Políticas de protección de datos

OBJETO

Establecer los principios, reglas, responsabilidades, controles y mecanismos institucionales mediante los cuales FARMACIAS CUXIBAMBA FARMACUX CIA. LTDA. (en adelante, “FARMACUX”), en calidad de responsable del tratamiento, protege y trata datos personales de forma lícita, leal, transparente, segura, proporcional y demostrable, garantizando los derechos de los titulares y la responsabilidad proactiva exigida por la normativa ecuatoriana. La Política constituye el marco rector del Sistema Corporativo de Protección de Datos Personales. Su aplicación se complementará con matrices, registros, procedimientos, instructivos, avisos de privacidad, cláusulas contractuales y demás instrumentos operativos que resulten necesarios.

ALCANCE​

Esta Política es de aplicación exclusiva para FARMACUX y alcanza a todas sus áreas, sucursales, establecimientos, procesos, sistemas, plataformas, archivos físicos y digitales, personal autorizado y terceros que traten datos personales por cuenta de la compañía. Comprende, según corresponda, datos de: 

• Clientes, usuarios, consumidores y beneficiarios de programas de fidelización; 
• Trabajadores, ex trabajadores, candidatos, pasantes y demás colaboradores; 
• Proveedores, contratistas, prestadores de servicios y sus representantes o dependientes; 
• Visitantes y personas captadas por sistemas de videovigilancia; 
• Titulares cuyos datos sean tratados mediante canales web, aplicaciones, comercio electrónico, puntos de venta, facturació

La presente Política no constituye una política común para compañías relacionadas o integrantes del grupo empresarial FARMACUX. Cada empresa deberá determinar su calidad y obligaciones como responsable o encargado del tratamiento.

MARCO NORMATIVO REFERENCIAL

La Política se sustenta, principalmente, en la Constitución de la República del Ecuador (CRE); la Ley Orgánica de Protección de Datos Personales (LOPDP); su Reglamento General; y las resoluciones, regulaciones, directrices y criterios emitidos por la Superintendencia de Protección de Datos Personales (SPDP), incluyendo, cuando resulten aplicables, las normas sobre gestión de riesgos y EIPD, cláusulas contractuales, transferencias o comunicaciones nacionales e internacionales, DPD, seudonimización, anonimización, bloqueo y eliminación, interés legítimo, tratamiento a gran escala y demás normativa vigente. La normativa aplicable deberá verificarse periódicamente. En caso de contradicción entre esta Política y una disposición legal o regulatoria vigente, prevalecerá esta última y se gestionará la actualización documental correspondiente.

PRINCIPIOS​

• Juridicidad y licitud: cada tratamiento contará con una base jurídica válida. 
• Lealtad y transparencia: no se utilizarán mecanismos engañosos y se informará al titular de forma clara. 
• Finalidad: los datos serán tratados para fines determinados, explícitos y legítimos. 
• Pertinencia, minimización y proporcionalidad: solo se tratarán los datos adecuados y necesarios. 
• Calidad y exactitud: se adoptarán medidas razonables para mantener la información correcta y actualizada. 
• Conservación limitada: los datos se conservarán durante el tiempo necesario o legalmente exigible.  
• Seguridad y confidencialidad: se aplicarán medidas técnicas, organizativas, administrativas, jurídicas y físicas apropiadas. 
• Responsabilidad proactiva y demostrada: FARMACUX documentará las medidas adoptadas y podrá acreditar su cumplimiento.
• Privacidad desde el diseño y por defecto: la protección de datos se integrará desde la concepción de procesos, productos, servicios y sistemas

GOBIERNO Y RESPONSABILIDADES​​

1. Responsable del tratamiento El responsable del tratamiento es FARMACIAS CUXIBAMBA FARMACUX CIA. LTDA. Los datos societarios, domicilio y canales oficiales para protección de datos deberán mantenerse actualizados en los avisos de privacidad y medios institucionales. 

2. Gerencia General 

​• Aprobar esta Política y sus modificaciones; 

​• Definir la estructura de responsabilidades y proporcionar recursos razonables para su implementación; 

​• Disponer que las áreas propietarias implementen los controles y planes de acción que les correspondan; 

​• Garantizar la participación independiente del DPD y considerar sus recomendaciones. 

