Cuándo usar correo, nube o CRM de un proveedor extranjero significa transferir datos al exterior, qué mecanismo lo legitima y qué notificar a la SPDP antes del 13 de febrero de 2027.
Actualizado: 26 de octubre de 2026 · Autor: Ab. Juan Alberto Gómez Benalcázar · Revisado por: Ab. Emilie Arline Donoso Ibarra, Abogada Senior · Aprobado por: Ab. Juan Alberto Gómez Benalcázar
Usar correo, nube o un CRM en el extranjero no es, en sí, una transferencia internacional. Si el proveedor trata los datos solo por cuenta de su empresa, es un encargo. Hay transferencia cuando un destinatario en el exterior usa los datos para fines propios; si ya existía, se notifica a la SPDP hasta el 13 de febrero de 2027.
¿Qué es una transferencia internacional de datos según la LOPDP?
La transferencia o comunicación es cualquier forma de revelar datos personales a una persona distinta del titular, el responsable o el encargado (artículo 4 de la Ley Orgánica de Protección de Datos Personales, LOPDP). Por lo tanto, la transferencia internacional de datos es esa operación con un destinatario en otro país.
La regulan los artículos 55 a 61 de la LOPDP, 71 a 78 del Reglamento General y la Resolución SPDP-SPD-2026-0004-R. Se firmó el 28 de enero de 2026 y salió en el Tercer Suplemento del Registro Oficial 225, del 13 de febrero de 2026.
Para revisar todo su programa, vea el servicio de cumplimiento de protección de datos personales en Ecuador.
¿Usar una nube o un CRM extranjero es transferir datos al exterior?
Depende del papel del proveedor, no del país. Si solo presta un servicio y sigue sus instrucciones, es su encargado y no hay transferencia.
El encargado del tratamiento trata datos "a nombre y por cuenta" de un responsable (artículo 4 de la LOPDP). Además, el artículo 34 excluye de la transferencia el acceso del encargado para prestar un servicio. Por su parte, el artículo 23 de la Res. 0004-R lo confirma: "el encargo de tratamiento no constituye una transferencia ni comunicación de datos personales".
Sin embargo, el encargo exige un contrato que limite el uso a sus instrucciones, prohíba comunicar los datos y prevea su devolución o destrucción (artículo 34). Por eso, vea qué incluir en el contrato de encargo con el proveedor. En suma, ni toda nube extranjera es ilegal ni un encargo queda libre de obligaciones.
¿Cómo verificar en el contrato del proveedor qué papel cumple?
En el acuerdo de tratamiento de datos (DPA) y en los términos del servicio, no en la publicidad. Dónde guarda los datos cada proveedor se comprueba en su contrato vigente, no se presume.
- Rol declarado: si se define como encargado o como responsable de algún tratamiento.
- Usos propios: mejora de productos, analítica, publicidad o enriquecimiento de bases. Ese uso ya no es encargo.
- Ubicación: países donde aloja y procesa, y si usted puede elegir región.
- Subencargados: lista, países y aviso previo de cambios.
- Soporte remoto: desde qué países accede el personal técnico.
- Salida: devolución y borrado al terminar.
¿Qué mecanismos permiten transferir datos al exterior?
Cuando sí hay transferencia, la ley ofrece nivel adecuado, garantías adecuadas, autorización de la SPDP y casos excepcionales. Además, la Res. SPDP-SPD-2025-0024-R ordena aplicar también el capítulo V de la LOPDP: el artículo 33 pide base legal y consentimiento, salvo las excepciones del artículo 36.
