POLÍTICA DE PRIVACIDAD

QUÉHAY — PLATAFORMA DE DESCUBRIMIENTO Y MARKETPLACE LOCAL

Empresa operadora: QUEHAY LABS SAS
RUC: 1891813273001
Domicilio: Ambato, Tungurahua, Ecuador
Correo de privacidad: privacidad@quehayapp.com
Versión: 2.0
Fecha de vigencia: 1 de junio de 2026
Última actualización: 1 de junio de 2026

Esta Política de Privacidad describe cómo QUEHAY LABS SAS recopila, usa, almacena, comparte y protege tu información personal cuando usas la aplicación QuéHay. Te pedimos leerla con atención. Si tienes preguntas, escríbenos a privacidad@quehayapp.com.

ÍNDICE

1. Quién es el Responsable del Tratamiento
2. Marco Legal Aplicable
3. Qué Datos Personales Recopilamos
4. Cómo Recopilamos tus Datos
5. Para Qué Usamos tus Datos (Finalidades)
6. Base Legal del Tratamiento
7. Compartición de Datos con Terceros
8. Transferencia Internacional de Datos
9. Cuánto Tiempo Conservamos tus Datos
10. Cómo Protegemos tus Datos
11. Tus Derechos ARCO+
12. Datos de Menores de Edad
13. Geolocalización
14. Notificaciones Push
15. Cookies y Tecnologías de Seguimiento
16. Datos de Pago
17. Mensajería Privada
18. Cambios a esta Política
19. Contacto

1. QUIÉN ES EL RESPONSABLE DEL TRATAMIENTO

El responsable del tratamiento de tus datos personales es:

QUEHAY LABS SAS
RUC: 1891813273001
Domicilio: Ambato, provincia de Tungurahua, República del Ecuador
Correo electrónico: privacidad@quehayapp.com

Puedes contactarnos para cualquier asunto relacionado con el tratamiento de tus datos personales usando el correo indicado.

2. MARCO LEGAL APLICABLE

Esta Política de Privacidad está elaborada conforme a:

• Ley Orgánica de Protección de Datos Personales (LOPDP) del Ecuador, publicada en el Registro Oficial Suplemento No. 459 del 26 de mayo de 2021 y su Reglamento.
• Constitución de la República del Ecuador, art. 66 numeral 19 (derecho a la protección de datos personales).
• Ley de Comercio Electrónico, Firmas Electrónicas y Mensajes de Datos del Ecuador.
• Principios internacionales de protección de datos aplicables al contexto de aplicaciones móviles.

3. QUÉ DATOS PERSONALES RECOPILAMOS

3.1 Datos que tú nos proporcionas directamente

Al registrarte:

• Nombre completo
• Correo electrónico
• Número de teléfono celular (incluido el código de país)
• Fecha de nacimiento
• Género (opciones inclusivas disponibles en la app)
• Contraseña (almacenada de forma cifrada, nunca en texto plano)

Para completar tu perfil (opcionales):

• Foto de perfil
• Nombre de usuario (username)
• Descripción personal o biografía
• País y ciudad de residencia
• Preferencias de contenido e intereses

Al usar funcionalidades de negocio (Cuenta de Negocio):

• Nombre comercial del establecimiento
• Dirección física del establecimiento
• RUC o número de identificación tributaria
• Documentos de verificación (cédula, escrituras, poderes, etc.)
• Información de contacto del negocio
• Datos bancarios para recibir pagos (número de cuenta, banco, tipo de cuenta)

Al publicar contenido:

• Reseñas y calificaciones de lugares, actividades y usuarios
• Fotos y videos que subes a la aplicación
• Descripciones de actividades y eventos
• Recomendaciones y publicaciones en el feed
• Mensajes privados enviados a otros usuarios o negocios

Al realizar transacciones:

• Información de facturación (nombre, identificación) cuando sea requerida para comprobantes
• Historial de compras y transacciones

3.2 Datos que recopilamos automáticamente

Datos de uso de la aplicación:

• Funcionalidades usadas y frecuencia de uso
• Búsquedas realizadas dentro de la app
• Lugares, actividades y contenido visualizados
• Interacciones con contenido (likes, reportes, follows)
• Tiempo de uso de la aplicación
• Flujos de navegación y pantallas visitadas

Datos técnicos del dispositivo:

• Tipo y modelo de dispositivo
• Sistema operativo y versión
• Identificadores únicos del dispositivo (UUID, IDFA, Android Advertising ID)
• Versión de la aplicación instalada
• Dirección IP
• Proveedor de servicios de internet (ISP)
• Zona horaria y configuración de idioma del dispositivo

