otros fragmentos estrictamente necesarios para realizar la operación solicitada.

RobyContracts configura las solicitudes que contienen Contenido del Cliente para aplicar las restricciones de recopilación y retención compatibles con la arquitectura de privacidad implementada para dichas solicitudes.

RobyContracts no vende los Datos Personales del Cliente y no utiliza el contenido de los contratos, documentos o plantillas del Cliente para entrenar modelos propios.

8. Subencargados

El Cliente concede a RobyContracts una autorización general para utilizar subencargados cuando sean razonablemente necesarios para prestar los Servicios.

RobyContracts solo comunicará Datos Personales del Cliente a un subencargado en la medida necesaria para que este preste la función que se le encarga. Los subencargados indicados en la Sección 8.1 al aceptar este DPA quedan autorizados por escrito por el Cliente.

RobyContracts contrata subencargados que ofrecen obligaciones de privacidad, confidencialidad y seguridad conforme a sus términos de servicio, y seguirá siendo responsable de sus propias obligaciones bajo este DPA en la medida exigida por la legislación aplicable.

RobyContracts podrá sustituir o incorporar subencargados. Cuando un cambio sea material respecto del tratamiento de Datos Personales del Cliente, RobyContracts informará al Cliente mediante correo electrónico, aviso dentro del Servicio u otro medio razonable.

El Cliente podrá plantear una objeción razonada relacionada específicamente con la protección de Datos Personales. Las partes intentarán resolverla de buena fe. Si no fuera razonablemente posible resolverla, el Cliente podrá dejar de utilizar la parte afectada de los Servicios o terminar los Servicios conforme a los Términos de Servicio.

8.1. Subencargados actuales

Consulta las funciones y ubicaciones de los subencargados actuales.

Las ubicaciones de tratamiento dependen de la infraestructura de cada proveedor y pueden incluir Estados Unidos y otras jurisdicciones en las que dichos proveedores o sus subencargados operen legalmente.

8.2. Proveedores que no actúan necesariamente como subencargados de contenido

RobyContracts utiliza Polar Software, Inc. como Merchant of Record para determinadas transacciones comerciales.

Polar procesa información de facturación, pagos, impuestos, fraude, reembolsos, disputas y transacciones bajo sus propios términos y obligaciones legales.

Polar no recibe el contenido de los contratos, plantillas o documentos del Cliente para prestar las funciones documentales de RobyContracts y no se incluye en la lista anterior como subencargado del contenido documental bajo este DPA.

El tratamiento relacionado con pagos se describe adicionalmente en la Política de Privacidad y los Términos de Servicio.

9. Transferencias Internacionales

El Cliente reconoce que la prestación de los Servicios puede implicar tratamiento de Datos Personales en Estados Unidos y otras jurisdicciones en las que operen RobyContracts o sus subencargados autorizados.

Cuando una transferencia internacional de Datos Personales esté sujeta a requisitos específicos de las Leyes de Protección de Datos aplicables, RobyContracts utilizará los mecanismos jurídicos exigidos por dichas normas.

Para las transferencias a Estados Unidos, RobyContracts se apoya en los acuerdos de tratamiento de datos de Supabase, OpenRouter y Resend, que forman parte de sus términos de servicio e incorporan cláusulas contractuales tipo de la Comisión Europea. Respecto de los demás proveedores se aplican sus propios términos y políticas de privacidad.

Para tratamientos sujetos a la legislación ecuatoriana, RobyContracts realizará las transferencias o comunicaciones internacionales conforme a la LOPDP, su Reglamento y la normativa vigente emitida por la Superintendencia de Protección de Datos Personales.

Cuando resulte aplicable el GDPR o UK GDPR, las partes utilizarán, cuando sean legalmente necesarias, decisiones de adecuación, cláusulas contractuales tipo, adendas u otros mecanismos reconocidos por la legislación correspondiente.

Nada en esta Sección debe interpretarse como una afirmación de que un mecanismo específico resulta aplicable a toda transferencia o a todo Cliente independientemente de su jurisdicción.

10. Conservación, Eliminación y Ciclo de Vida de los Datos

10.1. Contenido activo

Mientras un contrato, plantilla o documento permanezca activo y el Cliente mantenga un derecho vigente de almacenamiento conforme al Servicio, RobyContracts conservará los Datos Personales y demás información razonablemente necesarios para proporcionar las funciones correspondientes.

