Versión 1.1 · Actualizada el 5 de octubre de 2026 (adenda 9 de octubre de 2026) · Aplica a nuestros restaurantes, hoteles, sitios web, apps, wifi para clientes y huéspedes, procesos de selección y relación con proveedores en Ecuador.
Esta política explica, en lenguaje sencillo, qué datos personales tratamos, para qué, con qué base legal, cuánto tiempo los guardamos, con quién los compartimos y cómo puede ejercer sus derechos. Cumple la Ley Orgánica de Protección de Datos Personales (LOPDP, Quinto Suplemento del Registro Oficial 459, 26 de mayo de 2021), su Reglamento General (Decreto Ejecutivo 904, Tercer Suplemento del Registro Oficial 435, 13 de noviembre de 2023) y la normativa de la Superintendencia de Protección de Datos Personales.
El responsable es la sociedad que opera el establecimiento, la app o el canal donde usted nos entregó sus datos. Su razón social y su RUC constan en la factura, en el formulario o en el aviso de ese canal.
| Sociedad (responsable) | RUC | Establecimientos / actividad |
|---|---|---|
| EMPRESA HOTELERA LUCUPA S.A. | 0190166953001 | Hoteles y restaurantes en Cuenca |
| PARKSANT S.A. | 0190384314001 | Establecimientos y servicios que opera la sociedad |
| TBE-SAS SOCIEDAD POR ACCIONES SIMPLIFICADA | 0195154813001 | Restaurantes Taco Bell en Ecuador (franquicia) |
| NGQUITO S.A.S. | 0195104859001 | Restaurante Negroni, Quito |
| MEXIRESTAURANT S.A.S. | 0195111197001 | Restaurantes (Negroni Guayaquil y La Única Cuenca) |
| SERINATURA S.A. | 2090004568001 | Operaciones turísticas y hoteleras (Royal Palm, Galápagos) |
| KARIBAO RESORT S.A.S. | 0195098506001 | Restaurantes y servicios turísticos en Karibao (Playas) |
Domicilio legal principal: Cuenca, Ecuador (con domicilios tributarios y establecimientos en Pichincha, Guayas y Galápagos). Correo de contacto para temas de datos personales: cvintimilla@sociedadgourmet.ec y dmaldonado@sociedadgourmet.ec.
Las sociedades del grupo están administradas por su Gerente, SGOURMET-MANAGEMENT S.A.S. (RUC 0195134715001), a través de su Gerente General, Marcelo Rafael Chico Jaramillo. SGOURMET-MANAGEMENT S.A.S. presta a las sociedades servicios centralizados de administración, contabilidad, talento humano y tecnología. Cuando trata datos personales por cuenta de ellas, lo hace según sus instrucciones y con las obligaciones de confidencialidad y seguridad que exige la LOPDP. Cuando dos o más sociedades decidan en conjunto para qué y cómo se tratan unos mismos datos, actuarán como responsables conjuntos y usted podrá ejercer sus derechos ante cualquiera de ellas.
Daniel Esteban Maldonado Arias (Delegado de Protección de Datos) · dmaldonado@sociedadgourmet.ec. También puede escribir a cvintimilla@sociedadgourmet.ec para dudas, solicitudes o reclamos sobre sus datos personales, ante cualquiera de las sociedades.
