Documento legal

Política de privacidad

Actualizado: 2026-09-24

Esta política explica qué datos personales tratamos cuando usted usa CacaoEx (el sitio https://cacaoex.com, su cuenta, el bot oficial de Telegram @cacaoex_bot y nuestros canales de soporte), para qué los usamos, con quién los compartimos, cuánto tiempo los conservamos y cómo puede ejercer sus derechos. Esta política complementa los Términos y condiciones y la Política de prevención de lavado de activos (AML/KYC). No es un formulario de consentimiento: cuando necesitemos su consentimiento, se lo pediremos por separado (sección 4.4).

La versión en español es la versión oficial. Las traducciones al inglés y al ruso son solo de referencia; si hay diferencias, prevalece el texto en español.

1. Responsable del tratamiento

CacaoEx es la marca con la que [[COMPANY_NAME]] presta el servicio de cambio. El responsable del tratamiento de sus datos personales es:

Razón social: [[COMPANY_NAME]]
RUC: [[COMPANY_RUC]]
Domicilio: [[COMPANY_ADDRESS]]
Correo para temas de datos personales: privacidad@cacaoex.com
Delegado de protección de datos: [[DPO_NAME]] (contacto: privacidad@cacaoex.com)

Tratamos sus datos conforme a la Ley Orgánica de Protección de Datos Personales (LOPDP), su Reglamento y las demás normas aplicables en Ecuador. En esta política, «nosotros» se refiere a [[COMPANY_NAME]], y «usted», al Cliente o a cualquier otra persona cuyos datos tratamos.

2. Datos que tratamos

Solo pedimos los datos que necesitamos para prestar el servicio y cumplir la ley. Según cómo use CacaoEx, podemos tratar los siguientes datos.

2.1 Datos de identificación

Nombre y apellido.
Nombre completo tal como figura en su documento.
Tipo de documento (cédula, RUC o pasaporte) y número.
Fecha de nacimiento y nacionalidad.
Su declaración sobre si es o no persona expuesta políticamente (PEP).

2.2 Imágenes para verificar su identidad

Cuando se requiere la verificación de identidad (KYC), le pedimos una foto del anverso y del reverso de su documento y una selfie sosteniendo una hoja con la palabra «CacaoEx» y la fecha del día. Estas imágenes muestran los rasgos de su rostro y pueden considerarse datos sensibles (incluidos datos biométricos) según la LOPDP. Por eso las protegemos de forma reforzada:

solo las ven empleados autorizados;
nunca se publican;
en su cuenta usted ve el estado de la verificación y la lista de archivos enviados, pero no las imágenes;
actualmente la revisión la hace una persona de nuestro equipo; no usamos sistemas de reconocimiento facial automatizado.

Base legal: tratamos estas imágenes para cumplir la debida diligencia de prevención de lavado de activos, en la medida en que resulte aplicable (sección 4.2), y, cuando la LOPDP exija el consentimiento explícito para datos sensibles, con su consentimiento, que le pediremos de forma separada al enviar su verificación. Si no lo otorga, no podremos completar la verificación ni procesar las órdenes que la requieran.

2.3 Datos de contacto y de cuenta

Correo electrónico y número de celular.
Si usa Telegram: su identificador de Telegram, su nombre de usuario, su nombre y el idioma de su aplicación.
País e idioma preferido para las notificaciones.
Su contraseña, que guardamos de forma protegida (como hash) y nunca en texto legible.
La fecha y la versión de los términos que aceptó.

2.4 Datos financieros y de las órdenes

Datos del pagador: nombre del titular de la cuenta desde la que paga, tipo y número de documento, y banco.
Datos de cobro: banco o cooperativa, titular, documento, número y tipo de cuenta; o dirección de billetera, red y, cuando corresponda, memo. También los datos de cobro que usted decida guardar en su cuenta.
Datos de cada orden: código de la orden (CX-…), montos, monedas, tipo de cambio, comisiones, plazos, estados e historial.
Pruebas de pago: sus comprobantes (imágenes o PDF), el número de comprobante, el hash de la transacción (TxID) y los comprobantes de pago o de devolución que adjuntamos nosotros.
Los mensajes y archivos que intercambia con nosotros dentro de la orden.
Si la ley o nuestra evaluación de riesgo lo requieren: información sobre el origen de los fondos y documentos de respaldo.

2.5 Datos técnicos

Dirección IP y datos del navegador o dispositivo (User-Agent), que registramos al iniciar sesión y al crear una orden.
Fecha y hora de su último inicio de sesión.
Registros de seguridad y de actividad, por ejemplo, intentos fallidos de inicio de sesión y cambios en su cuenta o en sus datos de cobro.
Cookies necesarias: sesión, idioma y tema visual (ver la sección 11).
Cuando exista, la referencia del enlace o de la campaña por la que llegó a nuestro sitio.

