1Objeto y alcance
La presente política establece los lineamientos para el tratamiento de datos personales dentro de MAGISTRA-APRENDIZAJE & DESARROLLO S.A. (en adelante, “la Compañía”). Su cumplimiento es obligatorio para todos los colaboradores, instructores externos, proveedores y personal de eventos que tengan acceso a datos personales administrados por la Compañía, quienes actuarán en calidad de personal autorizado o encargados de tratamiento, según corresponda.
2Marco legal y normativo
Esta política se fundamenta en:
- Constitución de la República del Ecuador: Art. 66, numeral 19.
- Ley Orgánica de Protección de Datos Personales (LOPDP) y su Reglamento General.
- Estándares internacionales ISO/IEC 27001:2022 e ISO/IEC 27701, en lo relativo a seguridad de la información y gestión de la privacidad.
3Principios rectores
La Compañía garantiza que todo tratamiento de datos personales se basará en los siguientes principios:
- Juridicidad, lealtad y transparencia: Los datos no serán obtenidos mediante medios engañosos o fraudulentos.
- Minimización de datos: Se tratarán únicamente los datos estrictamente necesarios.
- Finalidad: Los datos serán utilizados exclusivamente para fines determinados, explícitos y legítimos.
- Calidad y exactitud: Los datos serán adecuados, pertinentes y actualizados.
- Seguridad: Se aplicarán medidas técnicas y organizativas apropiadas.
- Confidencialidad: El tratamiento estará sujeto a deber de reserva.
- Responsabilidad proactiva: La Compañía demostrará el cumplimiento de la normativa aplicable.
4Categorías de datos y finalidades
Magistra trata datos de Aprendices, Clientes, Colaboradores e Instructores para:
- Gestión Académica y LMS: Registro en la plataforma, seguimiento de notas, progresos y ejecución de rutas de aprendizaje.
- Certificación: Emisión de diplomas y validación de asistencia.
- Eventos y Team Building: Logística, coordinación de dinámicas y gestión de datos de contacto.
- Uso de Imagen (Datos Biométricos): Captura de fotos y videos en eventos para reportes de ejecución y material promocional, siempre mediando consentimiento.
5Seguridad de la información (ISO 27001)
Para mitigar los riesgos críticos detectados, se establecen los siguientes controles:
- Control de Dispositivos de Terceros: Los Trainers externos que utilicen equipos propios deben cumplir con protocolos de limpieza de dispositivos al finalizar cada evento, eliminando listas de asistencia, fotografías no seleccionadas y evidencias digitales.
- Gobernanza de Plataformas: Se implementará una revisión periódica de los accesos al LMS y Google Drive, asegurando que solo el personal autorizado acceda a los datos de los aprendices, conforme al principio de privilegio mínimo.
- Integridad de Certificados: Se aplicarán medidas de verificación para garantizar la autenticidad de los diplomas emitidos.
- Control de Accesos: Se limitará el acceso a bases de datos de clientes únicamente al personal que lo requiera para la ejecución de proyectos específicos.
6Transferencia internacional de datos
La Compañía utiliza servicios en la nube para el funcionamiento de su LMS y almacenamiento de información. Estas transferencias se realizarán conforme a la LOPDP, garantizando niveles adecuados de protección mediante cláusulas contractuales, certificaciones o mecanismos equivalentes.
7Medidas técnicas y organizativas
Para mitigar los riesgos identificados en el diagnóstico, se establecen las siguientes medidas técnicas y organizativas:
- Control de accesos: Revisión periódica de usuarios y revocatoria inmediata al finalizar relaciones.
- Principio de privilegio mínimo: Acceso limitado según funciones y proyectos asignados.
- Prohibición de almacenamiento no autorizado: Se prohíbe el uso de nubes personales o dispositivos externos.
- Cifrado y control de entregables: Uso de enlaces seguros o documentos protegidos para la transferencia de bases de datos.
- Canales oficiales: Se prohíbe el envío de datos sensibles por medios no autorizados, salvo que existan medidas de seguridad adecuadas y autorización expresa.
- Gestión de datos en LMS: Se establecerán plazos para la eliminación o anonimización de datos académicos una vez finalizada su finalidad.
8Derechos de los titulares
Los titulares podrán ejercer los siguientes derechos:
- Acceso
- Rectificación
- Eliminación (cancelación)
- Oposición
- Portabilidad
- Suspensión del tratamiento
Procedimiento:
- Se verificará la identidad del solicitante.
- Se podrá requerir información adicional para procesar la solicitud.
- Las solicitudes serán registradas y atendidas dentro de los plazos legales establecidos por la LOPDP.
El paso a paso, los requisitos y los plazos están en la sección 13.
9Gestión de incidentes y brechas de seguridad
La Compañía contará con un procedimiento interno para la detección, gestión y respuesta ante incidentes de seguridad que comprometan datos personales. En caso de brechas, se evaluará la necesidad de notificar a la Autoridad de Protección de Datos Personales y a los titulares afectados, conforme a la normativa vigente.
10Confidencialidad y deber de reserva
Todo el personal, instructores externos y terceros autorizados que accedan a datos personales deberán mantener estricta confidencialidad, incluso después de finalizada su relación con la Compañía.
11Responsabilidad proactiva
La Compañía implementará mecanismos de cumplimiento, incluyendo:
- Auditorías periódicas
- Capacitaciones anuales
- Registro de actividades de tratamiento
- Evaluaciones de riesgo en protección de datos
- Suscripción de contratos de encargo de tratamiento con instructores y proveedores
12Vigencia y actualización
La presente política entrará en vigor desde su aprobación y podrá ser actualizada en función de cambios normativos o necesidades operativas de la Compañía.
13Cómo ejercer tus derechos (ARCO+)
Este es el procedimiento para la atención, gestión y respuesta de las solicitudes de ejercicio de derechos ARCO+ por parte de los titulares de datos personales, conforme a la LOPDP. MAGISTRA-APRENDIZAJE & DESARROLLO S.A., en calidad de Responsable del Tratamiento, atiende las solicitudes a través de un único canal.
Derechos de los titulares (ARCO+)
- Acceso: conocer qué datos se tratan y su finalidad.
- Rectificación: actualizar o corregir datos inexactos.
- Eliminación: solicitar la supresión de datos personales.
- Oposición: oponerse al tratamiento en determinadas circunstancias.
- Portabilidad: recibir tus datos en formato estructurado, de uso común y lectura mecánica.
Requisitos de la solicitud
La solicitud deberá contener:
- Nombres y apellidos completos.
- Documento de identidad (cédula o pasaporte).
- Descripción clara del derecho que deseas ejercer.
- Medio para recibir notificaciones.
MAGISTRA podrá solicitar información adicional cuando sea necesario para verificar la identidad del solicitante.
Validación de identidad
Con el fin de evitar accesos no autorizados:
- Se verificará la correspondencia entre la información proporcionada y los registros existentes.
- En caso de duda razonable, se podrá requerir validación adicional.
- La falta de verificación podrá dar lugar a la no atención de la solicitud.
Procedimiento interno
- Recepción de la solicitud.
- Registro en bitácora o sistema interno.
- Validación de identidad.
- Análisis del requerimiento.
- Ejecución (búsqueda, modificación, eliminación, etc.).
- Respuesta al titular.
- Archivo de evidencia.
Plazos de respuesta
- Acceso: hasta 15 días calendario.
- Rectificación, eliminación y oposición: hasta 15 días calendario.
- Portabilidad: hasta 15 días calendario, prorrogables por 15 días adicionales.
En caso de prórroga, se notificará al titular oportunamente.
Respuesta al titular
La respuesta incluirá:
- La decisión adoptada.
- La justificación, en caso de negativa total o parcial.
- Información sobre las acciones realizadas.
Causales de denegación
Se podrá negar el ejercicio del derecho cuando:
- Exista obligación legal de conservación.
- Se afecten derechos de terceros.
- Exista impedimento legal o judicial.
En caso de negativa, se informará al titular sobre su derecho a acudir ante la autoridad competente.
Gratuidad
El ejercicio de derechos es gratuito, salvo solicitudes manifiestamente infundadas o excesivas.
Registro y evidencia
MAGISTRA mantendrá un registro de:
- Solicitudes recibidas.
- Fechas de respuesta.
- Acciones realizadas.
- Evidencia de cumplimiento.
Modelo de solicitud
El manual oficial incluye un modelo de solicitud con casillas para cada derecho, motivo, documento de identidad adjunto y correo para notificaciones.