← Volver atrás
← Go back
ADENDA DE PROTECCIÓN DE DATOSDATA PROTECTION ADDENDUM
Fecha de entrada en vigor: 22 de junio de 2026
Effective date: June 22, 2026
Esta Adenda de Protección de Datos (en adelante, "la Adenda") complementa los Términos y Condiciones y la Política de Privacidad de GEOGRAFÍA STUDIO S.A.S. (en adelante, "LA AGENCIA"), con RUC 1793192138001, domiciliada en Quito, Ecuador. Esta Adenda describe las obligaciones y derechos de las Partes con respecto al tratamiento de Datos Personales de conformidad con el Reglamento General de Protección de Datos de la UE (RGPD), la Ley Orgánica de Protección de Datos Personales del Ecuador (LOPDP) y la normativa aplicable de los Estados Unidos.
This Data Protection Addendum (hereinafter, "the Addendum") supplements the Terms and Conditions and the Privacy Policy of GEOGRAFÍA STUDIO S.A.S. (hereinafter, "THE AGENCY"), with RUC 1793192138001, domiciled in Quito, Ecuador. This Addendum describes the obligations and rights of the Parties with respect to the processing of Personal Data in accordance with the EU General Data Protection Regulation (GDPR), Ecuador's Organic Law on Personal Data Protection (LOPDP) and applicable United States regulations.
1. Definiciones
1. Definitions
A los efectos de esta Adenda, los siguientes términos tendrán el significado que se indica:
For the purposes of this Addendum, the following terms shall have the meanings set out below:
- "Datos Personales del Cliente": cualquier dato personal tratado por LA AGENCIA en nombre del Cliente o conforme a las instrucciones documentadas del Cliente.
- "Leyes de Protección de Datos": el RGPD (Reglamento UE 2016/679), la LOPDP ecuatoriana, la CCPA/CPRA de California y cualquier otra normativa aplicable sobre privacidad y protección de datos.
- "Responsable del Tratamiento": la persona natural o jurídica que determina los fines y medios del tratamiento de datos personales.
- "Encargado del Tratamiento": la persona natural o jurídica que trata datos personales por cuenta del Responsable.
- "Violación de Datos Personales": toda violación de la seguridad que ocasione la destrucción, pérdida, alteración o divulgación no autorizada de datos personales.
- "Subencargado": todo tercero contratado por LA AGENCIA para tratar Datos Personales del Cliente.
- "Client Personal Data": any personal data processed by THE AGENCY on behalf of the Client or in accordance with the Client's documented instructions.
- "Data Protection Laws": the GDPR (EU Regulation 2016/679), Ecuador's LOPDP, California's CCPA/CPRA and any other applicable privacy and data protection regulations.
- "Controller": the natural or legal person that determines the purposes and means of processing personal data.
- "Processor": the natural or legal person that processes personal data on behalf of the Controller.
- "Personal Data Breach": any security breach that results in the accidental or unlawful destruction, loss, alteration or unauthorized disclosure of personal data.
- "Sub-processor": any third party engaged by THE AGENCY to process Client Personal Data.
2. Roles de las Partes
2. Roles of the Parties
Con respecto al tratamiento de Datos Personales del Cliente en el marco de los servicios prestados:
With respect to the processing of Client Personal Data in the context of the services provided:
- El Cliente actúa como Responsable del Tratamiento, determinando los fines y medios del tratamiento de sus datos.
- GEOGRAFÍA STUDIO S.A.S. actúa como Encargada del Tratamiento, procesando los datos exclusivamente conforme a las instrucciones documentadas del Cliente y para la prestación de los servicios contratados.
- The Client acts as the Controller, determining the purposes and means of processing their data.
- GEOGRAFÍA STUDIO S.A.S. acts as the Processor, processing data exclusively in accordance with the Client's documented instructions and for the provision of contracted services.
3. Descripción del Tratamiento de Datos
3. Description of Data Processing
3.1 Finalidad del tratamiento
3.1 Purpose of processing
Los datos personales son tratados exclusivamente para la prestación de los servicios de marketing digital, diseño, producción audiovisual, desarrollo web, automatización con IA y consultoría contratados por el Cliente.
