En el presente documento se instrumenta la Política de Protección de Datos Personales (la “Política”), la cual será de obligatorio cumplimiento para todos los trabajadores, proveedores y clientes de CRESARETAIL S.A.S. (en adelante “CRECOS”). La Política establecerá la guía y los principios bajo los cuales CRECOS se regirá en sus relaciones y procesos en los cuales se realice un tratamiento de datos personales.
1. Objetivo de la Política
CRECOS tiene como principal objetivo el cumplir con la Constitución, Ley Orgánica de Protección de Datos Personales (“LOPDP”) y normativa relacionada. Es por esto que CRECOS respetará todos los derechos reconocidos a los titulares de los datos personales, los principios y obligaciones desarrolladas en la LOPDP, normativa secundaria y resoluciones que emitidas por la Autoridad de Protección de Datos.
2. Ámbito de Aplicación
La Política es de aplicación obligatoria para todos sus clientes, trabajadores, proveedores, personas relacionadas con CRECOS (accionistas y órganos directivos) y compañías relacionadas.
3. Definiciones
Las definiciones aquí establecidas son similares a las desarrolladas en la LOPDP:
3.1. Dato Personal: Dato que identifica o hace identificable a una persona natural, directa o indirectamente. Por ejemplo: nombre, cédula de identidad, dirección, correo electrónico, número de teléfono, estado civil, datos de salud, huella dactilar, salario, bienes, estados financieros, etc.
3.2. Dato Sensible: Datos relativos a: etnia, identidad de género, identidad cultural, religión, ideología, filiación política, pasado judicial, condición migratoria, orientación sexual, salud, datos biométricos, datos genéticos y aquellos cuyo tratamiento indebido pueda dar origen a discriminación, atenten o puedan atentar contra los derechos y libertades fundamentales.
3.3. Delegado de Protección de Datos (“DPD”): Persona natural encargada de informar al responsable o al encargado del tratamiento sobre sus obligaciones legales en materia de protección de datos, así como de velar o supervisar el cumplimiento normativo al respecto, y de cooperar con la Autoridad de Protección de Datos Personales, sirviendo como punto de contacto entre esta y la entidad responsable del tratamiento de datos.
3.4. Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el Tratamiento de Datos Personales por cuenta del Responsable del Tratamiento, como aliado o proveedor. En los eventos en que el responsable no ejerza como encargado de la base de datos, se identificará expresamente quién será el encargado.
3.5. Titular: Persona natural cuyos datos son objeto del tratamiento.
3.6. Tratamiento: Cualquier operación o conjunto de operaciones realizadas sobre datos personales, ya sea por procedimientos técnicos de carácter automatizado, parcialmente automatizado o no automatizado, tales como: la recogida, recopilación, obtención, registro, organización, estructuración, conservación, custodia, adaptación, modificación, eliminación, indexación, extracción, consulta, elaboración, utilización, posesión, aprovechamiento, distribución, cesión, comunicación o transferencia, o cualquier otra forma de habilitación de acceso, cotejo, interconexión, limitación, supresión, destrucción y, en general, cualquier uso de datos personales.
4. Principios Aplicables
Los principios que rigen esta política y el tratamiento de datos personales realizados por CRECOS son los siguientes:
4.1.1 Lealtad
4.1.1.1 Los datos personales serán recopilados de una manera leal y lícita para una o más finalidades específicas informadas al titular de los datos. CRECOS podrá utilizar cualquier base legitimadora que sea aplicable para el tratamiento de datos personales.
4.1.1.2 Dentro de lo posible, no se tratarán datos personales que sean considerados como sensibles tales como etnia, orientación sexual, convicciones filosóficas y política, ideología de género. En caso de que CRECOS requiera datos sensibles, lo hará en los casos que la ley lo ordene o cuente con autorización expresa del titular de los datos personales. En el caso de datos de salud, especialmente y no limitándose a datos de trabajadores, estos serán tratados de acuerdo con lo establecido en la normativa laboral correspondiente. En caso de requerir datos de salud de cliente, estos serán tratados con el consentimiento del cliente o por necesidad para el cumplimiento de obligaciones contractuales.
