Política de Protección de Datos Personales
1. Antecedentes
La Superintendencia de Protección de Datos Personales (SPDP) es la entidad responsable del tratamiento de los datos de carácter personal suministrados por los TITULARES de los datos personales. La siguiente Política de Protección de Datos Personales debe leerse íntegra y cuidadosamente por los titulares y al momento que el titular acepta la presente política se rige jurídicamente por las presentes condiciones.
2. Objeto
La presente Política de Protección de Datos Personales (“Política”) establece los parámetros de tratamiento de los datos personales de cada titular por parte de la SPDP.
El titular podrá revisar la presente Política siempre que considere necesario, así también reconoce y acepta que la SPDP tiene plena capacidad para la modificación de la misma. En este sentido, la SPDP emitirá un comunicado en sus portales web, el cual aparecerá cuando se acceda a la plataforma donde se informará que la Política ha sido modificada. En caso de haber una modificación que involucre los derechos de los titulares se volverá a solicitar el consentimiento de los mismos a través de la aceptación de la Política.
3. Responsable del Tratamiento de Datos Personales
- Nombre del responsable: Superintendencia de Protección de Datos Personales
- RUC: 1798194832001
- Domicilio: Plataforma Gubernamental de Gestión Financiera, Bloque Amarillo en la ciudad de Quito. D.M.
- Correo electrónico: datospersonales@spdp.gob.ec
4. Delegado de Protección de Datos Personales
- Nombre: Diana Toapanta Pila
- Domicilio: Plataforma Gubernamental de Gestión Financiera, Bloque Amarillo en la ciudad de Quito. D.M.
- Correo electrónico: dpd@spdp.gob.ec
5. Leyes Aplicables
- Ley Orgánica de Protección de Datos Personales (LOPDP).
- Reglamento General de Protección de Datos Personales (RGLOPDP).
- Ley de Comercio Electrónico, Firmas y Mensajes de Datos.
- Demás normativa aplicable de la materia.
6. Definiciones
- Administrados: Son los titulares de datos personales, los denunciantes, los responsables y encargados de tratamiento de datos personales, los apoderados especiales debidamente registrados de aquellos responsables, conjuntos o no y encargados extranjeros no domiciliados en el territorio ecuatoriano, delegados de protección de datos personales debidamente registrados y terceros.
- Dato personal: Dato que identifica o hace identificable a una persona natural, directa o indirectamente.
- Dato sensible: Datos relativos a: etnia, identidad de género, identidad cultural, religión, ideología, filiación política, pasado judicial, condición migratoria, orientación sexual, salud, datos biométricos, datos genéticos y aquellos cuyo tratamiento indebido pueda dar origen a discriminación, atenten o puedan atentar contra los derechos y libertades fundamentales.
- Delegado de Protección de Datos Personales: Persona natural encargada de informar al responsable o al encargado del tratamiento sobre sus obligaciones legales en materia de protección de datos personales, así como de velar o supervisar el cumplimiento normativo al respecto, y de cooperar con la SPDP, sirviendo como punto de contacto entre esta y la entidad responsable del tratamiento de datos personales.
- Destinatario: Persona natural o jurídica que ha sido comunicada con datos personales.
- Responsable del tratamiento: Persona natural o jurídica, que sólo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.
- Titular de datos personales: Persona natural cuyos datos son objeto de tratamiento.
- Transferencia o comunicación: Manifestación, declaración, entrega, consulta, interconexión, cesión, transmisión, difusión, divulgación o cualquier forma de revelación de datos personales realizada a una persona distinta al titular, responsable o encargado del tratamiento de datos personales. Los datos personales que comuniquen deben ser exactos, completos y actualizados
- Servidores públicos: Serán servidores públicos todas las personas que en cualquier forma o a cualquier título trabajen, presten servicios o ejerzan un cargo, función o dignidad dentro del sector público.
7. Obtención de Datos Personales
Con objeto de prestar los servicios que le corresponden, la SPDP podrá solicitar a través de formularios de datos personales que serán tratados de acuerdo con lo establecido en la LOPDP, RLOPDP y demás normativa emitida para el efecto.
8. Categorías de Datos Personales
Servidores públicos: Respecto a los servidores públicos se tratarán las siguientes categorías de datos personales:
- Datos identificativos, biográficos y de contacto: Nombres y apellidos, cédula de identidad o número de pasaporte, dirección física y electrónica, firma y teléfono.
- Datos especiales: Datos relativos de la salud, datos personales crediticios, datos de personas con discapacidad y de sus sustitutos, datos de niñas, niños y adolescentes.