| Persona | Datos | Cómo los obtenemos |
|---|---|---|
| Clientes de restaurantes | Facturación: nombres, cédula, RUC o pasaporte, dirección, correo, teléfono. Pedidos, consumos y forma de pago. Delivery: dirección de entrega, referencias, ubicación y teléfono. Reservas: nombre, contacto, fecha, número de personas y, si usted nos lo cuenta, alergias o restricciones alimentarias. Apps propias: datos de cuenta, historial de pedidos y datos técnicos del dispositivo. Programa de lealtad: puntos, consumos y, si lo entrega, fecha de cumpleaños. Encuestas: sus opiniones. Marketing: preferencias de contacto. | De usted, en caja, por teléfono, en nuestros sitios web y apps, por canales de mensajería, y a través de plataformas de delivery de terceros. |
| Huéspedes del hotel | Nombres, nacionalidad, cédula o pasaporte, fecha de nacimiento, dirección, correo, teléfono, fechas de estadía, habitación, acompañantes (incluidos menores de edad), datos de pago y solicitudes especiales. | De usted, en el formulario de registro o check-in, en la reserva directa o a través de agencias de viaje y plataformas de reserva en línea. |
| Usuarios del wifi | Datos técnicos del dispositivo (dirección MAC e IP), fecha, hora y duración de la conexión y, cuando el acceso lo requiera, los datos que usted ingrese para conectarse. | De los equipos de red y, en su caso, de la pantalla de acceso al wifi. |
| Visitantes de webs y apps | Datos del formulario de contacto (nombre, correo, teléfono, mensaje) y datos técnicos y cookies (ver sección 11). | De usted y de su navegador o dispositivo. |
| Personas grabadas por cámaras | Solo imagen, sin audio. Detalles en nuestra Política de Videovigilancia. | Cámaras de seguridad señalizadas. |
| Postulantes a empleo | Hoja de vida, datos de contacto, formación, experiencia, referencias, resultados de pruebas, grabación de la entrevista por Microsoft Teams (imagen y voz) y el análisis de la entrevista hecho con herramientas de inteligencia artificial, siempre con su consentimiento. | De usted, de portales de empleo en los que usted haya publicado su perfil o postulado, y de las referencias que usted indique. |
| Colaboradores | Los necesarios para la relación laboral. Se detallan en el aviso de privacidad para colaboradores que se entrega con el contrato. | Del colaborador y de entidades públicas cuando la ley lo dispone. |
| Proveedores y sus contactos | Razón social, RUC, nombres, cargo, correo, teléfono, cuenta bancaria y datos de facturación. | Del proveedor. |
Datos sensibles. No pedimos datos sensibles a clientes ni huéspedes. Si usted nos informa una alergia, una condición de salud o una necesidad de accesibilidad, la usamos solo para atenderle de forma segura, con su consentimiento explícito, y no la usamos para nada más.
Datos de pago. Los pagos con tarjeta se procesan a través de entidades financieras y proveedores de servicios de pago (datáfonos y pasarelas de pago), que tratan los datos de su tarjeta conforme a su propia normativa y política de privacidad.
Si no nos da sus datos o nos da datos erróneos. Sin sus datos de facturación solo podremos emitir el comprobante a consumidor final cuando la normativa tributaria lo permita. Sin los datos de registro no podemos alojarle. Si los datos son inexactos, su factura puede salir mal emitida o su pedido o reserva puede fallar.
Solo tratamos datos cuando existe una de las condiciones del artículo 7 de la LOPDP. Esta es la relación entre cada finalidad y su base legal:
| Finalidad | Base legal (art. 7 LOPDP) |
|---|---|
| Emitir facturas electrónicas y cumplir obligaciones tributarias y contables. | Cumplimiento de una obligación legal (num. 2). |
| Atender pedidos en el local, delivery, reservas y apps propias; cobrar; atender reclamos de servicio. | Ejecución de medidas precontractuales a su pedido o del contrato (num. 5). |
| Registrar huéspedes, prestar el alojamiento y cobrar la estadía. | Ejecución del contrato de hospedaje (num. 5) y cumplimiento de obligaciones legales (num. 2): el registro diario de huéspedes y la entrega de esa información a la autoridad de turismo y a las autoridades que la requieran (art. 6 del Reglamento de Alojamiento Turístico), y las demás obligaciones migratorias que correspondan. |
| Dar acceso al wifi y proteger la red contra usos indebidos. | Ejecución de los términos de uso del servicio (num. 5) e interés legítimo en la seguridad de la red (num. 8). |
| Administrar el programa de lealtad. | Su consentimiento al inscribirse (num. 1). |
| Enviarle promociones, novedades y ofertas personalizadas por correo, SMS, WhatsApp o redes. | Su consentimiento (num. 1), dado en una casilla separada y que puede retirar cuando quiera. |
| Medir su satisfacción con encuestas y mejorar el servicio. | Interés legítimo (num. 8). Responder es voluntario y puede oponerse. |
| Atender una alergia o necesidad especial que usted nos comunique. | Su consentimiento explícito (num. 1 y art. 26 LOPDP). |
| Seguridad de personas y bienes mediante videovigilancia. | Interés legítimo (num. 8). |
| Selección de personal. | Medidas precontractuales a su pedido (num. 5). Grabación, análisis con IA y base de talento: su consentimiento (num. 1). |
| Gestionar la relación laboral. | Ejecución del contrato de trabajo (num. 5) y obligaciones legales laborales, de seguridad social y tributarias (num. 2). |
| Gestionar proveedores. | Ejecución del contrato (num. 5) y obligaciones legales (num. 2). |
| Responder a autoridades, ejercer o defender nuestros derechos. | Obligación legal (num. 2), orden judicial (num. 3) o interés legítimo (num. 8). |
Decisiones automatizadas. No tomamos decisiones basadas únicamente en procesos automatizados que produzcan efectos jurídicos sobre usted. En la selección de personal usamos herramientas de IA solo como apoyo, con su consentimiento; la decisión final la toma siempre una persona (art. 20 LOPDP).
