Protección de Datos Personales
Compromiso con la seguridad y protección de su información.
POLÍTICA DE PROTECCIÓN DE DATOS PERSONALES
HOSPITAL DE LOS VALLES S.A. HODEVALLES (en adelante, «el Hospital») pone a disposición de sus pacientes, colaboradores, personal médico, estudiantes, proveedores, accionistas, visitantes y demás titulares de datos personales la presente Política de Protección de Datos Personales (en adelante, la «Política»). Este documento constituye el marco general que rige la recolección, uso, comunicación, conservación y supresión de los datos personales tratados por el Hospital, en cumplimiento de la Ley Orgánica de Protección de Datos Personales (en adelante, «LOPDP»), su Reglamento General y la normativa emitida por la Superintendencia de Protección de Datos Personales (en adelante, «SPDP»).
INFORMACIÓN GENERAL DEL RESPONSABLE
El responsable del tratamiento es HOSPITAL DE LOS VALLES S.A. HODEVALLES, con Registro Único de Contribuyentes (RUC) No. 1791221753001, domiciliado en la Av. Interoceánica Km 12,5 y Av. Florencia, Cumbayá, Quito, provincia de Pichincha, Ecuador; teléfono +593 2 2977 900; correo electrónico institucional info@hospitaldelosvalles.com; y correo electrónico para asuntos de protección de datos personales protecciondedatos@hospitaldelosvalles.com
El Hospital es una sociedad anónima cuyo propósito fundamental es la prestación integral de servicios de salud, que comprende aquellas actividades permitidas para un Hospital de Especialidades de Tercer Nivel. En el desarrollo de estas actividades, el Hospital decide sobre las finalidades y medios del tratamiento de datos personales y, por tanto, actúa como responsable del tratamiento en los términos de la LOPDP.
OBJETIVO
La presente Política tiene por objetivo establecer el marco general, los lineamientos y los compromisos que rigen el tratamiento de datos personales que realiza el Hospital, con el fin de garantizar los derechos de los titulares, orientar la actuación de todas las personas que tratan datos personales en nombre del Hospital y dar cumplimiento al principio de responsabilidad proactiva y demostrada previsto en el artículo 10 literal k) de la LOPDP, al deber de información del artículo 12 de la LOPDP y al principio de privacidad por diseño y por defecto recogido en el artículo 47 literal j) de la LOPDP.
ALCANCE
Esta Política aplica a todo tratamiento de datos personales realizado por el Hospital, en cualquier soporte o medio, físico o digital, automatizado o no, y en todas sus áreas asistenciales, administrativas y de apoyo.
La Política es de obligatorio cumplimiento para los directivos, colaboradores, personal médico y asistencial, estudiantes en formación y, en lo pertinente, para los encargados del tratamiento, proveedores y demás terceros que traten datos personales por cuenta del Hospital.
Los titulares cuyos datos se rigen por esta Política incluyen, entre otros: pacientes y sus representantes legales, familiares o acompañantes; niñas, niños y adolescentes, incluidos los recién nacidos; trabajadores, extrabajadores, candidatos y sus cargas familiares; médicos tratantes y profesionales asociados; estudiantes de pregrado y posgrado en formación; proveedores, contratistas y su personal; clientes y pagadores; accionistas; visitantes; y cualquier otra persona natural cuyos datos sean tratados por el Hospital.
DEFINICIONES
Para efectos de esta Política, se aplican las definiciones de la LOPDP, entre las cuales se destacan las siguientes:
- Base de datos o fichero: conjunto estructurado de datos personales, cualquiera que fuera la forma, modalidad de creación, almacenamiento, organización y acceso.
- Consentimiento: manifestación de la voluntad libre, específica, informada e inequívoca por la que el titular autoriza el tratamiento de sus datos personales.
- Dato biométrico: dato personal único, relativo a las características físicas o fisiológicas de una persona, que permite su identificación, como la huella dactilar, la imagen o la voz.
- Dato personal: dato que identifica o hace identificable a una persona natural, directa o indirectamente.
- Datos relativos a la salud: datos relacionados con el estado de salud física o mental, pasado, presente o futuro, de una persona, incluida la información derivada de la prestación de servicios de salud.
- Datos sensibles: datos relativos a etnia, identidad de género, identidad cultural, religión, ideología, filiación política, pasado judicial, condición migratoria, orientación sexual, salud, datos genéticos, datos biométricos, vida sexual, entre otros, cuyo tratamiento indebido puede dar origen a discriminación o atentar contra los derechos y libertades fundamentales.
- Delegado de protección de datos: persona natural encargada de informar al responsable o al encargado sobre sus obligaciones legales en materia de protección de datos, velar por su cumplimiento y cooperar con la autoridad de protección de datos, sirviendo además como punto de contacto entre esta y el responsable.
- Destinatario: persona natural o jurídica, pública o privada, que recibe la comunicación de datos personales.
- Elaboración de perfiles: todo tratamiento que permita evaluar aspectos de una persona natural, en particular analizar o predecir su rendimiento, situación económica, salud, preferencias, intereses, fiabilidad, comportamiento, ubicación o movimientos.
- Encargado del tratamiento: persona natural o jurídica, pública o privada, que trata datos personales por cuenta del responsable del tratamiento.
- Responsable del tratamiento: persona natural o jurídica, pública o privada, que decide sobre la finalidad y el tratamiento de los datos personales.
- Seudonimización: tratamiento por el cual los datos personales ya no pueden atribuirse a un titular sin utilizar información adicional, siempre que dicha información conste por separado y esté sujeta a medidas que garanticen la no atribución.
- Titular: persona natural cuyos datos personales son objeto de tratamiento.
- Transferencia o comunicación de datos: manifestación, declaración, entrega, consulta, interconexión, cesión, transmisión, difusión, divulgación o cualquier forma de revelación de datos personales realizada a una persona distinta del titular.
- Tratamiento: cualquier operación o conjunto de operaciones realizadas sobre datos personales, como la recolección, registro, organización, estructuración, conservación, uso, comunicación, transferencia, supresión o destrucción, entre otras.
MARCO LEGAL
El tratamiento de datos personales en el Hospital se rige principalmente por: la Constitución de la República del Ecuador, en particular los artículos 66, numerales 19 y 20, y 92; la Ley Orgánica de Protección de Datos Personales, publicada en el Registro Oficial Suplemento No. 459 de 26 de mayo de 2021; el Reglamento General a la LOPDP, expedido mediante Decreto Ejecutivo No. 904 de 2023; y la normativa emitida por la Superintendencia de Protección de Datos Personales, incluyendo la Resolución No. SPDP-SPD-2025-0006-R, sobre cláusulas para contratos con encargados del tratamiento; la Resolución No. SPDP-SPD-2025-0024-R, normativa general de aplicación de la LOPDP; la Resolución No. SPDP-SPD-2025-0028-R, que regula al delegado de protección de datos; y la Resolución No. SPDP-SPD-2026-0005-R, sobre la calificación de tratamientos a gran escala y el registro de actividades de tratamiento.
Por la naturaleza de sus actividades, el Hospital observa además la normativa sanitaria aplicable a la información de salud, entre otras: la Ley Orgánica de Salud; la Ley Orgánica del Sistema Nacional de Salud; la Ley de Derechos y Amparo del Paciente; el Reglamento de Información Confidencial en el Sistema Nacional de Salud; el Reglamento para el Manejo de la Historia Clínica Única y la normativa técnica sobre la historia clínica electrónica; la Ley Orgánica para la Atención Integral del Cáncer; y la Ley Orgánica de Salud Mental y su Reglamento General.
COMPROMISO DE TRATAMIENTO LÍCITO
El Hospital se compromete a tratar los datos personales de manera lícita, leal y transparente, recabando únicamente los datos necesarios para finalidades determinadas, explícitas y legítimas, e informando a los titulares sobre el tratamiento de sus datos a través de esta Política, de los avisos de privacidad y de los demás canales habilitados.
En particular, el Hospital reconoce que la información de salud de sus pacientes, incluida la historia clínica, está sujeta a confidencialidad y secreto profesional conforme al artículo 30 de la LOPDP y a la normativa sanitaria, por lo que su acceso, uso y comunicación se limitan a lo estrictamente necesario para la atención del paciente, la gestión hospitalaria y el cumplimiento de la ley. El Hospital no vende ni comercializa datos personales, y exige a su personal y a sus encargados del tratamiento el mismo estándar de licitud, confidencialidad y seguridad.
FUNDAMENTOS DEL TRATAMIENTO DE DATOS PERSONALES
De conformidad con el artículo 7 de la LOPDP, el Hospital sustenta el tratamiento de datos personales en una o varias de las siguientes bases de legitimación:
- El consentimiento del titular para una o varias finalidades específicas.
- El cumplimiento de obligaciones legales a cargo del Hospital, como las derivadas de la normativa sanitaria, tributaria, laboral, societaria y de seguridad social.
- El cumplimiento de una orden judicial o de requerimientos de autoridad competente.
- La ejecución de medidas precontractuales a petición del titular o el cumplimiento de obligaciones contractuales, como la prestación de los servicios de salud y las relaciones con trabajadores, médicos, estudiantes, proveedores y aseguradoras.
- La protección de intereses vitales del titular o de otra persona natural, como ocurre en la atención de emergencias médicas.
- La satisfacción de intereses legítimos del Hospital o de un tercero, siempre que no prevalezcan los derechos y libertades fundamentales de los titulares, como la seguridad de las instalaciones y la defensa de los derechos del Hospital.
Tratándose de datos sensibles y, en especial, de datos relativos a la salud, el Hospital ampara su tratamiento, en cumplimiento de los artículos 26, 30, 31 y 32 de la LOPDP.
PRINCIPIOS PARA EL TRATAMIENTO
El Hospital aplica en todo tratamiento los principios del artículo 10 de la LOPDP:
- Juridicidad: los datos se tratan con estricto apego a la Constitución, los instrumentos internacionales, la LOPDP y demás normativa aplicable.
- Lealtad: el tratamiento es leal, sin utilizar medios fraudulentos, desleales o ilícitos.
- Transparencia: la información sobre el tratamiento se entrega de forma accesible y en lenguaje claro y sencillo.
- Finalidad: los datos se tratan para fines determinados, explícitos y legítimos, comunicados al titular.
- Pertinencia y minimización: los datos son pertinentes y se limitan a lo estrictamente necesario para la finalidad.
- Proporcionalidad: el tratamiento es adecuado, necesario, oportuno, relevante y no excesivo.
- Confidencialidad: el tratamiento se realiza bajo sigilo y secreto, incluso profesional, deber que subsiste aun finalizada la relación con el titular.
- Calidad y exactitud: los datos deben ser exactos, íntegros, precisos, completos, comprobables y, de ser el caso, actualizados.
- Conservación: los datos se conservan solo durante el tiempo necesario para cumplir la finalidad o las obligaciones legales aplicables.
- Seguridad de los datos personales: se aplican medidas técnicas, organizativas y de cualquier otra índole para proteger los datos frente a riesgos.
- Responsabilidad proactiva y demostrada: el Hospital acredita el cumplimiento de la normativa mediante mecanismos verificables, como esta Política, el registro de actividades de tratamiento y sus procedimientos internos.
- Aplicación favorable al titular: en caso de duda, la normativa se interpreta en el sentido más favorable al titular.