RobyContracts puede conservar los archivos originales proporcionados por el Cliente, incluyendo plantillas DOCX y contratos originales, mientras el contenido correspondiente permanezca dentro de su ciclo de vida aplicable.

También pueden conservarse archivos generados en DOCX o PDF, documentos finales firmados cargados por el Cliente, campos extraídos, información estructurada, datos incorporados mediante enlaces privados, metadatos e historial documental necesarios para prestar los Servicios.

El Cliente es responsable de conservar fuera de RobyContracts las copias que necesite mantener permanentemente por razones comerciales, legales, regulatorias, contables o de archivo.

RobyContracts no debe considerarse el único repositorio permanente de los documentos jurídicos del Cliente.

10.2. Período posterior a la suscripción

Cuando una suscripción de pago finaliza voluntariamente, el período posterior a la suscripción comienza al terminar el período que ya había sido pagado.

Durante los seis meses calendario siguientes, el Cliente podrá continuar accediendo al Contenido del Cliente sujeto a dicho período y utilizar las funciones que permanezcan disponibles conforme a los Términos de Servicio.

Cuando corresponda, los usos de contrato previamente acumulados y todavía válidos podrán continuar utilizándose durante ese período.

La existencia de ese período no impide que un contenido específico tenga una fecha de eliminación anterior como consecuencia de haber sido archivado, enviado a la Papelera, eliminado permanentemente o sometido a otra instrucción válida.

Al llegar la fecha y hora exactas de eliminación aplicables al período posterior a la suscripción, los Datos Personales y demás Contenido del Cliente sujetos a dicho plazo dejan de estar disponibles y entran en el proceso de eliminación permanente.

No existe un período adicional de conservación por el solo hecho de que una operación haya sido iniciada antes de la hora límite.

10.3. Renovación fallida y recuperación de pago

Cuando falla un cobro de renovación, los nuevos usos de contrato asociados a esa renovación no se conceden mientras el pago no haya sido recibido.

Durante los primeros siete días posteriores al cobro fallido, RobyContracts podrá mantener el acceso normal conforme a los Términos de Servicio.

Si al finalizar dicho período el pago continúa pendiente, RobyContracts podrá iniciar el período posterior a la suscripción de seis meses aunque Polar mantenga temporalmente su propio proceso de recuperación del pago.

Si posteriormente el pago de esa renovación se completa exitosamente durante el proceso de recuperación de Polar, el estado de la suscripción y la conservación del Contenido del Cliente podrán volver al ciclo correspondiente a una suscripción activa conforme a los Términos de Servicio.

10.4. Compras individuales y extensión de conservación

Una compra individual válida de un uso de contrato podrá establecer o extender el período de conservación de Contenido del Cliente activo y no archivado hasta, como mínimo, seis meses calendario desde la fecha de dicha compra, conforme a las reglas de los Términos de Servicio.

Una nueva compra no reducirá una fecha de conservación posterior que ya resulte aplicable.

Una compra posterior no extiende automáticamente la conservación de contratos que ya se encontraban archivados.

10.5. Archivo

El Cliente puede colocar determinados contratos en un área de Archivo.

Archivar un contrato inicia un período máximo de conservación de seis meses calendario desde la fecha y hora en que el contrato fue archivado.

Durante ese período, el contrato archivado podrá permanecer visible y descargable conforme a las funciones ofrecidas por RobyContracts.

El Cliente podrá restaurarlo antes de su eliminación.

Cuando se restaura un contrato archivado, deja de aplicarse la fecha de eliminación propia del Archivo y el contrato pasa a regirse por el período de conservación aplicable al contenido activo.

La restauración no concede por sí sola seis nuevos meses de conservación.

Una fecha de eliminación anterior aplicable a la cuenta, organización o período posterior a la suscripción prevalecerá sobre una fecha posterior calculada para el Archivo.

10.6. Papelera

Cuando el Cliente elimina individualmente un contrato, plantilla u otro contenido sujeto a recuperación, dicho contenido podrá ingresar en la Papelera durante un período máximo de 30 días.

Durante ese período, las funciones disponibles podrán permitir Restaurar o Eliminar permanentemente ahora.

Un elemento restaurado volverá, cuando sea técnicamente posible, al estado que tenía antes de ingresar en la Papelera.

Si provenía del Archivo, volverá al Archivo y continuará sujeto al ciclo de conservación que le correspondía.

