Código: DOR‑PD‑01   Versión: 02   Fecha: 29 de septiembre de 2026

1. OBJETO

SEGURIDAD Y PROTECCIÓN CISEPRO C. LTDA. (en adelante, «CISEPRO» o «la Compañía») establece la presente Política para regular el tratamiento de los datos personales de sus trabajadores, postulantes, clientes, usuarios y terceros, y garantizar el ejercicio de sus derechos, conforme a la Ley Orgánica de Protección de Datos Personales (LOPDP) y su Reglamento General. La Alta Dirección asume su cumplimiento como parte de la gestión de la Compañía y se obliga a proveer los recursos necesarios para su aplicación.

2. RESPONSABLE DEL TRATAMIENTO

El responsable del tratamiento es SEGURIDAD Y PROTECCIÓN CISEPRO C. LTDA., RUC 0790013360001, con domicilio en la Av. Alejandro Castro Benítez s/n, Barrio El Bosque, sector 5, Machala, provincia de El Oro, teléfono +593 07 279 0424, representada legalmente por su Gerente General, Gloria Isabel Herrera Rodríguez. La Gerencia General designa un Delegado de Protección de Datos, que se registra ante la Superintendencia de Protección de Datos Personales (SPDP) y cuyos datos de contacto son los siguientes:

Correo electrónico: ryanez@lexiacorp.com

Teléfono: 0991895430

3. ALCANCE

Esta Política es de cumplimiento obligatorio para los órganos de dirección, todo el personal administrativo y operativo, y los proveedores, contratistas y profesionales externos que accedan a datos personales por cuenta de la Compañía, cuya vinculación se formaliza mediante cláusulas contractuales.

Protege a trabajadores y extrabajadores, postulantes, familiares y beneficiarios de los trabajadores, clientes, representantes y contactos de clientes, residentes y visitantes de los puntos de servicio, y personas captadas por los sistemas de videovigilancia.

Comprende todo tratamiento de datos personales, automatizado o no, y en particular los relativos a: selección y contratación de personal; relación laboral y nómina; salud ocupacional; videovigilancia y cámaras corporales; monitoreo de alarmas; geolocalización y rondas; control de accesos y marcación biométrica; gestión comercial y cobranza; aseguramiento del personal; y reportes a las autoridades de control, al IESS y al SRI.

4. MARCO NORMATIVO

Constitución de la República del Ecuador, artículos 66 numeral 19 y 92; Ley Orgánica de Protección de Datos Personales, Registro Oficial Suplemento 459 de 26 de mayo de 2021; Reglamento General a la LOPDP, Decreto Ejecutivo 904 de 2023; resoluciones y normativa técnica de la SPDP; normativa de vigilancia y seguridad privada; y Código del Trabajo y normativa de seguridad y salud en el trabajo.

5. DEFINICIONES

a)    Dato personal: información que identifica o hace identificable a una persona natural, como nombre, cédula, imagen, huella, ubicación o placa vehicular.

b)    Categorías especiales: datos sensibles, de salud, de niñas, niños y adolescentes y de personas con discapacidad, incluidos los datos biométricos y el pasado judicial.

c)    Responsable: quien decide sobre la finalidad y los medios del tratamiento. Encargado: quien trata datos por cuenta y bajo instrucciones del responsable.

d)    Vulneración de seguridad: incidente que ocasiona la destrucción, pérdida, alteración, comunicación o acceso no autorizado a datos personales.

6. PRINCIPIOS

Todo tratamiento observa los principios de juridicidad, lealtad, transparencia, finalidad, minimización, proporcionalidad, calidad, conservación limitada, seguridad, confidencialidad y responsabilidad proactiva. En consecuencia:

a)    Ningún tratamiento se inicia sin una base de legitimación identificada y registrada en el Registro de Actividades de Tratamiento (RAT).

b)    Los datos se usan solo para las finalidades informadas al titular y se recogen únicamente los estrictamente necesarios.

c)    Toda medida de vigilancia o control sobre el personal debe ser idónea, necesaria y proporcional, adoptándose siempre la alternativa menos invasiva.

d)    El deber de confidencialidad alcanza a toda persona que intervenga en el tratamiento y subsiste después de terminado su vínculo con la Compañía.

e)    La Compañía documenta su cumplimiento y puede demostrarlo ante la autoridad y los titulares.

