En aplicación de la Ley Orgánica de Protección de Datos Personales, publicada en el Quinto Suplemento del Registro Oficial N. 459 de 26 de mayo del 2021, y su Reglamento publicado en el suplemento al Registro Oficial No.435 de 13 de noviembre del 2023, la compañía ACSUIN S.A., con RUC. 1791349725001, emite la presente Política de Protección de Datos Personales, la cual se expresa a continuación:

  OBJETIVO

El objeto y finalidad de la presente política es garantizar el ejercicio del derecho a la protección de datos personales, que incluye el acceso y decisión sobre información y datos de este carácter, así como su correspondiente protección

  ALCANCE Y APLICACIÓN

La presente política aplica y rige para todos los empleados, funcionarios, representantes y personas que tengan vinculación directa con la compañía.

Aplicará también, en cuanto corresponda, a las personas que, de una u otra manera tengan vinculación comercial, legal, de proveedores, visitantes o cualquier persona que tenga que recibir, trasladar o entregar datos personales.

  ÁMBITO TERRITORIAL

La presente política aplicará en los casos siguientes:

a) En el tratamiento de datos personales que se realice en cualquier parte del territorio nacional.

b) El responsable o encargado del tratamiento de datos personales se encuentre domiciliado en cualquier parte del territorio nacional.

c) Se realice tratamiento de datos personales de titulares que residan en el Ecuador por parte de un responsable o encargado no establecido en el Ecuador.

d) Al responsable o encargado del tratamiento de datos personales, no domiciliado en el territorio nacional, le resulte aplicable la legislación nacional en virtud de un contrato o de las regulaciones vigentes del derecho internacional.

e) En el tratamiento de datos personales que se realice en cualquier parte del exterior, cuando los titulares de datos personales viajan para cumplir actividades o labores a nombre o por encargo de ACSUIN S.A.

f)   En la información que sobre los titulares deba ser remitida a otros países para el cumplimiento de las actividades o verificación de datos personales.

  DEFINICIONES

Para los efectos de la aplicación de la presente política, se utilizarán las siguientes definiciones:

•   La compañía ACSUIN S.A. ACABADOS Y SUMINISTROS INDUSTRIALES, denominada ACSUIN S.A.
•   Autoridad de Protección de Datos Personales: Autoridad pública independiente encargada de supervisar la aplicación de la Ley.
•   Base de datos o fichero: Conjunto estructurado de datos en los cuales ACSUIN S.A. protege los datos personales que requiera.
•   Consentimiento: Manifestación de la voluntad libre, específica, informada e inequívoca, por el que, el titular de los datos personales autoriza al responsable del tratamiento de los datos personales a tratar los mismos, el cual puede ser expresado por mecanismos documentales o virtuales, siempre que exista la constancia real.
•   Dato biométrico: Dato personal único, relativo a las características físicas o fisiológicas, o conductas de una persona natural que permita o confirme la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos.
•   Dato genético: Dato personal único relacionado a características genéticas heredadas o adquiridas de una persona natural que proporcionan información única sobre la fisiología o salud de un individuo.
•   Dato personal: Dato que identifica o hace identificable a una persona natural.
•   Datos personales crediticios: Datos que integran el comportamiento económico de personas naturales, para analizar su capacidad financiera.
•   Datos relativos a la salud: datos personales relativos a la salud física o mental de la persona.
•   Datos sensibles: datos relativos a etnia, identidad de género, identidad cultural, religión, ideología, filiación política, pasado judicial, condición migratoria, orientación sexual, salud, datos biométricos, datos genéticos y aquellos cuyo tratamiento indebido pueda dar origen a discriminación, atenten o puedan atentar contra los derechos y libertades fundamentales.
•   Delegado de protección de datos: Persona encargada de informar al responsable o al encargado del tratamiento sobre sus obligaciones legales en materia de protección de datos, así como de velar o supervisar el cumplimiento normativo al respecto, y de cooperar con la Autoridad de Protección de Datos Personales.
•   Destinatario: Persona natural o jurídica que ha sido comunicada con datos personales.
•   Elaboración de perfiles: Todo tratamiento de datos personales que permite evaluar, analizar o predecir aspectos de una persona natural para determinar comportamientos o estándares relativos a rendimiento profesional, situación económica, salud, preferencias personales, intereses, habilidad, ubicación, movimiento físico de una persona, entre otros.
•   Encargado del tratamiento de datos personales: Persona que trate datos personales a nombre y por cuenta de ACSUIN S.A.
•   Fuente accesible al público: Bases de datos que pueden ser consultadas por cualquier persona, cuyo acceso es público, incondicional y generalizado.
•   Responsable de tratamiento de datos personales: persona natural o jurídica, pública o privada, autoridad u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el tratamiento de datos personales.
•   Seudonimización: Tratamiento de datos personales de manera tal que ya no puedan atribuirse a un titular sin utilizar información adicional, siempre que dicha información adicional, figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable.
•   Titular: Persona natural cuyos datos son objeto de tratamiento. ACSUIN S.A. establecerá los datos personales para su tratamiento, dependiendo del funcionario, el área o la finalidad.
•   Transferencia o comunicación: Manifestación, declaración, entrega, consulta, interconexión, cesión, transmisión, difusión, divulgación o cualquier forma de revelación de datos personales exactos, completos y actualizados realizada a una persona distinta al titular, responsable o encargado del tratamiento de datos personales.
•   Tratamiento: Cualquier operación o conjunto de operaciones realizadas sobre datos personales, tales como recogida, recopilación, obtención, registro, organización, estructuración, conservación, custodia, adaptación, modificación, eliminación, indexación, extracción, consulta, elaboración, utilización, posesión, aprovechamiento, distribución, cesión, comunicación o transferencia, o cualquier otra forma de habilitación de acceso, cotejo, interconexión, limitación, supresión, destrucción y, en general, cualquier uso de datos personales.
•   Vulneración de la seguridad de los datos personales: Incidente de seguridad que afecta la confidencialidad, disponibilidad o integridad de los datos personales.

