Manual de Políticas de Protección y Tratamiento de Datos Personales
Versión: 1.0
_____________________________________________________________________________
POLÍTICA DE TRATAMIENTO DE LA INFORMACIÓN
1. OBJETIVO
Informar a todos sus clientes y/o titulares de la información, ya sean pasados, actuales o futuros sobre las políticas en materia de protección de datos personales de Soderal S.A., dentro del cual se establecen los lineamientos y métodos para garantizar el derecho fundamental de Habeas Data, así como las directrices a titulares para una adecuada atención de consultas y reclamos.
2. ALCANCE
Estas políticas incluyen aspectos esenciales que permiten informar al titular de los datos personales sobre el apropiado tratamiento de los distintos tipos de datos personales que salvaguarda SODERAL S.A., de acuerdo a las finalidades informadas a los titulares de los datos personales otorgados por los clientes, trabajadores, contratistas, proveedores, pasantes y partes interesadas; además, se incluyen los datos personales que son recolectados a través de los canales de atención y página web de SODERAL S.A., así como de las medidas de seguridad con que se les da tratamiento, de los derechos de los titulares y los deberes de los Responsables y Encargados de las Bases de Datos Personales, en aras de que la SODERAL S.A., cumpla con los postulados de la Ley Orgánica de Protección de Datos Personales.
También se toman en cuenta los datos personales de los clientes de Soderal S.A. que en años pasados hayan sido recolectados, almacenados, tratados y/o suprimidos.
3. BASE LEGAL
- Ley Orgánica de Protección de Datos Personales, publicada en el Registro Oficial No. 459 del 26 de mayo del 2021 (en adelante la “LOPDP”).
- ISO/IEC 27001:2022 Seguridad de la Información, Ciberseguridad y protección de privacidad – Sistemas de Gestión de Seguridad de la Información – Requisitos.
4. DEFINICIONES
- Anonimización: La aplicación de medidas dirigidas a impedir la identificación o re-identificación de una persona natural, sin esfuerzos desproporcionados.
- Base de datos o fichero: Conjunto estructurado de datos cualquiera que fuera la forma, modalidad de creación, almacenamiento, organización, tipo de soporte, tratamiento, procesamiento, localización o acceso, centralizado, descentralizado o repartido de forma funcional o geográfica.
- Consentimiento: Manifestación de la voluntad libre, específica, informada e inequívoca, por el que el titular de los datos personales autoriza al responsable del tratamiento de los datos personales a tratar los mismos.
- Dato biométrico: Dato personal único, relativo a las características físicas o fisiológicas, o conductas de una persona natural que permita o confirme la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos, entre otros.
- Dato personal: Dato que identifica o hace identificable a una persona natural, directa o indirectamente.
- Responsable de tratamiento de datos personales: persona natural o jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.
- Titular: Persona natural cuyos datos son objeto de tratamiento.
- Transferencia o comunicación: Manifestación, declaración, entrega, consulta, interconexión, cesión, transmisión, difusión, divulgación o cualquier forma de revelación de datos personales realizada a una persona distinta al titular, responsable o encargado del tratamiento de datos personales. Los datos personales que se comuniquen deben ser exactos, completos y actualizados.
- Tratamiento: Cualquier operación o conjunto de operaciones realizadas sobre datos personales, ya sea por procedimientos técnicos de carácter automatizado, parcialmente automatizado o no automatizado, tales como: la recogida, recopilación, obtención, registro, organización, estructuración, conservación, custodia, adaptación, modificación, eliminación, indexación, extracción, consulta, elaboración, utilización, posesión, aprovechamiento, distribución, cesión, comunicación o transferencia, o cualquier otra forma de habilitación de acceso, cotejo, interconexión, limitación, supresión, destrucción y, en general, cualquier uso de datos personales.
- Vulneración de la seguridad de los datos personales: Incidente de seguridad que afecta la confidencialidad, disponibilidad o integridad de los datos personales.
5. RESPONSABLE DEL TRATAMIENTO DE LOS FICHEROS DE DATOS PERSONALES
El responsable del tratamiento de los datos es la Sociedad de Destilación de Alcoholes - SODERAL S.A., con RUC: 0991252142001.
Domicilio legal en Av. Pedro Menéndez S/N, Diagonal a Solca, Guayaquil – Ecuador.
Teléfono: (593-4) 228-6414 / (593-4) 229-4870 / (593-4) 228-4394
Correo electrónico: This email address is being protected from spambots. You need JavaScript enabled to view it.
