Control de versiones y aprobación.

Datos de identificación de los responsables y del Delegado.

1. Objetivo.

Establecer un procedimiento claro, gratuito, verificable, seguro y trazable para recibir, radicar, analizar, responder, ejecutar y documentar las solicitudes de ejercicio de derechos de protección de datos personales presentadas ante FRANCEB o LCR (en conjunto como “Los Cebiches de la Rumiñahui”).

El procedimiento busca asegurar que cada solicitud sea atendida de forma consistente, dentro de los plazos legales, con verificación razonable de identidad, análisis de procedencia, respuesta motivada y evidencia suficiente de cierre.

2. Alcance.

Este procedimiento aplica a todas las solicitudes presentadas por titulares, representantes legales, apoderados o terceros legitimados respecto de datos personales tratados por cualquiera de las dos empresas responsables del grupo Los Cebiches de la Rumiñahui: (1) FRANQUICIAS ALIMENTICIAS FRANCEB CIA. LTDA. y (2) LCR PRODUCTOS & SERVICIOS CIA. LTDA. Cada empresa publica su propia política de protección de datos y actúa como responsable independiente en su respectivo ámbito de operación. EN el presente documento cuando se haga referencia a Los Cebiches de la Rumiñahui, nos referiremos a una de las empresas, varias, algunas o todas las que conforman la marca comercial.

Comprende, entre otros, tratamientos vinculados con clientes, consumidores, usuarios del sitio web, compradores digitales, pedidos por call center, aplicaciones de delivery, facturación, reclamos, marketing, cookies, videovigilancia, control de acceso, proveedores, franquiciados, candidatos, trabajadores, ex trabajadores, cargas familiares, beneficiarios, salud ocupacional y seguridad de la información.

Cuando alguna de las compañías de “Los Cebiches de la Rumiñahui” actúen únicamente como encargados del tratamiento por cuenta de un tercero, la solicitud será derivada al responsable correspondiente o gestionada conforme a las instrucciones documentadas de dicho responsable, sin perder evidencia de la recepción y derivación.

3. Marco normativo y documentos de referencia.

• Constitución de la República del Ecuador, especialmente los derechos a la protección de datos personales, intimidad y hábeas data.

• Ley Orgánica de Protección de Datos Personales.

• Reglamento General a la Ley Orgánica de Protección de Datos Personales.

• Resoluciones y criterios vinculantes emitidos por la Superintendencia de Protección de Datos Personales, en lo aplicable.

• Política General de Protección de Datos Personales de cada razón social que conforman Los Cebiches de la Rumiñahui.

4. Principios del procedimiento.

La atención de solicitudes se regirá por los siguientes principios operativos:

• Facilidad y gratuidad: El titular no debe enfrentar barreras innecesarias para ejercer sus derechos. El canal debe ser claro, accesible y sin costo.

• Identificación razonable: Antes de entregar, modificar, bloquear, portar o eliminar información, Los Cebiches de la Rumiñahui verificarán la identidad del titular o la representación de quien actúe a su nombre, sin pedir datos excesivos.

• Trazabilidad: Toda solicitud debe quedar registrada con fecha, canal, derecho invocado, estado, áreas involucradas, respuesta y evidencia de ejecución.

• Respuesta clara y motivada: La respuesta debe explicar lo decidido, qué se hizo, qué no se puede hacer y por qué, evitando tecnicismos innecesarios.

• Minimización: Solo se tratarán los datos necesarios para analizar y atender la solicitud.

• Seguridad y confidencialidad: El expediente de la solicitud y la información entregada al titular deben protegerse contra accesos no autorizados.

• Coordinación interna: Las áreas que administran sistemas o expedientes deben colaborar oportunamente con el DPD y con el área responsable del caso.

• No afectación de terceros: El ejercicio de derechos no debe revelar datos personales de terceros ni comprometer secretos empresariales, seguridad, investigaciones, obligaciones legales o defensa de reclamaciones.

