Política de datos personales

CAPÍTULO I 

DISPOSICIONES GENERALES 

1.1. Introducción 

IT ahora, en su calidad de revista líder especializada en tecnología, reconoce que la información personal constituye un activo estratégico cuyo tratamiento debe realizarse bajo los más altos estándares de legalidad, seguridad, ética y responsabilidad corporativa. 

En atención a la Ley Orgánica de Protección de Datos Personales del Ecuador, su Reglamento y prácticas internacionales en materia de privacidad y gobierno de datos, la organización adopta el presente Sistema Integral de Gestión y Protección de Datos Personales como instrumento rector para regular todas las actividades de tratamiento de datos personales realizadas en el ejercicio de sus operaciones editoriales, comerciales, administrativas y tecnológicas. 

Este capítulo establece el marco conceptual, jurídico y organizacional sobre el cual se desarrollan las políticas, procedimientos y controles que conforman el Sistema Integral. 

1.2. Objeto del Sistema 

El Sistema Integral de Gestión y Protección de Datos Personales tiene por objeto: 

• Garantizar el tratamiento lícito, leal y transparente de los datos personales. 

• Proteger los derechos y libertades de los titulares de datos. 

• Establecer mecanismos de gobernanza, control y supervisión. 

• Prevenir riesgos derivados del tratamiento de información personal. 

• Implementar medidas técnicas y organizacionales adecuadas. 

• Demostrar el cumplimiento normativo mediante evidencia verificable. 

• Promover una cultura institucional de privacidad y protección de datos. 

1.3. Finalidades institucionales 

El Sistema Integral se implementa para asegurar que todas las actividades de tratamiento realizadas por IT ahora respondan a finalidades legítimas, determinadas y explícitas, entre las cuales se incluyen: 

1. a) Gestión editorial y periodística

• Administración de contenidos. 

• Relación con autores y colaboradores. 

• Publicaciones y publirreportajes. 

• Gestión de fuentes autorizadas. 

1. b) Gestión de usuarios y lectores

• Suscripciones. 

• Registro de usuarios. 

• Atención de consultas. 

• Envío de comunicaciones informativas autorizadas. 

1. c) Gestión comercial

• Relación con anunciantes. 

• Gestión de contratos. 

• Facturación y cobranza. 

• Desarrollo de alianzas estratégicas. 

1. d) Gestión administrativa y laboral

• Administración de personal. 

• Selección y contratación. 

• Gestión de proveedores. 

• Cumplimiento de obligaciones legales y tributarias. 

1. e) Seguridad y cumplimiento

• Control de accesos. 

• Prevención de incidentes. 

• Auditoría y trazabilidad. 

• Atención de requerimientos de autoridades competentes. 

1.4. Ámbito de aplicación 

El presente Sistema es de cumplimiento obligatorio para: 

El Sistema se aplica a todo tratamiento realizado por medios físicos, electrónicos, digitales, automatizados o no automatizados. 

1.5. Marco jurídico de referencia 

El Sistema Integral se fundamenta principalmente en: 

• Constitución de la República del Ecuador. 

• Ley Orgánica de Protección de Datos Personales del Ecuador. 

• Reglamento General a la Ley Orgánica de Protección de Datos Personales. 

• Normativa sectorial aplicable. 

• Estándares internacionales de protección de datos y seguridad de la información. 

• Buenas prácticas de gobierno corporativo y compliance. 

1.6. Definiciones operativas 

Para efectos de este Sistema, se entenderá por: 

1.7. Naturaleza corporativa del Sistema 

El presente documento tiene naturaleza de política corporativa obligatoria y forma parte del sistema de gobierno y cumplimiento de IT ahora. 

Sus disposiciones son vinculantes para todos los niveles de la organización y prevalecerán sobre cualquier procedimiento interno que resulte incompatible con sus principios y directrices. 

1.8. Responsabilidad institucional 

La Dirección de IT ahora asume la responsabilidad de: 

• Proveer los recursos necesarios para la implementación del Sistema. 

• Designar a las autoridades responsables de su ejecución. 

• Garantizar la independencia funcional. 

• Promover una cultura organizacional orientada a la privacidad. 

• Supervisar periódicamente el desempeño del Sistema Integral. 

1.9. Principio de responsabilidad proactiva 

IT ahora no solo cumplirá formalmente con la normativa aplicable, sino que adoptará un enfoque de responsabilidad proactiva, mediante el cual deberá demostrar, en cualquier momento, que sus operaciones de tratamiento se ejecutan conforme a la ley y a los estándares establecidos en el presente Sistema. 

Para ello mantendrá registros, evidencias, auditorías, evaluaciones de riesgo y mecanismos de mejora continua que permitan acreditar el cumplimiento efectivo de sus obligaciones. 

1.10. Vigencia 

El presente Capítulo I entrará en vigor a partir de su aprobación por la Dirección de IT ahora y permanecerá vigente hasta su modificación, actualización o sustitución expresa. 

Toda revisión deberá considerar cambios normativos, tecnológicos, organizacionales y operativos que puedan impactar el tratamiento de datos personales dentro de la organización. 

CAPÍTULO II 

PRINCIPIOS RECTORES DEL TRATAMIENTO DE DATOS PERSONALES 

2.1. Introducción 

Los principios rectores constituyen el fundamento jurídico y operativo de todo tratamiento de datos personales realizado por IT ahora. Su observancia es obligatoria y deberá orientar la interpretación, aplicación y ejecución de todas las políticas, procedimientos y decisiones relacionadas con la gestión de información personal. 

La organización reconoce que el cumplimiento de los principios no se limita a una obligación formal, sino que exige una actuación diligente, verificable y permanente, conforme al enfoque de responsabilidad proactiva establecido en la normativa ecuatoriana de protección de datos personales. 

2.2. Principio de licitud 

2.2.1. Alcance. 

Todo tratamiento de datos personales deberá realizarse sobre la base de una causa jurídica válida prevista en la ley. 

2.2.2. Bases jurídicas aplicables. 

• Consentimiento del titular. 

• Ejecución de un contrato. 

• Cumplimiento de obligaciones legales. 

• Protección de intereses vitales. 

• Interés legítimo debidamente ponderado. 

• Ejercicio de derechos en procesos administrativos o judiciales. 

2.2.3. Obligaciones corporativas. 

• Documentar la base jurídica antes de iniciar el tratamiento. 

• Mantener evidencia de su validez. 

• Reevaluar periódicamente la legitimidad del tratamiento. 

• Suspender cualquier tratamiento que carezca de fundamento jurídico suficiente. 

2.3. Principio de lealtad y transparencia 

2.3.1. Alcance. 

Los titulares deberán conocer de forma clara, accesible y comprensible cómo serán utilizados sus datos personales. 

2.3.2. Información mínima al titular. 

• Identidad del responsable. 

• Finalidad del tratamiento. 

• Base jurídica. 

• Destinatarios de los datos. 

• Plazo de conservación. 

• Derechos que le asisten. 

• Canales para ejercer dichos derechos. 

2.3.3. Controles de cumplimiento. 

• Revisión jurídica de avisos de privacidad. 

• Validación de formularios de recolección. 

• Auditoría de comunicaciones informativas. 

2.4. Principio de finalidad 

2.4.1. Alcance. 

Los datos personales únicamente podrán tratarse para fines determinados, explícitos y legítimos. 

2.4.2. Prohibiciones. 

• Utilizar datos para finalidades incompatibles con aquellas informadas al titular. 

• Realizar tratamientos adicionales sin contar con una nueva base jurídica. 

• Conservar información para usos futuros indeterminados. 

2.4.3. Aplicación práctica en IT ahora. 

Los datos recopilados para suscripciones, participación en eventos tecnológicos, contratación de publicidad o relación laboral no podrán emplearse para finalidades distintas sin la correspondiente habilitación legal. 

2.5. Principio de minimización de datos 

2.5.1. Alcance. 

Solo se recopilarán los datos estrictamente necesarios para cumplir la finalidad declarada. 

2.5.2. Medidas obligatorias. 

• Revisión previa de formularios. 

• Eliminación de campos innecesarios. 

• Justificación documental de cada categoría de dato solicitada. 

• Evaluación periódica de pertinencia. 

2.6. Principio de exactitud 

2.6.1. Alcance. 

Los datos deberán ser exactos, completos y mantenerse actualizados. 

2.6.2. Obligaciones. 

• Implementar mecanismos de actualización periódica. 

• Corregir datos inexactos sin demora injustificada. 

• Atender solicitudes de rectificación dentro de los plazos legales. 

• Registrar las modificaciones realizadas. 

2.7. Principio de conservación limitada 

2.7.1. Alcance. 

Los datos personales se conservarán únicamente durante el tiempo necesario para cumplir la finalidad del tratamiento o las obligaciones legales aplicables. 

2.7.2. Obligaciones corporativas. 

• Definir plazos de retención por categoría de datos. 

• Implementar calendarios de eliminación. 

• Documentar las decisiones de conservación. 

• Ejecutar procesos de destrucción segura. 

2.8. Principio de integridad y confidencialidad 

2.8.1. Alcance. 

Los datos personales deberán protegerse contra acceso no autorizado, pérdida, alteración, destrucción o divulgación indebida. 

2.8.2. Medidas mínimas. 

• Control de accesos. 

• Cifrado de información sensible. 

• Autenticación. 

• Registro de accesos. 

• Copias de seguridad. 

• Capacitación del personal. 

