GRADELITE — POLÍTICA DE PRIVACIDAD

Versión: 1.0

Estado: APPROVED FOR USE

Fecha de aprobación registrada: 22 de agosto de 2026

Fecha de entrada en vigor: PENDIENTE DE PUBLICACIÓN

1. Responsable del tratamiento

GradElite es un servicio operado por:

Responsable: PABLO ALEXANDER RODRIGUEZ ROSALES

RUC: 1722108279001

Domicilio: Quito, Ecuador

Teléfono: +593 980 407 679

Correo de contacto y privacidad: alexanderrr1999@gmail.com

Para efectos de la legislación ecuatoriana de protección de datos personales, el operador indicado anteriormente actúa como responsable del tratamiento respecto de los datos personales tratados por GradElite, salvo que expresamente se indique una relación diferente.

2. Objeto

Esta Política explica cómo GradElite recopila, utiliza, almacena, consulta, organiza, analiza, comparte, protege, anonimiza y, cuando corresponde legalmente, elimina datos personales relacionados con sus usuarios.

GradElite está diseñado principalmente para personas de Ecuador y Latinoamérica que buscan orientación, herramientas y servicios relacionados con admisiones de posgrado.

3. Principios aplicables

GradElite tratará datos personales conforme a la legislación ecuatoriana aplicable y procurará respetar los principios de juridicidad, lealtad, transparencia, finalidad, pertinencia y minimización, proporcionalidad, confidencialidad, calidad, conservación limitada, seguridad y responsabilidad proactiva.

GradElite procurará recopilar únicamente los datos razonablemente necesarios para las finalidades descritas.

4. Datos de identificación y cuenta

Podemos tratar:

nombre;
apellido;
correo electrónico;
país;
credenciales técnicas de autenticación;
identificadores internos;
estado de cuenta;
preferencias de idioma;
información necesaria para seguridad, verificación o prevención de fraude.

Las contraseñas no serán almacenadas por GradElite en texto legible.

5. Datos académicos

Podemos tratar información como:

universidad;
programa o carrera;
título;
año de graduación;
promedio o GPA;
cursos;
prerrequisitos;
pruebas;
certificaciones;
idiomas;
publicaciones;
investigación;
proyectos;
honores;
programas de interés.

6. Datos profesionales y extracurriculares

Podemos tratar:

experiencia laboral;
empleadores;
cargos;
responsabilidades;
logros;
liderazgo;
voluntariado;
actividades extracurriculares;
proyectos;
emprendimientos;
impacto profesional o comunitario;
objetivos profesionales;
intereses académicos y de investigación.

7. Documentos proporcionados

El usuario puede proporcionar:

CV o résumé;
personal statements;
statements of purpose;
ensayos;
cartas o borradores;
certificados;
transcripts;
documentos académicos;
listas de programas;
otros materiales relacionados con aplicaciones.

8. Aplicaciones y preferencias

Podemos almacenar:

universidades y programas considerados;
estado de aplicaciones;
fechas límite;
requisitos;
prioridades;
preferencias geográficas;
preferencias académicas;
objetivos profesionales;
decisiones;
resultados de admisión comunicados voluntariamente.

9. Información financiera y costos

Podemos tratar información relacionada con:

presupuestos;
gastos;
costos estimados;
tasas;
exámenes;
traducciones;
apostillas;
evaluaciones de credenciales;
courier;
viajes;
matrícula;
costo de vida;
financiamiento potencial.

10. Pagos

GradElite puede tratar:

producto;
monto;
moneda;
estado del pago;
identificador de transacción;
fecha;
método;
referencia bancaria;
comprobante de transferencia cuando corresponda;
datos necesarios para conciliación, contabilidad, seguridad, prevención de fraude y cumplimiento legal.

Los pagos con tarjeta podrán procesarse mediante PayPhone u otro proveedor autorizado en el futuro.

