1. OBJETIVO

La presente Política de Protección de Datos Personales tiene como objetivo establecer los lineamientos, principios, procedimientos y responsabilidades que VERIFY S.A. adopta para garantizar el cumplimiento de la Ley Orgánica de Protección de Datos Personales (LOPDP) del Ecuador y su Reglamento de aplicación.

VERIFY S.A. es una empresa ecuatoriana dedicada a la prestación de servicios de verificación de personas y empresas, así como servicios de confianza (Trust) como reseller del producto EVALUAR. La empresa opera desde sus oficinas en Quito y Guayaquil, Ecuador, atendiendo a aproximadamente 80 clientes activos.

Este documento constituye el marco normativo interno que regula el tratamiento de datos personales en todas las actividades de VERIFY S.A., asegurando que dicho tratamiento se realice de manera lícita, leal, transparente y segura, en conformidad con la LOPDP (R.O. Sup. 459, 26 de mayo de 2021), su Reglamento (Decreto Ejecutivo No. 904) y demás normativa aplicable.

La Política aplica a todas las operaciones de la organización, incluyendo pero no limitándose a: servicios de verificación de identidad, verificación de antecedentes, consultas al Registro Civil, gestión comercial (CRM), operaciones del sitio web verificante.com y la plataforma app.verificante.com.

2. ALCANCE

Esta Política es de aplicación obligatoria para todos los colaboradores, empleados, contratistas, proveedores de servicios y cualquier tercero que actúe en nombre o por cuenta de VERIFY S.A. y que, en el desarrollo de sus funciones, acceda, recopile, almacene, use, transfiera o realice cualquier otra operación de tratamiento de datos personales.

2.1 Categorías de titulares de datos

• Clientes y usuarios de los servicios de verificación

• Empleados y colaboradores de VERIFY S.A.

• Proveedores y socios comerciales

• Candidatos a posiciones laborales

• Personas verificadas (personas naturales cuyos datos son objeto de verificación)

• Visitantes del sitio web verificante.com

2.2 Procesos cubiertos

• Verificación de personas (identidad, antecedentes, registros)

• Verificación de empresas

• Servicio de confianza — Trust (EVALUAR)

• Prospección comercial y gestión de relaciones (CRM — HubSpot)

• Operaciones del sitio web verificante.com y app.verificante.com

2.3 Departamentos involucrados

• Ventas

• Finanzas

• Desarrollo

• Operaciones

3. MARCO LEGAL APLICABLE

El tratamiento de datos personales por parte de VERIFY S.A. se rige por el siguiente marco legal:

3.1 Constitución de la República del Ecuador

Art. 66, numeral 19: Derecho a la protección de datos de carácter personal, que incluye el acceso y la decisión sobre información y datos de este carácter, así como su correspondiente protección.

3.2 Ley Orgánica de Protección de Datos Personales (LOPDP)

Registro Oficial Suplemento 459, de 26 de mayo de 2021. Artículos de referencia:

• Arts. 1 y 2: Objeto, ámbito y finalidad de la Ley

• Art. 7: Bases legales para el tratamiento de datos personales

• Arts. 8 y 9: Consentimiento e interés legítimo

• Art. 10: Principios del tratamiento de datos personales

• Art. 11: Tratamiento de datos sensibles

• Arts. 12-22: Derechos de los titulares (ARCO-POL)

• Arts. 25-26: Categorías especiales de datos

• Arts. 33-36: Transferencias y comunicaciones de datos

• Arts. 37-43: Seguridad y medidas de protección

• Arts. 45-47: Notificación de vulneraciones, DPD y registro de actividades

3.3 Reglamento de la LOPDP (Decreto Ejecutivo No. 904)

Registro Oficial Suplemento 435, de 13 de noviembre de 2023. Artículos de referencia:

• Arts. 1-11: Disposiciones generales y conservación de datos

• Arts. 12-16: Ejercicio de derechos de los titulares

• Arts. 21-28: Transferencias internacionales y gestión de incidentes

• Arts. 33-47: Medidas de seguridad y responsables/encargados

• Arts. 55-62: Protección por diseño y por defecto

• Arts. 71-78: Transferencias internacionales (detalle)

3.4 Otras normas y estándares de referencia

• Resoluciones de la Superintendencia de Protección de Datos Personales (SPDP)

• Reglamento General de Protección de Datos de la Unión Europea — GDPR (UE 2016/679), como marco de referencia internacional

• ISO/IEC 27701:2019 — Gestión de la privacidad de la información

• ISO/IEC 27001:2022 — Sistemas de gestión de seguridad de la información

4. DEFINICIONES

A los efectos de esta Política, se adoptan las siguientes definiciones conforme al artículo 4 de la LOPDP y normativa complementaria:

Dato personal: Dato que identifica o hace identificable a una persona natural, directa o indirectamente (Art. 4 LOPDP).

Dato sensible: Dato personal que revela origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, biométricos, de salud, vida sexual u orientación sexual, datos de niños, niñas y adolescentes, identidad de género, datos relativos a condenas o infracciones penales, y cualquier otro que así lo determine la ley (Art. 25 LOPDP).

Titular: Persona natural cuyos datos personales son objeto de tratamiento (Art. 4 LOPDP).

Responsable del tratamiento: Persona natural o jurídica, pública o privada, que decide sobre la finalidad y el tratamiento de datos personales (Art. 4 LOPDP). En este caso: VERIFY S.A.

Encargado del tratamiento: Persona natural o jurídica, pública o privada, que trata datos personales por cuenta y en nombre del responsable del tratamiento (Art. 4 LOPDP).

Tratamiento: Cualquier operación o conjunto de operaciones realizadas sobre datos personales, ya sea por procedimientos técnicos de carácter automatizado, parcialmente automatizado o no automatizado (Art. 4 LOPDP).

