POLÍTICA CORPORATIVA
Protección de datos personales
Tratamiento responsable de la información y ejercicio de derechos
VAMOSPAGO S.A.
República del Ecuador
VP-PDP-01 · Versión 1.0
Elaboración: Octubre 2026
Estado: para aprobación corporativa
Canal de consultas, solicitudes y reclamos
compliance@vamospago.com
VAMOSPAGO S.A. | RUC 1793216230001 | ECUADOR
IDENTIDAD, OBJETO Y ALCANCE
Responsable del tratamiento. VAMOSPAGO S.A., sociedad ecuatoriana identificada con Registro Único de Contribuyentes —RUC— 1793216230001, en adelante “VAMOSPAGO” o “la Sociedad”, es responsable de los tratamientos respecto de los cuales decide sus finalidades y medios.
Domicilio y recepción de solicitudes. Avenida Ilaló E1-55 y pasaje Leonidas Plaza, edificio Lavadora Whawa, piso 2, oficina DEP1, barrio Seis Esquinas Conocoto, parroquia Conocoto, cantón Quito, provincia de Pichincha, Ecuador.
Canal de protección de datos. compliance@vamospago.com. A través de este correo se reciben consultas, solicitudes de ejercicio de derechos, reclamos y comunicaciones sobre posibles vulneraciones de datos personales.
Teléfono de contacto. +593 2 351 4608. La atención telefónica orienta al titular y facilita la presentación de su solicitud; no constituye un requisito adicional ni reemplaza su derecho a utilizar los medios escritos previstos en esta política.
El canal es administrado operativamente por el área de Compliance. Su utilización no atribuye a esa área ni a la persona que lo atiende la calidad de delegado de protección de datos personales. Las comunicaciones se remitirán internamente al responsable de su resolución y al delegado, cuando proceda, sin trasladar al titular las cargas de coordinación.
2. OBJETO, ÁMBITO Y NATURALEZA DE LA POLÍTICA
La presente política establece las reglas para recolectar, registrar, organizar, consultar, utilizar, conservar, comunicar, transferir, limitar, anonimizar y eliminar datos personales, y desarrolla el procedimiento para ejercer los derechos reconocidos por el ordenamiento ecuatoriano. Es obligatoria para administradores, trabajadores, colaboradores y terceros que traten datos por cuenta de VAMOSPAGO, dentro del alcance de sus funciones y contratos.
Comprende información de personas naturales que actúen como clientes, usuarios, representantes, beneficiarios finales, accionistas, contactos de comercios, proveedores y otras contrapartes, así como postulantes, trabajadores y personas que formulen consultas o reclamos. Los datos de una persona jurídica quedan comprendidos cuando identifican o hacen identificable a una persona natural.
Se aplica a archivos físicos, sistemas, formularios, comunicaciones, repositorios y canales digitales bajo responsabilidad de la Compañía. No extiende automáticamente sus efectos a sociedades relacionadas: cada entidad conserva el rol y las obligaciones que le correspondan.
La política se circunscribe a actividades efectivamente desarrolladas y legalmente habilitadas. No acredita autorizaciones para prestar servicios financieros o de pago, no crea una habilitación para recolectar cualquier dato y no convierte por sí misma a VAMOSPAGO en sujeto obligado de un régimen sectorial.
3. RESPONSABILIDADES
La alta dirección reconoce la protección de datos como un derecho de las personas y una condición de confianza, integridad y continuidad de la operación. Se compromete a asignar recursos, promover una cultura de privacidad y asegurar que los objetivos comerciales, tecnológicos y de cumplimiento no prevalezcan indebidamente sobre los derechos de los titulares.
La representación legal dispondrá controles verificables, responsables por proceso, capacitación y seguimiento de hallazgos. Ningún lanzamiento, vinculación de proveedor o cambio relevante podrá eludir la revisión de privacidad por razones de urgencia comercial. La mera firma de un formulario, un contrato de confidencialidad o esta política no sustituye el cumplimiento material de las obligaciones.
Se prohíben el aprovechamiento de datos para intereses personales, su comercialización no autorizada, la divulgación indebida, la discriminación y las represalias contra quien ejerza derechos o comunique de buena fe un riesgo de privacidad. El deber de confidencialidad subsiste después de terminar la relación con la Sociedad.
4. GOBIERNO, ROLES Y SUPERVISIÓN INDEPENDIENTE
Representación legal y gerencia. Responden por la implementación, las decisiones sobre finalidades y medios, la asignación de recursos, la aprobación de tratamientos y la adopción de medidas correctivas. La responsabilidad de la Empresa no se transfiere al delegado, a Compliance ni a un proveedor.
Áreas propietarias de los procesos. Identifican sus datos y fuentes, justifican la necesidad del tratamiento, aplican la conservación y verifican que formularios, contratos y comunicaciones sean coherentes con esta política. Tecnología y seguridad ejecutan los controles técnicos, preservan evidencias y atienden incidentes. Talento humano y las áreas administrativa y financiera gestionan los datos de sus respectivos procesos.
Compliance. Coordina el canal de atención, registra solicitudes, identifica sus responsables, controla vencimientos y articula la debida diligencia con las reglas de privacidad. No decide unilateralmente excepciones legales ni asume la supervisión independiente de sus propias actuaciones.
Delegado de protección de datos personales —DPD—. La gerencia verificará y documentará la obligación de designación según la LOPDP y la Resolución SPDP-SPD-2025-0028-R, incluyendo su artículo 10.13 cuando se oferten o presten servicios de tecnologías de la información con tratamiento de datos. La ausencia de sujeción a un régimen de prevención de lavado no excluye esta obligación. Cuando el supuesto resulte aplicable, la designación, el registro y la habilitación efectiva de la función son exigencias previas al tratamiento sujeto a ella, sin que esta política conceda un plazo adicional.
El DPD ejercerá asesoría y supervisión independiente, con acceso oportuno a información, recursos y alta dirección. No recibirá instrucciones sobre el contenido de sus criterios ni será sancionado por cumplir sus funciones. Se evitará su acumulación con cargos que decidan finalidades o medios, ejecuten los controles que debe supervisar o generen conflictos de interés. La coordinación del buzón de Compliance no equivale a su nombramiento.
Su identidad y datos de contacto legalmente exigidos se comunicarán en los avisos aplicables una vez formalizada la designación. Los titulares podrán solicitar su intervención a través del canal de esta política. No se presentará a ninguna persona como DPD designado sin el correspondiente soporte.
5. PRINCIPIOS DE TRATAMIENTO DE DATOS PERSONALES
Juridicidad. Todo tratamiento requiere una base de legitimación aplicable y el cumplimiento de las condiciones adicionales exigidas para categorías especiales de datos, comunicaciones y transferencias.