7. BASES DE LEGITIMACIÓN

La base de legitimación se determina por cada finalidad. CISEPRO trata datos con fundamento en:

a)    Ejecución de contrato: gestión de la relación laboral y prestación del servicio contratado por el cliente.

b)    Obligación legal: afiliación al IESS, obligaciones tributarias, salud ocupacional, reportes a las autoridades sectoriales y credencialización del vigilante.

c)    Interés legítimo: videovigilancia de instalaciones propias, control de accesos a la sede y gestión de incidentes, previa ponderación documentada.

d)    Consentimiento: solo para tratamientos accesorios y separables, como el uso de la imagen en material comunicacional. Debe ser libre, específico, informado e inequívoco, y revocable sin consecuencia adversa.

Dada la asimetría de la relación laboral, el consentimiento del trabajador no es base general para los tratamientos derivados del contrato de trabajo, y no se exigen autorizaciones genéricas como condición para acceder al empleo.

8. CATEGORÍAS ESPECIALES DE DATOS

a)    Salud: la historia clínica ocupacional está bajo custodia exclusiva del Departamento Médico Ocupacional. Ningún diagnóstico se comunica a jefaturas, Talento Humano, Gerencia ni clientes; a estos solo se remite el certificado de aptitud laboral. Los datos sobre discapacidad o condiciones de salud no se recaban en formularios de selección.

b)    Biometría: la marcación biométrica y la toma de huellas proceden solo si no existe un medio menos invasivo, se ofrece una alternativa no biométrica y se ha realizado evaluación de impacto previa. Las plantillas se almacenan cifradas.

c)    Antecedentes penales: solo se solicitan cuando lo exige la normativa de seguridad privada, con acceso restringido.

d)    Pruebas de sustancias, psicométricas y poligráficas: requieren base acreditada, información previa y proporcionalidad. El polígrafo no puede ser por sí solo causa de exclusión ni de sanción, y los resultados no se comunican al cliente sin consentimiento expreso, salvo obligación legal.

e)    Niñas, niños y adolescentes: los datos de hijos de trabajadores se tratan solo para utilidades, permisos y beneficios legales, sin comunicación a clientes. Los menores captados en puntos de servicio reciben protección reforzada.

f)    Selección de personal: no se solicitan datos patrimoniales, bancarios, de bienes del hogar, de amistades ni información ajena a la aptitud para el puesto.

9. CALIDAD DE RESPONSABLE Y DE ENCARGADO

CISEPRO es responsable respecto de su personal, sus postulantes, la gestión comercial de sus clientes, el monitoreo de alarmas en plataforma propia y la vigilancia de sus instalaciones. Es encargada cuando opera el CCTV o el control de accesos del cliente, o cuando instala y mantiene sistemas en sus instalaciones, casos en que actúa solo bajo instrucciones documentadas del cliente y mediante acuerdo de encargo. En el uso de cámaras corporales en puesto de cliente, el contrato determina quién decide su activación, custodia y conservación. Ningún servicio ni proveedor que implique tratamiento de datos por cuenta ajena opera sin el instrumento contractual correspondiente.

