Procedimiento Interno de Respuesta a Incidentes de Datos Personales

Versión: 1.0
Fecha: 30 de julio de 2026
Uso: Interno

1. Reporte y contención

Todo colaborador o proveedor debe informar inmediatamente a info@summitexplorerjd.ec, con el asunto URGENTE — Incidente de datos personales. El titular del negocio actúa como coordinador inicial hasta que exista una designación interna distinta documentada.

Se deberá:

1. asignar identificador, fecha y responsable;
2. contener sin destruir evidencia;
3. proteger cuentas, claves y sistemas;
4. determinar datos y titulares afectados;
5. registrar decisiones y tiempos; y
6. recuperar el servicio de forma segura.

2. Evaluación

Documentar:

• confidencialidad, integridad o disponibilidad afectada;
• categorías, sensibilidad y volumen;
• titulares y posibles personas vulnerables;
• facilidad de identificación;
• consecuencias probables;
• medidas de protección existentes; y
• riesgo para derechos y libertades.

3. Plazos

Emisor	Destinatario	Plazo máximo legal aplicable
Encargado	Responsable	Término de dos (2) días desde conocimiento
Responsable	Superintendencia y ARCOTEL	Término de cinco (5) días desde conocimiento, salvo improbabilidad de riesgo
Responsable	Titular	Término de tres (3) días desde conocimiento del riesgo cuando afecte derechos y libertades

Las notificaciones tardías deberán justificar la demora. Si no es posible informar individualmente, se evaluará la comunicación pública conforme a la ley.

4. Contenido

• naturaleza y cronología;
• categorías y número aproximado;
• consecuencias;
• medidas adoptadas o propuestas;
• contacto;
• recomendaciones al titular; y
• información adicional exigida.

5. Registro

Incidente	Detección	Conocimiento formal	Datos	Riesgo	Autoridad	ARCOTEL	Titulares	Medidas	Cierre
[COMPLETAR]

Todos los incidentes se registran, aunque no sean notificables. Después del cierre se realizará análisis de causa y plan correctivo.