Evaluación de ponderación del interés legítimo
Prospección comercial B2B con datos públicos de la Superintendencia de Compañías (Valuanto Radar)
| Control del documento | |
|---|---|
| Versión | 1.1 (4-oct-2026: domicilio, teléfono y representante legal del responsable; política de privacidad 2026-10-04.2) |
| Fecha de elaboración | 4 de octubre de 2026 |
| Estado | Lista para la firma del representante legal del responsable. No se ha enviado ningún correo de prospección. |
| Próxima revisión obligatoria | A más tardar el 4 de octubre de 2027 (Res. SPDP-SPD-2025-0041-R, art. 18), o antes si cambian la finalidad, las categorías de datos, los titulares o los riesgos (pierde vigencia automáticamente en esos casos) |
| Marco | Ley Orgánica de Protección de Datos Personales (LOPDP), arts. 2, 7, 9, 10, 12, 16 y 55-60; Resolución SPDP-SPD-2025-0041-R (Normativa general para la aplicación del interés legítimo, R. O. 177, 3-dic-2025) y su Anexo 1; Ley de Comercio Electrónico, Firmas y Mensajes de Datos, art. 50, y su Reglamento, art. 22 |
| Metodología | Anexo 1 de la Res. SPDP-SPD-2025-0041-R, en sus cinco etapas. Se usa la evaluación completa, no la simplificada |
| Firma | La declaración final la firma el representante legal del responsable (Anexo 1). No requiere firma de abogado |
1. Datos del responsable del tratamiento
- Nombre o razón social: FINACECO S.A.S, que presta sus servicios bajo la marca Valuanto by Spingarn.
- RUC: 1793195198001
- Dirección: Av. José Luis Tamayo N24-33 y Baquerizo Moreno, Quito, Pichincha, Ecuador (Directorio de Compañías de la Supercias; situación legal ACTIVA; RUC ACTIVO en el catastro del SRI)
- Teléfono: +593 2 255 4473
- Representante legal: Daniel Narvaez Pacheco, Gerente General (Directorio de Compañías de la Supercias)
- Correo electrónico de contacto: privacidad@valuanto.ec
2. Tratamiento de datos evaluado
- Actividad del tratamiento: prospección comercial B2B por correo electrónico ("Valuanto Radar") dirigida a pequeñas y medianas compañías ecuatorianas, a partir de su información financiera pública.
- Finalidad declarada: ofrecer a cada compañía, a través de su representante legal o de su buzón corporativo, servicios de diagnóstico y valoración de empresas relacionados con su propia información financiera.
- Base legal invocada: interés legítimo (LOPDP, art. 7, num. 8), en la modalidad de mercadotecnia directa (Res. SPDP-SPD-2025-0041-R, art. 11). Los datos de contacto provienen de fuentes de acceso público (art. 7, num. 7, y art. 2, último inciso).
- Fecha prevista de inicio: después de (i) la firma de esta evaluación y (ii) el cumplimiento de las medidas marcadas como "antes del primer envío" en la etapa 4. Referencia: piloto con 20 compañías previsto para noviembre de 2026.
- Áreas involucradas: dirección comercial (Daniel Narvaez Pacheco) y los procesos automatizados del servicio Valuanto (bot de prospección y bot de cumplimiento).
- Tiempo previsto de conservación: hasta 12 meses desde el último contacto o hasta la oposición del titular, lo que ocurra primero. La lista de supresión conserva solo el correo, la fecha y el origen de la baja, mientras exista actividad de envío, con el único fin de no volver a escribir.
ETAPA 1. Idoneidad del interés legítimo
a) Interés que motiva el tratamiento
i. ¿A qué situación o problema específico responde? Las compañías ecuatorianas necesitan un valor fundamentado de sus acciones o participaciones en momentos que la ley regula y que suelen llegar sin aviso: cuando un socio ejerce su derecho de separación y no hay acuerdo sobre el precio, valora un perito designado por la Superintendencia (Ley de Compañías, art. 334); cuando se aporta un bien al capital por encima de su valor real, los socios responden solidariamente por la diferencia durante 5 años (art. 162); también en ventas o herencias de acciones, sucesiones y créditos. Muchas pymes no saben que el servicio existe ni cuánto cuesta. FINACECO, bajo la marca Valuanto by Spingarn, presta ese servicio y tiene un interés comercial real, actual y concreto en ofrecerlo a quienes pueden necesitarlo. El ofrecimiento se basa en un análisis de la información que las propias compañías publican en la Superintendencia.
