Términos y Condiciones de Uso

Proveedor o Xero Glitch Studio, SAS: persona jurídica constituida en la República de El Salvador, creadora, propietaria y operadora de Control Guards (sitio web y aplicación móvil). Sitio: xeroglitch.com.

Plataforma o Control Guards: software como servicio (SaaS) accesible vía web y aplicación móvil para gestión de operaciones de seguridad privada y afines, desarrollado y prestado por Xero Glitch Studio, SAS.

Empresa Cliente: persona natural o jurídica suscriptora que administra su organización (tenant) en la Plataforma.

Usuario Final: persona a quien la Empresa Cliente otorga acceso (agente, supervisor, personal de RRHH, operador de kiosko, etc.).

Usuario del Portal: persona autorizada por la Empresa Cliente para que un Cliente Contratante consulte información del servicio en el portal dedicado.

Cliente Contratante: cliente de la Empresa Cliente que recibe el servicio de seguridad y, cuando corresponda, acceso de consulta al portal.

Datos: información procesada en la Plataforma, incluyendo datos personales, asistencia, ubicación, imágenes, inventario de armas, incidentes, traslados, alertas SOS, metadatos de dispositivo de la app (batería, sistema operativo, conectividad, token push) y registros operativos.

Servicio: funcionalidades de Control Guards, incluyendo sin limitación: expediente de personal; asistencia, turnos y marcaciones (incluidas por encargado, kiosko o QR); ubicación en tiempo real, geocercas, rondas y checkpoints; verificación facial y enrollment biométrico; alertas SOS; portal de clientes; inventario de armas; incidentes, traslados y puestos vacantes; reportes, auditoría (FORTRESS) y supervisión remota.

Control Guards es exclusivamente una herramienta de software. El Proveedor no presta servicios de seguridad física, no emplea ni supervisa agentes de las Empresas Clientes, y no sustituye la dirección operativa ni las decisiones de recursos humanos de la Empresa Cliente.

La Plataforma permite registrar, consolidar, visualizar y automatizar información operativa. Toda decisión laboral, disciplinaria, contractual, de cobertura o frente al Cliente Contratante es responsabilidad exclusiva de la Empresa Cliente.

La supervisión remota en tiempo real es una capacidad tecnológica de visualización. No implica que el Proveedor dirija operaciones en terreno ni garantice resultados de seguridad física.

El Proveedor no certifica la veracidad, exactitud ni legalidad de los Datos ingresados por la Empresa Cliente o sus Usuarios Finales.

Entre el Proveedor y el personal de la Empresa Cliente no hay sociedad, mandato ni relación laboral. El Proveedor no es empleador de los Usuarios Finales.

El representante de la Empresa Cliente declara y garantiza que:

• Tiene capacidad legal y autorización para obligar a la Empresa Cliente.
• Ha leído, entendido y acepta estos Términos y la Política de Privacidad vigente.
• El uso del Servicio no viola leyes ni contratos aplicables a su organización.
• Cuenta con las autorizaciones necesarias para el tratamiento de datos de empleados y terceros.
• Contrata el Servicio para uso comercial de su organización, no como consumidor final para uso personal o familiar.
• Cuenta con la autorización legal exigida para operar, cuando su actividad de seguridad privada lo requiera.

Iniciar sesión en la aplicación móvil no otorga consentimiento al Proveedor para el tratamiento de datos personales. La cuenta del Usuario Final es creada por su empleador (Empresa Cliente), quien es el único responsable de informar, obtener consentimientos y cumplir la normativa aplicable sobre geolocalización, monitoreo, biométricos y demás datos habilitados.

Según la configuración de la Empresa Cliente, la aplicación puede procesar:

• Datos de identificación (nombre, correo, documento, cargo, rol).
• Ubicación GPS en tiempo real, historial, geocercas e indicadores anti-spoofing (orientativos).
• Marcaciones de asistencia y registros offline en cola.
• Imágenes de cámara para verificación facial, enrollment biométrico o escaneo QR.
• Metadatos del dispositivo (modelo, sistema operativo, batería, conectividad, token push).
• Alertas SOS con ubicación asociada, cuando el usuario las active.

El Proveedor no decide qué datos se recopilan; ello depende de la Empresa Cliente. Si el Usuario Final no ha sido informado por su empleador, debe contactarlo directamente.

