1. OBJETO Y ALCANCE
Thank you for reading this post, don't forget to subscribe!La presente política establece los lineamientos para el tratamiento de datos personales dentro de MAGISTRA-APRENDIZAJE & DESARROLLO S.A. (en adelante, “la Compañía”). Su cumplimiento es obligatorio para todos los empleados, instructores externos, proveedores y personal de eventos que tengan acceso a datos personales administrados por la Compañía.
2. MARCO LEGAL Y NORMATIVO
Esta política se fundamenta en:
Constitución de la República del Ecuador: Art. 66, numeral 19.
Ley Orgánica de Protección de Datos Personales (LOPDP) y su Reglamento General.
Estándares internacionales ISO/IEC 27001:2022 e ISO/IEC 27701, en lo relativo a seguridad de la información y gestión de la privacidad.
3. PRINCIPIOS RECTORES
La Compañía garantiza que todo tratamiento de datos personales se basará en los siguientes principios:
Juridicidad, lealtad y transparencia: Los datos no serán obtenidos mediante medios engañosos o fraudulentos.
Minimización de datos: Se tratarán únicamente los datos estrictamente necesarios.
Finalidad: Los datos serán utilizados exclusivamente para fines determinados, explícitos y legítimos.
Calidad y exactitud: Los datos serán adecuados, pertinentes y actualizados.
Seguridad: Se aplicarán medidas técnicas y organizativas apropiadas.
Confidencialidad: El tratamiento estará sujeto a deber de reserva.
Responsabilidad proactiva: La Compañía demostrará el cumplimiento de la normativa aplicable.
4. CATEGORÍAS DE DATOS Y FINALIDADES
Magistra trata datos de Aprendices, Clientes, Empleados e Instructores para:
Gestión Académica y LMS: Registro en la plataforma, seguimiento de notas, progresos y ejecución de rutas de aprendizaje.
Certificación: Emisión de diplomas y validación de asistencia.
Eventos y Team Building: Logística, coordinación de dinámicas y gestión de datos de contacto.
Uso de Imagen (Datos Biométricos): Captura de fotos y videos en eventos para reportes de ejecución y material promocional, siempre mediando consentimiento.
5. SEGURIDAD DE LA INFORMACIÓN (ISO 27001)
Para mitigar los riesgos críticos detectados, se establecen los siguientes controles:
Control de Dispositivos de Terceros: Los Trainers externos que utilicen equipos propios deben cumplir con protocolos de limpieza de dispositivos al finalizar cada evento, eliminando listas de asistencia, fotografías no seleccionadas y evidencias digitales.
Gobernanza de Plataformas: Se implementará una revisión periódica de los accesos al LMS y Google Drive, asegurando que solo el personal autorizado acceda a los datos de los aprendices, conforme al principio de privilegio mínimo.
Integridad de Certificados: Se aplicarán medidas de verificación para garantizar la autenticidad de los diplomas emitidos.
Control de Accesos: Se limitará el acceso a bases de datos de clientes únicamente al personal que lo requiera para la ejecución de proyectos específicos.
6. TRANSFERENCIA INTERNACIONAL DE DATOS
La Compañía utiliza servicios en la nube para el funcionamiento de su LMS y almacenamiento de información. Estas transferencias se realizarán conforme a la LOPDP, garantizando niveles adecuados de protección mediante cláusulas contractuales, certificaciones o mecanismos equivalentes.
7. SEGURIDAD DE LA INFORMACIÓN
Para mitigar los riesgos identificados en el diagnóstico, se establecen las siguientes medidas técnicas y organizativas:
Control de accesos: Revisión periódica de usuarios y revocatoria inmediata al finalizar relaciones.
Principio de privilegio mínimo: Acceso limitado según funciones y proyectos asignados.
Prohibición de almacenamiento no autorizado: Se prohíbe el uso de nubes personales o dispositivos externos.
Cifrado y control de entregables: Uso de enlaces seguros o documentos protegidos para la transferencia de bases de datos.
Canales oficiales: Se prohíbe el envío de datos sensibles por medios no autorizados, salvo que existan medidas de seguridad adecuadas y autorización expresa.
Gestión de datos en LMS: Se establecerán plazos para la eliminación o anonimización de datos académicos una vez finalizada su finalidad.
8. DERECHOS DE LOS TITULARES
Los titulares podrán ejercer los siguientes derechos:
Acceso
Rectificación
Eliminación (cancelación)
Oposición
Portabilidad
Suspensión del tratamiento
Canal de atención: info@magistra.ec Procedimiento:
Se verificará la identidad del solicitante.
Se podrá requerir información adicional para procesar la solicitud.
Las solicitudes serán registradas y atendidas dentro de los plazos legales establecidos por la LOPDP.
9. GESTIÓN DE INCIDENTES Y BRECHAS DE SEGURIDAD
La Compañía contará con un procedimiento interno para la detección, gestión y respuesta ante incidentes de seguridad que comprometan datos personales. En caso de brechas, se evaluará la necesidad de notificar a la Autoridad de Protección de Datos Personales y a los titulares afectados, conforme a la normativa vigente.
10. CONFIDENCIALIDAD Y DEBER DE RESERVA
Todo el personal, instructores externos y terceros autorizados que accedan a datos personales deberán mantener estricta confidencialidad, incluso después de finalizada su relación con la Compañía.
11. RESPONSABILIDAD PROACTIVA
La Compañía implementará mecanismos de cumplimiento, incluyendo:
Auditorías periódicas.
Capacitaciones anuales.
Registro de actividades de tratamiento.
Evaluaciones de riesgo en protección de datos.
Suscripción de contratos de encargo de tratamiento con instructores y proveedores.
12. VIGENCIA Y ACTUALIZACIÓN
La presente política entrará en vigor desde su aprobación y podrá ser actualizada en función de cambios normativos o necesidades operativas de la Compañía.