Biess | Políticas de Privacidad

Políticas de Privacidad

1. Objeto

La presente Política tiene por objeto establecer las directrices de transparencia aplicables al tratamiento de datos personales realizado por el Banco del Instituto Ecuatoriano de Seguridad Social – BIESS a través de sus portales web, aplicativos, plataformas tecnológicas y demás canales institucionales, en desarrollo de la Política de Protección de Datos Personales del BIESS y de la normativa vigente.

2. Introducción

El Banco del Instituto Ecuatoriano de Seguridad Social – BIESS reconoce la protección de los datos personales como un derecho fundamental. Por ello, pone a disposición de los titulares esta Política Web, mediante la cual informa qué datos personales trata, su origen, las finalidades y bases legitimadoras aplicables, los destinatarios, los plazos de conservación, las medidas de seguridad y los mecanismos habilitados para ejercer sus derechos.

Esta Política complementa los avisos o cláusulas de privacidad específicos que el BIESS presente al solicitar un producto, acceder a un servicio, realizar un trámite, celebrar un contrato o utilizar un canal digital. Cuando una finalidad requiera consentimiento, este será solicitado de forma separada; la simple navegación por el sitio web no constituye autorización para finalidades opcionales.

3. Responsable del tratamiento

DATO	INFORMACIÓN
Responsable	Banco del Instituto Ecuatoriano de Seguridad Social – BIESS
RUC	1768156470001
Domicilio	Av. Amazonas entre Pereira y Unión Nacional de Periodistas, Plataforma Gubernamental de Gestión Financiera, Quito – Ecuador
Código postal	170507
Teléfono	(02) 3970500
Canal de protección de datos	proteccion.datospersonales@biess.fin.ec

4. Delegado de Protección de Datos Personales

De conformidad con los artículos 48, 49 y 50 de la Ley Orgánica de Protección de Datos Personales (LOPDP), el Delegado de Protección de Datos Personales asesora al BIESS, supervisa el cumplimiento de la normativa, coopera con la Autoridad de Protección de Datos Personales y actúa como punto de contacto para los titulares. Puede contactarlo mediante proteccion.datospersonales@biess.fin.ec , los canales habilitados por el BIESS o cualquiera de sus oficinas.

5. Alcance

En aplicación de los artículos 2 y 3 de la LOPDP, esta Política se aplica al tratamiento efectuado mediante portales web, oficinas, aplicativos, sistemas, plataformas tecnológicas, canales telefónicos, documentos físicos, videovigilancia y otros mecanismos institucionales. Comprende todas las etapas del ciclo de vida del dato y las operaciones comprendidas en la definición de tratamiento prevista en el artículo 4 de la misma Ley, desde su obtención hasta su eliminación, anonimización o bloqueo.

6. ¿Qué datos personales tratamos?

El BIESS trata las categorías de información que se detallan a continuación, de acuerdo con las definiciones del artículo 4 de la LOPDP. Las categorías especiales se sujetan al artículo 25; los datos sensibles, al régimen reforzado del artículo 26; los datos crediticios, a los artículos 28 y 29; y los datos relativos a la salud cuando corresponda —por ejemplo, información sobre discapacidad o enfermedades catastróficas—, al régimen reforzado de los artículos 26, 30 y 31.

Categoría	Ejemplos
Identificación y contacto	Nombres, apellidos, cédula, fecha y lugar de nacimiento, firma, fotografía, domicilio, correo y teléfonos.
Filiación y situación personal	Afiliación, jubilación, pensión, beneficiarios, cargas familiares y datos necesarios para servicios o prestaciones.
Financieros, bancarios, patrimoniales y crediticios	Cuentas, ingresos, salarios, prestaciones, obligaciones, garantías, historial crediticio, capacidad de pago y transacciones.
Laborales y académicos	Cargo, funciones, historial laboral, contratos, evaluaciones, disciplina, hoja de vida, títulos y certificaciones.
Datos sensibles	Cuando sea necesario y procedente: salud, discapacidad, grupos de atención prioritaria, biométricos y otros datos sensibles definidos por la ley.
Imagen, voz y seguridad	Videovigilancia, fotografías, grabaciones de llamadas y controles de ingreso, cuando corresponda.
Datos técnicos y digitales	IP, sesión o dispositivo, fecha y hora, actividad, navegador, eventos de seguridad y, si el servicio lo requiere, geolocalización.
Información pública u oficial	Datos de registros públicos, autoridades, organismos de control, Función Judicial y demás fuentes habilitadas.