- Independencia del control: el Hospital reconoce y coopera con la autoridad de protección de datos en el ejercicio independiente de sus funciones.
DATOS OBJETO DEL TRATAMIENTO
En función del grupo de titulares y de la finalidad, el Hospital trata categorías generales de datos personales tales como: datos identificativos (nombres, cédula o pasaporte, fecha de nacimiento, firma); datos de contacto (dirección, teléfono, correo electrónico); datos de características personales y familiares; datos laborales, académicos y profesionales; datos económicos, financieros y bancarios; datos de seguros y de facturación; y datos derivados del uso de sistemas institucionales.
Adicionalmente, por la naturaleza de la actividad hospitalaria, se tratan datos de categorías especiales en los siguientes contextos:
Categoría especial | Contexto del tratamiento |
Datos relativos a la salud | Historia clínica, diagnósticos, signos vitales, resultados de laboratorio e imagen, prescripciones, información sobre discapacidad y salud mental. Se tratan para la atención médica del paciente, la gestión hospitalaria, la auditoría médica, la facturación y la cobertura con aseguradoras, y el cumplimiento de obligaciones sanitarias. También comprende datos de salud de trabajadores (certificados médicos, exámenes ocupacionales) y de participantes en chequeos ejecutivos. |
Datos biométricos (incluye videovigilancia) | Imagen y voz captadas por las cámaras de videovigilancia instaladas para la seguridad de personas e instalaciones; huella dactilar utilizada en los controles de asistencia del personal y en la suscripción de consentimientos informados cuando el titular no puede firmar. |
Origen étnico o racial | Autoidentificación étnica registrada en la admisión de pacientes conforme a los formatos y obligaciones del sistema de salud. |
Convicciones religiosas | Registro de la religión o creencias del paciente cuando es relevante para respetar sus decisiones en la atención médica. |
Condición socioeconómica | Fichas socioeconómicas de trabajadores levantadas para el otorgamiento de préstamos, ayudas y beneficios sociales. |
Pasado judicial | Casos excepcionales de coordinación con la Policía Nacional para la custodia y seguridad de pacientes privados de libertad o que han llegado por emergencia con heridas de armas de fuego o arma blanca. |
Fuera de los contextos descritos, el Hospital no solicita datos sensibles. Si un nuevo tratamiento llegara a requerirlos, se recabarán con el consentimiento explícito del titular o al amparo de otra de las habilitaciones del artículo 26 de la LOPDP, con las salvaguardas reforzadas que correspondan.
Cuando los datos personales no se obtengan directamente del titular, por ejemplo, en el caso de cargas familiares de trabajadores, beneficiarios de convenios institucionales o información remitida por aseguradoras, el Hospital informará al titular el origen de los datos conforme al artículo 12 de la LOPDP. La negativa a entregar los datos necesarios para una determinada gestión podrá impedir la prestación del servicio o la atención de la solicitud correspondiente.
ALMACENAMIENTO Y CONSERVACIÓN
Los datos personales se almacenan en los sistemas de información hospitalarios y administrativos del Hospital, propios o provistos por terceros, en servidores locales y en servicios en la nube, en el correo institucional y en archivos físicos con acceso restringido, que comprenden un archivo activo y un archivo pasivo. Los sistemas de información cuentan con controles de acceso y medidas de seguridad técnicas, conforme a las políticas y procedimientos establecidos por el hospital.
Los datos se conservan únicamente durante el tiempo necesario para cumplir las finalidades que motivaron su recolección y las obligaciones legales aplicables. En particular, la historia clínica se conserva por los plazos exigidos por la normativa sanitaria.
Cumplidos los plazos aplicables, los datos serán suprimidos de forma segura, anonimizados o, cuando corresponda, bloqueados, conforme a los criterios de conservación y eliminación que el Hospital defina en sus procedimientos internos y dependientdo de las capacidades técnicas de los sistemas involucrados
DERECHOS DE LOS TITULARES Y RESPONSABILIDAD
Los titulares de datos personales pueden ejercer frente al Hospital los siguientes derechos:
- Derecho a la información: conocer, de forma clara y accesible, las condiciones del tratamiento de sus datos personales, conforme al artículo 12 de la LOPDP.
- Derecho de acceso: obtener del Hospital, de forma gratuita, sus datos personales y la información del tratamiento, conforme al artículo 13 de la LOPDP.
- Derecho de rectificación y actualización: solicitar la corrección o actualización de sus datos inexactos o incompletos, conforme al artículo 14 de la LOPDP.
- Derecho de eliminación: solicitar la supresión de sus datos personales en los supuestos previstos en el artículo 15 de la LOPDP.
- Derecho de oposición: oponerse o negarse al tratamiento de sus datos en los casos previstos en el artículo 16 de la LOPDP.
- Derecho a la portabilidad: recibir sus datos personales en un formato compatible y de uso común, o solicitar su transmisión a otro responsable, conforme al artículo 17 de la LOPDP.
- Derecho a la suspensión del tratamiento: obtener la limitación temporal del tratamiento en los supuestos del artículo 19 de la LOPDP, por ejemplo, mientras se verifica la exactitud de los datos impugnados.
Estos derechos no son absolutos. Conforme al artículo 18 de la LOPDP, los derechos de rectificación, actualización, eliminación, oposición, anulación y portabilidad no proceden, entre otros casos, cuando el tratamiento es necesario para el cumplimiento de una obligación legal, contractual o de una orden judicial, por razones de interés público, o para la formulación, el ejercicio o la defensa de reclamaciones. En el ámbito hospitalario, la eliminación no procede respecto de la historia clínica y demás información asistencial mientras la normativa sanitaria exija su conservación.
- Derecho a revocar el consentimiento: retirar en cualquier momento el consentimiento otorgado, sin que ello afecte la licitud del tratamiento previo a la revocatoria ni los tratamientos amparados en otra base de legitimación, conforme al artículo 8 de la LOPDP.
- Derecho a no ser objeto de decisiones automatizadas: el titular tiene derecho a no ser objeto de una decisión basada única o parcialmente en valoraciones producto de procesos automatizados, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o que atente contra sus derechos y libertades fundamentales, conforme al artículo 20 de la LOPDP.
Si el Hospital llegara a adoptar decisiones de esta naturaleza, el titular tendrá derecho a solicitar una explicación de la decisión adoptada, a obtener la intervención humana en el proceso, a expresar su punto de vista y a impugnar la decisión.
El Hospital puede realizar evaluaciones o análisis de aspectos personales con intervención humana, por ejemplo, en la evaluación de desempeño de sus colaboradores o en análisis clínico-administrativos; estas actuaciones no constituyen decisiones automatizadas de las descritas en el literal anterior y, en todo caso, se ejecutan garantizando los derechos de los titulares.
El Hospital es responsable de dar cumplimiento a los derechos de los titulares y de demostrar dicho cumplimiento, en aplicación del principio de responsabilidad proactiva y demostrada.
DERECHOS DE LOS MENORES DE EDAD
El Hospital atiende a pacientes niñas, niños y adolescentes, incluidos los recién nacidos, y trata datos de estudiantes y de cargas familiares de sus trabajadores que pueden ser menores de edad. Todo tratamiento de datos de menores se realiza atendiendo su interés superior, reconocido en el artículo 44 de la Constitución de la República, y los principios de la LOPDP.
El tratamiento de datos personales de niñas, niños y adolescentes se sustenta, según corresponda, en la autorización del titular de la patria potestad o del representante legal, en la protección de sus intereses vitales o en la prestación de los servicios de salud conforme a los artículos 26 y 30 de la LOPDP. Los datos sensibles de menores se tratan únicamente con la autorización expresa correspondiente o cuando exista una habilitación legal, conforme al artículo 21 de la LOPDP, y bajo confidencialidad reforzada.
El ejercicio de los derechos de los titulares menores de quince años se canaliza a través de su representante legal. Los adolescentes a partir de los quince años pueden ejercer sus derechos directamente, conforme a los artículos 21 y 24 de la LOPDP.
EJERCICIO DE LOS DERECHOS POR PARTE DEL TITULAR
Los titulares pueden ejercer sus derechos, de forma gratuita, a través del canal habilitado por el Hospital en su página web https://hospitaldelosvalles.com/politicadeprivacidad/. Los formularios para el ejercicio de derechos estarán disponibles en dicho canal y en las instalaciones del Hospital, así como la información sobre los documentos que deben acompañarse para su ejercicio.
Las solicitudes serán atendidas en el término de quince (15) días contados desde su recepción. Si el titular considera que su solicitud no fue atendida o fue negada injustificadamente, puede presentar su reclamo ante la Superintendencia de Protección de Datos Personales, sin perjuicio de las demás acciones previstas en la ley.
LIMITACIÓN DE LA FINALIDAD
Los datos personales se tratan exclusivamente para las finalidades determinadas, explícitas y legítimas que fueron informadas al titular o que se derivan de una base de legitimación aplicable. El Hospital no utiliza los datos para finalidades incompatibles con las originales. Cuando pretenda tratar los datos para una finalidad nueva, verificará previamente su compatibilidad o la existencia de una base de legitimación propia y, de ser necesario, informará al titular o recabará su consentimiento.
DEBERES DEL HOSPITAL
En su calidad de responsable del tratamiento, el Hospital asume, entre otros, los siguientes deberes:
- Tratar los datos personales con sujeción a los principios y derechos previstos en la LOPDP, su Reglamento General y la normativa sanitaria aplicable.
- Informar a los titulares sobre las condiciones del tratamiento y garantizar el ejercicio efectivo de sus derechos.
- Mantener actualizado el registro de actividades de tratamiento y demás herramientas de gobernanza de datos personales.
- Aplicar medidas técnicas, organizativas y físicas apropiadas a los riesgos del tratamiento, y evaluar dichos riesgos, incluida la realización de evaluaciones de impacto cuando corresponda.
- Suscribir con los encargados del tratamiento los contratos o cláusulas exigidos por la normativa y verificar que ofrezcan garantías suficientes.
- Gestionar y, de ser el caso, notificar las vulneraciones de seguridad de datos personales conforme a la LOPDP y su Reglamento General.
- Capacitar a su personal en materia de protección de datos personales y confidencialidad de la información de salud.
- Contar con un delegado de protección de datos y facilitar el cumplimiento de sus funciones.
- Demostrar el cumplimiento de la normativa ante la Superintendencia de Protección de Datos Personales cuando esta lo requiera.