3. Delegado de Protección de Datos Personales 

El DPD será designado y registrado cuando corresponda conforme a la normativa vigente. Ejercerá sus funciones con independencia e imparcialidad, sin conflicto de intereses, con acceso a la información, recursos y nivel de interlocución necesarios. Su función principal es asesorar y supervisar; no sustituye al responsable ni a las áreas operativas en la implementación de las obligaciones que a estas corresponden. Antes de publicar esta versión deberán verificarse formalmente: acto de designación, registro aplicable, identidad completa, correo corporativo de contacto, independencia, ausencia de conflicto de intereses, recursos asignados y canal de acceso a la alta administración. 

4. Áreas propietarias de procesos 

Cada área propietaria es responsable de identificar y documentar sus tratamientos, finalidades, categorías de titulares y datos, bases jurídicas, destinatarios, POLÍTICA CORPORATIVA DE PROTECCIÓN Y TRATAMIENTO DE DATOS PERSONALES FC-POL.PDP-001 Versión 1.1-2026 Página 5 FC-POL-PDP-001 Elaborado: Control Interno.- jglm 5 encargados, transferencias, plazos de conservación, riesgos y controles; ejecutar las medidas aprobadas; y mantener evidencia de cumplimiento. 

5. Sistemas/Tecnología y Seguridad de la Información 

Implementará los controles tecnológicos, registros, trazabilidad, gestión de accesos, respaldos, seguridad, mecanismos de consentimiento cuando corresponda, privacidad por defecto, gestión técnica de incidentes y demás medidas asignadas. 

6. Asesoría Jurídica / función legal competente 

Apoyará en la interpretación normativa, revisión de bases jurídicas, contratos, cláusulas con encargados, transferencias, atención de requerimientos y demás asuntos jurídicos, sin perjuicio de las funciones independientes del DPD. 

7. Control Interno 

Control Interno realizará, dentro de su ámbito funcional, actividades de evaluación de riesgos, revisión del diseño y funcionamiento de controles, monitoreo, seguimiento de planes de acción y reporte de desviaciones o incumplimientos. Su intervención no implicará asumir la condición de propietario de los procesos de tratamiento ni sustituir las responsabilidades de implementación que correspondan al responsable del tratamiento, al personal responsable de los procesos, a los encargados o a las demás áreas competentes. Control Interno podrá formular recomendaciones y verificar su cumplimiento. La implementación operativa de las medidas será ejecutada por las áreas responsables, con asesoría y supervisión del DPD conforme a la normativa aplicable.​

REGISTRO DE ACTIVIDADES DE TRATAMIENTO Y BASES JURÍDICAS

FARMACIAS CUXIBAMBA FARMACUX CIA. LTDA., mantendrá un Registro o Matriz de Actividades de Tratamiento (RAT/MAT) actualizado, como instrumento operativo separado de esta Política. Cada área propietaria deberá aportar y validar la información de sus tratamientos. Como mínimo, el instrumento deberá contener, cuando corresponda:

• Proceso y actividad de tratamiento; 
• Categorías de titulares y categorías de datos;
• Base jurídica aplicable a cada finalidad; 
• Área responsable y personas autorizadas; 
• Encargados, destinatarios y terceros; 
• Transferencias o comunicaciones nacionales e internacionales; 
• Fuente y medio de obtención; • Plazo o criterio de conservación; 
• Medidas de seguridad; 
• Riesgos identificados y controles; 
• Determinación sobre necesidad de EIPD; 
• Evidencias, fecha de revisión y responsable de actualización.

Las bases de legitimación se determinarán por finalidad y caso concreto. El consentimiento no será utilizado indiscriminadamente cuando exista otra base jurídica aplicable. El interés legítimo, cuando se utilice, deberá contar con la evaluación de ponderación exigible y documentada.