• Acuerdos de confidencialidad. 

2.9. Principio de responsabilidad proactiva 

2.9.1. Alcance. 

IT ahora deberá demostrar de manera permanente el cumplimiento de sus obligaciones en materia de protección de datos personales. 

2.9.2. Evidencias exigidas. 

• Registro de actividades de tratamiento. 

• Evaluaciones de riesgo. 

• Políticas y procedimientos vigentes. 

• Capacitaciones realizadas. 

• Auditorías internas. 

• Gestión de incidentes. 

• Contratos con encargados de tratamiento. 

2.10. Principio de seguridad desde el diseño y por defecto 

2.10.1. Alcance. 

Todo nuevo proyecto, sistema, plataforma o proceso que implique tratamiento de datos personales deberá incorporar medidas de protección desde su etapa de diseño. 

2.10.2. Requisitos mínimos. 

• Evaluación previa de riesgos. 

• Configuraciones de privacidad restrictivas por defecto. 

• Limitación de accesos. 

• Minimización automática de datos. 

• Trazabilidad de operaciones. 

2.11. Principio de proporcionalidad 

2.11.1. Alcance. 

Las medidas de tratamiento deberán ser adecuadas, necesarias y proporcionales a la finalidad perseguida. 

2.11.2. Aplicación práctica. 

La organización evitará recopilar información excesiva o implementar controles invasivos cuando existan alternativas menos restrictivas para los derechos del titular. 

2.12. Principio de no discriminación 

2.12.1. Alcance. 

El tratamiento de datos personales no podrá dar lugar a decisiones discriminatorias, arbitrarias o contrarias a la dignidad humana. 

2.12.2. Controles. 

• Revisión de algoritmos y perfiles automatizados. 

• Validación de criterios de segmentación. 

• Supervisión humana de decisiones relevantes. 

2.13. Principio de rendición de cuentas 

2.13.1. Alcance. 

Los responsables internos deberán responder por las operaciones de tratamiento bajo su gestión. 

2.13.2. Responsabilidades específicas. 

2.14. Mecanismos de supervisión 

El cumplimiento de los principios rectores será verificado mediante: 

• Auditorías internas semestrales. 

• Revisiones documentales. 

• Indicadores de cumplimiento. 

• Evaluaciones de riesgo. 

• Monitoreo de incidentes. 

• Informes periódicos de Dirección. 

2.15. Consecuencias del incumplimiento 

La vulneración de cualquiera de los principios rectores podrá constituir: 

• Incumplimiento de políticas corporativas. 

• Falta disciplinaria. 

• Incumplimiento contractual. 

• Infracción administrativa conforme a la normativa de protección de datos. 

• Generación de responsabilidad civil por daños y perjuicios. 

2.16. Disposición de cierre del capítulo 

Los principios rectores establecidos en el presente capítulo constituyen criterios obligatorios de interpretación y aplicación para todas las actividades de tratamiento de datos personales realizadas por IT ahora y deberán prevalecer sobre cualquier práctica operativa que resulte incompatible con ellos. 

CAPÍTULO III 

ESTRUCTURA DE GOBERNANZA  

3.1. Introducción 

La protección de datos personales requiere una estructura de gobernanza que garantice la asignación clara de responsabilidades, la supervisión efectiva del cumplimiento normativo y la adopción de decisiones oportunas en materia de privacidad y seguridad de la información. 

IT ahora establece mediante el presente capítulo un modelo de gobernanza basado en los principios de responsabilidad proactiva, independencia funcional, trazabilidad y mejora continua, con el fin de asegurar que todas las actividades de tratamiento de datos personales se ejecuten bajo un esquema de control corporativo integral. 

3.2. Objetivos de la gobernanza de datos personales 

La estructura de gobernanza tiene como objetivos: 

• Definir responsabilidades institucionales. 

• Establecer líneas de supervisión y reporte. 

• Garantizar la toma de decisiones informada en materia de protección de datos. 

• Coordinar la gestión de riesgos de privacidad. 

• Asegurar la implementación de controles adecuados. 

• Facilitar la atención de requerimientos de titulares y autoridades. 

• Promover la mejora continua del Sistema Integral. 

3.3. Estructura organizacional de gobernanza 

Órganos de gobernanza 

Modelo integral 

1.- Dirección 

• Máxima autoridad y patrocinio institucional. 

2.- Comité de Áreas 

• Órgano de coordinación y decisión. 

3.- Responsables de Área 

• Ejecución operativa y cumplimiento. 

5.-Usuarios autorizados y colaboradores 

• Cumplimiento de políticas y controles. 

3.4. Dirección 

3.4.1. Responsabilidades. 

La Dirección será responsable de: 

• Aprobar el Sistema Integral. 

• Asignar recursos financieros, humanos y tecnológicos. 

• Respaldar la independencia funcional. 

• Revisar periódicamente el desempeño del Sistema. 

• Aprobar planes de mejora y mitigación de riesgos. 

3.4.2. Evidencias de cumplimiento. 

• Actas de aprobación. 

• Presupuestos asignados. 

• Informes ejecutivos revisados. 

• Resoluciones internas de designación. 

3.5. Responsables de Área 

Cada área de IT ahora que trate datos personales designará un responsable operativo. 

Obligaciones. 

• Cumplir las políticas aprobadas. 

• Mantener actualizado el inventario de tratamientos. 

• Reportar incidentes. 

• Implementar controles internos. 

• Facilitar auditorías y revisiones. 

3.6. Responsabilidades específicas por área 

3.7. Gestión de conflictos de interés 

Todo miembro de la estructura de gobernanza deberá declarar cualquier situación que pueda comprometer su imparcialidad en la toma de decisiones relacionadas con el tratamiento de datos personales. 

El Comité evaluará la existencia del conflicto y adoptará las medidas correspondientes. 

3.8. Recursos y soporte 

IT ahora garantizará: 

• Acceso a información relevante. 

• Recursos tecnológicos adecuados. 

• Capacitación especializada. 

• Asesoría jurídica y técnica cuando sea necesaria. 

• Presupuesto para actividades de cumplimiento. 

3.9. Supervisión y auditoría 

La efectividad de la estructura de gobernanza será evaluada mediante: 

• Auditorías internas anuales. 

• Revisión de actas y reportes. 

• Evaluación de desempeño. 

• Verificación del cumplimiento de responsabilidades por área. 

• Análisis de incidentes y acciones correctivas. 

3.10. Consecuencias del incumplimiento 

El incumplimiento de las responsabilidades establecidas en este capítulo podrá generar: 

• Medidas disciplinarias internas. 

• Responsabilidad administrativa. 

• Responsabilidad contractual. 

• Responsabilidad civil por daños ocasionados. 

• Las sanciones previstas en la normativa aplicable. 

3.11. Disposición de cierre del capítulo 

La estructura de gobernanza establecida en el presente capítulo constituye el mecanismo institucional de dirección, supervisión y control del Sistema Integral de Gestión y Protección de Datos Personales de IT ahora, y será de observancia obligatoria para todas las áreas, colaboradores y terceros que intervengan en actividades de tratamiento de datos personales. 

CAPÍTULO IV 

INVENTARIO, REGISTRO Y CLASIFICACIÓN DE DATOS PERSONALES 

4.1. Introducción 

El inventario y registro de actividades de tratamiento constituye uno de los pilares fundamentales del Sistema Integral de Gestión y Protección de Datos Personales, ya que permite a IT ahora conocer de manera precisa qué datos personales trata, dónde se encuentran, quién tiene acceso, con qué finalidad son utilizados y cuáles son los riesgos asociados a su tratamiento. 

Este capítulo establece la metodología corporativa para identificar, documentar, clasificar y mantener actualizado el universo de datos personales tratados por la organización, garantizando trazabilidad, control y cumplimiento del principio de responsabilidad proactiva. 

4.2. Objetivos del inventario y registro 

El inventario corporativo de datos personales tiene como objetivos: 

• Identificar todas las operaciones de tratamiento realizadas por IT ahora. 

• Determinar las categorías de datos personales tratadas. 

• Asignar responsables sobre cada actividad de tratamiento. 

• Evaluar riesgos asociados a la información. 

• Facilitar el ejercicio de derechos de los titulares. 

• Respaldar auditorías y procesos de cumplimiento. 

• Servir como base para evaluaciones de impacto y análisis de riesgos. 

• Demostrar cumplimiento ante la autoridad competente. 

4.3. Alcance del inventario 

El inventario comprenderá todos los tratamientos realizados por IT ahora, incluyendo información contenida en: 

• Sistemas informáticos y plataformas digitales. 

• Servidores y servicios en la nube. 

• Bases de datos internas. 

• Documentos físicos y expedientes. 

• Correos electrónicos corporativos. 

• Aplicaciones móviles y herramientas colaborativas. 

• Copias de seguridad y repositorios históricos. 

• Sistemas administrados por encargados de tratamiento. 

4.4. Registro de actividades de tratamiento 

4.4.1. Obligación. 

IT ahora mantendrá un Registro de Actividades de Tratamiento actualizado y centralizado bajo la supervisión. 

4.4.2. Contenido mínimo del registro. 

4.5. Metodología de identificación de tratamientos 

La identificación de tratamientos se realizará mediante las siguientes etapas: 

Etapas del proceso 

Metodología oficial 

1.- Levantamiento de información 

• Entrevistas con cada área. 

2.- Mapeo de procesos 

• Identificación de flujos de datos. 

