Política clientes canales digitales

TRATAMIENTO DE DATOS PERSONALES EN CANALES DIGITALES MEGA SANTAMARIA S.A.

OBJETO Y RESPONSABLE DEL TRATAMIENTO
1. Objeto.
  El presente documento tiene por objeto comunicar cómo MEGA SANTAMARIA S.A. (en adelante, la
  “EMPRESA”) trata los datos personales de los interesados en sus distintos canales digitales, incluyendo los
  datos obtenidos de fuentes de información de acceso público o autorizado, así como los recopilados a través
  de sus canales virtuales propios o de plataformas asociadas (en adelante, los “CANALES DIGITALES”).
  Los CANALES DIGITALES de la EMPRESA comprenden: el sitio web institucional
  (www.supermercadosantamaria.com), la aplicación móvil (App Mega Santa Maria), el portal de servicios para
  clientes institucionales, la plataforma de comercio electrónico (e-commerce), las redes sociales oficiales, el
  call center y ticketera, el sistema de fidelización, el CRM, el correo electrónico corporativo, formularios de
  contacto en línea, y cualquier otro canal digital habilitado por la EMPRESA.
  Los procesos llevados a cabo en los CANALES DIGITALES pueden incluir: gestión de pedidos y compras en
  línea; atención de peticiones, quejas, reclamos y solicitudes a través del call center; gestión del programa de
  fidelización; gestión de campañas y comunicaciones de marketing; gestión de crédito institucional y
  corporativo a través del portal de servicios; investigación de mercado; y cualquier otra actividad digital propia
  del giro comercial de la EMPRESA.
1. Responsable del Tratamiento.
  De acuerdo con lo establecido en la Ley Orgánica de Protección de Datos Personales, su Reglamento y
  demás normativa aplicable en esta materia (en adelante, la “REGULACIÓN”), la EMPRESA actúa como
  “Responsable del Tratamiento”, bajo los términos y condiciones estipulados en el presente documento.
2.1. La información de contacto de la EMPRESA es la siguiente:
• Razón Social: Mega Santamaria S.A.
• Domicilio: Iñaquito N38-17 y Villalengua
• Correo electrónico para comunicaciones sobre protección de datos personales:
delegado.datos@mega-santamaria.com
2.2. La información de contacto del Delegado de Protección de Datos (en adelante, “DPD”) es la siguiente:
● Nombre y apellido: Byron Vásconez
• Domicilio: Iñaquito N38-17 y Villalengua
● Correo electrónico: delegado.datos@mega-santamaria.com
TITULAR DE LOS DATOS
Para los fines del presente documento, el titular de los datos (en adelante, el “TITULAR” o los “TITULARES”)
es la persona natural cuyos datos personales, tanto los que ella proporcione como los que recopile la
EMPRESA a través de sus CANALES DIGITALES, serán tratados conforme a los términos aquí establecidos.
Con la aceptación de este documento o la utilización de los CANALES DIGITALES, se cumple el
requerimiento normativo del consentimiento del TITULAR para el registro y tratamiento de sus datos, en los
casos en que dicho consentimiento sea la base legitimadora aplicable.
La EMPRESA tratará únicamente los datos respecto de los cuales haya obtenido el debido consentimiento
del TITULAR, salvo en los casos en que dicho consentimiento no sea exigible conforme a la REGULACIÓN.
BASE LEGAL

Mega Santamaria S.A. | delegado.datos@mega-santamaria.com | Ecuador Página 2 de 7
El presente documento se encuentra regulado por la legislación ecuatoriana, en particular por la Ley Orgánica
de Protección de Datos Personales, su Reglamento y demás normativa secundaria aplicable (en conjunto, la
“REGULACIÓN”). El tratamiento de datos es legítimo en virtud del consentimiento libre e informado del
TITULAR, de las relaciones contractuales o precontractuales existentes, del cumplimiento de obligaciones
legales, o del interés legítimo de la EMPRESA.

