Antes de confiar en una herramienta de trabajo, evalúa sus riesgos: la lección que deja WhatsApp

Es una pregunta que me imagino que muchos negocios se hacen sin decirlo en voz alta, sobre todo cuando ven pasar una noticia como la de WhatsApp y Ecuador, pensando que «eso es problema de Meta, no mío, yo solo uso la app para hablar con mis clientes», y aunque entiendo la lógica, mientras más lo pienso, más me convenzo de que la pregunta que realmente importa aquí ni siquiera es sobre WhatsApp, sino una que casi ninguna empresa se detiene a hacerse: ¿qué tan seguras son, en el fondo, las herramientas que usas todos los días para atender a tus clientes?

El caso que disparó la pregunta

A finales de 2025, un grupo de investigadores de seguridad encontró que era posible identificar más de 16 millones de cuentas activas de WhatsApp en Ecuador, y en casi la mitad de los casos, también su foto de perfil, aprovechando «Descubrir contactos», una función pensada para avisarte si un número guardado tiene cuenta en la app, pero que también podía consultarse de forma masiva y automatizada, sin que hubiera ningún servidor hackeado ni contraseñas robadas, siendo el tipo de situación que puede aparecer en cualquier aplicación con millones de usuarios, ante lo cual la compañía reaccionó rápido, corrigió el mecanismo y aclaró que no tiene evidencia de que alguien lo haya aprovechado antes de que se lo reportaran.

Si tu empresa usa esa misma app para confirmar pedidos o responder dudas, los números de tus clientes también estaban, en teoría, dentro de ese universo de cuentas, lo cual no significa que debas dejar de usarla, ni que sea mala idea para tu negocio, sino que este es un buen momento para preguntarte si tu empresa tiene, aunque sea de forma simple, un proceso para hacerse esta pregunta con cualquier herramienta que use.

Podría quedarme ahí, contándote el caso puntual, pero lo interesante no es esa aplicación en particular, sino la pregunta que este tipo de casos deja abierta para cualquier empresa que trabaje con datos de clientes a través de herramientas de terceros.

La pregunta que casi nadie se hace a tiempo

Muchas empresas eligen sus herramientas de trabajo, ya sea una app de mensajería, un CRM, un sistema de facturación o un proveedor de almacenamiento en la nube, pensando en funcionalidad, precio o simplemente en lo que ya usa la competencia, sin que rara vez alguien se pregunte, antes de adoptarlas, qué le pasaría a la información de sus clientes si esa herramienta tuviera una falla de seguridad.

Y aquí es donde muchas empresas se equivocan, pues piensan que su responsabilidad como responsable del tratamiento de datos personales termina en la puerta de su propio sistema, cuando la Ley Orgánica de Protección de Datos Personales no funciona así, ya que si decides atender a tus clientes, almacenar su información o procesarla a través de una herramienta externa, sigues siendo responsable de pensar en los riesgos que esa herramienta le trae a esa información, sin que puedas simplemente delegarle esa preocupación al proveedor y desentenderte.

Lo que la normativa ecuatoriana en realidad te pide

No hace falta memorizar artículos para entender el fondo del asunto, pues la Ley Orgánica de Protección de Datos Personales (LOPDP) y su Reglamento General le exigen a toda organización que trate datos personales en Ecuador que haga dos cosas, tenga o no tenga tecnología propia, y esto aplica igual a una app de mensajería que a un sistema de facturación.

La primera es evaluar los riesgos que traen los terceros con los que trabajas, ya que no basta con tener buenas prácticas puertas adentro si la herramienta que elegiste arrastra una vulnerabilidad conocida y a ti nunca se te ocurrió revisarla, siendo este justo el tipo de cosa que la Superintendencia de Protección de Datos Personales (SPDP) puede pedirte que demuestres si te audita.

La segunda es que las medidas que adoptes sean proporcionales al riesgo, no idénticas a las de un banco, pues una pyme ecuatoriana no necesita el mismo nivel de blindaje que una entidad financiera, pero si por esa herramienta pasan cientos o miles de datos de clientes al mes, ese volumen ya es suficiente para justificar que alguien en tu empresa se siente a pensar en esto un rato, en lugar de asumir que «así viene por defecto» es suficiente, y vale la pena recordar que en Ecuador ya son más de 3.450 las organizaciones, públicas y privadas, obligadas a cumplir con esta normativa, por lo que probablemente la tuya sea una de ellas.

Pasos prácticos para validar tus herramienta

No hace falta auditar cada aplicación como si fueras un banco central, pues basta con instalar una costumbre con pasos simples:

• Evalúa la sensibilidad antes de adoptar la herramienta: antes de sumar una herramienta nueva para tratar datos de clientes, pregúntate qué tipo de información va a pasar por ahí y qué tan sensible es, pues no es lo mismo un canal para confirmar horarios que uno donde circulan datos financieros o de salud.
• Revisa el historial de seguridad del proveedor: verifica si ha tenido incidentes conocidos y, sobre todo, cómo respondió cuando ocurrieron, ya que reaccionar rápido y con transparencia cuenta a favor del proveedor, no en contra.
• Formaliza el rol del proveedor como encargado del tratamiento: si la herramienta la administra un tercero, asegúrate de que exista un contrato claro sobre sus obligaciones, lo cual no debería depender de la confianza, sino de un documento firmado.
• Mantén un inventario simple y vivo: documenta qué herramientas usa tu empresa para tratar datos de clientes y qué riesgo tiene cada una, sin que necesite ser sofisticado, solo necesita existir y actualizarse cuando cambien las herramientas.
• Revisa el inventario cuando salten noticias del sector: cada vez que se conozca una falla de seguridad en alguna herramienta similar a las que usas, vuelve a ese inventario y pregúntate si te afecta.
• Ponlo bajo la supervisión de tu delegado de protección de datos: si tu empresa ya designó uno, como exige la normativa ecuatoriana, este proceso de validación debería quedar bajo su responsabilidad, siendo justamente el tipo de control que la SPDP espera encontrar si audita a tu organización.

Conclusión

Validar las herramientas que usa tu empresa no consiste en desconfiar de la tecnología ni en frenar la operación con controles excesivos, sino en aplicar un criterio proporcional al riesgo real de cada caso, pues la LOPDP no busca que dejes de usar tus canales habituales de comunicación con clientes, sino que la responsabilidad sobre esos datos no se pierda solo porque pasan por la infraestructura de un tercero, de manera que instalar esta costumbre de evaluación es lo que te permite responder con tranquilidad si algún día la SPDP audita a tu organización, y demostrar que la seguridad de la información de tus clientes fue una decisión consciente, no un accidente.

Evalúa la gestión de riesgos en tus proveedores y herramientas de terceros con el acompañamiento de nuestros especialistas en Data Protected.