SODERAL S.A. como Empresa se dedica a la producción y venta al por mayor de los siguientes productos para el consumidor, derivados de la caña de azúcar:
- Alcohol Etílico
- Alcohol Anhidro
- CO2 líquido
- Hielo seco
- Levadura seca
Recolecta, almacena, transfiere y suprime datos personales, en el marco del cumplimiento de la Ley Orgánica de Protección de Datos Personales.
SODERAL S.A., como responsable de los datos personales que salvaguarda en su infraestructura, expide la presente Política de Protección de Datos Personales en cumplimiento de lo dispuesto por el artículo 66 de la Constitución de la República, la Ley Orgánica de Protección de Datos Personales.
6. PRINCIPIOS
Soderal S.A. se compromete a cumplir con los principios rectores establecidos por la Ley Orgánica de Protección de Datos Personales durante el tratamiento de los datos personales:
- Juridicidad: Los datos personales deben tratarse con estricto apego y cumplimiento a los principios, derechos y obligaciones establecidas en la Constitución y la jurisprudencia aplicable.
- Lealtad: El tratamiento de datos personales deberá ser leal, por lo que para los titulares debe quedar claro que se están recogiendo, utilizando, consultando o tratando de otra manera, datos personales que les conciernen, así como las formas en que dichos datos son o serán tratados.
En ningún caso los datos personales podrán ser tratados a través de medios o para fines ilícitos o desleales.
- Transparencia: Las relaciones derivadas del tratamiento de datos personales deben ser transparentes con los titulares de los datos. Por lo que toda información o comunicación relativa a este tratamiento deberá ser fácilmente accesible y fácil de entender y se deberá utilizar un lenguaje sencillo y claro.
- Finalidad y proporcionalidad del tratamiento: Soderal S.A. comunica al titular las finalidades, de forma explícita y legítimas.
No serán tratados los datos personales con fines distintos para los cuales fueron recopilados, a menos que concurra una de las causales que habiliten un nuevo tratamiento conforme los supuestos de tratamiento legítimo.
- Pertinencia y minimización de datos personales: Los datos personales deben ser pertinentes y estar limitados a lo estrictamente necesario para el cumplimiento de la finalidad del tratamiento.
- Confidencialidad: El tratamiento de datos personales debe concebirse sobre la base del debido sigilo y secreto, es decir, no debe tratarse o comunicarse para un fin distinto para el cual fueron recogidos.
- Calidad y exactitud: Los datos personales que sean objeto de tratamiento deben ser exactos, íntegros, precisos, completos, comprobables, claros y, de ser el caso, debidamente actualizados de tal forma que no se altere su veracidad.
- Seguridad de datos personales: Soderal S.A. como responsable del tratamiento de datos personales deberá implementar todas las medidas de seguridad adecuada y necesaria, para proteger los datos personales frente a cualquier riesgo, amenaza, vulnerabilidad, accesos no autorizados, pérdidas, alteraciones, destrucción o comunicación accidental o ilícita, atendiendo a la naturaleza de los datos personales, al ámbito y contexto.
- Responsabilidad proactiva y demostrada: Soderal S.A. deberá acreditar el haber implementado mecanismos para la protección de datos personales.
- Aplicación favorable al titular: En caso de duda sobre el alcance de las disposiciones del ordenamiento jurídico o contractuales, aplicables a la protección de datos personales, los funcionarios judiciales y administrativos las interpretarán y aplicarán en el sentido más favorable al titular de dichos datos.
7. DERECHOS
Soderal S.A. se compromete a establecer los mecanismos necesarios para que los derechos establecidos por la Ley Orgánica de Protección de Datos Personales sean protegidos:
- Derechos a la lealtad, transparencia e información: El titular de datos personales y el representante legal de niñas, niños y adolescentes, tienen derecho a ser informado de forma leal y transparente por cualquier medio sobre:
- Los fines del tratamiento.
- Base legal para el tratamiento.
- Tipos de tratamiento.
- Tiempo de conservación.
- La existencia de una base de datos donde consten sus datos personales.
- El origen de los datos personales.
- Otras finalidades y tratamientos ulteriores.
- Identidad y datos de contacto del responsable y encargado del tratamiento de datos personales, que incluye: dirección de domicilio legal, número de teléfono y correo electrónico.
- Las transferencias o comunicaciones, nacionales o internacionales, de datos personales que pretenda realizar, incluyendo los destinatarios y sus clases, así como las finalidades que motivan la realización de estas.
- La existencia y forma en que pueden hacerse efectivos sus derechos de acceso, eliminación, rectificación y actualización, anulación, limitación del tratamiento y a no ser objeto de una decisión basada únicamente en valoraciones automatizadas.