El período de Papelera no pausa ni extiende una fecha de eliminación anterior derivada del Archivo, del período posterior a la suscripción, del cierre de la cuenta u otra instrucción de eliminación.

La fecha de eliminación más temprana aplicable prevalece.

10.7. Eliminación permanente de contenido individual

Cuando el Cliente selecciona una función equivalente a Eliminar permanentemente ahora, el contenido correspondiente deja de estar sujeto al período ordinario de recuperación de la Papelera y entra en el proceso de eliminación permanente.

Una vez ejecutada la eliminación definitiva, el contenido deja de estar disponible mediante las funciones normales de RobyContracts.

RobyContracts no crea ni mantiene respaldos separados de los documentos del Cliente. Una vez ejecutada la eliminación definitiva, no puede restaurar el contenido desde un respaldo propio.

Determinados proveedores de infraestructura pueden mantener copias residuales durante períodos técnicos, regulatorios o de recuperación controlados por dichos proveedores. Tales copias permanecerán sujetas a las obligaciones de seguridad, confidencialidad y eliminación aplicables.

10.8. Cierre de cuenta u organización

El cierre definitivo de una cuenta u organización es distinto de la cancelación de una suscripción.

Cuando una persona debidamente autorizada confirma el cierre, el Cliente instruye a RobyContracts para iniciar la eliminación permanente del Contenido del Cliente correspondiente.

El cierre puede hacer finalizar inmediatamente períodos de conservación que, de otro modo, hubieran continuado durante el período posterior a la suscripción, Archivo o Papelera.

Los usuarios invitados pierden acceso al contenido de la organización cuando la organización correspondiente es cerrada.

La cuenta personal independiente de un usuario invitado podrá continuar existiendo si no forma parte del cierre.

10.9. Finalización del tratamiento

Al finalizar definitivamente el tratamiento de Datos Personales por cuenta del Cliente, el Cliente instruye a RobyContracts para eliminar dichos Datos Personales, salvo que:

• una obligación legal aplicable exija su conservación; o

• antes de la terminación las partes acuerden expresamente por escrito una instrucción diferente permitida por la legislación aplicable.

RobyContracts destruirá todas las copias de los Datos Personales del Cliente que existan bajo su control, salvo las que una obligación legal le exija conservar, y ejecutará la eliminación dentro del plazo exigido por las Leyes de Protección de Datos aplicables y conservará evidencia razonable de su ejecución cuando corresponda.

Antes de alcanzar una fecha de eliminación definitiva, el Cliente es responsable de descargar mediante las funciones disponibles cualquier información que desee conservar.

Cuando una Ley de Protección de Datos aplicable otorgue obligatoriamente al Cliente el derecho a elegir entre devolución y eliminación, RobyContracts cumplirá dicha obligación en la medida y forma exigidas por esa legislación.

10.10. Registros separados del Contenido del Cliente

La eliminación de Contenido del Cliente no exige necesariamente eliminar simultáneamente todos los registros respecto de los cuales RobyContracts actúe como Responsable independiente.

RobyContracts podrá conservar registros mínimos relacionados con aceptación contractual, facturación, transacciones, reembolsos, disputas, seguridad, prevención de fraude, instrucciones de eliminación, cumplimiento legal y defensa de reclamaciones durante los períodos descritos en su Política de Privacidad o exigidos por la legislación aplicable.

Dichos registros no autorizan a RobyContracts a conservar indefinidamente el contenido completo de contratos, plantillas, archivos firmados u otros Datos Personales tratados por cuenta del Cliente una vez terminado su ciclo de conservación aplicable.

11. Solicitudes de los Interesados

Teniendo en cuenta la naturaleza del tratamiento, RobyContracts prestará asistencia razonable al Cliente para responder a solicitudes relativas al ejercicio de derechos de los interesados cuando los Datos Personales correspondientes sean tratados por RobyContracts por cuenta del Cliente, y lo hará dentro de los dos (2) días siguientes a que el Cliente se lo solicite.

Si RobyContracts recibe directamente de un interesado una solicitud claramente relacionada con Datos Personales controlados por el Cliente, RobyContracts podrá remitir al interesado al Cliente o trasladar la solicitud al Cliente, salvo que la legislación aplicable exija otra actuación.

El Cliente seguirá siendo responsable de determinar si procede atender la solicitud y de dar las instrucciones correspondientes.

12. Incidentes y Violaciones de Datos Personales

RobyContracts mantendrá procedimientos razonables para identificar, investigar y responder a incidentes que puedan afectar a la confidencialidad, integridad o disponibilidad de Datos Personales del Cliente.

