1. OBJETIVO

Establecer los lineamientos para la protección de los datos personales (contra daño, pérdida, alteración, destrucción o el uso, acceso o tratamiento no autorizado) y su tratamiento legítimo, controlado e informado, a efecto de garantizar la privacidad y el derecho a la autodeterminación informativa de las personas.

2. ALCANCE

El presente documento es mandatorio para todo el personal y los terceros que actúen en representación de la empresa que conforma CONESA. Todo el personal de CONESA es responsable de conocer y cumplir con todos los aspectos de este documento.

3. REFERENCIAS

• Ley Orgánica de Protección de Datos personales, Asamblea Nacional República del Ecuador

• Reglamentos y leyes afines

4. DEFINICIONES O GLOSARIO

• Activos: La información, el conocimiento sobre los procesos, el personal, hardware, software y cualquier otro recurso involucrado en el tratamiento de los datos personales, que tenga valor para la organización.

• Confidencialidad: Propiedad de la información para no estar a disposición o ser revelada a personas, entidades o procesos no autorizados.

• Contrato: Pacto o convenio, oral o escrito, entre partes que se obligan sobre materia o cosa determinada, y a cuyo cumplimiento pueden ser compelidas.

• Custodios: Son aquéllos con responsabilidad funcional sobre los activos, como: los responsables del departamento de datos, administradores de sistemas o responsables de un proceso o de un proyecto en específico, entre otros.

• Datos personales: Dato que identifica o hace identificable a una persona natural, directa o indirectamente.

• Delegado del contrato: Dicho de una persona: En quien se delega una facultad o jurisdicción.

• Disponibilidad: Propiedad de un activo para ser accesible y utilizable cuando lo requieran personas, entidades o procesos autorizados.

• Encargado del contrato: Un contrato civil se define como un acuerdo entre una o más personas con la finalidad de transferir algún tipo de obligación o derecho. El encargado de elaborar las cláusulas y condiciones del contrato es el contratante.

• Incidente: Escenario donde una amenaza explota una vulnerabilidad o conjunto de vulnerabilidades.

• Integridad: La propiedad de salvaguardar la exactitud y completitud de los activos.

• Ley o Legislación local (para propósitos de este documento): Reglas o normas establecidas por las autoridades del Ecuador para regular, de acuerdo con la justicia. Conjunto de normas imperativas que, para mantener la convivencia pacífica y ordenada de los hombres que viven en sociedad, regulan las relaciones de ellos determinadas por esas mismas normas

• Responsable: Persona natural o jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.

• Seguridad de la información: Preservación de la confidencialidad, integridad y disponibilidad de la información, así como otras propiedades delimitadas por la normatividad aplicable.

• Titular: Persona natural cuyos datos son objeto de tratamiento.

• Traspaso: Movimiento de colaborador o del traspaso de información entre áreas.

• Tratamiento: Cualquier operación o conjunto de operaciones realizadas sobre datos personales, ya sea por procedimientos técnicos de carácter automatizado, parcialmente automatizado o no automatizado, tales como: la recogida, recopilación, obtención, registro, organización, estructuración, conservación, custodia, adaptación, modificación, eliminación, indexación, extracción, consulta, elaboración, utilización, posesión, aprovechamiento, distribución, cesión, comunicación o transferencia, o cualquier otra forma de habilitación de acceso, cotejo, interconexión, limitación, supresión, destrucción y, en general, cualquier uso de datos personales.

• Vulnerabilidad: Incidente de seguridad que afecta la confidencialidad, disponibilidad o integridad de los datos personales.

5. LINEAMIENTOS
5.1 Lineamientos Generales

• El objetivo de la presente Política es garantizar el Derecho de la protección de datos de las personas que laboran en CONESA, así como de los datos de terceros a los cuales la empresa CONESA tengan acceso.

• El tratamiento de datos será legítimo y lícito si se cumple con alguna de las siguientes condiciones:
a. Por consentimiento del titular para el tratamiento de sus datos personales, para una o varias finalidades especificas;
b. Para satisfacer un interés legítimo del responsable de tratamiento o de tercero, siempre que no prevalezca el interés o derechos fundamentales de los titulares al amparo de lo dispuesto en esta norma.

• Se podrán tratar y comunicar datos personales cuando se cuente con la manifestación de la voluntad del titular para hacerlo. El consentimiento será válido, cuando la manifestación de la voluntad sea:
a. Libre, es decir, cuando se encuentre exenta de vicios del consentimiento.
b. Específica, en cuanto a la determinación concreta de los medios y fines del tratamiento.
c. Informada, de modo que cumpla con el principio de transparencia y efectivice el derecho a la transparencia.
d. Inequívoca, de manera que no presente dudas sobre el alcance de la autorización otorgada por el titular.

• El consentimiento podrá revocarse en cualquier momento sin justificación, para lo que el responsable del tratamiento de datos personales establecerá mecanismos que garanticen celeridad, eficiencia, eficacia y gratuidad, así como un procedimiento sencillo, similar al del que recabó el consentimiento.

• El tratamiento realizado antes de revocar el consentimiento es lícito, en virtud de que este no tiene efectos retroactivos.

• Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste que dicho consentimiento se otorga para todas ellas.

• Cuando el tratamiento de datos personales tiene como fundamento el interés legítimo:
a. Solo podrán tratarse los datos estrictamente necesarios para la finalidad.
b. El responsable debe garantizar que el tratamiento sea transparente para el titular.

• Los datos personales deben tratarse con estricto apego y cumplimiento a los principios, derechos y obligaciones establecidas en la presente política.

• El tratamiento de datos personales deberá ser leal, por lo que para los titulares debe quedar claro que se están recogiendo, utilizando, consultando o tratando de otra manera, datos personales que les conciernen y cómo esos datos son o se tratarán.

• El tratamiento de datos personales deberá ser transparente, por lo que toda información o comunicación relativa a este tratamiento deberá ser fácilmente accesible y fácil de entender y se deberá utilizar un lenguaje sencillo y claro.

• Las finalidades del tratamiento deberán ser determinadas, explícitas, legítimas y comunicadas al titular: no podrán tratarse datos personales con fines distintos para los cuales fueron recopilados, a menos que concurra una de las causales que habiliten un nuevo tratamiento conforme los supuestos de tratamiento legítimo señalados en esta política.

• Los responsables y encargados de tratamiento de los datos personales deberán implementar todas las medidas de seguridad adecuadas y necesarias, entendiéndose por tales las aceptadas por el estado de la técnica, sean estas organizativas, técnicas o de cualquier otra índole, para proteger los datos personales frente a cualquier riesgo, amenaza, vulnerabilidad, atendiendo a la naturaleza de los datos de carácter personal, al ámbito y el contexto.

• El titular de datos personales tiene derecho a ser informado conforme los principios de lealtad y transparente por cualquier medio sobre:
a. Los fines del tratamiento;
b. La base legal para el tratamiento;
c. Tipos de tratamiento;
d. Tiempo de conservación;
e. La existencia de una base de datos en la que constan sus datos personales;
f. Identidad y datos de contacto del responsable del tratamiento de datos personales, que incluirá: dirección del domicilio legal, número de teléfono y correo electrónico;
g. Cuando sea del caso, identidad y datos de contacto del delegado de protección de datos personales, que incluirá: dirección domiciliaria, número de teléfono y correo electrónico; Las transferencias o comunicaciones, nacionales o internacionales, de datos personales que pretenda realizar, incluyendo los destinatarios y sus clases, así como las finalidades que motivan la realización de estas y las garantías de protección establecidas;
h. Las consecuencias para el titular de los datos personales de su entrega o negativa a ello;
i. El efecto de suministrar datos personales erróneos o inexactos;
j. La posibilidad de revocar el consentimiento;
k. La existencia y forma en que pueden hacerse efectivos sus derechos de acceso, eliminación, rectificación y actualización, oposición, anulación, limitación del tratamiento y a no ser objeto de una decisión basada únicamente en valoraciones automatizadas.
l. Los mecanismos para hacer efectivo su derecho a la portabilidad, cuando el titular lo solicite;
m. Dónde y cómo realizar sus reclamos ante el responsable del tratamiento de datos personales ante la Autoridad de Protección de Datos Personales, y;
n. La existencia de valoraciones y decisiones automatizadas, incluida la elaboración de perfiles.

• En el caso que los datos se obtengan directamente del titular, la información deberá ser comunicada de forma previa a este, es decir, en el momento mismo de la recogida del dato personal.

• Cuando los datos personales no se obtuvieren de forma directa del titular o fueren obtenidos de una fuente accesible, el titular deberá ser informado dentro de los siguientes treinta (30) días o al momento de la primera comunicación con el titular, cualquiera de las dos circunstancias que ocurra primero. Se le deberá proporcionar información expresa, inequívoca, transparente, inteligible, concisa, precisa y sin barreras técnicas.

• El titular tiene el derecho a obtener del responsable del tratamiento la rectificación y actualización de sus datos personales inexactos o incompletos.

• El titular tiene derecho a que el responsable del tratamiento suprima sus datos personales, cuando no cumpla con los principios establecidos en la presente política.

• El titular tiene el derecho a oponerse o negarse al tratamiento de sus datos personales, en los siguientes casos:
a. No se afecten derechos y libertades fundamentales de terceros, la ley se lo permita y no se trate de información pública, de interés público o cuyo tratamiento está ordenado por la legislación local.
b. El tratamiento de datos personales tenga por objeto la mercadotecnia directa; el interesado tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles; en cuyo caso los datos personales dejarán de ser tratados para dichos fines.

• El titular tiene el derecho a recibir del responsable del tratamiento, sus datos personales en un formato compatible, actualizado, estructurado, común, interoperable y de lectura mecánica, preservando sus características; o a transmitirlos a otros responsables.

• Todo colaborador de CONESA que tenga conocimiento o sospeche que algún empleado de las compañía que haya incumplido políticas internas y/o alguna ley, reglamento, tiene la obligación de denunciar dicha acción a través de los canales autorizados.

