Política Integral de Protección y Tratamiento de Datos Personales

Responsable del tratamiento

Campo	Detalle
Razón social	APEXRECOVERY & LEGAL S.A.S.
RUC	0195176795001
Domicilio legal	Av. Fray Vicente Solano y Florencia Astudillo (Edificio Valgus, oficina 108), Cuenca — Ecuador
Teléfono	0984583684
Correo de privacidad	gerencia@apexrecovery.ec

1. Declaración y compromiso institucional

APEXRECOVERY & LEGAL S.A.S reconoce la protección de datos personales como un derecho fundamental y como una obligación transversal a su modelo de negocio. APEX desarrolla actividades de recuperación judicial y extrajudicial de cartera y presta servicios jurídicos; adicionalmente mantiene relaciones con trabajadores, postulantes, proveedores, contratistas, clientes, visitantes y otros terceros. Estas operaciones pueden involucrar tratamiento sistemático de información identificativa, de contacto, contractual, económica, financiera, crediticia, procesal, laboral y, de forma excepcional, categorías especiales de datos.

APEX adopta un modelo de responsabilidad proactiva o demostrada: no se limitará a declarar cumplimiento, sino que mantendrá evidencia verificable de las decisiones adoptadas, las bases de legitimación aplicadas, los riesgos evaluados, los controles implementados y la atención efectiva de los derechos de los titulares.

2. Objeto

Establecer las reglas de gobernanza, legitimidad, transparencia, seguridad, conservación y ejercicio de derechos aplicables al ciclo de vida de los datos personales tratados por APEX, desde su obtención hasta su eliminación, anonimización o bloqueo, según corresponda.

3. Alcance

• Accionistas, administradores y representantes de APEX.
• Abogados, gestores de cobranza, personal administrativo y demás trabajadores.
• Clientes, deudores, obligados, codeudores, garantes y personas vinculadas a una obligación o expediente.
• Proveedores, contratistas, consultores, corresponsales, peritos y proveedores tecnológicos.
• Visitantes y personas captadas por sistemas de seguridad.
• Responsables, encargados y sub encargados que intervengan en tratamientos relacionados con APEX.

4. Marco jurídico

• Constitución de la República del Ecuador, especialmente los derechos a la protección de datos personales y hábeas data.
• Ley Orgánica de Protección de Datos Personales (LOPDP).
• Reglamento General a la LOPDP.
• Resoluciones, normativa técnica, guías y criterios emitidos por la Superintendencia de Protección de Datos Personales (SPDP).
• Normativa civil, mercantil, societaria, laboral, tributaria, procesal y profesional aplicable a las actividades de APEX.
• Normativa sectorial aplicable a información crediticia y a las obligaciones objeto de gestión, cuando corresponda.

5. Definiciones operativas

Dato personal. Información que identifica o hace identificable, directa o indirectamente, a una persona natural.

Tratamiento. Cualquier operación sobre datos personales, incluida obtención, registro, consulta, uso, organización, comunicación, conservación, limitación, eliminación o destrucción.

Responsable. Quien decide sobre la finalidad y los medios del tratamiento.

Encargado. Quien trata datos por cuenta del responsable y conforme a sus instrucciones.

Titular. Persona natural a quien corresponden los datos.

Datos sensibles. Categorías cuya utilización indebida puede generar discriminación o afectar gravemente derechos y libertades; incluyen, entre otros, salud, biométricos y pasado judicial en los términos de la LOPDP.

Incidente o vulneración. Evento que compromete o puede comprometer confidencialidad, integridad, disponibilidad o derechos de los titulares.

6. Roles de APEX

APEX será responsable cuando determine las finalidades y medios del tratamiento. Podrá actuar como encargado cuando gestione datos por cuenta de un tercero bajo instrucciones documentadas. En cada relación deberá analizarse la realidad material del tratamiento y no únicamente la denominación contractual.

7. Principios de tratamiento

Juridicidad. Todo tratamiento deberá tener sustento constitucional, legal o reglamentario y una base de legitimación identificada.

Lealtad. APEX no realizará tratamientos engañosos, abusivos, clandestinos o incompatibles con las expectativas razonables del titular.

Transparencia. El titular podrá conocer qué datos se tratan, con qué finalidad, sobre qué base, de dónde provienen, cuánto se conservan, con quién se comparten y cómo ejercer sus derechos.