No vendemos sus datos personales. Si queremos usarlos para una finalidad nueva, se lo informaremos antes y, cuando corresponda, le pediremos su consentimiento.
Guardamos los datos solo el tiempo necesario para la finalidad y los plazos que exige la ley (art. 8 del Reglamento General de la LOPDP). Al vencer, los eliminamos, bloqueamos o anonimizamos. Cuando un mismo dato sirve para varias finalidades, se aplica el plazo más largo que corresponda, solo para la finalidad que lo justifica.
| Datos | Plazo de conservación |
|---|---|
| Facturación y registros contables | 7 años como mínimo, plazo que exige la normativa tributaria para conservar los comprobantes de venta y su información (art. 41 del Reglamento de Comprobantes de Venta, Retención y Documentos Complementarios, en relación con los plazos de prescripción del Código Tributario). |
| Reservas de restaurante | Mientras sea necesario para gestionar la reserva y atender cualquier reclamo relacionado y, después, por el plazo de prescripción de las acciones legales aplicables. Si la reserva genera una factura, los datos de la factura siguen el plazo tributario. |
| Pedidos de delivery y cuentas en apps propias | Mientras la cuenta esté activa y, después de su cierre, por el plazo de prescripción de las acciones legales aplicables. Los datos de facturación de los pedidos siguen el plazo tributario. |
| Registro de huéspedes | Durante la estadía y, después, por el tiempo necesario para cumplir la obligación de registro y de información a las autoridades (art. 6 del Reglamento de Alojamiento Turístico) y por el plazo de prescripción de las acciones legales aplicables. Los datos de la factura de hospedaje siguen el plazo tributario de 7 años. |
| Registros de conexión al wifi | Solo el tiempo necesario para gestionar el acceso y la seguridad de la red, salvo que se necesiten para investigar un incidente o atender un pedido de autoridad competente. |
| Programa de lealtad | Mientras usted participe. Tras su baja o la terminación del programa, se eliminan, salvo lo que debamos conservar por una obligación legal. |
| Marketing | Hasta que retire su consentimiento. |
| Encuestas | El tiempo necesario para analizar los resultados; luego solo se conservan resultados anónimos. |
| Alergias o necesidades especiales | Solo durante la atención o la estadía. |
| Videovigilancia | Hasta 30 días, salvo que se necesiten para un incidente, un reclamo o un pedido de autoridad. |
| Postulantes | Hasta el cierre del proceso de selección y, después, por el plazo de prescripción de las acciones legales aplicables a ese proceso. Las grabaciones de entrevistas se conservan solo hasta el cierre del proceso y el tiempo necesario para atender posibles reclamos sobre él. Base de talento: 24 meses desde su consentimiento, salvo que lo retire antes. |
| Colaboradores | Durante la relación laboral y, después, al menos 3 años desde su terminación, plazo de prescripción de las acciones laborales (art. 635 del Código del Trabajo), o el plazo mayor que exija la normativa de seguridad social o tributaria (por ejemplo, 7 años para la documentación tributaria y contable). |
| Proveedores | Durante el contrato y, después, 7 años como mínimo para los comprobantes y registros tributarios (art. 41 del Reglamento de Comprobantes de Venta, Retención y Documentos Complementarios) y el plazo de prescripción de las acciones legales aplicables. |