2.6 Comunicaciones con soporte

Los mensajes que nos envía por correo electrónico, Telegram o WhatsApp, y nuestras respuestas.

2.7 Datos de terceros

Si una persona distinta de usted envía dinero a una orden, recibimos los datos de ese pago que figuran en el estado de cuenta de nuestra cuenta bancaria o en la red (por ejemplo, el nombre del ordenante y la cuenta o dirección de origen). Usamos esos datos solo para identificar el pago, devolverlo al origen y cumplir nuestras obligaciones legales.

3. Cómo obtenemos los datos

De usted: cuando se registra, completa su perfil, crea una orden, sube comprobantes, envía su verificación de identidad o nos escribe.
De Telegram: cuando usa nuestro bot o inicia sesión con Telegram, Telegram nos entrega su identificador, su nombre de usuario, su nombre y el idioma de su aplicación.
De las redes blockchain: consultamos los datos públicos de las transacciones (direcciones de origen y destino, monto, red, fecha y hash) para verificar pagos y enviar el monto a recibir.
De bancos y cooperativas: los estados de cuenta de nuestras cuentas bancarias muestran los pagos recibidos (monto, fecha, ordenante, número de operación y concepto). También recibimos avisos cuando una transferencia que enviamos es rechazada o devuelta.
De fuentes públicas y listas oficiales: podemos consultar listas de sanciones y otras fuentes públicas o autorizadas, directamente o a través de proveedores especializados, para cumplir la normativa de prevención de lavado de activos.
De autoridades: cuando una autoridad competente nos envía información o un requerimiento conforme a la ley.
De su navegador o dispositivo: los datos técnicos y las cookies descritos en la sección 2.5 y en la sección 11.

4. Finalidades y bases legales

Tratamos sus datos solo para fines concretos y con una base legal prevista en la LOPDP. No los usamos para fines incompatibles con los que se describen aquí.

4.1 Ejecución del contrato

Para prestarle el servicio que usted solicita, incluidos los pasos previos a crear una orden:

crear y administrar su cuenta, e iniciar sesión en el sitio o con Telegram;
calcular cotizaciones y crear, verificar y completar sus órdenes;
recibir su pago, enviar el monto a recibir a la cuenta o billetera indicada en sus datos de cobro y, cuando corresponda, hacer la devolución al origen;
guardar los datos de cobro que usted elija guardar;
enviarle avisos del servicio por correo electrónico y por Telegram: creación de la orden, recordatorio del plazo de pago, cambios de estado, mensajes del operador y alertas de seguridad (por ejemplo, cambio de contraseña o de correo, vinculación de Telegram o nuevos datos de cobro);
atender sus consultas y reclamos.

Sin estos datos no podemos crear ni procesar sus órdenes.

4.2 Cumplimiento de obligaciones legales

Tratamos sus datos para cumplir las siguientes obligaciones, en la medida en que resulten aplicables a nuestra actividad. Cuando una medida va más allá de lo que exige la ley (por ejemplo, nuestro umbral interno de verificación de identidad o las revisiones por evaluación de riesgo), la base legal es nuestro interés legítimo en prevenir el fraude y el lavado de activos (sección 4.3).

Verificar su identidad (KYC) cuando la suma de sus órdenes de los últimos 30 días, incluida la nueva orden, supere 1000 USD (o su equivalente en USDT), y en cualquier otro caso en que la normativa o nuestra evaluación de riesgo lo requiera. En esa suma se cuentan también las órdenes en curso; no se cuentan las canceladas ni las expiradas.
Aplicar la debida diligencia de prevención de lavado de activos y del financiamiento de delitos: conocer al cliente, identificar a personas expuestas políticamente (PEP), revisar el origen de los fondos, consultar listas de sanciones y monitorear operaciones.
Verificar dónde se encuentra (por ejemplo, con su dirección IP, su número de teléfono y su documento) para aplicar las restricciones por sanciones y jurisdicciones.
Conservar los registros de clientes y operaciones.
Presentar a la Unidad de Análisis Financiero y Económico (UAFE), en la medida en que resulte aplicable, los reportes que exija la normativa, incluidos reportes de operaciones que superen los umbrales legales y de operaciones inusuales, injustificadas o sospechosas.
Cumplir obligaciones tributarias y contables.
Atender requerimientos de autoridades competentes y órdenes judiciales.