Lealtad. La recolección y el uso serán honestos y acordes con las expectativas razonables del titular. Se prohíben prácticas engañosas, presiones indebidas y reutilizaciones incompatibles no informadas.
Transparencia. La información se proporcionará en lenguaje claro, accesible y comprensible, antes o en el momento legalmente exigible, sin ocultar finalidades, destinatarios o consecuencias relevantes.
Finalidad. Los datos se utilizarán para objetivos determinados, explícitos y legítimos. Una nueva finalidad requerirá evaluar su compatibilidad, identificar la base jurídica e informar y obtener un nuevo consentimiento cuando sea necesario.
Pertinencia y minimización. Se tratarán únicamente los datos adecuados, pertinentes y estrictamente necesarios. No se solicitarán documentos completos cuando una verificación o una copia con información no necesaria ocultada resulte suficiente.
Proporcionalidad. La intensidad de las verificaciones, el acceso y la conservación corresponderán al propósito y al riesgo real. La prevención del fraude no justifica una vigilancia indiscriminada.
Confidencialidad. El acceso se limitará a personas autorizadas y a necesidades funcionales acreditadas. Las obligaciones se extenderán a trabajadores, asesores, encargados y subencargados.
Calidad y exactitud. Se adoptarán medidas razonables para mantener información completa, pertinente y actualizada. Las coincidencias por nombre y los resultados de fuentes externas se verificarán antes de adoptar decisiones adversas.
Conservación limitada. Los datos no permanecerán disponibles indefinidamente. Cada tratamiento tendrá un plazo o criterio documentado de conservación y un mecanismo de eliminación, anonimización o bloqueo cuando corresponda.
Seguridad. Se aplicarán medidas técnicas, organizativas, administrativas y jurídicas proporcionales al riesgo, para proteger la confidencialidad, integridad, disponibilidad y resiliencia de la información.
Responsabilidad proactiva y demostrada. VAMOSPAGO deberá prevenir riesgos y poder acreditar su gestión mediante registros, decisiones motivadas, contratos, evidencias de información, evaluaciones y controles efectivos.
Aplicación favorable al titular. Las dudas sobre el alcance de las disposiciones se resolverán conforme al principio de interpretación más favorable a la protección de los derechos de la persona.
Independencia del control. Se respetarán las competencias y la independencia de la autoridad de protección de datos y se colaborará con sus actuaciones. En el ámbito interno se garantizará, adicionalmente, la autonomía funcional del DPD.
Estos principios se aplican conjuntamente durante todo el ciclo de vida de los datos, incluidos los respaldos, las pruebas tecnológicas, la atención de reclamos y el cierre de relaciones contractuales.
6. CATEGORÍAS DE DATOS Y OPERACIONES PERMITIDAS
El alcance concreto dependerá de la relación y finalidad informada. La siguiente descripción delimita categorías posibles; no ordena recolectarlas todas ni acredita que todos los tratamientos se encuentren activos.
Identificación y contacto. Nombres, apellidos, identificación, nacionalidad cuando sea necesaria, datos de contacto, domicilio y firma; información de representación y documentos de acreditación estrictamente pertinentes.
Información societaria y profesional. Cargo, poderes, nombramientos, participación, control, condición de beneficiario final y vínculo con la contraparte, cuando se refieran a personas naturales.
Información económica, bancaria y transaccional. Datos de facturación, cuentas corporativas o personales pertinentes, referencias y soportes de operaciones, montos y datos necesarios para registro, conciliación, atención de diferencias y ejecución de obligaciones efectivamente contratadas. No se solicitarán claves bancarias, contraseñas ni códigos de autenticación para atender un reclamo de privacidad.
Debida diligencia y prevención. Identificación y verificación de contrapartes, información sobre origen de recursos cuando sea necesaria, condición de persona expuesta políticamente, alertas y resultados de evaluación. Su uso está sujeto a una base específica, a verificación de exactitud y a las restricciones sobre datos sensibles.
Información laboral y de selección. Experiencia, formación, referencias, contacto, datos de contratación, nómina, seguridad social y cumplimiento de obligaciones laborales. La información de salud o discapacidad solo se tratará bajo las reglas reforzadas de esta política.
Información técnica y de atención. Registros de acceso y seguridad, dirección IP y eventos técnicos necesarios, solicitudes, correspondencia y soportes de atención. Grabaciones, geolocalización, cookies no esenciales y herramientas de seguimiento no quedan autorizadas por esta descripción: requieren evaluación, información y legitimación específica antes de su uso.
Las operaciones autorizadas comprenderán únicamente las necesarias para la finalidad aprobada: recepción, verificación, organización, consulta, uso, actualización, conservación, comunicación legítima, restricción y disposición final. Las bases y expedientes asociados a vinculación, contratación, atención, seguridad y administración deberán figurar en el inventario de tratamientos, incluso cuando estén alojados en servicios de terceros.
Los datos podrán proceder del titular o de su representante; de la organización a la que pertenece; de contrapartes con legitimación para comunicarlos; de proveedores de verificación autorizados; de autoridades y fuentes de acceso público en los términos legales; o del uso de canales y sistemas habilitados.
Antes de incorporar información de terceros, el área responsable verificará su procedencia, pertinencia, actualización y condiciones de acceso y reutilización. Que un dato sea accesible en internet no significa que pueda tratarse sin límites, especialmente si revela información sensible o fue divulgado indebidamente.
Quien suministre datos de representantes, beneficiarios finales, trabajadores u otras personas deberá contar con legitimación para ello y facilitar la información correspondiente. Esta exigencia no libera a VAMOSPAGO de verificar su propia base ni de cumplir su deber de información. Si los datos no se obtienen directamente, se informará al titular dentro de treinta días o en la primera comunicación, lo que ocurra primero, salvo excepción legal acreditada.
8. FINALIDADES Y FUNDAMENTO DE CADA TRATAMIENTO
Cada proceso deberá identificar su base antes de recolectar o utilizar datos. No se utilizará el consentimiento como autorización universal ni se invocarán indistintamente varias bases para un mismo propósito sin explicar su aplicación.
A. Consultas y solicitudes iniciales. Atender una petición de información, cotización, soporte o vinculación presentada por una persona natural se sustentará en las medidas precontractuales solicitadas por ella, cuando exista esa relación. Para gestionar contactos que actúen por una persona jurídica se evaluará el interés legítimo en atender y administrar la relación comercial, limitado a los datos de contacto y representación necesarios.
B. Vinculación y conocimiento de contrapartes. Verificar identidad, capacidad de representación, estructura de propiedad y beneficiario final para valorar una relación lícita y prevenir suplantación o fraude. Los controles impuestos directamente a VAMOSPAGO por una norma se fundamentarán en esa obligación, identificada por el área legal. Los controles preventivos propios se sustentarán, para datos no sensibles, en un interés legítimo previamente ponderado, siempre que se acredite su necesidad y no prevalezcan los derechos del titular.