CICLO DE VIDA DE LOS DATOS
El Hospital gestiona los datos personales a lo largo de todo su ciclo de vida, conforme al siguiente esquema:
Fase | ¿Qué se hace? | Prácticas Responsables |
Planificación y diseño | Se define qué datos se necesitan, con qué finalidad y con qué base de legitimación, antes de iniciar el tratamiento. | Privacidad por diseño y por defecto; minimización de datos; evaluación de riesgos para tratamientos de alto riesgo. |
Recolección | Se recaban los datos directamente del titular o de fuentes legítimas. | Información al titular; consentimiento cuando aplica; formularios y avisos de privacidad; verificación de representación en el caso de menores. |
Registro y almacenamiento | Los datos se incorporan a los sistemas de información y a los archivos físicos del Hospital. | Control de accesos por perfiles; credenciales individuales; resguardo del archivo físico con acceso restringido. |
Uso | Los datos se emplean para la finalidad informada, en la atención de salud y en la gestión institucional. | Acceso limitado al personal autorizado; confidencialidad y secreto profesional; trazabilidad de accesos. |
Comunicación y transferencia | Los datos se comunican a destinatarios legítimos: autoridades, aseguradoras, encargados del tratamiento y otros. | Verificación de la base de legitimación; contratos y cláusulas con encargados; garantías adecuadas en transferencias internacionales. |
Conservación y archivo | Los datos se mantienen durante los plazos legales o necesarios para la finalidad. | Plazos y criterios de retención definidos; archivo pasivo restringido; conservación de la historia clínica conforme a la normativa sanitaria. |
Supresión o anonimización | Cumplido el plazo o la finalidad, los datos se eliminan, anonimizan o bloquean. | Eliminación segura de soportes físicos y digitales; registro de la supresión; bloqueo cuando la ley lo exige. |
Verificación y mejora continua | Se revisa periódicamente el cumplimiento de la Política y del ciclo de vida. | Auditorías y controles internos; actualización del registro de actividades; gestión de incidentes; capacitación permanente. |
FINALIDADES DEL TRATAMIENTO
Sin perjuicio de las finalidades específicas detalladas en los avisos de privacidad y en el registro de actividades de tratamiento, el Hospital trata datos personales para las siguientes finalidades generales, de acuerdo con el grupo de interés:
- Pacientes y sus representantes o familiares: agendamiento y admisión; prestación de los servicios de salud en todas las áreas asistenciales; gestión de la historia clínica; provisión de medicamentos e insumos; facturación, cobro y recuperación de cartera; coordinación de coberturas con aseguradoras, empresas de medicina prepagada y entidades de seguridad social; auditoría médica; atención de quejas y requerimientos; y cumplimiento de obligaciones sanitarias, tributarias y de reporte a autoridades.
- Trabajadores, candidatos y sus cargas familiares: selección y contratación; administración de la relación laboral; pago de nómina y beneficios; seguridad y salud ocupacional; capacitación y evaluación de desempeño; control de asistencia; y cumplimiento de obligaciones laborales y de seguridad social.
- Personal médico y profesionales asociados: vinculación y acreditación; coordinación asistencial; liquidación de honorarios; docencia; y comunicaciones institucionales.
- Estudiantes en formación: registro, rotaciones, evaluación y gestión académica en el marco de los convenios con universidades.
- Proveedores y contratistas: selección, calificación y registro; gestión contractual, de compras y de pagos; control de acceso a las instalaciones; y seguridad y salud ocupacional cuando prestan servicios en el Hospital.
- Clientes y pagadores: facturación de bienes y servicios, gestión contable y tributaria, y gestión de convenios institucionales.
- Accionistas: cumplimiento de obligaciones societarias, cálculo y pago de dividendos, y comunicaciones corporativas.
- Visitantes y terceros: control de ingreso, seguridad de personas e instalaciones mediante videovigilancia, y atención de requerimientos.
DELEGADO DE PROTECCIÓN DE DATOS PERSONALES
Por tratar datos de categorías especiales a gran escala, el Hospital cuenta con un delegado de protección de datos, conforme al artículo 48 de la LOPDP y a la Resolución No. SPDP-SPD-2025-0028-R. El delegado designado es Gabriel Santelices, con correo electrónico gabriel.santelices@dentons.com.
El delegado asesora al Hospital y a su personal sobre sus obligaciones en materia de protección de datos; supervisa el cumplimiento de la normativa y de esta Política; coopera con la Superintendencia de Protección de Datos Personales y actúa como punto de contacto con ella; y atiende las consultas de los titulares sobre el tratamiento de sus datos personales y el ejercicio de sus derechos.
TRANSFERENCIA Y COMUNICACIONES DE DATOS PERSONALES
El Hospital comunica datos personales a destinatarios nacionales cuando existe una base de legitimación que lo permite, entre otros: autoridades y entidades públicas, como el Ministerio de Salud Pública, el Instituto Ecuatoriano de Seguridad Social y demás entidades de seguridad social, el Servicio de Rentas Internas, el Ministerio del Trabajo, el Registro Civil, la Agencia de Aseguramiento de la Calidad de los Servicios de Salud y Medicina Prepagada y los órganos de la Función Judicial; aseguradoras y empresas de medicina prepagada, para la cobertura de las atenciones, siempre que exista la autorización expresa del afiliado; instituciones financieras, para la gestión de pagos y cobros; universidades, en el marco de los convenios de docencia; la Cruz Roja Ecuatoriana, en la gestión de productos sanguíneos; y empresas con convenios institucionales, atendiendo siempre a los principios de necesidad, minimización y finalidad.
Asimismo, el Hospital se apoya en encargados del tratamiento que tratan datos por cuenta del Hospital, tales como laboratorios de apoyo, proveedores de sistemas y servicios tecnológicos, servicios de archivo y digitalización, empresas de alimentación hospitalaria y de seguridad física, entre otros. Con estos terceros se suscriben los contratos o cláusulas de encargo exigidos por la normativa, que les obligan a tratar los datos únicamente según las instrucciones del Hospital y con medidas de seguridad adecuadas.
Ciertas comunicaciones implican transferencias internacionales de datos personales, principalmente el envío de información a aseguradoras del exterior para la cobertura médica de los pacientes, el uso de servicios tecnológicos y de nube provistos desde otros países y la gestión de pagos con entidades financieras del exterior. Estas transferencias se realizan previo consentimiento de los titulares, bajo garantías adecuadas, o al amparo de otra de las habilitaciones previstas en los artículos 55 a 61 de la LOPDP, como la ejecución de un contrato celebrado en interés del titular o la protección de sus intereses vitales. El Hospital no vende, alquila ni cede datos personales a terceros para fines comerciales independientes.
SEGURIDAD DE LA INFORMACIÓN
El Hospital adopta medidas técnicas, organizativas y físicas orientadas a proteger los datos personales, considerando la naturaleza de la información, los riesgos asociados a su tratamiento y las características de los sistemas y servicios tecnológicos involucrados.
Estas medidas podrán incluir, según corresponda: : control de accesos a los sistemas mediante credenciales de usuario, con perfiles y permisos según las funciones de cada cargo; compromisos de buen uso de credenciales; herramientas de protección como antivirus, firewall perimetral y medidas de protección de la información durante su almacenamiento y transmisión, respaldos periódicos de la información; trazabilidad de accesos; restricción del acceso físico a las áreas de archivo y oficinas con información personal; videovigilancia de las instalaciones; y obligaciones de confidencialidad para todo el personal y los terceros autorizados.
El Hospital evalúa los riesgos de sus tratamientos, realiza evaluaciones de impacto cuando corresponde y gestiona las vulneraciones de seguridad a través de sus procedimientos internos, incluyendo su registro y la notificación a la Superintendencia de Protección de Datos Personales y a los titulares en los casos y plazos previstos en la LOPDP y su Reglamento General.
CONSULTAS, QUEJAS Y RECLAMOS
Los titulares pueden presentar consultas, quejas o reclamos relacionados con el tratamiento de sus datos personales a través del canal habilitado por el Hospital: protecciondedatos@hospitaldelosvalles.com o dirigiéndose al delegado de protección de datos al correo gabriel.santelices@dentons.com. Las comunicaciones serán atendidas en el término de diez (10) días.
Si el titular no recibe respuesta oportuna o considera que la respuesta es contraria a sus derechos, puede presentar su reclamo ante la Superintendencia de Protección de Datos Personales, sin perjuicio de las acciones administrativas o judiciales que la ley le reconoce.
CAMBIOS EN LA POLÍTICA
El Hospital revisará periódicamente esta Política y podrá modificarla para reflejar cambios normativos, institucionales u operativos. Las versiones actualizadas serán publicadas en el sitio web institucional y difundidas por los canales internos del Hospital. Cuando los cambios afecten de manera sustancial las condiciones del tratamiento, el Hospital informará a los titulares y, de ser necesario, recabará nuevamente su consentimiento.
VIGENCIA
La presente Política entra en vigencia a partir de su aprobación y expedición por parte de la administración del Hospital, el 21 de septiembre de 2026, y permanecerá vigente mientras no sea modificada o sustituida por una nueva versión.
AVISO DE PRIVACIDAD PARA PACIENTES
HOSPITAL DE LOS VALLES S.A. HODEVALLES (en adelante, «HDLV» o el «Hospital») está comprometido con la protección de los datos personales y la privacidad de sus pacientes y de sus representantes legales, familiares o acompañantes. En cumplimiento de la Ley Orgánica de Protección de Datos Personales (en adelante, «LOPDP»), su Reglamento, la Normativa Sanitaria aplicable y de la Política de Protección de Datos Personales del Hospital, ponemos a su disposición el presente Aviso de Privacidad y Protección de Datos Personales.
El presente aviso de privacidad está elaborado para informar sobre los datos personales que el HDLV recolecta y/o trata, así como las finalidades, almacenamiento, ejercicio de derechos y consideraciones que demuestran el respeto a los derechos y libertades de los Titulares, de tal manera que exista tranquilidad de que los datos mencionados serán resguardados y no serán utilizados indebidamente ni filtrados a terceros no autorizados.
El Hospital reconoce que la información sobre datos de salud de sus pacientes, incluida la historia clínica, está sujeta a confidencialidad y secreto profesional conforme al artículo 30 de la LOPDP y a la Normativa Sanitaria, por lo que su acceso, uso y comunicación se limitan a lo estrictamente necesario para la atención del paciente, la gestión hospitalaria y el cumplimiento de la ley.
De conformidad con lo requerido por la legislación aplicable, se informa a los pacientes y a sus representantes lo siguiente:
RESPONSABLE DEL TRATAMIENTO DE DATOS PERSONALES
El responsable del tratamiento de los datos personales es:
Razón social: HOSPITAL DE LOS VALLES S.A. HODEVALLES
RUC: 1791221753001
Domicilio: Av. Interoceánica Km 12.5 y Av. Florencia, Edificio Especialidades Médicas H. de los Valles, Cumbayá, Quito, Pichincha, Ecuador.
Teléfono: 022977900
Correo electrónico: info@hospitaldelosvalles.com
PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES
El HDLV aplicará los principios establecidos en la LOPDP como pilares fundamentales en la recolección, uso y tratamiento de datos personales, en especial en cuanto al acceso restringido, calidad y exactitud, conservación, confidencialidad, juridicidad, licitud en el tratamiento, finalidad, seguridad y transparencia que la norma promueve.
El Hospital trata los datos personales de sus pacientes de acuerdo con la Constitución de la República del Ecuador, la Ley Orgánica de Protección de Datos Personales, su Reglamento, la normativa sanitaria aplicable y demás normas en materia de protección de datos, así como regulaciones internas definidas por el HDLV.
DATOS PERSONALES RECOLECTADOS
El HDLV obtiene y procesa datos personales de sus pacientes durante el agendamiento y la admisión, la prestación de los servicios de salud, la facturación y la coordinación de coberturas, así como en las actualizaciones de datos que se realizan regularmente.
