Protección de datos e inteligencia artificial en Ecuador: qué debe cumplir su empresa

Qué norma rige hoy el tratamiento de datos personales con inteligencia artificial

No existe en Ecuador una ley dedicada exclusivamente a la inteligencia artificial. Lo que rige es la Ley Orgánica de Protección de Datos Personales, publicada en el Quinto Suplemento del Registro Oficial 459 del 26 de mayo de 2021, y, sobre ella, la Resolución N.º SPDP-SPD-2026-0009-R de la Superintendencia de Protección de Datos Personales, suscrita en Quito el 12 de febrero de 2026. Esa resolución expide la Norma General para la Garantía del Derecho de Protección de Datos Personales en el Uso de Sistemas de Inteligencia Artificial. Su propia disposición final establece que entra en vigencia a partir de su publicación en el Registro Oficial, de modo que verifique esa publicación antes de fijar fechas en su procedimiento interno.

La distinción cambia el objeto de la revisión. Su tarea consiste en verificar que el tratamiento de datos personales que realiza el agente cumpla una norma que ya existía antes de que esta tecnología llegara a las empresas ecuatorianas, y no en buscar una autorización específica para la tecnología misma. Un chat de atención guarda nombres, números de teléfono, correos electrónicos, números de identificación, historiales de compra y, con frecuencia, información que el propio cliente escribe por iniciativa suya. Todo eso es dato personal y todo eso queda sujeto a la ley.

Existe además un Reglamento General a la LOPDP, que desarrolla varias de estas obligaciones. En el repositorio de regulaciones del Estado ecuatoriano puede consultar el texto de la ley; el del reglamento se publica por separado. Este artículo no lo resume ni le atribuye contenidos concretos: revíselo con su abogado cuando analice su caso particular.

Si todavía no tiene claro qué hace exactamente un sistema de estos, vale la pena leer primero la explicación de qué es un agente de inteligencia artificial y volver aquí. Este texto asume que usted ya tomó la decisión de implementar uno y necesita saber qué revisar antes de conectarlo a un canal público.

Una advertencia de vigencia: las afirmaciones normativas de este artículo corresponden al estado de la regulación en julio de 2026. La normativa ecuatoriana de datos ha sido objeto de reformas, de modo que verifique el texto vigente de cada artículo antes de fijar su procedimiento interno.

La Resolución SPDP-SPD-2026-0009-R traducida a obligaciones operativas

La norma enumera cinco obligaciones para responsables y encargados: informar al titular, gestionar riesgos y evaluar el impacto, implementar medidas de seguridad, incluir estos tratamientos en el registro de actividades de tratamiento y auditar el sistema en función del nivel de riesgo. Este artículo desarrolla las tres primeras, que son las que más decisiones de diseño exigen. Obliga a comunicar al titular, de manera clara, específica, determinada y transparente, que sus datos serán tratados mediante sistemas de inteligencia artificial, incluido el carácter automatizado del tratamiento. No son declaraciones de principio: son entregables que alguien tiene que redactar, aprobar y archivar antes del lanzamiento.

De acuerdo con el análisis publicado por Bustamante Fabara sobre esta resolución, el alcance cubre a responsables y encargados que desarrollen, entrenen, implementen, desplieguen o provean sistemas de inteligencia artificial que traten datos personales de titulares ecuatorianos, e incluye la incorporación de estos tratamientos al registro de actividades de tratamiento y su auditoría según el nivel de riesgo. También se subraya el derecho del titular a no ser objeto de una decisión basada única o parcialmente en valoraciones automatizadas.

Informar

La norma exige que la información sea clara, específica, determinada y transparente, e incluya las finalidades del tratamiento y su carácter automatizado. No fija en qué momento de la conversación debe entregarse, pero el criterio operativo sensato es ubicarla donde la persona efectivamente la lee: el primer mensaje, no una página de políticas a la que nadie entra. Lo razonable es que ese aviso indique con quién habla, que el tratamiento es automatizado y para qué se usarán sus datos; y que junto a él exista una vía visible para pedir atención humana o ejercer sus derechos.

Gestionar riesgos

Haga el ejercicio incómodo antes de encender el agente. Escriba la lista de lo que puede salir mal: una respuesta incorrecta que induzca al cliente a error, la exposición de datos de un cliente en la conversación de otro, la retención de historiales más allá de lo necesario, el acceso de terceros a las transcripciones y el uso de esas conversaciones para entrenar modelos. Cada riesgo necesita una medida asignada a un responsable con nombre y apellido.

Evaluar el impacto

La evaluación de impacto se hace antes, se documenta y se guarda, en los supuestos en que la normativa la exige. El artículo 42 de la LOPDP la impone cuando el tratamiento conlleva alto riesgo y en supuestos tasados; la resolución la requiere de manera previa al desarrollo del sistema y, en los demás casos, cuando sea procedente. Determinar si su caso entra en esos supuestos es una decisión que corresponde a su abogado. El nivel de detalle sube cuando el flujo toca documentos de identidad o categorías sensibles: un agente de lectura automatizada de cédulas y RUC exige un análisis más severo que uno que solo responde horarios de atención. Revise el catálogo de agentes organizado por categorías con este criterio, porque cada uno trata un conjunto distinto de datos y no todos merecen el mismo escrutinio.

El consentimiento no es la única base legítima: las ocho condiciones del artículo 7

El artículo 7 de la LOPDP enumera ocho condiciones que hacen legítimo y lícito el tratamiento de datos personales. El consentimiento es solo una de ellas. Las otras siete son el cumplimiento de una obligación legal, la orden judicial, el cumplimiento de una misión de interés público, la ejecución de medidas precontractuales o de obligaciones contractuales, la protección de intereses vitales, el tratamiento de datos en bases de acceso público y la satisfacción de un interés legítimo.

Esto importa en la práctica porque muchas empresas piden consentimiento para todo y terminan con un permiso débil que el cliente puede revocar mañana, cuando en realidad la actividad se sostenía sola en otra base. Y ocurre lo inverso: se envían campañas apoyándose en un supuesto interés legítimo que no resiste análisis. Elegir la base correcta es una decisión jurídica, no una casilla de configuración del sistema.

La columna del medio describe situaciones típicas de un canal conversacional, no una calificación jurídica de su caso. Antes de decidir sobre qué base se sostiene cada finalidad, y muy especialmente antes de usar el interés legítimo, pida ese análisis a su abogado. El punto operativo es distinto y sí depende de usted: cada finalidad necesita su propia base, y esa correspondencia debe quedar escrita antes de configurar nada. Si piensa activar un agente de segmentación de la base de datos, ese mapa de finalidades es el primer entregable, no el último.

Cómo debe ser el consentimiento y cómo se revoca

Cuando el consentimiento sí es la base aplicable, el artículo 8 de la LOPDP exige que sea libre, específico, informado e inequívoco. Además debe poder revocarse en cualquier momento, sin necesidad de justificación, mediante un procedimiento sencillo, célere y gratuito. Cada uno de esos adjetivos tiene una consecuencia directa en cómo se construye la pantalla o el mensaje donde usted lo solicita.

Libre significa que la persona puede negarse sin perder el servicio que vino a buscar. Si su formulario impide continuar sin aceptar recibir publicidad, ese consentimiento es discutible. Específico significa una casilla por finalidad: atender una consulta no es lo mismo que enviar promociones, y ninguna de las dos es lo mismo que compartir datos con un tercero. Informado significa que el texto se entiende sin abogado al lado. Inequívoco significa acción afirmativa: casillas premarcadas, silencio o inactividad no sirven.

La revocatoria es la parte que casi siempre se descuida y la que más rápido genera reclamos. Debe ser tan fácil como fue dar el consentimiento. Si el cliente aceptó escribiendo una palabra en el chat, debe poder salir escribiendo otra palabra en el mismo chat, sin llamar a un número, sin llenar un formulario extenso y sin pagar nada.

Traducido a diseño del flujo, esto es lo que debería estar construido antes del lanzamiento:

• Un texto de solicitud corto, en lenguaje llano, con una finalidad por línea.
• Un registro que guarde qué aceptó cada persona, cuándo, por qué canal y con qué versión del texto.
• Una palabra clave de baja reconocida en todos los canales, no solo en aquel donde se dio el consentimiento.
• Un efecto inmediato de la baja sobre las campañas programadas, para que nadie reciba un mensaje después de haber pedido no recibirlo.
• Un aviso visible de que la conversación es automatizada y una vía clara para pedir atención humana.

Esa coherencia entre canales es la que suele fallar. Una persona se da de baja por correo y sigue recibiendo mensajes por otro medio porque las bases no están conectadas. Si usted atiende también por redes sociales con un agente de conversaciones en Instagram y Facebook, la baja tiene que propagarse a todos los canales a la vez. Guarde siempre la versión del texto que la persona leyó, porque si el aviso cambia y usted no conserva el histórico, no podrá demostrar qué aceptó exactamente.

Lo que WhatsApp exige: consentimiento, plantillas y ventana de 24 horas

Meta impone sus propias reglas, que se suman a la ley ecuatoriana y no la reemplazan. La Política de Mensajería Empresarial establece que una empresa solo puede contactar a una persona si tiene su número de teléfono móvil y obtuvo consentimiento explícito para recibir mensajes o llamadas. Además, la política le obliga a respetar todas las solicitudes de bloqueo o de baja que las personas envíen, dentro y fuera de WhatsApp, e incluye entre sus prácticas recomendadas dar instrucciones claras sobre cómo rechazar categorías específicas de mensajes o llamadas. Conservar constancia de cómo y cuándo obtuvo cada consentimiento no figura como exigencia expresa de esa política, pero es lo que le permitirá demostrarlo frente a la autoridad ecuatoriana, que sí lo requiere: el artículo 10 de la LOPDP recoge el principio de responsabilidad proactiva y demostrada, por el cual el responsable debe acreditar el cumplimiento de la ley y rendir cuentas ante la Autoridad. Estas condiciones corresponden a la política publicada al mes de julio de 2026.

La consecuencia práctica es que una lista comprada, una base heredada de una feria o los números recolectados para otra finalidad no habilitan el envío. Y la carga de la prueba es suya: la política señala que la empresa es la única responsable de determinar cómo obtiene ese consentimiento y de cumplir la legislación aplicable.

La ventana de veinticuatro horas

La documentación de Meta explica que cuando un usuario escribe o llama a la empresa se abre una ventana de atención al cliente de veinticuatro horas, que se reinicia si el usuario vuelve a escribir dentro de ese lapso. Dentro de la ventana puede responder con mensajes libres. Cuando la ventana se cierra, solo pueden enviarse mensajes de plantilla previamente aprobados.

Esto tiene un efecto directo sobre la operación. Si su agente responde a las tres de la mañana y el asunto requiere intervención humana, la persona de turno puede encontrarse la ventana cerrada al día siguiente. Por eso el flujo de traspaso que debe considerar el reloj de la ventana no puede mirar solo el contenido de la conversación.

Las plantillas

Las plantillas de mensaje son activos de la cuenta de WhatsApp Business. Se revisan al crearse y también después de editarse, solo pueden usarse cuando su estado es aprobado y se clasifican en tres categorías, que Meta nombra en inglés en su panel: authentication (autenticación), marketing (comunicación comercial) y utility (mensajes de servicio o transaccionales). Aquí interesan como requisito de consentimiento y aprobación previa: usted no puede improvisar el texto de un mensaje que sale fuera de la ventana.

Planifique en consecuencia. Toda comunicación proactiva necesita plantilla redactada, categorizada y aprobada antes de la fecha en que piensa enviarla, y una edición de último minuto devuelve la plantilla a revisión. El componente económico de este canal se aborda en el artículo sobre cómo se estructura el costo de un agente de inteligencia artificial. Verifique estas condiciones directamente en la documentación oficial antes de cada lanzamiento, porque estas condiciones pueden cambiar sin aviso previo.

Responsable o encargado: qué papel ocupa su proveedor tecnológico

El artículo 4 de la LOPDP define al responsable del tratamiento como quien decide sobre la finalidad y el tratamiento, y al encargado como quien trata datos a nombre y por cuenta del responsable. En un proyecto de agente conversacional, lo habitual es que la empresa dueña de la relación con el cliente sea la responsable y que el proveedor que implementa y opera el sistema actúe como encargado. Lo habitual no es lo automático: la calificación depende de quién decide realmente sobre las finalidades, no del rótulo que aparezca en el contrato.

El contrato es donde esto se vuelve exigible. Sin cláusulas específicas, usted tiene un acuerdo de servicios tecnológicos que no dice nada sobre datos personales, y eso lo deja sin instrumentos el día que ocurra un problema. Estos son los puntos que conviene revisar antes de firmar:

1. Identificación expresa de quién actúa como responsable y quién como encargado, y para qué tratamientos.
2. Finalidades autorizadas y prohibición de usar los datos para fines propios del proveedor, incluido el entrenamiento de modelos.
3. Subcontratación: qué terceros intervienen, en qué países se alojan los datos y bajo qué condiciones se autorizan cambios.
4. Medidas de seguridad concretas, con controles de acceso, cifrado y registro de quién consulta las conversaciones.
5. Plazos y canal para notificar una vulneración de seguridad, alineados con los que fija la ley.
6. Colaboración obligatoria del proveedor cuando un titular ejerza sus derechos.
7. Devolución o eliminación verificable de los datos al terminar la relación, con constancia escrita.

Pida además que el proveedor documente qué datos salen del país y hacia qué servicios de terceros, porque un agente rara vez vive en un solo sistema; ese inventario es el punto de partida de la sección siguiente. En nuestro caso, la forma en que se define este alcance está descrita en la metodología de trabajo del equipo, y el diagnóstico inicial de una hora sin costo sirve justamente para levantar estas preguntas antes de que existan compromisos.

Qué pasa cuando la conversación sale del país: transferencia internacional de datos

La LOPDP sí permite que los datos personales de sus clientes salgan del Ecuador, pero solo por alguna de las vías que fija su capítulo sobre transferencia o comunicación internacional. El artículo 55 sujeta cualquier envío al exterior a lo previsto en ese capítulo, propendiendo siempre al ejercicio efectivo del derecho a la protección de datos personales. En un agente conversacional esto no es una hipótesis: la conversación viaja al proveedor del modelo de lenguaje, a la plataforma de mensajería, al alojamiento de la base y, con frecuencia, a servicios de analítica y de soporte, y casi ninguno de ellos está en el país.

La ley ordena esas vías en una escala. El artículo 56 permite transferir datos a países, organizaciones y personas jurídicas que brinden niveles adecuados de protección, condición que la Autoridad de Protección de Datos Personales declara mediante resolución motivada y publica de forma permanente. Cuando el destino no cuenta con esa declaración, el artículo 57 admite la transferencia si el responsable o el encargado ofrece garantías adecuadas, sustentadas en un instrumento jurídico vinculante que asegure un estándar igual o mayor que el ecuatoriano, la tutela efectiva del derecho por vía administrativa o judicial y el derecho a solicitar la reparación integral. El artículo 58 regula las normas corporativas vinculantes para grupos empresariales. El artículo 59 exige, para los casos no contemplados en los anteriores, autorización de la Autoridad, y dispone que la información sobre transferencias internacionales se registre previamente en el Registro Nacional de Protección de Datos Personales.

El artículo 60 enumera además once casos excepcionales en los que la transferencia procede pese a no encajar en los mecanismos anteriores. Entre ellos figuran el consentimiento explícito del titular otorgado tras habérsele informado los posibles riesgos derivados de la ausencia de una resolución de nivel adecuado y de garantías adecuadas, el cumplimiento de una obligación legal o regulatoria, la necesidad de ejecutar un contrato con el titular o medidas precontractuales adoptadas a su solicitud, y la protección de intereses vitales. El artículo 61 recuerda que la adecuación no es permanente: la Autoridad puede emitir una resolución de no adecuación, a partir de la cual no proceden transferencias a ese destino salvo que opere otro mecanismo del mismo capítulo.

La decisión operativa que todo esto le impone es previa a cualquier discusión jurídica: saber a dónde va cada conversación. Ese inventario se levanta así:

1. Liste todos los servicios que intervienen en el flujo: modelo de lenguaje, plataforma de mensajería, base de datos, CRM, analítica, respaldos y herramientas de soporte.
2. Anote, para cada uno, qué campos recibe. No es lo mismo enviar el texto completo de la conversación que enviar únicamente un identificador interno.
3. Registre en qué país o región se procesan y se almacenan esos datos, y si el proveedor permite fijar la región de procesamiento.
4. Identifique los subencargados de cada proveedor, porque la cadena rara vez termina en el primer contrato.
5. Asigne a cada transferencia la vía de los artículos 56 a 60 en la que pretende apoyarse, y deje constancia del instrumento que la sustenta.
6. Revise si el flujo puede reducirse: los datos que no salen del país no necesitan justificación alguna.

El último punto suele ser el más rentable. Seudonimizar antes de llamar al modelo, no enviar números de documento cuando la respuesta no los necesita y acortar la retención de transcripciones reducen a la vez el riesgo y el número de transferencias que usted tendrá que sustentar. Ese inventario, además, es el insumo con el que se negocian las cláusulas de subcontratación del contrato con el proveedor.

Cómo atender por el chat un pedido de acceso, rectificación o eliminación de datos

Cuando un cliente escribe por el chat que quiere saber qué datos tiene la empresa sobre él, o que lo borren de la base, está ejerciendo un derecho reconocido por la LOPDP y el reloj empieza a correr. La ley reconoce los derechos de información, acceso, rectificación y actualización, eliminación, oposición, portabilidad, suspensión del tratamiento, consulta y el derecho a no ser objeto de una decisión basada única o parcialmente en valoraciones automatizadas. El artículo 67 considera infracción leve no tramitar, tramitar fuera del término previsto o negar injustificadamente las peticiones o quejas del titular.

Hay además una vía general que debe tener presente. El artículo 62 permite al titular presentar en cualquier momento, y de forma gratuita, requerimientos, peticiones, quejas o reclamaciones directamente al responsable, que cuenta con un término de diez días para contestar afirmativa o negativamente, notificar y ejecutar lo que corresponda. La ley usa la palabra plazo para los quince días de los derechos y la palabra término para los diez días del artículo 62, y en la normativa ecuatoriana esas dos figuras no se cuentan igual: dejar resuelto ese cómputo es lo primero que debe hacer su procedimiento interno.

El agente no resuelve estos pedidos: los detecta y los deriva. El diseño mínimo tiene cuatro piezas.

• Un conjunto de expresiones que el agente reconoce como ejercicio de derechos, incluidas las formas coloquiales, y no como una consulta más de atención.
• Una respuesta inmediata que confirme la recepción, indique qué se necesita para verificar la identidad de quien solicita y advierta que el caso pasa a una persona.
• Un registro con fecha y hora de entrada, porque el conteo empieza ahí y no cuando alguien del equipo abre el correo.
• Un responsable interno con nombre y una fecha límite visible, apoyado en una derivación a una persona del equipo que reciba la conversación completa.

Dos advertencias sobre la eliminación. La primera es que borrar en el CRM no es borrar en todas partes: las transcripciones del canal, los respaldos y los registros del proveedor del modelo suelen quedar fuera del alcance de ese botón, y el pedido no está atendido mientras queden copias. La segunda es que hay información que usted debe conservar por obligación legal, de modo que deje escrito, antes del primer pedido, qué se conserva, por cuánto tiempo y con qué fundamento.

Qué hacer si una conversación se filtra: los plazos que fija la ley

La LOPDP fija términos distintos según quién notifica y a quién. El artículo 43 obliga al responsable a notificar la vulneración de seguridad a la Autoridad de Protección de Datos Personales y a la Agencia de Regulación y Control de las Telecomunicaciones (ARCOTEL) tan pronto sea posible y, a más tardar, en el término de cinco días, salvo que sea improbable que la vulneración constituya un riesgo para los derechos y libertades de las personas; si se supera ese término, la notificación debe explicar los motivos de la demora. El encargado, por su parte, debe notificar al responsable tan pronto sea posible y a más tardar en el término de dos días. El artículo 46 obliga a notificar al titular sin dilación, dentro del término de tres días, cuando la vulneración conlleve un riesgo a sus derechos fundamentales y libertades individuales.

La ley habla de términos, no de plazos, y en la normativa ecuatoriana esas dos palabras no se cuentan igual. Confirme con su abogado cómo se computa cada uno antes de escribir su procedimiento interno, porque de esa lectura depende si el reloj corre en días hábiles o en días corridos, y esa diferencia puede costarle varios días de margen.

Lo que sí puede preparar hoy es la capacidad de reaccionar rápido, y esa capacidad se construye antes del incidente. Con términos tan cortos, no hay tiempo para descubrir el problema, entender su alcance, reunir al comité y redactar la comunicación desde cero. Tenga listo un procedimiento escrito que responda cuatro preguntas: quién detecta, quién decide si hay riesgo, quién redacta y quién firma.

Necesita también saber qué se filtró exactamente, y eso solo es posible si sabe qué datos guarda cada sistema y dónde. Un agente conectado a su CRM, a su plataforma de mensajería y a un modelo de lenguaje deja rastros en varios lugares. El inventario de flujos que describimos para las transferencias internacionales sirve aquí sin cambios: hágalo antes, no durante la crisis.

La detección temprana es el otro frente. Un agente de identificación de reclamos urgentes en la conversación puede levantar la alerta cuando un cliente escribe que recibió información que no le corresponde, y una revisión periódica de lo que ocurrió en el canal, como la que produce un resumen diario de las conversaciones atendidas, ayuda a notar patrones anómalos antes de que escalen. Ninguna de las dos cosas sustituye el procedimiento formal: sirven para que usted se entere a tiempo.

Qué sanciones prevé la LOPDP y cómo se gradúan

La LOPDP no fija multas de valor fijo. Los artículos 71 y 72 establecen dos vías de cálculo: si el responsable, el encargado o, de ser el caso, un tercero es una entidad de derecho privado o una empresa pública, la multa se calcula como un porcentaje del volumen de negocio correspondiente al ejercicio económico inmediatamente anterior al de su imposición; si se trata de servidores o funcionarios del sector público, la multa se mide en salarios básicos unificados del trabajador en general. Dentro de cada vía, el rango depende de si la infracción es leve o grave.

El artículo 73 define el volumen de negocio como la cuantía resultante de la venta de productos y de la prestación de servicios realizados por operadores económicos durante el último ejercicio que corresponda a sus actividades, previa deducción del Impuesto al Valor Agregado y de otros impuestos directamente relacionados con la operación económica. Para ubicar la multa dentro del rango, ambos artículos ordenan aplicar el principio de proporcionalidad verificando cuatro presupuestos: la intencionalidad, la reiteración de la infracción, la naturaleza del perjuicio ocasionado y la reincidencia. Para una empresa privada, esto significa que la sanción escala con el tamaño de la organización.

Antes de la multa suelen venir las medidas correctivas, y para un canal conversacional son la parte más disruptiva. El artículo 65 faculta a la Autoridad a disponer el cese del tratamiento bajo determinadas condiciones o plazos, la eliminación de los datos y la imposición de medidas técnicas, jurídicas, organizativas o administrativas. El artículo 66 precisa que, ante una presunta infracción grave, la Autoridad aplica en primera instancia medidas correctivas y solo activa el procedimiento sancionatorio si estas se cumplen de forma tardía, parcial o defectuosa. En términos operativos, el cese del tratamiento significa apagar el agente.

Las conductas sancionables están tipificadas en los artículos 67 y 68 para el responsable y en los artículos 69 y 70 para el encargado. Varias describen con precisión lo que puede fallar en un proyecto de este tipo. Entre las infracciones leves del responsable figuran no tramitar, tramitar fuera del término o negar injustificadamente las peticiones del titular, no implementar protección de datos desde el diseño y por defecto, no mantener disponibles políticas de protección de datos y elegir un encargado que no ofrezca garantías suficientes. Entre las graves figuran utilizar información o datos para fines distintos a los declarados, no realizar evaluaciones de impacto en los casos en que era necesario, no notificar las vulneraciones de seguridad, no suscribir contratos con cláusulas de confidencialidad con el encargado y no designar al delegado de protección de datos personales cuando corresponda.

Lista de verificación antes de encender el agente

Antes del lanzamiento debería poder responder afirmativamente a cada punto de esta lista, con un documento detrás y no con una impresión. La mayoría de estos elementos responde a una obligación concreta de la LOPDP o de la resolución de la Superintendencia; los demás son buenas prácticas que le ayudarán a demostrar cumplimiento. Todos deben pasar por la revisión de un abogado antes de considerarse cerrados. Esta lista cubre el cumplimiento normativo. La preparación operativa y la de costo se revisan en qué llevar al diagnóstico.

1. Está escrito qué datos personales tratará el agente, en qué sistemas quedan almacenados y por cuánto tiempo se conservan.
2. Cada finalidad tiene identificada su base legítima entre las ocho condiciones del artículo 7, y esa asignación quedó por escrito.
3. Cuando la base es el consentimiento, el texto de solicitud es libre, específico, informado e inequívoco, y queda registro de qué versión aceptó cada persona.
4. Existe una vía de revocatoria sencilla, célere y gratuita, y su efecto se propaga a todos los canales de contacto.
5. El primer mensaje informa de manera clara, específica, determinada y transparente que el tratamiento es automatizado y que la persona conversa con un sistema.
6. Hay una ruta visible y funcional para pedir atención humana en cualquier punto de la conversación.
7. Se determinó si corresponde una evaluación de impacto y, cuando corresponde, está hecha, fechada y archivada, con las medidas asignadas a responsables identificados.
8. El registro de actividades de tratamiento incluye este tratamiento y no quedó con la versión anterior al proyecto.
9. Está inventariado a qué proveedores y a qué países viaja cada conversación, y cada transferencia internacional se apoya en alguna de las vías de los artículos 56 a 60.
10. Existe un procedimiento escrito para atender por el chat los pedidos de acceso, rectificación, actualización, eliminación, oposición y portabilidad, con los tiempos de respuesta descritos en la sección sobre derechos del titular.
11. El contrato con el proveedor define los papeles de responsable y encargado, las finalidades autorizadas, la subcontratación y la devolución o eliminación de los datos al terminar.
12. El procedimiento de notificación de vulneraciones está escrito, con nombres asignados y términos alineados a los artículos 43 y 46.
13. Se verificó si su organización debe designar un delegado de protección de datos personales según el artículo 48.
14. Si usa WhatsApp, hay consentimiento documentado, plantillas aprobadas y un criterio operativo para la ventana de veinticuatro horas.
15. Un abogado revisó el conjunto y dejó su observación por escrito.

Un punto sin cerrar no siempre impide lanzar, pero sí debe ser una decisión consciente y con fecha de solución, no un olvido. Dos de estos puntos tienen consecuencia económica directa —la preparación de la información y la elección del canal— y su efecto sobre el presupuesto está desarrollado en qué mueve el costo de un agente.

Preguntas frecuentes

Fuentes

Los datos normativos y técnicos de este artículo salen de estas fuentes públicas. Consulte la versión vigente antes de decidir: la normativa cambia.

1. Resoluciones de la Superintendencia de Protección de Datos Personales del Ecuador
2. Análisis de la Norma General para la protección de datos personales en el uso de sistemas de inteligencia artificial (Bustamante Fabara)
3. Ley Orgánica de Protección de Datos Personales en el repositorio de regulaciones del Estado ecuatoriano
4. Texto de la Ley Orgánica de Protección de Datos Personales (PDF oficial)
5. Política de Mensajería Empresarial de WhatsApp
6. Envío de mensajes con la Cloud API de WhatsApp (documentación de Meta)
7. Plantillas de mensaje de WhatsApp Business (documentación de Meta)