Finalidad. Los datos serán tratados para finalidades determinadas, explícitas y legítimas. Todo tratamiento ulterior deberá superar el análisis de compatibilidad correspondiente.

Pertinencia y minimización. Se tratarán únicamente datos adecuados, pertinentes y estrictamente necesarios.

Proporcionalidad. La intensidad y alcance del tratamiento guardarán relación con la finalidad perseguida y el impacto sobre los derechos de la persona.

Calidad y exactitud. APEX adoptará medidas razonables para mantener datos exactos y actualizar o rectificar sin dilación la información relevante.

Conservación. Los datos no se conservarán indefinidamente; APEX aplicará plazos o criterios documentados.

Seguridad. Se implementarán medidas técnicas, físicas, jurídicas, administrativas y organizativas apropiadas al riesgo.

Responsabilidad proactiva. APEX documentará y revisará permanentemente sus controles y podrá demostrar el cumplimiento.

Protección desde el diseño y por defecto. Los nuevos servicios, sistemas y procesos incorporarán privacidad desde su concepción y configuraciones protectoras por defecto.

Aplicación favorable al titular. En caso de duda interpretativa, se observará el criterio más favorable a la protección efectiva del titular, dentro del marco jurídico aplicable.

8. Matriz resumida de tratamientos

Esta matriz constituye un resumen público. El Registro de Actividades de Tratamiento (RAT) interno deberá contener el detalle técnico y organizativo completo de cada actividad.

Titulares	Tratamientos principales	Finalidades	Bases jurídicas posibles
Deudores / obligados / garantes	Datos identificativos, contacto, contractuales, económicos, financieros, crediticios, gestiones de cobranza y documentación de respaldo	Administración, negociación y recuperación judicial o extrajudicial de obligaciones; actualización de saldos; defensa de reclamaciones	Obligación contractual; obligación legal; orden judicial; interés legítimo cuando proceda y esté ponderado; datos de acceso público dentro de sus límites
Clientes de servicios legales	Identificación, contacto, antecedentes del caso, expedientes, documentación probatoria y datos de terceros vinculados	Asesoría, patrocinio, defensa, gestión procesal y contractual	Medidas precontractuales; contrato; obligación legal; orden judicial; formulación, ejercicio o defensa de reclamaciones
Trabajadores / postulantes / exempleados	Identificación, contacto, laborales, remuneración, seguridad social, formación, desempeño y, cuando sea indispensable, categorías especiales	Selección, contratación, nómina, obligaciones laborales, seguridad, control de accesos y defensa jurídica	Medidas precontractuales; contrato; obligación legal; interés legítimo debidamente evaluado cuando proceda; consentimiento solo cuando sea realmente libre y adecuado
Proveedores / contratistas	Identificación, contacto, facturación, tributarios, bancarios y contractuales	Selección, contratación, pagos, cumplimiento y auditoría	Medidas precontractuales; contrato; obligación legal; interés legítimo cuando proceda
Visitantes / videovigilancia	Imagen y datos de acceso; no se realizará grabación indiscriminada de audio	Seguridad de personas, bienes, instalaciones, investigación de incidentes	Interés legítimo, sujeto a ponderación, necesidad, proporcionalidad y transparencia; obligación legal u orden de autoridad cuando corresponda
Usuarios web / solicitantes de derechos	Datos de identificación, contacto, solicitud, evidencia y trazabilidad	Atención de consultas, ejercicio de derechos, reclamos y cumplimiento demostrable	Obligación legal; interés legítimo para evidencia de cumplimiento y defensa de reclamaciones

9. Categorías de datos

• Identificativos y de contacto: nombres, identificación, firmas, direcciones, teléfonos, correos y datos necesarios para individualización.
• Contractuales y documentales: contratos, pagarés, títulos valores, facturas, garantías, cesiones, convenios y documentos de respaldo.
• Económicos, financieros y crediticios: existencia y estado de obligaciones, saldos, cuotas, pagos, mora, refinanciamientos, garantías e historial necesario para la gestión.
• Datos de gestión de cobranza: fecha y resultado de contactos, compromisos, reclamos, verificaciones, comunicaciones y grabaciones cuando sean lícitas y transparentes.
• Datos de servicios jurídicos: expedientes, hechos, alegaciones, actuaciones, pruebas, datos de contraparte y terceros vinculados.
• Datos laborales: contratación, nómina, seguridad social, asistencia, desempeño, capacitación, activos, accesos y prevención de riesgos.
• Datos de proveedores: contacto, facturación, bancarios, tributarios y contractuales.
• Videovigilancia y seguridad: imagen y registro de acceso cuando corresponda.
• Categorías especiales: únicamente cuando sean indispensables y exista fundamento reforzado, con controles adicionales.