GradElite procurará no almacenar directamente números completos de tarjeta, CVV o credenciales bancarias cuando puedan ser procesados por el proveedor especializado.

11. Asesorías

Podemos tratar:

asesor asignado;
disponibilidad;
sesiones;
objetivos;
preguntas;
notas;
recomendaciones;
tareas;
próximos pasos;
evaluaciones de calidad.

Los asesores solo podrán acceder a información necesaria de estudiantes asignados.

12. Grabaciones y transcripciones

Si GradElite implementa estas funciones en el futuro, no estarán autorizadas automáticamente por aceptar esta Política.

Cuando corresponda se informará previamente y se solicitará la autorización aplicable.

Política operativa aprobada:

archivo bruto de audio/video: retención ordinaria máxima aproximada de 30 días;
después de ese período, eliminación del archivo bruto salvo obligación o excepción legítima aplicable;
transcripción identificable: retención ordinaria aproximada de 90 días;
después de 90 días, GradElite priorizará su anonimización irreversible cuando exista una finalidad legítima para conservar información útil;
resúmenes estructurados podrán conservarse de acuerdo con la política del expediente correspondiente.

La anonimización deberá impedir razonablemente la reidentificación del titular.

Eliminar únicamente el nombre o sustituirlo por un identificador reversible no se considerará anonimización irreversible.

13. Datos técnicos y de seguridad

Podemos tratar:

dirección IP;
fecha/hora;
sesión;
navegador;
dispositivo;
sistema operativo;
logs de autenticación;
eventos de auditoría;
errores;
señales de abuso/fraude;
información necesaria para seguridad.

14. Cookies

GradElite podrá utilizar cookies estrictamente necesarias para autenticación, seguridad, sesiones y preferencias.

Cookies de analítica, publicidad u otras no estrictamente necesarias requerirán evaluación previa de los requisitos de información y consentimiento aplicables.

15. Fuentes

Los datos pueden provenir:

directamente del usuario;
de asesores;
de proveedores tecnológicos;
de procesadores de pago;
de fuentes públicas;
de otras fuentes autorizadas.

16. Finalidades

Los datos pueden utilizarse para:

crear y administrar cuentas;
prestar los servicios;
personalizar la experiencia;
administrar aplicaciones;
realizar análisis;
procesar y verificar pagos;
prestar asesoría;
seguridad;
auditoría;
prevención de fraude;
cumplimiento legal;
comunicaciones operativas;
marketing cuando exista una base jurídica válida.

17. Bases de legitimación

Dependiendo del tratamiento concreto, GradElite podrá apoyarse en las bases jurídicas previstas por la legislación aplicable, incluyendo:

consentimiento;
medidas precontractuales;
ejecución contractual;
cumplimiento legal;
otras bases legítimas permitidas por la legislación.

Cuando el consentimiento sea necesario, deberá ser libre, específico, informado e inequívoco.

18. Datos necesarios y opcionales

Algunos datos son necesarios para prestar determinadas funcionalidades.

La falta de información necesaria puede impedir crear una cuenta, producir un análisis, revisar un documento o completar una compra.

Cuando sea razonablemente posible, GradElite identificará qué información es opcional.

19. Perfilado y análisis automatizado

GradElite puede utilizar análisis automatizados para:

Admission Competitiveness Score;
Profile Health;
recomendaciones;
priorización;
Funding Radar;
CV Scan;
análisis de statements;
estimaciones de costos;
otras funcionalidades solicitadas.

Estos resultados son orientativos y no constituyen decisiones oficiales de admisión.

GradElite no decidirá quién es admitido por una universidad.

Cuando exista información insuficiente podrá abstenerse de mostrar una puntuación numérica para evitar falsa precisión.

20. Inteligencia artificial

GradElite puede utilizar proveedores externos de IA, inicialmente incluyendo Gemini y potencialmente otros proveedores en el futuro.