​

CATEGORÍAS DE DATOS PERSONALES​

1. Identificativos: 

• Nombres y apellidos 
• Cédula, pasaporte o RUC 
• Fecha de nacimiento cuando sea necesaria 

2. Contacto: 

• Dirección 
• Teléfono 
• Correo electrónico 

3. Transaccionales y comerciales: 

• Compras, pedidos y facturación 
• Devoluciones e historial de operaciones 
• Productos adquiridos 

4. Tecnológicos: 

• IP, fecha y hora de acceso Identificadores de sesión y dispositivo 
• Registros de autenticación y eventos de seguridad 
• Cookies y tecnologías similares 

5. Laborales y de talento humano: 

• Datos necesarios para la relación laboral, selección, nómina, seguridad y obligaciones legales 

6. Imagen y videovigilancia: 

• Imagen captada en establecimientos e instalaciones cuando exista un sistema autorizado 

7. Biométricos: 

• Solo cuando exista una finalidad legítima, necesidad demostrada y controles reforzados​
  

DATOS DE SALUD, PRODUCTOS FARMACÉUTICOS Y CATEGORÍAS ESPECIALES

Los datos relativos a la salud y demás categorías especiales recibirán protección reforzada. FARMACUX no presumirá que todo historial de compra constituye automáticamente un dato de salud; sin embargo, cuando un producto adquirido, su combinación, frecuencia, prescripción, contexto o análisis permita revelar o inferir información sobre el estado de salud de una persona, el tratamiento será evaluado y protegido conforme a su naturaleza sensible.

• Identificar previamente una base jurídica válida y la finalidad específica; 
• Aplicar minimización y acceso restringido por necesidad funcional; 
• Evitar usos secundarios incompatibles; 
• No utilizar datos que revelen o permitan inferir salud para publicidad, segmentación o perfilamiento salvo que exista habilitación jurídica suficiente y controles reforzados; 
• Aplicar medidas de seguridad reforzadas y trazabilidad; 
• Evaluar la necesidad de EIPD y tratamiento a gran escala; • Documentar el tratamiento en el RAT/MAT.

FINALIDADES Y BASES DE LEGITIMACIÓN​

Los datos podrán ser tratados, según corresponda, para identificación; administración de cuentas; autenticación; compras y pedidos; facturación; pagos y devoluciones; entregas; atención de consultas y reclamos; obligaciones legales, tributarias, sanitarias, laborales y regulatorias; seguridad; prevención de fraude; programas de beneficios; comunicaciones comerciales autorizadas; estadísticas y gestión; selección y administración laboral; gestión de proveedores; videovigilancia para finalidades legítimas; y otras finalidades informadas y jurídicamente habilitadas. Cada finalidad deberá vincularse en el RAT/MAT con una base de legitimación prevista por la LOPDP. Cuando se utilice consentimiento, este será libre, específico, informado, inequívoco y demostrable. Cuando se utilice interés legítimo, se documentará la ponderación correspondiente.

INFORMACIÓN, CONSENTIMIENTO Y REVOCATORIA​​

Antes de recopilar datos directamente del titular se proporcionará la información exigible de manera clara, transparente, inteligible, concisa y accesible. Podrán utilizarse avisos por capas siempre que la primera capa permita acceder fácilmente a la información completa. Cuando el consentimiento sea la base legitimadora, deberá constar mediante una acción afirmativa y conservarse evidencia suficiente de su otorgamiento, versión del aviso, fecha, hora, canal y finalidades autorizadas. No se considerará consentimiento el silencio, la inacción o casillas pre-marcadas. La revocatoria será sencilla, gratuita y razonablemente equivalente al mecanismo de otorgamiento. No afectará la licitud del tratamiento efectuado antes de la revocatoria.

PROCEDIMIENTO PARA EL EJERCICIO DE DERECHOS

FARMACIAS CUXIBAMBA FARMACUX CIA. LTDA., mantendrá un Procedimiento de Atención de Derechos de Titulares como instrumento operativo independiente. Este regulará, como mínimo: recepción, identificación razonable del solicitante, registro, clasificación del derecho, asignación al área competente, búsqueda y validación de información, análisis jurídico/técnico cuando corresponda, respuesta dentro del plazo legal, ejecución de la decisión, evidencia y cierre. Los titulares podrán ejercer los derechos reconocidos por la LOPDP que resulten aplicables, incluyendo información, acceso, rectificación y actualización, eliminación, oposición, portabilidad, suspensión, revocatoria del consentimiento y derechos relacionados con decisiones automatizadas. Los canales oficiales deberán publicarse y mantenerse actualizados

ENCARGADOS, PROVEEDORES Y TERCEROS​

Antes de permitir a un proveedor tratar datos personales por cuenta de FARMACUX, el área contratante, con apoyo de las funciones competentes, deberá realizar una evaluación proporcional al riesgo y formalizar las obligaciones de protección de datos. 

• Objeto, duración, naturaleza y finalidad del tratamiento
• Categorías de datos y titulares; • Instrucciones documentadas
• Confidencialidad y seguridad
• Gestión de sub-encargados
• Asistencia en derechos, incidentes, EIPD y requerimientos de autoridad
• Devolución, bloqueo o eliminación al finalizar el servicio
• Auditoría, evidencia y responsabilidad
• Transferencias o comunicaciones, cuando correspondan. La Compañía mantendrá un inventario de encargados y proveedores con acceso a datos personales, vinculado al RAT/MAT y a los contratos aplicables.

TRANSFERENCIAS Y COMUNICACIONES NACIONALES E INTERNACIONALES​

Toda transferencia o comunicación de datos personales deberá contar con finalidad, base jurídica y condiciones de licitud verificables, y cumplir las garantías exigidas por la normativa ecuatoriana vigente. Las áreas responsables documentarán destinatario, país cuando corresponda, categoría de datos, finalidad, base jurídica, mecanismo o garantía aplicable, contrato y evidencia de evaluación. Las transferencias internacionales no se realizarán de forma automática por el solo hecho de contratar servicios tecnológicos en la nube. Antes de su ejecución deberá verificarse el régimen aplicable y las garantías exigibles.

CONSERVACIÓN, BLOQUEO, SEUDONIMIZACIÓN, ANONIMIZACIÓN Y ELIMINACIÓN​​

FARMACIAS CUXIBAMBA FARMACUX CIA. LTDA., mantendrá una Matriz de Conservación vinculada al RAT/MAT. Los plazos se definirán considerando finalidad, obligaciones legales, tributarias, sanitarias, laborales, contractuales, defensa de reclamaciones y demás criterios legítimos. Cumplida la finalidad y vencido el plazo aplicable, se ejecutará el mecanismo jurídicamente procedente: eliminación segura, bloqueo, anonimización u otra medida prevista por la normativa. La seudonimización podrá utilizarse como medida de reducción de riesgos, sin confundirse con anonimización cuando exista posibilidad razonable de reidentificación. Los procesos deberán generar evidencia de las operaciones de eliminación, bloqueo o anonimización cuando corresponda, incluyendo responsable, fecha, alcance y método utilizado.

GESTIÓN DE RIESGOS Y EVALUACIÓN DE IMPACTO (EIPD)​

FARMACIAS CUXIBAMBA FARMACUX CIA. LTDA., aplicará un enfoque basado en riesgos para los derechos y libertades de los titulares. Las áreas propietarias identificarán riesgos inherentes, controles, riesgo residual y acciones de tratamiento, con asesoría y supervisión del DPD dentro de sus competencias. Se realizará una Evaluación de Impacto en la Protección de Datos Personales cuando la LOPDP, su Reglamento o la regulación de la SPDP así lo exijan, particularmente frente a tratamientos que puedan entrañar alto riesgo, categorías especiales, gran escala, nuevas tecnologías, monitoreo sistemático u otros supuestos aplicables. La EIPD será previa cuando corresponda, documentada, actualizable y vinculada al RAT/MAT. No deberá tratarse como una formalidad: identificará amenazas, probabilidad, impacto, medidas, riesgo residual y decisiones de aceptación, mitigación, modificación o no ejecución del tratamiento.

SEGURIDAD Y GESTIÓN DE INCIDENTES / VULNERACIONES​

FARMACUX aplicará medidas técnicas, organizativas, administrativas, jurídicas y físicas apropiadas al riesgo, incluyendo controles de acceso, autenticación, privilegios, cifrado cuando corresponda, registros, respaldos, gestión de vulnerabilidades, monitoreo, trazabilidad, confidencialidad, capacitación y evaluación periódica.

Se mantendrá un Procedimiento de Gestión de Incidentes y Vulneraciones de Seguridad que contemple, como mínimo:

• Detección e identificación
• Reporte y escalamiento interno 
• Contención y preservación de evidencia
• Evaluación de naturaleza, alcance, titulares afectados, categorías de datos y consecuencias
• Determinación de obligaciones de notificación a la SPDP y/o comunicación a titulares dentro de los plazos legalmente aplicables
• Investigación de causa raíz
• Remediación y acciones correctivas
• Registro documental del incidente
• Verificación de eficacia y cierre

Todo colaborador que conozca o sospeche de una vulneración deberá reportarla inmediatamente por los canales institucionales definidos, sin realizar comunicaciones externas no autorizadas.

VIDEOVIGILANCIA​

Los sistemas de videovigilancia deberán responder a una finalidad legítima, necesaria y proporcional, contar con información visible al titular y limitar su cobertura a las áreas justificadas. Se evitará captar espacios donde exista una expectativa reforzada de privacidad y se restringirá el acceso a las grabaciones. El área responsable documentará finalidad, base jurídica, ubicación, cobertura, plazo de conservación, accesos, cesiones, medidas de seguridad y análisis de necesidad/proporcionalidad. La captación de audio u otras funcionalidades adicionales requerirá análisis específico y no se habilitará por defecto.

BIOMETRÍA

El tratamiento de datos biométricos no se implementará por mera conveniencia operativa. Antes de su uso deberá determinarse su naturaleza jurídica, finalidad, necesidad, proporcionalidad, base de legitimación, alternativas menos intrusivas, riesgos, medidas reforzadas y necesidad de EIPD. El acceso a plantillas o patrones biométricos será estrictamente restringido y se aplicarán plazos de conservación específicos.

PRIVACIDAD DESDE EL DISEÑO Y POR DEFECTO

Todo nuevo sistema, módulo, integración, aplicación, campaña, producto, servicio o cambio significativo que implique tratamiento de datos personales deberá incorporar protección de datos desde su etapa de diseño. 

• Minimización de campos y permisos; 
• Configuraciones iniciales protectoras de la privacidad; 
• Separación de finalidades y consentimientos cuando corresponda; 
• Control de accesos por rol y mínimo privilegio; 
• Trazabilidad y registros; 
• Retención y eliminación automatizable cuando sea viable; 
• Evaluación de proveedores y transferencias; 
• Seguridad durante todo el ciclo de vida; 
• Consulta al DPD y EIPD cuando resulte exigible.

REGISTROS, INSCRIPCIONES Y EVIDENCIAS ANTE LA SPDP

FARMACIAS CUXIBAMBA FARMACUX CIA. LTDA., cumplirá las obligaciones de registro, inscripción, reporte o actualización ante la SPDP que resulten legalmente exigibles, incluyendo las relacionadas con el DPD y aquellas que la normativa determine para actividades de tratamiento u otros instrumentos. La compañía no presumirá la existencia de un “Registro Nacional de Protección de Datos” general distinto de los registros o sistemas que la normativa vigente establezca. La función legal competente y el DPD verificarán periódicamente las obligaciones registrales aplicables y conservarán evidencia de su cumplimiento.

CAPACITACIÓN Y CONFIDENCIALIDAD

El personal con acceso a datos personales recibirá capacitación proporcional a sus funciones y riesgos. FARMACIAS CUXIBAMBA FARMACUX CIA. LTDA. mantendrá compromisos de confidencialidad, inducción, actualización periódica y evidencia de participación. El acceso a datos se limitará a las atribuciones y finalidades autorizadas.

MONITOREO, REVISIÓN Y MEJORA CONTINUA

Las áreas propietarias revisarán periódicamente sus tratamientos y controles. El DPD asesorará y supervisará conforme a sus competencias. Control Interno efectuará evaluaciones y seguimiento dentro de su plan de trabajo, sin asumir la ejecución operativa de los controles evaluados. La Política será revisada al menos cuando existan cambios normativos, nuevos tratamientos relevantes, incidentes significativos, cambios tecnológicos, reorganizaciones o hallazgos que justifiquen su actualización.

INCUMPLIMIENTO

El incumplimiento de esta Política estará sujeto a las medidas internas que correspondan, sin perjuicio de las responsabilidades administrativas, civiles o penales aplicables. Todo incumplimiento deberá ser gestionado conforme a la normativa laboral, contractual y de protección de datos aplicable, respetando el debido proceso.

DOCUMENTOS OPERATIVOS COMPLEMENTARIOS

Los siguientes documentos, forman parte del Sistema Corporativo de Gestión de Protección de Datos (SGPD), aunque se administren como documentos independientes y sujetos de actualización:

Cada documento tiene un propietario y responsables de ejecución formalmente definidos