1. POLÍTICA DE PROTECCIÓN DE DATOS

GRUPO CEDSA BEST.

(Cedsamóvil S.A. de C.V., Comunicaciones y Enlaces Digitales S.A. de C.V.)

INTRODUCCIÓN

Esta Política de Protección de Datos Personales (la “Política”) ha sido desarrollada a los efectos de garantizar el cumplimiento de la normativa vigente en materia de protección de datos personales.[1]

El presente documento tiene por objeto cumplir, por un lado, con el artículo 48, fracción I del Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de Particulares (en lo sucesivo “LFPD”), en el que se prevé que el Responsable podrá adoptar políticas de privacidad obligatorias y exigibles al interior de su organización como medida para garantizar el debido tratamiento de los datos personales, privilegiando los intereses del titular y la expectativa razonable de privacidad.

Asimismo, tiene por objeto cumplir con el artículo 61, fracción II en relación con el artículo 2, fracción V, también del Reglamento de la LFPD; en donde de forma clara y concisa se indica que el Responsable deberá adoptar las medidas organizativas necesarias para que el personal conozca las normas de seguridad en materia de protección de datos personales que afecten al desarrollo de sus funciones, así como las consecuencias en que pudiera incurrir en caso de incumplimiento.

Además, contiene la regulación de las condiciones organizativas de las bases de datos que tratan datos personales en posesión de CEDSA MÓVIL, S.A. DE C.V. o COMUNICACIONES Y ENLACES DIGITALES S.A. DE C.V.(en adelante “Responsable o CEDSA BEST BEST”), existentes en la actualidad o que puedan crearse en el futuro; así como de las condiciones para la obtención de dichos datos personales, la entrega y transferencia de los datos a un tercero y los procedimientos a seguir para atender solicitudes relativas al ejercicio de los derechos de acceso, rectificación, cancelación y oposición de los datos por los titulares (derechos ARCO) y de revocación del consentimiento.

Esta Política es de aplicación a la obtención y tratamiento de los datos personales que figuren en bases de datos en posesión del Responsable, así como a toda modalidad de uso posterior, incluso no automatizada, de datos personales registrados en soportes físicos o digitales susceptibles de tratamiento automatizado, no automatizado o mixto.

Quedan exceptuados de la aplicación de esta política:

• Las bases de datos relativas a personas morales (sociedades anónimas, fundaciones, asociaciones, y otros tipos de personas jurídicas);
• Las bases de datos de información tecnológica o comercial que reproduzcan datos ya publicados en diarios oficiales u otras publicaciones oficiales;
• Las bases de datos mantenidas por personas físicas en el ejercicio de sus actividades exclusivamente personales o domésticas.

ALCANCE

El presente documento define y documenta las funciones y obligaciones de cada una de las áreas/departamentos que accedan a bases de datos con tratamiento automatizado o no automatizado de datos personales. Esta política es aplicable a todas las operaciones de CEDSA BEST, todos los empleados, subcontratistas y terceros autorizados están obligados a conocer, comprender, promover, así como poner en práctica las directrices contenidas en la misma.

Se recomienda facilitar este documento a cada persona que tiene una relación laboral con CEDSA BEST a través de un correo electrónico personalizado y con acuse de recibo en donde se expondrá la obligación de su lectura y el cumplimiento de las medidas reflejadas o cualquier otro mecanismo que CEDSA BEST considere oportuno.

• El incumplimiento de las directrices, principios y obligaciones definidas en la presente Política puede ser motivo de rescisión del contrato de prestación de servicios celebrado con CEDSA BEST.

Cualquier modificación a la presente deberá ser autorizado por el área de protección de datos personales, seguridad de la información y legal, en su caso.

1. COORDINACIÓN DE DATOS PERSONALES

La figura del Coordinador de datos personales tendrá las siguientes funciones y obligaciones:

1. Coordinar, gestionar y ejecutar las medidas y acciones necesarias para tramitar y responder en tiempo y forma las solicitudes de ejercicio de los derechos ARCO (Acceso, Rectificación, Cancelación y Oposición), limitaciones sobre el uso y divulgación y revocación al consentimiento que formulen los titulares de datos personales.

2. Adoptar las medidas necesarias para que el personal conozca las normas de seguridad que afecten al desarrollo de sus funciones, reglas vigentes de aspecto organizativo, así como las consecuencias en que dicho personal pudiera incurrir en caso de incumplimiento.

3. Determinar junto con el Departamento de Sistemas el nivel de seguridad recomendable para las bases de datos personales, en función de los tipos de datos contenidos en las mismas.

4. Controlar junto con el Departamento de Sistemas la adopción de las medidas definidas en la Relación de Medidas de Seguridad de cada base de datos.

5. Asegurar junto con el Departamento de Sistemas el establecimiento de procedimientos de identificación y autenticación para el acceso a los datos personales tratados por CEDSA BEST.

6. Autorizar las personas y Áreas que, de acuerdo con las necesidades de gestión, puedan acceder a la información.

7. Actualizar junto con el Departamento de Sistemas la Relación de Medidas de Seguridad de las bases de datos, cuando sea procedente de conformidad al Reglamento de la LFPD.

8. Realizar revisiones de control sobre el cumplimiento y seguimiento de las normas y procedimientos establecidos en la Relación de Medidas de Seguridad.

9. Analizar, junto con las áreas correspondientes, los Informes de Auditoría que se emitan sobre los sistemas de información que tratan datos personales y elevar las conclusiones a la Dirección General.

10. Coordinar dentro de la organización acciones de formación y concientización periódicas en materia de protección de datos.

11. Revisar periódicamente que los Avisos de Privacidad se encuentren debidamente actualizados.

12. Custodiar debidamente las Relaciones de Medidas de Seguridad, documentación interna en materia de protección de datos; documentación relativa a las funciones y obligaciones del personal que trata datos personales, así como los Informes Jurídicos y de Auditoría elaborados sobre la materia para CEDSA BEST.

13. En el caso de las bases de datos de CEDSA BEST que contienen datos personales considerados sensibles (origen racial o étnico, estado de salud presente y futuro, información genética, creencias religiosas, filosóficas y morales, afiliación sindical, opiniones políticas y/o preferencia sexual), controlar los mecanismos de registro de acceso a los datos protegidos, revisar periódicamente la información de control registrada, así como elaborar un informe de las revisiones realizadas y los problemas detectados al menos una vez al mes.