• Excepciones a los derechos de rectificación, actualización, eliminación, oposición, anulación y portabilidad, excepciones a los derechos de rectificación, actualización, eliminación, oposición, anulación y portabilidad.

• El titular tendrá derecho a obtener del responsable del tratamiento la suspensión del tratamiento de los datos, cuando se cumpla alguna de las condiciones siguientes:
a. De existir negativa por parte del responsable o encargado del tratamiento de datos personales y el titular recurra por dicha decisión ante la Autoridad de Protección de Datos Personales, esta suspensión se extenderá́ hasta la resolución del procedimiento administrativo.
b. Cuando el titular impugne la exactitud de los datos personales, mientras el responsable de tratamiento verifica la exactitud de los mismos, deberá colocarse en la base de datos, en donde conste 1a información impugnada, que esta ha sido objeto de inconformidad por parte del titular.
c. El tratamiento sea ilícito y el interesado se oponga a la supresión de los datos personales y solicite en su lugar la limitación de su uso;
d. El responsable ya no necesite los datos personales para los fines del tratamiento, pero el interesado los necesite para la formulación, el ejercicio o la defensa de reclamaciones; y,
e. Cuando el interesado se haya opuesto al tratamiento en virtud al tratamiento de datos relativos a la salud, mientras se verifica si los motivos legítimos del responsable prevalecen sobre los del interesado.

• El titular tiene derecho a no ser sometido a una decisión basada única o parcialmente en valoraciones que sean producto de procesos automatizados, incluida la elaboración de perfiles, que produzcan efectos jurídicos en él o que atenten contra sus derechos y libertades fundamentales, para lo cual podrá:
a. Solicitar al responsable del tratamiento una explicación motivada sobre la decisión tomada por el responsable o encargado del tratamiento de datos personales:
b. Presentar observaciones
c. Solicitar los criterios de valoración sobre el programa automatizado
d. Solicitar a la responsable información sobre los tipos de datos utilizados y la fuente de la cual han sido obtenidos los mismos
e. Impugnar la decisión ante el responsable o encargado del tratamiento

• No se aplicará este derecho cuando:
a. La decisión es necesaria para la celebración o ejecución de un contrato entre el titular y el responsable o encargado del tratamiento de datos personales.
b. Está autorizada por la normativa aplicable, orden judicial, resolución o mandato motivado de autoridad técnica competente, para lo cual se deberá establecer medidas adecuadas para salvaguardar los derechos fundamentales y libertades del titular; o,
c. Se base en el consentimiento explícito del titular.
d. La decisión no conlleve impactos graves o riesgos verificables para el titular.

• Derecho de niñas, niños y adolescentes a no ser objeto de una decisión basada única o parcialmente en valoraciones automatizadas:
a. Además de los presupuestos establecidos en el derecho a no ser objeto de una decisión basada única o parcialmente en valoraciones automatizadas, no se podrán tratar datos sensibles o datos de niñas, niños y adolescentes a menos que se cuente con la autorización expresa del titular o de su representante legal; o, cuando, dicho tratamiento esté destinado a salvaguardar un interés público esencial, el cual se evalúe en atención a los estándares internacionales de derechos humanos, y como mínimo satisfaga los criterios de legalidad, proporcionalidad y necesidad, y además incluya salvaguardas específicas para proteger los derechos fundamentales de los interesados. Los adolescentes, en ejercicio progresivo de sus derechos, a partir de los 15 años, podrán otorgar, en calidad de titulares, su consentimiento explícito para el tratamiento de sus datos personales, siempre que se les especifique con claridad sus fines.

• Las personas tienen derecho al acceso y disponibilidad del conocimiento, aprendizaje, preparación, estudio, formación, capacitación, enseñanza e instrucción relacionados con el uso y manejo adecuado, sano, constructivo, seguro y responsable de las tecnologías de la información y comunicación

• El Estado, entidades educativas, organizaciones de la sociedad civil, proveedores de servicios de la sociedad de la información y el conocimiento, y otros entes relacionados, dentro del ámbito de sus relaciones, están obligados a proveer información y capacitación relacionadas con el uso y tratamiento responsable, adecuado y seguro de datos personales de niñas, niños y adolescentes, tanto a sus titulares como a sus representantes legales.

• Queda prohibido el tratamiento de datos personales sensibles salvo que concurra alguna de las siguientes circunstancias:
a. El titular haya dado su consentimiento explícito para el tratamiento de sus datos personales, especificándose claramente sus fines.
b. El tratamiento es necesario para proteger intereses vitales del titular o de otra persona natural, en el supuesto de que el titular no esté capacitado, física o jurídicamente, para dar su consentimiento.
c. El tratamiento se refiere a datos personales que el titular ha hecho manifiestamente públicos.
d. El tratamiento se lo realiza por orden de autoridad judicial.
e. El tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del titular.
f. Cuando el tratamiento de los datos de salud se sujete a las disposiciones contenidas en la legislación local.

• Los titulares de derechos sucesorios de las personas fallecidas podrán dirigirse al responsable del tratamiento de datos personales con el objeto de solicitar el acceso, rectificación y actualización o eliminación de los datos personales del causante, siempre que el titular de los datos no haya, en vida, indicado otra utilización o destino para sus datos.

