POLÍTICA DE TRATAMIENTO Y USO DE DATOS PERSONALES
Fecha de vigencia: 21 de agosto del 2026
Versión: 1.0
1. OBJETO
La presente Política establece las reglas y criterios que deberá observar SPECTRAL VISION DEL ECUADOR y las personas autorizadas para la recolección, registro, consulta, utilización, almacenamiento, modificación, comunicación, conservación y eliminación de datos personales dentro de sus procesos administrativos, comerciales y asistenciales.
Su finalidad es garantizar que los datos personales sean tratados de forma legítima, segura, confidencial y únicamente para las finalidades autorizadas.
2. ALCANCE
Esta Política aplica a:
• Representantes legales.
• Médicos y profesionales de la salud.
• Personal administrativo.
• Personal de recepción.
• Personal de facturación y caja.
• Personal de atención al paciente.
• Personal de sistemas y tecnología.
• Proveedores y contratistas que tengan acceso a información personal.
• Usuarios autorizados del sistema administrativo de SPECTRAL.
3. PRINCIPIOS
El tratamiento de datos deberá observar, entre otros, los principios de:
• Legalidad.
• Transparencia.
• Finalidad.
• Pertinencia y minimización.
• Confidencialidad.
• Seguridad.
• Proporcionalidad.
• Responsabilidad proactiva.
• Protección de datos desde el diseño y por defecto.
La LOPDP establece obligaciones específicas para que los responsables implementen medidas administrativas, técnicas, físicas, organizativas y jurídicas adecuadas, así como mecanismos de gestión de riesgos.
4. CLASIFICACIÓN DE LA INFORMACIÓN
Para efectos internos, la información podrá clasificarse de la siguiente manera:
Nivel 1 – Información pública
Información que puede ser divulgada legítimamente al público, como:
• Servicios ofrecidos.
• Horarios de atención.
• Información institucional.
• Información publicada oficialmente por SPECTRAL.
Nivel 2 – Información interna
Información destinada exclusivamente a la gestión interna de SPECTRAL.
Nivel 3 – Información confidencial
Información personal de pacientes, clientes, colaboradores, proveedores y demás titulares.
Nivel 4 – Información especialmente protegida
Comprende, entre otros:
• Historias clínicas.
• Diagnósticos.
• Antecedentes médicos.
• Resultados de exámenes.
• Información quirúrgica.
• Imágenes y estudios médicos.
• Información relacionada con tratamientos.
• Datos de niñas, niños y adolescentes.
• Datos biométricos, cuando existan.
• Cualquier otra información que legalmente tenga una protección especial.
Los datos relativos a la salud forman parte de las categorías especiales de datos personales bajo la LOPDP.
5. REGLAS DE ACCESO AL SISTEMA
El acceso al sistema administrativo será personal e intransferible.
Cada usuario deberá utilizar sus propias credenciales.
Queda prohibido:
• Compartir contraseñas.
• Utilizar cuentas de otros usuarios.
• Permitir que terceros utilicen una sesión abierta.
• Consultar información sin una finalidad laboral legítima.
• Descargar información innecesariamente.
• Fotografiar o copiar historias clínicas sin autorización.
• Compartir información de pacientes mediante canales personales.
El nivel de acceso deberá corresponder a las funciones del usuario.
6. PERFILES DE ACCESO
SPECTRAL deberá establecer perfiles de acceso de acuerdo con las responsabilidades de cada usuario.
Por ejemplo:
Administrador: gestión general del sistema y usuarios.
Recepción: registro de pacientes, agenda y datos administrativos necesarios para atención.
Médico / Profesional de salud: acceso a la información clínica necesaria para la atención de sus pacientes.
Caja / Facturación: acceso a información administrativa y financiera necesaria para sus funciones.
Gerencia: acceso a información administrativa y reportes autorizados.
Soporte tecnológico: acceso técnico limitado y controlado, únicamente cuando sea necesario para mantenimiento, soporte o seguridad.
Estos perfiles podrán modificarse según la estructura organizacional de SPECTRAL.
7. USO DE LA INFORMACIÓN CLÍNICA
La información clínica será utilizada principalmente para:
• Atención médica.
• Diagnóstico.
• Tratamiento.
• Seguimiento.
• Elaboración y conservación de historias clínicas.
• Coordinación de procedimientos.
• Continuidad de la atención.
• Cumplimiento de obligaciones legales y sanitarias.
El acceso a una historia clínica deberá responder a una necesidad legítima relacionada con las funciones del usuario.
