POLÍTICA GENERAL DE PROTECCIÓN DE DATOS PERSONALES

Álvarez Barba S.A. (“Álvarez Barba”), de acuerdo con los procesos que maneja tanto con trabajadores, proveedores y clientes, podrá ostentar la calidad de Responsable o Encargado del tratamiento de los datos personales.

En tal virtud pone a disposición de sus trabajadores, clientes, proveedores, accionistas, y demás terceros su Política de Protección de Datos Personales (la “Política”), la cual será de obligatorio cumplimiento para los sujetos antes mencionados.

Esta Política establece los lineamientos y principios bajo los cuales Álvarez Barba regirá sus relaciones y procesos en los cuales se realice un tratamiento de datos personales.

1. Finalidad de la Política

Álvarez Barba implementa esta Política con la finalidad de dar cumplimiento a lo dispuesto en la Ley Orgánica de Protección de Datos Personales (“LOPDP”), su Reglamento de aplicación, y demás normativa aplicable.

En este sentido, Álvarez Barba respetará todos los derechos reconocidos a los titulares de los datos personales, los principios y obligaciones desarrolladas en la LOPDP, normativa secundaria y resoluciones que emitidas por la Autoridad de Protección de Datos.

2. Alcance de la Política

La Política es de aplicación obligatoria para todos los trabajadores, clientes, proveedores, accionistas y demás sujetos relacionados con Álvarez Barba, y compañías relacionadas.

3. Definiciones

Las definiciones aquí establecidas son tomadas de la LOPDP:

Autoridad de Protección de Datos Personales: Hace referencia a la Superintendencia de Protección de Datos Personales.

Base de Datos: Conjunto estructurado de datos cualquiera que fuera la forma, modalidad de creación, almacenamiento, organización, tipo de soporte, tratamiento, procesamiento, localización o acceso, centralizado, descentralizado o repartido de forma funcional o geográfica.

Dato Personal: Dato que identifica o hace identificable a una persona natural, directa o indirectamente. Por ejemplo: nombre, cédula de identidad, dirección, correo electrónico, número de teléfono, estado civil, datos de salud, huella dactilar, salario, bienes, estados financieros, etc.

Dato Sensible: Datos relativos a: etnia, identidad de género, identidad cultural, religión, ideología, filiación política, pasado judicial, condición migratoria, orientación sexual, salud, datos biométricos, datos genéticos y aquellos cuyo tratamiento indebido pueda dar origen a discriminación, atenten o puedan atentar contra los derechos y libertades fundamentales.

Delegado de Protección de Datos: Persona natural encargada de informar al responsable o al encargado del tratamiento sobre sus obligaciones legales en materia de protección de datos, así como de velar o supervisar el cumplimiento normativo al respecto, y de cooperar con la Autoridad de Protección de Datos Personales, sirviendo como punto de contacto entre esta y la entidad responsable del tratamiento de datos.

Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en conjunto con otros, realice el Tratamiento de Datos Personales por cuenta del Responsable del Tratamiento, como aliado o proveedor. En los eventos en que el responsable no ejerza como encargado de la base de datos, se identificará expresamente quién será el encargado.

Responsable del Tratamiento: Persona natural o jurídica, pública o privada, autoridad pública, u otro organismo, que solo o conjuntamente con otros decide sobre la finalidad y el

tratamiento de datos personales.

Titular: Persona natural cuyos datos son objeto del tratamiento.

Transferencia o comunicación: Manifestación, declaración, entrega, consulta, interconexión, cesión, transmisión, difusión, divulgación o cualquier forma de revelación de datos personales realizada a una persona distinta al titular, responsable o encargado del tratamiento de datos personales. Los datos personales que comuniquen deben ser exactos, completos y actualizados.