El BIESS no solicitará datos que no sean adecuados, pertinentes y estrictamente necesarios para la finalidad informada.

7. ¿De dónde obtenemos los datos?

En cumplimiento de los artículos 7, 11 y 12 de la LOPDP, los datos se obtienen de fuentes legítimas y el BIESS informa al titular sobre su origen cuando no hayan sido recogidos directamente de él.

Directamente del titular, su representante, apoderado, garante, beneficiario o persona autorizada.
Del IESS y otras entidades públicas, mediante interoperabilidad o comunicación legalmente habilitada.
De burós de información crediticia, registros públicos, autoridades y fuentes permitidas por la ley.
De encargados que actúan por cuenta e instrucciones del BIESS y de terceros jurídicamente habilitados.
De la interacción con portales, aplicaciones, sistemas, redes y canales del BIESS, incluidos registros técnicos y de seguridad.

8. Finalidades y bases legitimadoras

De acuerdo con el artículo 7 de la Ley Orgánica de Protección de Datos Personales, el BIESS tratará datos personales únicamente cuando concurra una base legitimadora y para finalidades determinadas, explícitas, legítimas y comunicadas al titular, en observancia de los principios establecidos en el artículo 10 de la misma Ley. Según corresponda, el tratamiento podrá fundamentarse en: el consentimiento del titular, otorgado conforme al artículo 8; el cumplimiento de una obligación legal; una orden judicial; el cumplimiento de una misión realizada en interés público o el ejercicio de poderes públicos conferidos al BIESS mediante una norma con rango de ley; la ejecución de medidas precontractuales solicitadas por el titular o el cumplimiento de obligaciones contractuales; la protección de intereses vitales del titular o de otra persona natural; el tratamiento de datos que consten en bases de datos de acceso público; o la satisfacción de un interés legítimo del BIESS o de un tercero, siempre que se realice la evaluación de ponderación correspondiente y dicho interés no prevalezca sobre los intereses, derechos y libertades fundamentales del titular.
La normativa especializada continuará siendo aplicable de conformidad con el artículo 11; y el tratamiento de datos crediticios se efectuará con observancia de los artículos 28 y 29 de la misma Ley.

