Política de Privacidad

1 Quién es el responsable

El responsable del tratamiento de los datos descritos en esta política es Fernando Sebastián Vallejo Noboa, persona natural, RUC 0201734746001, proveedor de software de facturación electrónica registrado ante el SRI, del régimen RIMPE Negocio Popular, que presta el servicio Cobra (facturacobra.com). En esta política lo llamamos «Cobra» o «nosotros».

Domicilio: Luis A. Martínez, San Juan Alto, Cumbayá, Quito, Ecuador.
Correo para temas de datos personales: privacidad@facturacobra.com.
Delegado de protección de datos: por ahora no hemos designado uno. Tus pedidos los atiende directamente el responsable en privacidad@facturacobra.com.

2 Dos papeles distintos: responsable y encargado

Cobra trata datos en dos calidades distintas, y conviene separarlas:

Como responsable, tratamos los datos de quien usa Cobra: el dueño del negocio y su cuenta, sus pagos de suscripción, el soporte, los correos que te mandamos y la medición de nuestro sitio. Sobre estos datos responde Cobra.
Como encargado, tratamos por cuenta tuya los datos de tus clientes (a quienes facturas), de tu personal (cajeros y meseros que registras) y de tus proveedores (comprobantes que recibes). Aquí el responsable eres tú: decides qué datos ingresas y para qué. Nosotros solo los usamos para prestarte el servicio, según las condiciones de encargo de la sección 11 de los Términos y Condiciones.

3 Qué datos tratamos

Tu cuenta: nombre del negocio, correo y contraseña (guardada con un hash irreversible, nunca en texto plano). La sesión se mantiene con un token que el navegador guarda en su almacenamiento local y que caduca en 24 horas.
Tu negocio: RUC, razón social, nombre comercial, dirección de la matriz, régimen tributario, establecimientos, puntos de emisión, logo y textos que configuras para tus comprobantes. Para autocompletar y verificar, consultamos el catastro público del SRI.
Tu firma electrónica: el archivo de certificado (.p12 o .pfx), su contraseña (guardada cifrada con AES-256-GCM, en un lugar distinto del archivo), el nombre del titular, las identificaciones que trae el certificado y su fecha de vencimiento. Ver la sección 6.
Tu operación: productos, fotos de productos, precios, recetas, inventario, cajas, pedidos y mesas, ventas, comprobantes electrónicos (XML y PDF/RIDE) y sus respuestas del SRI.
Datos de tus clientes: lo que ingresas para facturarles: nombre o razón social, tipo y número de identificación (cédula, RUC o pasaporte) y, si los das, correo, teléfono y dirección.
Datos de tu personal: nombre, rol y un PIN de acceso que guardamos solo como huella criptográfica (HMAC), nunca legible.
Pagos de suscripción: plan, fechas, estado e identificadores del cliente y de la suscripción en Stripe o PayPal. Los datos de tarjeta los procesan directamente Stripe o PayPal: Cobra no los ve ni los guarda. Si pagas por transferencia o Deuna, guardamos la captura del comprobante que adjuntas.
Soporte: los mensajes de tus tickets y sus adjuntos (imágenes o PDF).
Correos: un registro de los correos que te enviamos o que enviamos a tus clientes por encargo tuyo (destinatario, tipo, fecha, estado de entrega y rebotes) y tus preferencias de baja.
Técnicos y de seguridad: dirección IP, navegador, fechas y rutas de las solicitudes en los registros del servidor; reportes de errores de la aplicación (sin contraseñas, cuerpos de las solicitudes, cédulas ni correos).
Medición y publicidad: identificadores de las cookies de Google Analytics 4 y del píxel de Meta, la IP y el navegador. Si tienes cuenta, al registrarte y al pagar enviamos a Meta tu correo y tu identificador de cuenta, siempre transformados en un hash irreversible (SHA-256). Ver la sección 9.
Referidos: tu código de referido, quién te refirió y los beneficios aplicados.