GradElite procurará:

limitar datos enviados a lo necesario;
utilizar configuraciones comerciales apropiadas;
no utilizar proveedores de IA como almacenamiento principal;
mantener la fuente principal de verdad en sistemas controlados por GradElite;
proteger secretos y credenciales;
evaluar proveedores conforme evolucione el servicio.

21. Entrenamiento, investigación y benchmarking

La aceptación de esta Política o la compra de un producto NO autoriza automáticamente el uso de documentos identificables para:

entrenamiento general de modelos;
investigación;
benchmarking;
creación de datasets reutilizables;
mejora que vaya más allá de la prestación ordinaria solicitada.

Cuando corresponda, estos usos requerirán autorización adicional, específica y separada.

La negativa a otorgar autorización opcional no impedirá acceder a los servicios ordinarios contratados.

Cuando exista autorización y posteriormente sea revocada, GradElite cesará los nuevos tratamientos basados exclusivamente en dicha autorización y procederá conforme a la normativa y condiciones aplicables.

GradElite priorizará la anonimización irreversible de información que legítimamente pueda conservarse.

Los datos que ya hayan sido anonimizados de forma verdaderamente irreversible no podrán posteriormente asociarse de nuevo al titular.

22. Destinatarios

GradElite podrá permitir acceso, según necesidad, a:

asesores asignados;
personal autorizado;
Administrator;
Operations;
proveedores tecnológicos;
procesadores de pago;
autoridades cuando exista obligación válida;
sucesores legítimos del negocio cuando corresponda legalmente.

23. Encargados

Cuando un proveedor trate datos por cuenta de GradElite, GradElite procurará establecer las condiciones contractuales y de seguridad necesarias para limitar el procesamiento a las finalidades autorizadas.

24. Procesamiento internacional

Algunos proveedores pueden operar infraestructura o personal fuera de Ecuador.

GradElite procurará realizar dichos tratamientos y transferencias conforme a la Ley Orgánica de Protección de Datos Personales, su Reglamento y demás normativa aplicable.

25. Proveedores inicialmente previstos

La infraestructura puede incluir:

Supabase: base de datos, autenticación y almacenamiento;
Vercel: hosting y despliegue;
Google/Gemini: determinadas capacidades de IA;
PayPhone: procesamiento de pagos;
proveedores de correo, seguridad u otros servicios necesarios.

La lista podrá cambiar.

26. Control de los datos

La fuente de verdad de los datos de estudiantes deberá permanecer en sistemas controlados por GradElite y no depender de conversaciones con proveedores de IA.

GradElite procurará separar:

base de datos;
almacenamiento privado;
IA;
pagos;
logs y auditoría.

27. Retención

GradElite aplicará retención proporcional a la finalidad y priorizará reducir la conservación de información identificable cuando deje de ser necesaria.

Política operativa inicial aprobada:

Cuenta y perfil

Mientras la relación esté activa y, de forma ordinaria, hasta 24 meses posteriores cuando exista una finalidad legítima.

Después, GradElite priorizará anonimización irreversible cuando la información pueda conservarse legítimamente con valor estadístico u operativo.

CV, essays y documentos de aplicación

Durante la relación activa y, ordinariamente, hasta 24 meses posteriores.

Después:

los archivos originales identificables deberán eliminarse cuando ya no exista necesidad legítima de conservarlos;
información útil podrá conservarse únicamente si ha sido anonimizada de manera irreversible o existe otra base jurídica válida.

Datos académicos y profesionales estructurados

Relación activa + hasta 24 meses, seguido de anonimización irreversible cuando resulte legítimo y útil.

Aplicaciones, programas y progreso

Relación activa + hasta 24 meses, seguido de anonimización cuando corresponda.

Notas de asesoría

Hasta 24 meses después de finalizar el servicio, seguidas de anonimización cuando corresponda.

Grabaciones

Hasta aproximadamente 30 días, seguido normalmente de eliminación del archivo bruto.