3.-Identificación de sistemas 

• Determinación de repositorios de información. 

4.-Clasificación de datos 

• Asignación de niveles de criticidad. 

5.-Validación 

• Revisión por el responsable de área. 

6.-Registro oficial 

• Incorporación al inventario corporativo. 

4.6. Clasificación de datos personales 

Los datos personales serán clasificados según su nivel de sensibilidad y riesgo. 

Nivel 1 

Datos públicos 

Información de libre acceso conforme a la ley. 

Ejemplos: 

• Información publicada oficialmente. 

• Datos de acceso público autorizados. 

Nivel 2 

Datos confidenciales 

Información de identificación y contacto. 

Ejemplos: 

• Nombres y apellidos. 

• Correo electrónico. 

• Teléfono. 

• Dirección. 

Nivel 3 

Datos sensibles 

Información especialmente protegida por la ley. 

Ejemplos: 

• Salud. 

• Biometría. 

• Orientación política. 

• Creencias religiosas. 

• Información genética. 

4.7. Criterios de clasificación 

4.8. Inventario de activos de información 

Además del registro de tratamientos, la organización mantendrá un inventario de activos relacionados con datos personales. 

4.9. Mapa de flujo de datos 

Cada tratamiento deberá contar con un mapa que identifique: 

• Origen de los datos. 

• Canal de recolección. 

• Sistema de almacenamiento. 

• Usuarios con acceso. 

• Terceros receptores. 

• Transferencias internacionales. 

• Proceso de eliminación. 

4.10. Actualización del inventario 

4.10.1. Frecuencia. 

El inventario será revisado: 

• Trimestralmente. 

• Cuando se implemente un nuevo sistema. 

• Cuando cambie una finalidad de tratamiento. 

• Cuando exista una adquisición tecnológica relevante. 

• Cuando se detecte una brecha de seguridad. 

4.10.2. Responsables. 

• Responsable de área. 

• Dirección de Tecnología. 

4.11. Controles de integridad del registro 

Se verificará: 

• Que no existan tratamientos no registrados. 

• Que las bases jurídicas estén documentadas. 

• Que los plazos de conservación sean consistentes. 

• Que las medidas de seguridad correspondan al nivel de riesgo. 

• Que las transferencias internacionales estén autorizadas. 

4.12. Conservación del registro 

El Registro de Actividades de Tratamiento se conservará como evidencia de cumplimiento durante todo el tiempo en que exista el tratamiento y por el período adicional requerido por la normativa aplicable. 

4.13. Consecuencias del incumplimiento 

La omisión de registrar un tratamiento, la clasificación incorrecta de datos o la falta de actualización del inventario constituirá un incumplimiento grave del Sistema Integral y podrá generar responsabilidades administrativas, contractuales y legales. 

4.14. Disposición de cierre del capítulo 

El inventario, registro y clasificación de datos personales constituyen la base documental y operativa del Sistema Integral de Gestión y Protección de Datos Personales de IT ahora, y su mantenimiento actualizado será obligatorio para todas las áreas que intervengan en actividades de tratamiento de información personal. 

CAPÍTULO V 

BASES JURÍDICAS DEL TRATAMIENTO Y GESTIÓN DEL CONSENTIMIENTO 

5.1. Introducción 

La legitimidad del tratamiento de datos personales constituye el eje central del cumplimiento normativo en materia de protección de datos. Ninguna operación de recolección, almacenamiento, uso, transferencia, consulta, conservación o eliminación podrá ejecutarse sin una base jurídica válida y debidamente documentada. 

El presente capítulo establece el marco corporativo para la identificación, aplicación, documentación y supervisión de las bases jurídicas del tratamiento, así como el sistema integral de gestión del consentimiento implementado por IT ahora. 

5.2. Objetivos del capítulo 

Son objetivos del presente capítulo: 

• Garantizar que todo tratamiento cuente con fundamento jurídico válido. 

• Establecer criterios uniformes de evaluación y aprobación. 

• Regular la obtención y gestión del consentimiento. 

• Documentar evidencias de legitimidad. 

• Facilitar auditorías y verificaciones regulatorias. 

• Reducir riesgos legales y reputacionales derivados de tratamientos indebidos. 

5.3. Principio general de legitimidad 

Todo tratamiento de datos personales realizado por IT ahora deberá sustentarse en al menos una de las bases jurídicas previstas en la normativa aplicable. 

La ausencia de una base jurídica válida implicará la prohibición inmediata del tratamiento y la adopción de medidas correctivas por parte del responsable del área y de Dirección. 

5.4. Bases jurídicas reconocidas 

5.4.1. Consentimiento del titular 

El tratamiento será legítimo cuando el titular haya manifestado su voluntad libre, específica, informada e inequívoca. 

Aplicaciones en IT ahora. 

• Suscripciones a boletines informativos. 

• Registro en eventos tecnológicos. 

• Participación en concursos o promociones. 

• Envío de comunicaciones comerciales no amparadas en otra base jurídica. 

• Tratamiento de determinadas categorías de datos sensibles cuando la ley lo permita. 

5.4.2. Ejecución de una relación contractual 

El tratamiento será legítimo cuando sea necesario para la celebración, ejecución o gestión de un contrato. 

Aplicaciones en IT ahora. 

• Contratos con anunciantes. 

• Contratación de proveedores. 

• Relaciones laborales. 

• Servicios editoriales contratados. 

• Facturación y gestión de pagos. 

5.4.3. Cumplimiento de obligaciones legales 

El tratamiento será legítimo cuando derive de una obligación impuesta por una norma jurídica. 

Ejemplos. 

• Obligaciones tributarias. 

• Conservación de documentación contable. 

• Atención de requerimientos judiciales. 

• Obligaciones laborales y de seguridad social. 

• Colaboración con autoridades competentes. 

5.4.4. Protección de intereses vitales 

Podrá realizarse tratamiento cuando sea indispensable para proteger la vida, salud o integridad del titular o de otra persona. 

Esta base tendrá carácter excepcional y deberá documentarse detalladamente. 

5.4.5. Interés legítimo 

IT ahora podrá tratar datos personales cuando exista un interés legítimo prevalente, siempre que no se afecten de manera desproporcionada los derechos y libertades del titular. 

Requisitos obligatorios. 

• Identificación del interés perseguido. 

• Evaluación de necesidad. 

• Prueba de proporcionalidad. 

• Evaluación del impacto sobre el titular. 

• Implementación de salvaguardas adecuadas. 

Ejemplos. 

• Seguridad de la infraestructura tecnológica. 

• Prevención de fraude. 

• Auditorías internas. 

• Defensa de derechos en procesos legales. 

5.4.6. Ejercicio de derechos en procesos administrativos o judiciales 

El tratamiento será legítimo cuando resulte necesario para formular, ejercer o defender derechos ante autoridades administrativas, judiciales o arbitrales. 

5.5. Matriz corporativa de validación 

5.6. Prohibición de cambio de finalidad 

Los datos obtenidos bajo una determinada base jurídica no podrán utilizarse para una finalidad incompatible sin contar con una nueva habilitación legal o, cuando corresponda, con un nuevo consentimiento del titular. 

5.7. Sistema integral de gestión del consentimiento 

5.7.1. Requisitos del consentimiento 

El consentimiento deberá ser: 

• Libre 

• Específico 

• Informado 

• Inequívoco 

• Verificable 

• Revocable 

5.7.2. Prohibiciones 

No se considerará válido el consentimiento obtenido mediante: 

• Casillas preseleccionadas. 

• Silencio del titular. 

• Inactividad. 

• Condicionamiento injustificado de servicios. 

• Información ambigua o incompleta. 

5.8. Procedimiento de obtención del consentimiento 

Flujo obligatorio 

Controlado por Dirección 

1.-Información previa 

• Presentación del aviso de privacidad. 

2.-Manifestación expresa 

• Aceptación mediante acción afirmativa. 

3.-Registro de evidencia 

• Almacenamiento de prueba electrónica o física. 

4.-Asociación al tratamiento 

• Vinculación con la finalidad correspondiente. 

5.9. Evidencias obligatorias 

La organización conservará, como mínimo: 

5.10. Revocatoria del consentimiento 

5.10.1. Derecho del titular. 

El titular podrá revocar su consentimiento en cualquier momento. 

5.10.2. Procedimiento. 

• Recepción de la solicitud. 

• Verificación de identidad. 

• Evaluación de tratamientos afectados. 

• Suspensión del tratamiento basado exclusivamente en el consentimiento. 

• Confirmación al titular. 

5.10.3. Limitaciones. 

La revocatoria no afectará tratamientos sustentados en otra base jurídica válida ni aquellos ya ejecutados legítimamente antes de la revocación. 

5.11. Tratamiento de datos sensibles 

El tratamiento de datos sensibles requerirá una evaluación reforzada y, cuando proceda, consentimiento expreso del titular. 

Medidas adicionales. 

• Cifrado obligatorio. 

• Acceso restringido. 

• Registro de accesos. 

• Evaluación de impacto. 

• Supervisión directa. 

5.12. Transferencias y consentimiento 

Cuando una transferencia internacional se base en el consentimiento, el titular deberá ser informado específicamente sobre: 

• El país de destino. 

• La identidad del receptor. 

• La finalidad de la transferencia. 

• Los riesgos asociados. 

• Las garantías de protección implementadas. 

5.13. Registro corporativo de consentimientos 

IT ahora mantendrá un registro centralizado de consentimientos que permita: 

• Consultar el estado del consentimiento. 