Consentimiento: Manifestación de la voluntad libre, específica, informada e inequívoca del titular por la que acepta el tratamiento de sus datos personales (Art. 8 LOPDP).

Transferencia: Comunicación de datos personales por parte del responsable a un encargado del tratamiento, dentro o fuera del territorio nacional (Art. 33 LOPDP).

Comunicación: Revelación de datos personales a un tercero que adquiere la condición de responsable (Art. 34 LOPDP).

Base de datos: Conjunto organizado de datos personales, ya sea automatizado o no, cualquiera que sea la forma o modalidad de su creación, almacenamiento, organización y acceso (Art. 4 LOPDP).

Delegado de Protección de Datos (DPD): Persona designada por el responsable del tratamiento para supervisar el cumplimiento de la normativa de protección de datos personales, con independencia funcional (Arts. 44-46 LOPDP).

Evaluación de Impacto en Protección de Datos (EIPD): Evaluación previa de los riesgos que un tratamiento de datos personales puede representar para los derechos y libertades de los titulares, obligatoria cuando el tratamiento entraña alto riesgo (Art. 42 LOPDP).

Registro de Actividades de Tratamiento (RAT): Registro documentado de las actividades de tratamiento de datos personales realizadas bajo la responsabilidad del responsable del tratamiento (Art. 47 LOPDP).

Derechos ARCO-POL: Conjunto de derechos de los titulares: Acceso, Rectificación, Cancelación/Eliminación, Oposición, Portabilidad, Oposición al tratamiento y Limitación del tratamiento (Arts. 12-22 LOPDP).

Brecha de seguridad: Vulneración de la seguridad que ocasione la destrucción, pérdida, alteración accidental o ilícita, comunicación o acceso no autorizado a datos personales (Art. 43 LOPDP).

Anonimización: Proceso irreversible mediante el cual los datos personales no pueden asociarse a una persona identificada o identificable (Art. 4 LOPDP).

Seudonimización: Tratamiento de datos personales de manera que ya no puedan atribuirse a un titular sin utilizar información adicional, siempre que dicha información adicional figure por separado (Art. 4 LOPDP).

5. INTRODUCCIÓN Y PROPÓSITO

5.1 Declaración de compromiso

VERIFY S.A. declara su compromiso firme e inequívoco con la protección de los datos personales de todos los titulares cuyos datos trata en el ejercicio de sus actividades. La organización reconoce que la protección de datos personales constituye un derecho fundamental consagrado en el artículo 66, numeral 19 de la Constitución de la República del Ecuador y desarrollado por la Ley Orgánica de Protección de Datos Personales (LOPDP).

5.2 Compromiso de la Alta Dirección

El señor Felipe José Ribadeneira Laso, en su calidad de Gerente General y representante legal de VERIFY S.A., manifiesta expresamente el compromiso de la alta dirección con:

• El cumplimiento integral de la LOPDP, su Reglamento y toda normativa conexa en materia de protección de datos personales.

• La asignación de los recursos necesarios (humanos, técnicos, financieros y organizativos) para implementar y mantener un sistema efectivo de protección de datos personales.

• La promoción de una cultura organizacional de respeto a la privacidad y protección de datos personales.

• El apoyo a la gestión independiente del Delegado de Protección de Datos (DPD) en el ejercicio de sus funciones.

• La mejora continua del sistema de gestión de protección de datos personales.

5.3 Reconocimiento del derecho fundamental

VERIFY S.A. reconoce que el derecho a la protección de datos personales es un derecho autónomo y fundamental, que garantiza a toda persona natural la facultad de decidir sobre el tratamiento de su información personal, así como el derecho a conocer sobre la existencia, finalidades y condiciones de dicho tratamiento.

5.4 Marco normativo de cumplimiento

La presente Política constituye el marco normativo de cumplimiento adoptado voluntaria y formalmente por VERIFY S.A. como instrumento principal de su programa de protección de datos personales. Este documento ha sido elaborado con el asesoramiento técnico de AGENCIA43 S.A.S. y será objeto de revisión y actualización periódica conforme a la evolución normativa y las necesidades de la organización.

6. PRINCIPIOS RECTORES DE PROTECCIÓN DE DATOS

De conformidad con el artículo 10 de la LOPDP, el tratamiento de datos personales por parte de VERIFY S.A. se rige por los siguientes principios rectores:

6.a) Juridicidad (Art. 10 lit. a) LOPDP)

Todo tratamiento de datos personales debe encontrar su fundamento en la ley. Los datos deben ser tratados bajo estricto cumplimiento del ordenamiento jurídico ecuatoriano, particularmente la LOPDP y su Reglamento.

Ejemplo aplicado a VERIFY S.A.: VERIFY S.A. garantiza que cada consulta de verificación realizada a través de la API del Registro Civil cuenta con una base legal válida, ya sea el consentimiento del titular, la ejecución de un contrato o una obligación legal.

6.b) Lealtad (Art. 10 lit. b) LOPDP)

Los datos personales deben ser recopilados de manera honesta y legítima, sin recurrir a medios engañosos, fraudulentos o ilícitos.

Ejemplo aplicado a VERIFY S.A.: VERIFY S.A. no utiliza métodos engañosos para obtener datos de las personas verificadas. Toda recopilación de datos se realiza mediante canales transparentes y autorizados.

6.c) Transparencia (Art. 10 lit. c) LOPDP)

El titular debe ser informado de manera clara, expresa e inequívoca sobre la existencia del tratamiento, sus finalidades, el tiempo de conservación, la existencia de sus derechos y los mecanismos para ejercerlos.

Ejemplo aplicado a VERIFY S.A.: VERIFY S.A. publicará su política de privacidad en verificante.com informando claramente sobre las finalidades del tratamiento de datos, los tipos de datos recopilados y los derechos de los titulares.