- Metadatos que podrían ser datos personales.
Titulares de los derechos de datos personales:
Respecto a los titulares de los derechos de datos personales se tratarán las siguientes categorías:
- Datos identificativos, biográficos y de contacto: Nombre y apellidos, cédula de identidad o número de pasaporte, dirección física y electrónica, firma y teléfono.
- Datos especiales: Datos relativos de la salud, datos personales crediticios, datos de personas con discapacidad y de sus sustitutos, datos de niñas, niños y adolescentes, datos personales de personas fallecidas.
- Metadatos que podrían ser datos personales.
Administrados. – Respecto a los administrados se tratarán las siguientes categorías de datos personales:
- Datos identificativos, biográficos y de contacto: Nombre y apellidos, cédula de identidad o número de pasaporte; Razón social, RUC, representante legal, dirección física y electrónica, firma y teléfono.
- Datos especiales: Datos relativos de la salud, datos personales crediticios, datos de personas con discapacidad y de sus sustitutos, datos de niñas, niños y adolescentes, datos personales de personas fallecidas.
- Metadatos que podrían ser datos personales
9. Base Legal para el Tratamiento de los Datos Personales
El tratamiento legítimo de datos personales se realiza en cumplimiento de obligaciones legales, interés público o en el ejercicio de poderes públicos conferidos a la SPDP.
En caso de que se requiera el consentimiento del titular, se le solicitará de forma previa y será prestado mediante una clara acción afirmativa.
10. Fines del Tratamiento
A través del portal web de la SPDP, no se recogen datos personales sin la debida legitimidad. Los datos aportados por los titulares de los datos personales se utilizarán, con carácter único y exclusivo, para los fines previstos en cada procedimiento o actuación.
La recogida y tratamiento de los datos personales tiene como finalidad general la gestión, prestación y mejora de los servicios y la tramitación de los procedimientos administrativos relacionados con la SPDP, así como cualquier otro servicio solicitado en cada momento por el titular y/o administrado y su debido seguimiento y respuesta.
El tratamiento de los datos personales recogidos por la SPDP puede tener finalidades adicionales, todas ellas justificadas por el consentimiento explícito del titular o por la legitimación que a la SPDP le confieren las Leyes y disposiciones normativas que regulan los servicios ofrecidos y los respectivos procedimientos, de acuerdo con los supuestos de licitud de los tratamientos previstos por el art 7 de la LOPDP.
11. Tiempo de Conservación de Datos Personales
Los datos personales proporcionados se conservarán durante el tiempo necesario para cumplir con la finalidad para la que se recaban y para determinar las posibles responsabilidades que se pudieran derivar de la finalidad.
Después de este lapso, los datos serán eliminados, anonimizados o bloqueados de acuerdo con los mecanismos y herramientas implementadas por la SPDP.
12. Transferencias y/o Comunicación
La SPDP únicamente comparte los datos personales de los titulares con los terceros que son necesarios para el cumplimiento de las finalidades previamente señaladas. En este sentido, la SPDP podrá comunicar o transferir la información con fines de almacenamiento en bases de datos con sus servidores ubicados en el Ecuador o en el extranjero.
En el evento de que la transferencia o comunicación suponga una transferencia internacional de datos personales, en principio, esta se realizará a jurisdicciones que cuenten con un nivel adecuado de protección. Sin embargo, en caso de que la transferencia se realice a una jurisdicción con un nivel de protección menor al de Ecuador, la SPDP exigirá al destinatario, que cuente con medidas de seguridad adecuadas que garanticen la confidencialidad, disponibilidad, integridad y resiliencia de los datos personales.
13. Derechos de los Titulares de los Datos Personales
El titular de los datos personales podrá ejercer los siguientes derechos:
- Acceso: El titular de los datos personales puede conocer, obtener y solicitar a la SPDP la información que se está tratando.
- Rectificación y actualización: El titular de los datos personales puede solicitar que se modifiquen o actualicen sus datos personales.
- Eliminación: El titular de los datos puede solicitar la eliminación de datos personales que la SPDP posea, siempre que dichos datos personales ya no sean necesarios para las finalidades de uso.
- Suspensión: El titular de los datos puede solicitar el cese temporal del tratamiento de sus datos personales en los siguientes casos:
- Impugna la exactitud de sus datos personales, mientras el responsable del tratamiento verifica la exactitud de estos.
- El tratamiento sea ilícito y el titular de datos se oponga a la supresión de los datos personales y solicite en su lugar la limitación de su uso.