10. Bases de legitimación

APEX no utilizará el consentimiento como base universal. Para cada tratamiento identificará la condición de legitimidad jurídicamente adecuada, entre las previstas en la LOPDP: consentimiento; cumplimiento de obligación legal; orden judicial; misión de interés público cuando legalmente corresponda; medidas precontractuales o cumplimiento contractual; protección de intereses vitales; tratamiento de datos de acceso público dentro de sus límites; e interés legítimo del responsable o de un tercero cuando proceda.

Cuando APEX invoque interés legítimo, realizará antes del tratamiento una evaluación de ponderación motivada y documentada. Deberá identificar el interés real y concreto, demostrar necesidad, analizar expectativas razonables, valorar impactos, examinar alternativas menos invasivas e implementar salvaguardas. La evaluación deberá conservarse como evidencia de responsabilidad proactiva.

11. Transparencia y derecho a la información

APEX facilitará información clara, accesible y comprensible sobre los elementos exigidos por el artículo 12 de la LOPDP, cuando resulten aplicables: finalidades; base legal; tipos de tratamiento; conservación; existencia de bases; origen; tratamientos ulteriores; identidad y contacto de APEX; contacto del DPD cuando corresponda; transferencias y comunicaciones; consecuencias de proporcionar o no proporcionar datos; efectos de datos inexactos; revocación del consentimiento; ejercicio de derechos; portabilidad; canales de reclamo; y decisiones automatizadas o perfilamiento.

Cuando los datos no se obtengan directamente del titular o provengan de fuentes accesibles al público, APEX informará al titular dentro del plazo legal o al momento de la primera comunicación, lo que ocurra primero, salvo que concurra una excepción legal debidamente documentada.

12. Tratamiento en recuperación de cartera

La recuperación de cartera es una actividad central de APEX. El tratamiento deberá limitarse a información necesaria para verificar, administrar, negociar, cobrar, judicializar, actualizar, documentar y defender la obligación o los derechos vinculados con ella.

• Verificación de identidad, titularidad, saldo, vencimiento y estado de la obligación.
• Gestión de contacto y negociación por canales habilitados.
• Registro de abonos, promesas, convenios, refinanciamientos y actualizaciones.
• Gestión judicial y extrajudicial, incluida la preparación y custodia de evidencia.
• Atención de reclamos sobre inexistencia, pago, saldo, identidad, prescripción, titularidad u otros hechos relevantes.

13. Datos crediticios: exactitud y controversia

APEX aplicará controles reforzados sobre exactitud y actualización de datos crediticios. Si un titular cuestiona un saldo, pago, identidad, titularidad de la deuda, convenio, extinción, resolución judicial u otro elemento material, la solicitud será registrada y verificada. Cuando la exactitud sea impugnada y resulte aplicable la suspensión, el sistema deberá reflejar que la información se encuentra controvertida mientras se realiza la revisión.

14. Servicios jurídicos y expedientes

APEX podrá tratar datos personales para consultas, asesoría, patrocinio, representación, procuración, elaboración contractual, análisis probatorio, gestión procesal y defensa de derechos. Los expedientes jurídicos podrán contener datos de clientes y de terceros. El acceso se limitará a quienes necesiten intervenir en el asunto.

Las obligaciones de protección de datos coexistirán con los deberes de secreto profesional, reserva, confidencialidad, defensa técnica y custodia de expedientes. La información obtenida en un asunto jurídico no podrá utilizarse para captar negocios particulares ni para finalidades ajenas al mandato o a la base jurídica aplicable.

15. Trabajadores, postulantes y extrabajadores

APEX tratará datos laborales para selección, contratación, administración de nómina, seguridad social, beneficios, vacaciones, permisos, control de asistencia, capacitación, seguridad ocupacional, asignación de activos, gestión de accesos, cumplimiento legal y defensa de reclamaciones. Los datos de postulantes se conservarán únicamente durante el período necesario o bajo una base legítima para futuras vacantes.

