1. Inventario de datos. Sabemos qué datos personales tratamos, de quién, para qué y dónde se guardan.
2. Registro de Actividades de Tratamiento (RAT). Está documentado y actualizado.
3. Base legal. Cada tratamiento tiene una base de legitimación (consentimiento, contrato, obligación legal, interés legítimo…).
4. Consentimiento válido. Cuando se usa, es libre, específico, informado e inequívoco, y podemos demostrarlo.
5. Aviso de privacidad. Informamos a los titulares cómo tratamos sus datos (web, formularios, contratos).
6. Derechos de los titulares. Tenemos un procedimiento para atender acceso, rectificación, eliminación, oposición y portabilidad dentro de plazo.
7. Delegado de Protección de Datos. Evaluamos si estamos obligados a designarlo y, si aplica, está designado.
8. Proveedores. Los contratos con quienes acceden a nuestros datos (nube, marketing, nómina, software) incluyen cláusulas de protección de datos.
9. Seguridad. Aplicamos medidas técnicas y organizativas (accesos, respaldos, cifrado, contraseñas).
10. Brechas de seguridad. Tenemos un plan para detectar incidentes y notificar a la Superintendencia dentro del plazo legal.
11. Evaluación de impacto. Realizamos EIPD para tratamientos de alto riesgo (datos sensibles, decisiones automatizadas, vigilancia).
12. Capacitación. Nuestro personal conoce sus obligaciones en protección de datos.
Es normal: la mayoría de empresas en Ecuador aún está en proceso de adecuación. Un Diagnóstico LOPDP le dice exactamente qué corregir primero y cuánto riesgo tiene hoy.
Este checklist es orientativo y no sustituye una asesoría legal personalizada.