Datos de geolocalización:

• Ubicación geográfica en tiempo real del dispositivo (solo con tu permiso explícito — ver Sección 13)
• Ciudad o región de acceso inferida a partir de la dirección IP

3.3 Datos que recibimos de terceros

Cuando inicias sesión con Google:

• Nombre, apellidos y foto de perfil registrados en tu cuenta Google
• Correo electrónico de la cuenta Google
• Identificador único de Google (Google ID)

De servicios de verificación:

• Confirmación del número de teléfono por el proveedor de servicios OTP
• Resultado de verificación de identidad (aprobado/rechazado) cuando aplique

De nuestra pasarela de pagos (Payphone):

• Confirmación o rechazo de la transacción
• Monto de la transacción
• Token de referencia de la transacción
• Últimos cuatro dígitos de la tarjeta utilizada (solo referencial)

4. CÓMO RECOPILAMOS TUS DATOS

Recopilamos tus datos a través de:

• Formularios de registro y perfil: cuando creas o actualizas tu cuenta.
• Uso de la aplicación: mediante tecnologías de seguimiento del comportamiento dentro de la app.
• Proveedores de servicios de terceros: como Google (login social), Payphone (pagos) y el proveedor de verificación OTP.
• Firebase (Google LLC): para autenticación, almacenamiento de archivos (fotos de perfil, imágenes de contenido), base de datos en tiempo real y envío de notificaciones push.
• Dispositivo del usuario: cuando concedes permisos específicos (geolocalización, cámara, galería, notificaciones).

5. PARA QUÉ USAMOS TUS DATOS (FINALIDADES)

Usamos tus datos para las siguientes finalidades:

5.1 Prestación del servicio (finalidad principal)

• Crear y gestionar tu cuenta de usuario.
• Verificar tu identidad y edad.
• Mostrarte lugares, actividades, productos y contenido relevante para ti.
• Procesar tus compras, pagos y reembolsos.
• Gestionar tu wallet y las transacciones asociadas.
• Emitir comprobantes de transacción.
• Permitir la comunicación entre usuarios a través del sistema de mensajería.
• Mostrar tu perfil público y contenido publicado a la comunidad.
• Gestionar el sistema de calificaciones y reseñas.
• Enviarte notificaciones esenciales sobre tus transacciones y seguridad de la cuenta.

5.2 Personalización

• Personalizar el feed de contenido, recomendaciones y sugerencias de lugares y actividades en función de tu género, edad, ubicación, preferencias declaradas e historial de uso.
• Mostrar contenido apropiado para tu rango de edad (incluyendo restricciones de contenido +18).
• Sugerir eventos, negocios y usuarios que puedan ser de tu interés.

5.3 Seguridad y prevención de fraude

• Detectar, investigar y prevenir actividad fraudulenta, abusiva o ilegal en la Plataforma.
• Verificar la autenticidad de cuentas y transacciones.
• Proteger a los usuarios frente a estafas y comportamientos abusivos.
• Responder a reportes de usuarios y gestionar el sistema de moderación.

5.4 Cumplimiento legal

• Cumplir con las obligaciones tributarias (emisión de comprobantes electrónicos conforme al SRI).
• Responder a requerimientos de autoridades judiciales, fiscales o administrativas competentes.
• Conservar registros de transacciones por los plazos legales exigibles.

5.5 Mejora del producto

• Analizar el uso de la aplicación para identificar errores, mejorar funcionalidades y desarrollar nuevas características.
• Realizar análisis estadísticos agregados y anonimizados sobre el comportamiento de los usuarios.

5.6 Comunicaciones de marketing (solo con consentimiento)

• Enviarte notificaciones sobre nuevas funcionalidades, promociones especiales, eventos destacados u otro contenido de marketing, únicamente si has dado tu consentimiento explícito para recibirlas.
• Puedes retirar tu consentimiento para comunicaciones de marketing en cualquier momento desde la configuración de la app o desde el enlace de cancelación en los correos.

6. BASE LEGAL DEL TRATAMIENTO

El tratamiento de tus datos personales se basa en las siguientes bases legales, conforme a la LOPDP:

7. COMPARTICIÓN DE DATOS CON TERCEROS

QuéHay puede compartir tus datos personales con los siguientes terceros, únicamente en la medida necesaria para cada finalidad:

7.1 Proveedores de servicios tecnológicos

7.2 Otros usuarios de la Plataforma

Los siguientes datos de tu perfil son visibles para otros usuarios de la Plataforma según la configuración de privacidad:

• Nombre de usuario y foto de perfil.
• Reseñas y calificaciones que hayas publicado.
• Recomendaciones y publicaciones en el feed social.
• Actividades que hayas creado (si eres organizador).
• Calificación promedio de tu perfil.