6.d) Finalidad (Art. 10 lit. d) LOPDP)

Los datos personales deben ser recopilados con fines específicos, explícitos y legítimos, y no serán tratados ulteriormente de forma incompatible con dichos fines.

Ejemplo aplicado a VERIFY S.A.: Los datos de identificación recopilados por VERIFY S.A. se utilizan exclusivamente para los servicios de verificación de identidad contratados por los clientes. Los datos del CRM (HubSpot) se emplean únicamente para la gestión comercial y relación con clientes.

6.e) Pertinencia y minimización (Art. 10 lit. e) LOPDP)

Los datos personales deben ser adecuados, pertinentes y limitados a lo mínimo necesario en relación con las finalidades para las que son tratados.

Ejemplo aplicado a VERIFY S.A.: VERIFY S.A. solicita únicamente el número de cédula de identidad para realizar la verificación, sin requerir datos adicionales innecesarios para la prestación del servicio.

6.f) Proporcionalidad (Art. 10 lit. f) LOPDP)

El tratamiento debe ser proporcional a la finalidad para la cual se tratan los datos. No se deben tratar más datos de los estrictamente necesarios.

Ejemplo aplicado a VERIFY S.A.: Los datos de discapacidad obtenidos del Registro Civil solo son accedidos cuando resultan estrictamente necesarios para el servicio integral de verificación contratado por el cliente.

6.g) Confidencialidad (Art. 10 lit. g) LOPDP)

Los datos personales deben ser tratados de forma confidencial, garantizando que las personas que intervengan en cualquier fase del tratamiento estén sujetas al deber de confidencialidad.

Ejemplo aplicado a VERIFY S.A.: Todos los colaboradores de VERIFY S.A. suscriben acuerdos de confidencialidad (NDA) que incluyen cláusulas específicas de protección de datos personales, con sanciones por incumplimiento.

6.h) Calidad y exactitud (Art. 10 lit. h) LOPDP)

Los datos personales deben ser exactos, completos, no modificados y actualizados, en la medida en que sea necesario en relación con las finalidades del tratamiento.

Ejemplo aplicado a VERIFY S.A.: Los informes de verificación de VERIFY S.A. utilizan consultas directas a la API del Registro Civil para garantizar la exactitud y actualización de los datos. Los datos se obtienen en tiempo real de las fuentes oficiales.

6.i) Conservación (Art. 10 lit. i) LOPDP)

Los datos personales deben ser conservados durante el tiempo estrictamente necesario para cumplir con la finalidad del tratamiento. Una vez cumplida la finalidad, los datos deben ser eliminados o anonimizados.

Ejemplo aplicado a VERIFY S.A.: VERIFY S.A. definirá plazos específicos de retención para los informes de verificación tras la cancelación del servicio, procediendo a su eliminación segura una vez transcurrido dicho plazo.

6.j) Seguridad (Art. 10 lit. j) LOPDP)

El responsable y el encargado del tratamiento deben implementar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento.

Ejemplo aplicado a VERIFY S.A.: VERIFY S.A. implementa protocolo HTTPS en todas sus plataformas (verificante.com y app.verificante.com), controles de acceso basados en roles, y medidas de seguridad perimetral para proteger los datos personales.

6.k) Responsabilidad proactiva y demostrada (Art. 10 lit. k) LOPDP)

El responsable del tratamiento debe ser capaz de demostrar el cumplimiento de los principios de protección de datos y de las obligaciones establecidas en la LOPDP, implementando mecanismos de supervisión y verificación.

Ejemplo aplicado a VERIFY S.A.: VERIFY S.A. mantiene evidencia documentada de cumplimiento, incluyendo la presente Política, registros de consentimiento, la designación formal del DPD, evaluaciones de impacto y registros de actividades de tratamiento.

6.l) Aplicación favorable al titular (Art. 10 lit. l) LOPDP)

En caso de duda sobre el alcance de las disposiciones de protección de datos, se aplicará la interpretación más favorable al titular de los datos personales.

Ejemplo aplicado a VERIFY S.A.: Si existe duda sobre si el consentimiento otorgado por un titular cubre un tratamiento específico, VERIFY S.A. lo tratará como no cubierto y procederá a obtener un nuevo consentimiento específico.

6.m) Independencia del control (Art. 10 lit. m) LOPDP)

El Delegado de Protección de Datos opera con independencia funcional, sin recibir instrucciones respecto al ejercicio de sus funciones de supervisión y control.

Ejemplo aplicado a VERIFY S.A.: El DPD Daniel Eduardo Salazar Machado reporta directamente a la Gerencia General de VERIFY S.A., ejerciendo sus funciones con total independencia funcional conforme al artículo 46 de la LOPDP.

7. ÁMBITO DE APLICACIÓN

7.1 Sujetos obligados

La presente Política es de cumplimiento obligatorio para:

• Todos los empleados y colaboradores de VERIFY S.A., independientemente de su cargo, departamento o modalidad contractual.

• Contratistas y consultores que presten servicios a VERIFY S.A. y que, en el desarrollo de sus funciones, accedan a datos personales.

• Proveedores de servicios que actúen como encargados del tratamiento por cuenta de VERIFY S.A.

• Cualquier tercero que, por cualquier causa, acceda a datos personales bajo la responsabilidad de VERIFY S.A.

7.2 Tipos de datos cubiertos

• Datos de identificación: nombres, apellidos, número de cédula de identidad, dirección domiciliaria, número de teléfono, correo electrónico.

• Datos sensibles: registros de discapacidad, datos de salud obtenidos a través de consultas al Registro Civil (Art. 25 LOPDP).

• Datos financieros: información crediticia, historial financiero.

• Datos de antecedentes: registros judiciales, penales y policiales.

• Datos de navegación: cookies, direcciones IP, comportamiento web en verificante.com.