ii. ¿En qué lugar o contexto se desarrolla? En un entorno digital. Se envían correos electrónicos individuales a buzones profesionales de compañías domiciliadas en Pichincha y Guayas. Los datos de la compañía provienen de las descargas públicas de la Superintendencia de Compañías, Valores y Seguros (ranking, Directorio de Compañías) y del catastro RUC del SRI. El correo profesional proviene del sitio web de la propia compañía o de un proveedor especializado que documenta la página pública donde lo encontró.
iii. ¿A quiénes afecta directamente? A los representantes legales (gerentes generales y presidentes) de pymes, segmentos pequeña y mediana de la Superintendencia, en su calidad de tales. Cuando se usa un buzón genérico (info@, gerencia@), no se identifica a una persona natural.
b) Legitimación (licitud)
Declaro que el interés legítimo invocado, consistente en ofrecer servicios profesionales de diagnóstico y valoración a compañías a partir de su información pública, no tiene por objeto la realización de actividades prohibidas por la normativa vigente ni persigue el incumplimiento de obligaciones legales o reglamentarias, y que se ajusta a los principios y derechos reconocidos en la Ley Orgánica de Protección de Datos Personales, en la Resolución SPDP-SPD-2025-0041-R y en la Ley de Comercio Electrónico, Firmas y Mensajes de Datos.
Verificación de los requisitos del art. 4 de la Resolución:
| Requisito | Cómo se cumple |
|---|---|
| 4.1 Lícito | La mercadotecnia directa es un supuesto admitido (art. 11). La actividad es el giro ordinario del responsable |
| 4.2 Real y concreto | Servicio existente con precios publicados (Exprés USD 249, Plus USD 490 y Pericial USD 990, + IVA). Destinatarios determinados uno a uno con datos verificables |
| 4.3 Proporcional | Solo nombre, cargo y correo profesional; sin teléfonos, direcciones ni datos sensibles; máximo 3 correos; baja inmediata |
| 4.4 Compatible con las expectativas | La política de privacidad (versión 2026-10-04.2, sección 3) describe esta actividad antes del primer envío. El primer correo informa todo lo que exige el art. 12 de la LOPDP. La expectativa se extingue con la oposición, que se aplica de inmediato |
c) Especificidad (concreto)
- ¿QUÉ? Tratamiento del nombre, los apellidos y el cargo del representante legal (Directorio de Compañías de la Superintendencia) y de un correo electrónico profesional (buzón corporativo o correo profesional publicado), junto con la razón social, el RUC y los indicadores financieros públicos de la compañía. Acciones: combinarlos en un mensaje personalizado y enviarlo por correo.
- ¿CUÁNDO? En días hábiles, con un máximo de 50 compañías por día. Secuencia de hasta 3 correos por compañía (días 0, 4 y 10) y luego silencio. Se detiene antes si hay respuesta o baja. Los datos se conservan hasta 12 meses desde el último contacto.
- ¿PARA QUÉ? Con el único fin de ofrecer a la compañía, sobre su propia información, el Radar gratuito y los servicios de valoración de Valuanto by Spingarn. No se usan para otra finalidad ni se ceden.
ETAPA 2. Necesidad del tratamiento
1. Tratamiento imprescindible. Para ofrecer un servicio a una compañía hay que poder dirigirse a ella. El correo profesional del representante o de la compañía es el canal menos invasivo que permite un mensaje individual, sobre la propia empresa, y que el destinatario puede ignorar o rechazar con un clic. El nombre y el cargo permiten dirigir el mensaje a quien decide sobre el capital de la compañía y evitar envíos a destinatarios irrelevantes.
2. Alternativas menos intrusivas evaluadas.
| Alternativa | Resultado |
|---|---|
| Solo canales con consentimiento (Radar en la web con registro voluntario, boletín, anuncios de búsqueda, alianzas con gremios y contadores) | Se usan en paralelo y son la prioridad a largo plazo, pero no llegan a la mayoría de pymes que no buscan activamente el servicio. No sustituyen el contacto directo en el lanzamiento |
| Buzón genérico de la compañía (info@, contacto@) en lugar del correo nominal | Adoptada como regla preferente: primero el buzón corporativo publicado; el correo nominal profesional solo si la compañía no publica otro |
| Llamadas telefónicas, WhatsApp o SMS | Descartadas: son más intrusivas, interrumpen y la API de WhatsApp exige opt-in previo. La base excluye a propósito los teléfonos |
| Comprar bases de datos de terceros | Descartada: origen no acreditable y mayoría de correos personales (fuentes-correos.md, fila 14) |
| Extraer contactos de LinkedIn o de directorios de cámaras | Descartada: contraviene las condiciones de esas plataformas y la finalidad de esos directorios |
| Correo postal a la dirección de la compañía | Descartada por costo y porque implica tratar direcciones físicas sin ganancia de privacidad |
3. Consecuencias de no implementar el tratamiento. Las pymes que más necesitan un valor fundamentado (las que enfrentan una salida de socio, un aporte en especie o una sucesión) seguirían sin conocer una alternativa accesible y llegarían a esos momentos sin un valor técnico. Para el responsable, el lanzamiento dependería solo de canales pagados y de crecimiento lento, lo que pondría en riesgo la viabilidad del servicio.