Los datos son recolectados y tratados de acuerdo con la finalidad buscada en cada proceso específico del Hospital. Por tanto, no todos los datos del siguiente listado serán tratados necesariamente ni en todo momento, sino únicamente cuando fueran exclusivamente necesarios para cumplir con alguna de las actividades o relaciones puntuales entre el Titular y el HDLV:
De manera general, se tratan los siguientes datos:
| Categoría | Datos Específicos |
| Datos de identificación | Nombres, apellidos, número de cédula o pasaporte, fecha de nacimiento, edad, género, estado civil |
| Datos de contacto | Dirección domiciliaria, correo electrónico, número de teléfono, número de celular |
| Datos demográficos y familiares | Datos de características personales y familiares, y datos del representante legal, familiar o acompañante cuando corresponda |
| Datos económicos y de facturación | Datos de facturación, información de seguros y de cobertura, y datos financieros necesarios para el pago (incluyendo los primeros y últimos cuatro dígitos de la tarjeta de crédito) |
Por la naturaleza de la actividad hospitalaria, en circunstancias específicas se tratan datos de categoría especial:
| Categoría especial | Contexto del tratamiento |
| Datos relativos a la salud | Historia clínica, diagnósticos, signos vitales, resultados de laboratorio e imagen, prescripciones, información sobre discapacidad y salud mental, tratados para la atención médica, la gestión hospitalaria, la auditoría médica, la facturación y la cobertura con aseguradoras |
| Datos biométricos | Imagen y voz captadas por las cámaras de videovigilancia; huella dactilar utilizada en la suscripción de consentimientos informados cuando el titular no puede firmar |
| Origen étnico o racial | Autoidentificación étnica registrada en la admisión del paciente conforme a los formatos y obligaciones del sistema de salud |
| Convicciones religiosas | Registro de la religión o creencias del paciente cuando es relevante para respetar sus decisiones en la atención médica. |
| Pasado judicial | Casos excepcionales de coordinación con la Policía Nacional para la custodia y seguridad de pacientes privados de libertad o que ingresan por emergencia con heridas de arma de fuego o arma blanca |
Los datos recolectados pueden ser proporcionados directamente por el paciente o su representante legal, familiar o acompañante, generados en el marco de la prestación de los servicios de salud, u obtenidos de las aseguradoras y de otras entidades del Sistema Nacional de Salud, conforme a la ley. Cuando los datos no se obtengan directamente del titular, el Hospital informará su origen conforme al artículo 12 de la LOPDP.
El tratamiento de datos personales sensibles, en especial de datos relativos a la salud, se realiza al amparo de los artículos 26, 30 y 31 de la LOPDP y de la normativa sanitaria, con las salvaguardas reforzadas que correspondan. Los datos sensibles de menores de edad se tratan únicamente con la autorización expresa correspondiente o cuando exista una habilitación legal, conforme a los artículos 21 y 26 de la LOPDP, y bajo confidencialidad reforzada.
FUNDAMENTOS Y FINALIDADES DEL TRATAMIENTO DE LOS DATOS PERSONALES
Bases de Legitimación
Todo tratamiento lícito de los datos personales de los pacientes se realiza sobre una o varias de las siguientes bases de legitimación:
Ejecución contractual y prestación de los servicios de salud (Art. 7.5 LOPDP): El tratamiento es necesario para la prestación de los servicios de salud y la ejecución de la relación derivada de la atención médica del paciente.
Cumplimiento de obligaciones legales (Art. 7.2 LOPDP): Cuando el tratamiento sea necesario para cumplir con obligaciones legales del HDLV, en especial las derivadas de la normativa sanitaria, tributaria y de reporte a autoridades competentes.
Protección de intereses vitales (Art. 7.6 LOPDP): Para proteger intereses vitales del paciente o de otra persona natural, como su vida, salud o integridad, en especial en la atención de emergencias médicas.
Interés legítimo (Arts. 7.8 y 9 LOPDP): Para finalidades en las que prevalece el interés legítimo del Hospital, como la seguridad física de las instalaciones, la videovigilancia y la defensa de los derechos del Hospital, siempre que medie el respectivo análisis de necesidad, proporcionalidad y ponderación.
Consentimiento (Arts. 7.1 y 8 LOPDP): Para finalidades específicas que lo requieran, en particular para el tratamiento de datos sensibles fuera de las habilitaciones legales y para la comunicación de datos a aseguradoras y empresas de medicina prepagada, cuando corresponda. El consentimiento puede ser retirado en cualquier momento.
En atención a los principios de minimización y proporcionalidad, la información a ser requerida por el HDLV siempre resultará imprescindible para realizar los procesos que ameritan la recopilación de datos.
Finalidades del Tratamiento
Los datos recabados por el HDLV se utilizarán para las siguientes finalidades:
Atención en salud
Agendamiento y admisión: registro y creación del paciente, agendamiento de citas y admisión en las distintas áreas asistenciales.
Prestación de los servicios de salud: atención médica en laboratorio, imagen, valles mujer emergencia, hospitalización, quirófano, unidades de cuidados intensivos, neonatología, rehabilitación, imagen, laboratorio, medicina transfusional y demás servicios; toma de signos vitales; y provisión de medicamentos e insumos.
Gestión de la historia clínica: elaboración, alimentación, custodia y manejo de la historia clínica y de los expedientes clínicos del paciente.
Estudios y exámenes: realización de estudios de imagen, laboratorio y otros exámenes diagnósticos, y elaboración de los reportes correspondientes.
Gestión administrativa y financiera
Facturación y cobro: facturación de los servicios prestados, cobro y recuperación de cartera.
Coordinación de coberturas: coordinación de coberturas con aseguradoras, empresas de medicina prepagada y entidades de seguridad social.
Auditoría médica: revisión y auditoría de las atenciones y de la facturación para verificación y control interno.
Atención de quejas y requerimientos: recepción y resolución de quejas, consultas y requerimientos de los pacientes.
Seguridad y cumplimiento
Videovigilancia: operación del sistema de videovigilancia en las instalaciones para la seguridad de personas y activos, en los términos descritos en la sección de Videovigilancia y Seguridad de la Información de este Aviso.
Cumplimiento de obligaciones sanitarias y legales: cumplimiento de las obligaciones de reporte a autoridades sanitarias y competentes, y atención de requerimientos de autoridad.
A la fecha, el HDLV no realiza valoraciones ni decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre el Titular o le afecten significativamente. Sin embargo, sí realiza la elaboración de perfiles para determinar la aptitud y elegibilidad de candidatos a determinados puestos de trabajo en el proceso de selección de personal y adscripciones de médicos.
La negativa a entregar los datos necesarios para una determinada gestión podrá impedir la prestación del servicio o la atención de la solicitud correspondiente.
ALMACENAMIENTO, CONSERVACIÓN Y TRANSFERENCIA
– Ubicación del almacenamiento
Los datos personales de los pacientes son almacenados en archivos físicos con acceso restringido (archivo activo y archivo pasivo), en los computadores del personal autorizado y en los sistemas de información hospitalarios y administrativos del Hospital, propios o provistos por terceros, incluyendo los sistemas de Historia Clínica Electrónica, RIS-PACS, LIS, sistema de gestión de dietas, CRM y el sistema financiero, generando las bases de datos necesarias.
– Política de no cesión de datos
El HDLV no vende ni alquila datos personales que puedan identificar o ayudar a identificar al paciente. No obstante, el HDLV podrá comunicar datos personales a destinatarios autorizados cuando exista una base de legitimación que lo permita, tales como: el Ministerio de Salud Pública, el Instituto Ecuatoriano de Seguridad Social (IESS) y demás entidades de seguridad social, el Registro Civil, los órganos de la Función Judicial y demás autoridades competentes; aseguradoras y empresas de medicina prepagada, para la cobertura de las atenciones, siempre que exista la autorización expresa correspondiente; laboratorios y proveedores de servicios de apoyo diagnóstico; y la Cruz Roja Ecuatoriana, en la gestión de productos sanguíneos.
El HDLV exigirá a los destinatarios a quienes se comuniquen o transfieran los datos personales el cumplimiento de estándares adecuados de confidencialidad, protección y seguridad, tomando en consideración la cantidad y categoría de datos, así como la jurisdicción a la cual se transfieren.
– Plazos de conservación
Los datos personales serán almacenados únicamente durante el período de tiempo que sea razonablemente necesario para cumplir con las finalidades aquí descritas y con las obligaciones legales aplicables. En particular, la historia clínica se conserva por los plazos exigidos por la normativa sanitaria (cinco (5) años en archivo activo y quince (15) años en archivo pasivo).
Transcurridos los plazos de conservación, los datos personales serán eliminados de forma segura, anonimizados o, cuando corresponda, bloqueados.
TRANSFERENCIAS INTERNACIONALES DE DATOS
Ciertas comunicaciones pueden implicar transferencias internacionales de datos personales, principalmente el envío de información a aseguradoras del exterior para la cobertura médica de los pacientes y el uso de servicios tecnológicos y de nube provistos desde otros países, entre otros hacia los siguientes destinatarios:
| Proveedor / Destinatario | Servicio | País |
| PHILIPS | Almacenamiento en nube (RIS-PACS) | Países Bajos |
| Aseguradoras del exterior | Coordinación de cobertura médica | Estados Unidos, Francia, México, Colombia, Alemania, Países Bajos, entre otros |
De conformidad con los artículos 55 a 61 de la LOPDP, estas transferencias se realizan bajo las siguientes garantías:
Garantías contractuales: Los proveedores de servicios tecnológicos han suscrito cláusulas contractuales que establecen las garantías adecuadas exigidas por la legislación ecuatoriana para transferencias internacionales, conforme a lo establecido en la Resolución SPDP-SPD-2026-0004-R.
Ejecución de un contrato y protección de intereses vitales: Las transferencias a aseguradoras del exterior se fundamentan en la ejecución de un contrato celebrado en interés del titular para la cobertura de sus atenciones y, cuando corresponda, en la protección de sus intereses vitales.
Medidas de seguridad: Los envíos se realizan por correo institucional y a través de plataformas con credenciales de acceso, y los sistemas utilizados cuentan con medidas técnicas de protección propias de cada plataforma.
El HDLV no vende, alquila ni cede datos personales a terceros para fines comerciales independientes.
DERECHOS DE LOS TITULARES Y CONSULTAS
El Titular podrá ejercer los derechos reconocidos en la LOPDP respecto de sus datos personales: información (Art. 12), acceso (Art. 13), rectificación y actualización (Art. 14), eliminación (Art. 15), oposición (Art. 16), portabilidad (Art. 17), suspensión del tratamiento (Art. 19), así como el derecho a no ser objeto de una decisión basada única o parcialmente en valoraciones automatizadas, incluida la elaboración de perfiles (Art. 20), en los términos y límites previstos en la normativa aplicable.
El Titular podrá revocar o modificar el consentimiento otorgado en cualquier momento cuando el tratamiento se sustente en dicha base. No obstante, el ejercicio de determinados derechos podrá verse limitado o restringido cuando el tratamiento sea necesario para el cumplimiento de una obligación legal o contractual, por razones de interés público o para la formulación, ejercicio o defensa de reclamaciones. En particular, la eliminación no procede respecto de la historia clínica y demás información asistencial mientras la normativa sanitaria exija su conservación, conforme al artículo 18 de la LOPDP.
El ejercicio de los derechos de los titulares menores de quince años se canaliza a través de su representante legal. Los adolescentes a partir de los quince años pueden ejercer sus derechos directamente, conforme a los artículos 21 y 24 de la LOPDP.