ORIGEN DE LOS DATOS
1. Principios generales.
  La EMPRESA podrá acceder a los datos del TITULAR a través de sus CANALES DIGITALES de las siguientes
  formas:
  • Por entrega voluntaria del TITULAR mediante formularios en línea, la App, el portal de e-commerce
  o el portal de servicios.
  • Por la recopilación derivada del historial de transacciones en los CANALES DIGITALES, del uso de
  tarjetas o medios de pago electrónicos.
  • Por la entrega de terceros que cuenten con la autorización del TITULAR.
  • Por su recopilación de fuentes de información públicas o autorizadas.
  • Por interacciones en redes sociales oficiales de la EMPRESA.
  • Por cualquier otra forma prevista en la REGULACIÓN.
1. Parámetros aplicables a canales digitales.
  La EMPRESA recopila datos a través de sus plataformas digitales, incluyendo datos de navegación (dirección
  IP, sistema operativo, navegador, cookies). En los CANALES DIGITALES la EMPRESA podrá instrumentar,
  con autorización del TITULAR:
  • Uso de la cámara del dispositivo para validación de identidad o funciones de la App.
  • Uso de geolocalización para identificar sucursales cercanas y personalizar ofertas.
  • Envío de notificaciones push, SMS y mensajes por WhatsApp u otros servicios de mensajería.
  • Uso de cookies y tecnologías similares para personalizar la experiencia de navegación y análisis de
  comportamiento.
  • Registro de interacciones en redes sociales y plataformas de pauta digital.
1. Tipos de tratamiento.
  La EMPRESA podrá realizar distintos tipos de tratamiento: recopilar, registrar, organizar, estructurar,
  almacenar, modificar, procesar, comunicar, consultar, usar, combinar, suprimir y destruir datos.
BASES DE DATOS PERSONALES
Los datos personales se almacenarán en bases de datos administradas por la EMPRESA, incluyendo el CRM
corporativo, el sistema de gestión de clientes, la plataforma de fidelización, el sistema POS, el ERP, el call
center, y los sistemas tecnológicos de soporte. En cumplimiento de la REGULACIÓN, estas bases serán
inscritas en el Registro Nacional de Protección de Datos Personales una vez que dicho registro se habilite.
TIPOS DE DATOS PERSONALES
Los datos personales tratados en los CANALES DIGITALES podrán corresponder a:
1. Datos no sensibles:
1.1. Datos identificativos: nombres, apellidos, cédula, RUC, firma, imagen, voz, entre otros.
1.2. Datos de contacto: teléfono, correo electrónico, dirección, entre otros.
1.3. Características personales: fecha de nacimiento, estado civil, entre otros.
1.4. Datos de navegación y uso: dirección IP, sistema operativo, navegador, cookies, datos de uso de la
App y del portal de e-commerce, historial de navegación en los CANALES DIGITALES.
1.5. Datos financieros y de transacción digital: historial de compras en línea, formas de pago, datos de
tarjeta enmascarados (PCI-DSS), hábitos de consumo y participación en programas de fidelización.

Mega Santamaria S.A. | delegado.datos@mega-santamaria.com | Ecuador Página 3 de 7
6.1.6. Datos académicos y profesionales: profesión, ocupación (para clientes institucionales y
corporativos).
6.1.7. Datos operativos: cuentas por cobrar, crédito institucional y corporativo gestionados a través del portal
de servicios.
6.2. Datos sensibles:
6.2.1. Datos biométricos: reconocimiento facial utilizado para la validación de identidad en los CANALES
DIGITALES que así lo requieran.
6.2.2. Datos bancarios (categoría especial): número de cuenta bancaria y certificados bancarios tratados
para la ejecución de pagos y cobros a través de los CANALES DIGITALES.
Los datos de categorías especiales estarán sujetos a las regulaciones específicas de la REGULACIÓN.