ETAPA 3. Ponderación
Módulo de verificación: ausencia de categorías especiales
Declaración. El tratamiento de datos personales para la prospección comercial B2B de Valuanto Radar no involucra categorías especiales de datos personales conforme al art. 25 de la LOPDP. Se limita al uso de datos identificativos básicos y de contacto profesional (nombres, apellidos, cargo y correo electrónico profesional), estrictamente necesarios para dirigir una oferta de servicios a la compañía que representa el titular. No se recaban ni procesan datos sensibles, de salud, de niñas, niños y adolescentes ni relativos a discapacidad.
Se continúa con la etapa 4. Además, se documenta el análisis del art. 6.3 de la Resolución:
| Aspecto (art. 6.3) | Análisis |
|---|---|
| 6.3.1 Naturaleza de los datos | Básicos y profesionales. El art. 2 de la LOPDP (último inciso) los declara accesibles al público y susceptibles de tratamiento cuando se refieren al ejercicio del cargo. Las cifras de la compañía no son datos personales (art. 2, lit. g) |
| 6.3.2 Categorías de titulares | Adultos en ejercicio de un cargo de representación societaria. No son grupos vulnerables. Sin datos de menores |
| 6.3.3 Contexto y expectativas razonables | Quien representa una compañía sabe que su nombre y cargo constan en el registro público de la Superintendencia y que su correo profesional se usa para recibir propuestas relacionadas con la compañía. El mensaje trata solo de su propia empresa, usa información que la compañía misma presentó y llega a un buzón profesional. Existe una expectativa razonable de contacto (art. 11.3.2) |
| 6.3.4 Volumen y transferencias | Base de 31.181 pymes; el envío se limita al piloto de 20 compañías y luego a las ~2.200 de prioridad A, con un máximo de 50 por día. Encargados: servicio de envío de correo y, de forma opcional, un proveedor de localización de correos publicados. Ambos pueden estar fuera de Ecuador; se exigen garantías adecuadas (LOPDP, arts. 55 a 60) y un contrato de encargo |
| 6.3.5 Gestión de riesgos | Ver la tabla siguiente y las medidas de la etapa 4 |
Riesgos identificados
| Riesgo | Probabilidad | Impacto | Mitigación (etapa 4) | Riesgo residual |
|---|---|---|---|---|
| Molestia por correos no deseados | Media | Bajo | Máximo 3 toques, baja en un clic con efecto inmediato, respuesta "BAJA", tope de 50 por día, corte si las bajas superan el 2 % | Bajo |
| Volver a escribir a quien se opuso | Baja | Medio | Lista de supresión global consultada por el sistema inmediatamente antes de cada envío; pruebas automáticas que lo verifican | Muy bajo |
| Usar un correo personal o de origen no documentado | Media | Medio | El sistema omite filas sin origen ni base legal registrados y bloquea dominios personales | Bajo |
| Falta de transparencia | Baja | Medio | Aviso completo (art. 12 LOPDP) en el primer correo y aviso corto en los siguientes; política de privacidad con sección específica; esta evaluación disponible para el titular | Bajo |
| Exposición de información financiera sensible para la compañía | Baja | Medio | El rango de valor no se adjunta en frío; el Radar se entrega solo a quien responde desde el dominio de la compañía o verifica su RUC | Bajo |
| Seguimiento o perfilado invasivo | Baja | Bajo | Sin píxeles de apertura. El puntaje de prioridad se refiere a la compañía y no produce efectos jurídicos (art. 11.3 y 16.3) | Muy bajo |
| Fuga de datos o acceso no autorizado | Baja | Medio | Acceso restringido, cifrado en tránsito, mínimo de datos, borrado a los 12 meses | Bajo |
| Transferencia internacional sin garantías | Media | Medio | Contratos de encargo y verificación de las garantías del proveedor antes del primer envío | Bajo |
Cumplimiento de los requisitos de mercadotecnia directa (Res. 0041, art. 11) y prohibiciones (art. 16)
| Requisito | Cumplimiento |
|---|---|
| 11.1 No afecta derechos ni libertades fundamentales | Mensaje profesional, sin datos sensibles, con oposición inmediata |
| 11.2 Sin datos de menores ni sensibles | Cumple (declaración de la etapa 3) |