8. PROHIBICIONES
Está prohibido:
a) Consultar información de un paciente por curiosidad o interés personal.
b) Utilizar información de pacientes para fines distintos a los autorizados.
c) Compartir historias clínicas con personas no autorizadas.
d) Utilizar datos de pacientes para fines comerciales no autorizados.
e) Copiar bases de datos de SPECTRAL para uso personal.
f) Exportar información sin autorización.
g) Compartir fotografías, diagnósticos, resultados o información clínica mediante redes sociales o aplicaciones personales.
h) Utilizar información obtenida del sistema para beneficio propio o de terceros.
i) Alterar información clínica sin autorización y sin dejar el registro correspondiente.
j) Eliminar información utilizando mecanismos diferentes a los establecidos por SPECTRAL.
9. MODIFICACIÓN DE INFORMACIÓN
Las modificaciones de datos deberán realizarse únicamente cuando exista una razón legítima.
Cuando el sistema lo permita, deberá mantenerse un registro de:
• Usuario que realizó la modificación.
• Fecha y hora.
• Información modificada.
• Acción realizada.
La información clínica no deberá ser eliminada o modificada de manera que se pierda la trazabilidad de la atención.
10. REGISTRO Y TRAZABILIDAD
El sistema administrativo procurará mantener mecanismos de trazabilidad sobre las operaciones relevantes realizadas por los usuarios.
Podrán registrarse:
• Inicio de sesión.
• Accesos.
• Creación de registros.
• Modificaciones.
• Eliminaciones autorizadas.
• Descargas o exportaciones.
• Cambios de permisos.
• Otras operaciones relevantes.
Estos registros podrán ser utilizados para fines de seguridad, auditoría y control interno.
11. SEGURIDAD
SPECTRAL adoptará medidas razonables y apropiadas para proteger la información, considerando el tipo y nivel de riesgo de los datos tratados.
Entre las medidas podrán incluirse:
• Usuarios y contraseñas.
• Control de permisos.
• Copias de seguridad.
• Cifrado cuando corresponda.
• Protección de servidores.
• Actualizaciones de software.
• Control de accesos.
• Registro de actividades.
• Gestión de incidentes.
• Confidencialidad del personal.
12. PROVEEDORES Y ENCARGADOS DEL TRATAMIENTO
Cuando un tercero trate datos personales por cuenta de SPECTRAL, deberá existir una relación contractual o instrumento jurídico que establezca las obligaciones correspondientes.
El tercero deberá tratar la información únicamente conforme a las instrucciones y finalidades autorizadas por SPECTRAL.
La normativa ecuatoriana reconoce expresamente la figura del encargado del tratamiento y exige garantías y obligaciones relacionadas con la protección de la información.
13. SISTEMA ADMINISTRATIVO
El sistema administrativo desarrollado para SPECTRAL deberá configurarse bajo criterios de protección de datos desde el diseño y por defecto.
Como mínimo, se recomienda implementar:
• Control de usuarios.
• Roles y permisos.
• Autenticación.
• Gestión de sesiones.
• Registro de actividades.
• Restricción de acceso según funciones.
• Protección de información clínica.
• Copias de seguridad.
• Mecanismos de recuperación.
• Gestión de usuarios inactivos.
• Control sobre exportaciones.
• Registro de operaciones críticas.
Estas medidas deberán adecuarse al nivel de riesgo real del sistema.
14. INCIDENTES DE SEGURIDAD
Todo colaborador que detecte o sospeche:
• Acceso no autorizado.
• Robo o pérdida de información.
• Filtración de datos.
• Uso indebido de credenciales.
• Alteración no autorizada de información.
• Pérdida de dispositivos.
• Vulnerabilidades del sistema.
deberá comunicarlo inmediatamente al responsable designado por SPECTRAL.
El incidente deberá ser evaluado y gestionado conforme al procedimiento interno correspondiente.
La LOPDP contempla obligaciones específicas frente a vulneraciones de seguridad, incluyendo las notificaciones que correspondan a la autoridad y a los titulares.
15. CONSERVACIÓN Y ELIMINACIÓN
La información no será conservada indefinidamente sin una finalidad legítima.
Los períodos de conservación deberán determinarse considerando:
• Finalidad del tratamiento.
• Obligaciones legales.
• Normativa sanitaria.
• Necesidades de atención médica.
• Obligaciones administrativas y tributarias.
• Requerimientos judiciales o administrativos.
La eliminación, anonimización o bloqueo de información deberá realizarse mediante procedimientos autorizados.
16. TRANSFERENCIA DE INFORMACIÓN
Cualquier transferencia o comunicación de datos personales deberá contar con una base jurídica válida y respetar los principios de finalidad, necesidad, proporcionalidad y seguridad.