• Las instituciones que conforman el Sistema Nacional de Salud y los profesionales de la salud pueden recolectar y tratar los datos relativos a la salud de sus pacientes que estén o hubiesen estado bajo tratamiento de aquellos, de acuerdo con lo previsto en la presente política.

• Todo tratamiento de datos relativos a la salud deberá cumplir con los siguientes parámetros mínimos y aquellos que determine la Autoridad de Protección de Datos Personales en la normativa emitida para el efecto:
a. Los datos relativos a la salud generados en establecimientos de salud públicos o privados serán tratados cumpliendo los principios de confidencialidad y secreto profesional.
b. Todo tratamiento de datos de salud anonimizados deberá ser autorizado previamente por la Autoridad de Protección de Datos Personales. Para obtener la autorización mencionada, el interesado deberá presentar un protocolo técnico que contenga los parámetros necesarios que garanticen la protección de dichos datos y el informe previo favorable emitido por la Autoridad Sanitaria.

• Los datos relativos a salud que consten en las instituciones que conforman el Sistema Nacional de Salud, podrán ser tratados por personas naturales y jurídicas privadas y públicas con fines de investigación científica, siempre que según el caso encuentren anonimizados, o dicho tratamiento sea autorizado por la Autoridad de Protección de Datos Personales, previo informe de la Autoridad Sanitaria Nacional.

• Los datos personales podrán transferirse o comunicarse a terceros cuando se realice para el cumplimiento de fines directamente relacionados con las funciones legítimas del responsable y del destinatario, cuando la transferencia se encuentre configurada dentro de una de las causales de legitimidad establecidas en la legislación local, y se cuente, además, con el consentimiento del titular.

• No se considerará transferencia o comunicación en el caso de que el encargado acceda a datos personales para la prestación de un servicio al responsable del tratamiento de datos personales. El tercero que ha accedido legítimamente a datos personales en estas consideraciones será considerado encargado del tratamiento.

• No se considerará transferencia o comunicación cuando el acceso a datos personales por un tercero sea necesario para la prestación de un servicio al responsable del tratamiento de datos personales. El tercero que ha accedido a datos personales en estas condiciones debió hacerlo legítimamente.

• No es necesario contar con el consentimiento del titular para la transferencia o comunicación de datos personales, en los siguientes supuestos:
a. Cuando los datos han sido recogidos de fuentes accesibles al público;
b. Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica entre el responsable de tratamiento y el titular, cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con base de datos.
c. Cuando los datos personales deban proporcionarse a autoridades administrativas o judiciales en virtud de solicitudes y órdenes amparadas en competencias atribuidas en la norma vigente
d. Cuando la comunicación se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de datos con fines históricos, estadísticos o científicos, siempre y cuando dichos datos se encuentren debidamente disociados o a lo menos anonimizados.
e. Cuando la comunicación de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que implique intereses vitales de su titular y este se encontrare impedido de otorgar su consentimiento.
f. Cuando la comunicación de datos de carácter personal relativos a la salud sea necesaria para realizar los estudios epidemiológicos de interés público.

• El responsable o encargado del tratamiento de datos personales según sea el caso, deberá sujetarse al principio de seguridad de datos personales, para lo cual deberá tomar en cuenta las categorías y volumen de datos personales, el estado de la técnica, mejores prácticas de seguridad integral y los costos de aplicación de acuerdo con la naturaleza, alcance, contexto y los fines del tratamiento, así como identificar la probabilidad de riesgos.

• El mecanismo de CONESA de seguridad de la información deberá incluir las medidas que deban implementarse en el caso de tratamiento de datos personales para hacer frente a cualquier riesgo, amenaza, vulnerabilidad, accesos no autorizados, pérdidas, alteraciones, destrucción o comunicación accidental o ilícita en el tratamiento de los datos conforme al principio de seguridad de datos personales.

• Se entiende a la protección de datos desde el diseño como el deber del responsable del tratamiento de tener en cuenta, en las primeras fases de concepción y diseño del proyecto, que determinados tipos de tratamientos de datos personales entrañan una serie de riesgos para los derechos de los titulares en atención al estado de la técnica, naturaleza y fines del tratamiento, para lo cual, implementará las medidas técnicas, organizativas y de cualquier otra índole.

• Para el análisis de riesgos, amenazas y vulnerabilidades, el responsable y el encargado del tratamiento de los datos personales deberán utilizar una metodología que considere, entre otras:
a. Las particularidades del tratamiento;
b. Las particularidades de las partes involucradas
c. Las categorías y el volumen de datos personales objeto de tratamiento.

• Para determinar las medidas de seguridad, aceptadas por el estado de la técnica, a las que están obligadas el responsable y el encargado del tratamiento de los datos personales, se deberán tomar en consideración, entre otros:
a. Los resultados del análisis de riesgos, amenazas y vulnerabilidades.
b. La naturaleza de los datos personales.
c. Las características de las partes involucradas.
d. Los antecedentes de destrucción de datos personales, la pérdida, alteración, divulgación o impedimento de acceso a los mismos por parte del titular.