| Mecanismo | Cuándo sirve | Qué documento necesita | Base legal |
|---|---|---|---|
| Nivel adecuado | Destino declarado adecuado por la SPDP | Comprobar que figura en el listado y no está revocado | Art. 56 LOPDP; arts. 71-73 Reglamento; art. 18 Res. 0004-R |
| Régimen Intra-CAN | Destinatario en otro país de la Comunidad Andina, como Colombia | Contratos, políticas y análisis de riesgos; información al titular | Arts. 59-61 Res. 0004-R |
| Cláusulas modelo de la RIPD | Destino sin nivel adecuado; transferencia entre responsables | Cláusulas del Anexo I de la Res. 0004-R, firmadas | Art. 57 LOPDP; arts. 20-22 Res. 0004-R |
| Normas corporativas vinculantes | Transferencias dentro de un grupo empresarial | Normas aprobadas por la SPDP | Art. 58 LOPDP; arts. 75-76 Reglamento; arts. 28-34 Res. 0004-R |
| Códigos de conducta o certificación | Compromisos vinculantes aprobados o reconocidos | Código aprobado o certificación | Art. 74 Reglamento; arts. 35-48 Res. 0004-R |
| Autorización de la SPDP | Ningún mecanismo anterior aplica | Solicitud con análisis de riesgos y evaluación de impacto; vigencia máxima de un año | Art. 59 LOPDP; art. 77 Reglamento; arts. 49-58 Res. 0004-R |
| Casos excepcionales | Supuestos tasados, como contrato con el titular, obligación legal o consentimiento explícito | Prueba del supuesto concreto | Art. 60 LOPDP |
Además, la Res. 0004-R no declara adecuado ningún país, salvo los de la Comunidad Andina (artículo 59). Asimismo, toda garantía exige que el destinatario acepte la competencia de la SPDP y de los tribunales ecuatorianos (artículo 21.6).
¿Qué hay que notificar a la SPDP antes de transferir datos al exterior?
Hay dos obligaciones distintas: la notificación de regularización y el registro permanente.
La primera disposición transitoria alcanza a las transferencias hechas antes de la LOPDP o de la propia resolución. En ella, su empresa indica destinatario y país, categorías de datos, finalidad e instrumento que la respalda. Además, adjunta un plan de adecuación con medidas de control, el mecanismo elegido y un plazo máximo de implementación.
Para el registro, el artículo 64 distingue:
- Caso por caso: autorizaciones e Intra-CAN, con un término mínimo de diez días antes de la operación o, si es continua, desde su inicio.
- Reporte consolidado anual: nivel adecuado o garantías adecuadas, dentro del primer trimestre de cada año.
Sin embargo, la resolución no fija canal para la notificación transitoria y da a la SPDP doce meses para implementar el portal del Registro Nacional (cuarta transitoria). Por eso, conviene presentarla por escrito, guardar el acuse y revisar si el sistema SISPDP ya habilitó la opción. Asimismo, el respaldo de cada transferencia se conserva al menos tres años (artículo 4).
¿Cuál es la fecha límite y cómo se cuenta?
Es el 13 de febrero de 2027: la norma entró en vigor al publicarse en el Registro Oficial y concede doce meses contados desde esa vigencia.
El cálculo: 13 de febrero de 2026 + 12 meses, de fecha a fecha (artículo 160 del Código Orgánico Administrativo) = 13 de febrero de 2027, sábado. Por lo tanto, lo prudente es presentar a más tardar el viernes 12 de febrero.
Mientras corre el plazo, no hay sanción si su empresa notifica, presenta y ejecuta el plan (segunda transitoria). En cambio, vencido el plazo, lo no regularizado queda expuesto a sanciones y medidas correctivas (tercera transitoria). En nuestra lectura, una transferencia iniciada después del 13 de febrero de 2026 debe cumplir desde el primer día.
¿Sigue vigente la Resolución 2025-0024-R?
Sí, porque la Res. 0004-R no tiene disposición derogatoria ni contradice a la 0024-R, firmada el 25 de julio de 2025, que ordena aplicar juntos los capítulos V y IX de la LOPDP.
¿Puede convertir a su empresa en tratamiento a gran escala?
Sí puede: según el texto de la Res. SPDP-SPD-2026-0005-R, el artículo 14.6 califica directamente como gran escala las transferencias sistemáticas que formen flujos continuos, con evaluación de impacto, delegado y medidas reforzadas (artículo 12). En nuestra lectura, un encargo puro no entra ahí, pero conviene aplicar el modelo de gran escala y revisar si toca una evaluación de impacto.