Las transferencias nacionales o internacionales deberán cumplir adicionalmente las disposiciones aplicables emitidas por la Autoridad de Protección de Datos Personales. La SPDP cuenta actualmente con normativa específica sobre transferencias y comunicaciones nacionales e internacionales.
17. RESPONSABILIDADES DEL PERSONAL
Toda persona autorizada para acceder al sistema será responsable de:
• Mantener sus credenciales bajo reserva.
• Utilizar la información únicamente para sus funciones.
• Mantener la confidencialidad.
• Informar incidentes.
• Cumplir las políticas internas.
• Respetar los derechos de los titulares.
• Evitar cualquier acceso innecesario o indebido.
El incumplimiento podrá generar medidas administrativas, laborales, contractuales o legales, según corresponda.
18. RESPONSABILIDADES DE SPECTRAL
SPECTRAL deberá procurar:
a) Mantener mecanismos adecuados de protección.
b) Capacitar al personal que trate datos personales.
c) Mantener políticas y procedimientos actualizados.
d) Gestionar los riesgos asociados al tratamiento.
e) Controlar los accesos al sistema.
f) Mantener contratos de confidencialidad y tratamiento de datos cuando correspondan.
g) Atender los derechos de los titulares.
h) Gestionar los incidentes de seguridad.
i) Mantener documentación que permita demostrar el cumplimiento de sus obligaciones.
19. PROTECCIÓN DE DATOS DESDE EL DISEÑO
Todo nuevo módulo, funcionalidad, proceso o integración tecnológica que implique tratamiento de datos personales deberá considerar la protección de datos desde su etapa de diseño.
Antes de implementar funcionalidades que impliquen tratamientos de mayor riesgo, SPECTRAL deberá evaluar los riesgos y determinar las medidas de protección necesarias.
La LOPDP establece expresamente la obligación de implementar protección de datos desde el diseño y por defecto.
20. VIGENCIA Y ACTUALIZACIÓN
La presente Política entrará en vigencia a partir de su aprobación y deberá revisarse periódicamente o cuando existan cambios legales, tecnológicos u organizacionales que puedan afectar el tratamiento de datos personales.
21. APROBACIÓN
SPECTRAL VISION DEL ECUADOR
Representante legal: ALVIA RATTI PAOLO JOSE
Cargo: GERENTE GENERAL
Versión: 1.0
1. OBJETO
La presente Política establece las reglas y criterios que deberá observar SPECTRAL VISION DEL ECUADOR y las personas autorizadas para la recolección, registro, consulta, utilización, almacenamiento, modificación, comunicación, conservación y eliminación de datos personales dentro de sus procesos administrativos, comerciales y asistenciales.
Su finalidad es garantizar que los datos personales sean tratados de forma legítima, segura, confidencial y únicamente para las finalidades autorizadas.
2. ALCANCE
Esta Política aplica a:
• Representantes legales.
• Médicos y profesionales de la salud.
• Personal administrativo.
• Personal de recepción.
• Personal de facturación y caja.
• Personal de atención al paciente.
• Personal de sistemas y tecnología.
• Proveedores y contratistas que tengan acceso a información personal.
• Usuarios autorizados del sistema administrativo de SPECTRAL.
3. PRINCIPIOS
El tratamiento de datos deberá observar, entre otros, los principios de:
• Legalidad.
• Transparencia.
• Finalidad.
• Pertinencia y minimización.
• Confidencialidad.
• Seguridad.
• Proporcionalidad.
• Responsabilidad proactiva.
• Protección de datos desde el diseño y por defecto.
La LOPDP establece obligaciones específicas para que los responsables implementen medidas administrativas, técnicas, físicas, organizativas y jurídicas adecuadas, así como mecanismos de gestión de riesgos.
4. CLASIFICACIÓN DE LA INFORMACIÓN
Para efectos internos, la información podrá clasificarse de la siguiente manera:
Nivel 1 – Información pública
Información que puede ser divulgada legítimamente al público, como:
• Servicios ofrecidos.
• Horarios de atención.
• Información institucional.
• Información publicada oficialmente por SPECTRAL.
Nivel 2 – Información interna
Información destinada exclusivamente a la gestión interna de SPECTRAL.
Nivel 3 – Información confidencial
Información personal de pacientes, clientes, colaboradores, proveedores y demás titulares.
Nivel 4 – Información especialmente protegida
Comprende, entre otros:
• Historias clínicas.
• Diagnósticos.
• Antecedentes médicos.
• Resultados de exámenes.
• Información quirúrgica.