Grupo o proceso	Finalidades principales	Base legitimadora	LOPDP
Gestión crediticia	Analizar la información necesaria para aprobar o negar solicitudes; gestionar la colocación, instrumentación y administración de créditos hipotecarios, quirografarios y prendarios; efectuar avalúos; verificar títulos; administrar expedientes; y supervisar los canales y proveedores que participan en la operación crediticia.	Cumplimiento de obligaciones legales y regulatorias; aplicación de medidas precontractuales solicitadas por el titular; y ejecución de la relación contractual.	Art. 7 numerales 2 y 5. Para datos obtenidos de fuentes públicas, art. 7 numeral 7.
Administración del riesgo de crédito	Identificar, medir, controlar, mitigar y monitorear el riesgo de crédito; evaluar la capacidad de pago, solvencia, endeudamiento y comportamiento crediticio; consultar fuentes oficiales y burós autorizados; aplicar metodologías, modelos e indicadores; y controlar los límites de exposición al riesgo.	Cumplimiento de obligaciones legales y regulatorias; aplicación de medidas precontractuales; ejecución contractual; y consentimiento cuando sea requerido específicamente para consultar o comunicar información crediticia.	Art. 7 numerales 1, 2, 5 y 7; art. 8, cuando se requiera consentimiento; y arts. 28 y 29 sobre datos crediticios y derechos de sus titulares.
Instrumentación, administración y custodia de garantías	Valorar, constituir, instrumentar, registrar, actualizar, custodiar y asegurar las garantías que respaldan los créditos hipotecarios y prendarios; gestionar avalúos, estudios de títulos, pólizas y documentación de respaldo.	Cumplimiento de obligaciones legales y regulatorias; aplicación de medidas precontractuales; y ejecución de la relación contractual.	Art. 7 numerales 2 y 5. Para consultas en registros o bases públicas, art. 7 numeral 7.
Recuperación y cobranza	Gestionar la recuperación preventiva, extrajudicial, judicial y coactiva de cartera; efectuar notificaciones; administrar acuerdos, facilidades de pago, novaciones, refinanciamientos y reestructuraciones; ejecutar subastas o ventas directas de prendas; y gestionar procedimientos coactivos.	Cumplimiento de obligaciones legales y regulatorias; ejecución contractual; ejercicio de poderes públicos; y cumplimiento de órdenes judiciales cuando corresponda.	Art. 7 numerales 2, 3, 4 y 5. Para datos crediticios relacionados con el cumplimiento o incumplimiento de obligaciones, arts. 28 y 29.
Prevención de lavado de activos, financiamiento del terrorismo y otros delitos	Ejecutar procesos de debida diligencia y conocimiento del cliente, empleado, proveedor y contraparte; monitorear transacciones; detectar, analizar y reportar operaciones inusuales e injustificadas; evaluar riesgos; conservar documentación de respaldo; y atender requerimientos de los organismos de control.	Cumplimiento de obligaciones legales y regulatorias; y cumplimiento de una misión realizada en interés público o en ejercicio de poderes públicos.	Art. 7 numerales 2 y 4. Para consultas en fuentes públicas, art. 7 numeral 7.
Comunicaciones operativas y atención al usuario	Remitir estados de solicitudes y trámites, alertas de seguridad, notificaciones de cobranza, avisos operativos e información necesaria para la prestación de productos y servicios; atender consultas, requerimientos y reclamos de los usuarios por los canales institucionales.	Cumplimiento de obligaciones legales y regulatorias; aplicación de medidas precontractuales; ejecución contractual; y ejercicio de poderes públicos.	Art. 7 numerales 2, 4 y 5.
Comunicación institucional y mercadeo	Difundir información institucional; administrar el portal web, intranet y redes sociales; elaborar piezas comunicacionales; promocionar productos y servicios del BIESS; ejecutar campañas; medir la aceptación de productos e identificar necesidades y expectativas de los usuarios.	Cumplimiento de obligaciones legales en materia de transparencia y comunicación institucional; consentimiento para publicidad personalizada o comunicaciones comerciales opcionales; e interés legítimo únicamente cuando resulte jurídicamente procedente y exista la correspondiente evaluación de ponderación.	Art. 7 numerales 1, 2, 4 y 8; art. 8 para obtención y revocatoria del consentimiento; y art. 9 para tratamientos sustentados en interés legítimo.
Educación financiera y calidad del servicio	Diseñar, ejecutar y evaluar el Programa de Educación Financiera; registrar y validar participantes cuando sea requerido; medir la satisfacción de los usuarios; elaborar estadísticas, indicadores e informes de calidad; y proponer mejoras en los canales y procesos de atención.	Cumplimiento de obligaciones legales y regulatorias; ejercicio de poderes públicos; y consentimiento cuando se recojan datos para finalidades adicionales u opcionales.	Art. 7 numerales 1, 2 y 4; y art. 8 para finalidades opcionales sustentadas en consentimiento. Para estadísticas con datos sensibles, art. 26 literal f).
Administración de talento humano	Gestionar planificación, reclutamiento, selección, contratación, nómina, remuneraciones, movimientos de personal, asistencia, vacaciones, capacitación, evaluación del desempeño, desarrollo de carrera, pasantías, régimen disciplinario, seguridad y salud ocupacional, bienestar social, prevención del acoso y desvinculación.	Cumplimiento de obligaciones legales; aplicación de medidas precontractuales; ejecución de la relación laboral; y cumplimiento de obligaciones y ejercicio de derechos en el ámbito laboral y de la seguridad social. El consentimiento se utilizará únicamente para tratamientos verdaderamente opcionales.	Art. 7 numerales 1, 2 y 5; art. 8 para tratamientos opcionales; arts. 25 y 26 literal b) para datos sensibles necesarios en el ámbito laboral y de la seguridad o protección social; y arts. 30 y 31 para datos de salud.