14. Guardar el secreto profesional respecto de los datos personales a que tenga acceso con motivo de sus funciones.

15. Actuar como interlocutor, en representación de la empresa, en todas aquellas actuaciones que se lleven a cabo frente al Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (en lo sucesivo “INAI”).

16. Cualquier otra actividad prevista en la presente Política de Protección de Datos Personales que le identifique como Responsable de su gestión y control.

17. Asegurar que cada departamento cumpla con las normativas de esta política y tenga correctamente definidos los niveles de autorización y acceso a las bases de datos correspondientes.

 

 

2. OBTENCIÓN, UTILIZACIÓN, CONSERVACIÓN Y CANCELACIÓN DE DATOS PERSONALES

La obtención de los datos personales, así como su uso, aprovechamiento, almacenamiento, cancelación, bloqueo y supresión, ya sea por sistemas automatizados así como no automatizados, deberá realizarse en CEDSA BEST con sujeción a lo dispuesto en los apartados siguientes.

2.1 Medios por los cuales se obtienen datos personales

A la fecha, CEDSA BEST puede utilizar medios físicos o electrónicos para la obtención de datos personales y para ello deberá observar las reglas generales para el tratamiento de los mismos ya que es el primer contacto por el cual se obtienen los datos de los titulares. A efectos del presente, se obtienen datos mediante formulario en sitio web o contrato de servicio de internet, entre otros.

Con la independencia del formato que decidan emplear deberán observar lo siguiente: 

2.2 Obtención de los datos personales

La obtención de datos personales se realizará con fines determinados, explícitos y legítimos.

Los datos a obtener deben ser necesarios, adecuados y relevantes en relación con el ámbito y los fines para los que se han obtenido, no pudiendo obtenerse por medios fraudulentos, desleales, mediante engaño o ilícitos y apegándose en todo momento a la presente política, así como a las políticas o instrucciones que determine CEDSA BEST.

La obtención de datos puede realizarse recabándolos personal o directamente del propio titular sin que exista engaño, dolo o mala fe, ya sea través de terceros o de fuentes de acceso público (obtención indirecta). La obtención de datos personales origina el nacimiento de los derechos de sus titulares a la información preceptiva que se indica en el siguiente apartado.

El hecho de que los datos personales sean tratados posteriormente con fines históricos, estadísticos y/o científicos, no se considerará incompatible con la finalidad que originó su obtención.

El Responsable está obligado a mantener datos personales exactos y actualizados, salvo  que tenga elementos que demuestren lo contrario, de forma que respondan con veracidad a la situación actual de sus titulares, debiendo cancelar dichos datos una vez que hayan dejado de ser necesarios o pertinentes para las finalidades para las cuales hubieran sido recabados; respetando en todo momento los posibles plazos legales de conservación de la información establecidos disposiciones legales distintas a la normativa de protección de datos personales.

 

 

2.3 El derecho de información en la obtención de datos personales

Conforme a la normativa vigente – adicional y complementaria de la LFPD y su Reglamento – denominada “Lineamientos del Aviso de Privacidad”, CEDSA BEST debe facilitar a los titulares de datos personales que trata para finalidades determinadas, la siguiente información, a través de los Avisos de Privacidad correspondientes, incluidos en esta Política:

1. La identidad y domicilio del Responsable que trata los datos personales;
2. Los datos personales que serán sometidos a tratamiento;
3. En su caso, el señalamiento expreso de los datos personales sensibles que se tratarán;
4. Las finalidades del tratamiento;
5. Los mecanismos para que el titular pueda manifestar su negativa para el tratamiento de sus datos personales para aquellas finalidades que no son necesarias, ni hayan dado origen a la relación jurídica con el Responsable;
6. Las transferencias de datos personales que, en su caso, se efectúen; el tercero receptor de los datos personales, y las finalidades de las mismas;
7. La cláusula que indique si el titular acepta o no la transferencia, cuando así se requiera;
8. Los medios y el procedimiento para ejercer los derechos ARCO;
9. Los mecanismos y procedimientos para que, en su caso, el titular pueda revocar su consentimiento al tratamiento de sus datos personales;
10. Las opciones y medios que el Responsable ofrece al titular para limitar el uso o divulgación de los datos personales;
11. La información sobre el uso de mecanismos en medios remotos o locales de comunicación electrónica, óptica u otra tecnología, que permitan recabar datos personales de manera automática y simultánea al tiempo que el titular hace contacto con los mismos, en su caso, y
12. Los procedimientos y medios a través de los cuales el Responsable comunicará a los titulares los cambios al aviso de privacidad.

Cuando los datos personales sean obtenidos de manera indirecta del titular, el Responsable deberá observar lo siguiente para la puesta a disposición del Aviso de Privacidad correspondiente:

1. Cuando los datos personales sean tratados para una finalidad prevista en una transferencia consentida o se hayan obtenido de una fuente de acceso público, El Responsable dará a conocer el Aviso de Privacidad respectivo en el primer contacto que se tenga con el titular, o
2. Si CEDSA BEST pretende utilizar los datos para una finalidad distinta a la originalmente consentida, es decir, vaya a tener lugar un cambio de finalidad, el Aviso de Privacidad deberá darse a conocer antes de realizar el aprovechamiento de dichos datos personales.

2.4 Requisitos internos previos para la obtención de datos personales

Cualquier Área Gerencial, de Dirección o de Sub-Dirección que vaya a recabar datos personales a través de cualquier medio (electrónicamente, contractualmente, a través de medios impresos o formularios, telefónicamente, etc.), deberá someter la captación de dichos datos a las directrices aquí expuestas.

Con el objeto de vigilar internamente que se cumpla el deber de información en la obtención de los datos personales, se describe el siguiente procedimiento interno:

1. Cuando el titular de cualquier Área de CEDSA BEST decida emprender actos, campañas o cualesquiera actos que vayan a significar, entre otros, la obtención de datos personales de cualquier persona física, deberá notificar al Coordinador de datos personales sobre la siguiente información:

• Procedencia de la información.
• Tipología de los datos personales.
• Finalidades para las cuales se van a utilizar los datos.
• Sistema de información en el que se procederá a tratar dicha información.