No compartimos tu correo electrónico, número de teléfono, fecha de nacimiento, datos bancarios ni dirección física con otros usuarios, salvo que tú lo decidas explícitamente.

7.3 Autoridades competentes

Podemos divulgar tus datos a autoridades judiciales, fiscales, policiales o administrativas cuando:

• Estemos legalmente obligados a hacerlo por una orden judicial, resolución administrativa o ley.
• Sea necesario para proteger los derechos, seguridad o propiedad de QuéHay, sus usuarios o el público en general.
• Sea parte de una investigación de actividades fraudulentas o ilegales.

7.4 Transacciones corporativas

En caso de fusión, adquisición, venta de activos o reestructuración de QUEHAY LABS SAS, tus datos pueden ser transferidos al nuevo titular, quien asumirá las obligaciones de esta Política de Privacidad. Te notificaremos con antelación razonable sobre cualquier cambio de titularidad.

7.5 Lo que NO hacemos

• No vendemos tus datos personales a terceros para sus propios fines de marketing.
• No compartimos tus datos con anunciantes de forma individual e identificable.
• No cedemos datos de menores a terceros más allá de lo estrictamente necesario para el funcionamiento del servicio.

8. TRANSFERENCIA INTERNACIONAL DE DATOS

Algunos de nuestros proveedores de servicios operan en servidores ubicados fuera del Ecuador, principalmente en los Estados Unidos de América:

• Google Firebase / Google LLC: Servidores en EE.UU. y otros países donde Google opera centros de datos.
• Netlify Inc.: Servidores en EE.UU.

Al aceptar esta Política de Privacidad, consientes la transferencia de tus datos a estos países, los cuales pueden no tener un nivel de protección de datos equivalente al de Ecuador. Sin embargo, exigimos a nuestros proveedores que implementen medidas de seguridad adecuadas para la protección de los datos transferidos, incluyendo cláusulas contractuales estándar u otros mecanismos reconocidos internacionalmente.

9. CUÁNTO TIEMPO CONSERVAMOS TUS DATOS

Tras la eliminación de la cuenta: Eliminamos tu perfil público y anonimizamos los registros que debemos conservar por obligación legal. Los datos personales identificables serán borrados dentro de los 30 días hábiles siguientes a la solicitud de eliminación, salvo los que deban conservarse por ley.

10. CÓMO PROTEGEMOS TUS DATOS

Implementamos medidas técnicas y organizativas apropiadas para proteger tus datos personales frente al acceso no autorizado, pérdida, alteración o divulgación, incluyendo:

Medidas técnicas:

• Cifrado de comunicaciones en tránsito mediante TLS/HTTPS.
• Almacenamiento de contraseñas con hash criptográfico (nunca en texto plano).
• Autenticación mediante JSON Web Tokens (JWT) firmados.
• Verificación de identidad por doble factor (OTP) en el registro.
• Control de acceso por roles dentro del sistema.
• Registro de auditoría inmutable de transacciones financieras (ledger contable).
• Detección automatizada de patrones de actividad sospechosa.

Medidas organizativas:

• Acceso restringido a datos personales según el principio de mínimo privilegio.
• Capacitación del equipo en prácticas de seguridad y privacidad.
• Evaluación periódica de los riesgos de seguridad.
• Procedimiento de respuesta ante incidentes de seguridad.

Ante una brecha de seguridad: Si detectamos una violación de seguridad que pueda afectar significativamente tus derechos o la seguridad de tus datos, te notificaremos dentro del plazo establecido por la LOPDP a través del correo electrónico registrado y, cuando corresponda, lo reportaremos a la Autoridad de Protección de Datos Personales del Ecuador.

Limitación importante: Ningún sistema de seguridad es infalible. Si bien hacemos esfuerzos razonables para proteger tus datos, no podemos garantizar la seguridad absoluta de la información transmitida a través de internet.

11. TUS DERECHOS ARCO+

Conforme a la Ley Orgánica de Protección de Datos Personales (LOPDP) del Ecuador, tienes los siguientes derechos respecto de tus datos personales:

Derecho de Acceso

Tienes derecho a saber qué datos personales tenemos sobre ti, cómo los usamos y con quién los compartimos.