5. Derechos cubiertos y alcance práctico.

FRANCEB atenderá las solicitudes asociadas a los derechos reconocidos por la normativa ecuatoriana de protección de datos personales. Para evitar respuestas genéricas, cada solicitud debe analizarse según el derecho ejercido, el tratamiento involucrado, la base legitimadora, la finalidad, los plazos de conservación, la existencia de terceros o encargados, y los límites legales aplicables.

5.1 Derecho de información.

Implica que el titular pueda conocer, antes o al momento de la recogida de sus datos y también cuando consulte posteriormente, las condiciones esenciales del tratamiento realizado por Los Cebiches de la Rumiñahui.

• Finalidades del tratamiento.

• Base legitimadora aplicable.

• Tipos de tratamiento y categorías de datos.

• Tiempo o criterios de conservación.

• Existencia de bases de datos, archivos o sistemas vinculados.

• Origen de los datos cuando no fueron obtenidos directamente del titular.

• Destinatarios, encargados, terceros y transferencias nacionales o internacionales, cuando corresponda.

• Consecuencias de entregar o no los datos.

• Derechos que puede ejercer y canales habilitados.

• Identidad y datos de contacto del responsable y del Delegado de Protección de Datos.

• Existencia de decisiones automatizadas o valoraciones, cuando existan.

Este derecho no exige entregar documentos internos completos, análisis reservados, contratos confidenciales, secretos empresariales ni información personal de terceros. Su finalidad es que el titular comprenda de forma suficiente, transparente y comprobable cómo se tratan sus datos.

5.2 Derecho de acceso.

Permite al titular conocer si Los Cebiches de la Rumiñahui trata o no datos personales sobre él y acceder a dichos datos o a una descripción suficiente del tratamiento. No requiere justificar el motivo de la solicitud.

La respuesta podrá entregarse como copia, reporte, extracto, visualización controlada o respuesta consolidada, según el sistema, el volumen, la seguridad del caso y la necesidad de proteger datos de terceros.

No procede en forma abusiva o manifiestamente excesiva, ni para obtener datos de otras personas, credenciales, información cubierta por secreto profesional, evidencia interna de investigación, datos sujetos a reserva legal, secretos comerciales o información que comprometa la seguridad de Los Cebiches de la Rumiñahui o de terceros.

5.3 Derecho de rectificación y actualización.

Permite corregir o actualizar datos personales inexactos, incompletos, desactualizados o que puedan inducir a error.

El titular debe indicar qué dato desea corregir, cuál es el dato correcto y, cuando sea pertinente, adjuntar soporte razonable. Ejemplos: cambio de correo, número de teléfono, dirección de facturación, nombre, RUC, cuenta bancaria de nómina, carga familiar, contacto de emergencia o información laboral.

Cuando el dato haya sido comunicado a un destinatario o encargado y la corrección sea procedente, Los Cebiches de la Rumiñahui deberán adoptar medidas razonables para comunicar la rectificación o actualización al tercero que corresponda.

5.4 Derecho de eliminación.

Permite solicitar la supresión, anonimización, inutilización definitiva o bloqueo de datos cuando el tratamiento ya no sea necesario, haya cumplido su finalidad, haya vencido el plazo de conservación, el tratamiento sea contrario a principios de protección de datos, se revoque el consentimiento en finalidades basadas únicamente en esa base, o exista obligación legal de eliminar.

La eliminación no es automática. Los Cebiches de la Rumiñahui deben verificar si existe una obligación o razón legítima para conservar total o parcialmente los datos, por ejemplo: facturación, obligaciones tributarias, obligaciones laborales, seguridad social, salud ocupacional, defensa de reclamaciones, auditoría, investigaciones, requerimientos de autoridad, seguridad física o conservación de evidencia.