10. ORGANIZACIÓN Y RESPONSABILIDADES

a)    Gerencia General: ostenta la responsabilidad última; designa al Delegado, aprueba los avisos de privacidad, suscribe los instrumentos contractuales y decide sobre la notificación de vulneraciones.

b)    Delegado de Protección de Datos: asesora y supervisa con autonomía el cumplimiento, mantiene el RAT, supervisa la atención de derechos y la gestión de vulneraciones, coordina las evaluaciones de impacto y es el punto de contacto con la SPDP y los titulares.

c)    Comité de Protección de Datos: integrado por la Gerencia General, Talento Humano, Tecnologías de la Información, Operaciones y el Delegado; sesiona trimestralmente y ante vulneraciones graves, aprueba las evaluaciones de impacto y da seguimiento al plan de acción.

d)    Jefaturas y áreas: Talento Humano gestiona los datos del personal; Tecnologías de la Información implementa las medidas técnicas; Operaciones y la Central de Monitoreo controlan los tratamientos en punto de servicio; el Departamento Médico custodia la información de salud; y Comercial y Jurídico incorporan cláusulas de protección de datos en los contratos.

e)    Todo el personal: guarda confidencialidad, usa solo los canales autorizados, no almacena datos personales en dispositivos ni cuentas personales y reporta de inmediato cualquier incidente al Delegado.

11. REGLAS PROPIAS DEL SERVICIO DE SEGURIDAD

11.1 Videovigilancia

a)    Toda zona videovigilada cuenta con señalética visible antes del ingreso.

b)    Se prohíben cámaras en baños, vestidores, comedores y áreas de descanso, y la captación de vía pública o propiedad de terceros más allá de lo imprescindible. La captación de audio requiere justificación aprobada por el Comité y evaluación de impacto.

c)    Toda visualización en diferido y toda descarga se registran con fecha, hora, operador, motivo y destino.

d)    La entrega de imágenes a clientes, a la Policía Nacional o a la Fiscalía se documenta mediante acta con cadena de custodia y nunca se realiza por mensajería instantánea.

e)    Cuando CISEPRO opera el sistema del cliente, la conservación, el borrado y el acceso a las grabaciones se rigen por las instrucciones escritas del cliente como responsable.

11.2 Cámaras corporales

Su activación se limita a incidentes de seguridad y emergencias. Se prohíben la grabación continua, su uso para control disciplinario del vigilante y la elaboración de perfiles de personas. Antes de cada despliegue deben estar definidos por escrito la custodia, el plazo de conservación y el borrado, y aprobada la evaluación de impacto.

11.3 Monitoreo del personal

a)    La geolocalización, el control de rondas, los botones de pánico y el monitoreo de dispositivos corporativos se informan previamente y por escrito al trabajador, y se limitan a la jornada laboral y al vehículo o dispositivo asignado.

b)    No se recaba la ruta ni los horarios de desplazamiento del trabajador entre su domicilio y su puesto, salvo evaluación de impacto que lo justifique, con datos mínimos y carácter voluntario.

c)    El monitoreo del correo y de los dispositivos corporativos se limita a fines de seguridad y continuidad operativa, previa información al trabajador.

d)    La verificación domiciliaria se limita a constatar la residencia.

11.4 Control de accesos e información de clientes

a)    Se prohíbe retener la cédula del visitante; la verificación se hace por exhibición y devolución inmediata.

b)    El registro de visitantes contiene solo nombre, número de documento, persona o unidad visitada y hora de ingreso y salida, y se diseña de modo que ningún visitante vea los datos de otros. La fotografía y la placa vehicular se recogen solo por instrucción escrita del cliente.

c)    Se prohíben los registros de descripciones físicas de personas fuera de un incidente concreto y los criterios de sospecha basados en la apariencia.

d)    Al vigilante solo se le comunica el nombre, la dirección y el contacto operativo del cliente, sin zonificación interna, fotografías del interior ni agenda de ausencias. Su divulgación no autorizada constituye falta de máxima gravedad.