Cuando RobyContracts tenga conocimiento de una violación de Datos Personales que afecte a información tratada por cuenta del Cliente, notificará al Cliente tan pronto sea posible y a más tardar dentro de dos (2) días desde que tenga conocimiento de la violación.

En la medida en que la información esté disponible, RobyContracts procurará proporcionar detalles razonablemente necesarios para que el Cliente pueda evaluar y cumplir sus propias obligaciones de notificación.

La notificación de un incidente no constituye por sí misma reconocimiento de responsabilidad por parte de RobyContracts.

13. Auditorías y Evidencia de Cumplimiento

RobyContracts pondrá a disposición del Cliente información razonablemente necesaria para demostrar el cumplimiento de sus obligaciones como Encargado.

El Cliente podrá, en cualquier momento, revisar los registros y los procesos de tratamiento de RobyContracts relacionados con sus Datos Personales, por sí mismo o mediante un auditor, incluido un auditor acreditado por la autoridad de protección de datos, conforme a las condiciones de esta Sección.

Las solicitudes de auditoría deberán:

• estar razonablemente relacionadas con el tratamiento realizado por RobyContracts;

• realizarse con preaviso razonable, salvo incidentes graves u obligación legal;

• respetar la confidencialidad, seguridad y derechos de otros Clientes; y

• evitar interferencias desproporcionadas con la operación de los Servicios.

Cuando la información documental disponible sea suficiente para demostrar el cumplimiento, RobyContracts podrá utilizarla como primera forma de atender la solicitud.

Las auditorías presenciales o técnicamente intrusivas se limitarán a los casos en que sean razonablemente necesarias o exigidas por autoridad competente.

El Cliente asumirá los costos razonables de auditorías extraordinarias solicitadas exclusivamente por el Cliente, salvo cuando la auditoría revele un incumplimiento material de RobyContracts o la ley disponga otra cosa.

Nada en esta Sección limita las auditorías, inspecciones o requerimientos de la autoridad de protección de datos ni de un auditor acreditado por ella: RobyContracts las permitirá y colaborará con ellas sin exigir preaviso ni condiciones que las impidan, y su costo no se trasladará al Cliente.

14. Confidencialidad y Acceso Humano

RobyContracts no accede al contenido de los contratos y documentos del Cliente como parte de la operación humana ordinaria del Servicio.

Los sistemas automatizados de RobyContracts necesariamente procesan dicho contenido para prestar las funciones contratadas.

Los accesos humanos técnicamente privilegiados estarán limitados a personas autorizadas y podrán utilizarse cuando sea necesario para:

• cumplir instrucciones expresas del Cliente;

• investigar incidentes de seguridad;

• resolver problemas técnicos que no puedan abordarse razonablemente de otra manera;

• realizar implementación, pruebas, soporte o diagnóstico cuando exista autorización válida del Cliente; o

• cumplir una obligación legal válida.

Cuando exista un acuerdo separado con un Cliente que autorice expresamente acceso humano adicional para pruebas, implementación, soporte o diagnóstico, dicho acuerdo prevalecerá respecto de esa autorización específica.

De forma excepcional, cuando una falla reportada por un Cliente no puede diagnosticarse sin el documento afectado, el responsable de RobyContracts puede introducir el fragmento mínimo necesario en Claude Code, la herramienta de asistencia de programación de Anthropic con la que desarrolla la plataforma. Para ello utiliza una cuenta con el entrenamiento desactivado; Anthropic conserva ese contenido hasta treinta (30) días, el registro local se elimina en el mismo plazo, y el uso no es rutinario. Esta herramienta figura en la lista de subencargados.

15. Datos Sensibles o Categorías Especiales

RobyContracts no requiere que el Cliente proporcione categorías especiales o sensibles de Datos Personales para utilizar las funciones ordinarias del Servicio.

No obstante, los contratos o documentos proporcionados por el Cliente pueden contener información que, dependiendo de su contenido y de la legislación aplicable, tenga naturaleza sensible o esté sujeta a requisitos especiales.

Si el Cliente decide incorporar información de esa naturaleza, será responsable de determinar previamente que cuenta con una base jurídica válida y que el tratamiento mediante RobyContracts resulta apropiado y lícito.

RobyContracts aplicará las medidas de seguridad generales descritas en este DPA, sin que la carga unilateral de información especialmente sensible por parte del Cliente implique la aceptación de obligaciones adicionales no acordadas expresamente.