Las exigencias de aliados o de otras sociedades del grupo se analizarán separadamente: un requerimiento contractual de un tercero no se convierte, por sí mismo, en obligación legal de VAMOSPAGO. Tampoco permite tratar datos sensibles mediante interés legítimo.
C. Gestión y ejecución contractual. Administrar la relación, verificar instrucciones, mantener comunicaciones operativas, registrar o conciliar información, gestionar facturación, pagos propios, incidencias y cierre contractual. Para el titular que sea parte del contrato se utilizará la base contractual cuando el tratamiento sea objetivamente necesario. Para representantes, contactos o personas que no sean parte, se identificará la base correspondiente, como el interés legítimo ponderado en gestionar la relación empresarial o una obligación legal concreta.
Los datos de usuarios de un comercio u otra entidad que se reciban para prestar un servicio por su cuenta solo se tratarán con el rol, las instrucciones y las condiciones pactadas. La sola existencia de un contrato entre personas jurídicas no autoriza cualquier uso de información de terceros.
D. Obligaciones legales y requerimientos de autoridad. Cumplir deberes tributarios, contables, laborales, societarios y de protección de datos aplicables a la Empresa, y atender órdenes o requerimientos válidos. El área legal verificará competencia, alcance, necesidad y reserva, y documentará la disposición u orden que justifica el tratamiento o entrega.
E. Seguridad, prevención y defensa. Prevenir y detectar accesos indebidos, suplantación, fraude y usos ilícitos; proteger sistemas y evidencias; y formular, ejercer o defender reclamaciones. Para información no sensible podrá utilizarse el interés legítimo ponderado y, cuando exista, una obligación legal concreta. Se limitarán los datos, accesos y tiempos al riesgo o controversia real. La información sensible requerirá, además, una excepción legal que permita su tratamiento.
F. Gestión de personas. Evaluar candidaturas a solicitud del postulante y formalizar o ejecutar la relación laboral conforme a la base precontractual o contractual pertinente. Nómina, seguridad social y deberes laborales se sustentarán en obligaciones legales aplicables. La conservación de hojas de vida para futuras convocatorias se realizará con consentimiento separado, sin perjudicar el proceso de selección en curso.
G. Atención de derechos y reclamos. Identificar al solicitante, localizar información, resolver peticiones y conservar evidencia de su atención se sustenta en los deberes legales de protección de datos y, para la defensa de una controversia, en la base adicional que corresponda. No se usarán los datos del reclamo para publicidad.
H. Comunicaciones comerciales y analítica no esencial. Como regla corporativa, los envíos promocionales y el seguimiento no necesario para prestar el servicio requerirán consentimiento previo, específico y revocable. Las comunicaciones estrictamente operativas no se confundirán con publicidad. Se facilitará la oposición y la baja sin condicionar la prestación principal.
I. Evaluación del interés legítimo. Antes de utilizar esta base, el área dueña del proceso documentará el interés concreto y actual de la Empresa o del tercero, la necesidad y las alternativas menos intrusivas, y la ponderación de derechos y expectativas razonables. Incorporará minimización, acceso restringido, conservación limitada y mecanismos de oposición. Legal revisará el análisis y el DPD lo supervisará en ejercicio de sus funciones. Un resultado desfavorable impedirá utilizar esa base.
El interés legítimo se informará al titular y se reevaluará ante cambios de finalidad, datos, tecnología, escala o destinatarios. No se utilizará para datos sensibles, conforme a la Resolución SPDP-SPD-2025-0041-R. Una alerta, una obligación interna de grupo o una autorización genérica no reemplazan el análisis.
9. CONSENTIMIENTO, OBLIGATORIEDAD Y CONSECUENCIAS
Cuando sea exigible, el consentimiento será libre, específico, informado e inequívoco, mediante una acción afirmativa verificable. Para datos sensibles se exigirá consentimiento explícito cuando esa sea la excepción aplicable. Se separarán finalidades independientes; no se utilizarán casillas premarcadas, silencio, inactividad ni aceptación global de condiciones como autorización para usos opcionales.
Se conservará evidencia de la información presentada, su versión, la finalidad autorizada, la fecha y el mecanismo de manifestación. La revocación podrá solicitarse a compliance@vamospago.com o mediante el mecanismo habilitado para otorgarlo, de forma igualmente sencilla. Tendrá efectos hacia el futuro y no afectará la licitud del tratamiento anterior; se detendrán los usos sustentados exclusivamente en ese consentimiento.
Los formularios identificarán datos obligatorios y opcionales y explicarán la razón de la exigencia. La negativa a entregar información realmente necesaria puede impedir verificar identidad, evaluar la vinculación o ejecutar la obligación correspondiente. La negativa a publicidad, analítica no esencial u otros usos opcionales no causará la denegación del servicio principal.
Los datos inexactos pueden generar demoras o requerimientos de aclaración. Antes de adoptar una decisión adversa se facilitará su verificación y rectificación, cuando proceda. No habrá sanciones automáticas ni consecuencias desproporcionadas por ejercer derechos. Si, tras una revocación, debe conservarse información por una obligación distinta, se explicará el fundamento y se limitará el uso a ese propósito.
DATOS SENSIBLES Y PROTECCIÓN REFORZADA
10. CATEGORÍAS ESPECIALES Y DATOS SENSIBLES
Se consideran categorías especiales las previstas en la LOPDP, entre ellas los datos sensibles, los de niñas, niños y adolescentes, los de salud y los relativos a discapacidad y sus sustitutos cuando corresponda. Son sensibles, entre otros, los relacionados con etnia, identidad de género, identidad cultural, religión, ideología, filiación política, pasado judicial, condición migratoria, orientación sexual, salud, biometría y genética, así como aquellos cuyo tratamiento indebido pueda causar discriminación o afectar derechos fundamentales.
Regla de tratamiento excepcional. No se recolectarán por conveniencia ni como requisito rutinario de vinculación. El área legal verificará una excepción del artículo 26 de la LOPDP, la finalidad concreta y la estricta necesidad: por ejemplo, consentimiento explícito válido, obligaciones laborales y de protección social autorizadas, intereses vitales en los supuestos legales u orden judicial. El acceso público a una información no elimina su carácter sensible ni habilita automáticamente su reutilización.
Información de cumplimiento. La condición de persona expuesta políticamente no equivale a una infracción ni autoriza inferir ideología. Las búsquedas en listas y fuentes externas se limitarán al riesgo y finalidad legítimos. Si revelan pasado judicial u otra información sensible, se aplicará el régimen reforzado antes de incorporarla o utilizarla. Las homonimias y coincidencias parciales se contrastarán con identificadores pertinentes; no se presumirá responsabilidad a partir de una noticia o un resultado no corroborado.