• El responsable realizará una evaluación de impacto del tratamiento de datos personales cuando se haya identificado la probabilidad de que dicho tratamiento, por su naturaleza, contexto o fines, conlleve un alto riesgo para los derechos y libertades del titular o cuando la Autoridad de Protección de Datos Personales lo requiera.

• El responsable del tratamiento deberá notificar la vulneración de la seguridad de datos personales a la Autoridad de Protección de Datos Personales y la Agencia de Regulación y Control de las Telecomunicaciones, tan pronto sea posible, y a más tardar en el término de cinco (5) días después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas. Si la notificación a la Autoridad de Protección de Datos no tiene lugar en el término de cinco (5) días, deberá ir acompañada de indicación de los motivos de la dilación.

• Para la correcta prestación de los servicios de telecomunicaciones y la apropiada operación de redes de telecomunicaciones, los prestadores de servicios de telecomunicaciones deben garantizar el secreto de las comunicaciones y seguridad de datos personales.

• El responsable del tratamiento deberá notificar sin dilación la vulneración de seguridad de datos personales al titular cuando conlleve un riesgo a sus derechos fundamentales y libertades individuales, dentro del término de tres días contados a partir de la fecha en la que tuvo conocimiento del riesgo.

• El responsable del tratamiento de datos personales está obligado a:
a. Tratar datos personales en estricto apego a los principios y derechos desarrollados en la presente política.
b. Aplicar e implementar requisitos y herramientas administrativas, técnicas, físicas, organizativas y jurídicas apropiadas, a fin de garantizar y demostrar que el tratamiento de datos personales se ha realizado conforme a lo previsto en la presente política.
c. Aplicar e implementar procesos de verificación, evaluación, valoración periódica de la eficiencia, eficacia y efectividad de los requisitos y herramientas administrativas, Técnicas, físicas, organizativas y jurídicas implementadas.
d. Implementar políticas de protección de datos personales afines al tratamiento de datos personales en cada caso en particular.
e. Utilizar metodologías de análisis y gestión de riesgos adaptadas a las particularidades del tratamiento y de las partes involucradas.
f. Realizar evaluaciones de adecuación al nivel de seguridad previas al tratamiento de datos personales.
g. Tomar medidas tecnológicas, físicas, administrativas, organizativas y jurídicas necesarias para prevenir, impedir, reducir, mitigar y controlar los riesgos y las vulneraciones identificadas.
h. Notificar a la Autoridad de Protección de Datos Personales y al titular de los datos acerca de violaciones a las seguridades implementadas para el tratamiento de datos personales conforme a lo establecido en el procedimiento previsto para el efecto.
i. Implementar la protección de datos personales desde el diseño y por defecto.
j. Suscribir contratos de confidencialidad y manejo adecuado de datos personales con el encargado y el personal a cargo del tratamiento de datos personales o que tenga conocimiento de los datos personales.
k. Ofrecer mecanismos suficientes para garantizar el derecho a la protección de datos personales conforme a lo establecido en este documento, la legislación local y las mejores prácticas a nivel nacional o internacional.
l. Registrar y mantener actualizado el Registro Nacional de Protección de Datos Personales, de conformidad a lo dispuesto en la legislación local y regulaciones emitidas por la Autoridad de Protección de Datos Personales;
m. Designar al Delegado de Protección de Datos Personales, en los casos que corresponda.
n. Permitir y contribuir a la realización de auditorías o inspecciones, por parte de un auditor acreditado por la Autoridad de Protección de Datos Personales.

• CONESA designará un delegado de protección de datos personales, quien será el y sistematizado por su volumen, naturaleza, alcance o finalidades del tratamiento, conforme se establezca en este documento.

• El delegado de protección de datos personales tendrá, entre otras, las siguientes funciones y atribuciones:
a. Asesorar al responsable, al personal del responsable y al encargado del tratamiento de datos personales, sobre los lineamientos y los procedimientos que se encuentran en este documento, así como los cambios en la legislación local.
b. Supervisar el cumplimiento de los lineamientos y los procedimientos que se encuentran en este documento y demás cambios emitidos en la legislación local.
c. Asesorar en el análisis de riesgo, evaluación de impacto y evaluación de medidas de seguridad, y supervisar su aplicación.
d. Cooperar con la Autoridad de Protección de Datos Personales y actuar como punto de contacto con dicha entidad, con relación a las cuestiones referentes al tratamiento de datos personales.

• El responsable del tratamiento de datos personales deberá reportar y mantener actualizada la información ante la Autoridad de Protección de Datos Personales
a. Identificación de la base de datos o del tratamiento.
b. El nombre domicilio legal y datos de contacto del responsable y encargado del tratamiento de datos personales.
c. Características y finalidad del tratamiento de datos personales.
d. Naturaleza de los datos personales tratados.
e. Identificación, nombre, domicilio legal y datos de contacto de los destinatarios de los datos personales, incluyendo encargados y terceros.
f. Modo de interrelacionar la información registrada.
g. Medios utilizados para implementar los principios, derechos y obligaciones contenidas en la legislación local y normativa especializada.
h. Tiempo de conservación de los datos.