Si usted no entrega los datos o documentos que le pedimos para estos fines, no podremos procesar la orden; podremos ponerla en espera o hacer la devolución al origen, como se explica en los Términos y condiciones y en la Política de prevención de lavado de activos (AML/KYC).

4.3 Interés legítimo

Cuando el tratamiento es necesario para satisfacer nuestros intereses legítimos, siempre que sobre ellos no prevalezcan sus intereses o sus derechos y libertades fundamentales:

prevenir y detectar fraudes (por ejemplo, pagos de terceros, comprobantes o hashes repetidos, cambios sospechosos de datos de cobro o datos asociados a fraudes anteriores; para esto podemos mantener listas internas de restricción) y aplicar nuestras medidas internas de verificación de identidad y de prevención del lavado de activos;
proteger su cuenta, nuestros sistemas y a otros clientes (registros de IP y de inicio de sesión, límites de intentos, alertas de seguridad);
ejercer o defender nuestros derechos ante reclamos, disputas o procesos;
mejorar el servicio con estadísticas internas y con el análisis de la calidad de la atención.

Usted puede oponerse a estos tratamientos (ver la sección 10).

4.4 Consentimiento

Cuando la ley exija su consentimiento, se lo pediremos de forma clara y separada. Puede retirarlo en cualquier momento escribiendo a privacidad@cacaoex.com. Retirarlo no afecta el tratamiento realizado antes ni el que se basa en otra base legal.

Solo le enviaremos comunicaciones comerciales o promocionales si nos da su consentimiento. Actualmente no enviamos este tipo de comunicaciones. Los avisos del servicio y de seguridad no son publicidad.

5. Decisiones automatizadas

Nuestro sistema señala automáticamente algunas situaciones para que el operador las revise, por ejemplo: la primera orden de un cliente, un pago tardío, un monto distinto al esperado, un posible pago de un tercero, un comprobante o un hash ya usado, datos de cobro recién cambiados o un volumen cercano al umbral de verificación. Estas señales solo ayudan al operador; no deciden por sí solas.

Las decisiones importantes las toma una persona de nuestro equipo: confirmar un pago, poner una orden en espera, cancelarla, enviar el pago, hacer una devolución y aprobar o rechazar su verificación de identidad. No elaboramos perfiles con fines publicitarios.

Algunas reglas del servicio se aplican automáticamente y por igual a todos los clientes. Por ejemplo, la orden vence si usted no informa el pago dentro del plazo indicado en la orden, y se pide la verificación de identidad cuando se supera el umbral indicado en la sección 4.2.

La LOPDP le reconoce el derecho a no ser objeto de decisiones basadas única o parcialmente en valoraciones automatizadas que le afecten de forma significativa. Si no está de acuerdo con el resultado de una regla automática o con una decisión en la que influyó una señal automática, escríbanos: una persona la revisará y le explicará, en la medida en que la ley lo permita, los criterios usados.

6. Con quién compartimos sus datos

Compartimos solo los datos necesarios para cada fin:

Bancos y cooperativas: para recibir su pago y enviarle dinero, las entidades financieras (la nuestra y la suya) procesan los datos de la transferencia: titular, documento, número de cuenta, monto y concepto.
Redes blockchain: cuando se envía o recibe USDT, la dirección, el monto, la fecha y el hash quedan registrados en una red pública que cualquier persona puede consultar. Esto es propio de la tecnología y no depende de nosotros. Si usa un exchange (plataforma), esa plataforma también trata sus datos según su propia política.
Proveedores de servicios (encargados del tratamiento): empresas que nos prestan hosting, almacenamiento, copias de seguridad, envío de correos electrónicos, mensajería interna de nuestro equipo (avisos con el código de la orden, montos, métodos y señales de revisión, sin documentos ni datos de cobro) y otra infraestructura técnica. Solo tratan los datos siguiendo nuestras instrucciones y bajo contratos que les exigen confidencialidad y medidas de seguridad.
Proveedores de cumplimiento: servicios de consulta de listas de sanciones y de análisis de blockchain (ver la Política de prevención de lavado de activos (AML/KYC)). Podemos enviarles direcciones de billetera, hashes de transacciones y, cuando sea necesario, su nombre y su documento para verificar coincidencias; solo los datos necesarios para cada consulta. Actúan por encargo nuestro y bajo deberes de confidencialidad.
Telegram y WhatsApp: si usa nuestro bot o nos escribe por estos medios, estas plataformas tratan sus datos como responsables independientes, según sus propias políticas de privacidad. Le recomendamos revisarlas.
Autoridades: la UAFE, la Fiscalía General del Estado, jueces y tribunales, el Servicio de Rentas Internas (SRI), la Superintendencia de Protección de Datos Personales y otras autoridades competentes, cuando la ley lo exija o ante un requerimiento legal. En algunos casos la ley nos prohíbe informarle sobre estos reportes o requerimientos.
Asesores y auditores: abogados, contadores y auditores externos, sujetos a deberes de confidencialidad.
Reorganización empresarial: si [[COMPANY_NAME]] se fusiona, se reorganiza o transfiere su negocio, los datos podrán pasar al sucesor, que deberá respetar esta política o una protección equivalente. Se lo informaremos.