Transcripciones

Hasta aproximadamente 90 días en forma identificable, seguido de anonimización irreversible cuando exista una finalidad legítima para conservar información útil.

Consentimientos y evidencia contractual

Se conservarán de forma segura durante el período necesario para acreditar cumplimiento, resolver controversias y atender obligaciones legales.

Órdenes, pagos y facturación

Se conservarán de forma segura conforme a los períodos fiscales, contables y legales aplicables.

No establecer un período legal inventado si la fuente de verdad no contiene uno validado.

Logs de autenticación y seguridad

Retención operativa aproximada de 12 meses y posterior rotación, salvo que un incidente, obligación legal o necesidad legítima requiera conservación específica.

Logs de auditoría administrativa

Retención activa aproximada de 24 meses y archivo seguro posterior cuando exista necesidad legítima.

Solicitudes de privacidad

Se conservará evidencia razonable de solicitudes y respuestas durante el período necesario para demostrar cumplimiento.

Datos opcionales para benchmarking, research o training

Tratamiento sujeto al consentimiento específico correspondiente.

El consentimiento será revocable conforme a la legislación.

Tras revocación, GradElite cesará nuevos usos basados exclusivamente en ese consentimiento y anonimizará o eliminará datos identificables según corresponda.

28. Anonimización

GradElite priorizará la anonimización irreversible sobre la conservación innecesaria de información identificable cuando exista una razón legítima para conservar valor estadístico, metodológico, de seguridad o de mejora.

Anonimización significa que la información deja razonablemente de poder relacionarse con una persona identificada o identificable.

No deberá considerarse anonimización:

quitar solamente el nombre;
reemplazar un nombre por un user_id reversible;
conservar una tabla que permita volver a identificar fácilmente al usuario;
usar pseudónimos cuando GradElite conserve la llave de reversión.

La pseudonimización podrá utilizarse como medida de seguridad, pero no deberá describirse falsamente como anonimización irreversible.

29. Eliminación y derechos

La preferencia de GradElite por anonimización no elimina ni limita derechos legales de eliminación.

Cuando el titular tenga derecho a eliminación y no exista una base jurídica válida para conservar datos identificables, GradElite deberá eliminar o anonimizar irreversiblemente la información según corresponda.

La eliminación de una cuenta no necesariamente implica destruir inmediatamente:

registros fiscales;
evidencia contractual;
evidencia de pagos;
registros mínimos de consentimiento;
información necesaria para defensa de derechos;
registros cuya conservación sea legalmente obligatoria.

Se conservará únicamente lo necesario.

30. Derechos del titular

Conforme a la legislación aplicable, el titular puede ejercer derechos relacionados con:

información;
acceso;
rectificación;
actualización;
eliminación;
oposición;
limitación;
portabilidad;
revocación del consentimiento;
tratamientos automatizados;
reclamación ante autoridad competente;
demás derechos legalmente reconocidos.

31. Ejercicio de derechos

Solicitudes:

Correo: alexanderrr1999@gmail.com

Asunto sugerido: Solicitud de Protección de Datos — GradElite

Teléfono de contacto: +593 980 407 679

GradElite podrá solicitar únicamente información razonable para verificar identidad y proteger al titular.

32. Revocación

Cuando el tratamiento se base en consentimiento, este podrá ser revocado conforme a la legislación aplicable.

La revocación no afecta la licitud de tratamientos anteriores.

Revocar un consentimiento opcional no deberá cancelar servicios cuya prestación tenga otra base jurídica válida.

33. Seguridad

GradElite considera seguridad y privacidad requisitos de producto.

Las medidas previstas incluyen, según corresponda:

autenticación;
Row Level Security;
FORCE RLS cuando corresponda;
mínimo privilegio;
roles;
almacenamiento privado;
URLs firmadas;
secretos backend-only;
MFA para administradores;
logs;
auditoría;
backups;
controles de advisors;
pruebas de seguridad;
protección de credenciales.

