Constituir una Sociedad por Acciones Simplificada (SAS) en Ecuador es, para muchos emprendedores, el primer paso formal de su negocio. Pero una vez que la empresa queda inscrita y obtiene su RUC, surgen una serie de obligaciones que van más allá de lo tributario y societario — y la protección de datos personales debe prepararse desde los primeros tratamientos del negocio.

¿Una SAS recién constituida ya está obligada a cumplir la LOPDP?

Sí. La LOPDP no distingue entre empresas grandes y pequeñas ni exige un tiempo mínimo de operación para aplicar. Desde el momento en que una SAS comienza a tratar datos personales —de sus primeros clientes, de sus empleados si contrata personal, de sus proveedores— ya está sujeta a las obligaciones generales de la ley, independientemente de que apenas esté iniciando operaciones o de que su facturación todavía sea baja.

La LOPDP permite adaptar las medidas al riesgo, sin que la proporcionalidad sea una exención. Antes de recoger los datos iniciales, determine finalidad y base, información que debe recibir el titular, datos necesarios, accesos, conservación y responsables de atender derechos e incidentes.

Por qué este es el mejor momento para implementarlo

A diferencia de una empresa con años de operación, que debe hacer un levantamiento retroactivo de todos sus tratamientos de datos históricos, una SAS recién constituida puede construir su sistema de cumplimiento desde cero, alineado con la forma en que realmente va a operar. Esto permite definir campos de formularios, permisos y plazos antes de acumular archivos y contratar sistemas, evitando tener que reconstruir después decisiones no documentadas.

Qué necesita una SAS nueva en materia de protección de datos

En esta etapa inicial, la empresa necesita medidas acordes con sus tratamientos y riesgos, con una base ordenada que crezca junto con ella: un aviso de privacidad para el sitio web y los canales de contacto con clientes, una base legal clara para cada tipo de tratamiento que la empresa vaya a realizar (ventas, marketing, atención al cliente), un inventario inicial y un Registro de Actividades de Tratamiento (RAT) cuando sea obligatorio, actualizados a medida que la operación crece, y contratos de encargo con los proveedores que traten datos por cuenta e instrucciones de la SAS (plataformas de facturación, CRM, herramientas de marketing).

Asigne también seguridad y conservación a los repositorios reales y pruebe el canal de derechos. Los artículos 38 y 39 del Reglamento General exigen RAT a responsables con cien o más trabajadores, y también con menos cuando hay riesgo, categorías especiales o tratamiento no ocasional. La gestión habitual de clientes o trabajadores suele activar este último supuesto; fuera de la obligación, el inventario sigue siendo útil. Evalúe cada proveedor por su rol real antes de entregarle datos.

La relación entre constitución societaria y cumplimiento de datos

Muchos fundadores tratan la constitución de la SAS y el cumplimiento de la LOPDP como procesos separados y en momentos distintos, cuando en realidad conviene abordarlos de forma integrada. Al definir los estatutos, el objeto social y la estructura operativa de la empresa, ya se puede anticipar qué tipos de datos personales va a tratar el negocio y diseñar el sistema de cumplimiento en paralelo, en lugar de esperar a que la operación crezca y recién entonces ordenar este frente.

Los estatutos ayudan a anticipar la actividad, pero no sustituyen las bases, avisos, contratos y controles del proceso concreto. Un formulario para atender pedidos y una campaña posterior requieren finalidades y análisis separados.

¿Necesito un DPD desde el día uno?

La obligación de designar un Delegado de Protección de Datos no depende simplemente de la existencia legal de la empresa, ni solo del volumen o la sensibilidad. Compruebe el artículo 48 de la LOPDP, el Reglamento General y el artículo 10 de la Resolución 2025-0028-R: sus supuestos sectoriales pueden exigir DPD desde el inicio aunque la SAS sea pequeña. Por ejemplo, una SAS que ofrece servicios de tecnologías de la información debe comprobar el supuesto del numeral 10.13; una SAS de comercio ordinario debe evaluar sus actividades y tratamientos, sin presumir idéntica obligación. Revise también las calificaciones y efectos de gran escala. Fuera de los supuestos obligatorios, la designación puede ser voluntaria, con requisitos e independencia aplicables.

Un error que debe evitar desde el inicio

Un error que debe evitar una SAS recién constituida es asumir que, al ser una empresa pequeña o nueva, el riesgo regulatorio es bajo. La realidad es que la SPDP no exime a ninguna empresa por su tamaño o antigüedad, y la empresa debe poder justificar sus primeros tratamientos y las medidas que aplica, sin esperar a crecer para atender este frente.

TempoLegal recomienda comenzar por los avisos de sus canales, el RAT y la evaluación del DPD, con responsables y evidencia desde el primer proceso. Adapte el trabajo al negocio y complete las obligaciones necesarias antes de iniciar cada tratamiento.

Fuentes oficiales: LOPDP; Reglamento General; Reglamento del DPD 2025-0028-R; Norma de gran escala 2026-0005-R. Contenido revisado por TempoLegal al 12 de octubre de 2026.