Biometría. La presente política no habilita por sí sola reconocimiento facial, huellas, plantillas de voz u otras identificaciones biométricas. Antes de implementarlas se exige justificación específica, análisis de alternativas, base y excepción aplicables, análisis de riesgos y evaluación de impacto conforme a la Resolución SPDP-SPD- 2026-0039-R. Se establecerán medidas reforzadas, acceso segregado, conservación limitada y eliminación verificable. No se alegará interés legítimo como base para estos datos.
Salud y discapacidad. Su tratamiento se limitará a finalidades legalmente permitidas y será accesible solo para funciones autorizadas. En relaciones laborales se privilegiará la información necesaria sobre aptitud o ajustes, sin divulgar diagnósticos ni historias clínicas a quienes no los requieran legalmente.
Cuando se solicite información sensible se explicará expresamente su naturaleza, propósito, base y carácter obligatorio u opcional. No se condicionará una prestación a datos sensibles que no sean necesarios y lícitamente exigibles. Se registrarán accesos y se evitará su inclusión en reportes de circulación general.
11. NIÑAS, NIÑOS, ADOLESCENTES Y OTRAS PERSONAS PROTEGIDAS
La operación comercial no se orientará a vincular directamente a menores de edad sin una habilitación y un diseño específico de protección. Si se reciben sus datos incidentalmente o para una finalidad laboral o legal legítima, se aplicarán minimización, interés superior, información adecuada a su edad y las reglas de representación y autonomía progresiva.
Los adolescentes podrán otorgar consentimiento explícito a partir de quince años, conforme al artículo 21 de la LOPDP. Para el ejercicio directo de derechos se aplicará el artículo 24 respecto de adolescentes mayores de quince y menores de dieciocho años; en los demás casos se verificará la representación exigible. Estas facultades no equivalen a capacidad para contratar productos reservados a personas adultas. No se realizarán publicidad comportamental ni perfiles comerciales de menores.
Las solicitudes sobre personas fallecidas podrán tramitarse por quienes estén legitimados conforme a la normativa, con acreditación proporcionada. La atención a personas con discapacidad incorporará ajustes de accesibilidad sin presumir incapacidad ni exigir representación cuando no corresponda.
TRANSPARENCIA Y ENTORNOS DIGITALES
Antes o al momento de obtener datos directamente, VAMOSPAGO facilitará esta política y un aviso adecuado al proceso. Cuando la obtención sea indirecta aplicará el plazo del apartado 7. La información comprenderá identidad y contactos del responsable y del DPD cuando sea exigible; existencia y características del tratamiento; categorías, fuentes y operaciones; finalidades y bases; conservación; destinatarios y transferencias con sus garantías; datos obligatorios y consecuencias; derechos, revocación y mecanismos de ejercicio; reclamos y decisiones automatizadas pertinentes.
La información podrá presentarse por capas para facilitar su lectura, siempre con acceso sencillo al contenido completo. Los avisos de vinculación, trabajo, atención o servicios digitales deberán reflejar la operación real. Las transferencias concretas y la identidad del DPD no se reemplazarán por referencias genéricas cuando la ley exija información específica.
Una nueva finalidad o un cambio sustancial se evaluará y comunicará antes de implementarse; se solicitará un nuevo consentimiento cuando proceda. La actualización de la política no legitima retroactivamente usos anteriores ni autoriza tratamientos incompatibles.
13. DECISIONES AUTOMATIZADAS, PERFILES E INTELIGENCIA ARTIFICIAL
Los sistemas de clasificación o verificación serán herramientas de apoyo y deberán incorporar controles de calidad, trazabilidad y revisión humana significativa. Se garantizarán los derechos del artículo 20 de la LOPDP frente a decisiones basadas única o parcialmente en valoraciones automatizadas que produzcan efectos jurídicos o afecten derechos y libertades fundamentales.
Antes de un tratamiento de esa naturaleza se informará su existencia, los tipos y procedencia de datos, los criterios relevantes, la lógica explicada de manera comprensible y las consecuencias previstas. El titular podrá presentar observaciones, solicitar explicación, impugnar y obtener la intervención de una persona con facultades reales para revisar la decisión. Se atenderá la solicitud mediante el procedimiento del apartado 19.
No se implementarán perfiles discriminatorios ni rechazos basados únicamente en coincidencias no verificadas. Las excepciones legales al derecho deberán ser documentadas y no se presumirán por la firma de un contrato de adhesión. Los modelos que traten categorías especiales requerirán las condiciones reforzadas correspondientes.
Se prohíbe cargar datos personales en herramientas de inteligencia artificial no autorizadas, utilizarlos para entrenamiento ajeno a la finalidad informada o permitir que un proveedor los reutilice sin legitimación. Todo proyecto será sometido a revisión jurídica y de seguridad y a evaluación de impacto cuando resulte exigible, considerando las resoluciones SPDP-SPD-2026-0009-R y su reforma SPDP-SPD-2026-0037-R.
14. COOKIES, TECNOLOGÍAS SIMILARES Y SERVICIOS DE TERCEROS
Antes de activar un sitio, aplicación o herramienta de seguimiento se inventariarán sus tecnologías y se explicarán proveedor, finalidad, duración y destinatarios. Se limitarán a lo necesario las tecnologías técnicas y de seguridad. Las cookies de analítica no esencial, publicidad o seguimiento requerirán consentimiento previo y un mecanismo sencillo para rechazar y retirar su aceptación; no se activarán por el mero acceso al sitio.
La información específica sobre cookies deberá estar disponible antes de habilitar su uso. Los servicios de terceros integrados se evaluarán antes de su uso y se identificarán sus roles y condiciones. Un enlace externo no elimina las responsabilidades de VAMOSPAGO por la información que recolecte o comunique desde sus propios canales.
DESTINATARIOS Y TRANSFERENCIAS
15. COMUNICACIONES, DESTINATARIOS Y ROLES
La información solo será accesible a quienes la necesiten para una finalidad legítima. Podrán intervenir, según el proceso real, proveedores tecnológicos, de alojamiento y archivo; verificadores autorizados; asesores y auditores; contrapartes y entidades financieras necesarias para obligaciones concretas; sociedades relacionadas con una función justificada; y autoridades competentes.
Antes de comunicar datos se precisará si el receptor es encargado que actúa bajo instrucciones, responsable independiente que determina sus usos o corresponsable con decisiones conjuntas. Esa calificación dependerá de la intervención efectiva y no solo del nombre utilizado en un contrato. La corresponsabilidad requerirá delimitar obligaciones y facilitar al titular el ejercicio de sus derechos, sin restringir los previstos en la ley.