7.3 Categorías de titulares

• Clientes: Aproximadamente 80 clientes activos (empresas y personas naturales) que contratan servicios de verificación.

• Empleados: Personal de VERIFY S.A. en todas sus áreas.

• Proveedores: EVALUAR, HubSpot, Apollo.io, entre otros.

• Candidatos: Personas que postulan a posiciones laborales en VERIFY S.A.

• Personas verificadas: Individuos cuyos datos son objeto de los servicios de verificación.

• Visitantes web: Usuarios que acceden a verificante.com.

7.4 Departamentos y procesos bajo alcance

Todos los departamentos y áreas de VERIFY S.A. se encuentran bajo el alcance de esta Política:

• Ventas: Gestión comercial, prospección, CRM (HubSpot), atención al cliente.

• Finanzas: Facturación, gestión tributaria, nómina (Odoo), pagos a proveedores.

• Desarrollo: Mantenimiento de la plataforma app.verificante.com, integraciones API, gestión de datos técnicos.

• Operaciones: Ejecución de servicios de verificación, consultas al Registro Civil, generación de informes, gestión de calidad.

8. DATOS PERSONALES TRATADOS

VERIFY S.A. trata las siguientes categorías de datos personales, clasificados por tipo de titular y finalidad:

8.1 Datos sensibles y categorías especiales

VERIFY S.A. trata categorías especiales de datos personales conforme al artículo 25 de la LOPDP:

• Registros de discapacidad: Obtenidos a través de la API del Registro Civil como parte del servicio de verificación integral.

• Datos de salud: Información derivada de las consultas al Registro Civil relacionada con condiciones de salud.

8.2 Datos judiciales, penales y policiales

VERIFY S.A. también trata datos relativos a antecedentes judiciales, penales y policiales como parte de sus servicios de verificación de antecedentes. El tratamiento de estos datos requiere consentimiento explícito del titular.

9. BASES LEGALES PARA EL TRATAMIENTO

De conformidad con el artículo 7 de la LOPDP, VERIFY S.A. fundamenta el tratamiento de datos personales en las siguientes bases legales:

9.a) Consentimiento (Art. 7 num. 1 y Art. 8 LOPDP)

El consentimiento constituye la base legal principal para el tratamiento de datos personales en los servicios de verificación de personas. VERIFY S.A. obtiene el consentimiento explícito del titular a través de una declaración pre-verificación antes de realizar consultas al Registro Civil.

Para datos sensibles (registros de discapacidad, datos de salud), se solicita el consentimiento explícito y específico conforme al artículo 11 de la LOPDP.

9.b) Obligación legal (Art. 7 num. 2 LOPDP)

El tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento:

• Obligaciones tributarias: Conservación de datos durante 7 años conforme a la legislación tributaria ecuatoriana.

• Obligaciones de seguridad social: Tratamiento de datos de empleados para el cumplimiento de obligaciones con el IESS.

• Prevención de lavado de activos: Cumplimiento de normativa antilavado en la prestación de servicios de verificación.

9.c) Orden judicial (Art. 7 num. 3 LOPDP)

Cuando sea requerido por autoridad judicial competente mediante orden debidamente motivada.

9.d) Interés público (Art. 7 num. 4 LOPDP)

No aplicable para VERIFY S.A. en su condición de entidad privada.

9.e) Ejecución contractual (Art. 7 num. 5 LOPDP)

El tratamiento es necesario para la ejecución de un contrato en el que el titular es parte o para la aplicación de medidas precontractuales:

• Prestación de servicios de verificación conforme a los contratos suscritos con clientes.

• Relaciones laborales: Tratamiento de datos de empleados para la ejecución del contrato de trabajo, nómina y gestión de personal.

• Contratos con proveedores: Tratamiento de datos necesarios para la gestión contractual y pagos.

9.f) Intereses vitales (Art. 7 num. 6 LOPDP)

Es aplicable únicamente en situaciones de emergencia que pongan en riesgo la vida o integridad del titular.

9.g) Datos de acceso público (Art. 7 num. 7 LOPDP)

Consulta de bases de datos públicas y fuentes gubernamentales para la prestación de servicios de verificación.

9.h) Interés legítimo (Art. 7 num. 8 y Art. 9 LOPDP)

El uso de esta base legal requiere una evaluación documentada de ponderación de intereses conforme al artículo 9 de la LOPDP. VERIFY S.A. ha realizado dicha evaluación para las actividades de prospección comercial a través de HubSpot, la cual se encuentra documentada en el Registro de Evaluaciones de Interés Legítimo, disponible para consulta de la SPDP. Dicha evaluación será revisada anualmente o cuando cambien las condiciones del tratamiento.

10. CATEGORÍAS DE TITULARES

VERIFY S.A. identifica las siguientes categorías de titulares de datos personales:

10.1 Personas verificadas

Personas naturales cuyos datos son objeto de los servicios de verificación contratados por los clientes de VERIFY S.A. Se recopilan datos de identificación, antecedentes y, en algunos casos, datos sensibles (discapacidad, salud). La finalidad es la prestación del servicio de verificación de identidad y antecedentes.

10.2 Clientes y usuarios

Aproximadamente 80 clientes activos, principalmente empresas que contratan servicios de verificación. Se recopilan datos de la empresa, representante legal e información de contacto para la prestación de servicios, facturación y gestión comercial.

10.3 Colaboradores y empleados

Personal de VERIFY S.A. en todas sus áreas (Ventas, Finanzas, Desarrollo, Operaciones). Se tratan datos de identificación, salariales, de seguridad social, bancarios y de beneficiarios para la gestión de nómina (Odoo), seguridad social y administración de personal.

10.4 Proveedores

Empresas y personas naturales que prestan servicios a VERIFY S.A., incluyendo EVALUAR, HubSpot, Apollo.io, entre otros. Se tratan datos de la empresa, representante y datos bancarios para la gestión contractual y pagos.