Si se requieren datos sensibles o biométricos, APEX aplicará un análisis reforzado de necesidad, proporcionalidad, riesgos y garantías. No se utilizarán biométricos como primera opción por mera conveniencia cuando existan alternativas menos invasivas razonables.

16. Proveedores, encargados y subencargados

Los proveedores que accedan a datos personales deberán ofrecer garantías suficientes. APEX formalizará cláusulas o contratos de encargo que regulen objeto, duración, finalidad, instrucciones, confidencialidad, seguridad, subcontratación, incidentes, asistencia en derechos, devolución o eliminación y auditoría. La mera contratación comercial no autoriza usos propios de la información por parte del proveedor.

17. Videovigilancia y control de acceso

APEX podrá utilizar videovigilancia para proteger personas, bienes e instalaciones y prevenir o investigar incidentes de seguridad, siempre bajo una base jurídica adecuada y criterios de necesidad, idoneidad, proporcionalidad y minimización. La ubicación, orientación y campo visual de las cámaras deberán responder a riesgos concretos.

• Se colocará señalética visible antes del ingreso a áreas videovigiladas.
• No se instalarán cámaras en baños, vestidores u otros espacios con expectativa reforzada de intimidad.
• No se realizará grabación indiscriminada de audio como parte del sistema ordinario de seguridad.
• El acceso a imágenes estará restringido y las extracciones deberán justificarse.
• Las grabaciones se conservarán solo durante el plazo necesario; si una imagen queda vinculada a un incidente o proceso, podrá preservarse mientras sea jurídicamente necesario.
• Los titulares podrán ejercer derechos respecto de sus imágenes, ponderando derechos de terceros y demás excepciones legales.

18. Grabación de comunicaciones

Si APEX graba llamadas o comunicaciones de cobranza o atención, deberá definir finalidad, base jurídica, deber de información, acceso restringido y período de conservación. Las grabaciones no podrán convertirse en un repositorio indefinido ni utilizarse para finalidades incompatibles.

19. Transferencias y comunicaciones

APEX comunicará o transferirá datos solo cuando exista fundamento jurídico y respetando finalidad, minimización, proporcionalidad y seguridad. Se analizarán especialmente proveedores de nube, CRM, telefonía, correo, software jurídico, call center, almacenamiento y demás infraestructura tecnológica, así como transferencias internacionales.

20. Conservación, bloqueo y eliminación

APEX mantendrá una Matriz de Conservación y Eliminación por actividad. Una vez agotada la finalidad y cuando no exista obligación legal, contractual, interés legítimo documentado u otra causa que justifique la conservación, procederá a eliminar, anonimizar o bloquear de forma segura, según corresponda.

• Cartera: mientras subsista la gestión, obligaciones legales o necesidad de formulación, ejercicio o defensa de reclamaciones.
• Expedientes jurídicos: durante la relación profesional y los períodos necesarios para responsabilidades, defensa y conservación exigible.
• Laboral: relación laboral más los períodos legales posteriores aplicables.
• Proveedores: relación contractual más obligaciones contables, tributarias y de defensa.
• Videovigilancia: plazo reducido y definido por necesidad de seguridad, salvo preservación por incidente.
• Solicitudes de derechos y reclamos: plazo suficiente para acreditar atención y cumplimiento.

21. Seguridad de la información

APEX implementará medidas proporcionales al riesgo, bajo los principios de confidencialidad, integridad, disponibilidad y resiliencia.

• Gestión de identidades, roles y mínimo privilegio.
• Autenticación robusta y control de credenciales.
• Trazabilidad y registros de acceso cuando sean necesarios.
• Protección de equipos, redes, correo y repositorios.
• Cifrado o mecanismos equivalentes según riesgo.
• Copias de seguridad, continuidad y recuperación.
• Prevención de extracción o compartición no autorizada de bases y expedientes.
• Gestión de vulnerabilidades, actualizaciones y malware.
• Confidencialidad contractual y capacitación periódica.
• Gestión documentada de incidentes y pruebas de controles.

22. Gestión de incidentes y vulneraciones

Todo posible incidente deberá reportarse inmediatamente al canal interno designado. APEX documentará detección, contención, análisis, datos y titulares afectados, evaluación de riesgo, preservación de evidencia, mitigación, notificación cuando corresponda, medidas correctivas y lecciones aprendidas.

