Política General de Protección de Datos Personales
1. FINALIDAD DE LA POLÍTICA
En cumplimiento con la Ley Orgánica de Protección de Datos Personales (“LOPDP”) y demás normativa aplicable, DIPAC MANTA S.A. (“DIPAC”), publica su Política General de Protección de Datos Personales (“Política”), la cual tiene la finalidad de establecer las guías y lineamientos en el tratamiento de los datos personales de los trabajadores, clientes, proveedores y demás terceros, es decir, durante la recolección, almacenamiento, utilización, transferencia, actualización y eliminación de la información personal.
2. ÁMBITO DE APLICACIÓN
La Política es de obligatorio cumplimiento para los trabajadores de DIPAC, y demás personas naturales o jurídicas, públicas o privadas, que obren en nombre de la compañía. En este sentido, esta Política cubre todos los aspectos que deben ser cumplidos por las gerencias, jefaturas, trabajadores, pasantes, proveedores y/o cualquier tercero que tenga relación con la compañía, por lo que estos tienen la obligación de respetar y aplicar este documento.
3. DEFINICIONES
Está Política hace referencia a los siguientes conceptos, cuyas definiciones son tomadas de la LOPDP:
a) Autoridad de Protección de Datos Personales: Hace referencia a la Superintendencia de Protección de Datos Personales.
b) Base de Datos: Conjunto estructurado de datos cualquiera que fuera la forma, modalidad de creación, almacenamiento, organización, tipo de soporte, tratamiento, procesamiento, localización o acceso, centralizado, descentralizado o repartido de forma funcional o geográfica.
c) Dato personal: Información que identifica o hace identificable a una persona natural, directa o indirectamente.
d) Datos sensibles: Datos relativos a: etnia, identidad de género, identidad cultural, religión, ideología, filiación política, pasado judicial, condición migratoria, orientación sexual, salud, datos biométricos, datos genéticos y aquellos cuyo tratamiento indebido pueda dar origen a discriminación, atenten o puedan atentar contra los derechos y libertades fundamentales.
e) Delegado de Protección de Datos Personales: Persona natural encargada de informar al responsable o al encargado del tratamiento sobre sus obligaciones legales en materia de protección de datos, así como de velar o supervisar el cumplimiento normativo al respecto, y de cooperar con la Autoridad de Protección de Datos Personales, sirviendo como punto de contacto entre esta y la entidad responsable del tratamiento de datos.
f) Encargado del Tratamiento: Persona natural o jurídica, pública o privada, autoridad pública, u otro organismo que solo o conjuntamente con otros trate datos personales a nombre y por cuenta del Responsable de tratamiento de datos personales.
g) Responsable del Tratamiento: Persona natural o jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.
h) Titular: Persona natural cuyos datos personales son objeto de tratamiento.
i) Transferencia o comunicación: Manifestación, declaración, entrega, consulta, interconexión, cesión, transmisión, difusión, divulgación o cualquier forma de revelación de datos personales realizada a una persona distinta al titular, responsable o encargado del tratamiento de datos personales. Los datos personales que comuniquen deben ser exactos, completos y actualizados.
j) Tratamiento: Cualquier operación o conjunto de operaciones realizadas sobre datos personales, ya sea por procedimientos técnicos de carácter automatizado, parcialmente automatizado o no automatizado, tales como: la recogida, recopilación, obtención, registro, organización, estructuración, conservación, custodia, adaptación, modificación, eliminación, indexación, extracción, consulta, elaboración, utilización, posesión, aprovechamiento, distribución, cesión, comunicación o transferencia, o cualquier otra forma de habilitación de acceso, cotejo, interconexión, limitación, supresión, destrucción y, en general, cualquier uso de datos personales.
4. PRINCIPIOS
DIPAC realiza el tratamiento de los datos personales en función de los siguientes principios consagrados en la LOPDP:
a) Lealtad: DIPAC recopilará los datos personales de manera leal y lítica para una o varias de las finalidades específicas que han sido informadas al titular. La compañía únicamente tratará los datos personales bajo la utilización de cualquiera de las bases legitimadoras previstas en el artículo 7 de la LOPDP. Se informará al titular de los datos personales sobre la base legitimadora que se aplicará para el tratamiento, el tiempo de conservación de los datos, las categorías de datos personales que serán tratados, y demás requisitos previstos en la LOPDP y normativa secundaria aplicable.
