Política de Privacidad y Protección de Datos Personales

Orocash Ecuador — Marca de Metalsud S.A.

Conforme a la Ley Orgánica de Protección de Datos Personales (LOPDP), su Reglamento General (RGLOPDP — D.E. 904) y normativa de la SPDP.

Versión	2.0
Fecha de vigencia	25/05/2026
Versión anterior	1.0 (publicada en orocash.ec)
Aprobado por DPD	Bernardo Cortes Serrato

1. Identidad del responsable del tratamiento

El responsable del tratamiento de sus datos personales es:

• Razón social: METALSUD S.A.
• RUC: 0992823682001
• Marca comercial: Orocash Ecuador
• Domicilio: Vélez 131 y Chile, Edificio Orocash, ciudad de Guayaquil, provincia del Guayas, Ecuador
• Correo electrónico: dpd@orocash.ec
• Sitios web: https://www.orocash.ec — https://vendetujoya.orocash.ec — https://transacciones.orocash.ec

Metalsud S.A. forma parte del Grupo Empresarial Orocash, integrado además por Aurum-Ecuador, Socmetasa S.A., Unicash S.A., Commercorplus S.A. y Metaltexcorpsa S.A. Para determinados tratamientos compartidos (en especial la consulta nacional de historiales y perfiles de clientes), estas empresas actúan como corresponsables del tratamiento, conforme al acuerdo de corresponsabilidad suscrito entre ellas. Cada empresa responde solidariamente ante los titulares por el tratamiento compartido.

Delegado de Protección de Datos (DPD)

El Grupo Orocash cuenta con un Delegado de Protección de Datos Personales designado conforme al Art. 48 de la LOPDP y registrado ante la Superintendencia de Protección de Datos Personales (SPDP). El servicio de DPD es prestado por SIAPE S.A. bajo esquema de outsourcing, con total autonomía operativa, contacto directo con la alta dirección y prohibición de ser sancionado por el ejercicio de sus funciones.

Contacto del DPD: dpd@orocash.ec

2. Alcance

Esta Política de Privacidad aplica a todo tratamiento de datos personales realizado por Metalsud S.A. (Orocash Ecuador) y las empresas del Grupo Orocash, ya sea a través de:

• Los sitios web del grupo (orocash.ec, vendetujoya.orocash.ec, transacciones.orocash.ec).
• Las sucursales y puntos de venta físicos (joyerías Orocash).
• El sistema de gestión RDS (ingreso de clientes por canal electrónico, manual o biométrico).
• Las plataformas de comunicación y redes sociales del grupo.
• Los procesos internos de gestión de colaboradores, proveedores y terceros.

Esta política está dirigida a clientes, usuarios del sitio web, colaboradores, proveedores, visitantes y cualquier persona cuyos datos personales sean tratados por el grupo. El servicio no está dirigido a personas menores de dieciocho (18) años. El sistema RDS incorpora un control automático de verificación de edad a partir de la fecha de nacimiento, que bloquea operaciones con menores. Si se detecta que un menor ha proporcionado datos sin la autorización de su representante legal, se procederá a la eliminación inmediata de dichos datos.

Definiciones clave

A efectos de esta política, los términos utilizados tienen el significado que les atribuye la LOPDP en su Art. 4. En particular:

• Datos personales: toda información que identifica o hace identificable a una persona natural, directa o indirectamente.
• Datos sensibles: aquellos que revelan origen étnico, opiniones políticas, convicciones religiosas, estado de salud, orientación sexual, datos biométricos, datos genéticos, y datos de niñas, niños y adolescentes, entre otros (Art. 25 LOPDP).
• Tratamiento: cualquier operación realizada sobre datos personales, sea automatizada o no, como la recogida, registro, organización, conservación, consulta, comunicación o supresión.
• Responsable del tratamiento: persona natural o jurídica que decide sobre la finalidad y medios del tratamiento.
• Encargado del tratamiento: persona natural o jurídica que trata datos personales por cuenta del responsable.
• Titular: persona natural a quien corresponden los datos personales.