4.1.1.3 Para la recolección o recopilación de datos personales, esto se lo realizará informando al titular de los mismos respecto del tipo de datos, tiempo de conservación, base del tratamiento y todos los requisitos establecidos en la LOPDP.
4.1.1.4 El titular de los datos será responsable de proporcionar datos exactos y correctos. CRECOS podrá realizar la actualización o solicitar la actualización de estos.
4.1.1.5 CRECOS no adquirirá datos personales o bases de datos, que no cuenten con los mecanismos de legitimación correspondiente, así como tampoco transferirá los datos a terceros destinatarios sin contar con la autorización o base legitimadora correspondiente.
4.1.2 Transparencia
4.1.2.1 El tratamiento de datos personales será transparente respecto del titular de estos. De esta manera, CRECOS informará y comunicará a los titulares de los datos personales de una manera clara y sencilla todo lo que requiera saber el titular de los datos personales respecto del tratamiento de datos personales. CRECOS informará al titular de los datos a través de la política y documentos constantes en las oficinas, almacenes, sitios web y/o locaciones administradas y de propiedad de CRECOS, así como también a través de campañas, contratos, cláusulas y documentos preparados por CRECOS para el efecto.
4.1.3 CRECOS garantiza que los titulares de datos personales puedan ejercer sus derechos, poniendo a su disposición diferentes canales mediante los cuales el titular podrá presentar las solicitudes correspondientes.
4.1.4 Finalidad
4.1.4.1 CRECOS informará al titular de los datos personales la o las finalidades para las cuales los datos personales han sido recopilados y serán tratados. Las finalidades serán determinadas y específicas de acuerdo con la base legitimadora con la cual los datos fueron recopilados.
4.1.5 Minimización y Proporcionalidad
4.1.5.1 CRECOS procesará los datos personales que sean necesarios para las finalidades informadas al titular de los datos personales, no se recopilarán datos en exceso o que no sean necesarios para una finalidad previamente establecida. En caso de tener datos excesivos, CRECOS procederá a borrarlos o eliminarlos de sus bases de datos.
4.1.6 Confidencialidad
4.1.6.1 CRECOS realizará los mejores esfuerzos para garantizar la confidencialidad de los datos personales. CRECOS adaptará la tecnología y procesos, técnica y económicamente viables, para garantizar la confidencialidad, disponibilidad e integridad de los datos personales, limitando dentro de lo posible que terceros que no tengan derecho accedan a los datos personales. CRECOS no transferirá los datos personales a terceros destinatarios sin laautorización o la base legitimadora correspondiente.
4.1.7 ¨Seguridad
4.1.7.1 CRECOS adoptará las medidas de seguridad que sean necesarias para garantizar la confidencialidad de los datos personales, tomando en consideración el tipo de datos personales a ser tratados, así como que, las medidas sean técnica y económicamente viables.
4.1.7.2 Todos los proveedores y clientes de CRECOS con quienes se comparta datos personales deberán acreditar la implementación de medidas de seguridad que garanticen la protección de datos personales.
4.1.8 Conservación
4.1.8.1 CRECOS conservará los datos personales de acuerdo con las finalidades para los cuales fueron proporcionados por el titular o, de acuerdo con lo establecido en las diferentes bases legitimadoras. Una vez cumplido el período de conservación, CRECOS eliminará o borrará losdatos de sus sistemas.
4.1.8.2 CRECOS podrá anonimizar los datos en caso de considerarlo necesario. El dato anonimizado podrá ser libremente utilizado por CRECOS.
4.1.9 Responsabilidad Proactiva y Demostrada
4.1.9.1 CRECOS obtendrá los medios de verificación necesarios y correspondientes para demostrar elcumplimiento de la LOPDP. En caso de que sea necesario o a criterio de CRECOS, se obtendránlas certificaciones correspondientes.
