POLÍTICA INTERNA DE PROTECCIÓN DE DATOS PERSONALESCRECERMED CÍA. LTDA.

7.1. Derechos Garantizados
La empresa tiene la obligación de garantizar los derechos de los Titulares cuyos datos trata, de conformidad con la LOPDP, según se describen a continuación:

7.1.1. Información
Al recopilar los datos personales del Titular de los datos, la La empresa debe, por escrito, y de manera entendible con un lenguaje que sea comprensible, informar al Titular de los datos respecto de lo siguiente:
a. Finalidades específicas con las que se procesarán los datos personales
b. Base legal para el tratamiento;
c. Tipos de tratamiento;
d. Tiempo de conservación;
e. La existencia de una base de datos en la que constan sus datos personales;
f. El origen de los datos personales cuando no se hayan obtenido directamente del titular;
g. Otras finalidades y tratamientos ulteriores;
h. Identidad y datos de contacto del Responsable;
i. Las transferencias o comunicaciones, nacionales o internacionales, de datos personales que pretenda realizar, incluyendo los destinatarios y sus clases, así como las finalidades que motivan la realización de estas y las garantías de protección establecidas;
j. La importancia de que el Titular de los datos proporcione información precisa y completa;
k. Cualquier consecuencia de la negativa o el rehusarse a proporcionar los datos personales solicitados;
l. La posibilidad de revocar el consentimiento;
m. La existencia y forma en que pueden hacerse efectivos sus derechos de acceso, eliminación, rectificación y actualización, oposición, anulación, limitación del tratamiento y a no ser objeto de una decisión basada únicamente en valoraciones automatizadas;
n. Mecanismos para hacer efectivo su derecho de portabilidad;
o. Cómo presentar una reclamación ante la Autoridad de Protección de Datos Personales;
p. La existencia de valoraciones y decisiones automatizadas, incluida la elaboración de perfiles

7.1.2. Acceso
A solicitud del Titular de los datos, éste tiene derecho a conocer y obtener gratuitamente de la La empresa, acceso a todos sus datos personales y a la información detallada en el Art.12 de la Ley Orgánica de Protección de Datos Personales.

7.1.3. Rectificación y Actualización
El Titular de los datos podrá solicitar la rectificación o actualización de los datos personales que son inexactos o incompletos. Cuando un Titular de datos solicita la rectificación o actualización de sus datos personales, la La empresa deberá solicitar la prueba relativa a la inexactitud o al carácter incompleto de estos datos.

7.1.4.
Eliminación
El Titular tiene derecho a que la La empresa elimine sus datos cuando el tratamiento: no cumpla con los principios establecidos en la LOPDP, sea innecesario para cumplir una finalidad o dicha finalidad ya se haya cumplido, se haya vencido el plazo de conservación, afecte derechos fundamentales del Titular, el Titular revoque su consentimiento, o cuando exista obligación legal para eliminar los datos.

7.1.5. Oposición
El Titular tiene el derecho a oponerse o negarse al tratamiento de sus datos personales, en los siguientes casos:
• No se afecten derechos y libertades fundamentales de terceros, la ley se lo permita y no se trate de información pública, de interés público o cuyo tratamiento está ordenado por la ley;
• El tratamiento de datos personales tenga por objeto la mercadotecnia directa; el Titular tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles; en cuyo caso los datos personales dejarán de ser tratados para dichos fines;
• Cuando no sea necesario su consentimiento para el tratamiento como consecuencia de la concurrencia de un interés legítimo, y se justifique en una situación concreta personal del Titular, siempre que una ley no disponga lo contrario.
• La La empresa dejará de tratar los datos personales en estos casos, salvo que acredite motivos legítimos e imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del Titular, o para la formulación, el ejercicio o la defensa de reclamaciones.

7.1.6. Suspensión
El Titular tiene derecho a que la La empresa suspenda el tratamiento de sus datos cuando: el Titular impugne la exactitud de los datos mientras la La empresa los verifica; el tratamiento sea ilícito; la La empresa ya no necesite los datos, pero el Titular sí para formular o ejercer reclamaciones; cuando el Titular se oponga al tratamiento de sus datos de salud mientras se verifica si los motivos legítimos prevalecen sobre los del Titular.
En caso de que la La empresa rechace la solicitud de oposición de tratamiento y el Titular recurra por dicha decisión a la Autoridad de Datos Personales, se extenderá la suspensión del tratamiento hasta la resolución del procedimiento administrativo.