DIPAC únicamente tratará los datos personales catalogados como sensibles en el artículo 4 de la LOPDP, cuando el tratamiento se fundamente en una base legitimadora. Sin perjuicio de lo indicado, en lo referente al tratamiento de datos de salud, especialmente y no limitándose a datos de trabajadores, DIPAC tratará los datos personales de acuerdo con las disposiciones del Código de Trabajo, Ley de Seguridad Social, y demás normativa aplicable.
Será responsabilidad del titular proporcionar a DIPAC datos exactos y correctos; sin embargo, la compañía podrá actualizar o solicitar la actualización de estos.
DIPAC no adquirirá datos personales o bases de datos, que no cuenten con los mecanismos de legitimación correspondiente, así como tampoco transferirá los datos a terceros destinatarios sin contar con la autorización o base legitimadora correspondiente.
b) Transparencia: DIPAC actuará de forma transparente con el titular de los datos personales durante el tratamiento de estos. En este sentido, DIPAC informará al titular utilizando un lenguaje claro y sencillo sobre los tratamientos de los datos. La información relativa al tratamiento será de fácil acceso, toda vez que las políticas y documentos referentes a la protección de datos personales constarán en las oficinas, sitio web, y lugares administrados y de propiedad por la compañía.
Los titulares de datos personales podrán ejercer sus derechos, poniendo a su disposición diferentes canales mediante los cuales el titular podrá presentar las solicitudes correspondientes.
DIPAC se regirá por las disposiciones de la LOPDP, su reglamento y demás normativa de la materia que sea aplicable.
c) Finalidad: DIPAC tratará los datos personales informando la o las finalidades para las cuales se utilizará dicha información. La o las finalidades serán determinadas, explícitas, y aplicando una base legitimadora para el tratamiento de los datos personales.
En este sentido, DIPAC recolecta, almacena, usa, circula o suprime los datos personales para las finalidades previstas en la presente Política, así como en las demás autorizaciones otorgadas por el Titular. En términos generales, DIPAC realizará el Tratamiento de los datos personales para el desarrollo de su objeto social.
d) Pertinencia y Minimización: DIPAC se limitará a tratar los datos personales que sean necesarios y pertinentes para el cumplimiento de las finalidades informadas al titular.
e) Proporcionalidad: DIPAC no recopilará datos en exceso o que sean innecesarios para la finalidad establecida. En el evento de contar con datos excesivos, se procederá a devolverlos al Responsable o titular, o los eliminará de las bases de datos de la compañía.
f) Confidencialidad: DIPAC realizará los mejores esfuerzos para garantizar la confidencialidad de los datos personales adoptando la tecnología, procesos, técnica que sean económicamente viables. De esta manera se procurará garantizar la confidencialidad, disponibilidad e integridad de los datos personales, limitando dentro de lo posible que terceros que no tengan derecho no puedan acceder a los datos personales. DIPAC no transferirá los datos personales a terceros destinatarios sin la autorización o la base legitimadora correspondiente.
g) Conservación: DIPAC conservará los datos personales de acuerdo con las finalidades para los cuales fueron proporcionados por el titular, o de acuerdo con lo establecido en las diferentes bases legitimadoras, y cuando se cumpla el período de conservación, se procederán a devolver los datos, o eliminarlos de sus sistemas. De igual manera, DIPAC podrá conservar aquellos datos personales anonimizados cuyo plazo de conservación haya transcurrido por más del tiempo necesario. El dato anonimizado podrá ser libremente utilizado por DIPAC.
h) Seguridad: DIPAC adoptará las medidas de seguridad técnicas, físicas, jurídicas y organizativas que sean necesarias para garantizar la confidencialidad de los datos personales, tomando en consideración el tipo de datos personales a ser tratados, así como el estado de la técnica y sus costos de aplicación.