La Empresa Cliente asume responsabilidad exclusiva por:

• Exactitud de los Datos ingresados en todos los módulos.
• Cumplimiento laboral del monitoreo, marcaciones, turnos y reportes en su jurisdicción.
• Autorización de titulares: avisos, consentimientos y bases legales para datos personales, ubicación, biométricos e identidad.
• Gestión de accesos internos, kiosko y del portal de Clientes Contratantes.
• Armamento: el módulo es registro informático; la Empresa Cliente cumple la normativa de armas aplicable.
• Portal a Clientes Contratantes: qué se muestra, a quién y con qué alcance.
• Operaciones de campo: cobertura, rondas, incidentes, SOS y traslados.
• Seguridad de credenciales y notificación de accesos no autorizados.

La Plataforma puede registrar ubicación en primer y segundo plano durante turnos activos, geocercas, checkpoints, historial de recorridos y alertas por incumplimiento. La Empresa Cliente reconoce que:

• Debe verificar la legalidad del monitoreo de ubicación y obtener las autorizaciones exigidas.
• La precisión depende del dispositivo, permisos del sistema operativo, señal GPS y conectividad.
• Los mecanismos de detección de ubicación simulada o no confiable son orientativos y no garantizan detectar todo fraude.
• Indicadores de confianza o alertas no constituyen por sí solos prueba laboral; debe corroborar antes de sancionar.
• Reclamaciones derivadas del monitoreo de personal son responsabilidad de la Empresa Cliente.

El sistema no es a prueba de fallos. La ubicación puede faltar, llegar tarde o ser inexacta. No es prueba definitiva de dónde estuvo una persona. El detalle está en la sección 8.

En turnos, marcaciones (incluida marcación por encargado autorizado, kiosko o credencial QR/foto) y verificación facial:

• La Plataforma no sustituye nómina, planillas oficiales ni dictámenes legales; los reportes son apoyo operativo salvo pacto expreso por escrito.
• La Empresa Cliente configura reglas y es responsable de su aplicación.
• La verificación facial y el enrollment biométrico son opcionales; requieren informar y obtener autorización conforme a ley local.
• El enrollment biométrico presencial puede realizarse desde la app bajo roles autorizados (RRHH, supervisor, etc.).
• El Proveedor no garantiza ausencia de falsos positivos o negativos en reconocimiento facial.
• La comparación del rostro es una decisión impulsada por el sistema. No es definitiva. Una persona autorizada de la Empresa Cliente puede confirmarla, modificarla o dejarla sin efecto.
• Registros en cola offline pueden sincronizarse después; no se garantiza sincronización en todos los escenarios.
• Marcaciones, GPS, auditoría y biometría son apoyo operativo. Pueden tener huecos (sin señal, cola offline, reloj del teléfono). No reemplazan el proceso laboral de la Empresa Cliente ni son prueba bastante para un despido.

La aplicación puede permitir al Usuario Final activar alertas SOS que notifican a supervisores y pueden incluir ubicación en el momento de la activación. La Empresa Cliente reconoce que:

• La activación es voluntaria por parte del Usuario Final cuando la función está habilitada.
• Control Guards no sustituye servicios de emergencia oficiales (policía, bomberos, ambulancia). En caso de peligro inmediato debe contactarse a los servicios competentes.
• La recepción y respuesta operativa a alertas SOS es responsabilidad exclusiva de la Empresa Cliente.

La Empresa Cliente puede habilitar cuentas kiosko para marcación de asistencia en sitio. En ese modo:

• Las marcaciones pueden registrarse en nombre de agentes autorizados bajo responsabilidad del operador y de la Empresa Cliente.
• La Empresa Cliente define qué clientes, sedes y agentes están disponibles en cada kiosko.
• El Proveedor provee la tecnología de registro; no valida la identidad física del agente en terreno.

La Empresa Cliente es Responsable del Tratamiento y el Proveedor actúa como Encargado del Tratamiento, conforme a la Ley para la Protección de Datos Personales (Decreto Legislativo 144) y a las instrucciones de la Empresa Cliente.

• Informar titulares y atender los derechos ARCO-POL.
• Tratar datos biométricos, que son datos sensibles, solo con el consentimiento por escrito o equivalente que exige la ley, obtenido por la Empresa Cliente.
• Definir plazos de conservación conforme a su normativa.