| Solicitudes de derechos y reclamos | Desde su cierre, por el plazo de prescripción de las acciones legales aplicables, como evidencia de cumplimiento. |
| Proveedor o categoría de proveedor | Servicio |
|---|---|
| Bendrix, Bendrix Nova y Bendrix BI: Bendrix Technologies (Juan David Vintimilla Palacios, RUC 0103682639001), proveedor tecnológico en Ecuador | Punto de venta (POS), reservas, inteligencia de negocios, compras, nómina, talento humano y portal del empleado |
| Railway (contratado por Bendrix) | Servidores: alojamiento de aplicaciones y sistemas internos, en Estados Unidos |
| Supabase (contratado por Bendrix) | Base de datos y autenticación de apps, en Estados Unidos y en la Unión Europea (Irlanda y Francia) |
| Microsoft 365 y Microsoft Teams | Correo, documentos, videollamadas y entrevistas grabadas |
| Odoo | Sistema de gestión (ERP): facturación y contabilidad |
| Aldelo | Punto de venta (POS) |
| Proveedores de servicios de facturación electrónica | Emisión de comprobantes electrónicos |
| Proveedores de conectividad y del servicio de wifi | Acceso a internet de clientes y huéspedes |
| Proveedores de sistemas de gestión hotelera y de reservas | Reservas y gestión de huéspedes |
| Proveedores de inteligencia artificial: Google y Anthropic (contratados por Bendrix) | Transcripción y análisis de entrevistas, con el consentimiento del postulante, y otras funciones de los sistemas de Bendrix, en Estados Unidos |
| Meta Platforms (WhatsApp, contratado por Bendrix) | Mensajería por WhatsApp, en Estados Unidos |
| Resend (contratado por Bendrix) | Envío de correos electrónicos automáticos de los sistemas, en Estados Unidos |
| Proveedores de servicios de envío de correo electrónico y mensajería | Envío de comunicaciones y, con su consentimiento, de promociones |
Puede solicitar el detalle actualizado de nuestros encargados escribiendo a dmaldonado@sociedadgourmet.ec.
Varios de nuestros proveedores tecnológicos almacenan o tratan datos fuera de Ecuador, principalmente en Estados Unidos. Por eso sus datos pueden ser almacenados o tratados en el exterior:
Railway, Supabase, Meta Platforms (WhatsApp), Google y Anthropic (inteligencia artificial) y Resend son contratados por Bendrix Technologies, nuestro proveedor tecnológico en Ecuador, que responde ante nosotros por ellos según el contrato de encargo de tratamiento.
A la fecha, no consta que la Superintendencia de Protección de Datos Personales haya declarado a Estados Unidos ni a los países de la Unión Europea como destinos con nivel adecuado de protección. Por eso estos flujos se realizan con garantías adecuadas: contratos con cláusulas de protección de datos que reconocen sus derechos, obligan al proveedor a aplicar medidas de seguridad adecuadas y le prohíben usar los datos para fines propios (arts. 56 y 57 de la LOPDP y Resolución SPDP-SPD-2026-0004-R de la Superintendencia). Algunos envíos al exterior también se basan en que son necesarios para cumplir el contrato con usted, por ejemplo una reserva hecha por una plataforma internacional (art. 60 LOPDP).
Puede pedir más información sobre estas garantías escribiendo a dmaldonado@sociedadgourmet.ec.