3. Datos personales que tratamos

Dependiendo de su relación con nosotros y de los servicios que utilice, podemos tratar las siguientes categorías de datos personales:

3.1. Datos de identificación y contacto

• Nombres y apellidos completos.
• Número de cédula de identidad, pasaporte o RUC.
• Fecha de nacimiento.
• Dirección domiciliaria.
• Teléfono fijo y/o móvil.
• Correo electrónico.
• Estado civil y nombre del cónyuge (cuando aplique).
• Género (F / M / No Binario / No Definido).

3.2. Datos económicos y financieros

• Número de cuenta bancaria para transferencias.
• Información de facturación y comprobantes tributarios.
• Historial de transacciones y pedidos.

3.3. Datos profesionales y laborales

• Profesión u oficio.
• Situación laboral (dependiente, independiente, jubilado).
• Condición de Persona Expuesta Políticamente (PEP).

3.4. Datos de navegación y dispositivo

• Dirección IP.
• Tipo de navegador, sistema operativo y dispositivo.
• Datos de navegación y comportamiento en el sitio web (páginas visitadas, tiempo de permanencia, productos consultados).
• Identificadores de cookies y de publicidad.
• Información de ubicación geográfica aproximada.

3.5. Datos sensibles — Datos biométricos

Aviso importante: Orocash Ecuador trata datos biométricos, que tienen la condición de datos sensibles conforme al Art. 25 de la LOPDP. En particular:

• Código de huella dactilar (6 primeros dígitos), utilizado para la verificación de identidad.
• Imagen del rostro (reconocimiento facial), utilizado para la firma electrónica de contratos y documentos.

El tratamiento de estos datos se realiza exclusivamente con su consentimiento expreso, previo e informado, obtenido mediante un mecanismo específico e independiente del consentimiento general. Estos datos están protegidos con medidas de seguridad reforzadas.

4. Finalidades del tratamiento

Sus datos personales son tratados para las siguientes finalidades específicas:

4.1. Finalidades derivadas de la relación contractual

• Gestión y ejecución del contrato de compraventa con pacto de retroventa (suscripción, seguimiento, destape y liquidación del contrato).
• Procesamiento de pedidos, facturación, despacho y entrega de productos de joyería adquiridos a través del sitio web o en tiendas físicas.
• Gestión de pagos, transferencias bancarias y bancarización a través de la Cooperativa Atahualpa.
• Atención de consultas, reclamos y solicitudes de servicio posventa.

4.2. Finalidades de cumplimiento legal

• Cumplimiento de obligaciones tributarias (emisión de liquidaciones de compra, retenciones en la fuente, facturación electrónica).
• Cumplimiento de las obligaciones como sujeto obligado ante la Unidad de Análisis Financiero y Económico (UAFE) en materia de prevención de lavado de activos y financiamiento del terrorismo, incluyendo la debida diligencia del cliente.
• Verificación de identidad con el Registro Civil para evitar suplantaciones, mediante la herramienta de onboarding de Eclipsoft.
• Verificación de mayoría de edad para bloquear operaciones con menores.
• Atención de requerimientos de autoridades judiciales, administrativas o de control (Fiscalía, SRI, SPDP, entre otras).

4.3. Finalidades comerciales y de marketing (con su consentimiento)

• Envío de comunicaciones comerciales, promociones, lanzamientos de productos y boletines informativos (newsletter), exclusivamente a quienes hayan dado su consentimiento mediante suscripción.
• Personalización de contenido y recomendaciones de productos en el sitio web.
• Administración de programas de lealtad, sorteos y promociones.
• Realización de encuestas de satisfacción.

4.4. Finalidades analíticas y de mejora del servicio

• Análisis estadístico del uso del sitio web mediante herramientas de analítica (Google Analytics) para mejorar la experiencia del usuario.
• Medición del rendimiento publicitario y análisis de tendencias.

4.5. Finalidades de seguridad

• Protección de la seguridad del sitio web y prevención de fraude.
• Firma electrónica de contratos y documentos mediante reconocimiento facial (con consentimiento expreso del titular).
• Videovigilancia y monitoreo de seguridad en las instalaciones del grupo.