El Proveedor aplica medidas razonables (sección 8.1). Ningún sistema garantiza seguridad absoluta.

Si el Proveedor confirma una vulneración de seguridad que afecte a la organización de la Empresa Cliente, se lo comunicará sin demora y a más tardar dentro de cuarenta y ocho (48) horas. La Empresa Cliente, como responsable, es quien avisa a la Agencia de Ciberseguridad del Estado, a la Fiscalía General de la República y a los titulares, dentro del plazo legal de setenta y dos (72) horas. El Proveedor no notifica guardia por guardia.

Control Guards utiliza tecnología de reconocimiento facial exclusivamente como mecanismo de verificación de identidad y registro de asistencia laboral. Las fotografías capturadas pueden procesarse para generar representaciones numéricas (embeddings) diseñadas para matching, no para reconstruir la imagen original. El Proveedor no almacena ni procesa datos biométricos para fines distintos a los configurados por la Empresa Cliente para asistencia e identidad operativa.

Ciclo de vida orientativo (la Empresa Cliente define plazos conforme a su normativa):

• Fotos de enrollment y verificación pueden almacenarse de forma temporal o asociada al flujo de asistencia; los embeddings se conservan mientras el empleado esté activo y la función biométrica habilitada.
• El enrollment presencial lo realizan roles autorizados por la Empresa Cliente (p. ej. RRHH, administración).
• Tras la baja o desactivación del empleado, la Empresa Cliente debe solicitar o ejecutar la eliminación o desvinculación de plantillas biométricas y fotos asociadas, sujeto a retención legal.

La Empresa Cliente es la única responsable de: (a) informar a sus empleados sobre el uso de verificación facial; (b) obtener el consentimiento por escrito, o un equivalente, de cada empleado antes del enrollment, porque la biometría es un dato sensible; (c) cumplir la Ley para la Protección de Datos Personales. Nadie puede ser obligado a proporcionar ese dato. Iniciar sesión en la aplicación no es ese consentimiento. El Proveedor no asume responsabilidad por incumplimientos de la Empresa Cliente en estas obligaciones. El Proveedor no afirma estar inscrito en el Registro Nacional de Desarrollo, Innovación y Aplicación de IA.

La Empresa Cliente puede habilitar un portal para que Clientes Contratantes consulten información del servicio (personal en sitio, rondas, alertas, mapas, etc.). Esa visualización puede incluir identidad y ubicación de agentes asignados al contrato.

• La Empresa Cliente define usuarios, alcance y datos visibles.
• La Empresa Cliente debe informar a sus empleados cuando su ubicación o identidad operativa puedan mostrarse a Clientes Contratantes vía el portal.
• El Proveedor provee tecnología de visualización; no valida contratos con Clientes Contratantes.
• La información mostrada no constituye peritaje ni garantía del Proveedor sobre la calidad del servicio prestado.
• Conflictos comerciales con Clientes Contratantes no son responsabilidad del Proveedor.

El Proveedor utiliza proveedores tecnológicos necesarios para el Servicio, incluyendo sin limitación: infraestructura de base de datos y autenticación (Supabase), hospedaje, correo transaccional, proveedores de mapas, backend de Control Guards, worker de procesamiento facial, monitoreo de errores (Sentry, cuando está configurado). Los datos pueden almacenarse o procesarse fuera de El Salvador. La Empresa Cliente autoriza esa transferencia internacional al contratar el Servicio. El Proveedor no afirma que el país de destino haya sido declarado adecuado por la Agencia de Ciberseguridad del Estado. Poner el flujo en conocimiento de esa Agencia, cuando la ley se lo exija, corresponde a la Empresa Cliente como responsable.

La Empresa Cliente autoriza subencargados necesarios para el Servicio. El Proveedor procura acuerdos de confidencialidad y seguridad con proveedores críticos. Un listado actualizado de categorías de subencargados figura en la Política de Privacidad (§6); cambios materiales se reflejan actualizando dicha política con la fecha de vigencia.