  SUJETOS DE LA PROTECCIÓN DE DATOS

•     Titular;
•     Responsable del tratamiento;
•     Encargado del tratamiento;
•     Destinatario;
•     Autoridad de Protección de Datos Personales; y,
•     Delegado de protección de datos personales.

  CONSENTIMIENTO DEL TITULAR:

El consentimiento del titular de datos personales, debe tener los siguientes lineamientos:

•   Libre, es decir, cuando se encuentre exenta de vicios del consentimiento, esto es, error, fuerza y/o dolo[1].
•   Específico, en cuanto a la determinación concreta de los medios y fines del tratamiento de sus datos personales.
•   Informado, que cumpla con el principio de transparencia y efectivice el derecho a la transparencia.
•   Inequívoca, que no presente dudas sobre el alcance de la autorización otorgada por el titular.

El tratamiento realizado antes de revocar el consentimiento es lícito, en virtud de que este no tiene efectos retroactivos.

Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para

una pluralidad de finalidades será preciso que conste que dicho consentimiento se otorga para todas ellas.

  INFORMACIÓN PARA EL TITULAR DE LOS DATOS PERSONALES

El titular de datos personales tiene derecho a ser informado sobre:

•   Los fines del tratamiento de sus datos personales.
•   La base legal para el tratamiento de datos personales.
•   Tiempo de conservación en la base de datos.
•   La existencia de una base de datos en la que consten los datos personales.
•   El origen de los datos personales, cuando no se hayan obtenido directamente del titular, es decir, quien los proveyó.
•   Otras finalidades y tratamientos ulteriores.
•   Identidad y datos de contacto del responsable del tratamiento de datos personales, que incluirá: dirección del domicilio legal, número de teléfono y correo electrónico.
•   Identidad y datos de contacto del delegado de protección de datos personales, que incluirá: dirección domiciliaria, número de teléfono y correo electrónico;
•   Las transferencias o comunicaciones, nacionales o internacionales con las garantías de protección establecidas.
•   Las consecuencias para el titular de los datos personales de su entrega o negativa a ello.
•   El efecto de suministrar datos personales erróneos o inexactos.
•   La posibilidad de revocar el consentimiento.
•   La existencia y forma en que pueden hacerse efectivos sus derechos de acceso, eliminación, rectificación y actualización, oposición, anulación, limitación del tratamiento y a no ser objeto de una decisión basada únicamente en valoraciones automatizadas.
•   Los mecanismos para hacer efectivo su derecho a la portabilidad, cuando el titular lo solicite.