• Imágenes y estudios médicos.
• Información relacionada con tratamientos.
• Datos de niñas, niños y adolescentes.
• Datos biométricos, cuando existan.
• Cualquier otra información que legalmente tenga una protección especial.
Los datos relativos a la salud forman parte de las categorías especiales de datos personales bajo la LOPDP.
5. REGLAS DE ACCESO AL SISTEMA
El acceso al sistema administrativo será personal e intransferible.
Cada usuario deberá utilizar sus propias credenciales.
Queda prohibido:
• Compartir contraseñas.
• Utilizar cuentas de otros usuarios.
• Permitir que terceros utilicen una sesión abierta.
• Consultar información sin una finalidad laboral legítima.
• Descargar información innecesariamente.
• Fotografiar o copiar historias clínicas sin autorización.
• Compartir información de pacientes mediante canales personales.
El nivel de acceso deberá corresponder a las funciones del usuario.
6. PERFILES DE ACCESO
SPECTRAL deberá establecer perfiles de acceso de acuerdo con las responsabilidades de cada usuario.
Por ejemplo:
Administrador: gestión general del sistema y usuarios.
Recepción: registro de pacientes, agenda y datos administrativos necesarios para atención.
Médico / Profesional de salud: acceso a la información clínica necesaria para la atención de sus pacientes.
Caja / Facturación: acceso a información administrativa y financiera necesaria para sus funciones.
Gerencia: acceso a información administrativa y reportes autorizados.
Soporte tecnológico: acceso técnico limitado y controlado, únicamente cuando sea necesario para mantenimiento, soporte o seguridad.
Estos perfiles podrán modificarse según la estructura organizacional de SPECTRAL.
7. USO DE LA INFORMACIÓN CLÍNICA
La información clínica será utilizada principalmente para:
• Atención médica.
• Diagnóstico.
• Tratamiento.
• Seguimiento.
• Elaboración y conservación de historias clínicas.
• Coordinación de procedimientos.
• Continuidad de la atención.
• Cumplimiento de obligaciones legales y sanitarias.
El acceso a una historia clínica deberá responder a una necesidad legítima relacionada con las funciones del usuario.
8. PROHIBICIONES
Está prohibido:
a) Consultar información de un paciente por curiosidad o interés personal.
b) Utilizar información de pacientes para fines distintos a los autorizados.
c) Compartir historias clínicas con personas no autorizadas.
d) Utilizar datos de pacientes para fines comerciales no autorizados.
e) Copiar bases de datos de SPECTRAL para uso personal.
f) Exportar información sin autorización.
g) Compartir fotografías, diagnósticos, resultados o información clínica mediante redes sociales o aplicaciones personales.
h) Utilizar información obtenida del sistema para beneficio propio o de terceros.
i) Alterar información clínica sin autorización y sin dejar el registro correspondiente.
j) Eliminar información utilizando mecanismos diferentes a los establecidos por SPECTRAL.
9. MODIFICACIÓN DE INFORMACIÓN
Las modificaciones de datos deberán realizarse únicamente cuando exista una razón legítima.
Cuando el sistema lo permita, deberá mantenerse un registro de:
• Usuario que realizó la modificación.
• Fecha y hora.
• Información modificada.
• Acción realizada.
La información clínica no deberá ser eliminada o modificada de manera que se pierda la trazabilidad de la atención.
10. REGISTRO Y TRAZABILIDAD
El sistema administrativo procurará mantener mecanismos de trazabilidad sobre las operaciones relevantes realizadas por los usuarios.
Podrán registrarse:
• Inicio de sesión.
• Accesos.
• Creación de registros.
• Modificaciones.
• Eliminaciones autorizadas.
• Descargas o exportaciones.
• Cambios de permisos.
• Otras operaciones relevantes.
Estos registros podrán ser utilizados para fines de seguridad, auditoría y control interno.
11. SEGURIDAD
SPECTRAL adoptará medidas razonables y apropiadas para proteger la información, considerando el tipo y nivel de riesgo de los datos tratados.
Entre las medidas podrán incluirse:
• Usuarios y contraseñas.
• Control de permisos.
• Copias de seguridad.
• Cifrado cuando corresponda.
• Protección de servidores.
• Actualizaciones de software.
• Control de accesos.
• Registro de actividades.
• Gestión de incidentes.
• Confidencialidad del personal.
12. PROVEEDORES Y ENCARGADOS DEL TRATAMIENTO
Cuando un tercero trate datos personales por cuenta de SPECTRAL, deberá existir una relación contractual o instrumento jurídico que establezca las obligaciones correspondientes.