9. Consentimiento

Cuando el consentimiento sea la base legitimadora prevista en el artículo 7 numeral 1 de la LOPDP, el BIESS lo solicitará conforme a la definición del artículo 4 y a las condiciones del artículo 8, mediante una acción afirmativa libre, específica, informada e inequívoca. Para el tratamiento de datos sensibles se observará, además, el régimen reforzado del artículo 26. El titular podrá negar o revocar su consentimiento sin efecto retroactivo. Esto no afectará servicios sustentados en otra base legitimadora, pero podrá impedir una finalidad opcional o una prestación que objetivamente requiera esos datos.

10. Perfilamiento y decisiones automatizadas

El BIESS puede utilizar metodologías automatizadas o semiautomatizadas para evaluar riesgo, capacidad de pago, elegibilidad, seguridad o fraude. En cumplimiento del artículo 12 numeral 13 de la LOPDP, informará sobre la existencia de valoraciones y decisiones automatizadas. Cuando una decisión produzca efectos jurídicos o afecte significativamente al titular, se garantizarán los derechos previstos en el artículo 20 y, tratándose de niñas, niños o adolescentes, la protección reforzada del artículo 21, incluida, según corresponda, la intervención humana, la explicación de la decisión, la posibilidad de expresar el punto de vista y su impugnación. La información anonimizada podrá usarse para análisis o mejora de modelos cuando no permita identificar o reidentificar a una persona.

11. Destinatarios y terceros

De conformidad con el artículo 12 numeral 10 y el artículo 33 de la LOPDP, el BIESS informará las transferencias o comunicaciones que realice y las efectuará únicamente cuando exista una base legitimadora y se cumplan los requisitos legales. El acceso de encargados y otros terceros se sujetará a los artículos 34 y 35, y a las obligaciones establecidas en el artículo 47. Con base jurídica y en la medida necesaria, el BIESS podrá comunicar datos a:

IESS y demás instituciones públicas competentes, incluidos los organismos de control, la Superintendencia de Bancos, la Superintendencia de Protección de Datos Personales, la UAFE, el SRI y las autoridades administrativas o judiciales, cuando exista obligación legal, requerimiento válido o competencia aplicable.
Burós de crédito y demás entidades legalmente autorizadas para proporcionar, verificar, comunicar o recibir información crediticia.
Notarías, registros públicos, aseguradoras, entidades financieras, peritos, custodios, recaudadores, gestores de cobranza, abogados externos y estudios jurídicos, cuando su intervención sea necesaria para la gestión crediticia, constitución o ejecución de garantías, recuperación de cartera, patrocinio judicial, defensa institucional u otras actuaciones vinculadas a los servicios del BIESS.
Proveedores de tecnología, archivo, mensajería, comunicaciones, seguridad, soporte, auditoría u otros servicios que actúen por cuenta e instrucciones del BIESS, en calidad de encargados del tratamiento.
Terceros o aliados para finalidades opcionales, únicamente cuando el titular haya otorgado su consentimiento o exista otra base legitimadora aplicable.

El BIESS exige a sus destinatarios, encargados y terceros autorizados el cumplimiento de deberes de confidencialidad, seguridad, uso limitado a la finalidad autorizada, conservación limitada y eliminación o devolución de los datos cuando corresponda. El BIESS no vende datos personales.