Todos los terceros con quienes DIPAC comparta datos personales deberán acreditar la implementación de medidas de seguridad que garanticen la protección de datos personales.
i) Responsabilidad Proactiva y Demostrada: DIPAC obtendrá los medios de verificación necesarios y correspondientes para demostrar el cumplimiento de la LOPDP. A criterio de DIPAC o de ser necesario, obtendrá las certificaciones correspondientes.
5. DERECHOS DE LOS TITULARES
De acuerdo con lo establecido en la LOPDP, los derechos que le asisten a los Titulares, y que DIPAC garantiza su ejercicio son:
a) Acceso: Saber si tratamos tus datos o no, y acceder a los datos personales que disponemos del titular.
b) Rectificación y actualización: Solicitar que los datos personales inexactos, erróneos o incompletos sean rectificados o actualizados.
c) Eliminación: Solicitar que los datos personales sean borrados o eliminados en los casos que determinar el artículo 15 de la LOPDP
d) Oposición: Oponerse al tratamiento de los datos personales en circunstancias particulares determinadas en el artículo 16 de la LOPDP. DIPAC deberá dejar de tratar dichos datos cuando se presente una oposición, a menos que exista una razón específica por la que la oposición no sea válida.
e) Suspensión: Solicitar la suspensión del tratamiento de los datos personales, cuando se cumpla alguna de las condiciones del artículo 19 de la LOPDP.
f) Portabilidad: Facilitar los datos en un formato estructurado o enviar los mismos a otro Responsable del tratamiento.
g) No ser objeto de una decisión basada en valoraciones automatizadas: Oponerse, pedir explicaciones y solicitar la revisión humana de las decisiones basadas exclusivamente en un tratamiento total o parcialmente automatizado de datos personales que afecten a los intereses del titular, con las limitaciones determinadas en la LOPDP.
Revocatoria del consentimiento
De igual manera, los titulares podrán revocar el consentimiento otorgado en cualquier momento y de forma gratuita; sin embargo, dicha revocatoria procederá en los casos que corresponda. En este orden de ideas, la revocatoria del consentimiento no procederá: (i) por el cumplimiento de obligaciones legales o contractuales del titular con DIPAC; (ii) por el cumplimiento de órdenes judiciales o de autoridades competentes; o (iii) cuando se cuente con base que legitime el tratamiento.
En los casos en los que el titular desee revocar la autorización o actualizar su información personal y DIPAC actúe en calidad de Encargado del tratamiento, este deberá presentar su solicitud al Responsable del tratamiento. En concordancia con lo indicado, el Responsable deberá informar de la revocatoria o actualización de datos a DIPAC, para que ejecutar correctamente la labor encargada.
6. EJERCICIO DE DERECHOS
DIPAC garantiza el ejercicio de los derechos de acceso, rectificación o actualización, eliminación, oposición, suspensión, portabilidad, y a no ser objeto de decisiones basadas en valoraciones automatizadas, así como a revocar el consentimiento otorgado. En este sentido, los titulares podrán utilizar los siguientes mecanismos para el ejercicio de los referidos derechos:
a) Solicitud de ejercicio de derechos física: Gualaquiza Oe4-177 y Av. De La Prensa, Quito-Ecuador
b) Solicitud de ejercicio de derechos mediante correo electrónicos: info@dipacmanta.com.
c) Llamada telefónica: (02) 500 5001
DIPAC dará contestación a la solicitud de ejercicio de derechos dentro del plazo previsto en la LOPDP. Sin embargo, en caso de que la solicitud no fuese atendida oportunamente, se deja a salvo el derecho del titular para acudir directamente ante la Autoridad de Protección de Datos Personales.
Sin embargo, en el evento de que la solicitud del titular resulte incompleta, se requerirá que dentro de los cinco (5) días hábiles siguientes a la recepción de la solicitud o entregue cualquier requisito faltante.
En el caso de que el titular no presente la información requerida en el plazo de dos (2) meses, se entenderá que ha desistido de la solicitud de ejercicio de derechos.