Tratamiento: Cualquier operación o conjunto de operaciones realizadas sobre datos personales, ya sea por procedimientos técnicos de carácter automatizado, parcialmente automatizado o no automatizado, tales como: la recogida, recopilación, obtención, registro, organización, estructuración, conservación, custodia, adaptación, modificación, eliminación, indexación, extracción, consulta, elaboración, utilización, posesión, aprovechamiento, distribución, cesión, comunicación o transferencia, o cualquier otra forma de habilitación de acceso, cotejo, interconexión, limitación, supresión, destrucción y, en general, cualquier uso de datos personales.

4. Principios aplicables al tratamiento de los datos personales

Los principios que rigen a la Política son los siguientes:

Principio	Descripción
Lealtad	No se realizará el tratamiento para fines ilícitos. Álvarez Barba informará a los titulares sobre las finalidades del tratamiento, el plazo de conservación de los datos, las categorías y tipos de datos a ser tratados, y demás requisitos previstos en la LOPDP. Los datos se recopilarán y tratarán en virtud de las bases legitimadoras consagradas en el artículo 7 de la LOPDP.
Transparencia	Álvarez Barba informará a los titulares de forma sencilla y clara sobre la forma como realiza el tratamiento de los datos personales. La información será de fácil acceso a través de las políticas y demás instrumentos que Álvarez Barba ponga a disposición.
Finalidad	Álvarez Barba informará al titular de los datos personales la o las finalidades para las cuales los datos personales han sido recopilados y serán tratados. Las finalidades serán determinadas y específicas de acuerdo con la base legitimadora con la cual los datos fueron recopilados. Las finalidades del tratamiento serán relacionadas al objeto social de la compañía.
Pertinencia y Minimización	Álvarez Barba tratará los datos personales que sean necesarios para las finalidades informadas al titular de los datos personales, no se recopilarán datos en exceso o que no sean necesarios para una finalidad previamente establecida. En caso de tener datos excesivos, Álvarez Barba procederá a borrarlos o eliminarlos de sus bases de datos. Serán tratados los datos personales necesarios para las finalidades informadas al titular.
Proporcionalidad	Álvarez Barba no recopilará datos en exceso o que sean innecesarios para la finalidad establecida. En el evento de contar con datos excesivos, se procederá a devolverlos al Responsable o titular, o los eliminará de las bases de datos de la compañía.
Confidencialidad	Álvarez Barba realizará los mejores esfuerzos para garantizar la confidencialidad de los datos personales. Álvarez Barba adaptará la tecnología y procesos, técnica y económicamente viables, para garantizar la confidencialidad, disponibilidad e integridad de los datos personales, limitando dentro de lo posible que terceros que no tengan derecho accedan a los datos personales. Álvarez Barba no transferirá los datos personales a terceros destinatarios sin la autorización o la base legitimadora correspondiente.
Conservación	Álvarez Barba conservará los datos personales de acuerdo con las finalidades para los cuales fueron proporcionados por el titular o, de acuerdo con lo establecido en las diferentes bases legitimadoras. Una vez cumplido el período de conservación, Álvarez Barba eliminará o borrará los datos de sus sistemas. Álvarez Barba podrá anonimizar los datos en caso de considerarlo necesario. El dato anonimizado podrá ser libremente utilizado por Álvarez Barba.
Seguridad	Álvarez Barba adoptará las medidas de seguridad que sean necesarias para garantizar la confidencialidad de los datos personales, tomando en consideración el tipo de datos personales a ser tratados, así como que, las medidas sean técnica y económicamente viables. Todos los proveedores de Álvarez Barba con quienes se comparta datos personales deberán acreditar la implementación de medidas de seguridad que garanticen la protección de datos personales.
Responsabilidad proactiva y demostrada	Álvarez Barba obtendrá los medios de verificación necesarios y correspondientes para demostrar el cumplimiento de la LOPDP. En caso de que sea necesario o a criterio de Álvarez Barba, se obtendrán las certificaciones correspondientes. En caso de requerirlo y de acuerdo con la normativa correspondiente, Álvarez Barba podrá contar con un Delegado de Protección de Datos (“DPO”), quien será responsable de generar el programa de cumplimiento de datos personales, obtener los medios de verificación correspondientes, obtener las certificaciones necesarias y comunicarse con la Autoridad de Protección de Datos.