El tercero deberá tratar la información únicamente conforme a las instrucciones y finalidades autorizadas por SPECTRAL.
La normativa ecuatoriana reconoce expresamente la figura del encargado del tratamiento y exige garantías y obligaciones relacionadas con la protección de la información.
13. SISTEMA ADMINISTRATIVO
El sistema administrativo desarrollado para SPECTRAL deberá configurarse bajo criterios de protección de datos desde el diseño y por defecto.
Como mínimo, se recomienda implementar:
• Control de usuarios.
• Roles y permisos.
• Autenticación.
• Gestión de sesiones.
• Registro de actividades.
• Restricción de acceso según funciones.
• Protección de información clínica.
• Copias de seguridad.
• Mecanismos de recuperación.
• Gestión de usuarios inactivos.
• Control sobre exportaciones.
• Registro de operaciones críticas.
Estas medidas deberán adecuarse al nivel de riesgo real del sistema.
14. INCIDENTES DE SEGURIDAD
Todo colaborador que detecte o sospeche:
• Acceso no autorizado.
• Robo o pérdida de información.
• Filtración de datos.
• Uso indebido de credenciales.
• Alteración no autorizada de información.
• Pérdida de dispositivos.
• Vulnerabilidades del sistema.
deberá comunicarlo inmediatamente al responsable designado por SPECTRAL.
El incidente deberá ser evaluado y gestionado conforme al procedimiento interno correspondiente.
La LOPDP contempla obligaciones específicas frente a vulneraciones de seguridad, incluyendo las notificaciones que correspondan a la autoridad y a los titulares.
15. CONSERVACIÓN Y ELIMINACIÓN
La información no será conservada indefinidamente sin una finalidad legítima.
Los períodos de conservación deberán determinarse considerando:
• Finalidad del tratamiento.
• Obligaciones legales.
• Normativa sanitaria.
• Necesidades de atención médica.
• Obligaciones administrativas y tributarias.
• Requerimientos judiciales o administrativos.
La eliminación, anonimización o bloqueo de información deberá realizarse mediante procedimientos autorizados.
16. TRANSFERENCIA DE INFORMACIÓN
Cualquier transferencia o comunicación de datos personales deberá contar con una base jurídica válida y respetar los principios de finalidad, necesidad, proporcionalidad y seguridad.
Las transferencias nacionales o internacionales deberán cumplir adicionalmente las disposiciones aplicables emitidas por la Autoridad de Protección de Datos Personales. La SPDP cuenta actualmente con normativa específica sobre transferencias y comunicaciones nacionales e internacionales.
17. RESPONSABILIDADES DEL PERSONAL
Toda persona autorizada para acceder al sistema será responsable de:
• Mantener sus credenciales bajo reserva.
• Utilizar la información únicamente para sus funciones.
• Mantener la confidencialidad.
• Informar incidentes.
• Cumplir las políticas internas.
• Respetar los derechos de los titulares.
• Evitar cualquier acceso innecesario o indebido.
El incumplimiento podrá generar medidas administrativas, laborales, contractuales o legales, según corresponda.
18. RESPONSABILIDADES DE SPECTRAL
SPECTRAL deberá procurar:
a) Mantener mecanismos adecuados de protección.
b) Capacitar al personal que trate datos personales.
c) Mantener políticas y procedimientos actualizados.
d) Gestionar los riesgos asociados al tratamiento.
e) Controlar los accesos al sistema.
f) Mantener contratos de confidencialidad y tratamiento de datos cuando correspondan.
g) Atender los derechos de los titulares.
h) Gestionar los incidentes de seguridad.
i) Mantener documentación que permita demostrar el cumplimiento de sus obligaciones.
19. PROTECCIÓN DE DATOS DESDE EL DISEÑO
Todo nuevo módulo, funcionalidad, proceso o integración tecnológica que implique tratamiento de datos personales deberá considerar la protección de datos desde su etapa de diseño.
Antes de implementar funcionalidades que impliquen tratamientos de mayor riesgo, SPECTRAL deberá evaluar los riesgos y determinar las medidas de protección necesarias.
La LOPDP establece expresamente la obligación de implementar protección de datos desde el diseño y por defecto.
20. VIGENCIA Y ACTUALIZACIÓN
La presente Política entrará en vigencia a partir de su aprobación y deberá revisarse periódicamente o cuando existan cambios legales, tecnológicos u organizacionales que puedan afectar el tratamiento de datos personales.
21. APROBACIÓN
SPECTRAL VISION DEL ECUADOR
Representante legal: ALVIA RATTI PAOLO JOSE
Cargo: GERENTE GENERAL