| 11.3 Relación previa o expectativa razonable de contacto, información previa | Expectativa razonable (6.3.3). Información previa en la política de privacidad y en el propio primer correo |
| 11.4 Mecanismo visible, gratuito y eficaz de oposición en cada comunicación, con efecto inmediato y sin justificación | Enlace de baja en cada correo; encabezados List-Unsubscribe y List-Unsubscribe-Post (One-Click); respuesta "BAJA"; supresión inmediata |
| 16.1-16.4 Prohibiciones | No hay datos sensibles ni categorías especiales, ni perfiles con efectos jurídicos, ni datos de menores |
| 16.5 Reutilización masiva con finalidad incompatible | La propia norma exceptúa la mercadotecnia directa del art. 11. Además, el volumen está acotado y el mensaje se refiere solo a la propia compañía |
| LCE, art. 50, y Reglamento, art. 22 | Remitente identificado, nota sobre el derecho a no recibir más mensajes, mecanismo de baja y cese inmediato del envío al recibir la solicitud |
Balance. Para el titular, el impacto es bajo: recibe a lo sumo tres correos profesionales sobre su propia compañía, con toda la información y la posibilidad de detenerlos con un clic. El interés del responsable es legítimo y concreto, y la compañía obtiene información útil sin costo (el Radar). Con las medidas de la etapa 4, el interés legítimo no prevalece sobre los derechos del titular, sino que es compatible con ellos.
ETAPA 4. Medidas de seguridad y mitigación
Todas las medidas se aplican antes o durante el tratamiento. Las marcadas con ⚠ deben estar completas antes del primer envío.
| Riesgo | Medida | Tipo | Descripción | Evidencia |
|---|---|---|---|---|
| Volver a escribir a quien se opuso | Lista de supresión global | Técnica | Tabla supresion compartida por todos los procesos; correo.enviar_comercial() la consulta inmediatamente antes de cada mensaje y lanza Suprimido si el correo está en ella |
servicio/db.py, servicio/correo.py; prueba test_baja_en_un_clic_y_supresion |
| Molestia / oposición | Baja en un clic | Técnica e informativa | Token por destinatario; enlace /baja/<token> en cada correo; POST One-Click (RFC 8058); la página de baja no exige justificación ni datos |
servicio/app.py (/baja/{token}); pruebas automáticas |
| Oposición por respuesta | Respuesta "BAJA" | Técnica y organizativa | Detector de respuestas de baja que suprime al remitente | correo.es_respuesta_de_baja, Servicio.baja_por_respuesta |
| Falta de transparencia | Aviso en el primer correo | Informativa | Pie completo con todos los datos del art. 12 de la LOPDP (finalidad, base, origen del correo, conservación, derechos, responsable, ponderación) | config/outreach_radar.yaml |
| Falta de transparencia | Política de privacidad | Informativa | Versión 2026-10-04.2, sección 3 (datos públicos de la Supercias y prospección B2B), con domicilio y teléfono del responsable, versionada con huella SHA-256 | landing/legal/privacidad-2026-10-04.2.html, landing/legal/manifiesto.json |
| Origen no documentado | Registro de origen | Técnica y administrativa | Columnas fuente_correo, fecha_verificacion_correo y base_legal_registrada; el sistema omite cualquier fila que no las tenga |
servicio/outreach_radar.py; prueba test_outreach_radar_respeta_supresion_y_reglas |
| Correos personales | Filtro de dominios | Técnica | Se bloquean gmail.com, hotmail.com, outlook.com, yahoo.com y otros dominios personales | config/outreach_radar.yaml |
| Exceso de contactos | Topes | Técnica | Máximo 50 por día y 3 toques; la secuencia se detiene si el titular responde | config/outreach_radar.yaml |
| Perfilado invasivo | Sin píxeles de seguimiento | Técnica | Los correos son de texto, sin píxeles de apertura | servicio/correo.py |
| Exposición de información sensible | Sin rango de valor en frío | Organizativa | El teaser con el rango solo se entrega a quien responde desde el dominio de la compañía o verifica su RUC | outreach.md, regla 7 |
| Minimización | Datos mínimos | Técnica | La base excluye teléfonos y direcciones del Directorio | scripts/construir_base.py |