5. Derechos de los titulares

Los titulares de los datos personales podrán presentar peticiones para que Álvarez Barba atienda las solicitudes de ejercicio de derechos.

En este sentido, Álvarez Barba garantiza a los titulares los derechos de:

Derecho	Descripción
Información	Derecho a ser informado conforme los principios de lealtad y transparencia sobre todos los aspectos que indica el artículo 12 de la LOPDP.
Acceso	Obtener confirmación de si se están tratando o no sus datos personales; recibir una copia de todos sus datos personales que estén siendo procesados por la Álvarez Barba, salvo las excepciones definidas por la legislación pertinente (por ejemplo, información comercial confidencial, o información que vulneraría demasiado los derechos de privacidad de un tercero); o solicitar información sobre el intercambio de sus datos personales con otras organizaciones.
Rectificación y/o actualización	Derecho a obtener del Responsable del tratamiento la rectificación y actualización de sus datos personales inexactos o incompletos.
Eliminación	Derecho a que se suprima sus datos personales en los casos que determinar el artículo 15 de la LOPDP.
Oposición	Derecho a oponerse al tratamiento de sus datos personales en circunstancias particulares determinadas en el artículo 16 de la LOPDP. Álvarez Barba deberá dejar de tratar dichos Datos cuando se presente una oposición, a menos que exista una razón específica por la que la oposición no sea válida.
Suspensión	derecho a obtener del responsable del tratamiento la suspensión del tratamiento de los datos, cuando se cumpla alguna de las condiciones del artículo 19 de la LOPDP.
Portabilidad	El titular tiene el derecho a recibir del Responsable del tratamiento, sus datos personales en un formato compatible, actualizado, estructurado, común, inter-operable y de lectura mecánica, preservando sus características; o a transmitirlos a otros responsables.
No ser objeto de una decisión basa única o parcialmente en valoración automatizadas	Derecho a oponerse, pedir explicaciones y solicitar la revisión humana de las decisiones basadas exclusivamente en un tratamiento automatizado de datos que afecten a sus intereses.

De igual manera, los titulares podrán revocar los consentimientos otorgados, con las limitaciones previstas en la LOPDP.

6. Procedimiento para el ejercicio de los derechos

El titular de los datos personales podrá solicitar el ejercicio de sus derechos de acceso, rectificación o actualización, eliminación, suspensión, oposición, portabilidad y a no ser objeto de decisiones automatizadas.

Álvarez Barba proporcionará los formularios correspondientes para el ejercicio de derechos por parte de los Titulares. Estos formularios serán ejemplificativos, por lo que en caso de que el Titular no tendrá la obligación de utilizar los mismos.

Para ejercer los mencionados derechos, el titular podrá enviar su solicitud a los datos de contacto consignados al final de esta Política.

Álvarez Barba tendrá el plazo establecido en la LOPDP para responder el requerimiento del titular. Álvarez Barba podrá solicitar información o datos de soporte para identificar al titular de los datos personales, o para que el titular aclare o complete información sobre el derecho que desea ejercer. El titular contará con el término de diez (10) días contados a partir del día siguiente en el que se le haya notificado, para aclarar o completar la solicitud. En caso de que el titular no complete o aclare la solicitud dentro del término, Álvarez Barba archivará la solicitud notificando al titular sobre este particular, sin que esto impida la presentación de una nueva solicitud.

Los derechos de rectificación, actualización, eliminación, oposición, anulación y portabilidad estarán sujetos a las limitaciones establecidas en la LOPDP.