• El responsable del tratamiento de datos personales podrá presentar a la Autoridad de Protección de Datos Personales, normas corporativas vinculantes, específicas y aplicadas al ámbito de la actividad de CONESA.

• Se consideran infracciones leves las siguientes:
a. No tramitar, tramitar fuera del término previsto o negar injustificadamente las peticiones o quejas realizadas por el titular;
b. No implementar protección de datos desde el diseño y por defecto;
c. No mantener disponibles políticas de protección de datos personales afines al tratamiento de datos personales;
d. Elegir un encargado del tratamiento de datos personales que no ofrezca garantías suficientes para hacer efectivo el ejercicio del derecho a la protección de datos personales;
e. Incumplir las medidas correctivas dispuestas por la Autoridad de Protección de Datos Personales.

• Se consideran infracciones graves las siguientes:
a. No implementar medidas administrativas, técnicas y físicas, organizativas y jurídicas, a fin de garantizar el tratamiento de datos personales que realice conforme la presente política.
b. Utilizar información o datos para fines distintos a los declarados.
c. Ceder o comunicar datos personales sin cumplir con los requisitos y procedimientos establecidos en el presente documento, la legislación local y las directrices y regulaciones emitidas por la Autoridad de Protección de Datos Personales y normativas sobre la materia.
d. No utilizar metodologías de análisis y gestión de riesgos adaptadas a la naturaleza de los datos personales las particularidades del tratamiento y de las partes involucradas.
e. No realizar evaluaciones de impacto al tratamiento de datos en los casos en que era necesario realizarlas.
f. No implementar medidas técnicas organizativas o de cualquier índole, necesarias para prevenir impedir, reducir, mitigar y controlar los riesgos y las vulneraciones a la seguridad de datos personales que hayan sido identificadas.
g. No notificar a la Autoridad de Protección de Datos Personales y al titular, de vulneraciones a la seguridad y protección de datos personales, cuando afecte los derechos fundamentales y libertades individuales de los titulares.
h. No notificar a la Autoridad de Protección de Datos Personales del titular las vulneraciones de seguridad y protección de datos personales, cuando exista afectación a los derechos fundamentales y libertades individuales de los titulares.
i. No suscribir contratos que incluyan cláusulas de confidencialidad y tratamiento adecuado de datos personales con el encargado y el personal a cargo del tratamiento de datos personales o que tenga conocimiento de los datos personales.
j. No mantener actualizado el Registro Nacional de protección de datos personales de conformidad a lo dispuesto en el presente documento, la legislación local y las directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales.
k. No consignar en el Registro Nacional de Protección de Datos Personales lo dispuesto en el presente documento, la legislación local y las directrices, lineamientos y regulaciones emitidas por la Autoridad de Protección de Datos Personales.
l. No designar al delegado de protección de datos personales cuando corresponda.
m. No permitir y no contribuir a la realización de auditorías o inspecciones por parte del auditor acreditado por la Autoridad de Protección de Datos Personales.
n. Incumplir las medidas correctivas o cumplir de forma tardía, parcial o defectuosa, siempre y cuando hubiese precedido por dicha causa la aplicación de una sanción por infracción leve, e incurrir de forma reiterada en faltas leves.

• La vía formal para realizar denuncias es a los correos mariajose.palacios@conesa.ec y eduardo.vivanco@conesa.ec, en el cual se debe detallar lo sucedido, las personas involucradas, el lugar y el contexto donde sucedió, entre otros datos que se consideren importantes. Esta puede ser anónima o puede indicar nombre, apellido y número de contacto (Recordamos que este sistema de denuncias protege el anonimato de las personas que lo realizan, la identidad del denunciante va a ser tratada de manera confidencial mientras lo permitan las circunstancias).

• Son accesibles al público y susceptibles a tratamientos los datos personales referentes al contacto de profesionales y los datos de comerciantes, representantes,siempre y cuando se refieran al ejercicio de su profesión, oficio, giro de negocio, competencias, facultades, atribuciones o cargo y se trate de: Nombres, apellidos, funciones o puestos desempeñados, certificaciones, titulo, correo electrónico laboral y número de teléfono profesional.

• Los datos sensibles son los relativos a: etnia, identidad de género, identidad cultural, religión, ideología, filiación política, pasado judicial, condición migratoria, orientación sexual, salud, datos biométricos, datos genéticos y aquellos cuyo tratamiento indebido pueda dar origen a discriminación, atenten o puedan atentar contra los derechos y libertades fundamentales. Como tales, estos datos sólo pueden ser procesados en circunstancias limitadas.