No vendemos ni alquilamos sus datos personales, y no los compartimos con anunciantes.

7. Transferencias internacionales

Algunos de nuestros proveedores de hosting e infraestructura tratan datos fuera de Ecuador, en [[HOSTING_COUNTRIES]]. Además, Telegram y WhatsApp operan a nivel global, y las redes blockchain funcionan en servidores de todo el mundo.

Cuando transferimos datos fuera de Ecuador, lo hacemos conforme a la LOPDP y su Reglamento: a países u organizaciones con un nivel adecuado de protección, o aplicando medidas de protección adecuadas, como cláusulas contractuales de protección de datos, u otros mecanismos que la ley permita. Puede pedir información sobre estas medidas escribiendo a privacidad@cacaoex.com.

8. Conservación de los datos

Conservamos sus datos solo el tiempo necesario para los fines de esta política y para cumplir la ley:

Cuenta, órdenes, verificación de identidad, comprobantes y mensajes: mientras su cuenta esté activa y, después, durante 10 años contados desde su última operación o desde el cierre de la cuenta, lo que ocurra después. Este plazo responde a las obligaciones de prevención de lavado de activos, tributarias y contables. Podemos conservarlos más tiempo si una autoridad lo ordena o si hay un reclamo o proceso en curso.
Datos técnicos: la IP y los datos del navegador vinculados a una orden se conservan junto con esa orden. Los demás registros técnicos y de seguridad se conservan el tiempo necesario para la seguridad y la prevención de fraudes y, como máximo, 12 meses, salvo que se necesiten para investigar un incidente, un fraude o un reclamo.
Registros incompletos: si usted inicia un registro, no confirma su correo y no realiza operaciones, podemos eliminar esos datos pasado un tiempo. También puede pedirnos que los eliminemos escribiendo a privacidad@cacaoex.com.
Cookies: según lo indicado en la sección 11.
Copias de seguridad: los datos eliminados pueden permanecer en copias de seguridad protegidas hasta que estas se renueven en su ciclo normal.
Datos en blockchain: las transacciones registradas en una red pública son permanentes. No controlamos esas redes y no podemos modificar ni borrar esos registros.

Al terminar el plazo, eliminamos los datos o los anonimizamos de forma que ya no le identifiquen.

9. Seguridad

Aplicamos medidas técnicas y organizativas para proteger sus datos, entre ellas:

acceso por roles: cada empleado ve solo lo que necesita para su trabajo;
almacenamiento privado de archivos: sus comprobantes y documentos nunca son públicos y solo se entregan después de verificar permisos;
los documentos de su verificación de identidad solo los ven empleados autorizados;
los avisos internos a nuestro equipo no incluyen sus documentos ni sus datos de cobro;
conexión cifrada (HTTPS) entre su dispositivo y nuestro sitio;
contraseñas guardadas como hash, bloqueo temporal tras varios intentos fallidos de inicio de sesión y alertas cuando cambian datos importantes de su cuenta;
registro de las acciones realizadas sobre cada orden;
capacitación y deberes de confidencialidad para nuestro personal.

Ningún sistema es completamente seguro, por lo que no podemos garantizar una seguridad absoluta. Si ocurre un incidente de seguridad que afecte sus datos personales, lo notificaremos a la Superintendencia de Protección de Datos Personales y, cuando corresponda, a usted, en los términos que exige la LOPDP.

Usted también ayuda a proteger su cuenta: no comparta su contraseña ni sus enlaces de inicio de sesión, y use solo nuestros canales oficiales. Nunca le pediremos su contraseña.