  CATEGORÍAS DE DATOS PERSONALES

A fin de que, el titular de datos personales conozca los que debe entregar a ACSUIN S.A., se consideran datos sensibles los siguientes:

•   Datos relativos a etnia, identidad de género, identidad cultural, religión, ideología, filiación política, pasado judicial, condición migratoria, orientación sexual, salud, datos biométricos, datos genéticos y aquellos cuyo tratamiento indebido pueda dar origen a discriminación, atenten o puedan atentar contra los derechos y libertades fundamentales.
•   Datos de niñas, niños, adolescentes, hijos, padres, cónyuges, y, en general, datos familiares.
•   Datos de salud, incluyendo antecedentes médicos, historias clínicas, fichas médicas, información sobre riesgos Psicosociales, drogas y alcohol, acoso, violencia, excepto la que deba compartirse con autoridades en cumplimiento de la normativa legal o a pedido debidamente justificado.
•   Datos de personas con discapacidad, familiares con discapacidad o sustitutos del titular.
•   Cédulas de identidad o ciudadanía, así como Pasaportes físicos, en copias, sus números o datos incluidos.
•   Direcciones, diagnósticos, información de familiares, cuentas bancarias, formularios que Recursos Humanos maneja para postulación, vinculación, desvinculación, acciones de personal, contratos, adendas y otros en los cuales se incluyan datos personales.
•   Fechas de nacimiento, nombres completos, nombres y documentos sobre cargas familiares.
•   Información compartida con prestadores externos con motivo de asesoría legal, auditoría financiera, permisos de funcionamiento, arrendamiento de bienes muebles e inmuebles.

  PROHIBICIONES DE ENTREGA DE DATOS PERSONALES

Queda prohibido la entrega, traslado o publicación de datos personales sensibles, excepto cuando:

•   El titular haya dado su consentimiento explícito para el tratamiento de sus datos personales, especificando claramente sus fines.
•   El tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del titular en el ámbito del Derecho laboral y de la seguridad y protección social.
•   El tratamiento es necesario para proteger intereses vitales del titular o de otra persona natural, en el supuesto de que el titular no esté capacitado, física o jurídicamente, para dar su consentimiento.
•   El tratamiento se refiere a datos personales que el titular ha hecho manifiestamente públicos.
•   El tratamiento se lo realiza por orden de autoridad judicial.
•   El tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del titular.
•   Cuando el tratamiento de los datos de salud se sujete a las disposiciones contenidas en las leyes aplicables.

  SEGURIDAD DE DATOS PERSONALES

Para el manejo seguro por parte de ACSUIN S.A. de los datos personales que los titulares deban entregar, se tomarán las siguientes medidas:

•   Mejorar continuamente la base o archivo en el cual reposen los datos personales, de una manera técnica, física, administrativa y jurídica.
•   Acogerse a estándares internacionales para una adecuada gestión de riesgos enfocada a la protección, en caso de ser necesario.
•   Implementación y manejo de sistemas de seguridad de la información reconocidos y autorizados por la Autoridad de Protección de Datos Personales o que brinden confidencialidad en el ingreso, mantenimiento o transmisión de datos personales.

  OBLIGACIONES DEL RESPONSABLE Y EL ENCARGADO DE PROTECCIÓN DE DATOS

Del Responsable del tratamiento de datos personales:

1.   Identificar la base de datos o del tratamiento de protección;
2. Registrar el nombre, domicilio legal y datos de contacto del responsable y encargado del tratamiento de datos personales;
3.   Implementar políticas de protección de datos personales afines al tratamiento de datos personales en cada caso en particular.
4. Determinar las características y finalidad del tratamiento de datos personales;
5.   Definir la naturaleza de los datos personales tratados;
6.   Registrar el nombre, domicilio legal y datos de contacto de los destinatarios de los datos personales, incluyendo encargados y terceros;
7. Establecer el proceso para interrelacionar la información registrada;
8. Definir los medios utilizados para implementar los principios, derechos y obligaciones contenidas en la presente Ley su reglamento y la normativa especializada;
9.   Tomar medidas tecnológicas, físicas, administrativas, organizativas y jurídicas necesarias para prevenir, impedir, reducir, mitigar y controlar los riesgos y las vulneraciones identificadas.
10.   Identificar los requisitos y herramientas administrativas técnicas y físicas, organizativas y jurídicas implementadas para garantizar la seguridad y protección de datos personales;
11. Determinar el tiempo de conservación de los datos.
12.   Implementar el procedimiento para la recepción, custodia, entrega y eliminación de datos personales, tanto internos de colaboradores y funcionarios de ACSUIN S.A., como externos con proveedores y prestadores de servicios y profesionales.
13. Notificar a la Autoridad de Protección de Datos Personales y al titular de los datos acerca de violaciones a las seguridades implementadas para el tratamiento de datos personales conforme a lo establecido en el procedimiento previsto para el efecto.
14. Suscribir contratos de confidencialidad y manejo adecuado de datos personales con el encargado y el personal a cargo del tratamiento de datos personales o que tenga conocimiento de los datos personales.
15. Permitir y contribuir a la realización de auditorías o inspecciones, por parte de un auditor acreditado por la Autoridad de Protección de Datos Personales.

  OBLIGACIONES DEL ENCARGADO DE PROTECCIÓN DE DATOS

Del Encargado del tratamiento de datos personales: 

1.   El encargado del tratamiento deberá ofrecer garantías suficientes para aplicar medidas técnicas, jurídicas, administrativas y organizativas apropiadas para que el tratamiento cumpla con las disposiciones de la Ley garantizando el adecuado tratamiento de los datos personales y la protección de los derechos de los titulares.
2. Deberá respetar las instrucciones que, para el efecto, determine el responsable en cuanto al tratamiento de los datos personales. Para ello, deberá establecer las medidas técnicas y organizativas adecuadas, previo a brindar el servicio, que deberán ser equiparables a aquellas a las que está obligado el responsable en función de los datos y los tipos de tratamiento aplicables, de tal forma que se garantice la protección de datos de los titulares.

  PROVEEDORES Y PRESTADORES DE SERVICIOS Y PROFESIONALES.

La protección de datos es un postulado de suma importancia para ACSUIN S.A., por lo que, no solamente se blindarán los datos de colaboradores y funcionarios, sino también de proveedores, prestadores de servicios y profesionales, bajo las siguientes normas:

• Por proveedores, prestadores de servicios y profesionales se entiende a toda persona natural o jurídica que se vincula a las actividades de ACSUIN S.A. debido a su giro comercial o ejercicio profesional y que, en cumplimiento de ello, recibe o entrega datos personales.
• La recepción, custodia, entrega y eliminación de datos personales de proveedores y prestadores de servicios y profesionales será coordinada con el Responsable del tratamiento de datos personales de ACSUIN S.A.
• Serán aplicables a la protección de datos, las normas internas que sobre seguridad de la información mantiene ACSUIN S.A.
• Los datos personales que correspondan a proveedores y prestadores de servicios y profesionales que deban ser grabados, procesados y/o transmitidos con proveedores y prestadores de servicios y profesionales, mantendrán las mismas garantías de confidencialidad.
• La protección de datos personales podrá basarse en estándares nacionales e internacionales.
• Los proveedores y prestadores de servicios y profesionales serán alertados sobre la necesidad de proteger la confidencialidad, integridad y disponibilidad de los datos personales que reciban en cumplimiento de su gestión, obligándose a su tratamiento únicamente en los fines y propósitos que tengan directa relación con la relación comercial que mantienen con ACSUIN S.A.
• El proveedor y prestador de servicios y profesionales debe salvaguardar y hacer un uso estrictamente apropiado de los datos personales, con la única excepción de los datos de conocimiento público.

•  Autorización para transferencia internacional de datos personales.
  • En caso de que, ACSUIN S.A. deba enviar o recibir información catalogada como sensible, se deberán generar procesos claros y previamente definidos para la transferencia o recepción, siempre contando con el conocimiento y aceptación del titular y observando la legislación del país que corresponda con los procesos generados por ACSUIN S.A. o por el receptor o remitente de datos personales.
• Autorización para transferencia de datos personales a embajadas, ministerios o entidades de control.