Política de privacidad

Versión 2026-10-28 · vigente desde el 28 de octubre de 2026. Se dicta conforme a la Ley Orgánica de Protección de Datos Personales (LOPDP, Registro Oficial Suplemento 459 del 26 de mayo de 2021) y su reglamento, y forma parte del contrato de servicio.

1. Quién trata los datos

José Enrique Tabango Castillo, RUC 0705842110001, nombre comercial Obras. Contacto para todo lo relativo a datos personales: hola@kostoa.com.

Obras cumple dos papeles distintos:

• Responsable de los datos de quienes visitan kostoa.com, se anotan en la lista de espera, piden una demostración o crean una cuenta, y de los usuarios del sistema (nombre, identificación, correo, teléfono, clave cifrada, ingresos y sesiones).
• Encargado de los datos que cada empresa cliente registra en el sistema (sus clientes, proveedores, trabajadores y sus familiares, documentos y saldos). Esos datos son de la empresa cliente, que es la responsable: Obras los trata solo por su cuenta y para prestarle el servicio.

2. Para qué y con qué base

• Crear y mantener la cuenta, dar el servicio y el soporte: ejecución del contrato.
• Facturar la suscripción y cumplir obligaciones tributarias y contables: obligación legal.
• Avisos del servicio (vencimientos, mantenimientos, cambios del contrato) y seguridad de la cuenta (ingresos, intentos fallidos, sesiones): ejecución del contrato e interés legítimo.
• Medir el uso del sitio y del sistema para mejorarlo, sin cookies y sin datos del negocio: interés legítimo.
• Responder a la lista de espera y a las solicitudes de demostración: consentimiento.

Obras no vende datos, no los usa para publicidad y no usa los datos de una empresa para otra. Obras IA solo consulta los datos de la empresa con la que el usuario trabaja en ese momento.

3. Como encargado, Obras se obliga a

• Tratar los datos de la empresa cliente solo según sus instrucciones, que son el uso del sistema.
• Mantenerlos separados por empresa y confidenciales, también frente a su propio personal.
• Entrar a la empresa del cliente solo con su autorización, que queda registrada con fecha y alcance.
• Avisar a la empresa cliente sin demora, y a más tardar en 48 horas, de cualquier vulneración de seguridad que afecte sus datos, con lo que se sepa y lo que se está haciendo, para que pueda cumplir su propio aviso a la Autoridad de Protección de Datos Personales y a los titulares.
• Ayudarla a atender las solicitudes de los titulares de esos datos.
• Al terminar el contrato, devolverle los datos («Exportar mis datos») y borrarlos a los 60 días, salvo lo que la ley obligue a conservar.

4. Con quién se comparten

Solo con proveedores que Obras necesita para prestar el servicio, y solo lo necesario:

• Proveedor de servidores en la nube donde funciona el sistema.
• Google (Drive), donde se guardan los respaldos diarios de la base de datos.
• Google (Gmail), para enviar correos del sistema y los comprobantes electrónicos.
• Proveedores de inteligencia artificial (Groq, Google Gemini, Mistral, OpenRouter y Anthropic), solo cuando el usuario usa Obras IA: reciben la pregunta y los datos necesarios para responderla, no la base de datos completa.
• Umami, para medir visitas sin cookies y sin datos personales del negocio.
• El SRI, el IESS y los bancos, cuando el cliente envía desde el sistema sus comprobantes, archivos o pagos.

Varios de estos proveedores tienen servidores fuera del Ecuador, sobre todo en Estados Unidos. Obras elige proveedores que garantizan un nivel adecuado de protección y les exige confidencialidad; al aceptar esta política el cliente autoriza esa transferencia internacional para los fines descritos.

5. Cuánto tiempo

• Datos de la cuenta y de la empresa: mientras dure el contrato y 60 días después.
• Respaldos: 60 días cada uno.
• Facturas de la suscripción: siete años, por obligación tributaria.
• Lista de espera y solicitudes de demostración: hasta que la persona pida salir.

6. Cómo se protegen

Conexión cifrada (HTTPS) en todo el sitio, claves guardadas con cifrado de una vía, clave de la firma electrónica cifrada, aislamiento de los datos por empresa, permisos por usuario y registro de auditoría de ingresos y cambios, respaldos diarios y acceso del equipo de Obras solo con autorización del cliente.

7. Sus derechos

Usted puede pedir acceso, rectificación y actualización, eliminación, oposición, portabilidad y suspensión del tratamiento de sus datos, y no ser objeto de decisiones basadas solo en tratamientos automatizados. Escriba a hola@kostoa.com desde el correo de su cuenta o con una copia de su identificación; respondemos en un máximo de 15 días. Si los datos los registró una empresa cliente (por ejemplo, usted es su trabajador o su cliente), le remitimos la solicitud a esa empresa, que es la responsable, y la ayudamos a atenderla. Si no queda conforme, puede acudir a la Superintendencia de Protección de Datos Personales.

8. Cambios

Si esta política cambia, Obras avisa por correo y en el sistema con al menos 30 días de anticipación y publica aquí la nueva versión con su fecha.