• El titular de los datos personales tiene los siguientes derechos:
a. Conocer, actualizar y rectificar sus datos personales
b. Ser informado por la empresa respecto al uso que se les va a dar a sus datos personales.
c. Revocar la autorización y/o solicitar la supresión de los datos cuando en el Tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.
d. Los detallados en la Ley Orgánica de Protección de Datos personales

• La organización establece el compromiso de cumplir con la protección de datos personales por parte de todos los involucrados en el tratamiento y:
a. Recabar datos personales de manera lícita, conforme a las disposiciones establecidas por la Ley.
b. Sujetar el tratamiento de datos personales al consentimiento del titular.
c. Informar a los titulares de los datos, la información que se recaba de ellos y con qué fines.
d. Procurar que los datos personales tratados sean correctos y actualizados.
e. Suprimir los datos personales cuando hayan dejado de ser necesarios para el cumplimiento de las finalidades previstas en el aviso de privacidad y para las cuales se obtuvieron.
f. Tratar datos personales estrictamente el tiempo necesario para propósitos legales, regulatorios o legítimos organizacionales.
g. Limitar el tratamiento de los datos personales.
h. No obtener los datos personales a través de medios fraudulentos (principio de lealtad)
i. Respetar la expectativa razonable de privacidad del titular (principio de lealtad)
j. Tratar los menos datos personales posibles, y sólo aquéllos que resulten necesarios, adecuados y relevantes en relación con las finalidades previstas en el aviso de privacidad (principio de proporcionalidad);
k. Velar por el cumplimiento de estos principios y la Ley Orgánica de Protección de Datos Personales y adoptar las medidas necesarias para su aplicación (principio de responsabilidad);
l. Establecer y mantener medidas de seguridad (deber de seguridad)
m. Guardar la confidencialidad de los datos personales de conformidad a los establecido en los contratos y/o acuerdos correspondientes. (deber de confidencialidad);
n. Identificar el flujo y ciclo de vida de los datos personales: por qué medio se recaban, en qué procesos de la organización se utilizan, con quién se comparten, y en qué momento y por qué medios se suprimen;
o. Respetar los derechos de los titulares en relación con sus datos personales;
p. Aplicar las excepciones contempladas en la normativa en materia de protección de datos personales
q. Manejar buenas prácticas de documentos en los archivos de datos personales.
r. Los detallados en la Ley Orgánica de Protección de Datos personales


5.2 Tratamiento de datos del colaborador

• La organización tiene controles que administran de manera efectiva el tratamiento de la información personal del titular. Estos controles aseguran que la recopilación, uso, tratamiento, transferencia de los datos personales se realice de acuerdo con lo indicado por la ley que rige.

• Previo al proceso de contratación, existe un proceso de selección en la cual se solicita la hoja de vida del aspirante (digital) para dar inicio al proceso de selección. De acuerdo con el perfil requerido se adjudica el cargo al aspirante más idóneo, se solicita información y procede con la firma del contrato de acuerdo con las políticas de Talento Humano. De los participantes no seleccionados se procede a eliminar las hojas de vida salvo de los aspirantes que pertenecieron a una terna.

• Todo colaborador en su contrato consta con una cláusula de:
a. Confidencialidad, en la cual se compromete a guardar absoluta confidencialidad, reserva y discreción de cualquier información de la organización y de terceras partes.
b. Privacidad de datos, en la cual se indica que los datos recopilados tendrán un tratamiento correcto con el conocimiento y/o aprobación del titular y con medidas de seguridad adecuadas.
c. Y con la autorización expresa del tratamiento de datos personales.

• Toda la documentación del colaborador (contratos, hoja de vida, otros) se almacenan de forma digital. Esta información está disponible para el área de Talento Humano mediante una carpeta compartida con controles de acceso por usuario para que en el caso que se llegue a dar un traspaso de un colaborador (titular) se cuente con la información a la cual se le agregará la documentación relacionada al traspaso (Hoja de movimiento interno).

• Toda esta información queda almacenada en el área de Talento Humano. Todo cambio que se realice quede registrado la fecha, hora y usuario que realiza el cambio por medio del sistema que CONESA utilice.


5.3 Tratamiento de datos de clientes/proveedores

• Toda relación comercial con clientes y proveedores debe existir un contrato en el cual se especificará los acuerdos y condiciones del servicio, previo a recibirlos. En este contrato, entre todos los puntos abarcados se especificará:

• Acuerdo de confidencialidad o cláusulas de confidencialidad, en la cual las partes interesadas aceptan mantener absoluta reserva y confidencialidad respecto a la información que se trasmite en relación con el servicio, esta cláusula se hace extensiva a los representantes, apoderados, empleados y asesores de cada parte.

• Previo a contratar un proveedor que cumplirá funciones de actuar o de representar la empresa, existe un proceso de selección en el cual se realiza una investigación de dicho proveedor, siempre y cuando nos represente ante terceros.

• De acuerdo con el resultado de esta evaluación se toma la decisión si el proveedor sigue o no en el proceso y bajo qué condiciones. Esto de acuerdo con la política de compras CONESA.


5.4 Comité de Privacidad de Datos

• El Comité de Privacidad de Datos tendrá un delegado para realizar el seguimiento a las principales actividades del programa de protección datos personales en la organización, donde se revisan, discuten, validan y aprueban directrices enfocadas a mejorar las actividades que hacen parte de la protección de datos personales.

