POLÍTICA GENERAL DE PRIVACIDAD Y PROTECCIÓN DE DATOS PERSONALES

La presente Política General de Privacidad y Protección de Datos Personales (“Política”) establece los lineamientos y contenidos básicos para la protección de datos personales de la compañía CLINICA DE ESPECIALIDADES MEDICAS SANTA INES S.A., (“Laboratorio”); asimismo, este documento permite establecer las pautas generales correspondientes para la protección de los datos personales que se tratan por y/o al interior de Laboratorio, con la finalidad de que el tratamiento de datos personales sea legítimo, controlado e informado, a efecto de garantizar el derecho a la protección de datos de las personas que sostienen alguna relación jurídica, o bien, algún tipo de interacción con Laboratorio en cumplimiento y alineación de las disposiciones de la Ley Orgánica de Protección de Datos Personales (“LOPDP”), su Reglamento de aplicación, y demás normativa aplicable en la materia (en conjunto “Normativa de Protección de Datos Personales”).

Esta política es de cumplimiento obligatorio para Laboratorio, incluyendo empleados, proveedores, clientes y terceros beneficiarios, así como todas aquellas áreas que conforman organizativamente a Laboratorio y que realicen cualquier tratamiento de datos personales. 

1.	RESPONSABLE DEL TRATAMIENTO

El responsable del tratamiento de datos y su información de contacto es: CLIMESANLAB S.A., con RUC No. 0190170756001.


2.	DELEGADO DE PROTECCIÓN DE DATOS PERSONALES

En virtud de lo establecido en la Normativa PDP, Laboratorio ha designado su Delegado de Protección de Datos Personales (“DPD”). Sus datos de contacto con los siguientes, en caso de que usted desee comunicarse:

Nombre	Diego Fernando Chico Jaramillo
Domicilio	Cuenca
Correo electrónico	dpo@sisantaines.com
Teléfono	0987107916

3.	DEFINICIONES

Para los efectos de la presente Política, se entenderá por:

4.	PRINCIPIOS

El tratamiento de los datos personales deberá realizarse al interior de Laboratorio, siguiendo en todo momento los principios que marca la LOPDP y que a continuación se señalan:

5.	ORIGEN DE LOS DATOS PERSONALES

Laboratorio recaba y trata datos personales que pueden provenir del propio titular o de terceros debidamente habilitados, en el marco de la prestación de servicios de salud, la gestión administrativa, la facturación/cobranza y el cumplimiento normativo aplicable. Los datos personales pueden obtenerse, entre otras, de las siguientes fuentes y medios:

•	Del titular o su representante (por ejemplo, padres/madres, representantes legales, tutores, curadores o sustitutos): en admisiones, preadmisiones, urgencias, hospitalización, consultas, formularios físicos o digitales, consentimientos informados, encuestas y canales de atención.
•	De profesionales y establecimientos de salud: por referencia/contrarreferencia, interconsultas, segundas opiniones, derivaciones, reportes clínicos, informes y resultados de exámenes realizados en terceros (laboratorios, centros de imagen, anatomía patológica, etc.).
•	De aseguradoras, medicina prepagada y financiadores (cuando aplique): validación de cobertura, preautorizaciones, tramitación de reembolsos y siniestros, y auditorías médicas/administrativas vinculadas a la prestación del servicio.
•	De entidades públicas o sistemas habilitados (cuando aplique y sea legalmente procedente): verificación de identidad, reportes obligatorios en materia sanitaria, vigilancia epidemiológica, y demás requerimientos de autoridad competente.
•	De canales digitales: sitio web, portales de pacientes, correo electrónico, mensajería, call center, agendamiento en línea, telemedicina y registros de interacción (incluyendo, cuando corresponda, grabaciones de llamadas).
•	De sistemas internos: historia clínica (física y/o electrónica), sistemas de laboratorio e imagen, farmacia, facturación, caja, cartera, contabilidad, gestión de calidad, seguridad del paciente y gestión de incidentes.
•	De sistemas de seguridad y control: videovigilancia, control de accesos, bitácoras de ingreso, credenciales y registros de visitas.

Cuando los datos personales no se obtengan directamente del titular, Laboratorio le informará sobre el tratamiento conforme los plazos y condiciones previstos en la normativa aplicable.

Laboratorio trata, de forma ejemplificativa pero no taxativa, las siguientes tipologías y categorías de Datos Personales:

6.	FINALIDADES, LEGITIMACIÓN Y DATOS PERSONALES OBJETO DE TRATAMIENTO

Laboratorio trata datos personales de pacientes, acompañantes y visitantes, proveedores, candidatos a empleo, colaboradores y otros titulares vinculados a su operación, con el fin de prestar servicios de salud, gestionar sus procesos administrativos y cumplir obligaciones legales.

El uso de los datos personales se realiza en virtud de una o más bases de legitimación que permiten el tratamiento conforme las siguientes condiciones:

a)	Consentimiento del titular de los datos.
b)	Cumplimiento de una obligación legal a la que está sujeto Laboratorio.
c)	Cumplimiento de una orden judicial a la que está sujeto Laboratorio.
d)	Que el tratamiento de datos personales se sustente en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos.
e)	Para la ejecución de medidas precontractuales a petición del titular o para el cumplimiento de obligaciones contractuales perseguidas por Laboratorio en calidad de responsable o encargado del tratamiento de datos personales o por un tercero legalmente habilitado.
f)	Para proteger intereses vitales, del interesado o de otra persona natural, como su vida, salud o integridad.
g)	Para tratamiento de datos personales que consten en bases de datos de acceso público.
h)	Para satisfacer un interés legítimo de Laboratorio o de tercero, siempre que no prevalezca el interés o derechos fundamentales de los titulares al amparo de lo dispuesto en esta norma. Laboratorio realizará los informes de ponderación en los casos que aplique para utilizar esta base legitimadora y los pondrá a disposición de los titulares y Autoridad de Protección de Datos Personales conforme la Normativa de Protección de Datos Personales.

En el caso de datos relativos a la salud, Laboratorio los trata principalmente para la prevención, diagnóstico, atención, tratamiento sanitario o social, y la gestión de los sistemas y servicios de asistencia sanitaria, observando estrictamente los principios de confidencialidad y el secreto profesional. Cuando la normativa lo exija o resulte aplicable, Laboratorio recabará el consentimiento previo y explícito del titular; sin perjuicio de ello, podrán existir supuestos en los que el consentimiento no sea requerido (por ejemplo, por interés público esencial en salud, salud pública, o emergencias que comprometan intereses vitales), siempre con medidas adecuadas de protección.

En algunos procesos (por ejemplo, agendamiento, recordatorios, priorización de atención o analítica de servicios), Laboratorio puede utilizar herramientas automatizadas de apoyo. En estos casos, el titular podrá solicitar información, presentar observaciones y pedir revisión humana cuando corresponda, conforme la normativa aplicable.

En virtud de lo expuesto, Laboratorio realiza el tratamiento de los datos personales con base en una o varias de las bases de legitimación previamente señaladas. A continuación, se detallan las distintas finalidades en las que Laboratorio sustenta el tratamiento de los datos personales descritos anteriormente.

6.1.	Proveedores:

6.2.	Pacientes - Clientes

6.3.	Candidatos a puestos de trabajo

6.4.	Trabajadores y demás titulares

Los tratamientos de datos personales correspondientes a trabajadores y demás titulares distintos a los mencionados en esta política se encuentran desarrollados y regulados en políticas internas específicas de cada titular del tratamiento, elaboradas conforme a la normativa de protección de datos personales.

Dichas políticas son socializadas de manera oportuna con los titulares de los datos, garantizando que estos conozcan las finalidades del tratamiento, las bases de legitimación aplicables, los derechos que les asisten y los mecanismos para su ejercicio, así como las medidas de seguridad implementadas para la protección de su información personal.


7.	PROTECCIÓN DE CATEGORÍAS ESPECIALES DE DATOS PERSONALES

a)	Se considerarán categorías especiales de datos personales los siguientes:

-	Datos sensibles;
-	Datos de niñas, niños y adolescentes;
-	Datos crediticios;
-	Datos de salud; y,
-	Datos de personas con discapacidad y de sus sustitutos, relativos a la discapacidad.

Con respecto al manejo de datos de categorías especiales por parte de Laboratorio, está restringido y solamente se realizará, siempre que exista una justificación debidamente sustentada, salvo que sea necesario por mandato de ley, o bien, con el consentimiento previo del titular.

b)	Queda prohibido el uso de datos personales sensibles, salvo alguna de las siguientes circunstancias:

I.	El titular haya dado su consentimiento explícito para el tratamiento de sus datos personales, especificándose claramente sus fines.
II.	El tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos de Laboratorio o del titular en el ámbito del Derecho laboral y de la seguridad y protección social.
III.	El tratamiento es necesario para proteger intereses vitales del titular o de otra persona natural, en el supuesto de que el titular no esté capacitado, física o jurídicamente, para dar su consentimiento.
IV.	El tratamiento se refiere a datos personales que el titular ha hecho manifiestamente públicos.
V.	El tratamiento se realiza por orden de autoridad judicial.
VI.	El tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del titular.
VII.	Cuando el tratamiento de los datos de salud se sujete a las disposiciones contenidas en la LOPDP.

c)	Laboratorio únicamente tratará datos personales de niños, niñas y adolescentes cuando cuente con una base de legitimación que lo permita.

d)	Respecto de los datos personales de personas fallecidas, Laboratorio deberá prever los mecanismos adecuados para atender cualquier solicitud de los titulares de derechos sucesorios de las personas fallecidas, con el objeto de solicitar el acceso, rectificación y actualización o eliminación de los datos personales del causante, siempre que el titular de los datos no haya, en vida, indicado otra utilización o destino para sus datos. 

En caso de fallecimiento de niñas, niños, adolescentes o personas que la normativa reconozca como incapaces, las facultades de acceso, rectificación, actualización o eliminación podrán ser ejercidas frente a la organización por quien hubiese sido su último representante legal. 

e)	Como una buena práctica, respecto del tratamiento de datos personales crediticios, salvo prueba en contrario será legítimo y lícito el tratamiento de datos destinados a informar sobre la solvencia patrimonial o crediticia, incluyendo aquellos relativos al cumplimiento o incumplimiento de obligaciones de carácter comercial o crediticia que permitan evaluar la concertación de negocios en general, la conducta comercial o la capacidad de pago del titular de los datos, en aquellos casos en que Laboratorio los obtenga de fuentes de acceso público o procedentes de informaciones facilitadas por el acreedor. 

Tales datos pueden ser utilizados solamente para esa finalidad de análisis y no serán comunicados o difundidos, ni podrán tener cualquier finalidad secundaria. La protección de datos personales crediticios se sujetará a lo previsto en la LOPDP, en la legislación especializada sobre la materia y demás normativa dictada por la Autoridad de Protección de Datos Personales. 

8.	CONSENTIMIENTO DEL TITULAR

En los casos en los que Laboratorio realice el tratamiento de datos personales en virtud del consentimiento del titular, se solicitará su autorización y se le informará de manera particular sobre el uso que se les dará a sus datos personales. El consentimiento contendrá los siguientes elementos:

•	Libre: que se encuentre exento de vicios.
•	Específico: determinad de manera expresa los medios y fines del tratamiento.
•	Informado: en cumplimiento del principio de transparencia.
•	Inequívoco: que no exista lugar a dudas o interpretaciones sobre su otorgamiento.

El titular podrá revocar su consentimiento en cualquier momento a través de los datos de contacto proporcionados detallados al inicio de esta Política y apegándose al procedimiento que se señala en la sección 9 de la presente Política, lo anterior, sin que afecte la licitud del tratamiento realizado antes de la revocación.

9.	DERECHOS DE LOS TITULARES

Laboratorio garantiza el ejercicio de los siguientes derechos reconocidos en la LOPDP:

Sin perjuicio de lo anterior, la LOPDP establece que los derechos de rectificación, actualización, eliminación, oposición, anulación y portabilidad no proceden en los siguientes casos:

•Cuando el que solicita ejercer el derecho no es el titular, o el representante legal del titular no se encuentra debidamente acreditado.
•Aceptar el derecho podría causar perjuicios a los derechos, o se afecten intereses legítimos de terceros.
•Los datos son necesarios para proteger el interés vital del titular u otra persona.
•Los datos personales son necesarios para cumplir una orden judicial, resolución o mandato motivado de una autoridad competente.
•Los datos personales son necesarios para el cumplimiento de una obligación legal o contractual.
•Aceptar el derecho podría obstaculizar actuaciones judiciales o administrativas en curso.
•Los datos personales son necesarios para el ejercicio o defensa frente a reclamos o recursos.

10.	EJERCICIO DE LOS DERECHOS

Para el ejercicio de los derechos anteriormente mencionados en la presente Política, el Titular podrá contactarse con Laboratorio, cumpliendo con los requisitos establecidos en el artículo 13 del Reglamento, por medio de los siguientes canales:

•	Envío de solicitud física a la siguiente dirección: Daniel Córdova T. 2-67 y Agustín Cueva, edificio del Hospital Santas Inés de la ciudad de Cuenca, la entrega debe efectuarse en el módulo de Atención al Cliente.
•	Envío de solicitud digital a través del siguiente correo:asisgerencia@sisantaines.com
•	Envío de solicitud a través del formulario en línea en el siguiente enlace: Formulario de solicitud de ejercicio de derechos

Laboratorio atenderá las solicitudes de ejercicio de derechos en un plazo máximo de quince días contados desde la recepción de esta, a menos que sea necesario que el Titular aclare o amplíe su solicitud. En este caso, el Laboratorio solicitará al Titular que aclare o amplie en un término de 5 días laborables desde la recepción de la solicitud. En este supuesto, el Titular tendrá 10 días laborables, contados desde el día siguiente a la notificación, para proporcionar dicha aclaraciones o ampliaciones, caso contrario, el Laboratorio archivará la solicitud. Si esto ocurre, Laboratorio notificará al Titular. Sin embargo, esto no impedirá que el Titular presente una nueva solicitud si así le parece.

Si tuviera cualquier duda, cuestión o reclamación sobre la forma en la que al tratamos sus datos personales, puede ponerse en contacto con el Laboratorio en los contactos señalados en este apartado.

Sin perjuicio de lo anterior, podrá presentar un reclamo directamente frente a la Autoridad de Protección de Datos Personales cuando considere que la respuesta dada a su solicitud vulnera sus derechos o cuando su solicitud sea atendida fuera del plazo previsto en la Normativa de Protección de Datos Personales.

La presentación de solicitudes para el ejercicio de derechos será gratuita.

Ejercicio de Derechos de Personas Fallecidas

Los titulares de derechos sucesorios de las personas fallecidas podrán dirigirse a Laboratorio con el objeto de solicitar el acceso, rectificación y actualización o eliminación de los datos personales del causante, siempre que el titular de los datos no haya, en vida, indicado otra utilización o destino para sus datos.

En caso de fallecimiento de niñas, niños, adolescentes o personas que la ley reconozca como incapaces, quien hubiese sido su último representante legal podrá solicitar a Laboratorio el acceso, rectificación, actualización o eliminación.

A esta solicitud el representante legal deberá acompañarla con la documentación pertinente.

11.	TRANSFERENCIAS O COMUNICACIONES NACIONALES O INTERNACIONALES DE LOS DATOS PERSONALES

Laboratorio podrá transferir o comunicar sus datos personales a terceros cuando: (i) sea necesario para cumplir con las finalidades antes indicadas; (ii) exista una obligación legal o una orden de autoridad competente; o (iii) usted haya autorizado expresamente dicha transferencia.

Los principales destinatarios son:

a.	Entidades del sector público competentes y autoridades de control que tengan la facultad de solicitar información sobre tus datos. Por ejemplo:

•	Ministerio de Trabajo.
•	Instituto Ecuatoriano de Seguridad Social (IESS).
•	Instituto de Seguridad Social de las Fuerzas Armadas (ISSFA).
•	Instituto de Seguridad Social de la Policía Nacional (ISSPOL).
•	Servicio de Rentas Internas (SRI).
•	Superintendencia de Compañías, Valores y Seguros.
•	Jueces y tribunales.
•	Fiscalía General del Estado.
•	Policía Nacional.
•	Superintendencia de Protección de Datos Personales.

b.	Auditores externos en cumplimiento de obligaciones contractuales y legales aplicables a Laboratorio.

Si compartimos los Datos Personales, nos aseguraremos de que existan mecanismos adecuados para protegerlos de acuerdo con lo señalado en la Normativa de Protección de Datos Personales.

En el evento de que la transferencia y/o comunicación suponga una transferencia internacional de Datos Personales, en principio, esta se realizará a jurisdicciones que cuenten con un nivel adecuado de protección. Sin embargo, en caso de que la transferencia se realice a una jurisdicción con un nivel de protección menor al de Ecuador, Clínica Santa Inés exigirá al destinatario, que cuente con medidas de seguridad adecuadas que garanticen la confidencialidad, disponibilidad e integridad de los Datos Personales.

Podrá solicitar en cualquier momento más información sobre las garantías tomadas en cada caso, contactando con nuestro DPD.

12.	ACCESO A DATOS PERSONALES POR PARTE DE ENCARGADOS DEL TRATAMIENTO DE DATOS PERSONALES

Laboratorio informa que, para la adecuada prestación de sus productos y/o servicios, podrá contratar a proveedores que actúen como encargados del tratamiento, quienes podrán acceder a Datos Personales únicamente en la medida necesaria para ejecutar los servicios contratados y siguiendo las instrucciones documentadas de Laboratorio.

En estos casos, el acceso y tratamiento de datos personales por parte de dichos terceros no constituye una transferencia o comunicación de datos por cuenta propia, sino un tratamiento por encargo, realizado en nombre de Laboratorio, en su calidad de responsable del tratamiento, conforme a la Normativa de Protección de Datos Personales.

Los proveedores que Laboratorio contrata se agrupan en las siguientes categorías:: proveedores de servicios tecnológicos e informáticos, empresas de seguridad, empresas de mensajería, servicios de transporte, empresas de gestión y mantenimiento de sistemas, infraestructura e inmuebles, servicios logísticos, servicios de tasación, servicios de gestión de cobro y recuperación de cartera por cuenta de terceros, proveedores de servicio de medios de pago, servicios de facturación electrónica, entidades bancarias o financieras, servicios de asesoramiento jurídico y tributario, agencias de publicidad y de servicios de marketing y comunicación, y servicios profesionales generales, entre otros necesarios para la operación de Laboratorio.

13.	CONSERVACIÓN DE LOS DATOS PERSONALES

Los datos personales se conservarán en bases de datos de propiedad o administradas por Laboratorio durante el tiempo necesario para cumplir con las finalidades informadas en esta Política y, posteriormente, por el plazo adicional que resulte necesario para atender posibles obligaciones legales, contractuales o la prescripción de acciones legales que pudieran derivarse.

Cumplidas las finalidades del tratamiento y, en su caso, vencidos los plazos legales de conservación, Laboratorio procederá a la eliminación segura o anonimización de los datos personales, de modo que ya no sea posible identificar a los titulares. En casos justificados, los datos podrán mantenerse bloqueados, es decir, sin ser utilizados para nuevas finalidades, únicamente para la atención de reclamaciones o el cumplimiento de obligaciones legales.

14.	MEDIDAS DE SEGURIDAD

Laboratorio adopta medidas técnicas, organizativas, jurídicas y físicas para proteger los datos personales y mitigar riesgos de acceso no autorizado, pérdida, alteración, uso indebido o divulgación. Las medidas de seguridad implementadas se adoptan en consideración de la naturaleza y volumen de los datos personales, el estado de la técnica, los costos de su aplicación, los riesgos y las mejores prácticas.

En el ámbito técnico, Laboratorio utiliza sistemas con usuarios y contraseñas, se asignan permisos y accesos por perfiles y roles, existen restricciones específicas para la modificación, edición o eliminación de información, se emplean firewalls y otras herramientas de ciberseguridad para proteger las redes y dispositivos frente a accesos no autorizados y se realizan copias de respaldo de la información.

En cuanto al ámbito organizativo, Laboratorio brinda capacitaciones periódicas a su personal sobre protección de datos personales, cuenta con políticas y procedimientos internos para la atención de solicitudes de ejercicio de derechos, gestión de incidentes de seguridad, protección de datos personales desde el diseño y por defecto, entre otros.

Respecto a las medidas jurídicas, Laboratorio exige la firma de acuerdos o cláusulas de confidencialidad y de protección de datos personales a los colaboradores y terceros que, por la naturaleza de sus funciones, puedan acceder a datos personales. De esta forma, se refuerza el compromiso de todas las personas involucradas en el tratamiento de respetar la privacidad y el carácter reservado de la información.

Laboratorio revisa y mejora de forma continua sus medidas de seguridad. Para ello, evalúa periódicamente su efectividad, las ajusta frente a nuevos riesgos, avances tecnológicos o cambios normativos. Con todo ello, Laboratorio busca adoptar un nivel de seguridad adecuado y coherente con los riesgos asociados al tratamiento de los datos personales.

15.	NEGATIVA A LA ENTREGA O PROPORCIONAR DATOS PERSONALES ERRÓNEOS O INEXACTOS

En caso de que el titular opte por negarse a entregar sus datos personales, o se oponga al tratamiento, Laboratorio no podrá ayudarle con sus requerimientos, toda vez que no podrá realizar el tratamiento de sus datos personales. Por ello, Laboratorio no podrá cumplir con las finalidades informadas.

En el evento que proporcione datos personales que sean erróneos o inexactos, Laboratorio no podrá cumplir con las finalidades informadas. Por lo anterior, el titular es el único y exclusivo responsable de garantizar que los datos personales que entregue sean verdaderos, completos y actualizados.

16.	CONTRATACIÓN DE PROVEEDORES

Todos los proveedores que manejen datos personales proporcionados por Laboratorio, deberán contar con las medidas adecuadas para garantizar la confidencialidad y seguridad de los datos personales, esto incluye, pero no se limita, a contar con una política de protección de datos, certificaciones, medidas técnicas y organizativas correspondientes, entre otros. 

Los proveedores de Laboratorio deberán suscribir un Acuerdo de Tratamiento de Datos (“DPA”), en el cual se establecerán las condiciones del tratamiento de los datos personales, así como las medidas técnicas que serán adoptadas. En caso de no suscribir un DPA, en el contrato se deberán incorporar cláusulas respecto del manejo de datos personales. 

Laboratorio no podrá suscribir contratos de prestación de servicios en los cuales se incluya o se involucre datos personales, sin que el proveedor (en calidad de encargado del tratamiento), cuente con las medidas técnicas, físicas, jurídicas y organizativas adecuadas, y sin que el proveedor suscriba su acuerdo de procesamiento de datos personales.

17.	EVALUACIÓN Y CONTROL

Laboratorio realizará procesos de evaluación y control respecto del cumplimiento de la LOPDP y las medidas técnicas de seguridad involucradas. Laboratorio podrá establecer una política de seguimiento de evaluación y control para verificar el cumplimiento de las obligaciones establecidas en la LOPDP.

Laboratorio podrá solicitar medios de verificación o realizar controles a los proveedores que manejen datos personales. Esto se establecerá en el DPA suscrito con el proveedor o en el contrato de prestación de servicios.

18.	CAPACITACIÓN

Laboratorio realizará capacitaciones periódicas a todo su personal respecto de los principios, derechos y obligaciones establecidas en la LOPDP y adoptará las acciones formativas y de concienciación correspondientes de forma periódica para que todas las personas conozcan la presente Política y los procesos de protección de datos personales, y desarrollen sus funciones de conformidad con los mismos.

Por lo cual, todo el personal sin excepción alguna recibirá capacitación continua y programas de sensibilización con relación a la protección de datos personales y esta Política. Como parte del programa de mejora continua, los programas de capacitación deben ser evaluados para lo cual se puede hacer uso de exámenes teóricos o prácticos que permitan indicar el grado de conocimiento y/o entendimiento de la capacitación proporcionada o difusión realizada.

19.	APROBACIÓN Y ENTRADA EN VIGENCIA

La Política será revisada con periodicidad anual de acuerdo con las actividades comerciales y objetivos estratégicos de Laboratorio. Adicionalmente, La Política podrá ser revisada y adaptada de conformidad con los cambios legales, regulatorios o resoluciones de la Autoridad Competente.

La política fue aprobada el 17 de marzo de 2026.