10.5 Prospectos y candidatos

Personas interesadas en los servicios de VERIFY S.A. o candidatos a posiciones laborales. Se recopilan datos de contacto (nombre, email, empresa, teléfono) para prospección comercial a través de Apollo.io y HubSpot.

10.6 Visitantes web

Usuarios que acceden al sitio web verificante.com. Se recopilan datos de navegación (cookies, direcciones IP, comportamiento web) para analítica y marketing.

10.7 Beneficiarios y personas relacionadas

Colaboradores, (información para gestión de seguros, contactos de emergencia, familiares) y accionistas.

11. FINALIDADES DEL TRATAMIENTO

De conformidad con el artículo 10, literal d) de la LOPDP, VERIFY S.A. trata datos personales para las siguientes finalidades específicas:

11.1 Personas verificadas

• Verificación de identidad mediante consulta a fuentes oficiales (Registro Civil).

• Verificación de antecedentes judiciales, penales y policiales.

• Consulta de registros de discapacidad y datos de salud (cuando aplique y con consentimiento explícito).

• Evaluación de riesgo y generación de informes de verificación.

• Generación de reportes integrales para clientes.

11.2 Clientes

• Prestación de servicios de verificación conforme a contrato.

• Facturación y gestión contable.

• Gestión comercial y relación con el cliente (CRM — HubSpot).

• Cumplimiento de obligaciones de debida diligencia.

11.3 Colaboradores

• Gestión de nómina y remuneraciones (Odoo).

• Cumplimiento de obligaciones de seguridad social (IESS).

• Gestión de personal y administración de recursos humanos.

• Gestión de acuerdos de confidencialidad (NDA).

11.4 Prospectos

• Prospección comercial y generación de leads (HubSpot CRM, Apollo.io).

• Comunicaciones comerciales sobre servicios de VERIFY S.A.

• Seguimiento de oportunidades de negocio.

11.5 Visitantes web

• Analítica web y medición de tráfico.

• Marketing digital y mejora de la experiencia del usuario.

• Mejora continua de los servicios ofrecidos.

11.6 Prohibición de finalidades secundarias

No se realizarán tratamientos de datos personales para finalidades distintas a las especificadas sin previa información y consentimiento del titular. Cuando se requiera el uso de datos para fines estadísticos o de investigación, se procederá a su anonimización previa conforme a la LOPDP.

12. DERECHOS DE LOS TITULARES

VERIFY S.A. reconoce y garantiza el ejercicio efectivo de todos los derechos establecidos en los artículos 12 a 22 de la LOPDP y los artículos 12 a 16 del Reglamento:

12.a) Derecho a la información (Art. 12 LOPDP)

Todo titular tiene derecho a ser informado de forma previa, expresa, inequívoca y accesible sobre la existencia del tratamiento de sus datos personales, las finalidades del mismo, las bases legales, los plazos de conservación, los destinatarios de los datos, la existencia de transferencias internacionales, los derechos que le asisten y los mecanismos para ejercerlos.

12.b) Derecho de Acceso (Art. 13 LOPDP)

El titular tiene derecho a obtener del responsable del tratamiento información sobre todos sus datos personales que se encuentren en las bases de datos de VERIFY S.A., incluyendo las finalidades del tratamiento, las categorías de datos tratados, los destinatarios, los plazos de conservación y las fuentes de obtención de los datos.

Plazo de respuesta: 15 días hábiles.

12.c) Derecho de Rectificación (Art. 14 LOPDP)

El titular tiene derecho a solicitar la corrección de sus datos personales cuando estos sean inexactos, incompletos, imprecisos o estén desactualizados.

Plazo de respuesta: 15 días hábiles.

12.d) Derecho de Eliminación (Art. 15 LOPDP)

El titular tiene derecho a solicitar la eliminación de sus datos personales cuando el tratamiento no sea necesario o pertinente para la finalidad para la que fueron recabados, cuando haya revocado su consentimiento, cuando haya vencido el plazo de conservación, o cuando se haya tratado de forma ilícita.

Plazo de respuesta: 15 días hábiles.

12.e) Derecho de Oposición (Art. 16 LOPDP)

El titular tiene derecho a oponerse al tratamiento de sus datos personales cuando dicho tratamiento tenga por objeto la mercadotecnia directa, cuando sea realizado con fines de investigación científica o histórica, o cuando tenga efectos jurídicos no deseados para el titular.

Plazo de respuesta: 15 días hábiles.

12.f) Derecho a la Portabilidad (Art. 17 LOPDP)

El titular tiene derecho a recibir los datos personales que le incumban en un formato estructurado, de uso común, lectura mecánica e interoperable, y a transmitirlos a otro responsable del tratamiento.

12.g) Derecho a la Suspensión/Limitación (Art. 19 LOPDP)

El titular tiene derecho a solicitar la suspensión del tratamiento de sus datos personales cuando impugne la exactitud de los datos, cuando el tratamiento sea ilícito, cuando el responsable ya no necesite los datos pero el titular los requiera para el ejercicio de sus derechos, o cuando haya ejercido el derecho de oposición.

12.h) Derecho a no ser objeto de decisiones automatizadas (Art. 20 LOPDP)

12.i) Derecho de consulta al Registro Nacional (Art. 22 LOPDP)

El titular tiene derecho a consultar el Registro Nacional de Protección de Datos Personales para conocer si el responsable del tratamiento se encuentra registrado y las actividades de tratamiento que realiza.