• El Comité de Privacidad de Datos está integrado por un integrante de las siguientes áreas:
a. Talento Humano y/o Gerencia General
b. Legal
c. Servicio PostVenta

• Es responsabilidad de comité de Privacidad de Datos:
a. La planeación, ejecución y seguimiento de los elementos que hacen parte del programa
b. Asesorar y sensibilizar a los empleados de la organización en relación con el programa y las principales obligaciones en su ejecución
c. Emitir conceptos y dar respuesta a las inquietudes y requerimientos sobre protección de datos personales a nivel interno y externo, así como asesorar sobre los asuntos relacionados con el manejo de información personal;
d. Realizar el seguimiento de las normas sobre protección de datos personales y realizar las adecuaciones pertinentes al programa para procurar su cumplimiento;
e. Realizar los reportes legales que los entes de control soliciten.

• Es responsabilidad del Servicio PostVenta que conforma el Comité de Privacidad de Datos, convocar una reunión de revisión al menos una vez cada tres meses con el equipo para evaluar la eficacia de las acciones tomadas. Al finalizar la reunión se deberá enviar una minuta con puntos revisados, los acuerdos con fechas de ejecución y responsable.

• Además, de manera anual, en Comité de Privacidad de Datos con los responsables de cada área revisa los controles y procesos de mantenimiento de información de áreas como nómina, comercial, postventa otros.

• El Comité de Privacidad de Datos define las fechas en la cual se realizan las evaluaciones del impacto de los controles de protección de información y la necesidad legitima de estos.

• En caso de existir algún incidente, fuga de información, la organización deberá notificarlo durante las primeras 24 horas a las partes afectadas, así como también realizar la investigación pertinente y tomar las medidas correctivas con ayuda del Comité de Privacidad de Datos y su delegado.


5.5 Avisos de privacidad

• Todo mensaje generado en el domino CONESA deberá tener en la sección de firma la leyenda “Este mensaje de correo electrónico puede contener información confidencial o legalmente protegida y está destinado únicamente para el uso del destinatario (s) previsto. Cualquier divulgación, difusión, distribución, copia o la toma de cualquier acción basada en la información aquí contenida está prohibido. Si cree que lo ha recibido por error, por favor, notifíquelo al remitente y borrarlo definitivamente de su sistema.”

• Toda documentación de procedimientos y políticas de la organización deberán tener en su pie de página “Documento Controlado, Prohibida su Reproducción y/o Distribución sin permiso previo – Gerencia CONESA”


5.6 Revocación de consentimiento para el tratamiento de datos

• El titular que tenga relaciones comerciales o laborales con CONESA, mediante la firma de un contrato, existe un consentimiento para que la organización pueda dar tratamiento a sus datos personales.

• La conservación de los datos será de acuerdo con lo establecido a los contratos:
a. Lo indicado por el ente regulador aplicable (por ejemplo, registros relacionados a medicamentos se almacenarán hasta un año después de la fecha de expiración de producto. Registros relacionados a dispositivos médicos se almacenarán hasta cinco años después de la fecha de expiración de producto; ARCSA).
b. De conformidad a lo establecido en los contratos o en la Ley Orgánica de Protección de Datos Personales o hasta tres años desde la finalización del servicio.

• En caso de que el titular de los datos quisiera revocar el consentimiento para el tratamiento de sus datos, este podrá realizarlo mediante una solicitud a la organización en la cual el Comité de Privacidad de datos deberá dar seguimiento al proceso.

• Se debe considerar que esta solicitud no podría ser ejecutada de forma inmediata en caso de que se tenga alguna obligación legal. Además, revocar el consentimiento para el tratamiento de datos puede llevar a que la organización finalizar relaciones comerciales con el solicitante.


5.7 Eliminación de datos

• La organización almacena información ya sea en físico o digital, en caso de ser necesario previa solicitud del titular y/o expiración de la información, podrá ser eliminada de la base por el responsable del proceso relacionado.

• Una vez realizada esta actividad deberá ser comunicada al titular de la información en caso de que aún se tenga relaciones comerciales o laborales.


5.8 Accesos y controles

• Como medida preventiva la organización cuenta con antivirus para evitar ataques externos, Además, como política es clave la actualización de sistemas con el fin de remedir vulnerabilidades.

• El almacenamiento de los datos de la organización se encuentra en Ecuador, en la oficina principal en la ciudad de Quito.

• Además, por política interna se realizará el respaldo de la información en Bases de datos digitales.

CONESA cuenta con herramientas virtuales que ayudan a proteger los servidores de vulnerabilidades relacionadas a sistemas operativos.


5.9 Tratamiento de información para otros fines
La organización bajo ningún caso puede:

• Vender los datos personales

• Utilizar los datos personales para fines ilícitos o desleales.

• Dar tratamiento a la información personal del titular sin previo conocimiento y/o autorización.

En el contrato de trabajo de manera expresa el titular autoriza se podrá realizar la transferencia de sus datos a un tercero. Esto aplicaría solo para servicios con un activo exclusivo a un cliente, proveedor, etc.

Documento Controlado, Prohibida su Reproducción y/o Distribución sin permiso previo de Gerencia CONESA.