7.1.7. Portabilidad
El Titular tiene derecho a recibir de la La empresa, sus datos personales en un formato compatible, actualizado, estructurado, común, interoperable y de lectura mecánica, preservando sus características; o a transmitirlos a otros responsables.
Para que proceda este derecho el Titular debe haber consentido el tratamiento de sus datos, el tratamiento se debe realizar por medios automatizados, el tratamiento comprende un volumen relevante de datos del Titular, o el tratamiento es necesario para ejercer derechos y cumplir obligaciones del responsable, encargado o Titular en materia de derecho laboral y seguridad social.

7.1.8. No ser objeto de decisiones basadas en valoraciones automatizadas
El Titular tiene derecho a no ser sometido a una decisión basada única o parcialmente en valoraciones que sean producto de procesos automatizados, incluida la elaboración de perfiles, que produzcan efectos jurídicos en él o que atenten contra sus derechos y libertades fundamentales.
El Titular puede solicitar a la La empresa explicación motivada sobre decisiones que ha tomado como responsable, presentar observaciones respecto de la decisión, solicitar criterios de valoración e información sobre los tipos de datos utilizados, e impugnar la decisión tomada por el responsable.

7.2. Atención a las Solicitudes de Ejercicio de Derechos
La empresa ha designado un canal para atender las solicitudes de ejercicio de derechos de los Titulares. Para hacer efectivos sus derechos, los Titulares de la La empresa, podrán ejercer sus derechos a través de los siguientes canales enviando su solicitud directamente a la La empresa a la que se quiere contactar por el siguiente medio: [facturacion@crecermed.com]
Las solicitudes de información sobre el acceso, corrección o eliminación de datos personales o sobre una oposición, deberán ser realizadas por el Titular de datos o su representante legal autorizado, o, en el caso de un menor de edad, por un padre o tutor legal.
Las solicitudes podrán ser presentadas al correo electrónico [colocar correo] destinado por CRECERMED para atender las solicitudes de ejercicio de derechos de los titulares y al correo del Delegado de Protección de datos [correo] de la empresa, en concordancia con el “Procedimiento para atender solicitudes de ejercicio de derechos”.

8.1. Titulares
CRECERMED recopila y trata datos personales de titulares de su información de carácter personal. CRECERMED a través de sus diferentes áreas ha identificado los siguientes grupos de titulares:
• Clientes
• Colaboradores – excolaboradores
• Proveedores
• Visitantes y usuarios

8.2. Categoría de datos personales tratados
CRECERMED trata, entre otros, los siguientes datos:

a) Datos de pacientes (niños, niñas y adolescentes)
• Datos de identificación
• Datos de representantes legales
• Datos de salud (historias clínicas, antecedentes, vacunas, exámenes, imágenes, audios yevolución médica u otros

b) Datos de personal y médicos
• Datos de identificación
• Información laboral, profesional y contractual
• Datos bancarios para pagos
• Datos de salud ocupacional, cuando aplique

c) Datos de proveedores
• Información de contacto
• Información contractual, comercial y de pago

8.3. Legitimación para el Tratamiento de Datos
La empresa realiza el tratamiento de datos personales de manera legítima conforme a las bases legales establecidas en las LOPDP conforme a las siguientes condiciones:

8.3.1. Consentimiento: la La empresa deberá requerir el consentimiento previo, libre, expreso, inequívoco e informado del Titular para poder tratar sus datos personales, en aquellos casos previstos en la Ley Orgánica de Protección de Datos Personales.
Para ello, la empresa se encargará de obtener el consentimiento de los Titulares a través de formularios físicos y digitales, declaraciones de autorización y mediante casillas en las plataformas oficiales de la La empresa, de acuerdo con cada finalidad de tratamiento. En los casos en que el Tratamiento de Datos Personales esté legitimado por alguna norma o se encuentre dentro de alguna excepción en la ley, la La empresa cumplirá con el deber de informar a los Titulares de los Datos personales, sobre las condiciones de dicho tratamiento.