4.1.9.2 En caso de requerirlo y de acuerdo con la normativa correspondiente, CRECOS podrá contar con un delegado de protección de datos (“DPD”), quien será responsable de generar el programa de cumplimiento de datos personales, obtener los medios de verificación correspondientes, obtener las certificaciones necesarias y comunicarse con la Autoridad de Protección de Datos.
5. Tipos de Datos
El DPD será responsable de definir los datos que pueden catalogarse como “Datos sensibles” dentro de la base legal, considerando la siguiente síntesis:
Tipos de Datos Personales y Medidas Preventivas:
Tipo de Dato | Descripción | Medida Preventiva |
---|---|---|
Dato personal | Dato que identifica o hace identificable a una persona natural, directa o indirectamente, en el presente o futuro. Incluye datos inocuos, metadatos o fragmentos de datos identificables. | Compartir por medios seguros, cifrados o encriptados. Anonimizar identificadores directos como C.I., nombre completo (solo nombre 1, apellido 1) al compartir con terceros. |
Datos de Identificación | Nombres, apellidos, teléfono, correo, cédula, dirección. | Requieren legitimación (consentimiento, contrato, ley, interés legítimo o acceso público). Adoptar medidas de seguridad para evitar acceso no autorizado. Compartir solo con una base legal correspondiente. |
Datos de Trabajo | Información laboral del personal de CRECOS: nombres, cargo, remuneración, estado civil, cargas familiares, desempeño, etc. | Garantizar seguridad y confidencialidad. Adoptar medidas técnicas y organizativas para evitar accesos internos o externos no autorizados. Compartir solo con autoridades cuando sea necesario. |
Dato personal crediticio | Información sobre comportamiento financiero y crediticio (cuentas, tarjetas, capacidad de pago). | Solo debe provenir de fuentes autorizadas. No compartir datos que permitan reconstruir la capacidad de pago. No transferir datos como CVC. Adoptar medidas de seguridad para evitar filtraciones. |
Dato sensible | Información sobre etnia, identidad de género, religión, ideología, orientación sexual, salud, datos biométricos, judiciales, etc. | Compartir únicamente con cifrado. Anonimizar datos como nombre completo y C.I. al compartir. Asegurar que el tratamiento no atente contra la dignidad o derechos humanos. |
Extremadamente sensible | Datos de niñas, niños y adolescentes. | Evitar incluir en repositorios organizacionales, salvo para cumplir obligaciones laborales o de seguridad social. |
6.Finalidades del Tratamiento de Datos Personales de Clientes
Los datos personales de clientes actuales y potenciales serán recolectados, almacenados, organizados, usados, circulados, transmitidos, transferidos, actualizados, rectificados, suprimidos, eliminados y gestionados de acuerdo con la naturaleza de los datos y de las finalidades establecidas en esta Política u otras específicas para el tratamiento de datos personales de clientes actuales y potenciales.
CRECOS accede a datos de sus clientes actuales y potenciales tales como sus nombres, número de cédula, correos electrónicos, teléfonos fijos y celulares, entre otros. Estos datos son recolectados con las siguientes finalidades:
6.1.1 Enviar propuestas de servicios.
6.1.2 Contacto con los clientes actuales y potenciales para responder sus consultas.
6.1.3 Cumplimiento de obligaciones comerciales en el marco de relaciones contractuales.
6.1.4 Procesar y asegurar el cumplimiento y prestación de servicios adquiridos por los clientes de CRECOS, así como elaborar la facturación correspondiente.
6.1.5 Envío de publicidad sobre productos y servicios de CRECOS.
6.1.6 Ofrecimiento de servicios de las distintas áreas de CRECOS.
6.1.7 Comunicar la realización de actividades comerciales, concurso y eventos organizados por CRECOS.
6.1.8 Envío de encuestas de satisfacción o cualquier otro mecanismo para evaluar la calidad de los servicios prestados por CRECOS.