En el evento de que el derecho ejercido no fuese atendido dentro del plazo previsto en la LOPDP, se dejará el derecho a salvo para acudir ante la Autoridad de Protección de Datos Personales.

7. Medidas de seguridad

Álvarez Barba implementará las medidas de seguridad técnicas, organizativas, jurídicas y físicas que considere adecuadas para proteger los datos personales de acuerdo con el tipo de datos personal y al tratamiento que se realice; el estado de la técnica; y sus costes de aplicación.

De este modo, en la medida de lo posible, Álvarez Barba velará por la confidencialidad, integridad, disponibilidad y resiliencia de los datos personales.

8. Datos personales recopilados

A modo ejemplificativo, pero no exhaustivo, Álvarez Barba recopila los siguientes datos personales para el cumplimiento de las finalidades del tratamiento:

Nombres, apellidos, número de documento de identidad, número de teléfono, dirección de domicilio, estado civil, remuneración, datos de referencias; fecha de nacimiento; información del vehículo, entre otros que sean necesarios para la gestión de la relación.

Estos datos serán recopilados y tratados en virtud de las bases legitimadoras consagradas en la LOPDP.

9. Tratamientos de los datos personales

Clientes:

Se garantiza que, ya sea directa o indirectamente a través de sus concesionarios o empresas relacionadas, terceros, proveedores de servicios, contratistas con quienes tiene una relación jurídica, quienes recogen y tratan datos personales por cuenta de Álvarez Barba, tratarán los datos personales para el cumplimiento del objeto social de la compañía. Las finalidades para el cumplimiento de la relación jurídica establecida entre Álvarez Barba y sus clientes, son las siguientes:

i. Enviar comunicaciones e información publicitaria o promocional;

ii. Ser usada para realizar invitaciones a eventos;

iii. Ser utilizada como herramientas para el ofrecimiento de productos o servicios propios comercializados por Álvarez Barba, su matriz y/o concesionarios;

iv. Ser usadas en campañas de mercadeo digital y mercadeo en redes sociales;

v. Contactarlo en caso de solicitudes, quejas, y/o reclamos;

vi. Para que la información sea transferida y/o transmitida a terceros ubicados en la República del Ecuador u otros países, y usada por Álvarez Barba, su matriz, filiales y subordinadas o terceros, dentro o fuera de la República del Ecuador para cualquiera de los fines previstos en esta Política;

vii. Para ser contactado a través de cualquier medio para realizar gestiones de venta directa de los productos o servicios propios y/o de terceros, comercializados por Álvarez Barba;

viii. Contactarlo para realizar encuestas, estudios y/o confirmación de datos personales;

ix. Análisis estadísticos internos o para el envío de noticias relacionadas con campañas de fidelización o mejora de servicio;

x. Ser usada por parte de Álvarez Barba para el adelantamiento de cualquier trámite ante una autoridad pública o una persona o entidad privada, respecto del cual la información resulte pertinente;

xi. Almacenar dicha información en sus bases de datos;

xii. Poner en circulación dicha información para que sea verificada, consultada y/o utilizada con fines relacionados con la actividad de Álvarez Barba, tanto por sus empleados en desarrollo de sus funciones como por terceras personas, incluyendo, transportistas, entidades financieras y centrales de riesgo;

xiii. Reportar y/o consultar su información en las centrales de riesgo que Álvarez Barba o quien represente sus intereses juzgue necesario;

xiv. Enviar comunicaciones a través de correo físico directo, correo electrónico o llamada telefónica grabada o mensaje de texto o voz, a las direcciones y números suministrados, incluida la comunicación, previa al reporte a las centrales de riesgo del incumplimiento de mis obligaciones; y,

xv. Solicitar la actualización anualmente de los datos personales suministrados.