5. Base de licitud del tratamiento

Todo tratamiento de datos personales se ampara en al menos una de las bases de licitud previstas en el Art. 7 de la LOPDP. A continuación se detalla la base que ampara cada grupo de finalidades:

Finalidad	Base de licitud (Art. 7 LOPDP)	Mecanismo / Documento
Ejecución del contrato de compraventa con retroventa	Ejecución de un contrato (Art. 7 lit. b)	Contrato de compraventa con pacto de retroventa suscrito por el cliente
Facturación y procesamiento de pagos	Ejecución de un contrato / Obligación legal	Contrato + normativa tributaria (Ley de Régimen Tributario Interno)
Debida diligencia UAFE y prevención de lavado de activos	Cumplimiento de obligación legal (Art. 7 lit. c)	Ley Orgánica de Prevención de Lavado de Activos; Resoluciones UAFE
Verificación de identidad (Registro Civil y firma electrónica)	Cumplimiento de obligación legal + Consentimiento expreso (biométricos)	Normativa UAFE + casilla de consentimiento expreso en el proceso de onboarding
Envío de comunicaciones comerciales	Consentimiento del titular (Art. 7 lit. a)	Suscripción voluntaria al newsletter en el sitio web
Analítica web (Google Analytics)	Consentimiento del titular	Aceptación de cookies analíticas en el banner de cookies
Publicidad dirigida y perfilamiento	Consentimiento del titular	Aceptación de cookies de marketing en el banner de cookies
Seguridad del sitio web y prevención de fraude	Interés legítimo (Art. 7 lit. d)	Evaluación de ponderación documentada; prevalece la seguridad de la plataforma
Videovigilancia y monitoreo	Interés legítimo	Evaluación de ponderación + señalización en las instalaciones
Atención de requerimientos judiciales y administrativos	Cumplimiento de obligación legal (Art. 7 lit. c)	COGEP, COIP, Ley UAFE y demás normativa aplicable

Datos sensibles (biométricos): el tratamiento de su huella dactilar y reconocimiento facial se ampara exclusivamente en su consentimiento expreso, recabado de forma independiente y específica mediante el proceso de onboarding electrónico, donde usted acepta expresamente el uso de su rostro para la firma electrónica. Usted puede revocar este consentimiento en cualquier momento comunicándose a dpd@orocash.ec, sin que ello afecte la licitud del tratamiento realizado con anterioridad.

6. Origen de los datos

Obtenemos sus datos personales de las siguientes fuentes:

• Directamente de usted: cuando suscribe un contrato de compraventa, se registra en nuestro sitio web, realiza una compra, se suscribe al newsletter, completa el proceso de onboarding biométrico o interactúa con nuestros canales de atención.
• De forma automática: mediante cookies y tecnologías similares cuando navega por nuestro sitio web (dirección IP, datos de navegación, identificadores de dispositivo).
• De terceros autorizados: del Registro Civil (verificación de identidad a través de Eclipsoft); de redes sociales como Facebook o Google cuando usted utiliza estas plataformas para iniciar sesión en nuestro sitio web; y de fuentes de acceso público cuando así lo permita la ley.

7. Destinatarios de los datos

Sus datos personales pueden ser comunicados o transferidos a las siguientes categorías de destinatarios, siempre con las garantías que exige la LOPDP:

7.1. Empresas del Grupo Orocash (corresponsables)

Aurum-Ecuador, Socmetasa S.A., Unicash S.A., Commercorplus S.A. y Metaltexcorpsa S.A. Estas empresas comparten determinados tratamientos (consulta de historiales y perfiles de clientes) conforme al acuerdo de corresponsabilidad suscrito. Cada una es responsable del tratamiento de los datos que gestiona directamente.

7.2. Encargados del tratamiento (proveedores de servicios)

Los siguientes proveedores tratan datos personales por cuenta del grupo, exclusivamente para las finalidades contratadas y bajo contratos de encargo del tratamiento (DPA) que garantizan el cumplimiento de la LOPDP:

Encargado	Función	Datos tratados
LOGCOMEC S.A.	Administración de la plataforma de e-commerce orocash.ec	Datos de clientes web
MONITORSEG	Seguridad y monitoreo remoto de instalaciones	Imágenes de videovigilancia
LEXTECS S.A.	Gestión de contratos vencidos (destape, calificación y chatarrización)	Datos de clientes con contratos vencidos
ECLIPSOFT	Onboarding: verificación de identidad con Registro Civil y firma electrónica	Datos de identificación y biométricos (sensibles)
SIAPE S.A.	Outsourcing de procesos administrativos; prestación del servicio de DPD	Datos administrativos

7.3. Autoridades y terceros por obligación legal

Podemos comunicar sus datos a autoridades judiciales, administrativas o de control cuando así lo exija la ley, incluyendo la Fiscalía General del Estado, la Unidad de Análisis Financiero y Económico (UAFE), el Servicio de Rentas Internas (SRI), la Superintendencia de Protección de Datos Personales (SPDP) y los tribunales con jurisdicción competente.