PLAZO DE CONSERVACIÓN
La información del TITULAR será conservada por el plazo máximo aprobado en la REGULACIÓN, con
excepción de los datos que, por mandato de la normativa aplicable, deban permanecer en custodia de la
EMPRESA durante plazos específicos. Para los accesos a sistemas tecnológicos, los datos de acceso se
conservarán por 7 años conforme a políticas de TI. Los datos de la plataforma de fidelización se conservarán
durante la vigencia de la relación comercial y el tiempo adicional requerido por la normativa.
TRATAMIENTO DE DATOS PERSONALES
La EMPRESA podrá realizar distintos tipos de tratamiento de los datos personales del TITULAR, incluyendo:
recopilar, registrar, organizar, estructurar, almacenar, modificar, procesar, comunicar, consultar, usar,
combinar, suprimir y destruir datos.
Los datos personales serán destinados a cualquiera de los siguientes usos o fines, que podrán implicar el
tratamiento de categorías no especiales y especiales, así como el acceso por parte de terceros, según los
términos del presente documento.
FINALIDAD DEL TRATAMIENTO
Con base en la ejecución de un contrato o medidas precontractuales, la EMPRESA podrá:
● Gestionar las transacciones y pedidos realizados a través del e-commerce, la App y el portal de
servicios.
● Atender peticiones, quejas, reclamos y solicitudes (PQRS) a través del call center (TSC) y canales
digitales.
● Registrar y verificar la identidad del TITULAR mediante procesos de validación en línea necesarios
para el acceso a los servicios contratados.
● Procesar pagos en línea a través de plataformas autorizadas (Datafast, Medianet, Nuvei,
Movilbank).
● Gestionar cuentas por cobrar de crédito institucional y corporativo a través del portal de servicios
(Equifax, GranChecked, JDE).
● Gestionar el programa de fidelización (Club Santa Maria / Loyal Guru): acumulación de puntos,
descuentos y beneficios para afiliados.
Con base en el cumplimiento de una obligación legal, la EMPRESA podrá:
● Levantar expedientes, realizar análisis y reportes requeridos para cumplir con el ordenamiento
jurídico o con políticas internas.
● Atender requerimientos de entes de control y autoridades competentes vinculados al uso de los
CANALES DIGITALES.
● Implementar disposiciones establecidas por la Superintendencia de Protección de Datos
Personales.
Con base en el interés legítimo, la EMPRESA podrá:
● Mejorar la navegación y experiencia de uso de los CANALES DIGITALES.
● Desarrollar nuevas versiones o actualizaciones de la App, el sitio web o el portal de e-commerce.

Mega Santamaria S.A. | delegado.datos@mega-santamaria.com | Ecuador Página 4 de 7
● Realizar análisis de comportamiento del consumidor, generación de perfiles y modelos predictivos
para optimizar la oferta comercial (Loyal Guru, Oracle, Power BI). El TITULAR tiene derecho a
oponerse a este tratamiento en los términos previstos en la REGULACIÓN.
● Gestionar y dar respuesta a investigaciones de mercado y encuestas de satisfacción (CANTAR y
otras agencias).
La EMPRESA podrá realizar evaluaciones sistemáticas de aspectos personales y de comportamientos de sus
usuarios, como elaboración de perfiles y hábitos de consumo, atendiendo siempre a los principios y
limitaciones de la REGULACIÓN y procurando el tratamiento disociado o anonimizado de los datos cuando
sea posible.
Con base en el consentimiento, la EMPRESA podrá:
● Ejecutar campañas informativas y de marketing: radio, redes sociales, pauta digital, comunicados
por correo, SMS y WhatsApp®. Contactar al TITULAR para informarle sobre productos, servicios,
promociones, sorteos y novedades.
● Otros fines previstos en autorizaciones o instrumentos que el TITULAR otorgue a favor de la
EMPRESA.

EFECTOS DE LA FALTA DE ACCESO A LOS DATOS DEL TITULAR O DE SU NEGATIVA
A ENTREGARLOS
El TITULAR declara entender que los datos recopilados por la EMPRESA a través de sus CANALES
DIGITALES son necesarios para la correcta operación de dichos canales, incluyendo la atención de
requerimientos, la ejecución de transacciones y la prestación íntegra de los servicios contratados. El TITULAR
garantiza que los datos proporcionados sean exactos, íntegros, precisos, completos y actualizados.
La entrega incompleta, errónea o la negativa a proporcionar datos podría provocar el funcionamiento
incorrecto de los CANALES DIGITALES o imposibilitar el acceso a determinados servicios. En los casos en
que la falta de datos imposibilite el uso de un canal digital, el TITULAR podrá acceder a productos y servicios
a través de los canales presenciales.
POLÍTICAS SOBRE TRANSFERENCIA Y DESTINATARIOS DE LOS DATOS
La EMPRESA y sus subsidiarias o afiliadas podrán transferir la información del TITULAR para fines
relacionados con el desarrollo y ejecución de la relación contractual. El TITULAR acepta que la EMPRESA
podrá compartir sus datos con:
1. Aliados estratégicos:
  • Agencias de marketing, publicidad y call center con quienes la EMPRESA tenga alianzas comerciales.
  • Plataformas de redes sociales (Meta, Google, TikTok) para gestión de campañas y pauta digital.
  • Agencias de investigación de mercado (CANTAR y similares).
  • Organizaciones no gubernamentales en el marco de actividades no lucrativas patrocinadas por la
  EMPRESA.
  • Empresas del grupo Mega Santamaria.
1. Proveedores de productos y servicios:
  • Compañías de análisis de crédito y perfiles de comportamiento (Equifax, GranChecked).
  • Proveedores de ERP, CRM y tecnología (Oracle Retail, JDE, Loyal Guru, RMS, TSC).
  • Empresas de servicios legales y procesos de cobranza.
  • Proveedores de servicios de datacenter, nube y almacenamiento (incluyendo posibles proveedores
  en Estados Unidos o Portugal).
  • Servicios de envío de notificaciones (SMS, correo electrónico, WhatsApp®, push).
  • Servicios de análisis de datos, desarrollo de software y mejora de experiencia del cliente (Power BI,
  RIVERMINDS y otros).
  • Servicios de seguridad informática, antilavado y gestión de fraude.
  • Procesadoras de pago (Datafast, Medianet, Nuvei, Movilbank).