Si no nos das los datos de la cuenta, no podemos crearla. Si no subes una firma electrónica, Cobra funciona igual, pero solo registra ventas sin factura, que no son comprobantes válidos ante el SRI.

4 Para qué los usamos y con qué base legal

Prestarte el servicio (punto de venta, inventario, caja, reportes, exportaciones): ejecución del contrato que aceptas en los Términos.
Armar, firmar y transmitir tus comprobantes al SRI y enviarlos por correo a tus clientes: ejecución del contrato y tu autorización expresa para custodiar y usar tu firma (sección 6). Frente a tus clientes, la base es tu obligación legal tributaria de emitir el comprobante.
Cobrar la suscripción, emitir nuestras facturas y atender soporte: ejecución del contrato y cumplimiento de obligaciones legales.
Seguridad, prevención de fraude y registros técnicos: interés legítimo en proteger el servicio y a sus usuarios.
Correos de producto (consejos de uso, recordatorios, novedades): interés legítimo, con un enlace de baja en cada correo. Los correos operativos (comprobantes, recuperación de clave, avisos de pago, de firma por vencer y de soporte) no tienen baja, porque sin ellos el servicio no funciona.
Medición del sitio y publicidad en Meta y Google: nuestro interés legítimo en medir qué anuncios funcionan y mostrar Cobra a negocios a los que les puede servir, según la Resolución SPDP-SPD-2025-0041-R de la Superintendencia de Protección de Datos Personales. Antes de hacerlo evaluamos y documentamos que este uso no pesa más que tus derechos (evaluación de ponderación); puedes pedirnos una copia. Puedes oponerte gratis y en cualquier momento, con efecto inmediato y sin perder el acceso al servicio (sección 9).
Funciones con inteligencia artificial (leer la foto de tu carta o lista de precios, convertir una receta escrita en ingredientes y revisar la captura de un pago manual): ejecución del contrato, cuando tú usas la función o adjuntas el comprobante.

No vendemos tus datos ni los de tus clientes, y no usamos los datos de tus clientes para publicidad, perfiles ni fines propios.

5 Decisiones automatizadas

Cuando pagas por transferencia o Deuna y adjuntas la captura, un modelo de inteligencia artificial la revisa contra reglas fijas (beneficiario, monto exacto, fecha y número de transacción no repetido). Si todo cuadra, tu plan se activa al instante. Si algo no cuadra, no se te niega nada: el ticket queda para revisión de una persona del equipo, que decide. Puedes pedir en cualquier momento que una persona revise tu caso escribiéndonos.

6 Tu firma electrónica

Para firmar tus comprobantes necesitamos guardar tu certificado y su contraseña. Lo hacemos solo porque tú nos lo autorizas al subirla, y así lo protegemos:

El archivo .p12 se guarda en el servidor con acceso restringido al proceso de Cobra. Su contraseña se guarda cifrada (AES-256-GCM) en la base de datos, con una llave que no se usa para nada más.
No existe ninguna función, pantalla ni API que devuelva tu certificado o su contraseña: solo se pueden subir y borrar. No viajan por correo ni en las exportaciones.
Se abre en un proceso aislado y solo para firmar los comprobantes que tú (o tu personal, o una integración que tú conectaste) ordenas emitir. Cada comprobante firmado queda registrado en tu cuenta.
Las copias de respaldo del certificado se cifran con una llave que no está en el servidor.
Puedes reemplazar o borrar tu firma cuando quieras desde Config. Al borrarla, se elimina de inmediato del servidor, y de las copias de respaldo cifradas cuando rotan.

La herramienta gratuita «Firma electrónica de PDF» (facturacobra.com/firma-electronica) funciona distinto: el certificado y la contraseña se usan solo en memoria para firmar ese documento y no se guardan.