Ejemplo hipotético: Kuntur Software Cía. Ltda.
Kuntur Software Cía. Ltda. (ficticia) desarrolla software en Quito con 40 personas y usa correo y nube de un proveedor global, un CRM alojado en Estados Unidos y un equipo de soporte contratado en Colombia.
| Flujo | Qué dice el contrato | Calificación | Qué hace Kuntur |
|---|---|---|---|
| Correo y nube | Actúa como encargado, sin fines propios | Encargo | Archiva el DPA y la lista de subencargados |
| CRM en Estados Unidos | Encargado, pero puede usar los contactos para su propia base | Encargo, salvo ese uso propio, que es transferencia | Desactiva el uso propio o firma cláusulas modelo de la RIPD |
| Soporte en Colombia | Atiende tickets por cuenta de Kuntur | Encargo | Firma contrato de encargo |
Si Kuntur mantiene el uso propio del CRM, esa transferencia ya existía antes de febrero de 2026. En consecuencia, la notifica con su plan antes del 13 de febrero de 2027 y luego la incluye en el reporte anual. En cambio, si cediera clientes a la empresa colombiana para fines propios, aplicaría el régimen Intra-CAN con inscripción previa.
Calendario hacia el 13 de febrero de 2027
| Fecha | Qué hacer | Tipo |
|---|---|---|
| 27 de noviembre de 2026 | Inventario de herramientas | Recomendación |
| 18 de diciembre de 2026 | Contratos leídos y flujos calificados | Recomendación |
| 22 de enero de 2027 | Cláusulas firmadas y plan de adecuación aprobado | Recomendación |
| 29 de enero de 2027 | Notificación y plan presentados | Recomendación |
| 13 de febrero de 2027 (sábado) | Vence el plazo de la primera transitoria | Plazo legal |
| Primer trimestre de cada año | Reporte consolidado anual (art. 64.3) | Plazo legal |
Checklist para TI y legal antes de transferir datos al exterior
☐ Inventario de proveedores, con país de alojamiento y de soporte según su contrato.
☐ DPA vigente archivado para cada proveedor.
☐ Calificación escrita de cada flujo: encargo o transferencia.
☐ Usos propios del proveedor revisados y, si procede, desactivados.
☐ Mecanismo y documento para cada transferencia real.
☐ Aviso de privacidad que informe las transferencias.
☐ Notificación y plan presentados, con acuse.
☐ Respaldo conservado al menos tres años.
¿Qué debería hacer su empresa ahora?
Plazos legales (norma):
- Notificar a la SPDP las transferencias anteriores, con su plan, hasta el 13 de febrero de 2027 (primera transitoria de la Res. 0004-R).
- Inscribir caso por caso las autorizaciones y los flujos Intra-CAN (artículo 64.2).
- Presentar el reporte anual en el primer trimestre (artículo 64.3).
Recomendaciones operativas:
- Terminar el inventario antes de diciembre, sin esperar al portal.
- Revisar los contratos tecnológicos con TI y legal en la misma mesa.
- Presentar con dos semanas de margen.
La matriz de encargados y transferencias es un documento base en las más de 130 implementaciones LOPDP que hemos acompañado. Si desarrolla tecnología, vea protección de datos para empresas de software y apps.
Fuentes oficiales para transferir datos al exterior
- Ley: LOPDP, Quinto Suplemento del Registro Oficial 459, 2021
- Reglamento: Reglamento General a la LOPDP, Registro Oficial 435
- Transferencias: Resolución SPDP-SPD-2026-0004-R, texto firmado
- Publicación: Tercer Suplemento del Registro Oficial 225
- Gran escala: Resolución SPDP-SPD-2026-0005-R
- Cómputo: Código Orgánico Administrativo, artículo 160
¿Duda si sus herramientas son encargo o transferencia? Solicitar un diagnóstico inicial, sin costo y con respuesta el mismo día hábil, o escríbanos por WhatsApp.