• Verificar su vigencia. 

• Identificar revocatorias. 

• Relacionarlo con tratamientos específicos. 

• Generar reportes de auditoría. 

5.14. Controles de supervisión 

Se verificará periódicamente: 

• La existencia de base jurídica para cada tratamiento. 

• La validez de los consentimientos obtenidos. 

• La conservación de evidencias. 

• La correcta aplicación de la matriz de legitimación. 

• La atención de revocatorias. 

5.15. Consecuencias del incumplimiento 

El tratamiento sin base jurídica válida o con consentimiento defectuoso constituirá una infracción grave del Sistema Integral y podrá generar: 

• Suspensión inmediata del tratamiento. 

• Medidas disciplinarias internas. 

• Responsabilidad contractual. 

• Responsabilidad civil por daños y perjuicios. 

• Sanciones administrativas previstas en la normativa de protección de datos. 

5.16. Disposición final del capítulo 

La determinación, documentación y supervisión de las bases jurídicas del tratamiento, así como la gestión integral del consentimiento, constituyen requisitos esenciales e ineludibles para la licitud de cualquier operación de tratamiento de datos personales realizada por IT ahora, y deberán ser observados por todas las áreas, colaboradores y terceros que intervengan en el procesamiento de información personal. 

CAPÍTULO VI 

DERECHOS DE LOS TITULARES Y PROCEDIMIENTO DE ATENCIÓN DE SOLICITUDES 

6.1. Introducción 

IT ahora reconoce que los titulares de datos personales son los principales sujetos de protección del régimen jurídico de privacidad y, en consecuencia, garantiza el ejercicio efectivo, gratuito, oportuno y transparente de los derechos reconocidos por la normativa ecuatoriana de protección de datos personales. 

El presente capítulo establece el procedimiento corporativo para la recepción, análisis, gestión, respuesta y seguimiento de las solicitudes presentadas por los titulares, así como las responsabilidades de las áreas involucradas en su atención. 

6.2. Objetivos del capítulo 

Son objetivos del presente capítulo: 

• Garantizar el ejercicio efectivo de los derechos de los titulares. 

• Establecer un procedimiento uniforme de atención. 

• Definir plazos y responsables. 

• Asegurar la trazabilidad de las solicitudes. 

• Prevenir respuestas incompletas o extemporáneas. 

• Generar evidencia de cumplimiento normativo. 

6.3. Derechos reconocidos 

Los titulares podrán ejercer, entre otros, los siguientes derechos: 

• Acceso 

• Conocer qué datos posee IT ahora y cómo los trata. 

• Rectificación y actualización 

• Corregir datos inexactos o incompletos. 

• Eliminación 

• Solicitar la supresión cuando proceda legalmente. 

• Suspensión 

• Solicitar la suspensión temporal del tratamiento. 

• Oposición 

• Oponerse al tratamiento en determinadas circunstancias. 

• Portabilidad 

• Recibir sus datos en formato estructurado. 

• No ser objeto de decisiones automatizadas 

• Solicitar revisión humana cuando corresponda. 

6.4. Principios de atención 

Toda solicitud será gestionada bajo los principios de: 

• Gratuidad. 

• Celeridad. 

• Transparencia. 

• Confidencialidad. 

• No discriminación. 

• Facilidad de acceso. 

• Responsabilidad proactiva. 

6.5. Canales habilitados 

Los titulares podrán presentar solicitudes a través de: 

• Correo electrónico corporativo destinado a protección de datos. 

• Formulario web oficial. 

• Comunicación escrita física. 

• Canales de atención autorizados por IT ahora. 

La organización garantizará que los canales sean accesibles y fácilmente identificables. 

6.6. Requisitos mínimos de la solicitud 

La solicitud deberá contener: 

6.7. Verificación de identidad 

Antes de atender la solicitud, IT ahora verificará razonablemente la identidad del solicitante para evitar accesos indebidos a información personal. 

Podrán requerirse: 

• Copia del documento de identidad. 

• Confirmación mediante correo registrado. 

• Validación de datos previamente conocidos. 

• Documentación que acredite representación legal cuando corresponda. 

6.8. Procedimiento general de atención 

Flujo corporativo 

Trazable 

1.-Recepción 

• Ingreso de la solicitud al sistema de gestión. 

2.-Registro 

• Asignación de número único de seguimiento. 

3.-Verificación 

• Validación de identidad y requisitos. 

4.-Análisis 

• Evaluación jurídica y operativa. 

5.-Ejecución 

• Aplicación de la medida solicitada. 

6.-Respuesta y cierre 

• Comunicación al titular y archivo del expediente. 

6.9. Plazos de respuesta 

Tiempo máximo de atención 

IT ahora responderá las solicitudes en un plazo máximo de 15 días hábiles contados desde la recepción completa de la solicitud. 

Cuando la complejidad del caso lo justifique, el plazo podrá ampliarse conforme a la normativa aplicable, debiendo notificarse oportunamente al titular. 

6.10. Procedimiento específico por derecho 

6.10.1. Derecho de acceso 

La respuesta deberá incluir: 

• Categorías de datos tratados. 

• Finalidades del tratamiento. 

• Base jurídica. 

• Destinatarios o terceros receptores. 

• Plazo de conservación. 

• Origen de los datos cuando no provengan del titular. 

6.10.2. Derecho de rectificación 

El titular deberá indicar la información incorrecta y, cuando sea necesario, aportar documentación de respaldo. 

La actualización se realizará en todos los sistemas donde el dato se encuentre registrado. 

6.10.3. Derecho de eliminación 

Procederá cuando: 

• Los datos ya no sean necesarios. 

• El consentimiento haya sido revocado. 

• El tratamiento sea ilícito. 

• Exista obligación legal de eliminación. 

No procederá cuando: 

• Exista obligación legal de conservación. 

• Sea necesario para el ejercicio o defensa de derechos. 

• Existan intereses públicos legalmente protegidos. 

6.10.4. Derecho de oposición 

La organización evaluará si existen motivos legítimos imperiosos que prevalezcan sobre los intereses del titular. 

En caso contrario, cesará el tratamiento impugnado. 

6.10.5. Derecho de portabilidad 

Los datos serán entregados en un formato estructurado, de uso común y lectura mecánica cuando resulte técnicamente posible. 

6.11. Solicitudes presentadas por representantes 

Cuando la solicitud sea presentada por un representante, deberá acreditarse: 

• Poder suficiente. 

• Representación legal. 

• Autorización expresa del titular. 

• Documentación de identificación correspondiente. 

6.12. Registro de solicitudes 

Se mantendrá un registro centralizado que contenga: 

6.13. Coordinación interna 

Las áreas que posean datos personales deberán colaborar proporcionando la información requerida dentro de los plazos internos establecidos. 

La falta de colaboración constituirá incumplimiento del Sistema Integral. 

6.14. Medidas de confidencialidad 

Durante la atención de solicitudes se garantizará: 

• Acceso restringido al expediente. 

• Transmisión segura de información. 

• Protección de documentos de identidad. 

• Registro de accesos realizados. 

• Destrucción segura de copias innecesarias. 

6.15. Supervisión y auditoría 

Se realizará revisiones periódicas para verificar: 

• Cumplimiento de plazos. 

• Calidad de las respuestas. 

• Correcta ejecución de rectificaciones o eliminaciones. 

• Conservación de evidencias. 

• Consistencia del registro de solicitudes. 

6.16. Consecuencias del incumplimiento 

La falta de atención oportuna, la negativa injustificada o la respuesta incompleta a una solicitud podrá generar: 

• Medidas disciplinarias internas. 

• Responsabilidad administrativa. 

• Responsabilidad civil por daños ocasionados. 

• Sanciones previstas en la normativa de protección de datos personales. 

6.17. Disposición final del capítulo 

El ejercicio de los derechos de los titulares constituye una obligación esencial del Sistema Integral de Gestión y Protección de Datos Personales de IT ahora, y todas las áreas de la organización deberán garantizar una atención diligente, transparente y verificable de las solicitudes presentadas por los titulares de datos personales. 

CAPÍTULO VII 

MEDIDAS DE SEGURIDAD DE LA INFORMACIÓN Y PROTECCIÓN DE DATOS PERSONALES 

7.1. Introducción 

La seguridad de la información constituye un elemento esencial para garantizar la confidencialidad, integridad, disponibilidad, autenticidad y resiliencia de los datos personales tratados por IT ahora. 

En consideración a la naturaleza tecnológica de la organización y al volumen de información gestionada a través de plataformas digitales, servicios en la nube, sistemas editoriales, herramientas de comunicación y procesos administrativos, el presente capítulo establece el modelo integral de seguridad aplicable a todos los activos de información que contengan datos personales. 

Las medidas previstas deberán ser proporcionales al nivel de riesgo del tratamiento y serán objeto de revisión permanente conforme a la evolución tecnológica, normativa y operativa. 

7.2. Objetivos del sistema de seguridad 

El sistema de seguridad tiene por objetivos: 

• Proteger los datos personales contra acceso no autorizado. 

• Prevenir pérdida, alteración, destrucción o divulgación indebida. 

• Garantizar la continuidad operativa de los tratamientos. 

• Reducir la exposición a amenazas internas y externas. 

• Fortalecer la capacidad de detección y respuesta ante incidentes. 

• Cumplir las obligaciones legales de seguridad de datos personales. 

• Generar evidencia verificable de cumplimiento. 