6.1.9 En el evento en el que CRECOS realice el tratamiento de datos de contacto corporativo de personas naturales que representan a los clientes (personas jurídicas), este tratamiento se limitará al desarrollo del negocio con el respectivo cliente.
7. Recolección de Información
CRECOS podrá recolectar información o datos personales de los Clientes a través de diferentes canales y medios, los cuales incluyen medios electrónicos (APP o páginas web), a través de comunicaciones telefónicas por medio de call centers o por medio de llamadas directas de CRECOS, por información proporcionada en los almacenes o locales administrados por CRECOS, o por información o datos que se encuentren en bases de datos de acceso público.
8. Base Legitimadora del Tratamiento
CRECOS utilizará diferentes bases legitimadoras para el tratamiento de datos personales. En el caso de los datos personales pertenecientes a Clientes, CRECOS podrá realizar el tratamiento de los datos personales en virtud del consentimiento otorgado de los Clientes, vinculación a través de ofertas comerciales (medidas precontractuales) o la existencia de un contrato con el Cliente, el cumplimiento de obligaciones legales, por el acceso a los datos en base de datos de acceso público o por el interés legítimo de CRECOS y del Cliente. El uso de la base legitimadora dependerá del tratamiento de datos personales realizado por CRECOS.
Para el tratamiento de los datos personales pertenecientes a los trabajadores de CRECOS, las bases legitimadoras del tratamiento serán la existencia de una relación contractual con el trabajador, el cumplimiento de obligaciones legales, la existencia del interés legítimo por parte de CRECOS y del trabajador, y para determinados tipos de datos, CRECOS obtendrá el consentimiento del trabajador.
9. Datos de imagen
CRECOS podrá tratar datos de imagen obtenidos a través de cámaras de video vigilancia que son de su propiedad con el fin de salvaguardar la seguridad de las instalaciones, bienes, personas que tienen acceso a los establecimientos de propiedad de CRECOS. La base legal que sustenta este tratamiento es proteger intereses vitales de los titulares y terceros, así como el interés legítimo.
CRECOS contará con los respectivos avisos de video vigilancia para cumplir con el derecho de información de los titulares. El titular podrá ejercer los derechos descritos en la presente Política en relación con este tratamiento en cualquier momento y de forma gratuita, mediante una comunicación a los datos de contacto previamente señalados. No obstante, el titular podrá ejercer sus derechos ante la Autoridad de Protección de Datos en el evento de no tener respuesta en el plazo establecido en la normativa correspondiente.
La duración de las grabaciones de las cámaras de video vigilancia será de hasta treinta (30) días. Posterior al plazo señalado, se eliminarán las grabaciones.
Las grabaciones de las cámaras de video vigilancia se descargarán únicamente en casos de incidentes de seguridad.
10. Comunicación de Datos Personales
CRECOS podrá realizar transferencia de datos personales tanto nacionales como internacionales con el objetivo de cumplir obligaciones contractuales o en cumplimiento de obligaciones legales. En caso de transferencia internacional, CRECOS se cerciorará que sea efectuada a jurisdicciones que tutelen la protección y privacidad de datos personales, o que la parte a quien se vaya a transferir los datos personales cumpla con las obligaciones de la LOPDP.
Los destinatarios estarán sujetos a las mismas obligaciones y medidas de seguridad, técnicas y legales descritas en la LOPDP, normativa secundaria y resoluciones emitidas por la Autoridad de Protección de Datos.
11. Transferencia de Datos Personales
En particular, sólo tendrán acceso a los datos personales aquellos terceros a los que CRECOS haya encomendado una prestación de servicios. Asimismo, CRECOS podrá comunicar sus datos a empresas relacionadas, sucursales y filiales, e igualmente para efectos de almacenar información en bases de datos locales y/o extranjeras.