Personal data is processed exclusively for the provision of digital marketing, design, audiovisual production, web development, AI automation and consulting services contracted by the Client.
3.2 Categorías de datos tratados
3.2 Categories of data processed
- Datos identificativos: nombre completo, empresa, cargo.
- Datos de contacto: correo electrónico, número de teléfono/WhatsApp, dirección.
- Datos técnicos: dirección IP, tipo de navegador, páginas visitadas, duración de la sesión.
- Datos comerciales: servicios contratados, historial de comunicaciones, preferencias.
- Datos de pago: gestionados por procesadores de pago certificados PCI-DSS (Stripe). LA AGENCIA no almacena datos de tarjetas de crédito.
- Identification data: full name, company, position.
- Contact data: email address, phone/WhatsApp number, address.
- Technical data: IP address, browser type, pages visited, session duration.
- Commercial data: contracted services, communication history, preferences.
- Payment data: managed by PCI-DSS certified payment processors (Stripe). THE AGENCY does not store credit card data.
3.3 Datos especialmente protegidos
3.3 Special categories of data
LA AGENCIA no recopila ni trata datos especialmente protegidos como datos de salud, origen racial o étnico, creencias religiosas, orientación sexual, datos genéticos o biométricos, ni datos de menores de 18 años.
THE AGENCY does not collect or process special categories of data such as health data, racial or ethnic origin, religious beliefs, sexual orientation, genetic or biometric data, or data of persons under 18 years of age.
4. Obligaciones de LA AGENCIA como Encargada
4. Obligations of THE AGENCY as Processor
LA AGENCIA se compromete a:
THE AGENCY commits to:
- Tratar los Datos Personales del Cliente únicamente conforme a sus instrucciones documentadas y para los fines descritos en este documento.
- Garantizar que el personal autorizado para tratar los datos haya asumido compromisos de confidencialidad o esté sujeto a obligaciones legales de confidencialidad.
- Implementar y mantener medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, incluyendo: (a) seudonimización y cifrado de datos; (b) garantía de confidencialidad, integridad y disponibilidad continuas de los sistemas; (c) restauración del acceso a los datos en caso de incidente; (d) evaluación y prueba periódica de las medidas de seguridad.
- No subcontratar a terceros el tratamiento de Datos Personales del Cliente sin notificación previa al Cliente.
- Asistir al Cliente en el cumplimiento de sus obligaciones respecto a los derechos de los interesados (acceso, rectificación, supresión, portabilidad, oposición).
- Notificar al Cliente sin dilación indebida —y en cualquier caso en un plazo máximo de 72 horas— cualquier violación de seguridad que afecte a los Datos Personales del Cliente.
- Suprimir o devolver todos los Datos Personales del Cliente al término de la relación contractual, salvo que la ley exija su conservación.
- Poner a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de esta Adenda y cooperar en auditorías.
- Process Client Personal Data only in accordance with documented instructions and for the purposes described in this document.
- Ensure that authorized personnel have committed to confidentiality or are subject to statutory confidentiality obligations.
- Implement and maintain appropriate technical and organizational measures to ensure a level of security appropriate to the risk, including: (a) pseudonymization and encryption of data; (b) ongoing confidentiality, integrity and availability of systems; (c) restoration of data access in the event of an incident; (d) regular testing and evaluation of security measures.
- Not subcontract the processing of Client Personal Data to third parties without prior notification to the Client.
- Assist the Client in fulfilling its obligations regarding data subject rights (access, rectification, erasure, portability, objection).
- Notify the Client without undue delay — and in any case within a maximum of 72 hours — of any security breach affecting Client Personal Data.
- Delete or return all Client Personal Data upon termination of the contractual relationship, unless the law requires its retention.
- Make available to the Client all information necessary to demonstrate compliance with this Addendum and cooperate in audits.
5. Subencargados autorizados
5. Authorized Sub-processors
LA AGENCIA puede utilizar los siguientes subencargados para la prestación de sus servicios. Todos ellos cuentan con sus propios marcos de protección de datos conformes con el RGPD y/o las leyes aplicables:
THE AGENCY may use the following sub-processors for the provision of its services. All of them have their own data protection frameworks compliant with the GDPR and/or applicable laws:
- Google LLC (Google Workspace, Analytics, Ads) — EE. UU.