Cuando proceda la eliminación parcial, Los Cebiches de la Rumiñahui podrán conservar bloqueada la información mínima necesaria para acreditar cumplimiento, prevenir nuevos contactos no deseados, atender defensa o cumplir obligaciones legales.

5.5 Derecho de oposición.

Permite al titular oponerse a determinados tratamientos. Tiene especial relevancia en mercadotecnia directa, comunicaciones comerciales, elaboración de perfiles para dichos fines y tratamientos sustentados en interés legítimo cuando el titular exponga una situación particular que deba ponderarse.

En marketing directo, la oposición debe gestionarse de forma prioritaria mediante exclusión del canal correspondiente y registro mínimo de la baja para evitar nuevos contactos.

En tratamientos basados en interés legítimo, Los Cebiches de la Rumiñahui deberán revisar si existen motivos legítimos imperiosos que prevalezcan sobre los derechos del titular o si los datos son necesarios para formular, ejercer o defender reclamaciones.

5.6 Derecho de suspensión o limitación del tratamiento.

Permite restringir temporalmente el uso de los datos en escenarios concretos. Por ejemplo, mientras se verifica la exactitud de datos impugnados, cuando el tratamiento pudiera ser ilícito pero el titular prefiere limitarlo antes que eliminarlo, cuando Los Cebiches de la Rumiñahui ya no necesiten los datos pero el titular los requiere para reclamaciones, o mientras se analiza una oposición.

La suspensión no equivale necesariamente a eliminación. Implica limitar accesos, usos o comunicaciones mientras se resuelve la situación que justificó la restricción.

5.7 Derecho de portabilidad.

Permite al titular recibir los datos personales que le conciernen en un formato compatible, estructurado, común, interoperable y de lectura mecánica, o solicitar que se transmitan a otro responsable cuando sea técnicamente posible y jurídicamente procedente.

La portabilidad aplica respecto de datos proporcionados por el titular o generados por su interacción directa, cuando concurran las condiciones legales y técnicas. No cubre análisis internos, inferencias, perfiles, segmentaciones, puntuaciones, valoraciones comerciales, criterios de riesgo, secretos empresariales, información de terceros ni documentos cuya entrega afecte derechos de otras personas.

5.8 Revocatoria del consentimiento.

Permite retirar el consentimiento otorgado para finalidades que dependen de esa base legitimadora, como ciertas campañas comerciales, cookies no necesarias, usos promocionales opcionales de imagen u otros tratamientos voluntarios.

La revocatoria no afecta la licitud del tratamiento realizado antes de retirarse el consentimiento. Tampoco impide que Los Cebiches de la Rumiñahui continúen tratando datos cuando exista otra base legitimadora válida, como ejecución contractual, obligación legal, interés legítimo, intereses vitales o defensa de reclamaciones.

5.9 Derecho a no ser objeto de decisiones basadas en valoraciones automatizadas.

Aplica cuando una decisión basada única o significativamente en tratamientos automatizados, incluida la elaboración de perfiles, produzca efectos jurídicos sobre el titular o lo afecte de manera significativa.

En esos casos, el titular puede solicitar explicación sobre la decisión, criterios generales utilizados, datos considerados, intervención humana, posibilidad de presentar observaciones, revisión de la decisión o impugnación, según corresponda.

En la operación ordinaria de Los Cebiches de la Rumiñahui, este derecho debe analizarse especialmente si se implementan sistemas de scoring, segmentación automatizada, prevención de fraude automatizada, decisiones automatizadas sobre clientes, candidatos o trabajadores, o perfilamiento comercial significativo.

5.10 Reclamo ante la Autoridad de Protección de Datos Personales.

Si el titular considera que Los Cebiches de la Rumiñahui vulneraron sus derechos, negó indebidamente una solicitud o no respondió dentro del plazo aplicable, podrá presentar reclamo ante la Superintendencia de Protección de Datos Personales del Ecuador, a través de los canales oficiales vigentes.