Derecho de Rectificación

Tienes derecho a solicitar la corrección de datos inexactos, incompletos o desactualizados. Muchos datos puedes actualizarlos directamente desde la configuración de tu perfil en la app.

Derecho de Supresión (Cancelación)

Tienes derecho a solicitar la eliminación de tus datos personales cuando ya no sean necesarios para las finalidades para las que fueron recopilados, cuando retires tu consentimiento, o cuando el tratamiento sea ilícito. Este derecho está sujeto a las obligaciones legales de conservación que apliquen (por ejemplo, registros tributarios).

Derecho de Oposición

Tienes derecho a oponerte al tratamiento de tus datos para finalidades de marketing directo o cuando el tratamiento se base en el interés legítimo de QuéHay y tengas motivos particulares que lo justifiquen.

Derecho a la Portabilidad

Tienes derecho a recibir los datos personales que nos hayas proporcionado en un formato estructurado, de uso común y lectura mecánica, y a transmitirlos a otro responsable del tratamiento, cuando sea técnicamente posible.

Derecho a Retirar el Consentimiento

Cuando el tratamiento de datos se base en tu consentimiento, tienes derecho a retirarlo en cualquier momento. El retiro no afecta la legalidad del tratamiento anterior al retiro.

Derecho a no ser objeto de decisiones automatizadas

Tienes derecho a no ser objeto exclusivamente de decisiones basadas en el tratamiento automatizado de tus datos que produzcan efectos jurídicos o te afecten significativamente.

Cómo ejercer tus derechos

Para ejercer cualquiera de los derechos anteriores:

1. Escribe a: privacidad@quehayapp.com
2. Asunto del correo: "Ejercicio de Derechos LOPDP - [Tu nombre de usuario]"
3. Adjunta: Copia de tu cédula de identidad o pasaporte vigente, y una descripción clara del derecho que deseas ejercer.
4. Responderemos dentro de los 15 días hábiles siguientes a la recepción de la solicitud completa.

Si consideras que el tratamiento de tus datos viola la LOPDP, tienes derecho a presentar una reclamación ante la Autoridad de Protección de Datos Personales del Ecuador.

12. DATOS DE MENORES DE EDAD

12.1 Usuarios entre 13 y 17 años

QuéHay permite el registro de usuarios a partir de los 13 años. Sin embargo, somos conscientes de que los menores de edad requieren protecciones adicionales.

Respecto de los datos de usuarios entre 13 y 17 años:

• No los utilizamos para publicidad basada en perfiles.
• No mostramos su información en búsquedas públicas de manera que facilite su contacto no solicitado.
• Los datos de geolocalización de menores se tratan con especial cuidado.
• No compartimos sus datos con terceros para fines de marketing.

12.2 Menores de 13 años

QuéHay no recopila conscientemente datos de menores de 13 años. Si detectamos que un usuario es menor de esta edad, eliminaremos su cuenta y todos los datos asociados de inmediato. Si eres padre, madre o tutor de un menor de 13 años y crees que ha creado una cuenta, contáctanos inmediatamente a privacidad@quehayapp.com.

12.3 Consentimiento parental

En los casos en que la legislación aplicable requiera el consentimiento de los padres o tutores para el tratamiento de datos de menores, QuéHay puede implementar mecanismos de verificación de dicho consentimiento.

13. GEOLOCALIZACIÓN

13.1 Por qué usamos tu ubicación

QuéHay usa los datos de tu ubicación geográfica para:

• Mostrarte lugares, actividades, eventos y negocios cercanos a ti.
• Personalizar el contenido y las recomendaciones según tu zona geográfica.
• Facilitarte la navegación hacia los establecimientos.

13.2 Tipos de datos de ubicación

• Ubicación en tiempo real: Tu posición geográfica actual, utilizada mientras usas activamente la app para mostrar contenido cercano. No almacenamos un historial de tus movimientos en tiempo real.
• Ubicación aproximada por IP: Usamos tu dirección IP para inferir tu ciudad o región aproximada, incluso cuando no has concedido permiso de geolocalización.

13.3 Tu control sobre la geolocalización

La geolocalización en tiempo real requiere tu permiso explícito, que te pediremos la primera vez que uses funciones que la requieran. Puedes:

• Conceder el permiso de ubicación "mientras usas la app" (recomendado).
• Denegar el permiso — algunas funciones de descubrimiento basadas en ubicación quedarán limitadas, pero podrás seguir usando la app.
• Revocar el permiso en cualquier momento desde la configuración de tu dispositivo.