7.3. Principios de seguridad aplicables 

Las medidas de seguridad se implementarán conforme a los principios de: 

• Confidencialidad 

• Integridad 

• Disponibilidad 

• Autenticidad 

• Trazabilidad 

• Resiliencia 

• Seguridad  

7.4. Modelo de seguridad corporativa 

IT ahora adoptará un modelo de seguridad basado en múltiples capas de protección: 

Capas de protección 

Defensa en profundidad 

1.-Gobernanza y políticas 

• Normas, roles y supervisión. 

2.-Controles organizacionales 

• Procesos, autorizaciones y segregación. 

3.-Controles técnicos 

• Cifrado, autenticación y monitoreo. 

4.-Controles físicos 

• Acceso a instalaciones y protección documental. 

5.-Monitoreo y respuesta 

• Detección, análisis y remediación de incidentes. 

7.5. Medidas organizacionales de seguridad 

7.5.1. Políticas internas obligatorias 

La organización mantendrá políticas formales relativas a: 

• Protección de datos personales. 

• Seguridad de la información. 

• Gestión de accesos. 

• Uso aceptable de recursos tecnológicos. 

• Teletrabajo y trabajo remoto. 

• Clasificación de información. 

• Gestión de incidentes. 

• Continuidad del negocio. 

7.5.2. Acuerdos de confidencialidad 

Todo empleado, colaborador, proveedor o tercero con acceso a datos personales deberá suscribir un acuerdo de confidencialidad que establezca: 

• Obligación de reserva. 

• Uso limitado de la información. 

• Prohibición de divulgación no autorizada. 

• Medidas de custodia. 

• Responsabilidades posteriores a la terminación de la relación contractual. 

7.5.3. Segregación de funciones 

Las actividades críticas relacionadas con datos personales deberán distribuirse entre diferentes responsables para evitar concentración indebida de privilegios. 

7.6. Gestión de accesos 

7.6.1. Principio de mínimo privilegio 

Cada usuario tendrá acceso únicamente a la información necesaria para el desempeño de sus funciones. 

7.6.2. Ciclo de vida de accesos 

7.6.3. Autenticación 

Los sistemas que traten datos personales deberán implementar: 

• Contraseñas robustas. 

• Autenticación multifactor para accesos críticos. 

• Bloqueo automático por intentos fallidos. 

• Políticas de renovación periódica. 

7.7. Seguridad técnica 

7.7.1. Cifrado 

Los datos personales clasificados como confidenciales o sensibles deberán cifrarse: 

• En tránsito mediante protocolos seguros. 

• En reposo mediante algoritmos criptográficos robustos. 

• En copias de seguridad cuando corresponda. 

7.7.2. Protección de endpoints 

Los dispositivos corporativos deberán contar con: 

• Antimalware actualizado. 

• Firewall habilitado. 

• Cifrado de disco. 

• Bloqueo automático de pantalla. 

• Gestión centralizada de actualizaciones. 

7.7.3. Seguridad de redes 

La infraestructura de red deberá incorporar: 

• Segmentación de redes. 

• Control de tráfico. 

• Detección de intrusiones. 

• Acceso remoto seguro. 

• Monitoreo continuo. 

7.7.4. Gestión de vulnerabilidades 

La Dirección de Tecnología realizará: 

• Escaneos periódicos. 

• Evaluaciones de seguridad. 

• Aplicación de parches críticos. 

• Seguimiento de remediaciones. 

7.8. Seguridad de aplicaciones y plataformas digitales 

Todo desarrollo o implementación tecnológica deberá cumplir con: 

• Revisión de seguridad en fase de diseño. 

• Pruebas de vulnerabilidad antes de producción. 

• Control de autenticación y autorización. 

• Validación de entradas. 

• Registro de eventos de seguridad. 

• Protección contra ataques comunes. 

7.9. Seguridad física 

7.9.1. Acceso a instalaciones 

Las áreas que contengan información personal estarán sujetas a: 

• Control de ingreso. 

• Identificación de visitantes. 

• Registro de accesos. 

• Restricción de áreas críticas. 

7.9.2. Protección de archivos físicos 

Los documentos físicos con datos personales deberán almacenarse en: 

• Archivadores seguros. 

• Áreas con acceso restringido. 

• Espacios protegidos contra incendio, humedad y deterioro. 

7.9.3. Destrucción segura 

La eliminación de documentos físicos se realizará mediante trituración o métodos equivalentes que garanticen su irrecuperabilidad. 

7.10. Gestión de copias de seguridad 

Las copias de seguridad deberán: 

• Realizarse con periodicidad definida. 

• Almacenarse en ubicaciones seguras. 

• Protegerse mediante cifrado. 

• Probarse regularmente para verificar su restauración. 

• Mantenerse conforme a los plazos de conservación establecidos. 

7.11. Continuidad del negocio y recuperación 

IT ahora implementará planes de: 

• Continuidad operativa. 

• Recuperación ante desastres. 

• Restauración de servicios críticos. 

• Recuperación de datos personales. 

• Comunicación de contingencias. 

7.12. Monitoreo y registro de eventos 

Los sistemas críticos deberán registrar: 

• Intentos de acceso. 

• Accesos exitosos y fallidos. 

• Modificaciones de privilegios. 

• Consultas masivas de información. 

• Transferencias de datos. 

• Eventos de seguridad relevantes. 

Los registros deberán conservarse conforme a la política de retención y estar disponibles para auditoría. 

7.13. Gestión de dispositivos móviles y trabajo remoto 

Los dispositivos utilizados para acceder a datos personales deberán: 

• Estar autorizados por la organización. 

• Contar con mecanismos de bloqueo. 

• Utilizar conexiones seguras. 

• Prohibir el almacenamiento no autorizado de información sensible. 

• Permitir borrado remoto cuando técnicamente sea posible. 

7.14. Capacitación en seguridad 

Todo el personal recibirá capacitación periódica sobre: 

• Protección de datos personales. 

• Identificación de phishing. 

• Manejo seguro de información. 

• Uso adecuado de contraseñas. 

• Reporte de incidentes. 

• Buenas prácticas de ciberseguridad. 

7.15. Clasificación de incidentes de seguridad 

7.16. Evidencias de cumplimiento 

La organización mantendrá, entre otras, las siguientes evidencias: 

7.17. Supervisión y auditoría 

Se realizarán revisiones periódicas para evaluar: 

• Eficacia de controles. 

• Cumplimiento de políticas. 

• Estado de vulnerabilidades. 

• Gestión de accesos. 

• Respaldo y recuperación. 

• Capacidad de respuesta ante incidentes. 

7.18. Consecuencias del incumplimiento 

El incumplimiento de las medidas de seguridad establecidas en este capítulo podrá generar: 

• Suspensión de accesos. 

• Medidas disciplinarias. 

• Responsabilidad contractual. 

• Responsabilidad civil por daños ocasionados. 

• Sanciones administrativas previstas en la normativa aplicable. 

7.19. Disposición final del capítulo 

Las medidas de seguridad de la información y protección de datos personales establecidas en el presente capítulo constituyen controles corporativos obligatorios para todas las áreas, colaboradores y terceros que intervengan en actividades de tratamiento de datos personales, y deberán mantenerse actualizadas conforme a la evolución de los riesgos, las tecnologías y las obligaciones regulatorias aplicables a IT ahora. 

CAPÍTULO VIII 

GESTIÓN DE RIESGOS Y EVALUACIÓN DE IMPACTO EN PROTECCIÓN DE DATOS PERSONALES (EIPD) 

8.1. Introducción 

La gestión de riesgos en materia de protección de datos personales constituye un componente esencial del modelo de gobernanza y cumplimiento de IT ahora. Dado que las actividades de tratamiento pueden generar impactos sobre los derechos y libertades de los titulares, la organización implementará un sistema estructurado para identificar, evaluar, tratar, monitorear y revisar los riesgos asociados al tratamiento de información personal. 

El presente capítulo establece la metodología corporativa de gestión de riesgos y el procedimiento para la realización de Evaluaciones de Impacto en Protección de Datos Personales (EIPD), conforme a un enfoque preventivo y basado en riesgos. 

8.2. Objetivos 

Son objetivos del presente capítulo: 

• Identificar amenazas y vulnerabilidades relacionadas con el tratamiento de datos personales. 

• Evaluar la probabilidad e impacto de los riesgos. 

• Implementar controles de mitigación adecuados. 

• Reducir la exposición de la organización y de los titulares. 

• Priorizar acciones de tratamiento de riesgos. 

• Establecer criterios para la realización de EIPD. 

• Demostrar cumplimiento del principio de responsabilidad proactiva. 

8.3. Alcance 

La gestión de riesgos se aplicará a: 

• Todos los tratamientos registrados en el inventario corporativo. 

• Nuevos proyectos tecnológicos. 

• Plataformas digitales y aplicaciones. 

• Procesos editoriales y comerciales. 

• Transferencias nacionales e internacionales. 

• Tratamientos realizados por encargados de tratamiento. 

• Procesos que involucren datos sensibles o de alto volumen. 

8.4. Principios de gestión de riesgos 

La metodología se regirá por los principios de: 

• Prevención 

• Proporcionalidad 

• Enfoque basado en riesgos 

• Mejora continua 

• Trazabilidad 

• Responsabilidad compartida 

8.5. Estructura de responsabilidades 

8.6. Metodología corporativa de gestión de riesgos 

Fases del proceso 

Ciclo continuo 

1.-Identificación 

• Detección de amenazas y vulnerabilidades. 