16. Responsabilidad

La responsabilidad de las partes derivada de este DPA está sujeta al régimen de limitación de responsabilidad establecido en los Términos de Servicio de RobyContracts.

Para los Servicios de pago, el límite contractual general acordado en los Términos se calculará tomando como referencia las cantidades efectivamente pagadas o pagaderas por el Cliente por los Servicios durante los doce meses inmediatamente anteriores al hecho que dio lugar a la reclamación, incluyendo cantidades no reembolsadas correspondientes a suscripciones, compras individuales u otros Servicios, y excluyendo impuestos y cantidades reembolsadas.

Cuando los Servicios se hayan prestado íntegramente sin cargo, incluida una prueba o función gratuita, el límite contractual general será de USD 10, salvo que los Términos de Servicio establezcan válidamente otra regla aplicable.

Nada en este DPA limitará una responsabilidad en la medida en que dicha responsabilidad no pueda ser legalmente limitada o excluida.

Nada en esta Sección limita los derechos que las Leyes de Protección de Datos otorguen directamente a los interesados ni las competencias de las autoridades de protección de datos.

17. Vigencia

Este DPA entra en vigor cuando es aceptado válidamente por el Cliente o por una persona autorizada para actuar en su nombre y permanecerá vigente mientras RobyContracts trate Datos Personales por cuenta del Cliente.

Las obligaciones que por su naturaleza deban sobrevivir a la terminación, incluyendo confidencialidad, eliminación, protección de Datos Personales y responsabilidad, permanecerán vigentes durante el período correspondiente.

18. Relación con otros Documentos

Este DPA forma parte de los Términos de Servicio de RobyContracts.

En caso de conflicto entre este DPA y los Términos de Servicio respecto del tratamiento de Datos Personales por cuenta del Cliente, prevalecerá este DPA en la medida del conflicto.

La Política de Privacidad regula los tratamientos en los que RobyContracts actúa como Responsable y proporciona información adicional sobre las prácticas generales de privacidad del Servicio.

Cuando RobyContracts y un Cliente hayan celebrado un acuerdo separado y firmado que establezca condiciones específicas para dicho Cliente, ese acuerdo prevalecerá únicamente respecto de las disposiciones específicas que expresamente modifique.

19. Ley Aplicable y Jurisdicción

Este DPA se rige por las leyes de la República del Ecuador.

Salvo cuando una norma imperativa disponga otra cosa, las partes se someten a los jueces competentes del Distrito Metropolitano de Quito, provincia de Pichincha, Ecuador.

Nada en esta cláusula limita la aplicación de normas obligatorias de protección de datos que resulten aplicables al Cliente, a los interesados o al tratamiento.

20. Contacto

Para consultas relacionadas con este DPA, protección de datos, privacidad, seguridad o asuntos legales relacionados con el Servicio:

José Córdova.

RUC: 1707017693001.

Operando comercialmente bajo la marca: RobyContracts.

Correo electrónico: support@askroby.io.

Dirección: Quito, Pichincha, Ecuador.

Teléfono: +593 99 061 2230.

RobyContracts no ha designado actualmente un Delegado de Protección de Datos Personales. Las consultas relacionadas con protección de datos pueden dirigirse al correo indicado anteriormente.

Anexo A — Detalles del Tratamiento.

A.1. Objeto.

Prestación de los Servicios de RobyContracts, incluyendo recepción, almacenamiento, lectura, extracción, estructuración, organización, generación, modificación, administración, visualización, descarga, archivo, recuperación y eliminación de contratos, plantillas y demás contenido proporcionado o generado por el Cliente, incluyendo cuando corresponda procesamiento asistido por inteligencia artificial.

A.2. Naturaleza del Tratamiento.

El tratamiento puede incluir:

• recepción y almacenamiento de contratos, plantillas y otros archivos;

• lectura y conversión de documentos a formatos utilizables por el Servicio;

• procesamiento de imágenes cuando resulte necesario;

• extracción automatizada de texto e información estructurada;

• identificación y organización de campos contractuales;

• clasificación y estructuración automatizada;

• generación y renovación de contratos;

• generación de documentos DOCX, PDF u otros formatos disponibles;

• almacenamiento y recuperación de documentos y datos;

• generación de enlaces privados para recopilación de información autorizada por el Cliente;

• recepción de información proporcionada por terceros mediante dichos enlaces;

• recepción y almacenamiento de contratos finales o firmados cargados por el Cliente;

• procesamiento mediante modelos de inteligencia artificial;

• generación de metadatos e historial documental;

• cálculos y transformaciones automatizadas necesarias para las funcionalidades contratadas;

• archivo y restauración; y

• eliminación.