7 Con quién compartimos datos

Solo con quien hace falta para prestar el servicio, y solo lo necesario:

Servicio de Rentas Internas (SRI): los comprobantes que emites, como exige la ley.
netcup GmbH (Alemania): aloja los servidores donde viven la aplicación, la base de datos y los archivos.
Amazon Web Services (EE. UU.): guarda las copias de respaldo.
Cloudflare (EE. UU.): red de entrega y protección del sitio; ve el tráfico que pasa por facturacobra.com.
Emailit: envía los correos, incluidos los comprobantes a tus clientes.
Stripe y PayPal (EE. UU.): procesan los pagos con tarjeta o cuenta PayPal.
Anthropic (EE. UU.): procesa la foto, el texto o la captura que envías a una función de inteligencia artificial. Según sus condiciones comerciales, no usa esos datos para entrenar sus modelos.
Meta Platforms (píxel de Meta y Conversions API) y Google (Google Analytics 4), en EE. UU.: medición y publicidad, sobre la base de nuestro interés legítimo y mientras no te opongas (sección 9).
Integraciones que tú conectes (API, webhooks o asistentes): reciben lo que tú configuras.
Autoridades, cuando una ley u orden judicial lo exija.

Con cada proveedor que trata datos por nuestra cuenta mantenemos condiciones contractuales de confidencialidad y seguridad.

8 Transferencias internacionales

Los servidores de Cobra están en Alemania (Unión Europea) y las copias de respaldo y varios proveedores están en Estados Unidos. Eso significa que tus datos, y los de tus clientes, se transfieren fuera del Ecuador. Lo hacemos porque es necesario para prestarte el servicio que contratas, con proveedores que ofrecen garantías de seguridad y confidencialidad; las transferencias a Meta y Google en EE. UU., con fines de medición y publicidad, se basan en nuestro interés legítimo y se detienen si te opones (sección 9). Al aceptar los Términos y subir los datos de tus clientes, autorizas esa transferencia y declaras que puedes autorizarla por ellos.

9 Cookies, almacenamiento local y medición

Necesarias: el punto de venta guarda en el almacenamiento local de tu navegador la sesión, una copia de trabajo de tu catálogo y preferencias de pantalla, para que funcione rápido y sin conexión. Sin ellas, Cobra no funciona.
Medición y publicidad: sí usamos cookies de medición y publicidad. En facturacobra.com y en el punto de venta cargamos Google Analytics 4 (de Google) y el píxel de Meta (de Meta Platforms). Además, con la Conversions API de Meta, nuestro servidor le avisa de tu registro y de tus pagos, con tu correo y tu identificador de cuenta en hash, tu IP y tu navegador. Lo usamos para saber qué anuncios funcionan y mostrar Cobra a negocios parecidos. La base es nuestro interés legítimo (sección 4). Meta y Google están en EE. UU. Nunca usamos datos de tus clientes, datos sensibles ni datos de menores, y no armamos perfiles que tengan efectos jurídicos sobre ti.
Errores: si el punto de venta falla, se envía un reporte técnico a nuestro propio servidor de errores, sin datos personales de tus clientes.

Puedes borrar las cookies y el almacenamiento local desde tu navegador cuando quieras; si lo haces, tendrás que volver a iniciar sesión.

No usar mis datos para publicidad

Puedes oponerte a la medición y la publicidad cuando quieras. Es gratis, tiene efecto inmediato y no tienes que explicar por qué:

Si tienes cuenta: en el punto de venta, ve a Config y activa «No usar mis datos para publicidad». Desde ese momento dejamos de cargar el píxel de Meta y Google Analytics en tu cuenta y dejamos de enviar tus eventos a Meta por la Conversions API.
En el sitio: usa el enlace «No usar mis datos para publicidad» del pie de cualquier página. En ese navegador dejamos de cargar el píxel de Meta y Google Analytics.

También puedes pedirlo a privacidad@facturacobra.com.