Mega Santamaria S.A. | delegado.datos@mega-santamaria.com | Ecuador Página 5 de 7
Por regla general, no se realizarán transferencias internacionales de datos personales de los TITULARES.
Sin embargo, en la eventualidad de que fuere requerido, esto se realizará en conformidad con la normativa
vigente y las disposiciones emitidas por la Superintendencia de Protección de Datos Personales en materia
de Transferencias Internacionales de Datos Personales.

CASOS EN LOS QUE NO SE NECESITARÁ CONSENTIMIENTO PARA REVELAR LOS
DATOS
La EMPRESA se compromete a no divulgar los datos sin consentimiento, salvo en los siguientes casos:
• Requerimientos de autoridades administrativas o judiciales, en ejercicio de sus funciones.
• Requerimientos de autoridades para fines históricos, estadísticos o científicos con datos debidamente
anonimizados.
• Solicitudes o deberes de entrega de información fundamentados en disposiciones legales u
obligaciones contractuales.
• Cuando aplique otra base de legitimación prescrita en la REGULACIÓN.
MEDIDAS DE SEGURIDAD
La EMPRESA adoptará medidas de seguridad técnicas, administrativas y organizativas para garantizar la
protección de la información del TITULAR en sus CANALES DIGITALES, incluyendo: cifrado de datos en
tránsito y en reposo, control de accesos mediante directorio activo y gestión de identidades, monitoreo de
seguridad informática y ciberseguridad, gestión de respaldos (VEEAM, Veritas, Oracle), y capacitación
periódica al personal en protección de datos y ciberseguridad.
La EMPRESA recuerda al TITULAR que es su responsabilidad utilizar los canales oficiales de la EMPRESA
y seguir las medidas de seguridad indicadas por ella.
USO DE COOKIES
Los CANALES DIGITALES podrán requerir al TITULAR el uso de tecnologías “cookies” u otras análogas
(píxeles de seguimiento, almacenamiento local) para: personalizar la oferta de productos y servicios; enviar
publicidad relevante; mejorar la experiencia de navegación; realizar encuestas y análisis estadístico de uso;
y optimizar campañas de pauta digital. El TITULAR podrá gestionar o deshabilitar las cookies no esenciales
a través de la configuración de su navegador o del panel de preferencias de cookies disponible en el sitio
web.
DERECHOS DEL TITULAR DE LOS DATOS
El TITULAR podrá ejercer los derechos sobre sus datos personales enviando una solicitud escrita al correo
electrónico delegado.datos@mega-santamaria.com o mediante los canales corporativos de la EMPRESA.
CONTENIDO DE LA SOLICITUD
La solicitud deberá incluir como mínimo lo siguiente:
• El nombre y dirección de correo electrónico del TITULAR o cualquier otro medio para recibir
respuestas.
• Un documento que acredite la identidad del solicitante y, de ser el caso, la de su representante con
la respectiva autorización.
• La descripción clara y precisa de los datos personales respecto de los cuales el TITULAR busca
ejercer alguno de los derechos establecidos en la Ley Orgánica de Protección de Datos Personales.
• La petición concreta que se formula.
El TITULAR podrá ejercer los siguientes derechos:
• Derecho de acceso a los datos personales que obran en poder de la EMPRESA.
• Derecho de eliminación, salvo que la EMPRESA esté obligada legalmente a conservar la
información.
• Derecho de rectificación y actualización de datos incorrectos o desactualizados.
• Derecho de oposición al tratamiento de sus datos personales para uno o varios fines determinados.