A.3. Finalidad.

Permitir que el Cliente prepare, renueve, genere, complete, administre, almacene, revise, descargue y conserve temporalmente contratos y documentos relacionados, recopile información necesaria de partes o terceros autorizados, procese información contractual mediante funciones automatizadas y utilice las demás funcionalidades disponibles en RobyContracts.

A.4. Duración.

Durante el período en que el Cliente utilice los Servicios y posteriormente durante los períodos de conservación aplicables a cada categoría de Contenido del Cliente conforme a la Sección 10 de este DPA.

Dependiendo del estado del contenido, dichos períodos pueden incluir conservación mientras el contenido permanezca activo, hasta seis meses calendario durante el período posterior a la suscripción, hasta seis meses calendario desde el archivo de un contrato o hasta 30 días en la Papelera, siempre sujetos a cualquier fecha de eliminación anterior aplicable.

Después de la fecha de eliminación correspondiente, el tratamiento continuará únicamente durante el tiempo técnicamente necesario para ejecutar la eliminación y cumplir las obligaciones legales aplicables.

A.5. Categorías de Datos Personales.

Los Datos Personales dependen del contenido que el Cliente decida proporcionar y pueden incluir:

• nombres y apellidos;

• números de cédula, pasaporte u otros identificadores;

• información de contacto;

• direcciones;

• información contractual;

• información sobre arrendamientos;

• información sobre inmuebles;

• datos de arrendadores, arrendatarios y garantes;

• datos de representantes o apoderados;

• fechas relevantes para relaciones contractuales;

• información económica y comercial;

• valores de renta, depósitos, garantías u otras cantidades contractuales;

• información financiera contenida en documentos;

• identificadores tributarios;

• información laboral o profesional;

• firmas incluidas en documentos;

• información contenida en contratos firmados;

• información incluida en fotografías, documentos escaneados o archivos digitales;

• información incorporada mediante enlaces privados o formularios asociados a contratos;

• metadatos relacionados con documentos y su procesamiento; y

• cualquier otra categoría de Datos Personales incorporada por el Cliente.

El Cliente controla el contenido que proporciona a RobyContracts.

A.6. Categorías de Interesados.

Pueden incluir:

• usuarios autorizados del Cliente;

• propietarios o arrendadores;

• arrendatarios;

• garantes;

• representantes legales;

• apoderados;

• empleados;

• trabajadores;

• contratistas;

• clientes;

• proveedores;

• administradores o gestores de inmuebles;

• propietarios de inmuebles;

• socios o accionistas;

• personas mencionadas en contratos, anexos, comunicaciones o documentos; y

• otros terceros cuyos Datos Personales aparezcan en el contenido proporcionado por el Cliente.

A.7. Frecuencia.

El tratamiento se realiza de forma continua o según las instrucciones y utilización del Servicio por parte del Cliente.

Determinadas operaciones se ejecutan únicamente cuando el Cliente inicia una acción específica, como cargar un contrato, generar un documento, proporcionar un enlace privado, archivar, restaurar, eliminar o solicitar otra función disponible.

A.8. Instrucción de Eliminación.

Salvo instrucción escrita distinta válidamente acordada o una obligación legal aplicable, el Cliente instruye a RobyContracts para eliminar los Datos Personales tratados por su cuenta cuando finalice el ciclo de tratamiento correspondiente conforme a la Sección 10 de este DPA.

La eliminación podrá producirse, según corresponda, como consecuencia de:

• una instrucción de eliminación permanente emitida por el Cliente;

• el vencimiento del período de 30 días de la Papelera;

• el vencimiento del período de hasta seis meses aplicable a un contrato archivado;

• el vencimiento del período posterior a la suscripción;

• el cierre definitivo de la cuenta u organización; o

• cualquier otra instrucción o causa de eliminación establecida válidamente en los Términos de Servicio y este DPA.

Cuando concurran varias fechas de eliminación, prevalecerá la fecha válida más temprana, salvo que una nueva relación de pago o restauración produzca expresamente una extensión permitida conforme a los Términos de Servicio y antes de que se haya ejecutado la eliminación definitiva.