7.4. Proveedores de servicios analíticos y publicitarios

Utilizamos servicios de terceros para analítica web y publicidad. Estos proveedores pueden acceder a datos anonimizados o seudonimizados conforme a sus propias políticas de privacidad:

Proveedor	Servicio	Política de privacidad
Google LLC (Google Analytics)	Analítica web	https://policies.google.com/privacy
Shopify Inc.	Plataforma de e-commerce	https://www.shopify.com/legal/privacy

8. Transferencias internacionales de datos

Algunos de los servicios que utilizamos implican la transferencia de datos personales fuera del territorio del Ecuador, conforme a lo regulado en los Arts. 37 a 39 de la LOPDP y la Resolución SPDP-SPD-2026-0004-R (Norma General de Transferencias o Comunicaciones Nacionales e Internacionales de Datos Personales).

Las transferencias internacionales identificadas son las siguientes:

Destinatario	País de destino	Finalidad	Garantía aplicada
Google LLC	Estados Unidos	Analítica web (Google Analytics)	Cláusulas contractuales tipo (CCM) reconocidas por la SPDP/RIPD
Shopify Inc.	Canadá / Estados Unidos	Plataforma de e-commerce	Cláusulas contractuales tipo (CCM) reconocidas por la SPDP/RIPD

Orocash Ecuador mantiene documentación actualizada sobre la legalidad de cada transferencia por un plazo mínimo de 3 años, conforme lo exige la Norma General de Transferencias. Si un titular ejerce sus derechos de rectificación o supresión, notificaremos al destinatario internacional para que aplique las mismas medidas.

9. Plazo de conservación de los datos

Conservamos sus datos personales únicamente durante el tiempo necesario para cumplir la finalidad para la que fueron recabados, y en todo caso conforme a los siguientes criterios:

Tipo de datos	Plazo de conservación	Fundamento
Datos del contrato de compraventa	Vigencia del contrato + 10 años	Obligación legal tributaria y UAFE; prescripción de acciones civiles
Datos de debida diligencia (UAFE)	Según normativa UAFE vigente (mínimo 10 años)	Ley Orgánica de Prevención de Lavado de Activos
Datos de usuario del sitio web	Mientras la cuenta esté activa + 5 años	Finalidad contractual + prescripción
Datos biométricos	Vigencia del contrato asociado	Principio de minimización; se eliminan al concluir la finalidad
Cookies	Máximo 30 días desde el último acceso	Configuración técnica del sitio web
Datos de videovigilancia	Máximo 30 días, salvo incidente	Proporcionalidad y principio de minimización

Transcurridos los plazos indicados, sus datos serán suprimidos o, cuando la ley lo exija, bloqueados conforme al Art. 18 de la LOPDP y la Resolución SPDP-SPD-2025-0030-R (Reglamento para la Seudonimización, Anonimización, Bloqueo y Eliminación de Datos Personales). Si usted ejerce su derecho de supresión antes del vencimiento del plazo, procederemos a la eliminación salvo que exista una obligación legal que nos impida hacerlo (por ejemplo, obligaciones ante la UAFE), en cuyo caso le informaremos del motivo.

10. Derechos del titular

Como titular de datos personales, la LOPDP le reconoce los siguientes derechos, que puede ejercer de forma gratuita:

• Derecho de acceso (Art. 14 LOPDP): tiene derecho a conocer si tratamos sus datos personales y, en caso afirmativo, a obtener una copia de ellos junto con información sobre las finalidades, categorías, destinatarios y plazos de conservación.
• Derecho de rectificación y actualización (Art. 15 LOPDP): tiene derecho a solicitar la corrección de datos inexactos y la actualización de datos incompletos o desactualizados.
• Derecho de eliminación o supresión (Art. 16 LOPDP): tiene derecho a solicitar la supresión de sus datos cuando ya no sean necesarios para la finalidad para la que fueron recabados, cuando retire su consentimiento o cuando el tratamiento sea ilícito. Este derecho puede estar limitado por obligaciones legales de conservación (p. ej., normativa UAFE o tributaria).
• Derecho de oposición (Art. 17 LOPDP): tiene derecho a oponerse al tratamiento de sus datos por motivos relacionados con su situación particular, especialmente cuando la base de licitud sea el interés legítimo o el tratamiento se realice con fines de marketing directo.
• Derecho a la portabilidad (Art. 20 LOPDP): tiene derecho a recibir sus datos personales en un formato estructurado, de uso común y lectura mecánica, y a solicitar su transmisión a otro responsable cuando sea técnicamente posible.
• Derecho a no ser objeto de decisiones automatizadas (Art. 19 LOPDP): tiene derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado de sus datos, incluido el perfilamiento, que produzca efectos jurídicos sobre usted o le afecte significativamente. Puede solicitar la intervención humana, expresar su punto de vista e impugnar la decisión.
• Derecho a revocar el consentimiento: cuando el tratamiento se base en su consentimiento, puede retirarlo en cualquier momento sin que ello afecte la licitud del tratamiento realizado con anterioridad.
• Derecho a la información (Art. 12 LOPDP): tiene derecho a ser informado de manera clara, previa y completa sobre el tratamiento de sus datos, lo cual se materializa en la presente política.

11. Cómo ejercer sus derechos

Para ejercer cualquiera de los derechos indicados en la sección anterior, puede dirigir su solicitud por cualquiera de los siguientes canales:

• Correo electrónico: dpd@orocash.ec
• Dirección física: Vélez 131 y Chile, Edificio Orocash, Guayaquil — dirigido al Delegado de Protección de Datos Personales.

Su solicitud debe contener: su nombre completo, número de cédula o documento de identificación, descripción clara del derecho que desea ejercer, el dato o tratamiento al que se refiere, y una dirección de correo electrónico para notificaciones.

Plazo de respuesta: le responderemos en un plazo máximo de quince (15) días hábiles contados desde la recepción de su solicitud completa, conforme al Art. 14 de la LOPDP. Si la solicitud es especialmente compleja, le informaremos de la necesidad de una prórroga dentro del mismo plazo.

Si ya no desea recibir comunicaciones comerciales, puede ejercer su derecho de oposición al marketing directo a través del mismo canal (dpd@orocash.ec) o mediante el enlace de desuscripción incluido en cada comunicación electrónica.

12. Decisiones automatizadas y perfilamiento

Orocash Ecuador realiza las siguientes actividades que involucran tratamiento automatizado de datos:

12.1. Perfilamiento comercial

Segmentamos a nuestros clientes por edad, sexo, clase social, preferencias de productos e historial de compras para ofrecerle publicidad y recomendaciones personalizadas. Este perfilamiento se basa en su consentimiento (aceptación de cookies de marketing y suscripción al newsletter) y no produce efectos jurídicos sobre usted. Puede oponerse a este perfilamiento en cualquier momento contactando a dpd@orocash.ec o configurando sus preferencias de cookies.

12.2. Analítica de comportamiento digital

Utilizamos herramientas de analítica web (Google Analytics) que recopilan datos anonimizados o seudonimizados sobre el uso del sitio web para mejorar la experiencia de navegación. Esta analítica no produce decisiones con efectos jurídicos sobre usted.

12.3. Verificación automatizada de identidad

El sistema RDS y la herramienta de onboarding de Eclipsoft realizan verificaciones automatizadas de identidad contrastando sus datos con el Registro Civil y validando su firma biométrica. Este proceso tiene la finalidad de prevenir suplantaciones y cumplir con las obligaciones ante la UAFE, y puede tener efectos en su capacidad de suscribir contratos con el grupo. Usted tiene derecho a solicitar intervención humana en cualquier verificación automatizada de identidad.

13. Medidas de seguridad

Orocash Ecuador implementa medidas técnicas y organizativas apropiadas para proteger sus datos personales contra acceso no autorizado, pérdida, destrucción, alteración, uso o divulgación ilícitos, de conformidad con el Art. 37 de la LOPDP. Entre las medidas adoptadas se incluyen:

Medidas técnicas

• Cifrado SSL/TLS para la transmisión de datos a través del sitio web.
• Los datos de tarjetas de pago se cifran en el momento del envío y no se almacenan en nuestras bases de datos.
• Arquitectura orientada a Zero Trust y controles de acceso basados en roles.
• Copias de seguridad periódicas de los sistemas críticos (RDS, RP3, Conty, Facturación Electrónica).
• Medidas de seguridad reforzadas para el tratamiento de datos biométricos.

