POLÍTICA DE PROTECCIÓN DE DATOS PERSONALES

SSEI CIA. LTDA., comprometida con la privacidad y seguridad de la información de sus colaboradores, clientes, proveedores y terceros relacionados, establece la presente Política de Protección de Datos Personales en cumplimiento de la Ley Orgánica de Protección de Datos Personales del Ecuador (LOPDP), su reglamento y demás normativa aplicable.

Esta política tiene como objetivo regular el tratamiento de datos personales que realiza la compañía y asegurar el respeto y ejercicio de los derechos de los titulares.

Esta política aplica a todas las áreas, procesos, sistemas y personas que participen en el tratamiento de datos personales bajo responsabilidad o encargo de SSEI CIA. LTDA., sin importar el medio o soporte utilizado.

• Constitución de la República del Ecuador
• Ley Orgánica de Protección de Datos Personales (LOPDP)
• Normas técnicas emitidas por la Autoridad de Protección de Datos Personales

Para efectos de la presente política, se utilizarán las siguientes definiciones, alineadas con la Ley Orgánica de Protección de Datos Personales y buenas prácticas internacionales:

Titular:

Persona natural cuyos datos personales son objeto de tratamiento.

Datos personales:

Cualquier información vinculada o que pueda asociarse directa o indirectamente a una persona natural identificada o identificable. Esto incluye, entre otros, nombre, número de identificación, dirección, correo electrónico y demás información susceptible de individualizar a una persona.

Datos sensibles:

Datos personales que afectan a la intimidad del titular o cuyo uso indebido podría generar discriminación. Se incluyen: origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos relativos a la salud, orientación sexual, vida sexual, datos biométricos y genéticos.

Base de datos:

Conjunto organizado de datos personales que son objeto de tratamiento, cualquiera sea su forma de recopilación, almacenamiento, procesamiento o soporte.

Consentimiento:

Manifestación de voluntad inequívoca, libre, informada y específica del titular, mediante la cual autoriza el tratamiento de sus datos personales por parte del responsable.

Recolección:

Proceso mediante el cual se obtienen los datos personales del titular, por cualquier medio lícito.

Transferencia o comunicación:

Toda revelación, cesión, acceso o puesta a disposición de datos personales a un tercero, sea nacional o internacional, distinto del titular, del responsable o del encargado del tratamiento.

Tratamiento de datos personales:

Toda operación o conjunto de operaciones sobre datos personales, como la recolección, almacenamiento, uso, consulta, divulgación, transferencia, eliminación, anonimización o cualquier otra forma de procesamiento.

Derechos ARCO:

Conjunto de derechos que posee el titular respecto de sus datos personales: Acceso, Rectificación, Cancelación (o eliminación) y Oposición.

Portabilidad de datos:

Derecho del titular a recibir sus datos personales en un formato estructurado, de uso común y lectura mecánica, y a transmitirlos a otro responsable del tratamiento cuando sea técnicamente posible.

Responsable del tratamiento:

Persona natural o jurídica que decide sobre los fines y medios del tratamiento de datos personales.

Encargado del tratamiento:

Persona natural o jurídica que realiza el tratamiento de datos personales por cuenta del responsable, conforme a sus instrucciones y bajo su supervisión.

Delegado de Protección de Datos Personales:

Persona designada para informar y asesorar al responsable y encargado del tratamiento sobre sus obligaciones legales, supervisar el cumplimiento de la normativa de protección de datos; y actuar como punto de contacto con la Autoridad de Protección de Datos Personales.

Anonimización:

Proceso mediante el cual se elimina o modifica la información personal que permite identificar al titular, haciendo imposible su identificación directa o indirecta.

Pseudonimización:

Técnica que sustituye los datos identificativos del titular por un código o alias, dificultando la identificación directa y permitiendo una protección adicional de la privacidad.

Seguridad de los datos personales:

Conjunto de medidas técnicas, administrativas y organizativas adoptadas para proteger los datos personales contra pérdida, robo, uso indebido, acceso no autorizado, modificación o destrucción.

Incidente de seguridad o filtración de datos personales:

Cualquier evento o situación que comprometa la integridad, disponibilidad, confidencialidad o legalidad en el tratamiento de los datos personales, pudiendo afectar los derechos.

Flujo transfronterizo de datos personales:

Transferencia de datos personales desde el territorio ecuatoriano hacia otro país, por cualquier medio, que implique comunicación, acceso o almacenamiento de dichos datos fuera del país.