- Dónde y cómo realizar sus reclamos ante el responsable del tratamiento de datos personales, y la Dirección Nacional de Registro de Datos Públicos.
- La existencia de valoraciones y decisiones automatizadas, incluida la elaboración de perfiles.
El titular deberá ser informado de forma directa, expresa, transparente, inteligible, concisa, precisa sin barreras técnicas, e, inequívoca.
- Derecho de Acceso: El titular tiene derecho a conocer y a obtener del responsable de tratamiento acceso a todos sus datos personales y a la información detallada en el artículo precedente sin necesidad de presentar justificación alguna.
- Derecho de Rectificación y Actualización: El titular tiene el derecho de solicitar al responsable del tratamiento, se corrijan o actualicen sus datos inexactos, incompletos, desactualizados, erróneos, falsos, incorrectos o imprecisos.
- Derecho a la limitación del tratamiento: El titular tendrá derecho a que se use el mínimo de sus datos personales en el tratamiento efectuado por responsables o encargados del tratamiento de datos personales; a que sus datos personales no se encuentren disponibles en internet u otros medios de comunicación masiva; a que el tratamiento de datos personales se limite al período que medie entre una solicitud de revisión de juridicidad, lealtad, transparencia, legitimidad, acceso, rectificación y actualización, limitación del tratamiento o, de no ser objeto de una decisión basada únicamente en valoraciones automatizadas, hasta su resolución por el responsable o encargado del tratamiento de datos personales.
- Derecho a no ser objeto de una decisión basada únicamente en valoraciones automatizadas: El titular tiene derecho a no ser sometido a una decisión basada únicamente en valoraciones que sean producto de procesos automatizados, incluida la elaboración de perfiles, que produzcan efectos jurídicos en él o que atenten contra sus derechos y libertades fundamentales, para lo cual podrá:
- Solicitar una explicación motivada sobre la decisión tomada por el responsable o encargado del tratamiento de datos personales.
- Presentar observaciones.
- Solicitar los criterios de valoración sobre el programa automatizado.
- Impugnar la decisión ante el responsable o encargado de tratamiento.
8. ROLES Y RESPONSABILIDADES
8.1. Responsable de Seguridad y Protección de Datos Personales
- Inscribir los ficheros o bancos de datos personales y mantenerlos actualizados ante la Autoridad.
- Cumplir y hacer cumplir las disposiciones contenidas en la presente Política y demás disposiciones legales, relativas a la Protección de Datos Personales.
- Atender las consultas que sean formuladas con relación a la presente Política.
- Responder a los requerimientos de información relativos a las regulaciones sobre Protección de Datos Personales que sean remitidos a Soderal S.A., por la Autoridad u otro ente gubernamental, debido a las disposiciones contenidas en la presente Política.
- Establecer y desarrollar los procedimientos necesarios para el cumplimiento de las disposiciones establecidas en la presente Política.
- Establecer las directrices para implementar las medidas de seguridad que se establezcan en Soderal S.A., con el objeto de proteger y controlar el tratamiento de datos personales, que incluyan como mínimo evaluación de riesgos, análisis de impacto de protección de datos, procesos de gestión de incidentes de seguridad de la información y realizar el monitoreo respectivo de forma periódica.
- Establecer programas periódicos de formación con el objetivo de que la presente Política y las actividades que lo sustentan, sean conocidos y entendidos por todas las personas que deban tener conocimiento de esta.
- Suscribir un acuerdo de confidencialidad de la información.
8.2. Responsable del Tratamiento de los Ficheros de Datos Personales
- Brindar los recursos necesarios, para tomar las decisiones respecto al tratamiento de los datos personales y dirigir las acciones relacionadas a la adopción de las medidas de seguridad.
- Suscribir un acuerdo de confidencialidad de la información.
8.3. Encargados del Tratamiento de los Ficheros de Datos Personales
- Informar al Responsable de Seguridad y Protección de Datos Personales, sobre las modificaciones (recolección de nuevos datos personales, eliminación y/o modificación de datos personales ya existentes, entre otros) en los bancos de datos personales a fin de que se formalicen los cambios ante la Autoridad.
- Atender las solicitudes de los derechos ARCO (Acceso, Rectificación, Consulta, Oposición), según el tipo de requerimiento, en términos de plazos y según su responsabilidad.
- Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
- Realizar oportunamente la actualización, rectificación o supresión de los datos en los términos de la ley.
- Suscribir un acuerdo de confidencialidad de la información.
- Registrar en la base de datos las leyendas "reclamo en trámite”, "información en discusión judicial" cuando sea requerido y/o notificado por parte de una autoridad competente sobre procesos judiciales relacionados con la calidad del dato personal.