12. Transferencias o comunicaciones internacionales

En virtud de los artículos 55 y 56 de la LOPDP, si un tratamiento implica una transferencia o comunicación internacional, el BIESS verificará la base legitimadora, la finalidad, el nivel adecuado de protección y las garantías exigidas por la Ley, su Reglamento y la normativa aplicable. Cuando corresponda, aplicará normas corporativas vinculantes conforme al artículo 58, solicitará la autorización prevista en el artículo 59 o verificará la concurrencia de alguno de los casos excepcionales del artículo 60. Si un tercero situado fuera del país trata datos exclusivamente por cuenta e instrucciones del BIESS, se formalizará el encargo correspondiente, sin perjuicio de las obligaciones derivadas del acceso o ubicación internacional.

13. Conservación

En observancia del artículo 10 de la LOPDP, particularmente de los principios de finalidad, pertinencia y minimización, proporcionalidad y conservación, y de las obligaciones previstas en el artículo 47, los datos se conservarán mientras sean necesarios para la finalidad y, posteriormente, durante los plazos exigidos por la normativa financiera, bancaria, de seguridad social, laboral, tributaria, de contratación pública, prevención de lavado de activos, archivo y control; o mientras puedan derivarse responsabilidades. Al finalizar, se eliminarán de forma segura, anonimizarán o bloquearán, salvo que subsista una obligación jurídica de conservación.

14. Seguridad y Confidencialidad

En virtud de los artículos 37 y 38 de la LOPDP, el BIESS aplica medidas jurídicas, técnicas, físicas, administrativas y organizativas apropiadas al riesgo para proteger la confidencialidad, integridad y disponibilidad de los datos, y prevenir su pérdida, alteración, destrucción, acceso o comunicación no autorizados. Estas medidas se establecen desde el diseño y por defecto conforme al artículo 39, se apoyan en los análisis previstos en los artículos 40 y 41 y, según corresponda, incluyen control de accesos, autenticación, trazabilidad, cifrado, respaldos, gestión de vulnerabilidades, continuidad, capacitación y evaluación de terceros. Ante una vulneración de seguridad, el BIESS cumplirá las obligaciones de gestión y notificación previstas en los artículos 43, 44, 45 y 46, así como las responsabilidades generales del artículo 47.
El titular debe proteger sus credenciales, usar canales oficiales y evitar entregar claves o códigos de autenticación. El BIESS no solicitará contraseñas completas ni códigos de seguridad por medios no autorizados.

15. Navegación web y cookies

Con fundamento en las bases legitimadoras del artículo 7 de la LOPDP y en cumplimiento de los principios de transparencia, finalidad, minimización y seguridad establecidos en el artículo 10, los portales pueden generar registros técnicos necesarios para operar, autenticar, mantener sesiones, prevenir fraude, detectar incidentes y conservar evidencia. De acuerdo con el artículo 12, el usuario será informado sobre este tratamiento. Los registros pueden incluir dirección IP, fecha y hora, navegador o dispositivo, páginas consultadas, eventos de sesión y alertas de seguridad.
Las cookies estrictamente necesarias podrán habilitar funciones esenciales y la seguridad del portal, de conformidad con los artículos 37, 39 y 41 de la LOPDP. Las cookies analíticas, de personalización o publicitarias que no sean necesarias se activarán únicamente cuando exista una base legitimadora válida y, si esta es el consentimiento, después de obtenerlo conforme al artículo 8. El portal deberá permitir rechazarlas o retirarlas con igual facilidad. El aviso de cookies vigente deberá identificar su nombre, proveedor, finalidad y duración.

16. Niñas, niños y adolescentes

Cuando un producto, servicio o trámite involucre datos de niñas, niños o adolescentes, el BIESS aplicará la protección reforzada que corresponde a las categorías especiales previstas en el artículo 25 de la LOPDP, atenderá su interés superior y verificará la representación o autorización correspondiente. Asimismo, observará el artículo 21 respecto de decisiones automatizadas y no utilizará estos datos para mercadeo o perfilamiento comercial sin habilitación jurídica suficiente.