La presente política se sustenta en los principios rectores establecidos en la Constitución de la República del Ecuador, la Ley Orgánica de Protección de Datos Personales (LOPDP) y demás normativa aplicable. SSEI CIA. LTDA. se compromete a observar y aplicar de manera rigurosa los siguientes principios:

Juridicidad:

El tratamiento de datos personales se realizará con estricto apego a los principios, derechos y obligaciones establecidos en la Constitución, instrumentos internacionales, la LOPDP, su reglamento y esta política, así como en la normativa y jurisprudencia aplicables.

Lealtad:

Los datos personales serán tratados de forma honesta y ética, garantizando que no se utilicen para fines ilícitos o contrarios a los intereses legítimos del titular.

Transparencia:

SSEI CIA. LTDA. garantizará que toda información relacionada con el tratamiento de datos personales sea clara, accesible y comprensible para los titulares, utilizando un lenguaje sencillo y directo.

Finalidad:

El tratamiento de datos personales se realizará únicamente con fines específicos, legítimos, explícitos y previamente informados al titular. No se permitirá el uso posterior para finalidades distintas sin contar con una base legal o sin obtener nuevamente el consentimiento del titular.

Pertinencia:

Solo se tratarán los datos personales estrictamente necesarios para cumplir con la finalidad para la cual fueron recabados, evitando la recolección excesiva o irrelevante.

Proporcionalidad:

El tratamiento será adecuado, necesario, relevante y no excesivo, en función del contexto y los fines establecidos.

Confidencialidad:

SSEI CIA. LTDA. se compromete a garantizar la confidencialidad de los datos personales, evitando su divulgación o acceso no autorizado, tanto durante la vigencia del tratamiento como una vez finalizado.

Exactitud:

Los datos personales tratados por SSEI CIA. LTDA. deberán ser exactos, íntegros, claros, verificables y, en caso necesario, actualizados, procurando en todo momento su veracidad.

Conservación:

Los datos serán almacenados únicamente durante el tiempo necesario para cumplir con la finalidad que motivó su tratamiento o por el tiempo establecido en la normativa vigente. SSEI CIA. LTDA. establecerá procedimientos y plazos para su eliminación o anonimización segura.

Seguridad:

Se implementarán medidas técnicas, organizativas y administrativas apropiadas para garantizar la seguridad de los datos personales, protegiéndolos contra accesos no autorizados, pérdida, alteración, uso indebido o cualquier otra amenaza que comprometa su integridad o confidencialidad.

Proactividad:

SSEI CIA. LTDA. adoptará medidas concretas, verificables y adecuadas para garantizar el cumplimiento efectivo de las obligaciones previstas en la LOPDP, basándose en buenas prácticas de protección de datos y procurando la mejora continua de sus procesos.

SSEI CIA. LTDA., en su calidad de responsable del tratamiento, lidera y supervisa el tratamiento de los datos personales, definiendo sus finalidades y asegurando el cumplimiento de la normativa vigente en la materia.

La empresa podrá delegar dicho tratamiento a personal interno o a terceros encargados del tratamiento, exclusivamente para los fines autorizados por los titulares y en estricto cumplimiento de la Ley Orgánica de Protección de Datos Personales y demás disposiciones aplicables.

Todos los encargados deberán suscribir compromisos de confidencialidad y aplicar medidas de seguridad adecuadas, conforme al tipo de datos y nivel de riesgo involucrado.

Cualquier incumplimiento será sancionado de acuerdo con los procedimientos internos de SSEI CIA. LTDA. y, de ser necesario, se informará a las autoridades competentes. Finalizado el tratamiento, los encargados deberán eliminar los datos bajo su custodia, en cualquier formato, sin excepción.

En cumplimiento del principio de seguridad de los datos personales y de conformidad con lo dispuesto en la Ley Orgánica de Protección de Datos Personales, SSEI CIA. LTDA. implementará todas las medidas técnicas, organizativas y administrativas necesarias para proteger los datos personales que trata, considerando su naturaleza, volumen y nivel de riesgo.

Estas medidas estarán basadas en un análisis de amenazas, vulnerabilidades e impacto, e incluirán acciones preventivas desde el diseño y por defecto. Asimismo, se realizarán evaluaciones de impacto cuando el tipo de tratamiento lo requiera.

SSEI CIA. LTDA. exigirá a sus proveedores, en calidad de encargados del tratamiento, el cumplimiento de estándares adecuados y verificables en materia de seguridad de la información.

SSEI CIA. LTDA., en el marco de sus actividades operativas, recolecta datos personales de clientes, colaboradores, proveedores, aliados estratégicos y visitantes. Esta recolección se realiza por medios físicos o digitales, garantizando siempre que exista un fundamento legal para su tratamiento, ya sea a través del consentimiento informado del titular, una relación contractual o una obligación legal.

