Tratamiento diligente

1. Obtención:

Los datos personales podrán ser recabados mediante los siguientes medios o vías: presencialmente, llamada telefónica, mensajes de textos, correo electrónico o bien, que hayan ido transferidos por un tercero. Asimismo, ciertos departamentos de la empresa recabarán datos personales para fines debidamente necesarios para el cumplimiento de ciertas funciones; por ejemplo:

      a. Administración y Finanzas: Datos para emisión de facturas y comprobantes de pagos, transferencias electrónicas interbancarias, así como de identificación de socios, administradores y directivos para el desarrollo de asambleas, minutas, reportes, balances, entre otros.

      b. Recursos Humanos: Datos de identificación de candidatos y trabajadores, así como la conformación de los expedientes laborales, exámenes médicos, entrevistas relacionadas con incidentes psicosociales, prevención de riesgos y accidentes de trabajo y demás que sean requeridas por normatividades y autoridades laborales.

      c. Comercialización: Datos para la elaboración y envío de propuestas comerciales (cotizaciones), órdenes de compra, estudios estadísticos para el mejoramiento de productos y servicios, entre otros.

2. Resguardo:

La empresa seleccionará a una persona que vigilará las formas de recolección de datos personales y la correcta aplicación de las medidas de seguridad que garanticen un debido resguardo de los datos. De igual manera, tendrá el control de un inventario de los datos recolectados, mismo que actualizará constantemente. La presente política establece las medidas de seguridad y el diseño del inventario de datos personales.

3. Bloqueo:
Aquellos datos personales que ya no sean necesarios para el uso que fueron requeridos serán bloqueados para que ningún tercero accedo a ellos; sin embargo, se mantendrán resguardados hasta el tiempo que estipule la relación contractual o bien, por si alguna autoridad los solicite mediante oficio.

4. Supresión:

Tanto los datos bloqueados como aquellos otros que fueron recabados y que ya no serán utilizados por la terminación de la relación contractual, deberán eliminarse de la base de datos siempre y cuando sea solicitado por el titular de dichos datos. La supresión de los datos tendrá que ser lo suficientemente segura, de tal manera que sea imposible su recuperación. Ningún dato será eliminado sin la previa autorización de su titular o por disposición judicial.

5. Transferencia o remisión:

Se podrán transferir datos personales a terceros, siempre y cuando se cuente con el consentimiento por parte de los titulares y bajo los siguientes parámetros:

      a. Que hayan sido solicitados por alguna autoridad gubernamental mediante oficio.

      b. Se celebrará un convenio con aquellos terceros que soliciten la transferencia de datos, el cual tendrá que especificar, por lo menos: la (i) finalidad de la transferencia, (ii) los datos a transferir,

(iii) confidencialidad y penalizaciones en caso de divulgar los datos transferidos.

      c. Se verificará que quienes reciban la transferencia cuenten con una política de protección de

datos similar a la presente, así como las medidas de seguridad pertinentes.

      d. Se mantendrá comunicación constante para consultar y vigilar el resguardo de los datos

personales transferidos.

​

Vulneración

Se entenderá que habrá vulneración de datos personales cuando sucedan los siguientes supuestos:

      a. Pérdida o destrucción no autorizada.

      b. Robo, extravío o copia no autorizada.

      c. Uso, acceso o manejo no autorizado.

      d. Daño, alteración o modificación no autorizada.

      e. Transferencia no autorizada o llevada a cabo sin los lineamientos de seguridad.

​

En caso de que de algún integrante de la empresa detecte algún tipo de vulneración de los datos personales que estén bajo su resguardo, dará aviso inmediato al comisionado para que éste lleve a cabo una investigación conforme a los lineamientos establecidos más adelante. El aviso podrá darse a los medios de contacto señalados en el rubro de la presente política.

​

Lineamientos de investigación

​

El comisionado se entrevistará con la persona que haya reportado algún tipo de vulneración, de igual manera, podrá indagar con las personas que considere pertinentes y que estén probablemente relacionadas con el incidente. El comisionado podrá hacer lo mismo cuando por su cuenta propio detecte alguna vulneración que no necesariamente le haya sido reportada, pero que la haya identificado en sus facultades de supervisión.

Independientemente de lo averiguado y asentado en el Informe, el comisionado tendrá la obligación de llevar a cabo un control de todos los informes levantados, además de cumplir con lo siguiente:

      a. Firmar el reporte y resguardarlo físicamente y en sus respectivos controles digitales.

      b. Enviarlo a los correos electrónicos del administrador general único o presidente del consejo de

administración, director general y comisario de la sociedad.

      c. En caso de que sea necesario ejercer una o varias acciones legales o avisar a autoridades

administrativas, lo hará saber en el propio reporte al administrador general único o presidente del consejo de administración.

 

En ninguna circunstancia, el comisionado tendrá la facultad de rescindir una relación laboral ni proponer o llevar a cabo alguna sanción; por lo que, en caso de que algún tipo de vulneración de datos personales haya sido generada por un acto doloso u omiso, error o descuido por parte de los trabajadores, serán los administradores quienes decidirán las sanciones pertinentes, conforme a la Ley Federal de Trabajo, Reglamento Interno de Trabajo y demás políticas internas de la empresa.

​

Medidas de seguridad

El comisionado, así como los encargados de las áreas de trabajo participarán conjuntamente para el debido cumplimiento de las siguientes medidas de seguridad administrativas, físicas y técnicas:

​

I. Inspección:

       a. Se identificará a las áreas de trabajo que tendrán la facultad para solicitar datos personales, el resto lo tendrán prohibido.

       b. Cada área facultada sabrá cuáles datos personales son los que se tienen que solicitar y conocerá su respectiva clasificación; de igual manera, se cerciorarán de que los titulares de datos personales sensibles acepten y firmen su respectivo aviso de privacidad.

       c. Previo a una contratación laboral, los encargados de reclutamiento de personal darán a conocer a los candidatos el aviso de 

       d. Según lo establezca el plan de trabajo del comisionado supervisará que las áreas de trabajo facultadas estén solicitando datos personales conforme a los lineamientos de la presente política, tomándose en cuenta lo siguiente:

              i. Expedientes laborales: contarán con su respectivo aviso de privacidad, el cual será firmado por el trabajador desde el momento de su contratación.

              ii. Expedientes con terceros (clientes, proveedores, asociados y demás terceros): estarán integrados por su respectivo aviso de privacidad, el cual será firmado como anexo a los contratos de prestación de servicios, compraventa, comodato, mutuo, asociación en participación, distribución, comisión mercantil u otros. En caso de que la relación comercial no se determine mediante un contrato por escrito, la emisión del aviso de privacidad se hará por medio electrónicos, especialmente por correo institucional de la empresa.

              iii. Cotizaciones y/o órdenes de compra: contarán con una cláusula de protección de datos personales.

              iv. Correos electrónicos: Todas las direcciones de correos electrónicos contarán con una leyenda de protección de datos personales al calce de la firma.

       e. Para el caso de los datos personales que no sean objeto de resguardo, ya sea porque terminó una relación contractual o bien porque el titular solicitó su eliminación, se garantizará su bebido borrado de los sistemas digitales, de igual manera de destruirá toda documentación impresa que contenga dichos datos.

       f. La documentación impresa que contenga datos personales será resguardada en gabinetes y/o archiveros lo suficientemente seguros, con llave de seguridad y de preferencia de acero inoxidable para evitar daños, desgastes o destrucción de dicha documentación.

       g. La papelería que contenga datos personales recolectados estará a disposición únicamente al personal autorizado por el encargado de cada área de trabajo.

       h. Los visitantes y/o personas que presten servicios especializados dentro de las instalaciones de la empresa no podrán acceder a áreas que resguarden datos personales. Los equipos de cómputo de escritorio o portátiles contarán con antivirus, Firewall y VPN (entre otros) lo suficientemente funcionales para evitar que los datos personales resguardados en tales dispositivos no sean eliminados, dañados o sustraídos.

       i. Los empleados que tengan asignados equipos de cómputo portátiles y que, por la naturaleza de sus funciones, tengan que ser usados fuera de las instalaciones de la empresa deberán de firmar una carta responsiva mediante la cual se obligan a transferir al comisionado los datos personales que llegasen a solicitar.

       k. El comisionado, así como la comisión mixta de capacitación y adiestramiento organizarán una capacitación a todos los colaboradores mediante la cual expliquen y divulguen, por lo menos, los siguientes temas:

• Definiciones de la Ley Federal de Protección de Datos Personales en Posesión de Particulares

• Principios de PDP

• Modelos de aviso de privacidad (corto, simplificado e integral) y su respectivo contenido

• Derechos ARCO

• Tratamiento correcto de datos personales

• Formas de transferencia de datos personales

• Sanciones relacionadas con la PDP

• Estructura de la Política de PDP