Para el ejercicio de sus derechos, el Titular podrá presentar su solicitud a través del canal habilitado en su página web https://hospitaldelosvalles.com/politicadeprivacidad/, donde estarán disponibles los formularios para el ejercicio de derechos, así como en las instalaciones del Hospital. El HDLV atenderá las solicitudes dentro de los plazos previstos en la normativa aplicable y, como regla general, procurará emitir respuesta en el término de quince (15) días, contados desde la recepción de la solicitud, sin perjuicio de que pueda requerirse información adicional para verificar identidad o precisar el alcance del pedido, conforme a la ley.
Sin perjuicio de lo anterior, el Titular podrá presentar el reclamo correspondiente ante la Superintendencia de Protección de Datos Personales, a través de los canales oficiales habilitados por dicha autoridad, cuando considere que su solicitud no ha sido atendida conforme a la normativa aplicable.
PROCEDENCIA DE LOS DATOS PERSONALES
Los datos personales que tratará el HDLV proceden, principalmente, del propio Titular o de su representante legal, familiar o acompañante y, en determinadas circunstancias, de las aseguradoras, de otras entidades del Sistema Nacional de Salud y de autoridades competentes, conforme a la ley.
El Titular será responsable de la veracidad, autenticidad y oportunidad de la información entregada. La negativa a entregar los datos o la entrega de datos erróneos o inexactos puede afectar la prestación de los servicios de salud y el cumplimiento de las obligaciones del Hospital.
VIDEOVIGILANCIA Y SEGURIDAD DE LA INFORMACIÓN
Videovigilancia
El Hospital, por motivos de seguridad de sus administradores, trabajadores, pacientes y activos, ha implementado cámaras de vigilancia en las áreas comunes de sus instalaciones. Estas cámaras registran video y están ubicadas en áreas de acceso general, excluyendo los baños y otros sectores en los que la grabación podría afectar la privacidad e intimidad de las personas. En todos los espacios donde existen cámaras se encuentra señalética que advierte sobre la presencia de estas.
Las grabaciones de videovigilancia se almacenan en servidores externos e internos con un período de conservación de 365 días. El acceso a las grabaciones está restringido a personal autorizado y, cuando sea necesario para la investigación de incidentes, la empresa de seguridad física podrá visualizar las grabaciones de manera restringida, sin acceso a copia, a través de una persona designada.
Seguridad de la información
El HDLV ha implementado medidas técnicas y organizativas para proteger los datos personales contra acceso no autorizado, pérdida, alteración o destrucción, incluyendo control de accesos a los sistemas mediante credenciales de usuario con perfiles y permisos según las funciones de cada cargo, antivirus, firewall, cifrado, respaldos periódicos y trazabilidad de accesos; así como restricción del acceso físico a las áreas de archivo y oficinas con información personal, y obligaciones de confidencialidad para todo el personal y los terceros autorizados.
Sin perjuicio de lo anterior, ningún sistema es completamente invulnerable. El HDLV se compromete a notificar a los Titulares y a la autoridad competente en caso de vulneraciones de seguridad que afecten significativamente los derechos y libertades de los Titulares, conforme a la normativa aplicable.
CAMBIOS Y VIGENCIA
El HDLV podrá modificar el presente Aviso y sus políticas internas relacionadas cuando lo considere necesario o cuando existan cambios normativos, operativos o de tratamiento que lo justifiquen. Los cambios relevantes serán comunicados al Titular por los canales idóneos habilitados por el Hospital, según corresponda.
El uso y tratamiento de los datos personales estará regido por la Política de Protección de Datos Personales y la ley vigente al momento del tratamiento.
En caso de requerir más información sobre los tratamientos y los compromisos del HDLV en referencia a la protección de datos personales, se puede consultar la Política de Protección de Datos Personales en el portal web del Hospital https://hospitaldelosvalles.com/politicadeprivacidad/.
Versión actualizada al 21 de septiembre del 2026
AVISO DE PRIVACIDAD PARA TRABAJADORES Y MÉDICOS ADSCRITOS
HOSPITAL DE LOS VALLES S.A. HODEVALLES (en adelante, «HDLV» o el “Hospital») está comprometido con la protección de los datos personales y la privacidad de sus trabajadores y médicos adscritos. En cumplimiento de la Ley Orgánica de Protección de Datos Personales (en adelante, «LOPDP»), su Reglamento y de la Política de Protección de Datos Personales del Hospital, ponemos a su disposición el presente Aviso de Privacidad y Protección de Datos Personales.
El presente aviso de privacidad está elaborado para informar sobre los datos personales que el HDLV recolecta y/o trata, así como las finalidades, almacenamiento, ejercicio de derechos y consideraciones que demuestran el respeto a los derechos y libertades de los Titulares, de tal manera que exista tranquilidad de que los datos mencionados serán resguardados y no serán utilizados indebidamente ni filtrados a terceros no autorizados.
De conformidad con lo requerido por la legislación aplicable, se informa a los Trabajadores y a los Médicos Adscritos lo siguiente:
RESPONSABLE DEL TRATAMIENTO DE DATOS PERSONALES
El responsable del tratamiento de los datos personales es:
Razón social: HOSPITAL DE LOS VALLES S.A. HODEVALLES
RUC: 1791221753001
Domicilio: Av. Interoceánica Km 12.5 y Av. Florencia, Edificio Especialidades Médicas H. de los Valles, Cumbayá, Quito, Pichincha, Ecuador.
Teléfono: 022977900
Correo electrónico: info@hospitaldelosvalles.com
PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES
El HDLV aplicará los principios establecidos en la LOPDP como pilares fundamentales en la recolección, uso y tratamiento de datos personales, en especial en cuanto al acceso restringido, calidad y exactitud, conservación, confidencialidad, juridicidad, licitud en el tratamiento, finalidad, seguridad y transparencia que la norma promueve.
El Hospital trata los datos personales de sus trabajadores y médicos adscritos de acuerdo con la Constitución de la República del Ecuador, la Ley Orgánica de Protección de Datos Personales, su Reglamento y normas aplicables en materia de protección de datos, así como regulaciones internas definidas por el HDLV.
DATOS PERSONALES RECOLECTADOS
El HDLV obtiene y procesa datos personales cuando sus trabajadores, médicos adscritos, posibles trabajadores y médicos adscritos (que en esta relación son los Titulares de datos personales) aplican para una plaza de empleo o adscripción, cuando son contratados o adscritos, durante la vigencia de la relación laboral o de la relación de adscripción, así como en las actualizaciones de datos que se realizan regularmente.
Los datos son recolectados y tratados de acuerdo con la finalidad buscada en cada proceso específico del Hospital. Por tanto, no todos los datos del siguiente listado serán tratados necesariamente ni en todo momento, sino únicamente cuando fueran exclusivamente necesarios para cumplir con alguna de las actividades o relaciones puntuales entre el Titular y el HDLV:
De manera general, se tratan los siguientes datos:
Categoría | Datos Específicos |
Datos de identificación | Nombres, apellidos, número de cédula, fecha de nacimiento, edad, estado civil, género, fotografía o imagen facial (cuando aplique para expediente o credenciales internas) |
Datos de contacto | Dirección domiciliaria, correo electrónico personal, número de teléfono, número de celular |
Datos académicos y profesionales | Educación, experiencia profesional, perfil profesional, historial laboral, historial académico, certificaciones, referencias personales y laborales |
Datos laborales y de gestión de personal o de médicos adscritos | Cargo o puesto, área o servicio hospitalario, especialidad médica o técnica (cuando aplique), fecha de ingreso, tipo de contratación, expediente laboral o expediente de adscripción |
Datos económicos y de nómina | Remuneración, roles de pago y componentes salariales (sueldos, bonificaciones, horas extra, recargos nocturnos), datos bancarios (número de cuenta, banco), impuesto a la renta. |
En circunstancias específicas, se tratan los siguientes datos:
Categoría | Datos Específicos |
Datos para cumplimiento de obligaciones legales | Información de aportes y novedades ante el IESS, información para actas de finiquito y liquidaciones, información para reportes al SRI (RDEP), información para reportes de décimos y utilidades al Ministerio del Trabajo (SUT), retenciones judiciales por demandas de alimentos, información para atención de requerimientos de autoridad competente |
Datos de cargas familiares | Nombres, cédulas, edades, tipo de relación con el colaborador, información de discapacidad de cargas, partida de matrimonio o unión de hecho |
Datos de salud y seguridad ocupacional | Condiciones médicas, tratamientos, medicamentos, certificados médicos, información de discapacidad, consulta interna, exámenes ocupacionales, justificativos de calamidades domésticas, accidentes laborales, información médica para validar aptitud laboral |
Datos biométricos | Videovigilancia, huella dactilar para control de asistencia y acceso a áreas restringidas del Hospital |
Datos de antecedentes penales | Pasado judicial (para procesos de selección de personal), padrón electoral (para organización de horarios en períodos electorales) |
Datos audiovisuales | Grabaciones de videovigilancia (CCTV) en áreas comunes de las instalaciones |
Los datos recolectados pueden ser proporcionados directamente por el Trabajador, Médico Adscrito o posible trabajador o médico adscrito, generados en el marco de la relación laboral o de la relación de adscripción, obtenidos de bases de datos internas del Hospital (como el sistema de nómina, el sistema contable o el ERP), de plataformas de empleo (Multitrabajos, LinkedIn) o de fuentes accesibles al público, en cumplimiento de las obligaciones legales, del contrato laboral, de la adscripción, de un interés legítimo y/o con base en el consentimiento del Titular.
El HDLV podrá solicitar y tratar datos personales sensibles (como datos de salud o biométricos) únicamente cuando existan finalidades específicas y justificadas relativas a la relación laboral o adscripción, el cumplimiento de obligaciones legales o la seguridad y salud ocupacional. Cuando el Hospital, por sus procesos, requiere de tal información, ha diseñado mecanismos para obtener el consentimiento informado y tratar dichos datos con medidas de seguridad reforzadas. El HDLV aplica los principios de minimización y limitación de la finalidad para estos tratamientos.
FUNDAMENTOS Y FINALIDADES DEL TRATAMIENTO DE LOS DATOS PERSONALES
Bases de Legitimación
Todo tratamiento lícito de los datos personales se realiza, en primer lugar, con base en el cumplimiento de las obligaciones contenidas en el contrato laboral o en la relación de adscripción y las obligaciones legales del HDLV, y complementariamente, en el consentimiento libre, informado, inequívoco y específico del Titular. También podrán realizarse tratamientos con base en un interés legítimo, siempre que medie el respectivo análisis. El consentimiento siempre puede ser retirado por el Titular, en cuyo caso el HDLV se abstendrá de tratar el dato personal, a menos que exista otro fundamento para el tratamiento lícito del mismo.
Ejecución contractual (Art. 7.5 LOPDP): El tratamiento es necesario para el cumplimiento de las obligaciones derivadas del contrato laboral o de la relación de adscripción, incluyendo la vinculación, administración de la relación laboral, pago de haberes, gestión de beneficios y desvinculación.