34. Incidentes

GradElite mantendrá procedimientos razonables para detectar, contener, investigar y responder a incidentes de seguridad y cumplirá las obligaciones de notificación aplicables.

35. Acceso interno

Roles previstos:

Student:

solo su propia información.

Advisor:

solo estudiantes asignados y datos necesarios.

Administrator:

acceso administrativo estrictamente necesario, sujeto a controles reforzados.

Operations:

información necesaria para funciones operativas.

Ningún rol implica acceso ilimitado por defecto.

36. Documentos privados

Los documentos académicos y de aplicación no están destinados a ser públicos.

GradElite utilizará almacenamiento privado y acceso controlado.

No deberán exponerse mediante URLs públicas permanentes.

37. Datos sensibles de pago

GradElite procurará no almacenar:

número completo de tarjeta;
CVV;
credenciales bancarias;

cuando puedan procesarse directamente por el proveedor de pagos.

38. Menores

GradElite V1 está dirigido a personas de 18 años o más.

No se busca conscientemente registrar menores.

Una futura ampliación a menores requerirá diseño específico de consentimiento y representación legal.

39. Datos sensibles

GradElite no solicita de manera general datos sensibles innecesarios.

Los usuarios deberán evitar introducir datos sensibles que no sean necesarios.

Si una futura función requiere categorías especiales de datos, GradElite evaluará previamente sus bases jurídicas y salvaguardas.

40. Exactitud

El usuario puede actualizar parte de sus datos y solicitar rectificación cuando corresponda.

La calidad de las recomendaciones depende de contar con información razonablemente correcta.

41. Datos de terceros

El usuario no deberá cargar datos personales de terceros salvo que tenga derecho o autorización suficiente para hacerlo.

42. Nuevas finalidades

Si GradElite desea utilizar datos para una finalidad nueva no compatible y sin base jurídica existente, informará al titular y obtendrá la autorización necesaria cuando corresponda.

43. Cambios a esta Política

Cada versión tendrá un identificador.

Los cambios materiales se comunicarán razonablemente.

Publicar una nueva versión no sustituirá un consentimiento específico cuando la legislación requiera obtenerlo.

44. Política de Privacidad versus consentimiento

La Política de Privacidad cumple principalmente una función de información y transparencia.

GradElite NO deberá implementar una casilla genérica que pretenda convertir la aceptación de toda esta Política en consentimiento universal para todos los tratamientos.

Para signup, la interfaz deberá distinguir jurídicamente entre:

A) aceptación contractual de Terms of Service; y

B) reconocimiento de haber leído/recibido la Privacy Policy y el correspondiente deber de información; y

C) consentimientos específicos adicionales cuando un tratamiento concreto realmente requiera consentimiento.

Ejemplos de consentimientos que deberán mantenerse separados cuando corresponda:

research;
benchmarking;
model training;
broader product improvement beyond immediate service;
recording;
transcription where legally required;
optional marketing.

No pre-check optional consent boxes.

Purchase does not imply optional consent.

45. Cambio futuro de operador

Si GradElite posteriormente cambia de persona natural a una sociedad u otra estructura legítima, los datos podrán transferirse al nuevo responsable cuando legalmente corresponda.

Se actualizará esta Política y se informarán cambios materiales.

46. Autoridad competente

La autoridad ecuatoriana especializada es la Superintendencia de Protección de Datos Personales, sin perjuicio de otras autoridades competentes.

47. Legislación

Esta Política se interpreta principalmente conforme a la Ley Orgánica de Protección de Datos Personales del Ecuador, su Reglamento General y demás normativa ecuatoriana aplicable, sin perjuicio de normas imperativas aplicables a usuarios de otras jurisdicciones.

48. Contacto

GradElite

Responsable: PABLO ALEXANDER RODRIGUEZ ROSALES

RUC: 1722108279001

Domicilio: Quito, Ecuador

Teléfono: +593 980 407 679

Correo de privacidad: alexanderrr1999@gmail.com