En comunicaciones entre responsables se acreditarán finalidad, base de legitimación y consentimiento informado o excepción legal aplicable, conforme a la LOPDP y la Resolución SPDP-SPD-2026-0004-R. Se limitarán los datos y se establecerán condiciones escritas de seguridad, confidencialidad, uso y conservación. El destinatario no podrá reutilizarlos para fines incompatibles ni comunicarlos sucesivamente sin cumplir los requisitos correspondientes.
Los encargados estarán sujetos a contratos e instrucciones documentadas según el apartado 23. Si VAMOSPAGO actúa como encargada, no utilizará los datos del cliente para finalidades propias no legitimadas y colaborará en la atención de derechos. La pertenencia a un grupo empresarial no crea una autorización general de acceso.
Toda entrega a una autoridad se verificará y registrará, atendiendo la reserva legal. Las solicitudes de rectificación, eliminación u oposición se comunicarán a los destinatarios afectados en los términos exigibles. La Compañía conservará evidencia suficiente de los accesos y entregas sin crear copias innecesarias.
16. TRANSFERENCIAS INTERNACIONALES Y ACCESO DESDE EL EXTERIOR
El alojamiento, la administración remota, el soporte y el acceso desde otro país, incluidos los de equipos regionales o sociedades del grupo, serán evaluados como posibles flujos internacionales. No se autoriza una transferencia por la sola mención de proveedores extranjeros en un contrato o en esta política.
Antes de habilitarla, el área responsable identificará exportador e importador, roles, países, finalidades, datos, titulares, accesos remotos, subencargados y transferencias ulteriores. Legal determinará la base y el mecanismo habilitante: decisión aplicable de nivel adecuado, garantías admitidas e instrumentadas o una excepción legal pertinente. Cuando corresponda se realizará la evaluación del destino, de los riesgos y de las medidas complementarias, y se tramitará la autorización exigible.
Las cláusulas contractuales modelo, las normas corporativas vinculantes u otras garantías deberán cumplir sus requisitos efectivos; no bastará citarlas sin adoptarlas. Una exigencia de Cumplimiento Global o una instrucción de la casa matriz no sustituye ese análisis.
El titular recibirá previamente la información legalmente exigida sobre destino, destinatarios o categorías, finalidad y salvaguardas, mediante el aviso del tratamiento. Podrá solicitar información y acceso a las garantías en lo que corresponda, preservando los derechos de terceros y secretos legítimos.
No se habilitará un flujo no identificado y documentado. Los soportes de legalidad de transferencias y comunicaciones se conservarán por el mínimo de tres años exigido por la Resolución SPDP-SPD-2026-0004-R, sin convertir ese mínimo probatorio en una obligación general de conservar todos los datos transferidos. La evaluación se revisará ante cambios de proveedor, país, finalidad, seguridad o normativa.
CONSERVACIÓN Y DISPOSICIÓN FINAL
17. REGLAS DE CONSERVACIÓN, BLOQUEO Y ELIMINACIÓN
La conservación se determinará por finalidad y categoría, no por una duración indefinida de las bases. Cada área mantendrá un registro de plazo o criterio, fundamento, evento inicial, revisión, acceso durante el archivo y método de disposición final. Se distinguirá el uso operativo de la conservación restringida para obligaciones o reclamaciones concretas.
Consultas sin vinculación. Como límite corporativo ordinario, los datos se eliminarán o anonimizarán al agotarse la atención y, en todo caso, a más tardar seis meses después de la última gestión, salvo una obligación o controversia específica documentada. No se conservarán para publicidad sin consentimiento.
Expedientes contractuales y de vinculación. Permanecerán activos durante la relación y mientras sean necesarios para su ejecución y actualización. Al terminar, solo se conservarán de forma restringida los documentos indispensables durante los plazos legales o de prescripción efectivamente aplicables. Legal deberá identificar el fundamento, el cómputo y la fecha de disposición final; no se trasladará automáticamente un plazo AML de otra jurisdicción ni se impondrá un término uniforme a todo el expediente.
Comprobantes tributarios. Los comprobantes y documentos sujetos al deber ecuatoriano de conservación tributaria se mantendrán por el plazo de siete años previsto para esa documentación, sin perjuicio de requerimientos o procedimientos que obliguen a conservar soportes específicos por más tiempo. Esta regla no se extiende por analogía a cualquier dato personal.
Selección y relaciones laborales. Las candidaturas no seleccionadas se suprimirán a más tardar seis meses después del cierre del proceso, salvo reclamación o deber específico. Para futuras vacantes se permitirá una conservación máxima de doce meses con consentimiento separado, renovable mediante nueva manifestación válida. Los expedientes laborales se conservarán durante la relación y posteriormente por los plazos laborales, de seguridad social, tributarios o de defensa que correspondan, con acceso restringido.
Registros técnicos. El período se fijará según la finalidad de seguridad y el análisis de riesgo. Como límite corporativo ordinario no excederá doce meses, salvo registros vinculados a un incidente, obligación o reclamación identificados. Se utilizarán plazos menores cuando sean suficientes. Las grabaciones o tecnologías especialmente intrusivas requerirán una regla específica y no heredarán automáticamente ese límite.
Consentimientos, solicitudes y controversias. Se conservará la evidencia mínima necesaria para demostrar las actuaciones y atender responsabilidades durante el período jurídicamente justificado. La oposición comercial podrá documentarse mediante un registro mínimo de exclusión para evitar nuevos contactos, sin mantener por ello el perfil promocional completo.
Estos límites corporativos no autorizan conservar datos innecesarios hasta su vencimiento. Agotada la finalidad, se eliminarán antes, salvo fundamento legítimo diferente, documentado e informado cuando proceda. Una retención por litigio se limitará a la información pertinente y tendrá revisiones periódicas.
Disposición final. La eliminación será segura y verificable, tanto para soportes físicos como digitales. Los respaldos quedarán sujetos a ciclos definidos, acceso restringido y mecanismos que eviten reactivar datos eliminados al restaurar sistemas. La anonimización deberá impedir razonablemente la reidentificación, incluso por combinación con otras fuentes. La seudonimización no equivale a anonimización: los datos siguen protegidos y la información adicional deberá custodiarse separadamente. Se aplicará la Resolución SPDP-SPD-2025-0030-R y se dejará evidencia de la disposición realizada.
DERECHOS DE LAS PERSONAS
18. DERECHOS RECONOCIDOS Y ALCANCE
Información. Conocer de manera transparente quién trata los datos, su procedencia, finalidades, fundamentos, conservación, destinatarios, transferencias, riesgos relevantes y mecanismos de ejercicio de derechos.
Acceso. Confirmar si existen tratamientos sobre la persona y obtener acceso a sus datos y a la información legalmente exigida, mediante un canal seguro y comprensible. La protección de datos de terceros permitirá adoptar medidas de disociación, no negar indiscriminadamente toda la información.
