Aviso de privacidad del Programa de Afiliados de YAPI
Versión (PRIVACY_VERSION) | privacidad-v1-2026-10-31 |
| Estado | Vigente |
| Vigente desde | 2026-10-31 |
| Idioma | Español. Es la única versión vinculante |
1. Quién trata tus datos
YAPI S.A.S., RUC 1091798207001, con domicilio en la Calle Bolívar s/n y Arturo Pérez, Edificio Julio Miguel Aguinaga, piso 1, Atuntaqui, cantón Antonio Ante, provincia de Imbabura, Ecuador («YAPI»), es la responsable del tratamiento de los datos personales de quienes participan en su programa de afiliados, conforme a la Ley Orgánica de Protección de Datos Personales del Ecuador (LOPDP).
Para ejercer tus derechos o preguntar por tus datos: privacidad@yapi.ec.
Delegado de protección de datos: dpo@yapi.ec.
Este aviso es para los afiliados y para quienes reciben una invitación al programa. Los clientes que compran en las aplicaciones de YAPI tienen el aviso de privacidad de cada aplicación.
2. De dónde salen tus datos
De ti: al aceptar la invitación, al usar tu panel, al reportar un bug y al enviarnos tu RUC, tu factura o tus datos de cobro.
De YAPI: quien te invita escribe tu correo y tu nombre para enviarte la invitación.
De las aplicaciones de YAPI: cuando un cliente paga con tu código, la aplicación nos avisa de la venta (monto, fecha, tu código y un identificador del cliente que no dice quién es) y, si la tiene, una huella de quien compra: un código que se calcula con una clave secreta a partir de su correo (y de su RUC, si la aplicación lo tiene) y que, sin esa clave, no permite recuperarlos. Hoy micolecta envía solo la del correo de la cuenta que compró. Esa huella se compara con la tuya en el momento y no se guarda.
3. Qué datos tratamos, para qué y hasta cuándo
| Datos | Para qué | Base legal | Hasta cuándo |
|---|---|---|---|
| Correo y nombre (cifrados) | Tu cuenta, entrar al panel, contactarte sobre el programa y detectar compra propia | Ejecución del contrato | Hasta que pidas suprimirlos. Mientras no lo pidas, también después de tu baja |
| Correo y nombre de una invitación (cifrados) | Enviarte la invitación y crear tu cuenta | Interés legítimo de YAPI en invitarte al programa | Se borran al aceptarla, al revocarla o cuando caduca (3 días) |
| RUC (cifrado) | Pagarte contra tu factura, cumplir obligaciones tributarias y detectar compra propia | Ejecución del contrato y obligación legal | Hasta que pidas suprimirlo; después, solo una huella con clave, como dice la sección 7 |
| Contraseña (solo una huella irreversible, nunca la contraseña), secreto del segundo factor (cifrado) y códigos de recuperación (solo su huella) | Proteger tu cuenta | Ejecución del contrato | Hasta que los cambies, se reinicie tu acceso o pidas la supresión |
| Sesiones (solo una huella del token) | Mantenerte dentro del panel | Ejecución del contrato | 12 horas como máximo; 30 minutos sin uso |
| Registro de accesos: fecha, resultado, dirección IP y navegador (sin cifrar) y una huella de la cuenta | Seguridad: frenar intentos de entrar a tu cuenta y detectar ataques | Interés legítimo en la seguridad | 12 meses. Los intentos contra un correo que no es de ningún afiliado: 30 días. Se borra al suprimir tus datos |
| Mayoría de edad: que eres mayor de 18, si lo declaraste o diste tu fecha de nacimiento, y cuándo (nunca la fecha) | Cumplir el requisito de edad del programa | Ejecución del contrato | Para siempre, ligada a un identificador interno, como prueba |
| Tus aceptaciones: qué versión de los términos y de este aviso aceptaste y cuándo | Probar qué aceptaste | Obligación legal y ejecución del contrato | Para siempre, ligadas a un identificador interno |
| Tu actividad en el programa: país, códigos de afiliado, ventas atribuidas (monto, fecha, aplicación, identificador opaco del cliente o del local), el resultado de cada comparación de compra propia (no la huella), comisiones, movimientos, retiros con el número de tu factura y la referencia de la transferencia, puntos, XP, misiones y cosméticos, la fecha y el motivo de tu salida, y el registro de lo que el equipo de YAPI y el sistema hicieron en tu cuenta (solo identificadores, sin tus datos) | Calcular y pagarte lo que ganas, llevar la contabilidad del programa y probar lo pagado | Ejecución del contrato y obligación legal (contable y tributaria) | Para siempre, ligada a un identificador interno que, tras la supresión, ya no lleva a tu nombre. Tu código de afiliado es un seudónimo: se conserva para siempre porque cada venta se atribuye con él |