17. Derechos

Derecho	Alcance general
Información — art. 12	Recibir información clara sobre el tratamiento.
Acceso — art. 13	Conocer si el BIESS trata sus datos y obtener la información legal.
Rectificación y actualización — art. 14	Corregir datos inexactos o incompletos.
Eliminación — arts. 15 y 18	Solicitar supresión cuando se cumplan las causales, salvo excepciones.
Oposición — arts. 16 y 18	Oponerse a determinados tratamientos en los casos legales.
Suspensión — art. 19	Solicitar limitación temporal cuando corresponda.
Portabilidad — arts. 17 y 18	Recibir o transmitir datos en formato compatible y estructurado, si se cumplen los requisitos.
Decisiones automatizadas — arts. 20 y 21	Solicitar garantías respecto de decisiones basadas únicamente en tratamiento automatizado.
Revocatoria — art. 8	Retirar el consentimiento sin afectar la licitud previa.
Educación digital — art. 23	Acceder a orientación para ejercer derechos en el entorno digital.

18. ¿Cómo ejercer sus derechos?

El ejercicio de los derechos se tramitará conforme a las reglas del artículo 6 y a los artículos 12 al 24 de la LOPDP. De acuerdo con el artículo 62, el titular podrá requerir directamente al BIESS la atención de su derecho antes de acudir a la Autoridad de Protección de Datos Personales.

Correo: proteccion.datospersonales@biess.fin.ec.
Formulario disponible en el portal institucional.
Entrega presencial en oficinas o agencias y demás canales habilitados.

La solicitud debe identificar al titular, precisar el derecho, describir los datos o tratamiento, señalar un medio de notificación y adjuntar respaldos. El BIESS verificará la identidad y responderá motivadamente dentro de los plazos legales. El representante deberá acreditar su calidad.
Si considera que no fue atendido adecuadamente, puede contactar al Delegado por el mismo correo y presentar una reclamación ante la Superintendencia de Protección de Datos Personales, sin perjuicio de otros mecanismos aplicables.

19. Consecuencias de no proporcionar datos

En cumplimiento del artículo 12 numeral 12 de la LOPDP, el BIESS informará al titular, al momento de recolectar sus datos, cuáles son obligatorios, cuáles opcionales y las consecuencias de no proporcionarlos.
El BIESS solicitará y tratará únicamente los datos que resulten necesarios, pertinentes y proporcionales para las finalidades informadas y que cuenten con una base legitimadora prevista en la Ley Orgánica de Protección de Datos Personales. Cuando los datos sean requeridos para cumplir una obligación legal o regulatoria, verificar la identidad, analizar una solicitud, evaluar requisitos, celebrar o ejecutar un contrato, gestionar un crédito o prestar un servicio institucional, su falta de entrega o su inexactitud podría impedir, limitar o retrasar la atención del trámite o servicio solicitado.
Cuando la entrega de datos corresponda a una finalidad opcional o esté sustentada en el consentimiento del titular, este podrá negarse a proporcionarlos o retirar su consentimiento, sin que ello afecte el acceso a los demás productos, trámites o servicios del BIESS que no dependan de dicha finalidad.

20. Principios

Conforme al artículo 10 de la LOPDP, el BIESS observa los principios de juridicidad, lealtad, transparencia, finalidad, pertinencia y minimización, proporcionalidad, confidencialidad, calidad y exactitud, conservación, seguridad, responsabilidad proactiva y aplicación favorable al titular.

21. Actualizaciones

El BIESS podrá modificar esta Política por cambios normativos, institucionales, tecnológicos o en sus tratamientos. La versión vigente, fecha y cambios relevantes se publicarán en el portal y, cuando corresponda, se comunicarán por otros canales. Si se requiere nuevo consentimiento, será solicitado antes del tratamiento.

22. Marco normativo de referencia

Constitución de la República del Ecuador.
Ley Orgánica de Protección de Datos Personales y su Reglamento General.
Ley del BIESS y Estatuto Social del BIESS.
Código Orgánico Monetario y Financiero y normativa de la Superintendencia de Bancos.
Normativa de seguridad social, prevención de lavado de activos, contratación pública, archivo y demás aplicable.
Política y Reglamento de Protección de Datos Personales del BIESS y normativa institucional de seguridad de la información.

Canal de consultas y ejercicio de derechos: proteccion.datospersonales@biess.fin.ec