Cumplimiento de obligaciones legales (Art. 7.2 LOPDP): Cuando el tratamiento sea necesario para cumplir con obligaciones legales del HDLV, como las obligaciones tributarias, laborales, de seguridad social (aportes al IESS), de seguridad y salud ocupacional, reportes al Ministerio del Trabajo y demás autoridades competentes.
Consentimiento (Arts. 7.1 y 8 LOPDP): Para finalidades complementarias no esenciales a la relación laboral o a la relación de adscripción, como la participación voluntaria en actividades no obligatorias. El consentimiento puede ser retirado en cualquier momento.
Interés legítimo (Arts. 7.8 y 9 LOPDP): Para finalidades en las que prevalece el interés legítimo del Hospital, como la gestión de seguridad física, videovigilancia, control biométrico de asistencia, respaldos de información, elaboración de indicadores de gestión y mejora de procesos internos, siempre que medie el respectivo análisis de necesidad, proporcionalidad y ponderación.
En atención a los principios de minimización y proporcionalidad, la información a ser requerida por el HDLV siempre resultará imprescindible para realizar los procesos que ameritan la recopilación de datos.
Finalidades del Tratamiento
Los datos recabados por el HDLV se utilizarán para las siguientes finalidades:
GESTIÓN LEGAL Y CONTRACTUAL
Preparación, revisión y formalización de contratos de trabajo o contratos de adscripción: para trabajadores y médicos del Hospital, incluyendo la recopilación de datos de identificación, contacto, estado civil y condiciones salariales necesarias para la vinculación laboral.
Procesamiento de pagos y aprobación de desembolsos: a trabajadores y médicos adscritos, incluyendo la gestión de cuentas bancarias y datos financieros necesarios para el cumplimiento de las obligaciones patronales.
Gestión de procedimientos disciplinarios: aplicación de sanciones por incumplimientos al reglamento interno de trabajo, garantizando el debido proceso.
Procesamiento de retenciones judiciales: por demandas de alimentos y otros descuentos ordenados por autoridad competente.
GESTIÓN INTEGRAL DE RECURSOS HUMANOS
Contratación y vinculación: recolección de datos personales, documentación del colaborador y sus cargas familiares, formalización del ingreso y registro en los sistemas internos del Hospital.
Control del trabajador o de médicos adscritos: Registro y control de asistencia mediante sistema biométrico (huella dactilar y reconocimiento facial), control de acceso a áreas restringidas, gestión de permisos, vacaciones, licencias, coordinación de turnos y guardias, asignación de áreas y servicios hospitalarios, y movilización del personal.
Pago de haberes laborales u honorarios: Gestión de nómina y pago de remuneraciones y honorarios, horas extras, descuentos, anticipos, liquidaciones y demás rubros laborales o de la relación de adscripción; registro y gestión de cuentas bancarias para acreditación de haberes u honorarios; cálculo y pago de utilidades considerando cargas familiares; afiliación y gestión de aportes ante el IESS; cumplimiento de retenciones u órdenes válidamente emitidas por autoridad competente.
Evaluación de desempeño: procedimiento de gestión de competencias y desempeño realizado a trabajadores, médicos adscritos, personal técnico y administrativo, mediante formularios electrónicos, que se comparten con administradores y altos cargos del Hospital para fines administrativos internos.
SALUD, SEGURIDAD Y BIENESTAR OCUPACIONAL
Consultas internas: Cumplimiento de obligaciones legales sobre seguridad y salud de los trabajadores; gestión de exámenes ocupacionales; registro de condiciones médicas, tratamientos y medicamentos; emisión y recepción de certificados médicos; validación de aptitud médica para el trabajo.
Seguridad e higiene en el trabajo: Cumplimiento de estándares de seguridad en el trabajo; implementación de protocolos de seguridad y salud ocupacional; capacitaciones obligatorias; gestión de información sobre discapacidad y condiciones de salud para adaptaciones razonables.
Evaluación y seguimiento de accidentes de trabajo: incluyendo la recepción de reportes, análisis de historial médico y diagnósticos post-accidente para la toma de decisiones.
Gestión de riesgos biológicos y control de esquemas de inmunización del personal y médicos adscritos: en cumplimiento de la normativa de seguridad y salud ocupacional aplicable al sector hospitalario.
GESTIÓN FINANCIERA Y ADMINISTRATIVA
Solicitudes ante entidades financieras: Preparación y envío de información del personal autorizado (nombre, cédula, cargo, estados financieros del Hospital) para la obtención de créditos ante entidades financieras nacionales e internacionales.
Reportes de movimiento de trabajadores: Consulta de la base de datos para generar reportes de composición del personal, incluyendo información sobre cargas familiares, educación, experiencia y discapacidad.
Auditoría de pagos: Revisión y auditoría de pagos de nómina y de honorarios para verificación y control interno.
TECNOLOGÍA Y SISTEMAS DE INFORMACIÓN
Respaldos de información: Respaldo periódico de la información contenida en los equipos de los trabajadores mediante aplicación programada, incluyendo almacenamiento en servidores propios y en servidores externos.
Servidores propios: Mantenimiento y operación de los servidores propios, incluyendo procesamiento, análisis y almacenamiento de información de todas las áreas del Hospital.
Correos corporativos: Asignación y administración de cuentas de correo electrónico corporativo para los trabajadores.
Mantenimiento de equipos: Prevención y solución de daños en los equipos de cómputo asignados a los trabajadores.
SEGURIDAD FÍSICA Y VIDEOVIGILANCIA
Videovigilancia: Configuración, administración y operación del sistema de videovigilancia (BIODIVICES y COMPERS) en las instalaciones del Hospital, para fines de seguridad, prevención de incidentes, protección de personas y activos, y como medio de verificación para la gestión y el control disciplinario laboral en la investigación de hechos que puedan constituir incumplimientos al contrato de trabajo o a la normativa interna del Hospital, observando los principios de proporcionalidad y minimización.
Control biométrico de acceso: Registro y verificación de identidad mediante huella dactilar (BIODIVICES y COMPERS), para control de asistencia y habilitación de ingreso a zonas restringidas.
A la fecha, el HDLV no realiza valoraciones ni decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre el Titular o le afecten significativamente. Sin embargo, sí realiza la elaboración de perfiles para determinar la aptitud y elegibilidad de candidatos a determinados puestos de trabajo en el proceso de selección de personal y adscripciones de médicos.
Existen tratamientos que, por su naturaleza, complejidad o categorías de datos involucradas, podrían requerir la entrega de información adicional y, cuando corresponda, la obtención de consentimiento específico, el cual será gestionado por el HDLV a través de los mecanismos aplicables.
La negativa del Trabajador o del Médico Adscrito a entregar los datos podría resultar en un impedimento para el cumplimiento de las obligaciones laborales y contractuales que el HDLV mantiene con este, así como para la prestación de otros servicios y el otorgamiento de beneficios.
ALMACENAMIENTO, CONSERVACIÓN Y TRANSFERENCIA
Ubicación del almacenamiento
Los datos personales de los Trabajadores y Médicos Adscritos son almacenados en archivos físicos (carpetas en oficinas con archiveros bajo llave), en los computadores del personal autorizado, en el servidor propio del Hospital, en el sistema contable, en el correo electrónico corporativo (Outlook), en los portales BIODIVICES y COMPERS, en el sistema de videovigilancia y, para fines de respaldo, en servidores de terceros (GEMA, ORACLE, AHMI, TERIUEM, PHILIPS, ZKBIO, POSGRESS y NAF), generando las bases de datos necesarias.
Política de no cesión de datos
El HDLV no vende ni alquila datos personales que puedan identificar o ayudar a identificar al Trabajador o a los Médicos Adscritos. No obstante, el HDLV podrá comunicar datos personales a destinatarios autorizados cuando sea necesario para cumplir obligaciones legales, ejecutar la relación laboral o relación de adscripción o atender finalidades legítimas vinculadas a la operación, tales como: Ministerio del Trabajo, Instituto Ecuatoriano de Seguridad Social (IESS), Servicio de Rentas Internas (SRI) y autoridades competentes; así como laboratorios y centros médicos para el cumplimiento de obligaciones de salud ocupacional, y a la empresa de seguridad física para la visualización restringida de grabaciones de videovigilancia, cuando sea necesario para la investigación de incidentes.
Sin embargo, para cumplir con obligaciones u objetivos del Hospital, el HDLV podría verse en la necesidad de transferir estos datos, en cuyo caso informará y solicitará el consentimiento a los Titulares y les informará sobre la identidad del tercero a quien se le están cediendo los datos personales y la finalidad de la colaboración.
En caso de una transferencia, el Hospital procurará que los datos sean seudonimizados y/o anonimizados, y velará por que la información sea tratada de conformidad con la Política de Protección de Datos Personales del HDLV y con la ley, asegurando el nivel adecuado de protección de la jurisdicción y del receptor.
El HDLV exigirá a los destinatarios a quienes se transfieran los datos personales el cumplimiento de estándares adecuados de confidencialidad, protección y seguridad, tomando en consideración siempre la cantidad y categoría de datos, así como la jurisdicción a la cual se están transfiriendo estos datos.
Plazos de conservación
Los datos personales serán almacenados únicamente durante el período de tiempo que sea razonablemente necesario para cumplir con las finalidades aquí descritas. Los plazos de conservación identificados son los siguientes:
Tipo de datos / Proceso | Período de conservación |
Carpetas de candidatos no contratados | 10 años |
Registros de videovigilancia y sistemas biométricos | 365 días |
Respaldos de información en servidores propios | 10 años |
Respaldos de información en servidores externos | 10 años |
Información financiera | 7 años (Art. 341 Código Tributario) |
Información legal y expediente laboral | 10 años |
Datos de nómina y relación laboral | 10 años |
Transcurridos los plazos de conservación, los datos personales serán eliminados de forma segura o, cuando sea posible, anonimizados. En ningún caso la conservación superará diez (10) años, salvo que una obligación legal exija un plazo mayor.
TRANSFERENCIAS INTERNACIONALES DE DATOS
Debido a la naturaleza de los servicios tecnológicos y financieros utilizados por el HDLV, los datos personales de los Trabajadores pueden ser transferidos y almacenados en servidores ubicados fuera de la República del Ecuador, específicamente:
Proveedor / Destinatario | Servicio | País |
ORACLE CLOUD | Almacenamiento en Nube | Estados Unidos |
GEMA | Almacenamiento On-premises | Ecuador |
AHFI | Almacenamiento en Nube | Estados Unidos |
AHMI | Almacenamiento en Nube | Estados Unidos |
TERIUM | Almacenamiento On-premises | Ecuador |
PHILIPS | Almacenamiento en nube (RIS-PACS) | Países Bajos |
ZKBIO | Almacenamiento On-premises | Ecuador |
POSGRESS | Almacenamiento en Nube | Estados Unidos |
NAF | Almacenamiento On-premises | Ecuador |
ISOLUCION | Almacenamiento en Nube | Estados Unidos |
De conformidad con los artículos 55 a 61 de la LOPDP, estas transferencias se realizan bajo las siguientes garantías:
Garantías contractuales: Los proveedores de servicios tecnológicos han suscrito cláusulas contractuales que establecen las garantías adecuadas exigidas por la legislación ecuatoriana para transferencias internacionales, conforme a lo establecido en la Resolución SPDP-SPD-2026-0004-R. En el caso de las entidades financieras, la transferencia se realiza a través de canales específicos designados para el envío oficial de información.