10. Sus derechos

Según la LOPDP, usted tiene derecho a:

Acceso: saber qué datos suyos tratamos y obtener una copia.
Rectificación y actualización: corregir datos inexactos o incompletos.
Eliminación: pedir que borremos sus datos cuando ya no sean necesarios o no exista una base legal para tratarlos.
Oposición: oponerse a los tratamientos basados en nuestro interés legítimo y a las comunicaciones comerciales.
Portabilidad: recibir los datos que nos entregó en un formato estructurado y de uso común, o pedir que los transmitamos a otro responsable cuando sea técnicamente posible.
Suspensión del tratamiento: pedir que limitemos el uso de sus datos en los casos que prevé la ley, por ejemplo, mientras revisamos una solicitud de rectificación.
No ser objeto de decisiones automatizadas: no quedar sujeto a decisiones basadas única o parcialmente en valoraciones automatizadas que le afecten de forma significativa, y pedir la intervención de una persona (ver la sección 5).
Retirar su consentimiento: cuando el tratamiento se base en él (ver la sección 4.4).

10.1 Cómo ejercer sus derechos

Escriba a privacidad@cacaoex.com e indique qué derecho quiere ejercer. Escriba desde el correo de su cuenta o incluya ese correo, su usuario de Telegram o el código de una orden (CX-…), para que podamos ubicar sus datos.
Para proteger sus datos, verificaremos su identidad antes de responder. Podemos pedirle información adicional, pero nunca su contraseña.
Responderemos en los plazos previstos por la LOPDP. Ejercer sus derechos no tiene costo para usted, salvo lo que disponga la ley.

10.2 Cambios desde su cuenta

Puede actualizar algunos datos directamente en su cuenta: nombre, apellido, teléfono, idioma y correo electrónico en su perfil. También puede vincular o desvincular Telegram y eliminar los datos de cobro guardados. Mientras su verificación de identidad está en revisión o después de aprobada, su nombre y apellido, su nombre completo según el documento y los datos del documento solo se pueden cambiar a través de soporte, con un documento de respaldo.

10.3 Límites

Algunos derechos tienen límites legales:

No podemos eliminar los datos que la normativa de prevención de lavado de activos, tributaria o contable nos obliga a conservar, ni los datos necesarios para una orden en curso o para defendernos ante un reclamo. En esos casos los mantenemos bloqueados y solo los usamos para esos fines hasta que termine el plazo.
No podemos informarle sobre reportes o requerimientos de autoridades cuando la ley lo prohíbe.
Para cerrar su cuenta, primero deben terminar sus órdenes abiertas.

10.4 Reclamos

Si considera que no atendimos bien su solicitud o que tratamos sus datos en contra de la ley, puede presentar un reclamo ante la Superintendencia de Protección de Datos Personales. Le recomendamos escribirnos primero a privacidad@cacaoex.com para intentar resolverlo.

11. Cookies

Usamos solo las cookies necesarias para que el sitio funcione:

Sesión: mantiene su sesión iniciada de forma segura. Está protegida contra el acceso desde scripts del navegador y dura hasta que usted cierra sesión o, como máximo, 30 días.
Idioma: recuerda el idioma que eligió, hasta 12 meses.
Tema visual: recuerda si prefiere el modo claro u oscuro, hasta 12 meses.

No usamos cookies de analítica, de publicidad ni de seguimiento de terceros. Si en el futuro las usamos, actualizaremos esta política y, cuando la ley lo exija, le pediremos su consentimiento antes.

Puede borrar o bloquear las cookies desde la configuración de su navegador, pero sin la cookie de sesión no podrá iniciar sesión en su cuenta.

12. Menores de edad

CacaoEx es solo para personas mayores de 18 años que actúan en su propio nombre. No recopilamos a sabiendas datos de menores de edad. Si detectamos que una cuenta pertenece a un menor, la cerraremos y eliminaremos sus datos, salvo los que la ley nos obligue a conservar. Si cree que un menor nos entregó sus datos, escríbanos a privacidad@cacaoex.com.

13. Cambios en esta política

Podemos actualizar esta política para reflejar cambios en el servicio o en la ley. Publicaremos la nueva versión en esta página, con su fecha de actualización. Un cambio de esta política no le obliga a volver a aceptar los Términos. Si los cambios son importantes, se lo avisaremos por correo electrónico o por Telegram y, cuando la ley exija su consentimiento, se lo pediremos por separado (sección 4.4).

14. Contacto

Datos personales y delegado de protección de datos ([[DPO_NAME]]): privacidad@cacaoex.com
Consultas generales y legales: info@cacaoex.com
Soporte: soporte@cacaoex.com · Telegram [[TELEGRAMSUPPORT]] · WhatsApp [[WHATSAPPSUPPORT]]
Dirección postal: [[COMPANYNAME]], [[COMPANYADDRESS]]

Antes de escribirnos por Telegram o WhatsApp, compruebe que se trata de uno de nuestros canales oficiales. No envíe fotos de su documento por chat: súbalas solo en la sección de verificación de su cuenta.