Los datos personales que se pueden obtener incluyen, sin limitarse a: nombre completo, tipo y número de identificación, información de contacto, dirección, fecha de nacimiento, historial académico y profesional, datos financieros, datos de salud (cuando aplica), imágenes, entre otros.

Toda recolección se lleva a cabo conforme a los principios de la LOPDP, asegurando la licitud, transparencia y lealtad del tratamiento, así como la protección efectiva de los derechos de los titulares.

SSEI CIA. LTDA. tratará los datos personales únicamente para los fines autorizados por los titulares o previstos por la ley, los cuales serán comunicados de forma clara y específica en los documentos contractuales o informativos correspondientes.

Las finalidades podrán variar según la relación con el titular y podrán incluir, entre otras:

• Gestión de relaciones comerciales, operativas, contractuales y/o laborales.
• Evaluación y selección de personal.
• Procesos de facturación, cobro, pagos y cumplimiento tributario.
• Gestión de proveedores y aliados estratégicos.
• Seguridad física y lógica de las instalaciones y sistemas.
• Comunicación institucional, digital, marketing o encuestas.
• Relación con comunidad.
• Cumplimiento de obligaciones legales, regulatorias o contractuales.
• Protección de la salud y bienestar de los colaboradores y clientes.
• Análisis estadísticos y mejora de servicios.

SSEI CIA. LTDA. no someterá a los titulares a decisiones basadas única o parcialmente en valoraciones automatizadas y se compromete a aplicar un tratamiento legítimo, transparente y proporcional en cada caso.

SSEI CIA. LTDA. podrá realizar, en cumplimiento de la ley, todas las operaciones necesarias para el tratamiento de datos personales, incluyendo —sin limitarse a—: recopilación, registro, organización, almacenamiento, uso, consulta, actualización, análisis, transmisión, supresión y eliminación.

Todo tratamiento se ejecutará conforme a las finalidades autorizadas por el titular y nunca será utilizado para fines distintos sin base legal o consentimiento expreso.

La transferencia de datos personales a terceros se realizará únicamente cuando:

• Sea necesaria para el cumplimiento de las finalidades autorizadas.
• Exista una obligación legal o contractual.
• Se cuente con el consentimiento informado del titular.

En todos los casos, SSEI CIA. LTDA. garantizará que el tercero receptor mantenga un nivel adecuado de protección, incorporando las cláusulas contractuales necesarias que aseguren la confidencialidad, integridad y seguridad de los datos personales transferidos.

SSEI CIA. LTDA. podrá tratar datos sensibles —como información relativa a salud, condiciones especiales o discapacidad— únicamente cuando sea estrictamente necesario y con las garantías exigidas por la LOPDP.

El tratamiento de datos de menores de edad se realizará con el consentimiento libre, expreso e informado de sus representantes legales y siempre priorizando el interés superior del menor.

Los datos relativos a la salud se tratarán bajo estricta confidencialidad, con fines de prevención de riesgos laborales, adecuación de instalaciones, cumplimiento normativo y cuidado del bienestar integral de colaboradores, clientes y visitantes.

SSEI CIA. LTDA. garantiza el pleno ejercicio de los derechos que la Ley Orgánica de Protección de Datos Personales reconoce a los titulares. Para ello, cuenta con procedimientos internos adecuados para la recepción, análisis y atención de solicitudes relacionadas con los siguientes derechos:

Derecho de acceso:

El titular o su representante legal tiene derecho a conocer y obtener, sin costo y sin justificación previa, toda la información personal que SSEI CIA. LTDA. mantiene sobre él, así como los detalles del tratamiento realizado.

Derecho de rectificación y actualización:

El titular puede solicitar la corrección o actualización de datos personales inexactos, incompletos o desactualizados. Para ello, deberá acompañar su solicitud con la documentación justificativa correspondiente.

Derecho de eliminación:

El titular podrá solicitar la supresión de sus datos personales en los casos permitidos por la ley, cuando el tratamiento no sea necesario o esté siendo realizado sin una base jurídica válida.

Derecho de oposición:

El titular puede oponerse al tratamiento de sus datos personales cuando existan motivos legítimos, conforme lo establece la normativa vigente.

Derecho de portabilidad:

El titular podrá solicitar que sus datos personales le sean entregados en un formato estructurado, común, de lectura mecánica e interoperable, o que estos sean transferidos directamente a otro responsable del tratamiento, siempre que sea técnicamente posible y legalmente permitido.

Para ejercer cualquiera de estos derechos, el titular deberá completar el formulario correspondiente que estará disponible a través de los canales oficiales de SSEI CIA. LTDA. Todas las solicitudes serán atendidas en un plazo máximo de quince (15) días hábiles, contados desde la recepción completa de la solicitud. En caso de que la solicitud esté incompleta, SSEI CIA. LTDA. requerirá su subsanación dentro del plazo legal correspondiente.