10 Cómo los protegemos

Conexiones cifradas (HTTPS), contraseñas con hash, la contraseña de la firma cifrada, base de datos accesible solo desde el propio servidor, separación de los datos de cada negocio, permisos por rol para tu personal y respaldos diarios. Ningún sistema es infalible: si ocurre una vulneración de seguridad que afecte tus datos, la notificaremos a la Superintendencia de Protección de Datos Personales y te avisaremos dentro de los plazos que fija la LOPDP (5 días hábiles a la autoridad y 3 días hábiles a los afectados), con lo que sepamos y lo que estés en condiciones de hacer. Si el incidente afecta datos de tus clientes, te avisamos a ti, como responsable, en un máximo de 2 días hábiles.

11 Cuánto tiempo los guardamos

Cuenta y operación: mientras tu cuenta esté activa.
Comprobantes electrónicos: mientras tengas cuenta, Cobra los guarda y puedes descargarlos. Si eliminas tu cuenta, tienes 90 días para descargarlos; después los borramos, con sus XML. La obligación de conservarlos 7 años es tuya, como contribuyente. Los comprobantes autorizados también quedan en el SRI.
Firma electrónica: hasta que la borres o hasta que se elimine tu cuenta (90 días después de pedirlo); en las copias de respaldo cifradas, hasta que rotan.
Pagos de suscripción y nuestras facturas: 7 años, por obligación tributaria.
Tickets de soporte y adjuntos: 2 años desde el cierre.
Registros técnicos del servidor: se rotan solos, en general en semanas.
Copias de respaldo: están cifradas, rotan y se borran en su ciclo normal.
Datos de medición: según la configuración de Google y Meta (en Google Analytics, 14 meses).

Cuando se elimina tu cuenta, borramos todo lo demás, salvo los registros de tus pagos y las facturas que te emitimos, que la ley tributaria nos obliga a guardar.

12 Tus derechos

Según la LOPDP puedes pedir en cualquier momento:

Acceso: saber qué datos tuyos tenemos y cómo los usamos. Buena parte la ves y la exportas (CSV, Excel o PDF) desde la propia app.
Rectificación y actualización: corregir datos inexactos o incompletos.
Eliminación: que borremos tus datos, con los límites legales de la sección 11.
Oposición y suspensión: que dejemos de tratarlos para un fin concreto, por ejemplo correos de producto o publicidad. Para la publicidad tienes un botón directo (sección 9).
Portabilidad: recibir tus datos en un formato estructurado y de uso común.
No ser objeto de decisiones solo automatizadas (sección 5) y retirar tu consentimiento cuando sea la base del tratamiento.

Escríbenos a privacidad@facturacobra.com desde el correo de tu cuenta. Te respondemos en un plazo máximo de 10 días hábiles. Si necesitamos que aclares tu pedido, te lo diremos una sola vez. Si no quedas conforme, puedes presentar un reclamo ante la Superintendencia de Protección de Datos Personales.

Si eres cliente de un negocio que usa Cobra y quieres ejercer tus derechos sobre los datos de tus facturas, dirígete a ese negocio, que es el responsable. Si nos escribes a nosotros, le trasladaremos tu pedido.

Para eliminar tu cuenta y tus datos, ve a Config → Zona de peligro. La eliminación se programa a 90 días y puedes anularla hasta esa fecha. Te avisamos por correo al programarla, 30 y 7 días antes y al eliminarla, con un enlace para descargar tus comprobantes. Detalle en la sección 15 de los Términos.

13 Menores de edad

Cobra es una herramienta para negocios y no está dirigida a menores de edad. Si facturas a un menor, tú como responsable debes cumplir las reglas especiales de la LOPDP para sus datos.

14 Cambios y contacto

Si cambiamos esta política de forma relevante, te avisaremos por la app o por correo con al menos 15 días de anticipación, y verás la nueva fecha arriba. Las versiones anteriores quedan disponibles a pedido. Cualquier duda o solicitud: privacidad@facturacobra.com.