12.j) Procedimiento y canales para el ejercicio de derechos

Los titulares podrán ejercer sus derechos a través de los siguientes canales:

• Correo electrónico: dpo.servicios@agencia43.com

• Dirección física: La Pinta E6-58 y Reina Victoria, Quito, Ecuador

• Teléfono: (593) 22525345

• Persona responsable: Daniel Eduardo Salazar Machado, Delegado de Protección de Datos

• Plazo de respuesta: 15 días hábiles conforme a la LOPDP

13. MEDIDAS DE SEGURIDAD

De conformidad con los artículos 37, 40, 41 y 42 de la LOPDP y los artículos 33 a 36 y 59 a 60 del Reglamento, VERIFY S.A. implementa las siguientes medidas de seguridad:

13.1 Medidas Técnicas (Art. 41 LOPDP)

13.1.1 Control de acceso

Únicamente el personal autorizado accede a datos personales, aplicando el principio de necesidad de conocer (need-to-know). Los accesos se gestionan mediante roles y perfiles en la plataforma app.verificante.com (Odoo).

13.1.2 Cifrado

• Datos en tránsito: TLS 1.2/1.3 para todas las comunicaciones.

• NOTA: Los protocolos TLS 1.0 y TLS 1.1 están deprecados y deben ser deshabilitados conforme a los hallazgos de la auditoría web.

• Datos en reposo: La información almacenada se protege mediante cifrado robusto (AES-256) en los servicios de almacenamiento utilizados, especialmente para datos sensibles.

13.1.3 Plataforma segura

La plataforma app.verificante.com (Odoo) cuenta con controles de acceso, gestión de sesiones y registro de actividades.

13.1.4 Seguridad web

• Content Security Policy (CSP)

• X-Frame-Options para prevención de clickjacking

• Configuración CORS (Cross-Origin Resource Sharing)

• Tokens Anti-CSRF (Cross-Site Request Forgery)

• Cookies con atributo SameSite

13.1.6 Monitoreo y auditoría

Se mantienen logs de acceso y modificación de datos personales en los sistemas de VERIFY S.A.

13.1.7 Antivirus y anti-malware

13.2 Medidas Organizativas (Art. 41 LOPDP)

13.2.1 Capacitación

VERIFY S.A. proporcionará capacitación inicial y periódica en materia de protección de datos personales a todos los colaboradores de la organización. Durante el año, se planificarán por lo menos dos capacitaciones sobre Protección de Datos Personales y Seguridad de la Información, lo cual consta en el Plan de Capacitación anual de la compañía.

13.2.2 Acuerdos de confidencialidad (NDA)

Todos los colaboradores, contratistas y proveedores de VERIFY S.A. suscriben acuerdos de confidencialidad (NDA) que incluyen obligaciones específicas de protección de datos personales. Los Acuerdos son actualizados cada año.

13.2.3 Políticas de pantalla limpia y escritorio limpio

Se implementan políticas de pantalla limpia (clean screen) y escritorio limpio (clean desk) para prevenir el acceso no autorizado a datos personales en el entorno físico de trabajo.

13.2.4 Política de control de acceso

Solo el personal autorizado accede a los datos personales conforme al principio de necesidad de conocer. Se implementan controles de acceso lógico y físico.

13.2.5 Evaluación de proveedores

Antes de contratar servicios que impliquen el tratamiento de datos personales, VERIFY S.A. evaluará las capacidades de protección de datos del proveedor.

13.2.6 Gestión de cambios

Los cambios en sistemas y procesos que afecten el tratamiento de datos personales se gestionan mediante procedimientos formales de gestión del cambio.

13.2.7 Continuidad del negocio y recuperación ante desastres

13.3 Protección desde el Diseño y por Defecto (Art. 39 LOPDP; Arts. 59-60 Reglamento)

VERIFY S.A. integra la protección de datos personales desde las fases iniciales de diseño de productos, servicios, sistemas y procesos (Privacy by Design). Por defecto, solo se tratan los datos personales estrictamente necesarios para cada finalidad específica (Privacy by Default).

Estos principios se aplican a la cantidad de datos recogidos, la extensión de su tratamiento, su plazo de conservación y su accesibilidad.

13.4 Roles y Responsabilidades

13.4.1 Responsable del Tratamiento

VERIFY S.A., representada por Felipe José Ribadeneira Laso, Gerente General, es el responsable del tratamiento de datos personales conforme a la LOPDP.

13.4.2 Delegado de Protección de Datos (DPD)

Daniel Salazar, designado el 23 de diciembre de 2025.

• Correo: dpo.servicios@agencia43.com

• Teléfono: (593) 22525345

• Reporta directamente a Gerencia General con independencia funcional (Art. 46 LOPDP).

13.4.3 Responsable de TI/Seguridad de la Información

La organización cuenta con un responsable designado de Tecnologías de la Información y Seguridad de la Información, encargado de garantizar la implementación, supervisión y cumplimiento de las medidas técnicas y organizativas para la protección de los datos personales.

Nombre: Edwin Ramírez

Cargo: Responsable de TI / Seguridad de la Información

Correo electrónico: eramirez@verificante.com

13.4.4 Responsables de Procesos/Departamentos

Cada jefe de departamento es responsable de asegurar el cumplimiento de esta Política en su área de competencia.

13.4.5 Todos los colaboradores

Todos los colaboradores de VERIFY S.A. tienen la obligación de cumplir con esta Política, reportar incidentes de seguridad y participar en las capacitaciones programadas.

14. GESTIÓN DE INCIDENTES Y BRECHAS DE SEGURIDAD

De conformidad con los artículos 37, 43, 46 y 47 de la LOPDP y los artículos 24 a 28 del Reglamento, VERIFY S.A. establece el siguiente protocolo para la gestión de incidentes y brechas de seguridad:

14.1 Definiciones

Incidente de seguridad: Cualquier evento que comprometa o pueda comprometer la confidencialidad, integridad o disponibilidad de los datos personales.

Brecha de datos personales: Vulneración de la seguridad que ocasione la destrucción, pérdida, alteración accidental o ilícita, comunicación o acceso no autorizado a datos personales (Art. 43 LOPDP).