Trabajadores:

Dentro de la gestión para el cumplimiento de las obligaciones laborales y de seguridad social, Álvarez Barba realiza el tratamiento de los datos personales para las siguientes finalidades informadas:

i. Gestión de recursos humanos;

ii. Pago de remuneraciones y beneficios de ley;

iii. Llevar a cabo una comunicación directa por temas relacionados al ámbito laboral;

iv. Permisos;

v. Control de horario de trabajo;

vi. Afiliación y aportes a la seguridad social;

vii. Almacenar la información en las bases de datos;

viii. Seleccionar al personal;

ix. Permitir el acceso a los recursos informática de Álvarez Barba;

x. Programas corporativos;

xi. Evaluaciones de desempeño:

xii. Exámenes ocupacionales;

xiii. Gestión de accidentes laborales;

xiv. Gestión de seguridad y salud ocupacional;

xv. Gestión de acciones disciplinarias;

xvi. Solicitar la actualización anualmente de los datos personales suministrados;

xvii. Para que la información sea transferida y/o transmitida a terceros ubicados en la República del Ecuador u otros países, y usada por Álvarez Barba, su matriz, filiales y subordinadas o terceros, dentro o fuera de la República del Ecuador para cualquiera de los fines previstos en esta Política; y,

xviii. Reportar y/o consultar su información en las centrales de riesgo que Álvarez Barba o quien represente sus intereses juzgue necesario.

Proveedores:

Los datos de los proveedores de Álvarez Barba serán tratados para el cumplimiento del objeto social de la compañía incluye las siguientes finalidades:

i. Gestionar las relaciones comerciales que surjan, incluyendo la adquisición de bienes o servicios;

ii. El desarrollo, ejecución y cumplimiento de la relación contractual que el titular tenga con Álvarez Barba;

iii. Almacenar la información de la relación comercial en las bases de datos;

iv. Mantener comunicación directa para temas relacionados con su relación comercial;

v. La realización de análisis estadísticos, comerciales, financieros, sociales y técnicos;

vi. La comunicación con los proveedores para efectos contractuales, informativos y comerciales;

vii. Comprobación y verificación de la identidad, datos disciplinarios financieros, y crediticios;

viii. Para que la información sea transferida y/o transmitida a terceros ubicados en la República del Ecuador u otros países, y usada por Álvarez Barba, su matriz, filiales y subordinadas o terceros, dentro o fuera de la República del Ecuador para cualquiera de los fines previstos en esta Política;

ix. Realizar todas las gestiones de orden tributario, contable, fiscal, de facturación, administrativa y comercial; y,

x. Solicitar la actualización de los datos personales suministrados.

Visitantes:

Los datos de visitantes a las instalaciones de Álvarez Barba serán tratados con las siguientes finalidades:

i. El control y la preservación de la seguridad de las personas, bienes e información;

ii. La seguridad externa de las oficinas de Álvarez Barba; y

iii. Comprobación y verificación de la identidad.

Para cada una de las relaciones que mantenga con Álvarez Barba, se podrá tener finalidades distintas a las descritas, las cuales se pondrán en conocimiento en los documentos específicos para cada relación.

Es importante mencionar que, en caso de que Álvarez Barba pretendiera utilizar datos personales sensibles para las finalidades descritas con anterioridad, previo a su tratamiento, solicitará su consentimiento expreso y por escrito de conformidad con la Ley y demás disposiciones aplicables, de lo contrario no hará uso de los mismos para estos fines.

10. Transferencias de datos personales

Álvarez Barba informa que, para brindar algunos de sus bienes y/o servicios, cuenta con el apoyo de terceros (proveedores), los cuales podrían acceder a datos personales. Esta relación contractual está sujeta a la LOPDP, quienes están obligados a salvaguardar dichos datos personales, identificando al tercero como Encargado de los datos.

De igual manera, Álvarez Barba podrá almacenar información en bases de datos locales y/o extranjeras.

En este sentido, compartirán sus datos personales con empresas internacionales. Transferimos sus datos personales a Estados Unidos, México, y Alemania[JC|C1] .