Rectificación y actualización. Corregir información inexacta, incompleta o desactualizada, aportando los justificativos pertinentes. Se adoptarán medidas para que la corrección se refleje en los sistemas y se comunique a los destinatarios en los términos legales.
Eliminación. Solicitar la supresión en los supuestos legales, incluido el agotamiento de la finalidad, el tratamiento ilícito o la revocación cuando no exista otra base válida. Si existe una obligación de conservar, se explicará su alcance y se restringirá el uso a ese fundamento.
Oposición. Oponerse al tratamiento en los casos previstos por la LOPDP y, en particular, al uso para mercadotecnia directa y los perfiles relacionados. Cuando se invoque interés legítimo se revisarán las razones de oposición y la justificación del tratamiento; no se presumirá que el interés empresarial siempre prevalece.
Suspensión del tratamiento. Solicitarla en los supuestos legales, como la verificación de exactitud, la controversia sobre licitud, la necesidad de datos para reclamaciones o la resolución de una oposición. La información se identificará como restringida y solo se utilizará en las condiciones legalmente permitidas. Si se impugna una negativa ante la autoridad, se observarán las reglas aplicables a la continuidad de la suspensión.
Portabilidad. Recibir los datos aportados en un formato compatible, actualizado, estructurado, de uso común e interoperable, o pedir su transmisión a otro responsable cuando sea técnicamente posible y se cumpla alguno de los supuestos del artículo 17 de la LOPDP. Su procedencia se evaluará según las condiciones legales de consentimiento, tratamiento automatizado, volumen relevante o cumplimiento de obligaciones y derechos laborales y de seguridad social. Se protegerán los derechos de otras personas y se distinguirán los datos aportados de las inferencias o perfiles elaborados, que no integran automáticamente su alcance. Se aplicarán las reglas legales de eliminación posterior y sus excepciones.
Revocación del consentimiento. Retirarlo de forma sencilla, sin afectar la licitud del tratamiento anterior ni las obligaciones de conservación sustentadas en una base diferente y válidamente aplicable.
Protección frente a decisiones automatizadas. Ejercer los derechos del apartado 13, obtener explicaciones, formular observaciones, impugnar y solicitar revisión humana en los supuestos legales, incluyendo valoraciones única o parcialmente automatizadas con los efectos previstos en la ley.
Consulta y educación digital. Acceder a la consulta pública y gratuita del Registro Nacional de Protección de Datos Personales mediante los mecanismos legalmente habilitados, y recibir información y formación sobre el uso responsable y seguro de datos, dentro de las competencias de cada interviniente.
Tutela y reclamación. Reclamar ante VAMOSPAGO y acudir a la Superintendencia de Protección de Datos Personales —SPDP— conforme a su procedimiento, así como ejercer la acción constitucional de hábeas data y las demás vías de tutela pertinentes. El trámite interno no impone renuncias ni impide acudir a los mecanismos legalmente disponibles.
El ejercicio será gratuito y no requerirá abogado. Las limitaciones o excepciones solo se aplicarán con fundamento legal, motivación y alcance proporcional. Se evitará utilizar «seguridad», «confidencialidad» o «cumplimiento» como razones genéricas para rechazar una petición completa.
PROCEDIMIENTO PARA LA ATENCIÓN
19. PROCEDIMIENTO PARA CONSULTAS, SOLICITUDES Y RECLAMOS
A. Presentación. El titular o su representante puede escribir a compliance@vamospago.com o presentar su solicitud en el domicilio del apartado 1. Indicará nombres completos; identificación suficiente; dirección física o electrónica para la respuesta; descripción de la petición y, cuando sea posible, datos, relación o proceso involucrados. Para rectificación o actualización adjuntará los soportes pertinentes; para representación, su acreditación. No se exigirá un formulario exclusivo ni citar artículos legales.
B. Recepción y trazabilidad. Compliance registrará la fecha de recepción, asignará un identificador, acusará recibo como objetivo interno dentro de dos días hábiles y remitirá la solicitud al área competente. El acuse no sustituye la respuesta de fondo. Las solicitudes recibidas por otras áreas se trasladarán inmediatamente, conservando como referencia la recepción inicial en la Compañía.
C. Identidad y representación. La verificación será proporcional al riesgo de entregar o modificar información. Se privilegiarán medios de contacto previamente verificados y mecanismos seguros. Solo se pedirá copia de documentos o información adicional cuando resulte razonablemente necesaria; se permitirá ocultar datos ajenos a la verificación. No se exigirán claves, códigos bancarios ni biometría de manera general para ejercer derechos.
D. Aclaración o subsanación. Si la petición requiere aclaración, se formulará por una sola vez y dentro del término de cinco días hábiles desde su recepción, precisando qué información falta y por qué es necesaria. El solicitante dispondrá del término de diez días hábiles desde el día siguiente a su notificación para completarla, conforme al artículo 14 del Reglamento General. Si no lo hace, se motivará y comunicará el archivo, sin impedir una nueva solicitud. No se utilizará la subsanación para exigir documentos innecesarios ni para concederse prórrogas no previstas legalmente.
E. Análisis y decisión. El área competente localizará los registros, verificará fuentes, destinatarios, bases y conservación, y ejecutará la medida procedente. Legal intervendrá cuando existan reservas, excepciones o controversias; el DPD ejercerá supervisión independiente. La respuesta será completa, clara y motivada, señalará las actuaciones realizadas y explicará las negativas totales o parciales y las vías de reclamación.
F. Plazos. El acceso, la rectificación y actualización, la eliminación y la oposición se atenderán dentro del plazo legal de quince días calendario. VAMOSPAGO adopta igualmente un objetivo máximo de quince días calendario para resolver las demás solicitudes ordinarias, salvo que una norma imponga una actuación inmediata, un plazo menor o un régimen especial. Los términos de subsanación se computarán conforme al Reglamento; cualquier incidencia en el cómputo se motivará en la regla aplicable, sin presumir una suspensión o reinicio automáticos.
La oposición comercial se ejecutará sin dilación. Una solicitud de restricción o una alerta de exposición se evaluará inmediatamente para adoptar medidas de protección mientras se resuelve el fondo. Los plazos internos de coordinación nunca ampliarán el plazo legal frente al titular.
G. Cumplimiento, notificación y cierre. Se entregará la respuesta por el medio elegido o por otro seguro acordado; se aplicarán los cambios en los sistemas y se avisará a destinatarios o encargados cuando corresponda. El expediente conservará la solicitud, verificación, decisión, evidencias de ejecución y constancia de respuesta. El silencio no equivale a rechazo válido. Ante falta de respuesta o inconformidad, se informará sobre la reclamación ante la SPDP y las demás vías disponibles.