No compartimos tus datos de ubicación en tiempo real con otros usuarios sin tu consentimiento explícito.

14. NOTIFICACIONES PUSH

QuéHay puede enviarte notificaciones push a tu dispositivo. Para ello, necesitamos tu permiso, que el sistema operativo de tu dispositivo (iOS o Android) te solicitará.

Tipos de notificaciones:

• Esenciales (transaccionales): Confirmaciones de pago, alertas de seguridad, recordatorios de tickets. No se pueden desactivar desde la app mientras tengas una cuenta activa.
• De actividad: Mensajes nuevos, menciones, respuestas. Se pueden desactivar desde la configuración de la app.
• De marketing: Promociones, novedades. Solo con tu consentimiento y desactivables en cualquier momento.

Puedes gestionar los permisos de notificaciones desde la configuración de tu dispositivo (iOS: Ajustes > QuéHay > Notificaciones; Android: Ajustes > Aplicaciones > QuéHay > Notificaciones).

15. COOKIES Y TECNOLOGÍAS DE SEGUIMIENTO

La aplicación móvil QuéHay no usa cookies en el sentido tradicional de los navegadores web. Sin embargo, puede utilizar tecnologías similares como:

• Identificadores de dispositivo (Device ID): Para reconocer tu dispositivo entre sesiones.
• Firebase Analytics / Google Analytics for Firebase: Para analizar el comportamiento de uso de la app. Estos datos son recopilados por Google LLC conforme a sus propias políticas de privacidad. Puedes consultar las políticas de Google en policies.google.com.
• Tokens de sesión (JWT): Para mantener tu sesión activa de forma segura.

Si en el futuro QuéHay desarrolla una versión web de la plataforma, implementará una política de cookies específica para dicha versión.

16. DATOS DE PAGO

QuéHay no almacena datos completos de tarjetas de crédito o débito. El procesamiento de pagos es realizado directamente por Payphone, que está sujeto a sus propias políticas de seguridad y privacidad y cumple con los estándares PCI-DSS para el manejo seguro de datos de pago.

QuéHay solo recibe de Payphone:

• La confirmación o rechazo de la transacción.
• El monto de la transacción.
• Un token de referencia de la operación.
• En algunos casos, los últimos cuatro dígitos de la tarjeta y la franquicia, solo para referencia en el historial del usuario.

Para más información sobre cómo Payphone maneja tus datos de pago, consulta la política de privacidad de Payphone.

17. MENSAJERÍA PRIVADA

Los mensajes privados que intercambias con otros usuarios o con negocios a través del sistema de mensajería de QuéHay son tratados como información confidencial. Sin embargo, al igual que en otras plataformas de comunicación digital:

• QuéHay puede acceder a los mensajes en casos de reporte de abuso, investigación de fraude o por requerimiento legal de autoridad competente.
• Los mensajes son almacenados en los servidores de QuéHay (a través de Firebase) por el plazo indicado en la Sección 9.
• No utilizamos el contenido de tus mensajes privados para publicidad.
• Si reportas un mensaje como abusivo, el contenido del mensaje será revisado por nuestro equipo de moderación.

18. CAMBIOS A ESTA POLÍTICA

Podemos actualizar esta Política de Privacidad periódicamente para reflejar cambios en nuestras prácticas de datos, en la Plataforma o en la legislación aplicable. Cuando realicemos cambios materiales, te notificaremos mediante:

• Notificación push en la aplicación.
• Correo electrónico al email registrado.
• Aviso prominente al iniciar sesión en la app.

Te recomendamos revisar esta Política periódicamente. La fecha de "Última actualización" al inicio del documento indica cuándo fue modificada por última vez. Si continúas usando QuéHay después de haber sido notificado de los cambios, aceptas la Política actualizada.

19. CONTACTO

Para cualquier consulta o solicitud relacionada con tus datos personales o esta Política de Privacidad:

Correo: privacidad@quehayapp.com
Asunto sugerido: "Consulta de Privacidad" o "Ejercicio de Derechos LOPDP"
Tiempo de respuesta: Máximo 15 días hábiles

QUEHAY LABS SAS
RUC: 1891813273001
Ambato, Tungurahua, Ecuador

Política de Privacidad elaborada conforme a la Ley Orgánica de Protección de Datos Personales del Ecuador (LOPDP) y mejores prácticas internacionales. Versión 2.0 — © 2026 QUEHAY LABS SAS.