8.3.2. Cumplimiento de una obligación legal;

8.3.3. Por orden judicial;

8.3.4. Por una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, derivados de una competencia atribuida por una norma con rango de ley, sujeto al cumplimiento de los estándares internacionales de derechos humanos aplicables a la materia, al cumplimiento de los principios de esta Ley y a los criterios de legalidad, proporcionalidad y necesidad;

8.3.5. Para la ejecución de medidas precontractuales a petición del Titular o para el cumplimiento de obligaciones contractuales perseguidas por el responsable del tratamiento de datos personales, Encargado del tratamiento de datos personales o por un Tercero legalmente habilitado;

8.3.6. Intereses vitales: será lícito el tratamiento de datos personales si es necesario para proteger un interés esencial para la vida del titular o de otra persona, como epidemias o situaciones de emergencia humanitaria.

8.3.7. Fuentes de acceso público: para tratamiento de datos personales que consten en bases de datos de acceso público;
8.3.8. Interés legítimo del responsable de Tratamiento o de Terceros.

6. 10. SEGURIDAD DE DATOS PERSONALES
10.1 Medidas de Seguridad
CRECERMED ha adoptado medidas jurídicas, físicas, técnicas y administrativas para garantizar la seguridad del tratamiento de los datos personales dentro de esta.

10.1.1 Medidas de seguridad jurídicas
a. Inclusión de cláusulas de protección de datos en los futuros contratos a celebrar con proveedores en los que se involucre un tratamiento de datos.
b. Inclusión de cláusulas respecto al tratamiento de datos personales en los contratos celebrados con colaboradores y representantes legales.
c. Celebración de adendas respecto al tratamiento de datos personales en los contratos celebrados previamente con colaboradores y proveedores.
d. Celebración de acuerdos de confidencialidad con colaboradores que deban encargarse del tratamiento de datos personales.
e. Celebración de acuerdos de encargo de tratamiento de datos con aquellos proveedores con los que se ha identificado un tratamiento de datos personales.
f. Inclusión de avisos respecto al tratamiento de datos personales dirigido hacia los titulares en caso de que se vaya a capturar información referente a sus datos personales.
g. Obtención del consentimiento previo para la transferencia de datos personales, en caso de que sea requerido, al capturar la información de los colaboradores y/o representantes legales.
h. Elaboración de matrices de encargo con proveedores con los que se haya establecido dicho acuerdo.
i. Elaboración de procedimientos de evaluación de impacto de protección de datos en virtud de la normativa vigente.
j. El mantener las políticas de privacidad de forma accesible en los medios de comunicación, tales como la página web de CRECERMED.
k. Habilitación de un correo electrónico únicamente para el ejercicio de los derechos de los titulares respecto a sus datos personales (rectificación, eliminación, etc.).

10.1.2 Medidas de seguridad técnicas y físicas
a. Prevenir que el acceso a las bases de datos o a la información, así como a los recursos, sea por usuarios identificados y autorizados.
b. Generar un esquema de privilegios para que el usuario lleve a cabo las actividades que requiere con motivo de sus funciones.
c. Revisar la configuración de seguridad en la adquisición, operación, desarrollo y mantenimiento del software y hardware.
d. Gestionar las comunicaciones, medios de almacenamiento y operaciones de los recursos informáticos en el tratamiento de datos personales.
e. Prevenir el acceso no autorizado al perímetro de CRECERMED, sus instalaciones físicas, áreas críticas, recursos e información.
f. Prevenir el daño o interferencia a las instalaciones físicas, áreas críticas de CRECERMED, recursos e información.
g. Proteger los recursos móviles, portátiles y cualquier soporte físico o electrónico, que pueda salir de las instalaciones de CRECERMED.
h. Proveer a los equipos que contienen o almacenan datos personales de un mantenimiento eficaz que asegure su disponibilidad, integridad y funcionalidad.
10.1.3 Medidas de seguridad administrativas y organizativas
a. Definición de directrices estratégicas en materia de seguridad de activos, alineadas a las atribuciones de las dependencias o entidades.
b. Establecimiento de controles para evitar violaciones a la normatividad vigente, o la política de seguridad interna u obligaciones contractuales.
c. Establecimiento de controles internos y externos a través de los cuales se gestione la seguridad de activos.
d. Establecimiento de controles orientados a que el personal conozca el alcance de sus responsabilidades respecto a la protección de datos personales y seguridad de los activos de información, antes, durante y al finalizar la relación laboral.
e. Implementación de controles enfocados a la gestión de incidentes presentes y futuros que puedan afectar la integridad, confidencialidad y disponibilidad de la información.
f. Evaluar y supervisar regularmente a los proveedores de servicios que tienen acceso a datos personales y asegurar de que cumplan con los mismos estándares de protección de datos que CRECERMED.