Queda prohibido utilizar la Plataforma para:

• Ingresar datos falsos, ilegales o sin autorización.
• Eludir controles, falsificar ubicación o manipular marcaciones.
• Ingeniería inversa, copia no autorizada o revender el Servicio.
• Compartir credenciales o acceso a no registrados.
• Ataques de denegación de servicio o scraping automatizado no autorizado.
• Vigilancia ilícita o uso fuera de la relación laboral declarada.
• Registrar armamento ilegal o incumplir normativa de tenencia de armas.
• Aplicar sanciones laborales sin proceso debido o sin base distinta a los hechos registrados en el sistema.

El Proveedor puede suspender o cancelar el acceso ante incumplimiento grave, sin perjuicio de acciones legales.

• El Servicio se ofrece tal cual y según disponibilidad.
• No se garantiza disponibilidad ininterrumpida ni ausencia de errores.
• Interrupciones por mantenimiento, terceros, fuerza mayor o ciberataques quedan excluidas en la medida permitida por ley.
• GPS, mapas, notificaciones push, cámara, ubicación en segundo plano y la aplicación móvil dependen de permisos del sistema operativo, del dispositivo del Usuario Final y de terceros.
• La cola offline almacena registros localmente cuando no hay conectividad; la sincronización puede demorarse o fallar en escenarios extremos.

El sistema no es a prueba de fallos. El GPS, el reconocimiento facial, las marcaciones, la cola sin señal, los mapas, las notificaciones y el SOS pueden fallar, llegar tarde o estar equivocados. Ningún registro es prueba definitiva de asistencia, ubicación, identidad o emergencia. Las decisiones de nómina, despido, cobertura y respuesta en terreno son de la Empresa Cliente.

El Proveedor implementa medidas proporcionales, tales como:

• Aislamiento lógico multi-empresa (tenant) y controles de acceso por rol.
• Cifrado en tránsito (TLS) y controles de acceso a infraestructura.
• Registros de auditoría en operaciones críticas (FORTRESS).
• Limitación de velocidad en acciones sensibles.
• Gestión de sesiones conforme a buenas prácticas.

Estas medidas no eliminan amenazas avanzadas, errores humanos ni compromiso de credenciales por usuarios de la Empresa Cliente.

El Proveedor puede corregir, actualizar, mejorar, modificar, reorganizar, sustituir o retirar funciones, pantallas, flujos, componentes técnicos o elementos de interfaz del Servicio, de forma continua y sin aviso previo, cuando tales cambios sean mejoras, mantenimiento, seguridad, rendimiento, compatibilidad, corrección de errores o cambios no materiales para la Empresa Cliente.

Si un cambio reduce de forma material una funcionalidad esencial contratada, modifica precios, afecta obligaciones legales, privacidad, seguridad o condiciones económicas, el Proveedor dará aviso razonable conforme a estos Términos, salvo que el cambio sea urgente por seguridad, cumplimiento legal, abuso, fraude, falla crítica o requerimiento de tercero proveedor.

La Empresa Cliente reconoce que el Servicio es software en evolución y que la apariencia, navegación, reportes, automatizaciones e integraciones pueden cambiar para mantener, proteger o mejorar la Plataforma, sin que ello constituya incumplimiento mientras se conserve sustancialmente la finalidad del Servicio contratado.

En la máxima medida permitida por la ley aplicable, el Proveedor y sus afiliados no serán responsables por daños indirectos, lucro cesante, pérdida de datos, reclamos laborales, multas regulatorias, incidentes de seguridad física, inexactitud de Datos ingresados, fallos de detección de fraude, decisiones basadas en la Plataforma, o accesos por negligencia de la Empresa Cliente.

La responsabilidad total acumulada del Proveedor no excederá el monto pagado por la Empresa Cliente en los tres (3) meses anteriores al hecho que originó la reclamación. Este límite no cubre el dolo del Proveedor (daño causado a propósito), las sumas que la Empresa Cliente deba pagar por el Servicio, ni el deber de indemnizar previsto en la sección 10.

La Empresa Cliente defenderá e indemnizará al Proveedor frente a reclamaciones derivadas del uso del Servicio, violación de estos Términos, incumplimiento normativo, reclamos de empleados o Clientes Contratantes, y operaciones de seguridad de la Empresa Cliente.

La Plataforma es propiedad del Proveedor. Se otorga una licencia de uso limitada, no exclusiva, revocable y no transferible durante la suscripción. Ningún elemento de este acuerdo transfiere la propiedad intelectual del software a la Empresa Cliente. Los Datos de la Empresa Cliente permanecen de su propiedad. La Empresa Cliente otorga al Proveedor una licencia limitada para alojarlos, respaldarlos, procesarlos y mostrarlos únicamente para prestar el Servicio. El Proveedor no los comercializa con terceros ajenos al Servicio.