- El responsable ya no necesite tratar los datos personales pero el titular de datos los necesite para la formulación, el ejercicio o la defensa de reclamaciones.
5. Oposición: El titular tiene el derecho a oponerse o negarse al tratamiento de sus datos personales, en los siguientes casos:
- Cuando no se afecten derechos y libertades fundamentales de terceros, la ley se lo permita y no se trate de información pública, de interés público o cuyo tratamiento está ordenado por la ley.
- Cuando el tratamiento de datos personales tenga por objeto la mercadotecnia directa; el interesado tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles; en cuyo caso los datos personales dejarán de ser tratados para dichos fines.
- Cuando no sea necesario su consentimiento para el tratamiento como consecuencia de la concurrencia de un interés legítimo, previsto en el artículo 7 de la LOPDP, y se justifique en una situación concreta personal del titular, siempre que una ley no disponga lo contrario.
6. No ser objeto de una decisión basada en valoraciones automatizadas: Oponerse, pedir explicaciones y solicitar la revisión humana de las decisiones basadas exclusivamente en un tratamiento total o parcialmente automatizado de datos personales que afecten a los intereses del titular, con las limitaciones determinadas en la LOPDP.
14. Procedimiento para el Ejercicio de los Derechos de Titular
Para hacer efectivo el ejercicio de los derechos o actualizar su información, la SPDP ha puesto a disposición el siguiente correo electrónico: datospersonales@spdp.gob.ec
Cuando consideres que no has obtenido respuesta adecuada a tu petición de ejercicio de derechos, podrá escribir al Delegado de Protección de Datos en la siguiente dirección: dpd@spdp.gob.ec
15. Seguridad de los Datos Personales
La SPDP implementa medidas de seguridad para proteger la confidencialidad, integridad y disponibilidad de los datos personales:
- Realiza de manera periódica la evaluación de impacto del tratamiento de datos personales conforme a lo establecido en el artículo 42 de la LOPDP.
- Implementa las medidas de seguridad organizacionales y técnicas necesarias en base a los resultados de la gestión de riesgos de seguridad de datos personales.
- Cuenta con políticas de acceso y privilegios para incrementar la confidencialidad en el tratamiento, implementa políticas de borrado seguro de datos personales.
- Cuenta con planes de continuidad de actividades (BCP) y planes de recuperación de desastres (DRP) con el fin de garantizar su disponibilidad, desarrolla sus políticas de seguridad de la información en base a las siguientes normas: ISO / IEC 27001, 27002 y 27005; ISO / IEC 27701; ISO 22301; ISO / IEC 27037; OWASP ASVS, OWASP Top Ten, FAIR model (entre otras).
16. Información sobre Cookies
Una cookie se refiere a un fichero que es enviado con la finalidad de solicitar permiso para almacenarse en su ordenador, al aceptar dicho fichero se crea y la cookie sirve entonces para tener información respecto al tráfico web, y también facilita las futuras visitas a una web recurrente. Otra función que tienen las cookies es que con ellas pueden reconocer individualmente al titular de datos personales.
El Portal Web de la SPDP emplea las cookies para poder identificar las páginas que son visitadas y su frecuencia. Esta información es empleada únicamente para análisis estadístico y después la información se elimina de forma permanente. El titular puede eliminar las cookies en cualquier momento desde su ordenador. El titular puede personalizar las cookies en tres niveles:
a) El nivel más alto de privacidad: Se accede a los datos personales solo para las operaciones básicas necesarias. Se comparten los datos con terceros para garantizar que el sitio sea seguro y funcione en su dispositivo.
b) Experiencia equilibrada: Datos accedidos para la personalización de contenidos y la optimización del sitio. Los datos compartidos con terceros pueden utilizarse para realizar un seguimiento de sus preferencias y almacenarlas en este sitio.
c) El nivel más alto de personalización: Datos a los que se accede para que los anuncios y los contenidos multimedia sean más relevantes. Los datos compartidos con terceros pueden utilizarse para realizar un seguimiento de las visitas del titular a este sitio y a otros sitios que visite.
17. Contacto con Nosotros
Siempre que se requiera mayor información sobre el tratamiento de los datos personales del titular, éste podrá contactar a la SPDP a través del correo electrónico: datospersonales@spdp.gob.ec
18. Actualizaciones y Modificaciones a la Política
La Política será revisada con periodicidad y adaptada de conformidad con los cambios legales, regulatorios o resoluciones de la SPDP.
La Política ha sido aprobada el 19 de noviembre de 2024.