- Abstenerse de circular información que esté siendo controvertida por el Titular y cuyo bloqueo haya sido ordenado por la Autoridad competente.
- Permitir el acceso a la información únicamente a las personas que pueden tener acceso a ella.
- Informar a la Autoridad competente cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.
8.4. Áreas de Negocio y Tecnología
- Implementar las medidas de seguridad definidas por Soderal S.A. en coordinación con las áreas de soporte y el Responsable de Seguridad que incluyan como mínimo evaluación de riesgos, análisis de impacto de protección de datos, procesos de gestión de incidentes de seguridad de la información.
8.5. Colaboradores
- Cumplir la presente Política y los procedimientos que de esta se deriven.
9. TRATAMIENTO DE LOS DATOS PERSONALES
Los datos personales son recolectados, almacenados, organizados, usados, circulados, transmitidos, transferidos, actualizados, rectificados, suprimidos, eliminados y en general gestionados de acuerdo y en proporción a la finalidad o finalidades que tenga cada fichero de datos.
El responsable de tratamiento administra los datos aplicando un modelo de gestión del riesgo para garantizar la seguridad y la confidencialidad de la información en cumplimiento y de la presente política.
La obtención de los datos personales se podrá realizar a través de medios escritos, registros electrónicos, fuentes de acceso público, entre otros. Así mismo puede ser tratada de manera manual y automatizada.
Todo tratamiento de datos personales debe ser previo consentimiento libre, expreso e informado de su titular; Así mismo, la información recopilada en los ficheros de datos podrá ser suministrada a los titulares, sus causahabientes o sus representantes legales; a las entidades públicas o administrativas en ejercicio de sus funciones legales o por orden judicial y; a los terceros autorizados por el titular o por la Ley.
Los datos personales podrán ser tratados para:
- Proveedores: Recopilar los datos de los socios de negocio - proveedores para realizar la gestión administrativa de su información cuando se realice la adquisición de bienes, servicios u obras con el propósito de cumplir con las obligaciones adquiridas, garantizando las operaciones de Soderal S.A.
- Pasantes Colegio: Almacenar la información relacionada con la ejecución de las pasantías de estudiantes de colegio menores de edad.
- Pasante Universidad: Administrar la información relacionada con la gestión de recursos humanos de los pasantes de universidad, que incluye el cumplir con las obligaciones legales.
- Trabajador: Administrar la información relacionada con la gestión de recursos humanos, que incluye el cumplir con las obligaciones legales, así como la identificación de trabajadores que hacen uso de los servicios médicos que tienen un convenio con Soderal S.A.
- Aspirante: Recopilar los datos de postulantes para su evaluación y selección a un puesto laboral en Soderal S.A.
- Visitante: Captación, transmisión, conservación y almacenamiento de imágenes, incluida su reproducción o emisión en tiempo real con fines de video vigilancia de acuerdo con las políticas internas de la empresa. Asimismo, monitoreo de las áreas, control de acceso de personas que ingresan a las instalaciones de la empresa.
- Control de Acceso: Registro de datos biométrico para otorgar el acceso de estas tras la aprobación de su identidad.
- CCTV: Registro de datos de personas que acceden a las instalaciones de la oficina administrativa para fines de seguridad
- Cliente: "Recopilar los datos de clientes y potenciales clientes, con el fin de brindarles información de los productos y servicios de Soderal S.A., así como la administración de los contratos celebrados.
- Contratista: Recopilar los datos de los socios de negocio - contratistas para realizar la verificación del cumplimiento de la legalidad de estos cuando ingresen a la planta de Soderal S.A.
Los ficheros de datos serán inscritos en el Registro Nacional de Protección de Datos Personales, una vez que dicho registro se habilite. Cuando ya se encuentre habilitado, el titular podrá verificar la inscripción de la base en dicho Registro.
Los datos personales de niñas, niños y/o adolescentes serán objeto de tratamiento de manera excepcional, según los parámetros legales. Se respetará el interés superior de los niños, niñas y/o adolescentes y se mantendrán mecanismos implementados para asegurar el respeto de sus derechos fundamentales.
La autorización requerida para dar tratamiento de datos personales de niñas, niños y/o adolescentes deberá provenir de su representante legal, sin embargo, el menor podrá ser escuchado y dar su opinión que será valorada teniendo en cuenta su madurez, que deberá entenderse con el nivel de comprensión sobre un asunto y la evaluación de sus consecuencias.