| Aviso de venta completo que envía la aplicación (con tu código y el identificador del cliente; sin cifrar) | Comprobar y corregir la recepción de ventas | Ejecución del contrato | 90 días desde que llega. Después se conservan solo los datos de la venta de la fila anterior |
| Texto de tus bugs (cifrado) | Decidir tu reporte y su recompensa | Ejecución del contrato | 180 días desde que YAPI lo decide. Sin decidir: hasta que YAPI lo decida (como mucho 10 a la vez); tras una supresión, hasta decidirlo o 12 meses |
| Notas internas de YAPI al decidir un bug o al cancelar un retiro (sin cifrar) | Explicar la decisión ante una consulta tuya | Interés legítimo | 180 días desde la decisión o la cancelación; se borran antes si pides la supresión |
| Respuesta guardada de un retiro o un canje | Que un reintento no duplique un retiro o un canje | Ejecución del contrato | 24 horas |
| Tu factura, tus datos bancarios (con el certificado bancario de tu cuenta) y los correos que nos envías (la factura y el certificado bancario llegan por correo a facturacion@yapi.ec; los demás correos, a soporte@yapi.ec o privacidad@yapi.ec; el sistema del programa no los guarda) | Pagarte, declarar los impuestos y atenderte | Obligación legal y ejecución del contrato | El plazo que exige la ley tributaria en la contabilidad de YAPI |
Compra propia. Cada vez que llega una venta con tu código, el sistema calcula la huella de tu correo y de tu RUC y la compara con la de quien compra. Si coinciden, esa venta no te da comisión, y si es una recarga, YAPI trata todo ese local como tuyo (términos, sección 7). Lo hace también después de tu baja, hasta que pidas suprimir tus datos. Tu huella no se guarda: se calcula en el momento. Lo que sí se guarda es el resultado de la comparación.
Si no nos das tus datos. Sin correo, nombre y mayoría de edad no se puede crear tu cuenta. Sin RUC no puedes cobrar (tus comisiones se acumulan). Si un dato es erróneo (por ejemplo, el RUC), YAPI no puede pagarte hasta corregirlo.
4. Decisiones automáticas
El sistema decide solo, con las reglas publicadas en los términos:
tu rango y tu porcentaje de comisión;
cuándo una comisión queda disponible;
qué ventas pasan a revisión (sin huella del comprador, fecha anómala o monto alto); esas las decide después una persona de YAPI;
que una venta es compra propia cuando la huella de quien compra coincide con la tuya; en una recarga, eso alcanza a todo el local.
Puedes pedir que una persona de YAPI revise una de estas decisiones y te explique por qué se tomó, y dar tu punto de vista, escribiendo a privacidad@yapi.ec.
5. Con quién compartimos tus datos
No vendemos ni cedemos tus datos. Los conocen, solo para prestar el servicio:
| Quién | Qué hace | Dónde |
|---|---|---|
| Hetzner Online GmbH | Servidores donde corren el programa y su base de datos | Unión Europea: zona eu-central de Hetzner. El servidor del programa está en Falkenstein (Alemania) y el de la base de datos, en la misma zona |
| Cloudflare, Inc. | Red y seguridad delante de la API: ve tu dirección IP y el contenido de lo que tu panel envía y recibe. Guarda además las copias de seguridad de la base: en ellas tu correo, tu nombre, tu RUC, tu segundo factor y el texto de tus bugs van cifrados por YAPI; lo demás (por ejemplo, el registro de accesos con tu IP) no | Empresa de Estados Unidos con red mundial. Las copias de seguridad se guardan en su región del este de Norteamérica |
| Zoho Corporation (Zoho Mail) | Recibe los correos que nos envías (soporte@, facturacion@, privacidad@…), con tu factura y tus datos bancarios | Estados Unidos |
| Servicio de Rentas Internas (SRI) | Recibe los comprobantes de retención que YAPI emite a tu RUC y la información tributaria que la ley exige. Tu factura la autoriza el SRI cuando tú la emites | Ecuador |
| El banco de YAPI | Hace la transferencia a la cuenta bancaria que registraste | Ecuador |
| Personal autorizado de YAPI | Opera el programa (invitaciones, revisiones, pagos) y lleva la contabilidad de YAPI, que es propia: registra tu factura y prepara el pago y las retenciones | — |
Las aplicaciones de YAPI (por ejemplo micolecta o misorpresa) solo nos avisan de las ventas hechas con tu código; no reciben tus datos.