23. Privacidad desde el diseño, riesgos y EIPD

Antes de incorporar nuevos sistemas, bases de datos, inteligencia artificial, perfilamiento, APIs, software de cobranza, tecnologías de monitoreo, biometría, videovigilancia o nuevos proveedores, APEX evaluará la necesidad del tratamiento, riesgos para derechos y libertades y controles desde el diseño. Cuando la normativa exija una Evaluación de Impacto en Protección de Datos, se realizará antes de poner en producción el tratamiento de alto riesgo.

24. Decisiones automatizadas y perfilamiento

Las herramientas de segmentación, scoring operativo, priorización de cartera o analítica no deberán producir decisiones exclusivamente automatizadas con efectos jurídicos o impactos significativos sin las garantías exigidas por la LOPDP. Cuando corresponda, el titular podrá solicitar explicación, formular observaciones y requerir revisión humana.

25. Derechos de los titulares

APEX garantiza mecanismos gratuitos, accesibles y trazables para el ejercicio de derechos. La existencia de una deuda, controversia, relación laboral o relación contractual no suspende por sí misma estos derechos.

Información. Conocer las condiciones esenciales del tratamiento y la información legalmente exigible.

Acceso. Conocer y obtener gratuitamente los datos personales que APEX trate y la información asociada. El plazo legal de atención es de quince (15) días.

Rectificación y actualización. Solicitar corrección de datos inexactos o incompletos, aportando justificativos cuando sea pertinente. El plazo legal de atención es de quince (15) días.

Eliminación. Solicitar supresión cuando concurra una causal legal. APEX ejecutará la eliminación cuando proceda dentro del plazo legal de quince (15) días.

Oposición. Oponerse en los supuestos previstos por la LOPDP, incluido el tratamiento basado en interés legítimo cuando se justifique una situación personal concreta. El plazo legal de atención es de quince (15) días.

Portabilidad. Recibir o transmitir datos en los supuestos y condiciones previstos en la LOPDP y normativa aplicable.

Suspensión del tratamiento. Solicitar limitación temporal cuando se impugne exactitud, exista tratamiento ilícito, los datos sean necesarios para reclamaciones o se discuta una oposición, conforme a la ley.

Decisiones automatizadas. Solicitar explicación, formular observaciones, conocer criterios o pedir revisión humana en los casos legalmente previstos.

Revocación del consentimiento. Retirar el consentimiento cuando sea la base de legitimación, sin afectar tratamientos anteriores ni otros tratamientos sustentados en una base válida.

26. Excepciones y límites al ejercicio de derechos

Los derechos no son absolutos. APEX podrá negar total o parcialmente una solicitud cuando concurra una excepción prevista en la LOPDP, por ejemplo, cuando los datos sean necesarios para cumplir una obligación legal o contractual, atender una orden de autoridad, formular, ejercer o defender reclamaciones, proteger derechos de terceros o evitar obstaculizar actuaciones judiciales o administrativas. Toda negativa deberá estar motivada, ser proporcional y quedar documentada.

27. Procedimiento para ejercer derechos y presentar reclamos

El titular o su representante podrá utilizar el Formulario de Ejercicio de Derechos y Reclamos de APEX, disponible en el sitio web, o presentar una solicitud equivalente por los canales habilitados. APEX no impondrá formalidades innecesarias.

1. Recepción de la solicitud y asignación de un código de trazabilidad.
2. Verificación razonable y proporcional de identidad y, si aplica, representación.
3. Clasificación del derecho o reclamo.
4. Identificación de sistemas, áreas y terceros involucrados.
5. Análisis jurídico y técnico, incluida la identificación de excepciones.
6. Ejecución de las medidas que correspondan.
7. Respuesta clara y motivada dentro del plazo aplicable.
8. Comunicación a destinatarios cuando la ley lo exija.
9. Cierre con conservación de evidencia de cumplimiento.

Canales habilitados:

• Correo electrónico: gerencia@apexrecovery.ec
• Formulario web: disponible en Derechos y Reclamos.
• Dirección para solicitudes físicas: Av. Fray Vicente Solano y Florencia Astudillo (Edificio Valgus, oficina 108), Cuenca — Ecuador.