| Derecho | Qué significa |
|---|---|
| Información (art. 12) | Saber cómo, para qué y por quién se tratan sus datos. Esta política cumple ese fin. |
| Acceso (art. 13) | Conocer y obtener gratis todos los datos que tenemos de usted. |
| Rectificación y actualización (art. 14) | Corregir datos inexactos o completar los incompletos. |
| Eliminación (art. 15) | Pedir que borremos sus datos, por ejemplo cuando ya no son necesarios o retira su consentimiento. |
| Oposición (art. 16) | Negarse a un tratamiento. Para marketing directo puede oponerse en cualquier momento, sin dar razones. |
| Portabilidad (art. 17) | Recibir sus datos en un formato estructurado y de uso común, o pedir que los enviemos a otro responsable, en los casos previstos por la ley. |
| Suspensión del tratamiento (art. 19) | Pedir que dejemos de usar sus datos temporalmente, por ejemplo mientras verificamos su exactitud. |
| No ser objeto de decisiones automatizadas (art. 20) | No quedar sujeto a decisiones basadas en procesos automatizados que le afecten, pedir una explicación, presentar observaciones e impugnar la decisión. |
| Niñas, niños y adolescentes (art. 21) | Protección reforzada frente a decisiones automatizadas y al tratamiento de sus datos (ver sección 10). |
| Revocar el consentimiento (art. 8) | Retirar en cualquier momento, sin justificación y de forma gratuita, el consentimiento que nos dio. |
Estos derechos tienen las excepciones del artículo 18 de la LOPDP; por ejemplo, no podemos borrar una factura mientras la ley tributaria nos obligue a conservarla. Si aplicamos una excepción, se lo explicaremos por escrito.
Aplicamos medidas técnicas y organizativas adecuadas y proporcionales al riesgo (art. 37 LOPDP), entre ellas: control de accesos para que solo el personal autorizado que lo necesita acceda a los datos, deberes de confidencialidad del personal, obligaciones contractuales de seguridad para nuestros proveedores y capacitación del personal.
Si ocurre una vulneración de seguridad, la notificamos a la Superintendencia de Protección de Datos Personales y a la Agencia de Regulación y Control de las Telecomunicaciones dentro del término de 5 días (art. 43 LOPDP) y, cuando exista riesgo para sus derechos, se lo comunicamos a usted dentro del término de 3 días (art. 46 LOPDP).
Nuestros servicios no están dirigidos a menores de edad. Los datos de menores que se alojan en el hotel o que participan en una reserva se entregan y se tratan con la autorización de su representante legal, solo para prestar el servicio y cumplir la ley. Los adolescentes desde los 15 años pueden dar su consentimiento explícito para el tratamiento de sus datos (art. 21 LOPDP). No enviamos publicidad a menores de edad.
Nuestros sitios web y apps usan cookies y tecnologías similares necesarias para funcionar (sesión, seguridad, carrito de compra). Además, en sociedadgourmet.ec usamos cookies de analítica y publicidad de terceros: Google Analytics (Google), para medir el uso del sitio, y el píxel de Meta (Meta Platforms), para medir y personalizar nuestra publicidad. Estas cookies solo se activan si usted las acepta en el banner de consentimiento (gestionado con Cookiebot), y puede cambiar o retirar su elección en cualquier momento desde ese mismo panel. Google y Meta Platforms pueden tratar estos datos fuera de Ecuador, en Estados Unidos, con las garantías descritas en la sección 7. También puede bloquear o eliminar las cookies desde la configuración de su navegador.
Si no está conforme con nuestra respuesta, o si no le respondimos a tiempo, puede presentar un reclamo ante la Superintendencia de Protección de Datos Personales (spdp.gob.ec), conforme al artículo 64 de la LOPDP, sin perjuicio de otras acciones que la ley le reconozca. Le recomendamos escribirnos primero para intentar resolverlo.
Podemos actualizar esta política cuando cambien nuestros tratamientos o la normativa. La versión vigente es siempre la publicada en esta página, con su fecha. Si el cambio es importante, se lo avisaremos por los canales habituales y, si corresponde, le pediremos de nuevo su consentimiento.
Última actualización: 5 de octubre de 2026.
Fuentes: LOPDP (Quinto Suplemento del Registro Oficial 459, 26-may-2021); Reglamento General de la LOPDP (Decreto Ejecutivo 904, Tercer Suplemento del Registro Oficial 435, 13-nov-2023); Resolución SPDP-SPD-2026-0004-R, Norma general de transferencias o comunicaciones nacionales e internacionales de datos personales; Reglamento de Comprobantes de Venta, Retención y Documentos Complementarios (art. 41); Reglamento de Alojamiento Turístico (Suplemento del Registro Oficial 465, 24-mar-2015, art. 6); Código del Trabajo (art. 635).