14.2 Obligación de reporte

Cualquier colaborador de VERIFY S.A. que detecte o tenga conocimiento de un incidente de seguridad o brecha de datos personales tiene la obligación de reportarlo de manera inmediata al Delegado de Protección de Datos (Daniel Eduardo Salazar Machado).

14.3 Detección de incidentes

Los incidentes pueden ser detectados mediante:

• Sistemas de monitoreo y alertas automatizadas.

• Reportes de terceros o proveedores.

• Reportes de clientes o titulares.

• Auditorías internas o externas.

• Notificaciones del equipo técnico.

14.4 Procedimiento interno de respuesta

Ante la detección de una brecha de seguridad, se seguirá el siguiente procedimiento:

• Confirmar la existencia de la brecha y su alcance.

• Evaluar el riesgo para los derechos y libertades de los titulares afectados.

• Documentar el incidente de forma exhaustiva.

• Adoptar medidas correctivas inmediatas para contener la brecha.

• Realizar notificaciones internas a la Gerencia General y áreas involucradas.

14.5 Notificación a la SPDP

VERIFY S.A. notificará a la Superintendencia de Protección de Datos Personales (SPDP) en un plazo máximo 72 horas hábiles después de haber tenido conocimiento de la brecha, conforme al artículo 43 de la LOPDP.

La notificación incluirá:

• Descripción de la naturaleza de la brecha.

• Categorías y número aproximado de titulares afectados.

• Categorías de datos personales afectados.

• Consecuencias probables de la brecha.

• Medidas adoptadas o propuestas para mitigar los efectos.

• Datos de contacto del DPD.

14.6 Notificación a los titulares

Cuando la brecha de seguridad pueda entrañar un alto riesgo para los derechos y libertades de los titulares, VERIFY S.A. notificará a los titulares afectados sin dilación indebida, en un plazo máximo de 3 días. La notificación incluirá:

• Naturaleza de la brecha y datos afectados.

• Posibles consecuencias para el titular.

• Medidas de protección disponibles para el titular.

• Datos de contacto del DPD para consultas.

14.7 Documentación y mejora continua

Todos los incidentes y brechas serán documentados de forma detallada para su análisis posterior y la implementación de acciones de mejora continua que prevengan la recurrencia.

15. TRANSFERENCIAS DE DATOS

De conformidad con los artículos 33 a 36 y 55 a 60 de la LOPDP y los artículos 21 a 23 y 71 a 78 del Reglamento, VERIFY S.A. identifica las siguientes transferencias de datos personales:

VERIFY S.A. SÍ realiza transferencias nacionales e internacionales de datos personales.

15.1 Transferencias nacionales

• A clientes: Informes de verificación que contienen datos personales de las personas verificadas. Finalidad: Prestación del servicio contratado. Base legal: Ejecución contractual.

• Registro Civil (API): Consultas de datos personales para servicios de verificación. Base legal: Consentimiento del titular + interés legítimo.

15.2 Transferencias internacionales

15.3 Acuerdos de tratamiento de datos

VERIFY S.A. debe suscribir acuerdos de tratamiento de datos (Data Processing Agreements – DPA) con todos los proveedores que actúen como encargados del tratamiento, asegurando niveles equivalentes de protección conforme a la LOPDP.

16. RETENCIÓN Y ELIMINACIÓN DE DATOS

De conformidad con el artículo 10, literal i) de la LOPDP, el artículo 15 y los artículos 8 a 11 del Reglamento, VERIFY S.A. establece los siguientes plazos de conservación:

16.1 Procedimiento de eliminación

• Responsable: VERIFY S.A.

• Método: Eliminación segura de sistemas digitales, destrucción criptográfica de claves, destrucción física de documentos en papel.

• Documentación: Se mantiene registro y evidencia de todas las eliminaciones realizadas.

• Excepciones legales: Se respetarán los plazos mínimos de conservación establecidos por la legislación fiscal, laboral y de prevención de lavado de activos.

17. RESPONSABLES Y ENCARGADOS DEL TRATAMIENTO

De conformidad con los artículos 33 a 35 y 47 de la LOPDP y los artículos 38 a 47 del Reglamento, se identifican los siguientes actores:

17.1 Responsable del Tratamiento

Nombre: VERIFY S.A.

RUC: 1793199035001

Domicilio: La Pinta E6-58 y Reina Victoria, Quito, Ecuador

Representante Legal: Felipe José Ribadeneira Laso, Gerente General

Correo: frl@verificante.com

Teléfono: (593) 22525345

17.2 Encargados del Tratamiento

17.3 Delegado de Protección de Datos (DPD)

Nombre: Daniel Eduardo Salazar Machado

Cédula: 1711611648

Correo: dpo.servicios@agencia43.com

Dirección: La Pinta E6-58 y Reina Victoria, Quito, Ecuador

Teléfono: (593) 22525345

Independencia funcional: Reporta directamente a Gerencia General conforme al artículo 46 de la LOPDP.

Fecha de designación: 23 de diciembre de 2025

18. CANALES DE COMUNICACIÓN CON TITULARES

VERIFY S.A. pone a disposición de los titulares de datos personales los siguientes canales para el ejercicio de sus derechos, la presentación de consultas y la comunicación de inquietudes:

• Correo electrónico: dpo.servicios@agencia43.com

• Dirección física: La Pinta E6-58 y Reina Victoria, Quito, Ecuador

• Formulario en línea: Implementar formulario de ejercicio de derechos en verificante.com y colocar la dirección de enlace

• Teléfono: (593) 22525345

• Persona responsable: Daniel Salazar, Delegado de Protección de Datos

• Plazo de respuesta: 15 días hábiles conforme a la LOPDP

18.1 Autoridad de control

En caso de que el titular considere que sus derechos no han sido debidamente atendidos, podrá presentar una reclamación ante:

Superintendencia de Protección de Datos Personales (SPDP)

• Ubicación: Quito, Ecuador

• Sitio web: www.spdp.gob.ec

19. COOKIES Y CONSENTIMIENTO DIGITAL

VERIFY S.A. opera los sitios web verificante.com y app.verificante.com.