28. Reclamos y escalamiento

El titular podrá presentar reclamos ante APEX por tratamientos que considere contrarios a la Constitución, LOPDP, Reglamento o esta política. La atención interna no limita el derecho de acudir a la Superintendencia de Protección de Datos Personales o ejercer las acciones jurisdiccionales correspondientes, incluido el hábeas data en los supuestos constitucionalmente previstos.

29. Prohibición de represalias

Ninguna persona será objeto de represalias, hostigamiento, discriminación o intensificación injustificada de cobranza por ejercer derechos o presentar un reclamo de protección de datos. La gestión legítima de una obligación deberá mantenerse separada del ejercicio del derecho fundamental a la protección de datos.

30. Registro de actividades y evidencia

APEX mantendrá un RAT actualizado y evidencia asociada a bases jurídicas, avisos de privacidad, contratos, evaluaciones de interés legítimo, matrices de conservación, solicitudes de derechos, incidentes, capacitaciones, auditorías, análisis de riesgos, EIPD y medidas correctivas. Esta documentación constituye parte esencial de la responsabilidad proactiva.

31. Delegado de protección de datos

APEX analizará y documentará si sus actividades se encuentran en los supuestos de designación obligatoria de Delegado de Protección de Datos, considerando la naturaleza, alcance y volumen de sus tratamientos, especialmente el tratamiento sistemático de datos crediticios. Cuando corresponda, garantizará independencia funcional, recursos, ausencia de conflicto de interés y canales directos de contacto.

32. Formación, confidencialidad y disciplina interna

Toda persona con acceso a cartera, expedientes o sistemas deberá recibir capacitación periódica y asumir deberes de confidencialidad. Se prohíbe consultar datos por curiosidad; extraer bases sin autorización; compartir información por canales personales; revelar deudas a terceros no legitimados; fotografiar documentos confidenciales; utilizar datos para negocios propios; conservar copias particulares; comercializar bases; o eludir controles de seguridad.

33. Auditoría y mejora continua

APEX realizará revisiones periódicas de tratamientos, accesos, cartera, expedientes, proveedores, videovigilancia, derechos, incidentes, conservación y seguridad. Los hallazgos generarán responsables, plazos y acciones correctivas verificables. La eficacia de la política se medirá con indicadores de atención de derechos, incidentes, cumplimiento de plazos, capacitación, rectificaciones y cierre de hallazgos.

34. Actualización y vigencia

La política será revisada al menos una vez al año y siempre que exista un cambio normativo, tecnológico, organizacional o de modelo de negocio que afecte los tratamientos. La versión vigente deberá permanecer disponible en el sitio web de APEX y en los canales internos correspondientes.

Anexo 1 — Matriz mínima de responsabilidad proactiva

Evidencia	Objetivo	Periodicidad / disparador
Registro de Actividades de Tratamiento	Inventariar y gobernar tratamientos	Actualización continua y revisión periódica
Matriz de bases de legitimación	Demostrar juridicidad por tratamiento	Antes de iniciar y ante cambios
Evaluaciones de interés legítimo	Documentar ponderación cuando se invoque esta base	Previas al tratamiento y ante cambios relevantes
Matriz de conservación y eliminación	Controlar retención, bloqueo y supresión	Revisión periódica
Registro de derechos y reclamos	Demostrar recepción, plazo, decisión y ejecución	Por cada solicitud
Registro de incidentes	Documentar gestión y notificaciones	Por cada incidente
Contratos de encargo	Controlar proveedores con acceso a datos	Antes del acceso y durante la relación
Análisis de riesgos / EIPD	Gestionar riesgos para derechos y libertades	Antes de alto riesgo y ante cambios
Capacitaciones	Acreditar cultura de cumplimiento	Periódica y en inducción
Auditorías y planes de acción	Verificar eficacia y corregir desviaciones	Periódica

Anexo 2 — Referencias normativas de control

Para implementación y revisión jurídica se recomienda contrastar permanentemente esta política con las fuentes oficiales vigentes. Entre las referencias utilizadas para esta versión se encuentran: Constitución de la República del Ecuador; Ley Orgánica de Protección de Datos Personales; Reglamento General a la LOPDP; criterios y consultas publicadas por la SPDP; normativa y guía vigente sobre interés legítimo; y Guía de Gestión de Riesgos y Evaluación de Impacto de la SPDP.

La política deberá actualizarse si la SPDP expide normativa o criterios nuevos que modifiquen las obligaciones aquí descritas.