Medidas organizativas

• Capacitación periódica del personal con acceso a datos personales.
• Acuerdos de confidencialidad con los colaboradores.
• Contratos de encargo del tratamiento (DPA) con todos los proveedores que tratan datos por cuenta del grupo.
• Protocolo de gestión de brechas de seguridad de datos personales, con procedimiento de notificación a la SPDP y a los titulares afectados conforme a la LOPDP.
• Designación del Delegado de Protección de Datos (DPD).

Si bien adoptamos precauciones razonables, ningún sistema de transmisión o almacenamiento electrónico es completamente seguro. En caso de producirse una brecha de seguridad que afecte sus datos personales, le notificaremos conforme a los plazos y procedimientos establecidos en la LOPDP y la normativa de la SPDP.

14. Cookies y tecnologías similares

Nuestro sitio web utiliza cookies, que son pequeños archivos de datos almacenados en su navegador. Categorizamos nuestras cookies de la siguiente manera:

Categoría	Finalidad	Base de licitud	Duración
Cookies estrictamente necesarias	Funcionamiento básico del sitio, gestión de sesión, carrito de compras	Interés legítimo (necesarias para el servicio)	Sesión o hasta 30 días
Cookies analíticas	Análisis del uso del sitio web (Google Analytics — IP anonimizada)	Consentimiento del titular	Hasta 30 días
Cookies de marketing / publicidad	Publicidad dirigida, medición de rendimiento publicitario	Consentimiento del titular	Hasta 30 días

Gestión de cookies: al acceder a nuestro sitio web por primera vez, se le mostrará un banner de cookies que le permitirá aceptar o rechazar cada categoría de cookies de forma granular. Las cookies estrictamente necesarias no requieren consentimiento y no pueden desactivarse. Usted puede modificar sus preferencias de cookies en cualquier momento a través del enlace de configuración de cookies disponible en el pie de página del sitio web. También puede configurar su navegador para bloquear o eliminar cookies, aunque esto puede afectar la funcionalidad del sitio.

15. Derecho a presentar reclamo ante la SPDP

Si usted considera que el tratamiento de sus datos personales vulnera la LOPDP o sus derechos como titular, tiene derecho a presentar un reclamo o una acción de tutela ante la Superintendencia de Protección de Datos Personales (SPDP), conforme al Art. 42 y concordantes de la LOPDP.

Datos de contacto de la SPDP: https://www.spdp.gob.ec

Le animamos a que, antes de acudir a la SPDP, se comunique con nuestro Delegado de Protección de Datos (dpd@orocash.ec) para que podamos resolver su inquietud de manera directa y oportuna.

16. Vigencia, modificaciones y control de versiones

La presente Política de Privacidad entra en vigor en la fecha indicada en la tabla de control de versiones al inicio de este documento, y permanecerá vigente mientras no sea sustituida por una nueva versión.

Orocash Ecuador se reserva el derecho de modificar esta política para reflejar cambios normativos, tecnológicos o en nuestras prácticas de tratamiento. Cualquier modificación sustancial será notificada a los titulares a través de un aviso visible en nuestro sitio web y, cuando corresponda, mediante correo electrónico. La versión actualizada indicará siempre su fecha de entrada en vigor.

Las versiones anteriores de esta política se mantendrán archivadas y disponibles para consulta del titular que así lo solicite.

Versión	Fecha	Descripción del cambio	Aprobado por
1.0	[Fecha original]	Publicación inicial en orocash.ec	[Representante Legal]
2.0	25/05/2026	Adecuación integral a la LOPDP, RGLOPDP y normativa SPDP. Incorporación de bases de licitud, datos sensibles, perfilamiento, transferencias internacionales, derechos del titular y reclamo ante la SPDP.	[Representante Legal / DPD]

Orocash Ecuador — Metalsud S.A. — RUC: 0992823682001
Contacto DPD: dpd@orocash.ec