19.1 Cookies identificadas

Se han identificado las siguientes categorías de cookies en los sitios web de VERIFY S.A.:

• Cookies de navegación: Necesarias para el funcionamiento técnico del sitio.

• Cookies de analítica: Para medición de tráfico y comportamiento de usuarios.

(No se dispone aún de un inventario detallado de cookies.)

19.2 Sistema de gestión de cookies

Verificante implementa un sistema de gestión de cookies mediante un banner informativo que se muestra al usuario en su primer acceso. Este permite aceptar, rechazar o configurar de forma granular las cookies, diferenciando entre categorías como cookies necesarias, analíticas y de marketing.

19.3 Tipos de cookies

• Cookies funcionales: Estrictamente necesarias para el funcionamiento del sitio. No requieren consentimiento.

• Cookies analíticas: Para medir el rendimiento y uso del sitio. Requieren consentimiento previo.

• Cookies publicitarias: Para publicidad personalizada (si aplica). Requieren consentimiento explícito.

19.4 Mecanismo de consentimiento

El consentimiento se obtiene de manera automatizada en un banner colocado en la página web, en donde el titular tiene la opción de elegir el acceso de cookies que tiene a disposición.

19.5 Opciones de configuración

Los titulares podrán en todo momento modificar sus preferencias de cookies a través del banner de configuración disponible en el sitio web.

19.6 Política de Cookies

Se requiere elaborar y publicar una Política de Cookies independiente en verificante.com, accesible desde el pie de página del sitio. Corresponde a VERIFICANTE

20. VIOLACIONES Y SANCIONES

De conformidad con los artículos 65 a 73 de la LOPDP y el artículo 90 del Reglamento, el incumplimiento de esta Política constituye una infracción a la LOPDP y puede acarrear las siguientes consecuencias:

20.1 Infracciones leves (Art. 66 LOPDP)

• Entidades privadas: Multa del 0,1% al 0,7% del volumen de negocio.

20.2 Infracciones graves (Arts. 67-68 LOPDP)

• Entidades privadas: Multa del 0,7% al 1% del volumen de negocio.

20.3 Medidas correctivas (Art. 65 LOPDP)

La Superintendencia de Protección de Datos Personales puede ordenar:

• Cesación del tratamiento de datos personales.

• Eliminación de los datos personales tratados ilícitamente.

• Implementación de medidas técnicas y organizativas.

20.4 Consecuencias disciplinarias internas

El incumplimiento de esta Política por parte de colaboradores de VERIFY S.A. constituirá falta disciplinaria y podrá dar lugar a las sanciones establecidas en el Reglamento Interno de Trabajo y la legislación laboral aplicable.

20.5 Responsabilidad civil

El incumplimiento de la normativa de protección de datos personales puede generar responsabilidad civil por los daños y perjuicios causados a los titulares afectados.

21. REVISIÓN Y ACTUALIZACIÓN

La presente Política será objeto de revisión y actualización conforme a las siguientes disposiciones:

21.1 Periodicidad

La Política será revisada al menos una vez al año o cuando se produzcan cambios significativos en:

• La legislación o normativa aplicable en materia de protección de datos personales.

• Las actividades de tratamiento de datos personales de VERIFY S.A.

• La estructura organizativa de la empresa.

• Las tecnologías o sistemas utilizados para el tratamiento de datos.

• Los resultados de auditorías, evaluaciones de impacto o incidentes de seguridad.

21.2 Responsable de la revisión

El Delegado de Protección de Datos (Daniel Eduardo Salazar Machado) es el responsable de conducir la revisión de la Política, con la aprobación final de la Gerencia General (Felipe José Ribadeneira Laso).

21.3 Notificación de cambios

Todo cambio en la Política será comunicado a todos los colaboradores de VERIFY S.A. mediante los canales internos de comunicación. Los cambios sustanciales serán objeto de capacitación específica.

21.4 Control de versiones

Se mantiene un registro de versiones de la Política que documenta cada cambio realizado, conforme a la tabla de control de versiones incluida al inicio de este documento.

22. REFERENCIAS NORMATIVAS

La presente Política ha sido elaborada en cumplimiento y con referencia a las siguientes normas y estándares:

• Constitución de la República del Ecuador, artículo 66, numeral 19 — Derecho a la protección de datos de carácter personal.

• Ley Orgánica de Protección de Datos Personales (LOPDP) — Registro Oficial Suplemento 459, de 26 de mayo de 2021. Artículos citados: 1, 2, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16, 17, 19, 20, 22, 25, 26, 33, 34, 35, 36, 37, 38, 39, 40, 41, 42, 43, 44, 45, 46, 47, 65, 66, 67, 68, 73.

• Reglamento de la LOPDP (Decreto Ejecutivo No. 904) — Registro Oficial Suplemento 435, de 13 de noviembre de 2023. Artículos citados: 1-11, 12-16, 21-28, 33-47, 55-62, 71-78, 90.

• Resoluciones de la Superintendencia de Protección de Datos Personales (SPDP).

• Reglamento General de Protección de Datos de la Unión Europea — GDPR (UE 2016/679), como marco de referencia internacional.

• ISO/IEC 27701:2019 — Técnicas de seguridad — Extensión de ISO/IEC 27001 e ISO/IEC 27002 para la gestión de la privacidad de la información.

• ISO/IEC 27001:2022 — Sistemas de gestión de seguridad de la información — Requisitos.