Interés legítimo y ejecución contractual: Las transferencias se fundamentan en el interés legítimo del Hospital para el cumplimiento de sus objetivos empresariales, incluyendo la continuidad operativa, la seguridad de la información y la gestión financiera.
Medidas de seguridad: Los servidores externos y sistemas utilizados cuentan con medidas técnicas de protección, incluyendo cifrado de datos, credenciales de acceso, firewalls y controles de seguridad propios de cada plataforma. Para las transferencias a entidades financieras, se utilizan canales con credenciales de usuario y contraseña, así como canales de correo específicos designados para el envío oficial.
El HDLV no vende, alquila ni cede datos personales a terceros para fines comerciales independientes.
DERECHOS DE LOS TITULARES Y CONSULTAS
El Titular podrá ejercer los derechos reconocidos en la LOPDP respecto de sus datos personales: información (Art. 12), acceso (Art. 13), rectificación y actualización (Art. 14), eliminación (Art. 15), oposición (Art. 16), portabilidad (Art. 17), suspensión del tratamiento (Art. 19), así como el derecho a no ser objeto de una decisión basada única o parcialmente en valoraciones automatizadas, incluida la elaboración de perfiles (Art. 20), en los términos y límites previstos en la normativa aplicable.
El Titular podrá revocar o modificar el consentimiento otorgado en cualquier momento cuando el tratamiento se sustente en dicha base. No obstante, el ejercicio de determinados derechos podrá verse limitado o restringido cuando el tratamiento sea necesario para: (i) el cumplimiento de obligaciones legales o regulatorias de HDLV; (ii) la ejecución y administración de la relación laboral o de la relación de adscripción; o (iii) la formulación, ejercicio o defensa de reclamaciones, conforme a la LOPDP.
Los Titulares deberán tomar en cuenta que la gran mayoría de los tratamientos que realiza el HDLV son en cumplimiento de sus obligaciones patronales y obligaciones contractuales, así como que su almacenamiento obedece a los posibles conflictos posteriores que se den respecto de la relación laboral o de la relación de adscripción; por lo tanto, el ejercicio de los derechos ARCO puede verse restringido por estas condiciones.
Para el ejercicio de sus derechos, el Titular podrá presentar su solicitud a través del canal habilitado en su página web https://hospitaldelosvalles.com/politicadeprivacidad/, donde estarán disponibles los formularios para el ejercicio de derechos, así como en las instalaciones del Hospital. El HDLV atenderá las solicitudes dentro de los plazos previstos en la normativa aplicable y, como regla general, procurará emitir respuesta en el término de quince (15) días, contados desde la recepción de la solicitud, sin perjuicio de que pueda requerirse información adicional para verificar identidad o precisar el alcance del pedido, conforme a la ley.
Sin perjuicio de lo anterior, el Titular podrá presentar el reclamo correspondiente ante la Superintendencia de Protección de Datos Personales, a través de los canales oficiales habilitados por dicha autoridad, cuando considere que su solicitud no ha sido atendida conforme a la normativa aplicable.
PROCEDENCIA DE LOS DATOS PERSONALES
Los datos personales que tratará el HDLV proceden, principalmente, del propio Titular y, en determinadas circunstancias, de bases de datos internas del Hospital, de plataformas de empleo (Multitrabajos, LinkedIn), del departamento de Recursos Humanos, del área de laboratorios y consultorios médicos, así como de fuentes accesibles al público.
El Titular será responsable de la veracidad, autenticidad y oportunidad de la información entregada. La negativa a entregar los datos o la entrega de datos erróneos o inexactos puede afectar gravemente el cumplimiento del contrato laboral, de la relación de adscripción y de las obligaciones legales. En algunos casos, será imposible cumplir con obligaciones contractuales si existen errores o inexactitudes en los datos entregados. El HDLV se reserva el derecho de excluir de los servicios registrados a todo Titular que haya proporcionado datos falsos.
VIDEOVIGILANCIA Y SEGURIDAD DE LA INFORMACIÓN
Videovigilancia
El Hospital, por motivos de seguridad de sus administradores, trabajadores, pacientes y activos, ha implementado cámaras de vigilancia en las áreas comunes de sus instalaciones. Estas cámaras registran video y están ubicadas en áreas de acceso general, excluyendo los baños y otros sectores en los que la grabación podría afectar la privacidad e intimidad de las personas. En todos los espacios donde existen cámaras se encuentra señalética que advierte sobre la presencia de estas.
Las grabaciones de videovigilancia se almacenan en servidores externos e internos con un período de conservación de 365 días. El acceso a las grabaciones está restringido a personal autorizado y, cuando sea necesario para la investigación de incidentes, la empresa de seguridad física podrá visualizar las grabaciones de manera restringida, sin acceso a copia, a través de una persona designada.
Seguridad de la información
El HDLV ha implementado medidas técnicas y organizativas para proteger los datos personales contra acceso no autorizado, pérdida, alteración o destrucción, incluyendo:
Medidas técnicas: Antivirus (BitDefender), firewall (Fortigate), VPN, bloqueos de puertos USB, bloqueos para navegadores y descargas, autenticación mediante usuario y clave en computadores y sistemas, seguridades propias de las plataformas en la nube y del sistema de videovigilancia.
Medidas organizativas: Acceso restringido a la información según perfil de usuario, oficinas con control de acceso físico, archiveros con llave, carpetas con acceso limitado en el servidor y restricción de acceso a zonas restringidas.
Sin perjuicio de lo anterior, ningún sistema es completamente invulnerable. El HDLV se compromete a notificar a los Titulares y a la autoridad competente en caso de vulneraciones de seguridad que afecten significativamente los derechos y libertades de los Titulares, conforme a la normativa aplicable.
CAMBIOS Y VIGENCIA
El HDLV podrá modificar el presente Aviso y sus políticas internas relacionadas cuando lo considere necesario o cuando existan cambios normativos, operativos o de tratamiento que lo justifiquen. Los cambios relevantes serán comunicados al Titular por los canales idóneos habilitados por el Hospital, según corresponda.
El uso y tratamiento de los datos personales estará regido por la Política de Protección de Datos Personales y la ley vigente al momento del tratamiento.
En caso de requerir más información sobre los tratamientos y los compromisos del HDLV en referencia a la protección de datos personales, se puede consultar la Política de Protección de Datos Personales en el portal web del Hospital https://hospitaldelosvalles.com/politicadeprivacidad/.
Versión actualizada al 21 de septiembre del 2026.
AVISO DE PRIVACIDAD PARA PROVEEDORES Y CONTRATISTAS.
HOSPITAL DE LOS VALLES S.A. HODEVALLES (en adelante, «HDLV» o el «Hospital») está comprometido con la protección de los datos personales y la privacidad de sus proveedores y contratistas. En cumplimiento de la Ley Orgánica de Protección de Datos Personales (en adelante, «LOPDP»), su Reglamento y de la Política de Protección de Datos Personales del Hospital, ponemos a su disposición el presente Aviso de Privacidad y Protección de Datos Personales. El presente aviso de privacidad está elaborado para informar sobre los datos personales que el HDLV recolecta y/o trata, así como las finalidades, almacenamiento, ejercicio de derechos y consideraciones que demuestran el respeto a los derechos y libertades de los Titulares, de tal manera que exista tranquilidad de que los datos mencionados serán resguardados y no serán utilizados indebidamente ni filtrados a terceros no autorizados.
De conformidad con lo requerido por la legislación aplicable, se informa a los Proveedores y Contratistas lo siguiente:
RESPONSABLE DEL TRATAMIENTO DE DATOS PERSONALES El responsable del tratamiento de los datos personales es: Razón social: HOSPITAL DE LOS VALLES S.A. HODEVALLES RUC: 1791221753001 Domicilio: Av. Interoceánica Km 12.5 y Av. Florencia, Edificio Especialidades Médicas H. de los Valles, Cumbayá, Quito, Pichincha, Ecuador. Teléfono: 022977900 Correo electrónico: info@hospitaldelosvalles.com
PRINCIPIOS PARA EL TRATAMIENTO DE DATOS PERSONALES
El HDLV aplicará los principios establecidos en la LOPDP como pilares fundamentales en la recolección, uso y tratamiento de datos personales, en especial en cuanto al acceso restringido, calidad y exactitud, conservación, confidencialidad, juridicidad, licitud en el tratamiento, finalidad, seguridad y transparencia que la norma promueve. El Hospital trata los datos personales de sus proveedores y contratistas de acuerdo con la Constitución de la República del Ecuador, la Ley Orgánica de Protección de Datos Personales, su Reglamento y normas aplicables en materia de protección de datos, así como regulaciones internas definidas por el HDLV.
DATOS PERSONALES RECOLECTADOS
El HDLV obtiene y procesa datos personales de personas naturales que actúan como proveedores o contratistas, o como representantes legales, personal de contacto o personal técnico de proveedores y contratistas personas jurídicas, durante la calificación, selección, contratación y ejecución de la relación comercial o contractual, así como en las actualizaciones de datos que se realizan regularmente.
Los datos son recolectados y tratados de acuerdo con la finalidad buscada en cada proceso específico del Hospital. Por tanto, no todos los datos del siguiente listado serán tratados necesariamente ni en todo momento, sino únicamente cuando fueran exclusivamente necesarios para cumplir con alguna de las actividades o relaciones puntuales entre el Titular y el HDLV:
De manera general, se tratan los siguientes datos:
Categoría | Datos Específicos |
Datos de identificación | Nombres, apellidos, número de cédula, RUC, razón social y datos del representante legal (cuando el proveedor es persona jurídica) |
Datos de contacto | Dirección, correo electrónico, número de teléfono |
Datos financieros y bancarios | Datos bancarios (número de cuenta, tipo de cuenta, banco), certificados bancarios, comprobantes de venta e información de facturación |
Los datos recolectados pueden ser proporcionados directamente por el proveedor o contratista, generados en el marco de la relación comercial o contractual, u obtenidos a través del Departamento de Compras, del Departamento Financiero o de referencias y fuentes accesibles al público, en cumplimiento de obligaciones legales, precontractuales o contractuales, o con base en el interés legítimo del Hospital.
FUNDAMENTOS Y FINALIDADES DEL TRATAMIENTO DE LOS DATOS PERSONALES
Bases de Legitimación Todo tratamiento lícito de los datos personales de proveedores y contratistas se realiza, principalmente, sobre las siguientes bases de legitimación:
Ejecución de medidas precontractuales y contractuales (Art. 7.5 LOPDP): El tratamiento es necesario para la calificación y registro del proveedor, la preselección, la formalización del contrato y la ejecución de la relación comercial, incluyendo la gestión de compras, facturación y pagos.
Cumplimiento de obligaciones legales (Art. 7.2 LOPDP): Cuando el tratamiento sea necesario para cumplir con obligaciones legales del HDLV, en especial las obligaciones tributarias, contables y de reporte a organismos de control como el Servicio de Rentas Internas (SRI).
Interés legítimo (Arts. 7.8 y 9 LOPDP): Para finalidades en las que prevalece el interés legítimo del Hospital, como la evaluación de la calidad del proveedor, la seguridad física de las instalaciones, el control de ingreso y la verificación del cumplimiento de los objetivos contractuales, siempre que medie el respectivo análisis de necesidad, proporcionalidad y ponderación.