SEGURIDAD Y PREVENCIÓN DE RIESGOS
20. SEGURIDAD, CONFIDENCIALIDAD Y ACCESO
VAMOSPAGO aplicará controles proporcionados al tipo de datos, volumen, contexto, finalidad, amenazas y posibles consecuencias para las personas. Las áreas responsables deberán demostrar su implementación; esta política no constituye una certificación de controles tecnológicos ni de estándares no acreditados.
Accesos. Se utilizarán identidades individuales, privilegios mínimos, autorizaciones por función, revisión periódica y retiro oportuno de permisos. Para accesos críticos o remotos se exigirá autenticación reforzada cuando corresponda al riesgo. Se evitarán cuentas compartidas y se conservará trazabilidad suficiente.
Protección de información. Se dispondrán mecanismos apropiados de cifrado en tránsito y almacenamiento, gestión de claves, segregación de ambientes y seudonimización cuando sea útil. Los expedientes sensibles tendrán acceso reforzado. No se remitirán bases completas por canales no autorizados ni se conservarán copias de trabajo indefinidamente en equipos personales.
Operación y continuidad. Se gestionarán vulnerabilidades, actualizaciones, respaldo, recuperación, borrado seguro y pruebas de continuidad. Las copias y los entornos de desarrollo estarán sujetos a las mismas restricciones de finalidad y acceso; se privilegiarán datos sintéticos o anonimizados en pruebas.
Personas y terceros. Se exigirán compromisos de confidencialidad, instrucciones documentadas, capacitación inicial y periódica y verificación de proveedores. Los documentos físicos se custodiarán con controles de ingreso, archivo y destrucción. La información de incidentes se compartirá solo con quienes deban intervenir.
21. PRIVACIDAD DESDE EL DISEÑO, INVENTARIO Y EVALUACIÓN DE IMPACTO
Antes de crear o modificar un tratamiento, el área promotora documentará finalidad, necesidad, categorías y titulares, origen, base, roles, destinatarios, transferencias, conservación, sistemas y medidas. La gerencia decidirá sobre su habilitación con revisión legal y técnica y asesoría o supervisión del DPD, sin atribuirle la ejecución de funciones incompatibles con su independencia.
Las configuraciones predeterminadas limitarán la cantidad de datos, accesibilidad, alcance y duración a lo estrictamente necesario. Se realizarán análisis de riesgo para los derechos de las personas, no solo para la reputación o los activos de la Empresa, y se actualizarán ante cambios o incidentes.
Se practicará evaluación de impacto previa cuando lo exijan la LOPDP, su Reglamento y las resoluciones de la SPDP, incluidos los tratamientos biométricos y los demás supuestos de alto riesgo. Se considerarán las reglas de tratamiento a gran escala de la Resolución SPDP-SPD-2026-0005-R y las aplicables a inteligencia artificial. Si persiste un alto riesgo no mitigado, se gestionará la consulta previa exigible y no se iniciará el tratamiento sin cumplir las condiciones legales.
Se mantendrá un inventario y, cuando sea exigible, el registro de actividades de tratamiento, con responsables por proceso y evidencia de legitimación, riesgos y salvaguardas. Los registros o comunicaciones ante la autoridad se cumplirán en los supuestos y mediante los mecanismos aplicables. La falta de un registro interno no permite continuar un tratamiento sin control.
GESTIÓN DE VULNERAVILIDADES
22. PREVENCIÓN, RESPUESTA Y NOTIFICACIÓN DE INCIDENTES
Constituye una posible vulneración cualquier evento que comprometa la confidencialidad, integridad o disponibilidad de datos personales, como pérdida, acceso indebido, divulgación, alteración, destrucción o indisponibilidad no autorizadas, sean accidentales o ilícitas.
A. Detección y escalamiento. Toda persona vinculada deberá reportar inmediatamente el evento a compliance@vamospago.com y al responsable técnico por el canal interno habilitado. Se registrarán detección, constancia, sistemas, datos, personas potencialmente afectadas y medidas iniciales. No se esperará a concluir la investigación para activar la respuesta.
B. Contención y preservación. Tecnología y seguridad limitarán accesos, aislarán componentes cuando resulte necesario, protegerán evidencias y recuperarán la operación de manera controlada. Se evitará destruir registros útiles o ampliar innecesariamente el acceso a los datos afectados. La gerencia coordinará la decisión y los recursos.
C. Evaluación. Con apoyo de Legal y supervisión del DPD, se valorarán naturaleza, sensibilidad, volumen, facilidad de identificación, personas afectadas, consecuencias, medidas de protección y probabilidad de daño. Se distinguirá la existencia del incidente de la obligación concreta de notificar. La decisión de no notificar deberá sustentarse y conservarse; no podrá basarse únicamente en la ausencia de una queja.
D. Notificación a autoridad y coordinación técnica. Cuando proceda, el responsable notificará tan pronto sea posible y, a más tardar, dentro del término de cinco días hábiles desde que tenga constancia de la vulneración, conforme al artículo 43 de la LOPDP, reformado en 2026. La comunicación comprenderá a la SPDP, al organismo de regulación y control competente y, para información y coordinación técnica, al CSIRT correspondiente, en los términos legales. La excepción por improbabilidad de riesgo deberá quedar documentada. La notificación a la SPDP se efectuará mediante el sistema oficial habilitado, conforme a la Resolución SPDP-SPD-2026-0040-R. Si la plataforma no está disponible, se documentará la incidencia y se utilizará el canal alternativo oficial permitido. La información faltante se completará sin demora y cualquier retraso se justificará; no se aplazará la primera comunicación por carecer del informe forense definitivo.
E. Comunicación al titular. Cuando la vulneración conlleve el riesgo que determina la obligación legal, se informará sin dilación y dentro del término de tres días hábiles desde el conocimiento de dicho riesgo, conforme al artículo 46 de la LOPDP. Se explicarán en lenguaje sencillo naturaleza, datos comprometidos, fecha conocida o aproximada, consecuencias, medidas adoptadas, recomendaciones y contacto. Las excepciones se aplicarán con las condiciones y la intervención de la SPDP exigidas por la ley; no se presumirá una exoneración por la sola existencia de cifrado.
F. Actuación como encargada y proveedores. Si VAMOSPAGO actúa como encargada, avisará al responsable tan pronto sea posible y dentro del límite legal de dos días, computando como máximo operativo cuarenta y ocho horas desde su conocimiento. Como regla operativa interna buscará hacerlo en las primeras veinticuatro horas. Los contratos exigirán aviso inmediato de sus proveedores y un objetivo máximo de veinticuatro horas, sin ampliar el límite legal aplicable. No se esperará a obtener autorización del proveedor para cumplir deberes propios.