2.-Análisis 

• Determinación de probabilidad e impacto. 

3.-Valoración 

• Clasificación del nivel de riesgo. 

4.-Tratamiento 

• Definición de controles y acciones. 

5.-Monitoreo 

• Seguimiento de efectividad. 

6.-Revisión 

• Actualización periódica del análisis. 

8.7. Identificación de riesgos 

Se considerarán, entre otros, los siguientes factores: 

8.8. Criterios de evaluación 

8.8.1. Probabilidad 

8.8.2. Impacto 

8.9. Matriz de riesgo 

8.10. Tratamiento de riesgos 

Los riesgos identificados podrán: 

8.11. Riesgo residual 

Una vez implementados los controles, se calculará el riesgo residual. 

Si el riesgo residual permanece en nivel alto o crítico, el tratamiento no podrá iniciarse o continuar sin aprobación expresa de la Dirección. 

8.12. Evaluación de Impacto en Protección de Datos (EIPD) 

8.12.1. Concepto. 

La EIPD es un análisis sistemático destinado a identificar y minimizar los riesgos que un tratamiento puede generar sobre los derechos y libertades de los titulares. 

8.12.2. Casos en que será obligatoria 

IT ahora realizará una EIPD cuando el tratamiento: 

• Involucre datos sensibles. 

• Utilice tecnologías de seguimiento masivo. 

• Genere perfiles automatizados. 

• Implica monitoreo sistemático de personas. 

• Involucre grandes volúmenes de datos. 

• Realice transferencias internacionales de alto riesgo. 

• Utilice inteligencia artificial con impacto significativo. 

• Pueda afectar de forma relevante los derechos de los titulares. 

8.13. Contenido mínimo de la EIPD 

La evaluación deberá incluir: 

• Descripción detallada del tratamiento. 

• Finalidades perseguidas. 

• Base jurídica aplicable. 

• Necesidad y proporcionalidad del tratamiento. 

• Categorías de datos involucradas. 

• Identificación de riesgos. 

• Valoración de impacto. 

• Controles existentes. 

• Medidas adicionales propuestas. 

• Riesgo residual. 

• Conclusiones y recomendaciones. 

8.14. Procedimiento de Evaluación de Impacto de Protección de Datos 

Etapas de la EIPD 

Obligatorio cuando aplique 

1.- Solicitud del proyecto 

• El área responsable informa el nuevo tratamiento. 

2.-Determinación de obligatoriedad 

• Evaluar si corresponde una EIPD. 

3.-Recopilación de información 

• Se documenta el tratamiento y sus características. 

4.-Análisis de riesgos 

• Identificación y valoración de riesgos. 

5.-Definición de controles 

• Medidas de mitigación y salvaguardas. 

6.-Aprobación y seguimiento 

• Recomendaciones y monitoreo posterior. 

8.15. Revisión periódica de la EIPD 

Las EIPD deberán revisarse cuando: 

• Cambie la finalidad del tratamiento. 

• Se incorporen nuevas tecnologías. 

• Exista una brecha de seguridad relevante. 

• Aumenten significativamente los volúmenes de datos. 

• La normativa aplicable sea modificada. 

• El riesgo residual se incremente. 

8.16. Registro corporativo de riesgos 

Se mantendrá un registro centralizado que contenga: 

8.17. Supervisión y auditoría 

El Comité revisará trimestralmente los riesgos clasificados como altos o críticos y verificará la ejecución de los planes de mitigación. 

Las auditorías internas evaluarán la eficacia de la metodología y la consistencia de las valoraciones realizadas. 

8.18. Consecuencias del incumplimiento 

La omisión de evaluar riesgos o de realizar una EIPD obligatoria constituirá un incumplimiento grave del Sistema Integral y podrá generar responsabilidades administrativas, contractuales y legales. 

8.19. Disposición final del capítulo 

La gestión de riesgos y la Evaluación de Impacto en Protección de Datos Personales constituyen mecanismos preventivos obligatorios para asegurar que los tratamientos realizados por IT ahora se desarrollen dentro de niveles de riesgo aceptables y con salvaguardas adecuadas para la protección efectiva de los derechos y libertades de los titulares. 

CAPÍTULO IX 

GESTIÓN DE INCIDENTES, BRECHAS DE SEGURIDAD Y NOTIFICACIONES 

9.1. Introducción 

La capacidad de detectar, contener, analizar y remediar incidentes de seguridad constituye un elemento crítico para la protección efectiva de los datos personales tratados por IT ahora. 

Considerando que una brecha de seguridad puede afectar la confidencialidad, integridad, disponibilidad o autenticidad de la información personal, la organización implementa un sistema integral de gestión de incidentes orientado a minimizar el impacto sobre los titulares, garantizar el cumplimiento normativo y preservar la continuidad operativa. 

El presente capítulo establece el protocolo corporativo obligatorio para la gestión de incidentes y brechas de seguridad relacionadas con datos personales. 

9.2. Objetivos 

Son objetivos del presente capítulo: 

• Detectar oportunamente incidentes de seguridad. 

• Contener y limitar la propagación de una brecha. 

• Evaluar el impacto sobre los titulares y la organización. 

• Determinar las obligaciones de notificación. 

• Restablecer la seguridad de los sistemas afectados. 

• Documentar evidencias para auditoría y cumplimiento. 

• Implementar medidas preventivas para evitar recurrencias. 

9.3. Alcance 

Este procedimiento se aplicará a cualquier incidente que involucre: 

• Datos personales tratados por IT ahora. 

• Sistemas internos o externos. 

• Plataformas digitales. 

• Aplicaciones móviles. 

• Servidores propios o en la nube. 

• Dispositivos corporativos. 

• Archivos físicos con información personal. 

• Servicios administrados por encargados de tratamiento. 

9.4. Definiciones 

9.5. Principios de actuación 

La gestión de incidentes se regirá por los principios de: 

• Rapidez 

• Proporcionalidad 

• Confidencialidad 

• Trazabilidad 

• Coordinación 

• Mejora continua 

9.6. Estructura de respuesta a incidentes 

9.7. Clasificación de incidentes 

9.8. Tipologías de incidentes 

Se consideran, entre otros: 

• Acceso no autorizado a bases de datos. 

• Robo o pérdida de dispositivos. 

• Ransomware o malware. 

• Divulgación accidental de información. 

• Envío erróneo de datos personales. 

• Alteración no autorizada de registros. 

• Compromiso de credenciales. 

• Fallas de configuración de seguridad. 

• Exposición pública de información. 

• Incidentes originados por terceros o proveedores. 

9.9. Procedimiento integral de respuesta 

Fases obligatorias 

Activación inmediata 

1.-Detección 

• Identificación del evento por monitoreo, reporte interno o tercero. 

2.- Registro inicial 

• Asignación de número de incidente y apertura del expediente. 

3.-Contención 

• Aislamiento de sistemas, bloqueo de accesos y limitación del alcance. 

4.-Análisis técnico y jurídico 

• Determinación de causa raíz, datos afectados y obligaciones legales. 

5.-Evaluación de impacto 

• Valoración del riesgo para los titulares y la organización. 

6.-Notificación 

• Comunicación a autoridad y/o titulares cuando corresponda. 

7.-Remediación 

• Corrección de vulnerabilidades y restauración segura. 

8.-Cierre y lecciones aprendidas 

• Documentación final y plan de mejora. 

9.10. Detección y reporte 

Todo colaborador que detecte un incidente deberá reportarlo de inmediato al canal de seguridad establecido por IT ahora. 

El reporte deberá incluir, en la medida de lo posible: 

• Fecha y hora del evento. 

• Sistema o proceso afectado. 

• Descripción del incidente. 

• Datos potencialmente comprometidos. 

• Acciones realizadas hasta el momento. 

9.11. Contención inmediata 

La Dirección de Tecnología ejecutará las medidas necesarias para: 

• Desconectar sistemas comprometidos. 

• Revocar credenciales afectadas. 

• Bloquear accesos sospechosos. 

• Preservar evidencia digital. 

• Evitar la propagación del incidente. 

• Proteger copias de seguridad. 

9.12. Análisis del incidente 

El análisis deberá determinar: 

9.13. Evaluación del riesgo para los titulares 

Se evaluará especialmente: 

• Posibilidad de fraude o suplantación. 

• Discriminación o afectación reputacional. 

• Pérdidas económicas. 

• Exposición de datos sensibles. 

• Impacto sobre derechos fundamentales. 

• Facilidad de identificación de los titulares. 

9.14. Notificación a la autoridad competente 

Cuando la brecha pueda implicar un riesgo para los derechos y libertades de los titulares, IT ahora notificará a la autoridad competente conforme a los plazos y requisitos establecidos por la normativa aplicable. 

La notificación incluirá: 

• Naturaleza de la brecha. 

• Categorías de datos afectadas. 

• Número aproximado de titulares afectados. 

• Consecuencias probables. 

• Medidas adoptadas o propuestas. 

• Datos de contactos. 

9.15. Notificación a los titulares 

Cuando la brecha represente un alto riesgo para los titulares, IT ahora comunicará el incidente de forma clara y comprensible. 

La comunicación deberá indicar: 

• Qué ocurrió. 

• Qué información pudo verse afectada. 

• Posibles consecuencias. 

• Medidas adoptadas por la organización. 

• Recomendaciones de protección al titular. 

• Canales de contacto para consultas. 