Los datos sensibles serán tratados de manera excepcional, previa autorización de tratamiento del titular, en virtud del principio de libertad. (El titular del dato personal otorgará su autorización explícita a dicho tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización).
10. SOBRE LOS DERECHOS ARCO (ACCESO, RECTIFICACIÓN, CANCELACIÓN Y OPOSICIÓN)
El Titular de los Datos Personales puede ejercer en cualquier momento sus derechos de:
- Información: Pedir información sobre la finalidad para la cual son utilizados sus datos personales, quiénes tienen acceso a ellos, en cuál banco de datos se almacenan, así como los datos de Soderal S.A. y, de ser el caso, del encargado de su tratamiento, las transferencias que se realizan.
- Acceso: Conocer cuáles de los datos personales están incluidos en los ficheros de datos, la forma en que fueron recopilados, la finalidad por la cual fueron recopilados y a solicitud de quién se hizo su recopilación, las transferencias realizadas, las condiciones y uso que se les da, así como el tiempo de conservación de los datos personales
- Rectificación: Solicitar la actualización, inclusión o modificación de los datos personales cuando sean parcial o totalmente inexactos, incompletos, erróneos o falsos.
- Cancelación: Solicitar cancelar o eliminar los datos personales de los ficheros de datos.
Es importante considerar que no procederá el derecho de cancelación si mantiene una relación contractual con Soderal S.A: y sus datos son necesarios para ejecutar dicha relación contractual.
- Oposición: Oponerse a figurar en los ficheros de datos o a que Soderal S.A. utilice sus datos personales: (i) cuando no haya autorizado su recopilación por haber sido tomados de fuentes públicas; o, (ii) cuando habiendo dado su consentimiento, acredite la existencia de motivos que justifiquen tu solicitud.
11. REVOCATORIA DEL CONSENTIMIENTO
El titular de los datos podrá revocar en cualquier momento su consentimiento a través de los canales de atención de Soderal S.A., la revocatoria parcial o total del consentimiento también podrá ser solicitada a través del correo electrónico antes mencionado.
Se establecerá en la revocatoria que los datos personales no se volverán a entregar ni actualizar desde los registros de Soderal S.A. a otras instituciones (encargados del tratamiento de datos personales), pero que tanto Soderal S.A. como encargados del tratamiento de los datos personales podrá mantener información para cumplir con normas regulatorias de respaldo de información por la cantidad de años que la ley o normativa de entes reguladores lo exijan
12. TRANSFERENCIA INTERNACIONAL DE BASE DE DATOS
Las bases de datos personales no serán transferidas a países en los cuales no se proporcionen niveles adecuados de protección de datos. La medida para ello serán los estándares fijados por las autoridades respectivas sobre la materia, los que en ningún caso podrán ser inferiores a los exigidos en la Constitución. Sin embargo, se podrá obviar esta circunstancia en los casos que:
- La información respecto de la cual el titular haya otorgado su autorización expresa e inequívoca para la transferencia.
- Para la ejecución de medidas precontractuales (siempre y cuando se cuente con la autorización del titular).
13. SEGURIDAD DE LA INFORMACIÓN
SODERAL S.A., cuenta con medidas de protección de la información a través de mecanismos de seguridad informática que incluyen controles para mejorar la resiliencia técnica, física, administrativa, y jurídica tales como: firewalls, antivirus, controles de accesos, gestión de perfiles, entre otros.
Consecuentemente, se deben establecer medidas dirigidas a mantener la confidencialidad, integridad y disponibilidad permanentes de los sistemas y servicios del tratamiento de datos personales y el acceso a los datos personales, de forma rápida en caso de incidentes, que incluyan controles de anonimización, seudonomización o cifrado de datos personales.
Los responsables y encargados del tratamiento de datos personales se deberán acoger a estándares internacionales para una adecuada gestión de riesgos la cual está enfocada en la protección de derechos y libertades, así como en la implementación y manejo de sistemas de seguridad de la información y el establecimiento de códigos de conducta.
14. PLAZO DE CONSERVACIÓN
La información del titular será conservada por el plazo máximo aprobado en la Ley Orgánica de Protección de Datos Personales, con excepción de aquellos datos que, por mandato de la normativa aplicable, deba permanecer en custodia de Soderal S.A. con sujeción a otros plazos o tiempos.
15. DISPOSICIONES FINALES Y COMPLEMENTARIAS
- El presente documento rige a partir del día siguiente a su publicación, quedando sin efecto todas las versiones anteriores.
- Puede ser modificado en cualquier momento conforme a las disposiciones internas de Soderal S.A.
- Su incumplimiento estará sujeto a sanciones establecidas en el Reglamento Interno de Trabajo.