G. Cierre y mejora. Se documentarán causa, alcance, decisiones, comunicaciones, remediación y responsables. La gerencia verificará la eficacia de las acciones y actualizará controles, formación y evaluaciones. Los compromisos internos más breves no sustituyen ni flexibilizan los términos legales.
CONTRATACIÓN, CONTROL Y VIGENCIA
23. ENCARGADOS, SUBENCARGADOS Y SERVICIOS DE TERCEROS
Antes de contratar un tercero con acceso a datos se evaluarán necesidad, capacidad técnica y organizativa, ubicación, subcontratación, seguridad y antecedentes pertinentes. La contratación no se aprobará únicamente por disponer de una política pública o una certificación genérica.
Los acuerdos incluirán objeto, duración y naturaleza del servicio; finalidad, categorías de datos y titulares; instrucciones documentadas; confidencialidad; seguridad; colaboración en derechos, incidentes, evaluaciones y requerimientos; límites de subcontratación; transferencias internacionales; evidencia y auditoría razonables; y devolución o eliminación al concluir, salvo deber legal de conservación. Se aplicarán las cláusulas y requisitos de la Resolución SPDP-SPD-2025-0006-R.
El acceso de un subencargado requerirá autorización y obligaciones equivalentes, con información suficiente sobre cambios. El encargado no podrá incorporar finalidades propias, entrenar modelos ni comercializar información por el hecho de recibirla. Cuando una norma le obligue a conservar o comunicar datos, deberá informar al responsable salvo prohibición legal y limitarse al alcance exigible.
Si VAMOSPAGO recibe una solicitud sobre información que trata por cuenta de un cliente, la registrará y transmitirá sin dilación al responsable, colaborando con la atención e informando al solicitante sobre la gestión cuando corresponda. No utilizará la distribución contractual de roles para desatender derechos.
24. DIVULGACIÓN, SEGUIMIENTO Y CONSECUENCIAS
La política se comunicará a las personas vinculadas a la operación y se pondrá a disposición de los titulares de forma accesible. La formación se realizará al ingreso, cuando cambien funciones relevantes y periódicamente, dejando evidencia de contenidos y participación. Se reforzarán las funciones con acceso a datos sensibles, atención de derechos, desarrollo y contratación tecnológica.
La gerencia revisará, al menos anualmente, solicitudes y plazos, incidentes, evaluaciones, proveedores, transferencias, conservación y acciones correctivas. El DPD emitirá sus recomendaciones con independencia. Los incumplimientos darán lugar a medidas correctivas y, cuando corresponda, a consecuencias laborales o contractuales conforme a la ley, las garantías de defensa y los instrumentos aplicables.
25. APROBACIÓN, PUBLICACIÓN Y ACTUALIZACIÓN
Esta versión se somete a aprobación del órgano societario competente conforme a los estatutos y a las facultades de representación. Su vigencia corporativa comenzará en la fecha que establezca el acto de aprobación. La fecha de elaboración no se presentará como fecha de aprobación ni de implementación efectiva.
La versión aprobada se conservará con su soporte, responsable documental y registro de cambios. Se revisará al menos una vez al año y antes de cambios materiales en operación, datos, proveedores, países o normativa. Las modificaciones se comunicarán mediante los canales pertinentes antes de aplicar tratamientos nuevos y se recabará consentimiento cuando sea exigible.
La publicación se acompañará de los avisos específicos necesarios para describir los tratamientos efectivamente habilitados. Las normas imperativas y los derechos de los titulares prevalecen sobre cualquier cláusula contradictoria. La política no sustituye contratos de encargo, evaluaciones, registros, controles técnicos ni la designación formal del DPD cuando sea obligatoria.
MARCO NORMATIVO
26. MARCO NORMATIVO DE REFERENCIA
La política se fundamenta en la Constitución de la República del Ecuador, especialmente los artículos 66 numeral 19 y 92; la Ley Orgánica de Protección de Datos Personales —LOPDP—, publicada en el Quinto Suplemento del Registro Oficial 459 del 26 de mayo de 2021; y su Reglamento General, expedido mediante Decreto Ejecutivo 904 de 2023.
Se consideran la reforma del artículo 43 de la LOPDP introducida por el artículo 14 de la Ley Orgánica para el Fortalecimiento de la Ciberseguridad, publicada el 22 de mayo de 2026, y las siguientes normas de la Superintendencia de Protección de Datos Personales, en su ámbito de aplicación:
SPDP-SPD-2025-0003-R. Guía de gestión de riesgos y evaluación de impacto del tratamiento de datos personales.
SPDP-SPD-2025-0006-R. Incorporación de cláusulas de protección de datos personales en contratos celebrados en Ecuador.
SPDP-SPD-2025-0028-R. Reglamento del delegado de protección de datos personales.
SPDP-SPD-2025-0030-R. Seudonimización, anonimización, bloqueo y eliminación de datos personales.
SPDP-SPD-2025-0041-R. Aplicación del interés legítimo y evaluación de ponderación.
SPDP-SPD-2026-0004-R. Transferencias o comunicaciones nacionales e internacionales de datos personales.
SPDP-SPD-2026-0005-R. Tratamiento de datos personales a gran escala.
SPDP-SPD-2026-0009-R, reformada por SPDP-SPD-2026-0037-R. Protección de datos personales en sistemas de inteligencia artificial.
SPDP-SPD-2026-0039-R. Tratamiento de datos biométricos.
SPDP-SPD-2026-0040-R. Notificación de vulneraciones de seguridad de datos personales.
Se observarán, además, las normas vigentes sobre atención de peticiones y denuncias ante la SPDP y las obligaciones sectoriales, tributarias, laborales y societarias que resulten efectivamente aplicables. La enumeración no limita la prevalencia de reformas posteriores.
Referencias de consulta y soporte documental
El texto de la LOPDP, el Reglamento General y las resoluciones se consultan en los repositorios oficiales de la SPDP y del Registro Oficial. Los artículos 12 a 21 y 24 de la LOPDP sustentan la información y el ejercicio de derechos; los artículos 25 a 30, las categorías especiales; los artículos 37 y siguientes, las obligaciones de seguridad y responsabilidad; y los artículos 43, 46 y 48, las reglas pertinentes de incidentes y delegado.
La identificación, domicilio y teléfono se toman del certificado RUC de VAMOSPAGO S.A. emitido el 26 de agosto de 2026, disponible en el expediente corporativo. El correo de privacidad se establece por instrucción de la Compañía.
Los límites internos de seis y doce meses, los objetivos operativos de atención y el esquema de coordinación son decisiones de política corporativa propuestas; no se presentan como plazos legales generales. El deber de conservación tributaria de siete años se refiere únicamente a la documentación sometida a ese régimen.
Fuentes de consulta (link)