9.16. Remediación y recuperación 

Las acciones de remediación podrán incluir: 

• Aplicación de parches de seguridad. 

• Reconfiguración de sistemas. 

• Restablecimiento de contraseñas. 

• Revisión de privilegios de acceso. 

• Recuperación desde respaldos seguros. 

• Implementación de controles adicionales. 

• Capacitación específica al personal involucrado. 

9.17. Preservación de evidencia 

Durante toda la investigación deberán preservarse: 

• Registros de eventos. 

• Capturas de sistemas. 

• Bitácoras de acceso. 

• Archivos relevantes. 

• Comunicaciones relacionadas. 

• Acciones ejecutadas por el equipo de respuesta. 

9.18. Registro corporativo de incidentes 

Semantendrá un registro centralizado con: 

9.19. Lecciones aprendidas 

Todo incidente alto o crítico requerirá un informe de lecciones aprendidas que incluya: 

• Causa raíz. 

• Controles que fallaron. 

• Impacto real. 

• Tiempo de respuesta. 

• Acciones preventivas. 

• Responsables de implementación. 

• Fecha de verificación de cumplimiento. 

9.20. Auditoría y supervisión 

Se revisará trimestralmente: 

• Incidentes clasificados como altos o críticos. 

• Efectividad de las medidas de remediación. 

• Cumplimiento de los plazos de respuesta. 

• Evolución de los indicadores de seguridad. 

• Implementación de acciones preventivas. 

9.21. Consecuencias del incumplimiento 

La omisión de reportar un incidente, la manipulación de evidencias o el incumplimiento de las obligaciones de notificación podrá generar: 

• Medidas disciplinarias internas. 

• Suspensión de accesos. 

• Responsabilidad contractual. 

• Responsabilidad civil por daños ocasionados. 

• Sanciones administrativas previstas en la normativa aplicable. 

9.22. Disposición final del capítulo 

La gestión de incidentes y brechas de seguridad establecida en el presente capítulo constituye el protocolo corporativo obligatorio de IT ahora para la protección de datos personales ante eventos de seguridad, y su observancia será exigible a todas las áreas, colaboradores y terceros que intervengan en actividades de tratamiento de información personal. 

CAPÍTULO X 

TRANSFERENCIAS NACIONALES E INTERNACIONALES Y ENCARGADOS DE TRATAMIENTO 

10.1. Introducción 

En el desarrollo de sus actividades editoriales, comerciales, administrativas y tecnológicas, IT ahora puede requerir la comunicación, acceso, almacenamiento o procesamiento de datos personales por parte de terceros ubicados dentro o fuera del territorio nacional. 

El presente capítulo establece el marco jurídico, contractual, técnico y organizacional aplicable a las transferencias nacionales e internacionales de datos personales, así como a la relación con los encargados de tratamiento, garantizando que toda comunicación de datos se realice con un nivel adecuado de protección y conforme a los principios establecidos en la normativa de protección de datos personales. 

10.2. Objetivos 

Son objetivos del presente capítulo: 

• Regular las transferencias de datos personales realizadas por IT ahora. 

• Establecer requisitos para la selección y supervisión de terceros. 

• Garantizar niveles adecuados de seguridad y confidencialidad. 

• Definir el contenido mínimo de los contratos con encargados de tratamiento. 

• Controlar las transferencias internacionales de datos. 

• Mitigar riesgos derivados del tratamiento realizado por terceros. 

• Generar evidencia de cumplimiento normativo. 

10.3. Alcance 

Este capítulo se aplicará a: 

• Transferencias nacionales de datos personales. 

• Transferencias internacionales de datos personales. 

• Accesos remotos realizados por terceros. 

• Servicios en la nube. 

• Proveedores tecnológicos. 

• Agencias de marketing y publicidad. 

• Servicios de alojamiento web. 

• Plataformas de correo y comunicación. 

• Consultores externos. 

• Cualquier tercero que trate datos personales por cuenta de IT ahora. 

10.4. Definiciones 

10.5. Principios aplicables 

Toda transferencia se regirá por los principios de: 

• Licitud 

• Finalidad 

• Necesidad 

• Proporcionalidad 

• Confidencialidad 

• Seguridad 

• Responsabilidad proactiva 

• Trazabilidad 

10.6. Condiciones generales para transferir datos 

IT ahora únicamente realizará transferencias cuando: 

• Exista una base jurídica válida. 

• La transferencia sea necesaria para la finalidad declarada. 

• El destinatario ofrezca garantías adecuadas de protección. 

• Se haya suscrito el instrumento contractual correspondiente. 

• Se implementen medidas de seguridad apropiadas. 

• La transferencia se encuentre registrada en el inventario de tratamientos. 

10.7. Transferencias nacionales 

Las transferencias realizadas dentro del territorio nacional deberán cumplir con: 

• Verificación de la identidad del destinatario. 

• Determinación de la finalidad específica. 

• Evaluación del nivel de seguridad del receptor. 

• Suscripción de cláusulas de confidencialidad. 

• Registro de la operación de transferencia. 

10.8. Transferencias internacionales 

10.8.1. Requisitos previos 

Antes de realizar una transferencia internacional, Dirección deberá verificar: 

• La legislación del país de destino. 

• La existencia de garantías adecuadas. 

• Los riesgos para los titulares. 

• Las medidas de seguridad implementadas por el receptor. 

• La necesidad y proporcionalidad de la transferencia. 

10.8.2. Garantías adecuadas 

Podrán considerarse garantías adecuadas, entre otras: 

• Cláusulas contractuales de protección de datos. 

• Normas corporativas vinculantes. 

• Certificaciones reconocidas de seguridad y privacidad. 

• Códigos de conducta aprobados. 

• Medidas técnicas de cifrado y pseudonimización. 

10.8.3. Información al titular 

Cuando la transferencia se base en el consentimiento o la normativa lo exija, el titular será informado sobre: 

• País de destino. 

• Identidad del receptor. 

• Finalidad de la transferencia. 

• Riesgos asociados. 

• Garantías implementadas. 

10.9. Evaluación de terceros 

Todo tercero que vaya a tratar datos personales será sometido a un proceso de evaluación que incluirá: 

10.10. Contrato con encargado de tratamiento 

Todo encargado deberá suscribir un contrato escrito o instrumento equivalente. 

10.10.1. Contenido mínimo obligatorio 

• Objeto del tratamiento. 

• Duración de la relación. 

• Finalidad específica. 

• Categorías de datos tratados. 

• Obligaciones del encargado. 

• Medidas de seguridad exigidas. 

• Deber de confidencialidad. 

• Prohibición de uso para fines propios. 

• Condiciones de subcontratación. 

• Asistencia para atender derechos de titulares. 

• Notificación de incidentes. 

• Devolución o eliminación de datos al finalizar el servicio. 

• Derechos de auditoría de IT ahora. 

10.11. Obligaciones del encargado 

El encargado deberá: 

• Tratar los datos únicamente siguiendo instrucciones documentadas. 

• Garantizar la confidencialidad del personal autorizado. 

• Implementar medidas de seguridad adecuadas. 

• Notificar incidentes sin demora injustificada. 

• Colaborar en auditorías y verificaciones. 

• No transferir datos a terceros sin autorización. 

• Eliminar o devolver los datos al finalizar la relación contractual. 

10.12. Subencargados 

La contratación de subencargados requerirá autorización previa, expresa y documentada de IT ahora. 

El encargado será responsable de garantizar que el subencargado asuma obligaciones equivalentes a las establecidas en el contrato principal. 

10.13. Medidas de seguridad exigidas a terceros 

IT ahora exigirá a los terceros, como mínimo: 

• Control de accesos. 

• Cifrado de información sensible. 

• Autenticación robusta. 

• Registro de eventos. 

• Copias de seguridad. 

• Gestión de vulnerabilidades. 

• Plan de respuesta a incidentes. 

• Capacitación del personal. 

10.14. Supervisión de encargados 

La Dirección podrá realizar: 

• Revisiones documentales. 

• Solicitudes de evidencia de cumplimiento. 

• Cuestionarios de seguridad. 

• Auditorías técnicas o jurídicas. 

• Evaluaciones periódicas de desempeño. 

10.15. Registro de transferencias 

Se mantendrá un registro que contenga: 

10.16. Conservación y eliminación por terceros 

Los encargados deberán respetar los plazos de conservación definidos por IT ahora y ejecutar procesos de eliminación segura cuando finalice la relación contractual o desaparezca la finalidad del tratamiento. 

La eliminación deberá ser certificada cuando IT ahora lo requiera. 

10.17. Suspensión de transferencias 

IT ahora podrá suspender una transferencia cuando: 

• El tercero incumpla las obligaciones contractuales. 

• Se detecten deficiencias graves de seguridad. 

• Exista una brecha de seguridad relevante. 

• Desaparezca la base jurídica del tratamiento. 

• La autoridad competente así lo requiera. 

10.18. Gestión de incidentes de terceros 

El encargado deberá notificar a IT ahora cualquier incidente que afecte datos personales en un plazo inmediato desde su detección, proporcionando: 

• Descripción del incidente. 

• Datos afectados. 

• Titulares potencialmente comprometidos. 

• Medidas de contención. 

• Acciones de remediación. 

• Información necesaria para las notificaciones regulatorias. 

10.19. Consecuencias del incumplimiento 

El incumplimiento de las disposiciones de este capítulo podrá generar: 

• Suspensión de la transferencia. 

• Terminación del contrato con el tercero. 