7. MEDIDAS DE SEGURIDAD
Para salvaguardar los datos personas que se conservan en los medios de almacenamiento de DIPAC, la compañía implementará las medidas de seguridad técnicas, físicos, jurídicas y organizativas que considere adecuadas en atención a las categorías y volumen de los datos, el estado de la técnica y sus costos de aplicación. Además, se llevarán a cabo revisiones periódicas de las medidas de seguridad y de las políticas de protección de datos personales, así como capacitaciones al personal.
No obstante, se debe tomar en cuenta que las medidas de seguridad no son del todo infalibles, motivo por el cual DIPAC hará sus mejores esfuerzos para garantizar la confidencialidad, integridad, disponibilidad y resiliencia de la información que está bajo su custodia.
En el evento de que se produzca una vulneración a los datos personales, por ejemplo, filtraciones de datos personales, comercialización de datos, uso indebido de datos personales, suplantación de identidad, accesos no autorizados, o conductas que puedan vulnerar la intimidad de los titulares, DIPAC actuará acorde a la LOPDP y notificará a los sujetos correspondientes, de ser necesario.
8. DATOS PERSONALES RECOPILADOS
Los datos podrán ser suministrados directamente por los titulares, o recolectados a través de cualquier medio, como página web, formularios, actividades, concursos, encuestas, mensajes, entre otros.
En este sentido, a modo ejemplificativo, DIPAC recopila datos personales de los titulares a través de los siguientes mecanismos:
a) Sitio Web.
b) Hojas de vida de candidatos y trabajadores.
c) En el momento de la comercialización de productos con clientes.
d) Almacenamiento de información de proveedores, o personas vinculadas por motivos contractuales a DIPAC.
DIPAC únicamente realizará el tratamiento de los datos personales de los titulares cuando cuente con una base legal. En este sentido, DIPAC sólo recopilará y tratará datos considerados como datos sensibles en cumplimiento de una obligación legal, o en virtud de una base legitimadora.
DIPAC realiza el tratamiento de las siguientes categorías de datos a modo ejemplificativo, pero no exhaustivo, para el cumplimiento de las finalidades que se detallan en el siguiente apartado:
a) Datos de identificación: Nombres, apellidos, número de cédula, estado civil;
b) Datos de contacto: Número de teléfono, dirección, correo electrónico;
c) Datos crediticios: Datos de comportamiento crediticio, datos financieros (cuenta de banco; capacidad de pago;
d) Datos sensibles: Datos de salud, discapacidad;
e) Categorías especiales: Datos de niños, niñas o adolescentes;
f) Datos profesionales y académicos.
9. FINALIDADES DEL TRATAMIENTO
DIPAC llevará a cabo el tratamiento de los datos personales de los titulares conforme se detalla a continuación:
Tratamiento de datos personales de clientes
DIPAC realizará el tratamiento de los datos de los clientes y potenciales clientes de la compañía para el cumplimiento de objeto social. Los datos recopilados y conservados en los medios de almacenamiento de la compañía serán tratados en virtud del consentimiento otorgado, el cumplimiento de obligaciones legales o contractuales, así como por el interés legítimo de DIPAC, para las siguientes finalidades:
a) Actividades de inicio de la relación con el cliente.
b) Comprobación y verificación de la identidad y antecedentes penales, disciplinarios financieros y crediticios.
c) Creación del cliente en los sistemas informáticos de la compañía.
d) Desarrollo, ejecución y cumplimiento de la relación contractual.
e) Comercialización, distribución, y promoción de productos.
f) Realización de análisis estadísticos.
g) Gestiones de orden tributario, contable, administrativa y comercial.
h) Actividades referentes a confirmación de saldos y reportes de seguridad en función de las actividades de auditoría interna de la compañía.
i) Actividades de mercadeo, ventas y promocionales, telemercadeo, estudios de consumidor, atención al cliente, actividades de activación de marca, premios y promociones, directamente o a través de terceros derivados de alianzas comerciales o de cualquier vínculo.
j) Comunicación para efectos contractuales, informativos y comerciales.
k) Actualización de información.
l) Envío de información a entidades públicas.
m) Responder requerimientos judiciales o administrativos de autoridades competentes y el cumplimiento de mandatos judiciales o legales.
n) Dar a conocer, transferir o comunicar datos personales dentro y fuera del país a compañías relacionadas o aliados comerciales.
o) Comunicación de datos personales a Encargados del tratamiento para el cumplimiento de las finalidades descritas en la presente Política y el objeto de la relación comercial.
p) Conocer, almacenar y procesar toda la información suministrada por los Titulares de datos en una o varias bases de datos, en el formato que estime más conveniente.