| Conservación excesiva | Borrado a los 12 meses | Administrativa | Borrar la base de prospección y los datos de contacto 12 meses después del último contacto; la supresión conserva solo correo, fecha y origen | Procedimiento en esta evaluación (automatización pendiente en scripts/purgar_datos.py) |
| Bloqueo de envío sin requisitos | Bloqueantes automáticos | Técnica | En modo producción, el sistema no envía si faltan la dirección o el teléfono del responsable o si esta evaluación no está firmada (la dirección y el teléfono ya están completos) | outreach_radar.bloqueantes() |
| Uso indebido por personal | Acceso restringido | Organizativa | Solo Daniel Narvaez tiene acceso a la base y al panel de administración (token de administrador) | servicio/app.py (dependencia admin) |
| ⚠ Fuga por terceros | Contratos de encargo | Jurídica | Contrato o DPA con el servicio de envío y el proveedor de localización de correos, con confidencialidad, seguridad y aviso de incidentes | Pendiente: copia de los contratos firmados |
| ⚠ Suplantación del remitente | Autenticación del dominio | Técnica | SPF, DKIM y DMARC en el dominio de envío; DKIM debe cubrir los encabezados List-Unsubscribe | Pendiente: dominio sin registrar |
| Información completa del responsable | Datos de contacto | Informativa | Domicilio y teléfono del responsable en la política de privacidad y en el pie de cada correo (config/productos.yaml) |
Hecho (privacidad 2026-10-04.2) |
| Cambios no evaluados | Revisión | Organizativa | Revisión anual y cada vez que cambie la finalidad, los datos, los titulares o los riesgos; corte del piloto si las bajas superan el 2 % | Esta evaluación (control del documento) |
ETAPA 5. Conclusión y resultado
Con base en el análisis realizado, se concluye que el interés legítimo aplicado garantiza los derechos y libertades de los titulares, debido a que el tratamiento se limita a datos profesionales de acceso público, se dirige a la compañía que el titular representa, informa todo lo exigido por la LOPDP desde el primer contacto y ofrece una oposición gratuita, visible e inmediata en cada comunicación, además de las demás medidas de la etapa 4. El tratamiento es admisible bajo esta base legal, a condición de que las medidas marcadas con ⚠ estén completas antes del primer envío.
Declaración final y conservación
Declaro que esta evaluación refleja fielmente el tratamiento descrito y que las medidas indicadas se aplicarán antes y durante el tratamiento.
- Fecha de elaboración: 4 de octubre de 2026
- Nombre y cargo: Daniel Narvaez Pacheco, Gerente General y representante legal de FINACECO S.A.S
- Firma y sello institucional: ____ (firma electrónica con FirmaEC)
Esta evaluación y sus anexos se conservan en el registro interno de evaluaciones de ponderación durante al menos cinco años, o mientras dure el tratamiento y dos años más, lo que resulte mayor. Están disponibles, en formato físico y electrónico, para el titular y para la Superintendencia de Protección de Datos Personales (Res. 0041, arts. 9 y 18). Solicitudes: privacidad@valuanto.ec.
Índice de anexos
| N.º | Anexo | Ubicación |
|---|---|---|
| A1 | Política de privacidad, versión 2026-10-04.2, con su huella SHA-256 | valuanto/landing/legal/privacidad-2026-10-04.2.html y manifiesto.json |
| A2 | Plantillas de la secuencia y avisos de privacidad del correo | valuanto/config/outreach_radar.yaml; negocios/radar/outreach.md |
| A3 | Fuentes de datos y de correos, con su análisis legal | negocios/radar/README.md; negocios/radar/fuentes-correos.md |
| A4 | Implementación de la baja en un clic, la supresión y los topes | valuanto/servicio/correo.py, servicio/db.py, servicio/app.py, servicio/outreach_radar.py |
| A5 | Pruebas automáticas que verifican las medidas | valuanto/tests/test_legal_descuentos_bajas.py |
| A6 | Criterios de la base y del puntaje (minimización) | valuanto/config/radar.yaml; negocios/radar/scripts/construir_base.py |
| A7 | Contratos de encargo con proveedores | Pendiente (antes del primer envío) |
| A8 | Texto de la Res. SPDP-SPD-2025-0041-R y su Anexo 1 | https://spdp.gob.ec/wp-content/uploads/2025/11/41.01.01-SPSP-SPD-2025-0041-R-Normativa-general-para-la-aplicacion-del-interes-legitimo-y-su-anexo.pdf |