- Meta Platforms Ireland Ltd. (Facebook, Instagram, WhatsApp Business) — Irlanda / EE. UU.
- Stripe Inc. (procesamiento de pagos) — EE. UU.
- TikTok Technology Limited (TikTok Ads Studio) — Singapur / EE. UU.
- Amazon Web Services (AWS) (infraestructura cloud) — EE. UU.
- OpenAI / Anthropic (procesamiento IA para automatizaciones WhatsApp) — EE. UU.
- Vercel / Cloudflare (alojamiento web y CDN) — EE. UU.
- Google LLC (Google Workspace, Analytics, Ads) — USA
- Meta Platforms Ireland Ltd. (Facebook, Instagram, WhatsApp Business) — Ireland / USA
- Stripe Inc. (payment processing) — USA
- TikTok Technology Limited (TikTok Ads Studio) — Singapore / USA
- Amazon Web Services (AWS) (cloud infrastructure) — USA
- OpenAI / Anthropic (AI processing for WhatsApp automations) — USA
- Vercel / Cloudflare (web hosting and CDN) — USA
LA AGENCIA notificará al Cliente con al menos 30 días de antelación cualquier cambio previsto en la lista de subencargados, otorgando al Cliente el derecho a objetar razonablemente.
THE AGENCY will notify the Client at least 30 days in advance of any intended changes to the list of sub-processors, granting the Client the right to reasonably object.
6. Transferencias internacionales de datos
6. International data transfers
Algunos de los subencargados listados procesan datos fuera del Espacio Económico Europeo (EEE) y de Ecuador. Dichas transferencias se realizan bajo alguno de los siguientes mecanismos legales: Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea, decisiones de adecuación, o acuerdos de transferencia específicos conforme al artículo 108 de la Constitución del Ecuador y la LOPDP.
Some of the listed sub-processors process data outside the European Economic Area (EEA) and Ecuador. Such transfers are made under one of the following legal mechanisms: Standard Contractual Clauses (SCCs) approved by the European Commission, adequacy decisions, or specific transfer agreements in accordance with Article 108 of the Ecuadorian Constitution and the LOPDP.
7. Derechos de los interesados
7. Data subject rights
Los titulares de los datos personales pueden ejercer en cualquier momento los siguientes derechos, enviando una solicitud escrita a legal@geografiastudio.com:
Data subjects may exercise the following rights at any time by sending a written request to legal@geografiastudio.com:
- Acceso: conocer qué datos personales suyos son tratados por LA AGENCIA.
- Rectificación: solicitar la corrección de datos inexactos o incompletos.
- Supresión ("derecho al olvido"): solicitar la eliminación de sus datos cuando ya no sean necesarios.
- Portabilidad: recibir sus datos en formato estructurado y de uso común.
- Oposición: oponerse al tratamiento de sus datos para determinadas finalidades.
- Limitación: solicitar la restricción del tratamiento en determinadas circunstancias.
- Access: know which personal data of yours is processed by THE AGENCY.
- Rectification: request correction of inaccurate or incomplete data.
- Erasure ("right to be forgotten"): request deletion of your data when no longer necessary.
- Portability: receive your data in a structured, commonly used format.
- Objection: object to the processing of your data for certain purposes.
- Restriction: request limitation of processing under certain circumstances.
LA AGENCIA responderá a las solicitudes en un plazo máximo de 30 días hábiles desde su recepción.
THE AGENCY will respond to requests within a maximum of 30 business days from receipt.
8. Seguridad
8. Security
LA AGENCIA aplica las siguientes medidas técnicas y organizativas para proteger los datos personales:
THE AGENCY applies the following technical and organizational measures to protect personal data:
- Cifrado SSL/TLS en todas las comunicaciones web (HTTPS).
- Acceso restringido a datos personales mediante credenciales individuales y principio de mínimo privilegio.
- Copias de seguridad periódicas de los sistemas de información.
- Acuerdos de confidencialidad con todo el personal y colaboradores.
- Revisiones periódicas de seguridad y evaluaciones de impacto sobre la privacidad (EIPD/DPIA).
- Procedimientos documentados de respuesta ante violaciones de datos.
- SSL/TLS encryption on all web communications (HTTPS).