Tratamiento de datos personales de proveedores
DIPAC realizará el tratamiento de los datos de los proveedores de la compañía para el cumplimiento de objeto social. Los datos recopilados y conservados en los medios de almacenamiento de la compañía serán tratados en virtud del consentimiento otorgados, el cumplimiento de obligaciones legales o contractuales, así como por el interés legítimo de DIPAC, para las siguientes finalidades:
a) Actividades de inicio de la relación con el proveedor.
b) Gestionar las relaciones comerciales que surjan, con el objeto de adquirir productos o servicios que ofrecen los proveedores para ayudar a la gestión administrativa y comercial de DIPAC.
c) Conservar y administrar la información de la relación comercial.
d) Mantener comunicación directa con los Titulares para temas relacionados con su relación comercial.
e) La realización de análisis estadísticos.
f) La comunicación con los Titulares para efectos contractuales, informativos y comerciales.
g) Comprobación y verificación de la identidad y antecedentes penales, disciplinarios financieros y crediticios.
h) Actividades referentes a verificación de datos y reportes de seguridad en función de las actividades de auditoría interna de la compañía.
i) Responder requerimientos judiciales o administrativos de autoridades competentes y el cumplimiento de mandatos judiciales o legales.
j) El desarrollo, ejecución y cumplimiento de la relación contractual que el proveedor tenga con DIPAC.
k) Dar a conocer, transferir o comunicar datos personales dentro y fuera del país a compañías relacionadas o aliados comerciales.
l) Actualización de información.
m) Conocer, almacenar y procesar toda la información suministrada por los proveedores de datos en una o varias bases de datos, en el formato que estime más conveniente.
n) Realizar todas las gestiones de orden tributario, contable, de facturación, administrativa y comercial.
Tratamiento de datos personales de trabajadores y candidatos
DIPAC realizará el tratamiento de los datos de los trabajadores y candidatos a puestos de trabajo de la compañía para la gestión de la relación laboral. Los datos recopilados y conservados en los medios de almacenamiento de la compañía serán tratados en virtud del consentimiento otorgados, el cumplimiento de obligaciones legales o contractuales, así como por el interés legítimo de DIPAC, para las siguientes finalidades:
a) Selección de personal, proceso de contrataciones, así como permitir el acceso de los empleados a los recursos informáticos de DIPAC.
b) Comprobación y verificación de la identidad y antecedentes penales, disciplinarios financieros y crediticios de los titulares.
c) Exámenes preocupaciones, ocupacionales y de salida.
d) Gestión de seguridad y salud ocupacional.
e) Capacitaciones.
f) Mantener comunicación directa con los titulares para temas relacionados con su relación laboral.
g) Pago de remuneración.
h) Control de novedades laborales como incapacidades.
i) Permisos.
j) Control de acceso y horario de trabajo del trabajador.
k) Afiliaciones y aportes a seguridad social.
l) Almacenar la información de la relación laboral.
m) Procesos de auditoría interna, incluyendo reportes de seguridad.
n) Sanciones disciplinarias, y emisión de responsabilidades.
o) Realización de análisis estadísticos.
p) Atender requerimientos judiciales o administrativos de autoridades competentes y el cumplimiento de mandatos judiciales o legales.
q) Gestión de beneficios corporativos.
Tratamiento de datos personales de visitantes
Los datos de los visitantes a las sucursales de DIPAC se tratarán con las siguientes finalidades:
a) La seguridad externa de las oficinas de DIPAC.
b) El control y la preservación de la seguridad de las personas, bienes e información de DIPAC.