6. Canales habilitados y reglas de recepción.

El canal principal para presentar solicitudes de ejercicio de derechos es el correo específico de protección de datos personales (válido para todas las empresas del grupo):

Como canales complementarios, el titular podrá presentar solicitudes físicas en el domicilio de FRANCEB y LCR o a través de los formularios digitales o físicos que la compañía habilite. Toda solicitud recibida por otra área, local, call center, formulario web, correo corporativo, proveedor, franquiciado o canal distinto deberá remitirse de inmediato al Delegado de Protección de Datos o al responsable interno designado.

Este canal centralizado es válido para ejercer derechos ante cualquiera de las dos razones sociales del grupo: FRANCEB y LCR. Se recomienda indicar en el asunto del correo el nombre de la empresa ante la que ejerce el derecho, si lo conoce (por ejemplo: “Ejercicio de derechos PDP – FRANCEB” o “Ejercicio de derechos PDP – Los Cebiches de la Rumiñahui”). Si no está seguro de la empresa, basta indicar “Los Cebiches de la Rumiñahui” y el DPD identificará la razón social responsable.

7. Contenido mínimo de la solicitud.

La solicitud debe contener información suficiente para identificar al titular, ubicar el tratamiento y entender qué derecho se desea ejercer. No se exigen formalidades innecesarias.

1. Nombres y apellidos completos del titular.

2. Número de cédula, pasaporte u otro documento de identificación.

3. Correo electrónico, dirección física o medio para recibir notificaciones.

4. Derecho o derechos que desea ejercer.

5. Descripción clara de la petición: qué datos, tratamiento, canal, relación, compra, pedido, reclamo, campaña, local, sistema o periodo se relaciona con la solicitud.

6. Documentos de respaldo cuando sean necesarios para sustentar la solicitud, por ejemplo, para rectificación, actualización, representación legal, poder, cambio de cuenta bancaria o vínculo con una carga familiar.

7. Documento que acredite identidad y, si actúa un tercero, documento que acredite representación legal o convencional.

8. Verificación de identidad y legitimación.

Antes de revelar, modificar, bloquear, portar, suspender o eliminar datos, Los Cebiches de la Rumiñahui verificarán la identidad del titular o la representación de quien actúe a su nombre. La verificación debe ser proporcional al riesgo: no se deben pedir más datos de los necesarios, pero sí deben evitarse entregas indebidas de información.

9. Flujo del procedimiento.

1. Recepción. Se recibe la solicitud por canal formal o se deriva desde un canal operativo. Se registra fecha, hora, canal, solicitante, derecho invocado y medio de contacto.

2. Acuse y radicación. Cuando sea posible, se confirma recepción y se asigna número o código de caso.

3. Revisión inicial. Se verifica si la solicitud contiene información suficiente, si se acredita identidad o representación y si se puede identificar el tratamiento.

4. Aclaración, si aplica. Si falta información, se pide aclaración o ampliación por una sola vez dentro del término legal.

5. Clasificación. Se determina el derecho ejercido, el área responsable, los sistemas involucrados, la base legitimadora y si Los Cebiches de la Rumiñahui actúan como responsable o encargado.

6. Búsqueda y análisis. Las áreas internas ubican datos, documentos o sistemas. El DPD o responsable del caso analiza procedencia, límites, terceros, conservación y medidas posibles.

7. Decisión. Se acepta, acepta parcialmente o niega la solicitud de forma motivada.

8. Ejecución. Se entrega información, rectifica, actualiza, elimina, bloquea, limita, excluye de marketing, porta datos o adopta la medida aprobada.

9. Respuesta. Se comunica al titular en lenguaje claro, con explicación de lo realizado y de las razones legales cuando exista negativa total o parcial.

10. Cierre y archivo. Se conserva expediente con solicitud, validaciones, análisis, comunicaciones, respuesta, evidencia de ejecución y cierre.