6. Transferencias internacionales
Los servidores, las copias de seguridad y el correo están fuera de Ecuador (sección 5), así que tus datos se transfieren a otros países. La aplicación del programa corre en los servidores de Hetzner y allí cifra tu correo, tu nombre, tu RUC, el secreto de tu segundo factor y el texto de tus bugs antes de guardarlos: así quedan en la base y en las copias. El resto de los datos (por ejemplo, tu IP y tu actividad en el programa) no van cifrados por YAPI, aunque sí protegidos en el viaje entre tu navegador y Cloudflare (HTTPS). Cada proveedor trata los datos para prestar su servicio a YAPI.
7. Si pides suprimir tus datos
Escribe a privacidad@yapi.ec. YAPI borra tu correo, tu nombre, tu RUC, tu acceso, tu registro de accesos, el texto de tus bugs ya decididos y las notas internas sobre ti, y sales del programa.
No se borra, por obligación contable y como prueba de lo pagado, tu actividad en el programa (fila «Tu actividad» de la sección 3): queda ligada a un identificador interno que ya no lleva a tu nombre.
Si aún te puede llegar dinero, para poder pagarte YAPI guarda solo una huella con clave de tu RUC: no es el número, pero es un seudónimo y sigue siendo un dato personal. Además te da un código de cobro. Esa huella se borra 30 días después de que no te quede nada por cobrar y nunca dura más de 12 meses desde la supresión. El texto de un bug tuyo sin decidir se guarda cifrado hasta que se decide, también como mucho 12 meses. Los detalles están en la sección 17 de los términos.
8. Copias de seguridad
YAPI hace una copia de seguridad diaria de la base del programa, y otra antes de cada cambio de su estructura. Esas copias conservan lo que borres después hasta que caducan: 30 días las diarias y 30 días las previas a un cambio. En ellas tu correo, tu nombre, tu RUC, tu segundo factor y el texto de tus bugs siguen cifrados por YAPI; el registro de accesos (con tu IP) y las notas internas, no. No se usan para devolver al servicio datos que se borraron; si alguna vez hubiera que restaurar una copia tras un desastre, YAPI volvería a aplicar las supresiones pedidas desde la fecha de esa copia.
9. Cómo protegemos tus datos
Tu correo, tu nombre, tu RUC, el secreto de tu segundo factor y el texto de tus bugs se guardan cifrados (AES-256-GCM) antes de llegar a la base. Para encontrarte por tu correo o tu RUC se usa una huella con clave, nunca el dato en claro. La IP, el navegador y tu actividad en el programa no se cifran por separado.
Tu contraseña se guarda solo como una huella irreversible (argon2id), y el segundo factor es obligatorio.
Tu panel se comunica con la API siempre por conexión cifrada (HTTPS).
Lo que el equipo de YAPI consulta de tus datos desde las herramientas del programa queda registrado (qué y de quién, sin el dato).
Los registros de funcionamiento del servicio no guardan tu correo, tu nombre, tu RUC ni tu IP: en la aplicación, la IP solo queda en el registro de accesos (sección 3).
10. Tus derechos
Puedes pedir, escribiendo a privacidad@yapi.ec:
acceso a tus datos (gran parte la ves en tu panel) y una copia en un formato de uso común (portabilidad);
rectificación de tu correo, tu nombre o tu RUC;
eliminación (supresión), con los límites de la sección 7;
oposición y suspensión del tratamiento;
no ser objeto de decisiones automáticas sin intervención humana (sección 4).
Te respondemos en el plazo que fija la LOPDP. Si no estás conforme con la respuesta, puedes acudir a la Superintendencia de Protección de Datos Personales.
11. Menores de edad
El programa es solo para mayores de 18 años. Al aceptar la invitación te pedimos que declares que lo eres o que nos des tu fecha de nacimiento. Si descubrimos que una cuenta es de un menor, la cerramos y suprimimos sus datos.
12. Cookies
La API del programa pone una sola cookie, propia e imprescindible: __Host-sesion, que mantiene tu sesión abierta (12 horas como máximo; no se puede leer desde la página y solo viaja por HTTPS). Cloudflare, que protege la API, puede poner sus propias cookies técnicas de protección contra bots (por ejemplo __cf_bm), también imprescindibles.
La aplicación del afiliado (https://afiliados.yapi.ec) no pone cookies ni guarda tus datos en tu navegador: tu sesión es la cookie de la API. Solo guarda en tu dispositivo una copia de su página «sin conexión», para mostrártela si pierdes la conexión; esa página no lleva datos tuyos.
No usamos cookies de publicidad ni de seguimiento.
13. Cambios a este aviso
Cada versión de este aviso tiene su identificador. Cuando cambia, tu panel te lo muestra y lo aceptas por versión; hasta entonces sigues viendo y retirando lo que ganaste (términos, sección 15).