- Restricted access to personal data through individual credentials and the principle of least privilege.
- Regular backups of information systems.
- Confidentiality agreements with all staff and collaborators.
- Regular security reviews and Data Protection Impact Assessments (DPIA).
- Documented data breach response procedures.
9. Conservación de datos
9. Data retention
Los datos personales recopilados serán conservados durante el tiempo necesario para la prestación del servicio contratado y, una vez finalizada la relación contractual, durante los plazos legalmente exigidos. En ningún caso se conservarán más allá de lo estrictamente necesario. Los datos serán eliminados de forma segura o anonimizados al término del período de retención.
Personal data collected will be retained for the time necessary to provide the contracted service and, after the contractual relationship ends, for the legally required periods. In no case will they be retained beyond what is strictly necessary. Data will be securely deleted or anonymized at the end of the retention period.
10. Notificación de Violaciones de Seguridad de Datos
10. Data Breach Notification
LA AGENCIA, en su calidad de Encargada del tratamiento, notificará al Responsable cualquier violación de la seguridad de los datos personales (incluyendo accesos no autorizados, pérdida, destrucción o alteración) sin dilación indebida y, en la medida de lo posible, dentro de las setenta y dos (72) horas siguientes a haber tenido conocimiento de la misma. La notificación describirá la naturaleza de la violación, las categorías y el número aproximado de interesados afectados, las consecuencias probables y las medidas adoptadas o propuestas para mitigarla. LA AGENCIA cooperará razonablemente con el Responsable en el cumplimiento de sus obligaciones de notificación ante las autoridades de control y los interesados.
THE AGENCY, in its capacity as Processor, shall notify the Controller of any personal data security breach (including unauthorized access, loss, destruction or alteration) without undue delay and, where feasible, within seventy-two (72) hours of becoming aware of it. The notification shall describe the nature of the breach, the categories and approximate number of affected data subjects, the likely consequences and the measures adopted or proposed to mitigate it. THE AGENCY shall reasonably cooperate with the Controller in fulfilling its notification obligations to supervisory authorities and data subjects.
11. Auditorías y Derecho de Inspección
11. Audits and Right of Inspection
El Responsable tendrá derecho a verificar el cumplimiento de las obligaciones establecidas en esta Adenda, mediante la solicitud de información documental o la realización de auditorías, con un preaviso razonable y sin perturbar de forma desproporcionada la operación de LA AGENCIA. LA AGENCIA pondrá a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las Leyes de Protección de Datos aplicables y contribuirá a dichas auditorías, incluidas las inspecciones realizadas por el Responsable o por un auditor independiente designado por este.
The Controller shall have the right to verify compliance with the obligations set forth in this Addendum, by requesting documentary information or conducting audits, with reasonable prior notice and without disproportionately disrupting THE AGENCY's operations. THE AGENCY shall make available to the Controller all information necessary to demonstrate compliance with applicable Data Protection Laws and shall contribute to such audits, including inspections carried out by the Controller or by an independent auditor designated by it.
12. Indemnización
12. Indemnification
En la medida permitida por la ley, cada Parte indemnizará y mantendrá indemne a la otra frente a pérdidas, reclamaciones de terceros, multas administrativas y gastos razonables derivados de cualquier incumplimiento de esta Adenda o de las Leyes de Protección de Datos aplicables imputable a su propia conducta.
To the extent permitted by law, each Party shall indemnify and hold harmless the other against losses, third-party claims, administrative fines and reasonable expenses arising from any breach of this Addendum or applicable Data Protection Laws attributable to its own conduct.
13. Prevalencia
13. Precedence
Las disposiciones de esta Adenda prevalecerán sobre cualquier disposición incompatible de los Términos y Condiciones en todo lo relativo al tratamiento de datos personales.
The provisions of this Addendum shall prevail over any inconsistent provision of the Terms and Conditions with respect to the processing of personal data.
14. Contacto del Responsable de Protección de Datos
14. Data Protection Contact
Para cualquier consulta relativa a esta Adenda, violaciones de datos, ejercicio de derechos o reclamaciones, puede contactar con el responsable de protección de datos de LA AGENCIA:
For any inquiries regarding this Addendum, data breaches, exercise of rights or complaints, you may contact THE AGENCY's data protection contact: