Nómina, facturación, CRM, nube, soporte informático, call center, seguros y almacenamiento documental son servicios que pueden colocar datos personales en manos de terceros. Firmar un contrato comercial con el proveedor no resuelve por sí solo el tratamiento de esa información: la empresa debe identificar qué papel cumple cada parte y establecer reglas específicas de protección de datos.

Primero hay que identificar si el proveedor actúa como encargado

Un encargado trata datos por cuenta y siguiendo instrucciones del responsable. No todo tercero es automáticamente un encargado: en algunos casos el proveedor decide sus propias finalidades y actúa como responsable independiente. Esta clasificación define el contenido contractual, las obligaciones de cada parte y la forma en que deben atenderse solicitudes de titulares o incidentes.

La calificación puede variar entre operaciones del mismo proveedor. Por ejemplo, la nómina por instrucciones de la empresa puede ser encargo; una aseguradora que define usos propios puede ser responsable independiente. Si las partes determinan conjuntamente finalidades y medios, examine la corresponsabilidad y su acuerdo, en lugar de llamar encargado a todo tercero.

La cláusula no debería limitarse a decir “las partes cumplirán la LOPDP”

La regulación ecuatoriana exige incorporar obligaciones de protección de datos en los contratos que corresponda. Para un encargado, el artículo 41 del Reglamento General exige un contrato escrito con instrucciones y mínimos concretos. Revise el documento por fases:

• Antes de entregar datos: objeto, duración, naturaleza y finalidad del tratamiento, categorías de datos, identificación de titulares y obligaciones y responsabilidades del encargado.
• Durante el servicio: personal autorizado y confidencialidad, medidas de seguridad, asistencia para derechos, gestión de incidentes, subcontratación, conservación y comprobación de garantías.
• Al terminar: instrucciones de devolución o eliminación, formato y canal seguro, copias pertinentes, revocación de accesos y documento que acredita el cierre.

El anexo de la Resolución 2025-0006-R es ejemplificativo: adapte las cláusulas al servicio. Para subencargados, el artículo 45 del Reglamento exige constancia expresa en el contrato o autorización escrita del responsable si no figura en él; compruebe operaciones y garantías del tercero.

Elegir al proveedor también forma parte de la responsabilidad de la empresa

Antes de entregar datos, conviene revisar si el proveedor ofrece garantías suficientes: controles de acceso, respaldos, registro de incidentes, continuidad, segregación de clientes y capacidad para responder a requerimientos. Un contrato bien escrito pierde valor si el proveedor opera sin controles mínimos o si la empresa nunca verifica dónde se almacena la información.

Los cambios de proveedor necesitan un cierre documentado

Cuando termina la relación, la organización debe confirmar qué datos se devuelven o eliminan conforme a sus instrucciones y qué conservación posterior dispone de una base válida. El artículo 24 de la Resolución SPDP-SPD-2025-0030-R obliga al encargado a devolver o eliminar dentro del término de cinco días y a entregar un documento que acredite la ejecución. El antiguo encargado no puede invocar interés legítimo para conservar los datos. También debe revisarse el acceso de usuarios, credenciales, repositorios y respaldos. Este cierre evita que un proveedor anterior conserve información indefinidamente después de perder su función operativa.

¿Un contrato de confidencialidad reemplaza el acuerdo de tratamiento de datos?

No. Cuando el tercero es encargado, la confidencialidad aislada no sustituye el contrato escrito del artículo 41. Cubre solo una parte del riesgo: deben definirse además instrucciones, seguridad, derechos, incidentes, conservación y demás obligaciones aplicables.

¿Debo revisar también a proveedores de software extranjero?

Sí. Además del rol del proveedor y las condiciones contractuales, debe analizarse dónde se tratan o almacenan los datos. El artículo 23 de la Resolución 2026-0004-R aclara que el encargo no constituye transferencia ni comunicación: la ubicación extranjera no basta para cambiar su naturaleza. Si el proveedor decide fines propios, analice el régimen de transferencias correspondiente.

¿Tus proveedores tienen acceso a bases de clientes, empleados o información sensible? En TempoLegal revisamos contratos, roles y garantías de terceros para reducir riesgos antes, durante y al terminar cada relación de servicio.

jag@tempolegal.com  ·  097 888 7392  ·  www.tempolegal.com

Relacione las cláusulas de salida con la matriz de conservación y las solicitudes de titulares.

Fuentes oficiales: Reglamento General; Resolución 2025-0006-R; Resolución 2025-0030-R; Norma de transferencias 2026-0004-R. Contenido revisado por TempoLegal al 12 de octubre de 2026.