10. VIDEOVIGILANCIA
DIPAC podrá tratar datos de imagen obtenidos a través de cámaras de videovigilancia que son de su propiedad con el fin de salvaguardar la seguridad de las instalaciones, bienes, y personas que tienen acceso a los establecimientos de la compañía. La base legal que sustenta este tratamiento es el interés público, conforme al numeral 4 del artículo 7 de la LOPDP.
Las imágenes se almacenan en un sistema que cuenta con condiciones de seguridad físicas y lógicas de estricto cumplimiento y al cual sólo tiene acceso personal previamente autorizado.
Las grabaciones tienen una duración de hasta treinta (30) días. Posterior el plazo señalado, se eliminan las grabaciones, salvo se requiera por orden de una autoridad competente o se produzca una novedad de seguridad.
Las grabaciones únicamente se descargarán en casos de novedades de seguridad o por orden de una autoridad competente.
11. DATOS DE MENORES DE EDAD
DIPAC no realiza el tratamiento de datos personales relacionados con niños, niñas y adolescentes. En caso de que un menor de edad comparta su información con DIPAC, este deberá contar con la autorización previa y expresa de su representante legal.
DIPAC se reserva el derecho de eliminar o borrar cualquier información relacionada con niños, niñas y adolescentes en caso de que un titular de datos personales haya compartido información de niños, niñas y adolescentes.
Sin embargo, para el cumplimiento de obligaciones legales derivadas de la relación laboral y de seguridad social, la compañía requerirá información de cargas familiares.
12. TRANSFERENCIAS DE DATOS PERSONALES
DIPAC únicamente comparte los datos personales de los titulares con los terceros que son necesarios para el cumplimiento de las finalidades previamente señaladas. En este sentido, DIPAC podrá comunicar o transferir la información con fines de almacenamiento en bases de datos con sus servidores ubicados en el Ecuador o en el extranjero.
En el evento de que la transferencia o comunicación suponga una transferencia internacional de datos personales, en principio, esta se realizará a jurisdicciones que cuenten con un nivel adecuado de protección. Sin embargo, en caso de que la transferencia se realice a una jurisdicción con un nivel de protección menor al de Ecuador, DIPAC exigirá al receptor de la información, que cuente con medidas de seguridad adecuadas que garanticen la confidencialidad, disponibilidad, integridad y resiliencia de los datos personales.
13. CONSERVACIÓN Y ELIMINACIÓN DE LOS DATOS PERSONALES
La información que se encuentra en las bases de datos y sistemas de información de DIPAC ha sido obtenida en desarrollo de la actividad de la empresa. Los datos personales se conservan en medios de almacenamiento físicos o digitales por el tiempo necesario para el cumplimiento de las finalidades previamente señaladas.
DIPAC recopila, y trata los datos personales durante el tiempo que es razonable y necesario, de acuerdo con las finalidades que justifican el tratamiento, atendiendo a las disposiciones aplicables a la materia de que se trate y a los aspectos contables, tributarios, jurídicos e históricos de la información.
Una vez cumplida la o las finalidades del tratamiento, y sin perjuicio de las normas legales que dispongan lo contrario, procederá a la eliminación de los datos personales. Sin perjuicio de lo anterior, los datos personales deberán ser conservados cuando así se requiera para el cumplimiento de una obligación legal, contractual o de auditoría.
14. DELEGADO DE PROTECCIÓN DE DATOS PERSONALES
DIPAC podrá contar con un Delegado de Protección de Datos (“DPO”), quien será responsable de velar por el cumplimiento de la normativa aplicable de datos personales, obtener los medios de verificación correspondientes, obtener las certificaciones necesarias y comunicarse con la Autoridad de Protección de Datos.
En caso de que DIPAC designe a un DPO, la compañía pondrá este hecho en conocimiento, así como los datos de contacto del DPO.
15. ACTUALIZACIONES Y MODIFICACIONES A LA POLÍTICA
La Política será revisada con periodicidad anual de acuerdo con las actividades comerciales y objetivos estratégicos de DIPAC.
La Política podrá ser revisada y adaptada de conformidad con los cambios legales, regulatorios o resoluciones de la Autoridad Competente.
La Política ha sido aprobada el 25 de mayo de 2023. La última modificación fue realizada el 30 de octubre de 2023.