SSEI CIA. LTDA. implementará medidas técnicas, organizativas y administrativas para prevenir riesgos, amenazas y vulnerabilidades que puedan comprometer la seguridad de los datos personales bajo su custodia.

En caso de que se detecte una vulneración de seguridad que represente un riesgo para los derechos y libertades de los titulares, se activará de forma inmediata el protocolo interno establecido para estos incidentes.

Además, SSEI CIA. LTDA. notificará oportunamente a la Autoridad de Protección de Datos Personales y a los titulares afectados, conforme a lo dispuesto en el artículo 46 de la LOPDP. Esta notificación incluirá la naturaleza del incidente, los datos comprometidos, las posibles consecuencias y las medidas adoptadas para mitigar sus efectos.

SSEI CIA. LTDA. implementará y mantendrá medidas de seguridad técnicas, organizativas y administrativas apropiadas para garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los datos personales tratados, de conformidad con el nivel de riesgo asociado a cada tipo de información.

Estas medidas serán definidas con base en un análisis de riesgos actualizado, el cual se documentará en una matriz de riesgos específica. Entre las medidas adoptadas se incluyen, sin limitarse a:

• Control de accesos físicos y digitales.
• Cifrado y resguardo seguro de la información.
• Políticas de contraseñas y autenticación.
• Capacitación periódica (al menos una vez al año) al personal con acceso a datos.
• Evaluaciones regulares de vulnerabilidades y pruebas de penetración.
• Protocolos de conservación y eliminación de datos.

SSEI CIA. LTDA. revisará y actualizará estas medidas de forma periódica (al menos una vez al año), especialmente ante cambios normativos, tecnológicos o de contexto operativo.

SSEI CIA. LTDA. cuenta con un procedimiento interno para la detección, análisis, gestión y notificación de incidentes que afecten la seguridad de los datos personales bajo su responsabilidad.

Ante la detección de un incidente que represente un riesgo para los derechos y libertades de los titulares, se activará el protocolo de respuesta inmediata, el cual incluye:

• Contención y análisis técnico del incidente.
• Registro documentado de lo ocurrido.
• Notificación a la Autoridad de Protección de Datos Personales dentro de los plazos establecidos.
• Comunicación a los titulares afectados, con información clara sobre el incidente, datos comprometidos y acciones correctivas adoptadas.
• Evaluación de impacto posterior y revisión de controles.

Este procedimiento está alineado con el artículo 46 de la LOPDP y con principios de mejora continua.

SSEI CIA. LTDA. conservará los datos personales únicamente durante el tiempo necesario para cumplir con las finalidades legítimas para las que fueron recabados, o durante el periodo exigido por la normativa aplicable en materia laboral, tributaria, contractual u otra que corresponda.

Una vez cumplido dicho plazo, los datos serán eliminados de forma segura o, en su defecto, anonimizados de modo que no pueda identificarse al titular.

Se establecerán políticas internas de archivo y eliminación periódica que garanticen el cumplimiento de esta disposición.

SSEI CIA. LTDA. también conservará, durante el tiempo legalmente requerido, los documentos relacionados con el consentimiento del titular, la atención a sus derechos, y cualquier actividad vinculada al cumplimiento de la LOPDP.

Transcurrido dicho plazo, y salvo que exista una obligación legal que justifique un periodo de conservación mayor, se procederá a la eliminación segura o anonimización de los datos, conforme a los protocolos internos y en cumplimiento de la Ley Orgánica de Protección de Datos Personales.

Esta política será revisada y actualizada periódicamente por SSEI CIA. LTDA. para garantizar su alineación con los cambios normativos, tecnológicos u organizativos relevantes. En particular, conforme al artículo 76 de la Ley Orgánica de Protección de Datos Personales, esta política se actualizará en cuanto la Autoridad de Protección de Datos Personales emita las directrices formales sobre su diseño y contenido.

Cualquier modificación sustancial será comunicada a los titulares a través de los canales oficiales de SSEI CIA. LTDA.

SSEI CIA. LTDA. establecerá mecanismos internos para verificar y supervisar el cumplimiento efectivo de esta política. Estos mecanismos incluyen, entre otros, auditorías periódicas, evaluaciones internas, controles sobre los encargados del tratamiento y seguimiento de buenas prácticas en la gestión de datos personales.

El Responsable de Protección de Datos Personales, cuando sea designado, actuará como responsable de velar por el cumplimiento normativo, asesorar a las áreas responsables y mantener la interlocución con la Autoridad de Protección de Datos Personales.