Siempre que se realizan transferencias internacionales de datos personales, se utilizan herramientas y medidas de seguridad para garantizar que dichas transferencias cumplan con la legislación pertinente y que los datos personales tengan el mismo grado de protección que en la LOPDP.

Sin embargo, Álvarez Barba agota estrictos criterios de selección de proveedores con la finalidad de dar cumplimiento a las obligaciones establecidas en la normativa en materia de protección de datos.

Los destinatarios estarán sujetos a las mismas obligaciones y medidas de seguridad técnicas, físicas, jurídicas y organizativas previstas en la LOPDP, normativa secundaria y resoluciones emitidas por la Autoridad de Protección de Datos.

11. Conservación y eliminación de los datos personales

Álvarez Barba conservará los datos personales de acuerdo con las finalidades para los cuales fueron proporcionados por el titular o, de acuerdo con lo establecido en las diferentes bases legitimadoras. Una vez cumplido el período de conservación, Álvarez Barba eliminará, bloqueará o devolverá los datos almacenados en sus sistemas.

Álvarez Barba podrá anonimizar los datos en caso de considerarlo necesario. El dato anonimizado podrá ser libremente utilizado por Álvarez Barba.

12. Categorías especiales de datos personales

Datos de menores:

Álvarez Barba no recopilará datos personales relacionados con niños, niñas y adolescentes, excepto si se trata de información de cargas familiares relacionada para el cumplimiento de las obligaciones derivadas de la relación laboral y de seguridad social. Álvarez Barba se reserva el derecho de eliminar cualquier información relacionada con niños, niñas y adolescentes en caso de que un titular de datos personales haya compartido esa clase de información.

En caso de que un menor de edad decida entrar en algún tipo de relación con Álvarez Barba, este deberá contar con la autorización expresa de sus representantes.

Datos de imagen:

Álvarez Barba podrá tratar datos de imagen obtenidos a través de cámaras de videovigilancia que son de su propiedad con el fin de salvaguardar la seguridad de las instalaciones, bienes, personas que tienen acceso a los establecimientos de propiedad de Álvarez Barba. La base legal que sustenta este tratamiento es el cumplimiento de una misión realizada en virtud del interés público, así como el interés legítimo.

Álvarez Barba contará con los respectivos avisos de videovigilancia para cumplir con el derecho de información de los titulares. El titular podrá ejercer los derechos descritos en la presente Política en relación con este tratamiento en cualquier momento y de forma gratuita, mediante una comunicación a los datos de contacto señalados. No obstante, el titular podrá ejercer sus derechos ante la Autoridad de Protección de Datos en el evento de no tener respuesta en el plazo establecido en la normativa correspondiente.

La duración de las grabaciones de las cámaras de videovigilancia será de hasta treinta (30) días; posterior al plazo señalado, se eliminarán las grabaciones de forma automática.

Las grabaciones de las cámaras de videovigilancia se descargarán únicamente en casos de incidentes de seguridad.

Únicamente tienen acceso a las grabaciones de seguridad el personal debidamente autorizado.

13. Datos de contacto

Los datos de contacto de Álvarez Barba son los siguientes:

· Dirección: Av. 10 de agosto y Algarrobos, Quito, Ecuador

· Teléfono: +593 2 380 9270

· Correo: protecciondatos@alvarezbarba.com.ec

14. Aprobación y modificación a la Política

Esta Política será comunicada a todas las personas relacionadas y que deben cumplir con la misma de acuerdo con lo establecido en el Ámbito de Aplicación. La Política será revisada con periodicidad anual de acuerdo con las actividades comerciales y objetivos estratégicos de Álvarez Barba. Adicionalmente, la Política podrá ser revisada y adaptada de conformidad con los cambios legales, regulatorios o resoluciones de la Autoridad Competente.

La Política ha sido aprobada el 25 de mayo de 2023. La última modificación fue realizada el … de septiembre de 2023.