1. El Coordinador de datos personales procederá a analizar la situación de hecho para redactar el o los correspondientes Avisos de Privacidad, que cumplan con las especificaciones descritas.
2. Posterior, implementará el o los Avisos de Privacidad dentro de su proceso de captación de datos (mediante su colocación en los medios que vayan a ser empleados para recabar datos personales), conforme a las instrucciones que obtenga de la Coordinación de datos personales.
   • El consentimiento del titular para el tratamiento de sus datos personales

El tratamiento de datos personales requiere, como norma general, del consentimiento del titular, salvo que:

1. Esté previsto en una Ley;
2. Los datos figuren en fuentes de acceso público;
3. Los datos personales se sometan a un procedimiento previo de disociación;
4. Tenga el propósito de cumplir obligaciones derivadas de una relación jurídica entre el titular y el Responsable;
5. Exista una situación de emergencia que potencialmente pueda dañar a un individuo en su persona o en sus bienes;
6. Sean indispensables para la atención médica, la prevención, diagnóstico, la prestación de asistencia sanitaria, tratamientos médicos o la gestión de servicios sanitarios, mientras el titular no esté en condiciones de otorgar el consentimiento, en los términos que establece la Ley General de Salud y demás disposiciones jurídicas aplicables y que dicho tratamiento de datos se realice por una persona sujeta al secreto profesional u obligación equivalente, o
7. Se dicte resolución de autoridad competente.

La obtención del consentimiento deberá ser:

• Libre: sin que medie error, mala fe, violencia o dolo, que puedan afectar la manifestación de voluntad del titular;
• Específica: referida a una o varias finalidades determinadas que justifiquen el tratamiento, e
• Informado: que el titular tenga conocimiento del aviso de privacidad previo al tratamiento a que serán sometidos sus datos personales y las consecuencias de otorgar su consentimiento.

El consentimiento expreso también deberá ser inequívoco, es decir, que existan elementos que de manera indubitable demuestren su otorgamiento.

En este sentido, es importante diferenciar entre la necesidad de obtener el consentimiento y la obligación de informar a los titulares sobre el tratamiento de sus datos, a través de Avisos de Privacidad. El primero, podrá no ser necesario en algunas ocasiones, pero la obligación de informar a los titulares sobre el tratamiento de sus datos, nunca puede dejar de cumplirse.

Por otro lado, la legislación sobre protección de datos personales establece la obligación de obtener un consentimiento expreso y por escrito de los titulares cuando se recaben de éstos datos personales sensibles (que revelen ideología, afiliación sindical, religión, creencias, datos de salud, etc.)

En ese sentido sólo se procederá a tratar este tipo de datos personales gestionando esta información con estricta confidencialidad y con las medidas de seguridad aplicables a este tipo de datos, y exclusivamente a efectos de cumplir con las finalidades legítimas y justificadas a que se refieran los Avisos de Privacidad que, en su caso, deban ser emitidos o modificados.

Este tipo de datos personales no podrá ser usado con fines discriminatorios, ni en perjuicio de ningún titular de los mismos.

Como regla general, se prohíbe expresamente la creación de bases de datos que traten datos personales sensibles, sin que se justifique la creación de las mismas para finalidades legítimas, concretas y acordes con las actividades o fines explícitos perseguidos por CEDSA BEST.

2.6 Conservación y cancelación de datos personales

Los datos personales deben conservarse de forma diligente y con las medidas de seguridad necesarias y adecuadas. La conservación diligente exige que los datos estén actualizados y que sean almacenados de forma que permitan el ejercicio de los derechos ARCO por parte del titular, debiendo durar el tiempo necesario para que se cumplan los fines para los cuales se obtuvieron y usaron.

Los plazos de conservación pueden depender, por una parte, de la relación jurídica existente o no entre  CEDSA BEST y los titulares (candidatos, trabajadores clientes, entre otros.), en cuyo caso deberá mantenerse conservados, con carácter general, mientras subsista esta relación y, una vez concluida o bien a solicitud del titular, como máximo, por los siguientes plazos generales:

• Diez años para los datos de clientes y proveedores, tratados en cualquier documentación relativa a la actividad de CEDSA BEST (cumplimiento de las disposiciones de los artículos 38 y 46 del Código de Comercio).
• Cinco años para la documentación relativa a la contabilidad de la empresa y para los Comprobantes Fiscales Digitales.
• Diez años para cualquier otra obligación a la que resulte aplicable el artículo 1159 del Código Civil Federal, o su equivalente de los Códigos Civiles locales, contados a partir del momento en que dicha obligación sea exigible.

Por ello, CEDSA BEST deberá proceder a eliminar los datos del sistema, una vez hayan vencido los plazos de conservación y aquéllos hayan dejado de ser útiles o pertinentes.

En todo caso, debe tomarse en cuenta que los plazos anteriormente indicados pueden variar en función de diversas circunstancias, como pueden ser el inicio de procedimientos judiciales o administrativos basados en la información contenida en la documentación genéricamente identificada.

La norma general al respecto, que establece actualmente el artículo 37 del Reglamento de la LFPD, es la siguiente:

Los plazos de conservación de los datos personales no deberán exceder aquéllos que sean necesarios para el cumplimiento de las finalidades que justificaron el tratamiento, y deberán atender las disposiciones aplicables a la materia de que se trate, y tomar en cuenta los aspectos administrativos, contables, fiscales, jurídicos e históricos de la información. Una vez cumplida la o las finalidades del tratamiento, y cuando no exista disposición legal o reglamentaria que establezca lo contrario, el Responsable deberá proceder a la cancelación de los datos en su posesión previo bloqueo de los mismos, para su posterior supresión.

En otras palabras: CEDSA BEST no deberá conservar datos personales más allá del tiempo que sea necesario para el cumplimiento de las finalidades que justificaron su obtención, procesamiento, uso, aprovechamiento y conservación, incluyendo los períodos que sea necesario conservar dichos datos para acreditar el cumplimiento de obligaciones o cualesquiera otras relaciones jurídicas.

La LFPD establece que CEDSA BEST, en su calidad de Responsable, procurará que los datos personales contenidos en las bases de datos sean pertinentes, correctos y actualizados para los fines para los cuales fueron recabados. Esta obligación de actualización recae sobre el Responsable, que requiera corregir o actualizar datos personales, y en especial en aquellos casos en que el titular de los datos ha ejercido su derecho de rectificación, definido más adelante.

No se procederá a la cancelación, en cualquiera de los siguientes supuestos:

1. Se refiera a las partes de un contrato privado, social o administrativo y sean necesarios para su desarrollo y cumplimiento;
2. Deban ser tratados por disposición legal;
3. Obstaculice actuaciones judiciales o administrativas vinculadas a obligaciones fiscales, la investigación y persecución de delitos o la actualización de sanciones administrativas;
4. Sean necesarios para proteger los intereses jurídicamente tutelados del titular;
5. Sean necesarios para realizar una acción en función del interés público;
6. Sean necesarios para cumplir con una obligación legalmente adquirida por el titular, y
7. Sean objeto de tratamiento para la prevención o para el diagnóstico médico o la gestión de servicios de salud, siempre que dicho tratamiento se realice por un profesional de la salud sujeto a un deber de secreto.

Cualquier duda o consulta sobre la cancelación de datos personales en las bases de datos de CEDSA BEST, deberá dirigirse a la Coordinación de datos personales.

3. EJERCICIO DE LOS DERECHOS DE LOS TITULARES DE DATOS PERSONALES

Cuando las personas físicas titulares de los datos personales que son objeto de tratamiento por parte de CEDSA BEST ejerzan alguno de los derechos que les corresponden (relacionados a continuación), se actuará de acuerdo con el procedimiento establecido en la presente política (Procedimiento de ejercicio de los derechos ARCO y plazos legales). La atención de dichos derechos lleva implícito el cumplimiento de los plazos señalados en la LFPD y su Reglamento, que se identifican en la presente Política.

Cualquier duda respecto al alcance de los derechos ARCO o de las solicitudes sobre revocación del consentimiento, deberá dirigirse a la Coordinación de datos personales.

3.1 Derechos ARCO, revocación del consentimiento y limitación sobre el uso o divulgación de datos personales

Los derechos de los titulares reconocidos en nuestro ordenamiento jurídico, con relación al tratamiento de sus datos personales, son:

1. DERECHO DE ACCESO: Se refiere al derecho de los titulares para obtener información sobre sus datos personales en posesión del Responsable, así como información relativa a las condiciones y generalidades del tratamiento.
2. DERECHO DE RECTIFICACIÓN: Los titulares podrán solicitar, en todo momento, que el Responsable rectifique sus datos personales que resulten ser inexactos o incompletos.

 

1. DERECHO DE CANCELACIÓN: Los titulares podrán solicitar, en todo momento, la cancelación de los datos personales únicamente cuando consideren que su tratamiento ya no es necesario para las finalidades por las cuales dieron origen a la relación entre el Responsable y el Titular en primer lugar, o cuando consideren que no están siendo tratados conforme a los principios y deberes que establece la LFPD y su Reglamento.

La cancelación procederá respecto de la totalidad de los datos personales del titular, contenidos en una base de datos del Responsable, o de sólo una parte de ellos, según lo haya solicitado.

La cancelación implica el cese en el tratamiento por parte del Responsable, a partir de un bloqueo de los mismos y su posterior supresión.

En el caso de que exista una obligación de conservación de los datos y se hubiere solicitado la cancelación conforme a derecho y por persona legitimada para hacerlo, los datos deberán ser conservados, pero se bloqueará el acceso a los mismos de forma general, evitando cualquier proceso posterior de utilización y limitando su acceso sólo a un concreto de personas, definidas por CEDSA BEST.

1. DERECHO DE OPOSICIÓN AL TRATAMIENTO DE DATOS PERSONALES. Los titulares podrán, en todo momento, oponerse al tratamiento de sus datos personales o exigir que se cese en el mismo cuando:
2. Exista causa legítima y su situación específica así lo requiera. En estos casos, deberá justificarse que aun siendo lícito el tratamiento, éste debe cesar para evitar que su persistencia cause un perjuicio al titular, o
3. Requiera manifestar su oposición para el tratamiento de sus datos personales a fin de que no se lleve a cabo el tratamiento para fines específicos.

No procederá el ejercicio del derecho de oposición en aquellos casos en los que el tratamiento sea necesario para el cumplimiento de una obligación legal impuesta al Responsable.

1. REVOCACIÓN DEL CONSENTIMIENTO: En cualquier momento, el titular podrá revocar su consentimiento para el tratamiento de sus datos personales, para lo cual el Responsable deberá establecer mecanismos sencillos y gratuitos, que permitan al titular revocar su consentimiento al menos por el mismo medio por el que lo otorgó, siempre y cuando no lo impida una disposición legal.

 

1. LIMITACIÓN SOBRE EL USO O DIVULGACIÓN DE DATOS PERSONALES. Los titulares pueden solicitar la limitación del uso o divulgación de sus datos personales por parte del Responsable o de terceros, mediante su inclusión en listados de exclusión propios o comunes. En su caso, puede darse a conocer a los titulares la existencia de los Registros Públicos de Consumidores y de Usuarios que prevén la Ley Federal de Protección al Consumidor y la Ley de Protección y Defensa al Usuario de Servicios Financieros, respectivamente.

 

 

3.2 Procedimiento de ejercicio de los derechos ARCO y revocación del consentimiento. Plazos legales

El ejercicio de cualquiera de los derechos ARCO no excluye la posibilidad de ejercer alguno de los otros, ni puede constituir requisito previo para el ejercicio de cualquier otro de ellos. Las revocaciones del consentimiento para el tratamiento de datos personales deben tramitarse dentro de los mismos plazos legales aplicables para atender solicitudes de ejercicio de derechos ARCO.

La LFPD y su Reglamento reconocen a dos personas facultadas para ejercer los derechos ARCO:

1. Por el titular, previa acreditación de su identidad, a través de la presentación de copia de su documento de identificación.
2. Por el representante del titular, previa acreditación de su identidad, del titular al que representa y de la existencia de la representación.

Asimismo, el Reglamento de la LFPD establece que para el ejercicio de los derechos ARCO en relación con datos personales de menores de edad o de personas que se encuentren en estado de interdicción o incapacidad establecida por ley, se estará a las reglas de representación dispuestas en el Código Civil Federal.

En relación con las bases de datos de CEDSA BEST, se facilitará este ejercicio de acuerdo con el procedimiento que se establece a continuación.

3.2.1 Requisitos comunes al ejercicio de los derechos de Acceso, Rectificación, Cancelación y Oposición (derechos ARCO), revocaciones del consentimiento y solicitudes de limitación sobre el uso o divulgación de datos personales

El ejercicio de los derechos ARCO tendrá carácter gratuito, debiendo cubrir el titular únicamente los gastos justificados de envío o con el costo de reproducción en copias u otros formatos (art. 35 de la LFPD). En los casos en que el mismo titular ejerza su solicitud en un tiempo menor a 12 meses los costos no serán mayores a 3 días del Salario Mínimo General vigente en la Ciudad de México, siempre y cuando no existan modificaciones sustanciales al aviso de privacidad que motiven tales consultas.

Sólo deben recibirse solicitudes de atención de derechos ARCO, de revocación del consentimiento, o de limitación del uso o divulgación de datos personales (conjuntamente y en adelante, Solicitudes de Derechos), a través de dos vías:

• Vía postal, a la dirección: Paseo del Olimpo #1490, Campestre la Rosita, C.P. 27250, Torreón, Coahuila.
• Vía correo electrónico, a la siguiente cuenta: contacto@cedsa.com.mx

La solicitud deberá dirigirse a:

            CEDSA BESTMOVIL, S.A. DE C.V.

            Coordinación de datos personales

            Referencia: Protección de Datos – Derechos ARCO / Revocación del Consentimiento

Y contendrá:

1. El nombre del titular y domicilio u otro medio para comunicarle la respuesta a su solicitud;
2. Los documentos que acrediten la identidad o, en su caso, la representación legal del titular;
3. La descripción clara y precisa de los datos personales respecto de los que se busca ejercer alguno de los derechos antes mencionados, y
4. Cualquier otro elemento o documento que facilite la localización de los datos personales.

Toda persona parte de CEDSA BEST que reciba una Solicitud de Derechos, por cualquier medio de los indicados, (correo postal o correo electrónico) deberá canalizarla de manera inmediata hacia la Coordinación de datos personales, ya que se tiene un plazo de 20 días hábiles para contestar.

El único medio habilitado y aceptable para recibir las Solicitudes de Derechos por correo electrónico es a través de la cuenta: contacto@cedsa.com.mx misma que se encuentra señalada en todos los Avisos de Privacidad de CEDSA BEST. En caso de recibir una Solicitud de Derechos, por cualquier motivo, a través de otra dirección, deberá responderse indicando cuál es la dirección habilitada para ello.

Si cualquier área de CEDSA BEST recibe una solicitud a través de un correo electrónico que no sea el anteriormente señalado, deberá consultar con la Coordinación de datos personales para poder contestar al titular, invitándolo a dirigir su solicitud a través del correo habilitado.

Si la solicitud se envía a la cuenta de correo electrónico o domicilio señalados en el Aviso de Privacidad, no obstante esta no reúne los requisitos citados (solicitud incompleta), El Responsable, a través de la Coordinación de datos personales, solicitará al titular la corrección de los mismos.

Se contestarán por escrito con acuse de recibo, por cualquier medio, sugiriendo sea por el cual se recibió, con el fin de acreditar el envío y la recepción de todas las solicitudes de ejercicio de los derechos ARCO, incluso en aquellos casos en que no existiera en las bases de datos del Responsable información sobre el titular que envió la solicitud. Asimismo, deberá crearse un archivo, ya sea físico o electrónico, de cada uno de los casos atendidos.

3.3 Derecho de Acceso

Cada titular de datos personales sólo podrá ejercer este derecho a intervalos no inferiores a doce meses, salvo que hubiesen ocurrido modificaciones sustanciales al Aviso de Privacidad correspondiente.

Para permitir el ejercicio de este derecho a los titulares, se podrá optar por uno o varios de los siguientes sistemas de consulta a la base de datos correspondiente:

• Visualización en pantalla.
• Impresión del registro correspondiente.
• Escrito descriptivo.
• Fotocopia de documentos.
• Cualquier otro procedimiento que pueda ofrecerse, adecuado a la configuración e implantación material de la base de datos.

Si el titular de los datos no elige en su petición la forma de acceso, la Coordinación de datos personales podrá remitir una carta indicando:

• Que el acceso a sus datos personales lo podrá realizar en las oficinas de CEDSA BEST, durante un plazo no menor a quince días hábiles contados a partir de la fecha de envío de la respuesta, salvo que el tipo de solicitud de acceso aconseje que la información se proporcione por escrito (por ejemplo, al haber sido solicitado el acceso por titulares que no tienen su domicilio en la misma localidad que El Responsable), o
• Que CEDSA BEST remita la información solicitada en alguno de los formatos indicados, según sea definido por la Coordinación de datos personales.

Si el titular no acude para tener acceso a sus datos personales dentro del plazo otorgado, será necesaria la presentación de una nueva solicitud. En dichos casos, se recomienda que CEDSA BEST remita una comunicación informativa, por la vía que recibió la solicitud, mediante la cual haga conocer al titular y deje constancia (unilateral) de su inasistencia para acceder a los datos, esta constancia deberá ser archivada por la Coordinación de datos personales de CEDSA BEST.

En todo caso, la información, cualquiera que sea la forma en que se facilite, se dará de forma legible y de fácil comprensión, transcribiendo los datos personales solicitados y los resultantes de cualquier elaboración o proceso informático, así como el origen de los mismos; los receptores de transferencias realizadas (si los hubiere), y los usos y finalidades para los que se obtuvieron y conservaron.

Si la determinación adoptada es positiva para el acceso a los datos, ésta se hará efectiva mediante la comunicación por escrito a través de la vía por la que solicitó, del resultado obtenido de las búsquedas realizadas (si el titular optó por este medio) o bien dentro de un plazo no menor a quince días hábiles si el titular optó por acudir personalmente a la consulta de sus datos, contados a partir de que la determinación sea comunicada al titular.

En caso de que la solicitud fuese desestimada o hubiese transcurrido el plazo de veinte días hábiles sin que CEDSA BEST hubiese dado contestación a la misma, el titular puede iniciar el procedimiento de protección de derechos ante el INAI. Bajo ningún motivo se debe permitir que una solicitud no sea atendida en el plazo legal.

Como regla general, únicamente se denegará el acceso cuando la solicitud sea formulada por persona distinta del titular o cuando no existan datos del solicitante en las bases de datos del Responsable.

Si el titular ejerce el derecho de acceso en un intervalo inferior a doce meses sin que se hubiesen realizado modificaciones sustanciales al Aviso de Privacidad que pudieran motivar nuevas consultas, el Responsable podrá optar por solicitar al primero que cubra los costos de búsqueda y respuesta, que en ningún caso podrán ser superiores a tres días de Salario Mínimo General Vigente en la CDMX (artículo 35 de la LFPD).

3.4 Derechos de rectificación, cancelación y oposición

Las personas físicas (titulares) tienen derecho a que sus datos personales sometidos a tratamiento sean rectificados sin son erróneos o están desactualizados.

También tienen derecho a indicar que no desean que se traten para una finalidad específica por parte del Responsable (por ejemplo, que no desean recibir publicidad, pero desean mantener vigente una relación contractual con el Responsable).

La solicitud de cancelación deberá indicar si se trata de un dato erróneo o inexacto o si revoca la autorización para el tratamiento del dato.

No procederá la cancelación de los datos:

1. Cuando el solicitante no sea el titular de los datos personales, o el representante legal no esté debidamente acreditado para ello;
2. Cuando no se encuentren los datos personales del solicitante en ninguna base de datos;
3. Cuando se lesionen los derechos de un tercero;
4. Cuando exista un impedimento legal, o la resolución de una autoridad competente, que restrinja el acceso a los datos personales, o no permita la rectificación, cancelación u oposición de los mismos, y
5. Cuando la rectificación, cancelación u oposición haya sido previamente realizada.

Cuando procediendo la cancelación no sea posible la supresión física de los datos personales, deberán bloquearse con el fin de impedir un futuro proceso o uso, conservándose con el único propósito de determinar posibles responsabilidades en relación con su tratamiento hasta el plazo de prescripción legal o contractual de éstas. Cumplido el citado plazo deberá procederse a su supresión.

La procedencia de la rectificación, cancelación u oposición se hará efectiva dentro de los quince días siguientes a la comunicación de la determinación adoptada.

Si lo procedente es negar la rectificación, cancelación u oposición ejercidas, deberá comunicarse al titular la razón motivada de la denegación dentro del plazo de veinte días a que se refiere el artículo 32 de la LFPD.

3.5 Procedimiento y cómputo ordinario de plazos para atender el ejercicio de derechos de los titulares

Los plazos y el procedimiento general descrito con anterioridad, se desarrolla con mayor detalle a continuación. Por consiguiente, y siguiendo el mismo sistema de cómputo de días hábiles y las partes intervinientes, se describe los siguientes plazos internos:

3.5.1 Plazos internos ordinarios para atender el ejercicio de los derechos ARCO (días hábiles):

• Desde la entrada de la solicitud (fecha de comienzo del cómputo del plazo legal) se remitirá la solicitud a la Coordinación de datos personales, como máximo al día siguiente.

• Dentro de los 4 (cuatro) días siguientes, la Coordinación de datos personales analizará la solicitud para determinar si la misma cumple con los requisitos formales que marca la LFPD y su Reglamento.

• Si la solicitud cumple con los requisitos establecidos, la Coordinación de datos personales remitirá por correo electrónico y con categoría de urgente la solicitud a cada una de las áreas que manejan los datos personales.

• Las áreas internas, desde la recepción de la solicitud remitida por la Coordinación de datos personales, tendrán de un plazo interno de 12 (doce) días para tramitar y recopilar la información del interesado que ejercita cualquiera de los derechos ARCO.

Las áreas involucradas y el área de protección de datos deberán:

1. Analizar la legitimación de la solicitud del titular; es decir, si resulta posible y procedente:
   1. Acceder a sus datos;
   2. Rectificar sus datos;

• Cancelar sus datos, u

1. Oponerse al tratamiento de sus datos.

1. Realizar búsquedas (manuales y electrónicas) sobre la base de datos a los efectos de identificar los datos.
2. En su caso, identificar la información en las bases de datos no automatizadas.

• Una vez llevada a cabo esta tarea y dentro del plazo marcado (doce días), cada una de las áreas remitirá a la Coordinación de datos personales la información/documentación con los datos personales existentes sobre el titular que remitió la solicitud atendida.

A tales efectos, deberán indicar:

• Si el acceso a los datos personales es posible, conforme a la información que remitan; o
• Si la rectificación de datos es procedente y ejecutable; o
• Si la cancelación es procedente y ejecutable; o
• Si la oposición al tratamiento es procedente y ejecutable.

• La Coordinación de datos personales, tras la revisión y supervisión correspondiente, contará con tres días para remitir al titular la determinación adoptada en relación con su ejercicio de derechos ARCO.

• Si la solicitud ha resultado procedente, la Coordinación de datos personales deberá coordinar con las áreas correspondientes que la determinación adoptada se haga efectiva dentro de los siguiente 15 (quince) días a la comunicación de la respuesta.

3.5.2 Cómputo de plazos en caso de solicitudes incompletas o erróneas

En aquellos casos en que el titular presente una solicitud errónea o incompleta, se procederá conforme al siguiente procedimiento:

• Desde la entrada de la solicitud (fecha de comienzo del cómputo del plazo legal) ésta se remitirá a la Coordinación de datos personales, como máximo al día siguiente.

• Dentro de los 4 (cuatro) días siguientes, la Coordinación de datos personales analizará la solicitud para determinar si la misma cumple con los requisitos formales que marcan la LFPD y su Reglamento.

• Si la solicitud está incompleta o contiene errores que no permiten su tramitación, la Coordinación de datos personales deberá comunicar de inmediato esta situación al solicitante, remitiéndole una comunicación por la misma vía que recibió la solicitud, en la que explique las causas por las cuales no se cumplen los requisitos legales necesarios para tramitarla; Indicando al titular que cuenta con diez días hábiles para subsanar su solicitud.

• Si el titular no subsana su solicitud dentro del plazo anteriormente indicado se tendrá por no presentada. La Coordinación de datos personales deberá archivar toda la documentación relacionada con aquélla para el caso en que exista una solicitud por parte del INAI, y podrá tenerla por no presentada.

• Si el titular subsana adecuadamente su solicitud, comenzarán a contar los plazos a que se refiere el artículo 32 de la LFPD y, por lo tanto, la Coordinación de datos personales debe tratar la solicitud dentro del procedimiento ordinario a que se refiere el apartado inmediato anterior.

 

4. ACCESO A LOS DATOS. RECURSOS CONTENIDOS EN BASES DE DATOS AUTOMATIZADAS Y NO AUTOMATIZADAS

Únicamente podrán acceder a bases de datos que procesan o contienen datos personales (BBDD) las personas especialmente autorizadas para ello, y sólo tendrán acceso a la información o recursos autorizados.

Cuando una persona o Área precise, para el cometido de sus funciones en CEDSA BEST, acceder por primera vez a datos personales o a recursos de bases de datos automatizadas o no automatizadas que contengan este tipo de datos, debe solicitar la oportuna autorización a la Coordinación de datos personales, informándole de las razones por las que necesita el acceso y el tipo o tipos de datos que precisa consultar.

La Coordinación de datos personales sólo autorizará el acceso a aquellos datos o recursos que sean precisos para el desarrollo de las funciones del peticionario.

4.1 Obligaciones del personal con acceso a datos personales

Las obligaciones que deben conocer los colaboradores de CEDSA BEST en el desarrollo de sus funciones, derivadas de la LFPD y de su Reglamento, son las siguientes:

• Quienes intervengan en cualquier fase del tratamiento de datos personales están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, subsistiendo estas obligaciones aún después de haber finalizado su relación con CEDSA BEST, o de haber cambiado de función.
• La violación del deber de secreto tendrá la consideración de falta laboral muy grave y dará lugar al inicio del Procedimiento Disciplinario vigente en CEDSA BEST, sin perjuicio de otras responsabilidades a que hubiere lugar. La inobservancia de las demás obligaciones se calificará según la gravedad del hecho, en aplicación de normativa aplicable.
• Aplicar las directrices de seguridad que impone la Normativa Interna y habilitar aquellas otras medidas de seguridad necesarias para una correcta protección de su entorno de trabajo. En este sentido es necesario recalcar la política interna aprobada por ea Coordinación de datos personales denominada “Funciones y Obligaciones del Personal con relación a los Sistemas de Información”.
• Usar los datos exclusivamente para el fin que han sido facilitados y de acuerdo con la función que le ha sido encomendada.
• Utilizar software aprobado/homologado por el departamento de Sistemas.
• Utilizar las funciones de control de acceso, a todos los niveles, en computadoras que almacenan datos personales: setup, protector de pantallas, etc.
• Proteger y mantener en secreto las contraseñas utilizadas para su gestión y cambiarlas con la periodicidad que establezca el Departamento de Sistemas.
• Apagar de forma ordenada los equipos de trabajo, al finalizar la jornada de trabajo, salvo que por razones específicas éstos deban permanecer encendidos, y exista control sobre aquéllos en esta situación.
• Comunicar cualquier anomalía por mal funcionamiento (hardware, software, virus informáticos) al departamento de Sistemas, así como cualquier incidencia de seguridad (intentos de acceso no autorizados, manejo inadecuado de datos, etc.) mediante el correspondiente Registro de Incidencias.
• Habilitar los medios necesarios para proteger los soportes que contengan datos de personales.
• Utilizar los medios necesarios para destruir los soportes antes de desecharlos o reutilizarlos cuando la información contenida en estos así lo requiera.
• Guardar los soportes que contengan datos personales en armarios o escritorios protegidos con llave o con un sistema de combinación, al finalizar la jornada de trabajo.
• Comunicar a través del correspondiente modelo de entrada y salida de soportes cualquier tipo de soportes que entre o salga de las instalaciones de CEDSA BEST.
• Utilizar los equipos informáticos exclusivamente para la finalidad para la que han sido facilitados y nunca para trabajos o comunicaciones personales.
• Utilizar trituradoras de papel para la destrucción de documentación donde se alberguen datos personales y/o en contenedores de papel para su posterior destrucción, cuando dicha documentación deje de ser necesaria o pertinente, tal como se señala en las políticas internas en relación al manejo de información confidencial.

Todas las funciones de cada una de las personas con acceso a los datos personales y a los sistemas de información deberán estar definidas y documentadas en la Relación de Medidas de Seguridad correspondiente, conforme a la configuración que el departamento de Sistemas de CEDSA BEST, en su caso.

A fin de que todas las personas que intervienen en el tratamiento de datos personales conozcan sus funciones y obligaciones respecto a la confidencialidad de la información, la Coordinación de datos personales dará publicidad a las presentes obligaciones, así como a las obligaciones adicionales que deban observarse en razón de los datos personales tratados. 

5. TRANSFERENCIAS DE DATOS. RECURSOS CONTENIDOS EN UNA BASE DE DATOS PERSONALES

Por transferencia de datos se entiende “toda comunicación de datos realizada a persona distinta del Responsable o encargado del tratamiento” (art. 3, fracción XIX de la LFPD). Dadas las consecuencias e implicaciones que conlleva la transferencia de datos personales contenidos en las bases de datos de CEDSA BEST, para su realización se seguirán las siguientes reglas:

5.1 Regla general

Con carácter general, no se transferirán datos personales a terceros. Se exceptúan de dicha regla los siguientes supuestos:

1. Cuando la transferencia esté prevista en una Ley o Tratado en los que México sea parte;
2. Cuando la transferencia sea necesaria para la prevención o el diagnóstico médico, la prestación de asistencia sanitaria, tratamiento médico o la gestión de servicios sanitarios;
3. Cuando la transferencia sea efectuada a sociedades controladoras, subsidiarias o afiliadas bajo el control común del Responsable, o a una sociedad matriz o a cualquier sociedad del mismo grupo del Responsable que opere bajo los mismos procesos y políticas internas;
4. Cuando la transferencia sea necesaria por virtud de un contrato celebrado o por celebrar en interés del titular, por el Responsable y un tercero;
5. Cuando la transferencia sea necesaria o legalmente exigida para la salvaguarda de un interés público, o para la procuración o administración de justicia;
6. Cuando la transferencia sea precisa para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial, y
7. Cuando la transferencia sea precisa para el mantenimiento o cumplimiento de una relación jurídica entre el Responsable y el titular.

Podrán llevarse a cabo transferencias de datos personales en aquellos supuestos que se obtenga el consentimiento del titular, siempre que el Responsable-Receptor trate los datos personales conforme a lo establecido en el Aviso de Privacidad que el Responsable-Transferente (CEDSA BEST) le comunique en todos los casos.

5.2 Control de la transferencia efectuada

El departamento dueño de la base de datos a la que correspondan los datos personales objeto de transferencia, deberá informar a la Coordinación de datos personales sobre:

• La finalidad de la transferencia,
• Los datos que se transfieren,
• Contar con el consentimiento del titular, en los casos que aplique.
• La identidad y el domicilio del Responsable receptor de los datos.

Si la transferencia de datos se efectúa mediante la entrega de soportes (informáticos o papel), ésta deberá autorizarse por la Coordinación de datos personales, e identificar si la base de datos es considerada de riesgo alto o no, de acuerdo a las indicaciones de CEDSA BEST.  Por último, deberá anotarse en un Registro la transferencia de datos para tener mapeado las comunicaciones que se efectúan de acuerdo a lo que establezca el área de Protección de Datos.

6. INVENTARIO DE BASES DE DATOS QUE TRATAN DATOS PERSONALES

Las bases de datos existentes en CEDSA BEST con datos personales deberán estar en un Inventario de Bases de Datos. Estas bases de datos pueden ser clasificadas en:

6.1 Clasificación

1. En razón de su uso:

• CORPORATIVAS: Aquellas que son básicas para la gestión de CEDSA BEST, independientemente del entorno donde residan o del lugar de su ubicación y que normalmente son utilizadas por más de una Dirección y/o Gerencia.
• NO CORPORATIVAS: Aquellas que son utilizadas por una sola Dirección, Gerencia, Jefatura o Área de CEDSA BEST.

2. En razón de las medidas de seguridad que deberían adoptar tomando en cuenta la sensibilidad de los datos personales tratados:

• Bases de datos que deben contar con medidas de seguridad de nivel básico: Por defecto, todas las bases de datos automatizadas deben disponer de medidas de seguridad de nivel básico.
• Bases de datos que deben contar con medidas de seguridad de nivel medio: Contendrán las medidas de nivel básico más las de nivel medio aquellas bases de datos que traten, además de datos personales “genéricos”, datos de tipo financiero y/o patrimonial.
• Bases de datos que deben contar con medidas de seguridad de nivel alto: Contendrán medidas de nivel básico, medio y alto las bases de datos que traten datos personales considerados como sensibles por la LFPD.

Dependiendo de la clasificación de las bases de datos por el nivel de las medidas de seguridad que deberían adoptar en consideración de la sensibilidad de los datos tratados, CEDSA BEST implementará las medidas de seguridad que considere oportunas y aplicables para cada caso.

Lo anterior, con independencia de que por sí mismo o mediante la ejecución de un proyecto específico adopte en el plazo que considere pertinente las “Recomendaciones en materia de seguridad de datos personales” publicadas en el Diario Oficial de la Federación el pasado 30 de octubre de 2013 y todas las modificaciones que de ella deriven.

6.2. Creación de nuevas bases de datos

Cuando se trate de crear nuevas bases de datos personales distintas a las inventariadas en la fecha de publicación de la primera versión de esta Política de Protección de Datos Personales, se deberá contar con la autorización del Titular del Área correspondiente, que lo comunicará por escrito a la Coordinación de datos personales, informando de todos los extremos que figuran en el Inventario de Bases de Datos y dejando el correspondiente registro de dicha actualización.

Las pruebas previas a la creación o modificación de bases de datos, consistentes en la grabación o transmisión de datos personales, no se realizarán con datos reales salvo que se garantice el nivel de seguridad correspondiente al tipo de datos personales tratado.

6.3 Modificaciones o supresiones de bases de datos

Las supresiones de bases de datos, o las modificaciones que se realicen de cualquier extremo que figura en el Inventario, se comunicarán por parte del área Responsable a la Coordinación de datos personales y al Departamento de Sistemas para que estos últimos ejecuten las modificaciones procedentes en los sistemas de información, en el Inventario de Bases de Datos de CEDSA BEST y en la Relación de las Medidas de Seguridad de la base de datos afectada.

En aquellos casos en que se suprima una base de datos, deberá quedar constancia del destino de los datos personales, indicando si los mismos han sido suprimidos o transferidos a otra base de datos.

Se recomienda conservar durante al menos dos años la Relación de Medidas de Seguridad de cualquier base de datos que hubiese sido suprimida, a contar desde su fecha efectiva de baja en los sistemas de información.

7. MEDIDAS DE SEGURIDAD DE LAS BASES DE DATOS

A fin de garantizar la confidencialidad, disponibilidad e integridad de la información, se establecen una serie de medidas técnicas y organizativas aplicables en todo el ámbito de CEDSA BEST para garantizar la seguridad que deben reunir las bases de datos personales automatizadas y no automatizadas, centros de tratamiento, locales, equipos, sistemas, programas y las personas que intervengan en el tratamiento de los datos personales.

Por defecto, cualquier base de datos que trate datos personales debe adoptar las medidas de seguridad de nivel básico. Asimismo, que aquellas bases de datos que traten, entre otros, datos financieros y/o patrimoniales, deberán adoptar además medidas de seguridad de nivel medio. Por último, que aquellas bases de datos que traten datos personales sensibles, deberán adoptar medidas de seguridad de nivel alto, en adición a las medidas de nivel básico y medio.

Las medidas de seguridad que deben implementarse sobre las bases de datos serán acorde al sistema de tratamiento y la tipología de los datos personales tratados.

[1] Dicha normativa comprende, entre otras, las siguientes disposiciones: (i) Ley Federal de Protección de Datos Personales en Posesión de los Particulares (“LFPD”); (ii) Reglamento de la LFPD; (iii) Lineamientos del Aviso de Privacidad; (iv) RECOMENDACIONES en materia de seguridad de datos personales; (v) Modelo de Aviso de Privacidad Corto para Video-Vigilancia publicado por el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI, antes IFAI), y (vi) Recomendaciones aplicables emitidas por el INAI.