En atención a los principios de minimización y proporcionalidad, la información a ser requerida por el HDLV siempre resultará imprescindible para realizar los procesos que ameritan la recopilación de datos.
Finalidades del Tratamiento
Los datos recabados por el HDLV se utilizarán para las siguientes finalidades:
Gestión de compras y contratación Solicitud de información y registro del proveedor: incorporación de los datos del proveedor en el sistema para su registro, y solicitud de la documentación necesaria para la relación comercial.
Preselección y evaluación del proveedor: revisión de las capacidades y requisitos del proveedor, evaluación de la calidad de los bienes o servicios y selección del proveedor idóneo.
Manejo contractual: verificación de que los contratos estén alineados con los objetivos institucionales y seguimiento de su ejecución.
Gestión financiera, contable y de pagos Registro de comprobantes de venta: registro de la información financiera para la elaboración de balances y la declaración de impuestos, así como para la gestión de pagos a proveedores.
Aprobación de facturas: gestión y aprobación de facturas por las instancias correspondientes del Hospital.
Pago a proveedores: cancelación de las facturas por los bienes y servicios recibidos, incluyendo la gestión de cuentas y certificados bancarios para la acreditación de los pagos.
Compra de insumos: gestión de la adquisición de insumos, reactivos y bienes necesarios para la operación de las distintas áreas del Hospital.
Seguridad física y control de acceso Control de ingreso: registro y verificación de la identidad del personal de proveedores y contratistas para el ingreso a las instalaciones del Hospital.
Videovigilancia: los proveedores y contratistas que ingresan a las instalaciones pueden ser captados por el sistema de videovigilancia, en los términos descritos en la sección de Videovigilancia y Seguridad de la Información de este Aviso. A la fecha, el HDLV no realiza valoraciones ni decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre el Titular o le afecten significativamente. Sin embargo, sí realiza la elaboración de perfiles para determinar la aptitud y elegibilidad de candidatos a determinados puestos de trabajo en el proceso de selección de personal y adscripciones de médicos. La negativa del proveedor o contratista a entregar los datos podría resultar en un impedimento para su registro, calificación o contratación, así como para la ejecución de la relación comercial o contractual con el HDLV.
ALMACENAMIENTO, CONSERVACIÓN Y TRANSFERENCIA
Ubicación del almacenamiento Los datos personales de los proveedores y contratistas son almacenados en archivos físicos con acceso restringido, en los computadores del personal autorizado, en el correo electrónico corporativo, en SharePoint y en los sistemas de información del Hospital, incluyendo el sistema financiero NAF y el sistema GEMA, generando las bases de datos necesarias.
Política de no cesión de datos El HDLV no vende ni alquila datos personales de sus proveedores o contratistas. No obstante, el HDLV podrá comunicar datos personales a destinatarios autorizados cuando sea necesario para cumplir obligaciones legales o ejecutar la relación contractual, tales como el Servicio de Rentas Internas (SRI) y demás organismos de control, las entidades financieras para la gestión de pagos, y las autoridades competentes en el marco de procesos judiciales o de resolución de conflictos. El HDLV exigirá a los destinatarios a quienes se comuniquen o transfieran los datos personales el cumplimiento de estándares adecuados de confidencialidad, protección y seguridad, tomando en consideración la cantidad y categoría de datos, así como la jurisdicción a la cual se transfieren.
Plazos de conservación Transcurridos los plazos de conservación, los datos personales serán eliminados de forma segura o, cuando sea posible, anonimizados. En ningún caso la conservación superará diez (10) años, salvo que una obligación legal exija un plazo mayor.
TRANSFERENCIAS INTERNACIONALES DE DATOS En el marco de la gestión de pagos, ciertas transferencias a entidades financieras pueden implicar el envío de información a servidores ubicados fuera de la República del Ecuador. De conformidad con los artículos 55 a 61 de la LOPDP, estas transferencias se realizan bajo garantías adecuadas.
Garantías contractuales y medidas de seguridad: Las transferencias a entidades financieras se realizan a través de canales específicos designados para el envío oficial de información, con credenciales de usuario y contraseña y por correo institucional. Cuando el destinatario se encuentre en un país que no cuente con declaración de nivel adecuado de protección, la transferencia se ampara en las garantías adecuadas exigidas por la legislación ecuatoriana para transferencias internacionales, conforme a lo establecido en la Resolución SPDP-SPD-2026-0004-R. El HDLV no vende, alquila ni cede datos personales a terceros para fines comerciales independientes.
DERECHOS DE LOS TITULARES Y CONSULTAS
El Titular podrá ejercer los derechos reconocidos en la LOPDP respecto de sus datos personales: información (Art. 12), acceso (Art. 13), rectificación y actualización (Art. 14), eliminación (Art. 15), oposición (Art. 16), portabilidad (Art. 17), suspensión del tratamiento (Art. 19), así como el derecho a no ser objeto de una decisión basada única o parcialmente en valoraciones automatizadas, incluida la elaboración de perfiles (Art. 20), en los términos y límites previstos en la normativa aplicable. El Titular podrá revocar o modificar el consentimiento otorgado en cualquier momento cuando el tratamiento se sustente en dicha base. No obstante, el ejercicio de determinados derechos podrá verse limitado o restringido cuando el tratamiento sea necesario para: (i) el cumplimiento de obligaciones legales o regulatorias del HDLV; (ii) la ejecución y administración de la relación contractual; o (iii) la formulación, ejercicio o defensa de reclamaciones, conforme a la LOPDP. Para el ejercicio de sus derechos, el Titular podrá presentar su solicitud a través del canal habilitado en su página web https://hospitaldelosvalles.com/politicadeprivacidad/, donde estarán disponibles los formularios para el ejercicio de derechos, así como en las instalaciones del Hospital. El HDLV atenderá las solicitudes dentro de los plazos previstos en la normativa aplicable y, como regla general, procurará emitir respuesta en el término de quince (15) días, contados desde la recepción de la solicitud, sin perjuicio de que pueda requerirse información adicional para verificar identidad o precisar el alcance del pedido, conforme a la ley. Sin perjuicio de lo anterior, el Titular podrá presentar el reclamo correspondiente ante la Superintendencia de Protección de Datos Personales, a través de los canales oficiales habilitados por dicha autoridad, cuando considere que su solicitud no ha sido atendida conforme a la normativa aplicable.
PROCEDENCIA DE LOS DATOS PERSONALES Los datos personales que tratará el HDLV proceden, principalmente, del propio Titular y, en determinadas circunstancias, del Departamento de Compras, del Departamento Financiero, de referencias y de fuentes accesibles al público. El Titular será responsable de la veracidad, autenticidad y oportunidad de la información entregada. La negativa a entregar los datos o la entrega de datos erróneos o inexactos puede afectar el registro, la calificación y la ejecución de la relación contractual con el Hospital.
VIDEOVIGILANCIA Y SEGURIDAD DE LA INFORMACIÓN
Videovigilancia El Hospital, por motivos de seguridad de sus administradores, trabajadores, pacientes, proveedores y activos, ha implementado cámaras de vigilancia en las áreas comunes de sus instalaciones. Estas cámaras registran video y están ubicadas en áreas de acceso general, excluyendo los baños y otros sectores en los que la grabación podría afectar la privacidad e intimidad de las personas. En todos los espacios donde existen cámaras se encuentra señalética que advierte sobre la presencia de estas. Las grabaciones de videovigilancia se almacenan en servidores externos e internos con un período de conservación de 365 días. El acceso a las grabaciones está restringido a personal autorizado y, cuando sea necesario para la investigación de incidentes, la empresa de seguridad física podrá visualizar las grabaciones de manera restringida, sin acceso a copia, a través de una persona designada.
Seguridad de la información El HDLV ha implementado medidas técnicas y organizativas para proteger los datos personales contra acceso no autorizado, pérdida, alteración o destrucción, incluyendo:
Medidas técnicas: Antivirus (BitDefender), firewall (Fortigate), VPN, bloqueos de puertos USB, bloqueos para navegadores y descargas, autenticación mediante usuario y clave en computadores y sistemas, seguridades propias de las plataformas en la nube y del sistema de videovigilancia.
Medidas organizativas: Acceso restringido a la información según perfil de usuario, oficinas con control de acceso físico, archiveros con llave, carpetas con acceso limitado en el servidor y restricción de acceso a zonas restringidas. Sin perjuicio de lo anterior, ningún sistema es completamente invulnerable. El HDLV se compromete a notificar a los Titulares y a la autoridad competente en caso de vulneraciones de seguridad que afecten significativamente los derechos y libertades de los Titulares, conforme a la normativa aplicable.
CAMBIOS Y VIGENCIA El HDLV podrá modificar el presente Aviso y sus políticas internas relacionadas cuando lo considere necesario o cuando existan cambios normativos, operativos o de tratamiento que lo justifiquen. Los cambios relevantes serán comunicados al Titular por los canales idóneos habilitados por el Hospital, según corresponda. El uso y tratamiento de los datos personales estará regido por la Política de Protección de Datos Personales y la ley vigente al momento del tratamiento.
En caso de requerir más información sobre los tratamientos y los compromisos del HDLV en referencia a la protección de datos personales, se puede consultar la Política de Protección de Datos Personales en el portal web del Hospital https://hospitaldelosvalles.com/politicadeprivacidad/.
EJERCICIO DE DERECHOS ARCO
Protección de sus Datos Personales en el Hospital de los Valles
Reconocemos y respetamos el derecho de todas las personas a controlar el tratamiento de sus datos personales.Por ello, ponemos a su disposición este canal para ejercer sus Derechos ARCO, de conformidad con la Ley Orgánica de Protección de Datos Personales del Ecuador y demás normativa aplicable.
¿Qué son los Derechos ARCO?
Los Derechos ARCO permiten a los titulares de datos personales ejercer control sobre la información que una organización mantiene sobre ellos.
A través de este formulario usted podrá solicitar:
Acceso: Conocer qué datos personales mantiene el Hospital de los Valles sobre usted, así como información relacionada con su tratamiento.
Rectificación: Actualizar, corregir o completar datos personales que sean inexactos, incompletos o se encuentren desactualizados.
Cancelación: Solicitar la eliminación de sus datos personales cuando proceda conforme a la normativa vigente y siempre que no exista una obligación legal que exija su conservación.
Oposición: Solicitar que se suspenda o limite el tratamiento de sus datos personales en los casos permitidos por la ley.
¿Quiénes pueden ejercer estos derechos?
Este canal está disponible para: Pacientes, Colaboradores, Médicos, Estudiantes, Proveedores, Accionistas y cualquier titular de datos personales tratados por el Hospital de los Valles
¿Cómo realizar una solicitud?
– Complete el formulario disponible a continuación.
– Seleccione el derecho que desea ejercer.
– Envíe su solicitud
– Nuestro equipo revisará la información proporcionada y gestionará su requerimiento conforme a la normativa vigente.
Consideraciones importantes
El Hospital podrá solicitar información adicional para verificar la identidad del solicitante.
- La atención de la solicitud estará sujeta a los plazos y condiciones establecidos por la legislación aplicable.
- En determinados casos, el Hospital podrá conservar información cuando exista una obligación legal, regulatoria o contractual que así lo requiera.
Complete el siguiente formulario para registrar su solicitud.