• Medidas disciplinarias internas. 

• Responsabilidad contractual. 

• Responsabilidad civil por daños ocasionados. 

• Sanciones administrativas previstas en la normativa aplicable. 

10.20. Disposición de cierre del capítulo 

Toda transferencia nacional o internacional de datos personales y toda relación con encargados de tratamiento deberá ajustarse estrictamente a las disposiciones establecidas en el presente capítulo, garantizando que los datos personales tratados por IT ahora reciban un nivel de protección equivalente al exigido por el Sistema Integral de Gestión y Protección de Datos Personales y por la normativa vigente. 

CAPÍTULO XI 

CONSERVACIÓN, RETENCIÓN Y ELIMINACIÓN SEGURA DE DATOS PERSONALES 

11.1. Introducción 

La gestión del ciclo de vida de los datos personales constituye una obligación esencial para garantizar el cumplimiento de los principios de conservación limitada, minimización y responsabilidad proactiva. 

IT ahora implementará procedimientos formales para determinar los períodos de retención aplicables a cada categoría de datos personales, controlar su conservación y ejecutar procesos de eliminación segura cuando la información deje de ser necesaria para las finalidades que motivaron su tratamiento. 

El presente capítulo regula la creación, conservación, archivo, bloqueo, anonimización y eliminación definitiva de los datos personales tratados por la organización. 

11.2. Objetivos 

Son objetivos del presente capítulo: 

• Definir los plazos de conservación de datos personales. 

• Garantizar que la información no se mantenga más tiempo del necesario. 

• Establecer procedimientos de archivo y bloqueo. 

• Regular la eliminación física y lógica de datos. 

• Reducir riesgos derivados de la acumulación innecesaria de información. 

• Generar evidencia verificable de las operaciones de eliminación. 

• Cumplir las obligaciones legales y regulatorias aplicables. 

11.3. Principios aplicables 

La gestión de conservación y eliminación se regirá por los principios de: 

• Conservación limitada 

• Necesidad 

• Proporcionalidad 

• Seguridad 

• Confidencialidad 

• Trazabilidad 

11.4. Alcance 

Este capítulo se aplicará a todos los datos personales tratados por IT ahora, incluyendo información almacenada en: 

• Bases de datos electrónicas. 

• Servidores internos y en la nube. 

• Sistemas editoriales. 

• Plataformas comerciales. 

• Correos electrónicos corporativos. 

• Documentos físicos. 

• Copias de seguridad. 

• Repositorios históricos. 

• Medios removibles. 

• Sistemas administrados por terceros. 

11.5. Criterios para determinar la conservación 

Los plazos de retención se definirán considerando: 

11.6. Categorías de conservación 

11.7. Tabla corporativa de retención 

11.8. Bloqueo de datos personales 

Cuando los datos no deban seguir siendo utilizados para la finalidad original, pero deban conservarse por obligaciones legales o para la defensa de derechos, serán bloqueados. 

Durante el bloqueo: 

• No podrán utilizarse para nuevas finalidades. 

• El acceso será restringido. 

• Se mantendrán medidas de seguridad reforzadas. 

• Se conservarán únicamente por el plazo estrictamente necesario. 

11.9. Anonimización 

IT ahora podrá anonimizar datos personales cuando resulte necesario conservar información para fines estadísticos, históricos, analíticos o de investigación tecnológica. 

La anonimización deberá garantizar que la persona no pueda ser identificada de manera directa ni indirecta mediante medios razonablemente disponibles. 

11.10. Procedimiento de eliminación segura 

Fases obligatorias 

Irrecuperable 

1.- Identificación 

• Determinación de datos elegibles para eliminación. 

2.- Validación 

• Verificación de ausencia de obligaciones de conservación. 

3.-Autorización 

• Aprobación del responsable del área  cuando corresponda. 

4.- Ejecución 

• Destrucción física o lógica. 

5.- Registro y certificación 

• Documentación de la operación realizada. 

11.11. Eliminación de información electrónica 

La eliminación lógica deberá impedir la recuperación razonable de los datos mediante: 

• Sobrescritura segura. 

• Borrado criptográfico. 

• Destrucción de claves de cifrado. 

• Herramientas especializadas de sanitización. 

11.12. Eliminación de información física 

Los documentos físicos con datos personales serán destruidos mediante: 

• Trituración de alta seguridad. 

• Desintegración certificada. 

• Incineración autorizada cuando aplique. 

• Servicios especializados con cadena de custodia documentada. 

11.13. Gestión de copias de seguridad 

Las copias de seguridad estarán sujetas a: 

• Plazos de retención definidos. 

• Cifrado obligatorio cuando contengan datos sensibles. 

• Acceso restringido. 

• Procedimientos de eliminación programada. 

• Verificación periódica de destrucción segura. 

11.14. Eliminación en sistemas de terceros 

Los encargados de tratamiento deberán: 

• Eliminar o devolver los datos al finalizar el servicio. 

• Aplicar métodos de destrucción equivalentes a los exigidos por IT ahora. 

• Emitir certificación de eliminación cuando sea requerida. 

• Eliminar también las copias y respaldos que ya no deban conservarse. 

11.15. Registro de eliminación 

Se mantendrá un registro que contenga: 

11.16. Conservación por litigio o investigación 

Cuando exista un proceso judicial, administrativo, arbitral o una investigación interna, los datos relacionados quedarán sujetos a retención legal y no podrán eliminarse hasta la conclusión definitiva del procedimiento y el vencimiento de los plazos de conservación aplicables. 

11.17. Revisiones periódicas 

Se coordinará revisiones al menos semestrales para: 

• Identificar datos cuyo plazo haya expirado. 

• Verificar el estado de archivos bloqueados. 

• Confirmar la ejecución de eliminaciones programadas. 

• Actualizar la tabla de retención cuando existan cambios normativos u operativos. 

11.18. Supervisión y auditoría 

Las auditorías internas verificarán: 

• Coherencia entre el inventario y los plazos de retención. 

• Ejecución de eliminaciones programadas. 

• Existencia de evidencias de destrucción. 

• Gestión adecuada de respaldos y archivos bloqueados. 

• Cumplimiento de las obligaciones por parte de terceros. 

11.19. Consecuencias del incumplimiento 

La conservación indebida de datos personales o la eliminación no autorizada podrá generar: 

• Medidas disciplinarias internas. 

• Suspensión de accesos. 

• Responsabilidad contractual. 

• Responsabilidad civil por daños ocasionados. 

• Sanciones administrativas previstas en la normativa aplicable. 

11.20. Disposición final del capítulo 

La conservación, retención y eliminación segura de datos personales constituye una obligación permanente de IT ahora y deberá ejecutarse conforme a los plazos, procedimientos y controles establecidos en el presente capítulo, garantizando que toda información personal sea mantenida únicamente durante el tiempo necesario y eliminada posteriormente de manera segura, trazable e irrecuperable. 

CAPÍTULO XII 

CAPACITACIÓN, CONCIENTIZACIÓN Y CULTURA ORGANIZACIONAL DE PROTECCIÓN DE DATOS PERSONALES 

12.1. Introducción 

La protección efectiva de los datos personales no depende únicamente de políticas, procedimientos y controles tecnológicos, sino también del comportamiento, conocimiento y compromiso de las personas que intervienen en el tratamiento de la información. 

En una organización dedicada al ámbito tecnológico y editorial como IT ahora, donde el intercambio permanente de información constituye parte esencial de la operación, resulta indispensable desarrollar una cultura corporativa orientada a la privacidad, la seguridad y el cumplimiento normativo. 

El presente capítulo establece el programa integral de capacitación, concientización y fortalecimiento de la cultura organizacional en materia de protección de datos personales y seguridad de la información. 

12.2. Objetivos 

Son objetivos del presente capítulo: 

• Garantizar que todo el personal conozca sus obligaciones en materia de protección de datos. 

• Fortalecer la cultura de privacidad y seguridad de la información. 

• Reducir incidentes ocasionados por error humano. 

• Desarrollar competencias técnicas y jurídicas relacionadas con el tratamiento de datos personales. 

• Promover buenas prácticas en el uso de sistemas y recursos tecnológicos. 

• Generar evidencia verificable de capacitación y cumplimiento. 

• Fomentar la responsabilidad individual y colectiva en la protección de la información. 

12.3. Alcance 

El programa será obligatorio para: 

• Directivos y administración. 

• Empleados de todas las áreas. 

• Personal editorial y de contenidos. 

• Equipos comerciales y de marketing. 

• Área de tecnología. 

• Recursos humanos. 

• Consultores externos. 

• Contratistas con acceso a datos personales. 

• Encargados de tratamiento cuando contractualmente corresponda. 

12.4. Principios del programa 

La capacitación y concientización se desarrollarán conforme a los principios de: 

• Continuidad 

• Pertinencia 

• Proporcionalidad 

• Actualización permanente 

• Aplicabilidad práctica 

• Mejora continua 

12.5. Responsabilidades 

12.6. Estructura del programa de capacitación 

El programa comprenderá tres niveles: 

Niveles de formación 

Obligatorio 

1.-Nivel básico 

Todo el personal 

Dirigido a: 

Todo el personal. 

Contenido: 

• Conceptos fundamentales de protección de datos. 

• Principios de tratamiento. 

• Confidencialidad. 

• Uso adecuado de la información. 

• Reporte de incidentes. 

• Buenas prácticas de seguridad. 

2.-Nivel intermedio