10. Plazos de gestión y reglas de aclaración.

Los Cebiches de la Rumiñahui gestionarán las solicitudes conforme a los plazos legales aplicables al derecho ejercido. Como criterio general operativo, las solicitudes de acceso, rectificación, actualización, eliminación y oposición se atenderán dentro del plazo de quince (15) días desde su recepción completa, sin perjuicio de otros plazos específicos que establezca la normativa vigente o sectorial.

Cuando la solicitud requiera aclaración o ampliación, Los Cebiches de la Rumiñahui podrán pedirla por una sola vez dentro del término de cinco (5) días desde la recepción. El titular contará con el término de diez (10) días para completar o aclarar. Si no lo hace, la solicitud podrá archivarse con notificación motivada, sin impedir que el titular presente una nueva solicitud.

11. Reglas especiales por tipo de tratamiento.

11.1 Marketing, promociones y comunicaciones comerciales.

La oposición, baja o revocatoria relacionada con marketing debe gestionarse de forma prioritaria. Se debe actualizar la lista de exclusión y conservar evidencia mínima de la baja para evitar contactos futuros. La baja de marketing no impide comunicaciones transaccionales, legales o contractuales necesarias.

11.2 Pedidos, facturación y pagos.

Las solicitudes de eliminación de datos asociados a facturas, comprobantes, pagos, conciliaciones o soportes contables deberán analizarse frente a obligaciones tributarias, contables, defensa del consumidor y prevención de fraude. En estos casos puede proceder bloqueo o conservación restringida, pero no eliminación inmediata.

11.3 Sitio web, cookies y analítica.

Las solicitudes sobre cookies, identificadores, analítica o publicidad digital deberán coordinarse con el responsable del sitio web y proveedores tecnológicos. Cuando el tratamiento dependa de consentimiento, el titular debe poder retirar o configurar preferencias por mecanismos razonables.

11.4 Call center y grabaciones de voz.

Las solicitudes sobre grabaciones deben considerar fecha aproximada, número telefónico, canal, local, pedido o reclamo. La entrega debe evitar revelar voces o datos de terceros, información de agentes o contenido que afecte seguridad o defensa. Puede entregarse transcripción, extracto o copia tratada cuando proceda.

11.5 Videovigilancia y seguridad física.

Las solicitudes de acceso, eliminación u oposición sobre CCTV deben considerar el plazo de conservación, la ubicación, fecha y hora aproximada, derechos de terceros, seguridad, cadena de custodia y requerimientos de autoridad. La entrega de imágenes puede requerir difuminado, segmentación o visualización controlada.

11.6 Talento humano y expediente laboral.

Las solicitudes de trabajadores o ex trabajadores deben coordinarse con Talento Humano, nómina, legal, SST y sistemas relacionados. La entrega de información debe excluir datos de terceros, evaluaciones confidenciales no entregables, secretos empresariales o documentos sujetos a reserva o defensa.

11.7 Salud ocupacional.

Los datos de salud tienen reserva reforzada. Talento Humano no debe recibir historia clínica completa, salvo información mínima necesaria. Las solicitudes sobre historia clínica ocupacional, exámenes o certificados deben coordinarse con el médico ocupacional o proveedor autorizado, respetando confidencialidad médica y normativa sanitaria.

11.8 Franquiciados, proveedores y terceros.

Cuando el tratamiento involucre franquiciados, proveedores, pasarelas, aplicaciones de delivery o encargados, FRANCEB y LCR deberán verificar el rol de cada parte y coordinar la ejecución sin perder trazabilidad. Si el tercero es responsable independiente, se informará al titular el canal correspondiente cuando sea procedente.

11.9 Niñas, niños y adolescentes.

Las solicitudes relativas a menores deben analizarse bajo el interés superior del niño, representación legal, capacidad progresiva y minimización. La respuesta debe evitar exponer información innecesaria o afectar derechos del menor.

