Política de privacidad

Versión 2026-10-19.1 · vigente desde el 19 de octubre de 2026

1. Responsable del tratamiento

VastSigner es un servicio de LEVANTNET CONSULTING S.A.S. («Levant»), con RUC 1793239090001 y domicilio en Av. Manuel Córdova Galarza, km 11, Quito, Ecuador, responsable del tratamiento de los datos descritos aquí y operadora también de VAST.

Contacto para asuntos de datos personales y para ejercer tus derechos: soporte@vastsigner.app o, desde la app, Perfil › Ayuda y soporte.

Tratamos tus datos conforme a la Ley Orgánica de Protección de Datos Personales del Ecuador (LOPDP), su Reglamento y las normas de la Superintendencia de Protección de Datos Personales.

2. Qué datos tratamos

• Datos que nos da VAST al confirmar tu cuenta: tipo y número de identificación (cédula o RUC), nombre del titular, correo y teléfono registrados y vigencia de tu firma. El teléfono solo lo usa soporte para contactarte si hace falta.
• Datos de tu cuenta: tu contraseña, guardada con un algoritmo de un solo sentido (nunca la vemos), la fecha y versión de los términos que aceptaste y, si administras la plataforma, el secreto de tu verificación en dos pasos.
• Dispositivos y sesiones: el nombre y sistema de cada teléfono, tableta o navegador donde ingresas, la fecha del último uso y, si aceptas notificaciones, el identificador que Apple o Google dan a tu dispositivo para enviarlas.
• Documentos que envías a firmar: el PDF y su título se guardan cifrados. La llave que los abre viaja en el enlace personal de cada firmante: la llave pasa por nuestro servidor solo para enviar los correos a quienes firman y no se guarda (no la guardamos ni la registramos). Sí vemos lo necesario para coordinar el proceso: nombre y correo de cada firmante, el orden, el plazo, el mensaje que escribes para ellos, las fechas en que se invitó, abrió y firmó, el motivo de un rechazo y el tamaño del archivo.
• Registro de verificación: por cada firma, el código de verificación, la huella SHA-256 del PDF firmado, la fecha, el nombre del titular y su identificación. Quien tenga el código puede consultar ese registro; la identificación se muestra parcialmente oculta.
• Nube cifrada: tus archivos, sus nombres y carpetas llegan cifrados. Vemos solo cuántos son y cuánto pesan, para tu cuota.
• Soporte y contacto: lo que nos escribes, junto con la versión de la app y el tipo de dispositivo. Si nos escribes desde el formulario de la página principal o sin haber ingresado, también tu nombre (si lo das) y tu correo, solo para responderte.
• Prueba de tu consentimiento: los términos y esta política se aceptan con una casilla cada uno, y guardamos por separado cada aceptación: qué documento aceptaste (términos o privacidad), su versión, la fecha y hora, la dirección IP y el navegador o dispositivo desde el que lo hiciste.
• No tratamos datos biométricos. Face ID y la huella los verifica tu propio dispositivo: VastSigner solo recibe un «sí» o un «no». La prueba de vida para emitir tu certificado la hace la entidad de certificación, no VastSigner.
• Datos de acceso (seguridad y trazabilidad): en cada inicio de sesión guardamos la dirección IP, una ubicación aproximada calculada a partir de esa IP (ciudad, provincia y país; no tu ubicación exacta ni tu GPS), el tipo de dispositivo, el sistema, el navegador o la versión de la app, y la fecha y hora. Los ves en Perfil › Tus dispositivos y en los avisos de seguridad que te enviamos (ingreso desde un dispositivo nuevo, cambio de contraseña, intentos fallidos, pedidos de enlaces o de acceso a tu nube). La IP también se usa en el momento para frenar abusos. La ubicación se calcula en nuestro propio servidor, con una base de datos local: tu IP no se envía a ningún servicio externo para eso.

3. Para qué los usamos y con qué base legal

• Prestarte el servicio (confirmar que tienes una firma VAST, abrir tu cuenta, coordinar los documentos que envías, avisarte cuando alguien firma): ejecución del contrato que aceptas en los términos.
• Enviarte correos y notificaciones del servicio (enlaces de activación, invitaciones a firmar, avisos de firma, de rechazo, de ingreso desde un dispositivo nuevo, respuestas de soporte): ejecución del contrato.
• Registro público de verificación, para que cualquiera pueda comprobar una firma: ejecución del contrato e interés legítimo en la seguridad jurídica de los documentos.
• Responder lo que nos escribes por soporte o por el formulario de contacto: tu consentimiento, al enviarnos el mensaje.
• Demostrar que aceptaste los términos y esta política: cumplimiento de obligaciones legales e interés legítimo en poder acreditarlo.
• Seguridad y prevención de fraude (límites de intentos, avisos de nuevos ingresos, verificación en dos pasos para administradores): interés legítimo.
• Cumplir obligaciones legales y atender requerimientos de autoridades competentes.