Mega Santamaria S.A. | delegado.datos@mega-santamaria.com | Ecuador Página 6 de 7
• Derecho de suspensión del tratamiento en los supuestos previstos en la REGULACIÓN.
• Derecho a oponerse a tratamientos de mercadotecnia directa, incluida la elaboración de perfiles
con fines comerciales.
• Derecho de portabilidad para recibir su información en un formato estructurado e interoperable.
• Derecho a no ser objeto de decisiones basadas única o parcialmente en valoraciones
automatizadas que produzcan efectos jurídicos en el TITULAR o que atenten contra sus derechos
fundamentales.
• Derecho a revocar su consentimiento en conformidad con lo determinado en la POLÍTICA.
La EMPRESA tramitará las solicitudes de ejercicio de derechos y los requerimientos de conformidad con la
REGULACIÓN. En tal virtud, la EMPRESA podrá negar lo solicitado por un TITULAR en los casos de
excepción que prescribe la REGULACIÓN, incluidos los casos en que dicho ejercicio pueda afectar derechos
de terceros, obstaculizar actuaciones judiciales o administrativas en curso, comprometer investigaciones
internas o el cumplimiento de obligaciones legales de la EMPRESA.

REVOCATORIA DEL CONSENTIMIENTO
El TITULAR podrá revocar la autorización y consentimiento otorgado a la EMPRESA para una o varias
finalidades del tratamiento de sus datos personales, mediante la presentación de una solicitud escrita remitida
a la dirección de correo electrónico delegado.datos@mega-santamaria.com o a través de los canales
corporativos habilitados por la EMPRESA.
PORTABILIDAD DE DATOS PERSONALES

Previa solicitud expresa y por escrito del TITULAR, remitida al correo electrónico delegado.datos@mega-
santamaria.com, la EMPRESA podrá proporcionar sus datos personales en un formato compatible,

actualizado, estructurado, común, interoperable y de lectura mecánica, preservando sus características; para
que puedan ser custodiados por el propio TITULAR o ser entregados a otro responsable definido por el
TITULAR. Esta transferencia se realizará de manera económica y operativamente eficiente, y sin trabas. No
habrá lugar a portabilidad para información inferida, derivada o creada a partir del análisis de la EMPRESA.

LEGISLACIÓN APLICABLE
Los términos contenidos en esta POLÍTICA se rigen y se interpretan de acuerdo con las leyes vigentes en la
República del Ecuador, en particular la Ley Orgánica de Protección de Datos Personales, su Reglamento y
demás normativa aplicable.
CONSENTIMIENTO
El TITULAR declara haber sido informado y acepta, sin reserva ni condicionamiento alguno, las declaraciones
y compromisos que aquí se contienen. En particular, acepta y aprueba de forma expresa, libre, específica,
inequívoca e informada el manejo de sus datos personales por parte de la EMPRESA, en la forma y con los
alcances que se detallan en la POLÍTICA.
USO DE MEDIOS ELECTRÓNICOS
El TITULAR confiere su consentimiento para el uso de medios electrónicos y tecnológicos en su relación con
la EMPRESA, para lo cual se compromete a actuar de buena fe y con fines legales y lícitos. En dicho sentido,
el TITULAR ratifica, acepta y declara irrevocablemente que las instrucciones y comunicaciones realizadas a
la EMPRESA a través de medios electrónicos, informáticos y telemáticos, como internet, correo electrónico,
formularios electrónicos, códigos y claves proporcionados por la EMPRESA, son plenamente válidas y
vinculantes. Además, el TITULAR realiza las siguientes declaraciones: (i) Tiene suficiente capacidad legal y
se encuentra facultado para realizar las declaraciones contenidas en esta cláusula y consecuentemente
obligarse con la EMPRESA, por lo que es plenamente responsable de sus alcances y efectos. (ii) Las claves,
códigos y demás medidas de seguridad son utilizados como métodos de validación electrónica, tienen los
efectos legales establecidos por la Ley de Comercio Electrónico, Firma Electrónica y Mensajes de Datos, su
Reglamento y demás normativa que sea competente.
REFORMAS

Mega Santamaria S.A. | delegado.datos@mega-santamaria.com | Ecuador Página 7 de 7
La EMPRESA se reserva el derecho a actualizar, modificar o eliminar esta POLÍTICA en cualquier tiempo, ya
sea total o parcialmente. Toda modificación será publicada o notificada a los TITULARES a través de los
canales corporativos que la EMPRESA habilite con ese fin. Tales reformas entrarán en vigor y su aplicación
será obligatoria a partir de esta notificación o publicación.