Ambas partes mantendrán confidencial la información no pública recibida, salvo obligación legal. El código y la arquitectura del Proveedor son confidenciales.

• Vigencia: desde el primer acceso mientras exista relación contractual.
• Suspensión: por incumplimiento, fraude o riesgo a la Plataforma.
• Terminación: con preaviso de treinta (30) días, o inmediata por uso ilegal.
• Impago: si la Empresa Cliente no paga según el acuerdo de suscripción, el Proveedor puede suspender el acceso tras aviso escrito. Los datos no se eliminan en ese momento.
• Datos tras terminación o suspensión: exportación disponible treinta (30) días; luego eliminación conforme a política de retención.
• Facturación: los precios se expresan en dólares de los Estados Unidos de América. El Proveedor factura mediante documento tributario electrónico (DTE) conforme a la normativa del Ministerio de Hacienda. El IVA y los demás impuestos se detallan en la factura. Estos Términos no sustituyen el DTE ni un comprobante de crédito fiscal.
• Devolución: si la relación termina, se devuelve el precio del periodo menos los días ya transcurridos. El precio del día es el precio del periodo dividido entre 30. La parte consumida es ese precio por los días ya pasados y no se devuelve. El saldo se paga en un máximo de quince (15) días, por el mismo medio de pago. Ejemplo: periodo de 200 USD con 10 días ya pasados: se consumen 66.67 USD y se devuelven 133.33 USD.

El Servicio integra infraestructura y servicios de terceros. El Proveedor no controla interrupciones ni cambios de dichos proveedores. Los dispositivos móviles son responsabilidad de la Empresa Cliente o del Usuario Final.

El Proveedor rechaza garantías implícitas de comerciabilidad, idoneidad para un fin particular y no infracción, así como garantía de detección total de fraude, exactitud absoluta de reportes o cumplimiento automático de toda normativa sectorial de la Empresa Cliente. El sistema no es a prueba de fallos, en los términos de la sección 8.

El Proveedor puede modificar estos Términos con aviso por correo y/o en la Plataforma con al menos quince (15) días, salvo cambio legal inmediato. El correo al administrador de la cuenta, o un aviso dentro de la Plataforma, es notificación válida a la Empresa Cliente. El uso continuado implica aceptación. En caso de desacuerdo, debe cesar el uso y terminar conforme a la sección 13.

Estos Términos se rigen e interpretan exclusivamente conforme a las leyes de la República de El Salvador.

Control Guards (sitio web y aplicación móvil) es creado y operado por Xero Glitch Studio, SAS (xeroglitch.com). Cualquier controversia, reclamo o demanda derivada de estos Términos o del Servicio, entre el Proveedor y la Empresa Cliente, se somete a la jurisdicción exclusiva de los juzgados de San Salvador, República de El Salvador. Las partes renuncian a cualquier otro fuero que pudiera corresponderles por su domicilio presente o futuro.

Antes de demandar, las partes intentarán resolver la controversia por escrito durante treinta (30) días desde la notificación.

Esta sumisión obliga a la Empresa Cliente. No convierte al Usuario Final en parte de este contrato ni le quita los derechos que tenga como trabajador o titular de datos frente a su empleador. Esos reclamos se dirigen a la Empresa Cliente.

• Integralidad: estos Términos, la Política de Privacidad y acuerdos de suscripción constituyen el acuerdo completo.
• Divisibilidad y fuerza mayor conforme a la ley de El Salvador.
• Cesión: el Proveedor puede ceder este contrato a una filial o a quien adquiera el producto. La Empresa Cliente no puede ceder su cuenta sin consentimiento del Proveedor.
• Supervivencia: tras terminar, siguen el límite de responsabilidad, la propiedad intelectual, la confidencialidad, la indemnización y la jurisdicción de los juzgados de San Salvador, República de El Salvador.
• Notificaciones al Proveedor: [email protected]. Un correo al administrador de la cuenta, o un aviso dentro de la Plataforma, es notificación válida a la Empresa Cliente.

Para consultas sobre estos Términos: