EN RELACIÓN CON LOS PROVEEDORES

Los datos personales de los proveedores de la BVG se sujetan a tratamiento con el objetivo de efectuar las gestiones pertinentes para el desarrollo de la etapa precontractual, contractual y post-contractual con la organización, respecto de la relación comercial con el proveedor.

La Base de legalidad para el tratamiento es el cumplimiento de un contrato; cumplimiento de obligaciones legales, interés legítimo; y el consentimiento.

EN RELACIÓN CON LOS CONTACTOS DE LOS SERVICIOS DE CAPACITACIÓN

Los registros de estos datos personales son utilizados para el desarrollo de actividades de promoción y divulgación, propias de los servicios de Educación y Capacitación que presta la BVG.

La Base de legalidad para el tratamiento es el interés legítimo y el consentimiento.

EN RELACIÓN CON LOS CLIENTES DEL GIRO DEL NEGOCIO

Los datos personales de los clientes que mantienen relación comercial con la BVG, se sujetan a tratamiento con el objetivo de procesar y difundir información relacionada con el mercado de valores, cumpliendo con la Ley del Mercado de Valores y demás normas vigentes, así como con las disposiciones de los órganos de control.

Estos datos se utilizan en la ejecución de los procesos transaccionales y operativos de BVG, los cuales con la aprobación de los titulares podrán ser compartidos con proveedores de servicios de BVG, específicamente para alojamiento en sistemas y mantenimiento, servicios de análisis de mercado, servicios de mensajería por correo electrónico, servicios de difusión del mercado de valores, etc. En consecuencia, se entiende que todos los clientes de BVG al suministrar su información, automáticamente aceptan lo dispuesto en la presente política y están concediendo a terceres autorizados el acceso a sus datos personales.

La Base de legalidad para el tratamiento es el cumplimiento de un contrato; cumplimiento de obligaciones legales, interés legítimo y el consentimiento.

EN RELACIÓN CON LOS EMPLEADOS

Los datos personales de los colaboradores de la BVG se sujetan a tratamiento con el objetivo de efectuar todas las actividades relacionadas a la etapa precontractual, contractual y postcontractual con la organización, respecto a la relación laboral, cumpliendo con las disposiciones de las entidades de control aplicables.

La Base de legalidad del tratamiento es el cumplimiento de un contrato; cumplimiento de obligaciones legales, interés legítimo; y el consentimiento.

DERECHOS DE LOS TITULARES DE LOS DATOS PERSONALES

La BVG se compromete a realizar las actividades necesarias para garantizarlos derechos de los Titulares de los datos personales establecidos en la Ley Orgánica de Protección de Datos Personales:

• Derecho a la información.

• Derecho de acceso.

• Derecho de rectificación y actualización.

• Derecho de eliminación.

• Derecho de oposición.

• Derecho a la portabilidad.

• Derecho a la suspensión del tratamiento.

• Derecho a no ser objeto de una decisión basada única o parcialmente en valoraciones automatizadas.

• Derecho a la protección especial de datos personales de niñas, niños y adolescentes.

• Derecho de consulta.

• Derecho a la educación digital.

PERSONAS QUE PUEDEN EJERCER LOS DERECHOS DEL TITULAR

De acuerdo con la Ley Orgánica de Protección de Datos Personales, los derechos de los Titulares podrán ejercerse por las siguientes personas:

• Por el Titular, quien deberá demostrar su identidad en forma suficiente por los distintos medios que le establezca la BVG.

• Por el representante y/o apoderado del Titular, previa acreditación de la representación o apoderamiento, conforme con las disposiciones legales.

• Por estipulación a favor de otro o para otro conforme con las disposiciones legales.

PROCEDIMIENTO PARA EL EJERCICIO DE LOS DERECHOS DE LOS TITULARES

Los Titulares de los datos personales o persona autorizada según lo establecido en la cláusula "EN RELACIÓN CON LOS PROVEEDORES" de esta política, podrán ejercer su derecho a conocer, actualizar, rectificar o suprimir información, física o digital, así como también podrán revocar la autorización otorgada al responsable para el tratamiento de los datos personales.

CONSULTAS

La BVG llevará el registro de la información sobre la fecha de recibo de la consulta, identidad del solicitante y el contenido de la misma.

La respuesta a la consulta deberá comunicarse al solicitante en un término máximo de quince (15) días hábiles contados a partir de la fecha de recibo de la misma. Cuando no fuere posible atender la consulta dentro de dicho término, se informará al solicitante, expresando los motivos de la demora y señalando la fecha en que se atenderá su consulta, la cual en ningún caso podrá superar los cinco (5) días hábiles siguientes al vencimiento del primer término.

RECLAMOS

Los reclamos tienen por objeto corregir, actualizar, suprimir datos o elevar una queja por el presunto incumplimiento de cualquiera de los deberes establecidos en la Ley Orgánica de Protección de Datos Personales.

El reclamo debe contener como mínimo la siguiente información:

• Nombre e identificación del Titular del dato o la persona legitimada.

• Descripción precisa y completa de los hechos que dan lugar al reclamo.

• Dirección electrónica para remitir la respuesta e informar sobre el estado del trámite.

• Documentos y demás pruebas pertinentes que quiera hacer valer.

Si el reclamo resulta incompleto, se requerirá al solicitante dentro de los cinco (5) días hábiles siguientes a la recepción del reclamo que subsane las fallas. Transcurridos diez (10) días desde la fecha del requerimiento, sin que el solicitante presente la información requerida, se entenderá que ha desistido del reclamo. Durante este término los datos personales se mantendrán vigentes dentro de los registros, físico o digital, de la BVG.

Todos los reclamos se incluirán en una base de datos o sistema de información, conteniendo al menos nombre del titular, fecha de solicitud, motivo, estado.

El término máximo para atender el reclamo será de quince (15) días hábiles contados a partir del día siguiente a la fecha de su recepción. Cuando no fuere posible atender el reclamo dentro de dicho término, se informará al solicitante los motivos de la demora y la fecha en que se atenderá su reclamo, la cual en ningún caso podrá superar los ocho (8) días hábiles siguientes al vencimiento del primer término.

DEBERES EN RELACIÓN CON EL TITULAR

• Garantizar al Titular, en todo tiempo, el pleno y efectivo ejercicio del derecho de hábeas data, es decir: conocer, actualizar o rectificar sus datos personales cuando ello sea procedente.

• Solicitar y conservar copia de la respectiva autorización otorgada por el Titular.

• Informar debidamente al Titular sobre la finalidad de la recolección de sus datos personales y los derechos que le asisten en virtud del consentimiento otorgado.

• Tramitar las consultas y reclamos formulados por el Titular.

• Informar a solicitud del Titular sobre el uso dado a sus datos.

• Solicitar y conservar, el consentimiento por parte del titular sobre el tratamiento de sus datos biométricos y sensibles especificando en toda ocasión la finalidad que corresponda, garantizando los mecanismos de almacenamiento, confidencialidad, integridad y seguridad sobre los mismos. De igual forma, dar a conocer y/o informar al titular en todo momento donde puede consultar la política de privacidad de la organización.

DEBERES EN RELACIÓN CON LOS DATOS PERSONALES

• Tratar y conservar los datos personales bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

• Actualizar la información cuando sea necesario.

• Rectificar los datos personales cuando ello sea procedente.

• Tramitar las consultas y reclamos formulados por el Titular.

• Bloquear los datos personales cuando la solicitud o pruebas otorgadas por el titular den cabida a un riesgo de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para proteger los datos personales en el transcurso de la toma de decisión definitiva.

DEBERES CUANDO SE UTILIZAN LOS SERVICIOS DE UN ENCARGADO DEL TRATAMIENTO

• Garantizar que los datos personales que se suministren al Encargado del Tratamiento sean veraces, completos, exactos, actualizados, comprobables y comprensibles

• Actualizar la información, comunicando de forma oportuna al Encargado del Tratamiento todas las novedades respecto de los datos que previamente le haya suministrado y adoptar las demás medidas necesarias para que la información suministrada a este se mantenga actualizada.

• Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del Tratamiento.

• Suministrar al Encargado del Tratamiento, según el caso, únicamente datos cuyo tratamiento esté previamente autorizado de conformidad con lo previsto en la ley.

• Exigir al Encargado del Tratamiento en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del Titular.

• Informar al Encargado del Tratamiento cuando determinada información se encuentra en discusión por parte del Titular, una vez se haya presentado la reclamación y no haya finalizado el trámite respectivo.

• Junto con el Encargado las pautas sobre las transferencias y/o transmisiones internacionales de datos a países autorizados, en los casos que corresponda.

DEBERES FRENTE A LA AUTORIDAD DE PROTECCIÓN DE DATOS PERSONALES

• Informar a la autoridad de protección de datos personales cuando se presenten violaciones a la seguridad, privacidad y existan riesgos en la administración de los datos personales de los Titulares.

• Cumplir las instrucciones y requerimientos que imparta la autoridad de protección de datos personales.

ÁREA RESPONSABLE PARA ATENDER REQUERIMIENTOS RELACIONADOS A LA LEY ORGÁNICA DE PROTECCIÓN DE DATOS PERSONALES

El Área Legal será responsable al interior de la BVG de resolver peticiones, consultas y reclamos relacionados con los datos personales, en los tiempos establecidos en la Ley Orgánica de Protección de Datos Personales y su reglamento.

Información de contacto:

DEBERES DEL ENCARGADO DE DATOS PERSONALES

• Implementar todas las medidas de seguridad adecuadas y necesarias, entendiéndose por tales las aceptadas por el estado de la técnica, sean estas organizativas, técnicas o de cualquier otra Índole, para proteger los datos personales frente a cualquier riesgo, amenaza, vulnerabilidad, atendiendo a la naturaleza de los datos de carácter personal, al ámbito y el contexto.

• Responsable de las infracciones derivadas del incumplimiento de las condiciones de tratamiento de datos personales establecidas en la Ley de Protección de Datos Personales.

• Estar sujeto al deber de confidencialidad, de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas organizativas apropiadas. Esta obligación será complementaria del secreto profesional de conformidad con cada caso.

• Tratar únicamente los mismos conforme las instrucciones del responsable y que no los utilizará para finalidades diferentes a las señaladas en el contrato, ni que los transferirá o comunicará ni siquiera para su conservación a otras personas.

• Sujetarse al principio de seguridad de datos personales, para lo cual deberá tomar en cuenta las categorías y volumen de datos personales, el estado de la técnica, mejores prácticas de seguridad integral y los costos de aplicación de acuerdo a la naturaleza, alcance, contexto y los fines del tratamiento, así como identificar la probabilidad de riesgos.

• Evidenciar que las medidas adoptadas e implementadas mitiguen de forma adecuada los riesgos identificados.

• Tomar las medidas adecuadas y necesarias, de forma permanente y continua, para evaluar, prevenir, impedir, reducir, mitigar y controlar los riesgos, amenazas y vulnerabilidades, incluidas las que conlleven un alto riesgo para los derechos y libertades del titular, de conformidad con la normativa que emita la Autoridad de Protección de Datos Personales.

• Notificar al responsable cualquier vulneración de la seguridad de datos personales tan pronto sea posible, y a más tardar dentro del término de dos (2) días contados a partir de la fecha en la que tenga conocimiento de ella.

SEGURIDAD DE LA INFORMACIÓN Y MEDIDAS DE SEGURIDAD

En cumplimiento del principio de seguridad establecido en la Ley Orgánica de Protección de Datos, la BVG adoptará las medidas técnicas, humanas y administrativas que sean necesarias para garantizar la seguridad de los datos personales, físicos o digitales, evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.

VIGENCIA Y MODIFICACIONES

La presente política entrará en vigor a partir de la fecha de su aprobación por el Directorio de la BVG. Debido a la dinámica de las regulaciones, esta política podrá incorporar cambios y actualizaciones sin previo aviso y estará siempre disponible a través de los canales de difusión.

La presente Política de Tratamiento de Datos Personales de la BVG, fue aprobada en sesión de Directorio del 21 de febrero de 2024.