No usamos tus datos para publicidad, no los vendemos ni creamos perfiles comerciales, y no tomamos decisiones sobre ti basadas solo en tratamientos automatizados.

4. Lo que nunca vemos

• Tu certificado .p12 ni su contraseña. Se guardan en el llavero seguro de tu dispositivo y la firma se hace ahí. Si lo cargas desde tu computadora, viaja cifrado con una llave que solo tiene tu dispositivo, y el servidor lo borra en cuanto lo entrega.
• El contenido de tus documentos ni de tu nube: se cifran en tu dispositivo (AES-256) antes de salir. Las llaves viven en tus dispositivos, en los enlaces de los firmantes y en tu código de recuperación.
• Tu código de recuperación. Por eso no podemos recuperar tu nube si lo pierdes junto con tu dispositivo.

5. Personas menores de edad

VastSigner es solo para mayores de 18 años y no recopilamos a sabiendas datos de niñas, niños ni adolescentes. La cuenta solo se habilita confirmando con VAST una firma electrónica, que se emite a personas con capacidad legal. Si sabemos que una cuenta la usa un menor, la suspenderemos.

6. Con quién compartimos datos

• VAST (vast.levant-net.com): consultamos tu identificación para saber si tienes una firma vigente y hasta cuándo.
• Apple (en iPhone) y Google con Firebase Cloud Messaging (en Android), para entregar las notificaciones a tu dispositivo: reciben el identificador del dispositivo y el texto del aviso.
• Autoridades de sellado de tiempo y entidades de certificación: para sellar la hora de cada firma les enviamos solo una huella (no el documento), y para comprobar que un certificado no está revocado, su número de serie.
• SmarterASP.NET, nuestro proveedor de alojamiento y de correo, que actúa como encargado del tratamiento por cuenta nuestra: aloja el servidor, la base de datos y los archivos cifrados, y envía los correos del servicio desde notificaciones@vastsigner.app.
• Google reCAPTCHA, solo al activar tu cuenta, ingresar, recuperar la contraseña o escribirnos sin sesión: comprueba que quien lo hace es una persona y no un programa automático. Google recibe datos técnicos del navegador o del dispositivo (no tus documentos ni tu certificado) y los trata según su Política de privacidad y sus Condiciones del servicio.
• Autoridades, cuando la ley nos obligue.

La ubicación aproximada por IP usa la base «IP Geolocation by DB-IP», con licencia Creative Commons Attribution 4.0.

7. Transferencias internacionales

El servicio, la base de datos, los archivos cifrados y el correo se alojan en servidores de SmarterASP.NET en Estados Unidos, igual que el servicio de notificaciones de Apple y algunas autoridades de sellado de tiempo. Esa transferencia se hace con tu consentimiento al aceptar esta política y bajo las condiciones de privacidad de cada proveedor. Tus documentos y tu nube viajan y se guardan cifrados con llaves que solo tienes tú.

8. Cuánto tiempo los conservamos

• Los datos de tu cuenta, mientras la cuenta exista.
• Los documentos enviados (el archivo cifrado), mientras el proceso esté en curso y hasta 30 días después de completado, anulado, rechazado o vencido (las partes conservan sus copias firmadas). Sus datos de coordinación (nombre y correo de quienes firman, fechas), mientras el documento siga en tu cuenta: si lo eliminas, se borran. El registro de verificación se conserva para que las firmas se puedan comprobar en el tiempo.
• Tu nube, hasta que borres los archivos o tu cuenta.
• Los correos enviados, 30 días; los que llevan la llave de un documento se borran en cuanto salen.
• Las sesiones y sus datos de acceso (IP, ubicación aproximada, dispositivo), mientras la sesión esté abierta y hasta 12 meses después de cerrada; luego se borran.
• La prueba de tu consentimiento (cada versión que aceptaste), mientras exista tu cuenta y 5 años más, aunque la elimines.
• Si consultaste tu identificación pero nunca activaste la cuenta, los datos copiados de VAST se borran a los 30 días.
• Los avisos de la app, 6 meses. Los enlaces de un solo uso, al día siguiente de vencer.
• Los mensajes de soporte, hasta 2 años después de cerrados.