12. MEDIDAS DE SEGURIDAD

CISEPRO adopta, con referencia a la norma ISO/IEC 27001:2022 como buena práctica, las siguientes medidas mínimas:

a)    Cuentas nominativas, accesos por rol con mínimo privilegio y baja de credenciales dentro de las veinticuatro horas siguientes a la desvinculación.

b)    Contraseñas robustas y autenticación multifactor en el acceso remoto y en los sistemas con datos de personal, salud o clientes.

c)    Cifrado de bases de datos, respaldos y archivos con categorías especiales de datos, con gestión documentada de claves.

d)    Respaldos periódicos con prueba de restauración, en servicios con contrato que garantice ubicación, seguridad y retención.

e)    Software licenciado y con soporte vigente, inventario de activos y registro de accesos a los sistemas con datos personales.

f)    Acceso restringido y registrado a la sala de servidores y a la central de monitoreo, y archivo físico bajo llave.

g)    Destrucción segura y documentada de soportes dados de baja.

h)    Uso exclusivo del correo corporativo y prohibición de transmitir por mensajería instantánea datos de salud, biométricos, imágenes de videovigilancia o datos de menores.

i)     Evaluación previa del Delegado antes de contratar o poner en producción cualquier nuevo sistema o tecnología.

13. DERECHOS DE LOS TITULARES

Los titulares pueden ejercer los derechos de información, acceso, rectificación y actualización, eliminación, oposición, portabilidad, suspensión del tratamiento y a no ser objeto de decisiones basadas únicamente en valoraciones automatizadas, así como revocar el consentimiento otorgado.

Las solicitudes se presentan sin costo por correo electrónico dirigido al Delegado o de forma presencial en el domicilio de la Compañía. Toda solicitud se registra, se verifica la identidad del solicitante y se responde dentro del plazo previsto en la LOPDP, conforme al Protocolo DOR‑PD‑06. Las solicitudes relativas a sistemas operados por cuenta de un cliente se trasladan a este en un máximo de dos días hábiles. El titular puede, además, presentar reclamo ante la SPDP.

14. COMUNICACIONES Y TRANSFERENCIAS INTERNACIONALES

Los datos solo se comunican a terceros con base de legitimación e instrumento contractual. Pueden ser destinatarios las autoridades competentes, el IESS, el SRI, la aseguradora, los clientes en lo estrictamente necesario, y los proveedores que actúan como encargados, entre ellos los de geolocalización, recepción de señales de alarma, soporte del software de monitoreo y almacenamiento en la nube. Cuando un proveedor se encuentre o acceda a los datos desde el exterior, la transferencia se sujeta a las garantías previstas en la LOPDP y a la Política DOR‑PD‑07.

15. CONSERVACIÓN Y SUPRESIÓN

Los datos se conservan durante los plazos de la Política DOR‑PD‑13 y, vencidos estos, se suprimen, anonimizan o bloquean cuando exista obligación legal de conservación. Se prohíbe la conservación indefinida, y la destrucción se realiza por métodos que garanticen la irrecuperabilidad de la información.

16. VULNERACIONES DE SEGURIDAD

Todo incidente que afecte a datos personales se reporta al Delegado dentro de las veinticuatro horas de conocido, se registra y se gestiona conforme al Procedimiento DOR‑PD‑12, incluida la notificación a la SPDP y, cuando proceda, a los titulares, en los plazos previstos en la LOPDP.

17. INCUMPLIMIENTO

El incumplimiento de esta Política constituye falta laboral sancionable conforme al Reglamento Interno de Trabajo y al Código de Ética, sin perjuicio de las acciones civiles y penales que correspondan. Son faltas de máxima gravedad la comunicación no autorizada de datos de clientes o de sus rutinas, el uso de imágenes de videovigilancia o de cámaras corporales para fines ajenos al servicio y el acceso no autorizado a datos de salud. En el caso de proveedores, es causal de terminación del contrato.

18. VIGENCIA Y REVISIÓN

 

Esta Política entra en vigor desde su aprobación por la Gerencia General y su socialización al personal. Se revisa anualmente y ante cambios normativos, nuevas tecnologías o vulneraciones graves. Forman parte de ella los documentos DOR‑PD‑02 a DOR‑PD‑14 del sistema de protección de datos personales de CISEPRO.

 

Eco. Gloria Isabel Herrera Rodríguez

Gerente General