En los casos que dichas comunicaciones supongan una transferencia internacional, CRECOS exigirá a los terceros a quienes se transfieran sus datos personales el cumplimiento de estándares adecuados de confidencialidad, protección y seguridad de éstos, y especialmente cuando dichos terceros se encuentren en países que no cuentan con una legislación de protección de datos adecuada conforme los parámetros establecidos porla normativa aplicable en cada jurisdicción. CRECOS no comunicará dichos datos a terceros, salvo cuando sea necesario para gestionar los procesos y servicios de CRECOS.
Los destinatarios estarán sujetos a las mismas obligaciones y medidas de seguridad, técnicas y legales descritas en la LOPDP, normativa secundaria y resoluciones emitidas por la Autoridad de Protección de Datos.
12. Conservación de los Datos Personales
CRECOS conservará los datos personales de acuerdo con las finalidades para los cuales fueron proporcionados por el titular o, de acuerdo con lo establecido en las diferentes bases legitimadoras. Una vez cumplido el período de conservación, CRECOS eliminará o borrará los datos de sus sistemas.
CRECOS podrá anonimizar los datos en caso de considerarlo necesario. El dato anonimizado podrá ser libremente utilizado por CRECOS.
13. Ejercicios de Derecho
CRECOS será responsable de la atención de peticiones, consultas, reclamos, quejas o para el ejercicio de los derechos del titular de los datos personales.
El titular de los datos personales podrá solicitar el ejercicio de sus derechos de acceso, rectificación o actualización, eliminación, suspensión, oposición, portabilidad y a no ser objeto de decisiones automatizadas. Para ejercer los mencionados derechos, el titular podrá enviar una comunicación a las siguientes direcciones:
13.1.1 Dirección: Av. Emilio Romero y Benjamín Carrión, ciudad Guayaquil, provincia Guayas, Ecuador.
13.1.2 Correo Electrónico: privacidad@cresa.ec
13.1.3 Teléfono: 2922660
CRECOS tendrá el plazo establecido en la LOPDP para responder el requerimiento del titular. CRECOS podrá solicitar información o datos de soporte para identificar al titular de los datos personales. Los derechos de eliminación y rectificación estarán sujetos a las limitaciones establecidas en la LOPDP.
El procedimiento de atención de los derechos y requerimientos de los titulares se establecerá mediante una política. En todo caso, los Titulares podrán gozar de los siguientes derechos, con sujeción a la legislación aplicable y de conformidad con la misma:
CRECOS proporcionará los formularios correspondientes para el ejercicio de derechos por parte de los Titulares. Estos formularios serán ejemplificativos, por lo que en caso de que el Titular no tendrá la obligación de utilizar los mismos.
14. Protección de los Datos Personales
CRECOS adoptará las medidas de seguridad técnicas, organizativas, jurídicas y físicas correspondientes para proteger los datos personales de acuerdo con el tipo de datos personales y al tratamiento que se realice. CRECOS protegerá los datos personales durante todo su ciclo de vida, para esto deberá tomar encuenta las siguientes acciones de acuerdo con el tratamiento y tipo de datos personales:
14.1 Almacenamiento:
14.2 Eliminación:
15. Tratamiento de Menores de Edad
CRECOS no recopilará datos personales relacionados con niños, niñas y adolescentes, excepto si se trata de información de cargas familiares relacionada para el cumplimiento de las obligaciones derivadas de la relación laboral y de seguridad social. CRECOS se reserva el derecho de eliminar o borrar cualquier información relacionada con niños, niñas y adolescentes en caso de que un titular de datos personales haya compartido información de niños, niñas y adolescentes.
En caso de que un menor de edad decida entrar en algún tipo de relación con CRECOS, este deberá contar con la autorización expresa de sus representantes.
16. Contratación de Proveedores
Todos los proveedores de CRECOS deberán tratarlos datos personales a los que tengan acceso únicamente de acuerdo con las instrucciones documentadas por CRECOS.