9. Tus derechos y cómo ejercerlos

Puedes descargar en cualquier momento todos los datos de tu cuenta en un archivo, en Perfil › Descargar mis datos, y eliminar tu cuenta en Perfil › Eliminar mi cuenta (o como explica esta página). Tu nombre, identificación y correo vienen de VAST: para corregirlos, hazlo en VAST y se actualizan aquí en tu siguiente ingreso. También puedes pedir el acceso, rectificación y actualización, eliminación, oposición, portabilidad y suspensión del tratamiento de tus datos, y no ser objeto de decisiones basadas solo en tratamientos automatizados (no las tomamos), en los términos de la LOPDP, escribiéndonos a soporte@vastsigner.app desde el correo de tu cuenta, o desde Perfil › Ayuda y soporte. Puedes retirar tu consentimiento cuando quieras, sin efecto sobre lo hecho antes: como sin él no podemos prestarte el servicio, retirarlo equivale a eliminar tu cuenta. Podemos pedirte que acredites tu identidad. Te responderemos en un plazo máximo de quince (15) días y es gratis. Los datos de tu certificado los trata también la entidad que lo emitió: ante ella puedes ejercer tus derechos sobre ese trámite. También puedes presentar un reclamo ante la Superintendencia de Protección de Datos Personales.

10. Seguridad

Usamos cifrado de extremo a extremo para la nube, cifrado de los documentos que envías, conexiones cifradas, contraseñas con algoritmo de un solo sentido, enlaces de un solo uso y con vencimiento, límites de intentos, avisos de nuevos ingresos, cierre remoto de sesiones y verificación en dos pasos para administradores. Ningún sistema es infalible: si se produjera una vulneración que afecte tus datos, la notificaremos a la Superintendencia de Protección de Datos Personales y, cuando corresponda, a ti, en los plazos de la LOPDP.

11. Acceso del personal

Solo los administradores de Levant, con verificación en dos pasos, pueden consultar los datos de tu cuenta (identificación, correo, teléfono, sesiones y mensajes de soporte), y solo para darte soporte, proteger el servicio o cumplir la ley. Cada consulta y cada acción sobre tu cuenta queda registrada con quién la hizo y cuándo. Nadie del equipo puede entrar a tu cuenta, ver tus documentos, tu nube ni tu certificado: están cifrados con llaves que no tenemos.

12. Si alguien te invita a firmar

Si recibiste un documento para firmar con VastSigner, quien te lo envió nos dio tu nombre y correo para invitarte. Los usamos solo para ese documento: la invitación, hasta 3 recordatorios y los avisos de su estado. Si firmas, se guarda en el registro de verificación tu nombre, tu identificación y la entidad que emitió tu certificado, tal como aparecen en él, para que cualquiera con el código pueda comprobar la firma (la identificación se muestra parcialmente oculta). No necesitas una cuenta y no te enviamos nada más. Para cualquier pedido sobre tus datos, escríbenos a soporte@vastsigner.app.

13. Cookies y lo que se guarda en tu dispositivo

VastSigner no usa cookies propias: ni la app, ni la versión web, ni la página principal. Tu sesión no viaja en una cookie.

En tu dispositivo o navegador guardamos solo lo necesario para que el servicio funcione: tu sesión, tus preferencias y, en la app, tu certificado y las llaves de tu nube y de tus documentos, en el almacenamiento protegido del dispositivo. En la versión web, tus documentos y las llaves de tu nube se guardan en el navegador cifrados con una llave de tu sesión, y se borran al cerrar la sesión.

Google reCAPTCHA se carga solo al activar tu cuenta, ingresar, recuperar tu contraseña o escribirnos desde el formulario de contacto. Para distinguir a una persona de un programa automático, Google puede leer o guardar en tu navegador una cookie técnica suya (por ejemplo «_GRECAPTCHA»), que es de seguridad y necesaria para esas acciones. La trata Google según su Política de privacidad y sus Condiciones del servicio.

No usamos cookies ni herramientas de analítica, de publicidad ni de seguimiento, propias ni de terceros. Por eso no te mostramos un aviso para aceptar cookies: todo lo anterior es estrictamente necesario. Si algún día quisiéramos usar alguna que no lo sea, primero te pediríamos permiso y podrías rechazarla.

14. Cambios en esta política

Si la cambiamos de forma importante te avisaremos en la app y te pediremos aceptarla de nuevo.