11.10 Incidentes, investigaciones y defensa.

Si la solicitud se relaciona con incidentes, investigaciones internas, fraudes, reclamos, acciones judiciales o requerimientos de autoridad, el análisis debe considerar conservación de evidencia, cadena de custodia, secreto profesional, defensa y límites legales.

12. Roles y responsabilidades internas.

13. Respuesta al titular y motivación.

Toda respuesta debe estar redactada en lenguaje claro, suficiente y respetuoso. Debe indicar qué solicitud se recibió, qué derecho se ejerció, cuál fue la decisión, qué medidas se adoptaron y, si existe negativa total o parcial, las razones legales, técnicas o de seguridad.

La respuesta debe incluir, cuando corresponda:

• Confirmación de aceptación, aceptación parcial o negativa.

• Descripción de la información entregada o de la medida ejecutada.

• Fecha de ejecución o plazo estimado si la medida requiere coordinación técnica.

• Límites aplicados, por ejemplo, datos de terceros, obligación legal de conservación, defensa de reclamaciones, seguridad, secreto profesional o imposibilidad técnica real.

• Información sobre canales de contacto para aclaraciones.

• Indicación de que el titular puede presentar reclamo ante la Superintendencia de Protección de Datos Personales si considera vulnerados sus derechos o no está conforme con la respuesta.

14. Registro, evidencia y conservación.

Toda solicitud debe quedar documentada en un registro interno de ejercicio de derechos.

El expediente mínimo deberá incluir:

• Solicitud original y canal de recepción.

• Fecha y hora de recepción.

• Datos del titular o representante.

• Derecho invocado o derecho identificado por FRANCEB y LCR.

• Validación de identidad o representación.

• Aclaraciones solicitadas y respuestas recibidas.

• Áreas internas y terceros involucrados.

• Análisis jurídico, técnico y operativo.

• Respuesta enviada al titular.

• Evidencia de ejecución de la medida aprobada.

• Fecha de cierre y responsable del cierre.

Los registros de solicitudes se conservarán durante el tiempo necesario para demostrar cumplimiento, atender auditorías, responder a la Autoridad de Protección de Datos Personales y defender a FRANCEB y LCR frente a reclamaciones. Como criterio operativo, el registro podrá conservarse por cinco (5) años desde el cierre, salvo que exista obligación, riesgo o reclamación que justifique un plazo mayor.

15. Seguridad, confidencialidad y protección del expediente.

El expediente de ejercicio de derechos puede contener copias de documentos de identidad, datos de contacto, información laboral, datos de salud, datos de pago, imágenes, grabaciones o información sensible. Por ello, debe manejarse bajo medidas de seguridad proporcionales al riesgo.

• Acceso restringido al DPD, áreas responsables y personal estrictamente autorizado.

• Uso de correos corporativos o canales seguros para intercambio de información.

• No enviar datos sensibles, historias clínicas, imágenes de CCTV o documentos completos por canales inseguros sin evaluar medidas de protección.

• Evitar copias innecesarias de cédulas, pasaportes, certificados, historias clínicas o archivos audiovisuales.

• Aplicar cifrado, contraseña, enlace seguro o entrega presencial cuando la naturaleza del dato lo justifique.

• No revelar datos personales de terceros en las respuestas.

• Registrar toda entrega de información, especialmente en casos de acceso, portabilidad, CCTV, grabaciones de voz o expediente laboral.

16. Vigencia y actualización.

Este procedimiento entra en vigencia desde su aprobación interna y será aplicable a toda solicitud recibida a partir de dicha fecha.

Deberá revisarse cuando exista cambio normativo, nuevas resoluciones de la SPDP, modificación sustancial de tratamientos, implementación de nuevos canales digitales, cambios en proveedores, incidentes, auditorías, reclamaciones recurrentes o ajustes en la Política General de Protección de Datos Personales.

Anexo I. Diagrama operativo.

El siguiente diagrama resume el flujo interno de atención. No reemplaza el análisis de cada caso concreto.

Anexo II. Checklist interno de atención de solicitudes