Todos los proveedores que manejen datos personales proporcionados por CRECOS deberán contar con las medidas adecuadas para garantizar la confidencialidad y seguridad de los datos personales, esto incluye, pero no se limita, a establecer, implementar y mantener un programa de seguridad de la información que incluya políticas y procedimientos, para proteger y mantener seguros los datos personales de acuerdo con las buenas prácticas de la industria y como lo exige la LOPDP. En específico, CRECOS verificará que se cuente con: una política de protección de datos, política de seguridad de la información, certificaciones (a consideración de CRECOS), un delegado de protección de datos o un responsable del tema de datos dentro de la organización, entre otros.
Todos los proveedores de CRECOS deberán suscribir un Acuerdo de Tratamiento de Datos (“DPA”), en el cual se establecerán las condiciones del tratamiento de los datos personales, así como las medidas técnicas que serán adoptadas. En caso de no suscribir un DPA, en el contrato marco, declaración de trabajo, órdenes de compra o cualquier documento donde se verifique la relación con el proveedor se deberá incorporar disposiciones respecto del manejo de datos personales. En cualquiera de los documentos referidos se deberá establecer como mínimo: el objeto y la duración del tratamiento, la naturaleza y la finalidad del mismo, el tipo de datos personales que se van a utilizar, los sujetos de datos, así como las obligaciones y los derechos de CRECOS.
CRECOS no podrá suscribir contratos de prestación de servicios en los cuales se incluya o se involucre datos personales, sin que el proveedor (en calidad de encargado del tratamiento), cuente con las medidas técnicas, físicas, jurídicas y organizativas adecuadas, y sin que el proveedor suscriba un DPA o un documento donde se especifique obligaciones respecto a la protección de datos personales.
Si el proveedor pretende utilizar a un subcontratista para el tratamiento de los datos personales, deberá: (i) notificar a CRECOS antes de subcontratar servicios o realizar cualquier cambio relativo a la adición o sustitución de subcontratistas; (ii) documentar la naturaleza y el alcance de los datos personales de CRECOS subtratados por los subcontratistas, garantizando que la información recopilada sea necesaria para la realización de la actividad; (ii) tratar los datos personales conforme las directrices de CRECOS; y, (iv) limitar el tratamiento de los datos personales de CRECOS por parte del subcontratista para los fines necesarios para cumplir el contrato del proveedor con CRECOS.
17. Evaluación y Control
CRECOS realizará procesos de evaluación y control respecto del cumplimiento de la Ley de Protección de Datos y las medidas técnicas de seguridad involucradas. CRECOS podrá establecer una política de seguimiento de evaluación y control para verificar el cumplimiento de las obligaciones establecidas en la LOPDP.
CRECOS podrá solicitar medios de verificación o realizar controles a los proveedores que manejen datos personales. Esto se establecerá en el DPA suscrito con el proveedor o en el contrato de prestación de servicios
18. Capacitación
CRECOS realizará capacitaciones periódicas a todo su personal respecto de los principios, derechos y obligaciones establecidas en la LOPDP. CRECOS adoptará las acciones formativas y de concienciación correspondientes de forma periódica para que todas las personas conozcan la presente Política y los procesos de protección de datos personales, y desarrollen sus funciones de conformidad con los mismos.
19. Aprobación y Entrada en Vigencia
Esta Política será comunicada a todas las personas relacionadas y que deben cumplir con la misma de acuerdo con lo establecido en el Ámbito de Aplicación. La Política será revisada con periodicidad anual de acuerdo con las actividades comerciales y objetivos estratégicos de CRECOS. Adicionalmente, La Política podrá ser revisada y adaptada de conformidad con los cambios legales, regulatorios o resoluciones de la Autoridad Competente.
La Política ha sido aprobada el 12 de octubre de 2023. La última modificación fue realizada el 12 de octubre de 2023.