Artículo 1. Objetivo

El presente reglamento tiene como objetivo garantizar el derecho fundamental a la protección de los datos personales, en MB Renting S.A. (en adelante la ¨Empresa¨), a través de su adecuado tratamiento, en un marco de respeto de los demás derechos fundamentales que en ella se reconocen.

Artículo 2. Alcance

Las disposiciones contenidas en este Reglamento, son de obligatorio cumplimiento para los trabajadores de la Empresa, independientemente de su centro de trabajo y de su jerarquía laboral dentro de la organización.

La incorporación de una persona al servicio de la Empresa, bajo cualquier modalidad, supone el pleno conocimiento del presente Reglamento y la aceptación absoluta de sus disposiciones, sin reservas ni limitación alguna son objeto de especial protección los datos sensibles.

Artículo 3. Definiciones

Para los efectos de la aplicación del presente reglamento, se entiende por :

• Banco de datos personales. Conjunto organizado de datos personales, automatizado o no, independientemente del soporte, sea este físico, magnético, digital, óptico u otros que se creen, cualquiera fuere la forma o modalidad de su creación, formación, almacenamiento, organización y acceso.
• Medida por la cual el encargado del banco de datos personales impide el acceso de terceros y tratamiento de los datos.
• Cancelación. Medida por la cual, se elimina o suprime los datos personales de un banco de datos.
• Datos personales. Información numérica, alfabética, gráfica, fotográfica, acústica, sobre hábitos personales, o de cualquier otro tipo concerniente a las personas naturales que las identifica o las hace identificables.
• Datos personales relacionados con la salud. Información concerniente a la salud pasada, presente o pronosticada, física o mental, de una persona, incluyendo el grado de discapacidad y su información genética.
• Datos sensibles. Información relativa a datos personales referidos a las características físicas, morales o emocionales, hechos o circunstancias de su vida afectiva o familiar, los hábitos personales que corresponden a la esfera más íntima, la información relativa a la salud física o mental u otras análogas que afecten su intimidad, tales, como origen racial y étnico, ingresos económicos, opiniones o convicciones políticas, religiosas, filosóficas o morales, información relacionada a la salud o a la vida sexual, entre otras.
• Dirección General de Protección de Datos Personales. Órgano encargado de ejercer la Autoridad Nacional de Protección de Datos Personales del Ministerio de Justicia, y la encargada de realizar todas las acciones necesarias para velar por el cumplimiento de la legislación vinculada con la protección de datos personales y por el respeto de sus principios rectores.
• Encargado del banco de datos personales. Persona designada para realice el tratamiento de los datos personales.
• Encargado del tratamiento. Persona autorizada que realiza el tratamiento de datos personales.
• Ley. Ley N° 29733 – Ley de Protección de Datos Personales.
• Nivel suficiente de protección para los datos personales. Nivel de protección que abarca por lo menos la consignación y el respeto de los principios rectores señaladas en la Ley, así como medidas técnicas de seguridad y confidencialidad, apropiadas según la categoría de datos de que se trate.
• Procedimiento de anonimización y disociación. Tratamientos de datos personales que impide identificar a su titular. El primero es irreversible y el segundo, reversible.
• Rectificación. Acción destinada a afectar o modificar un banco de datos personales ya sea para actualizarlo incluir información en él o específicamente rectificar su contenido con datos exactos.
• Titular de datos personales. Persona natural a quien corresponde los datos personales. Puede referirse a los datos del cliente, trabajador, proveedores, otros.
• Titular del banco de datos personales. Se hace referencia a la persona natural, persona jurídica de derecho privado o entidad pública que determina la finalidad y contenido del banco de datos personales, el tratamiento de estos y las medidas de seguridad. En el presente reglamento, se entiende como Titular del Banco de datos personales a la Empresa.
• Transferencia de datos personales. Toda transmisión, suministro o manifestación de datos personales, de carácter nacional o internacional, a una persona jurídica de derecho privado, a una entidad pública o a una persona natural distinta a la Empresa.
• Tratamiento de datos personales. Cualquier operación o procedimiento técnico, automatizado o no, que permite la recopilación, registro, organización, almacenamiento, conservación, elaboración, modificación, extracción, consulta, utilización, bloqueo, supresión, comunicación por transferencia o por difusión o cualquier otra forma de procesamiento que facilite el acceso, correlación o interconexión de los datos personales.

Artículo 4.  Principios Rectores

El tratamiento, gestión y seguridad de datos personales, debe de basarse en los siguientes principios.  Esta relación de principios rectores es enunciativa.

• LEGALIDAD : El tratamiento de los datos personales se hace conforme a lo establecido en la ley. Se prohíbe la recopilación de los datos personales por medios fraudulentos, desleales o ilícitos.
• FINALIDAD : Los datos personales serán recopilados únicamente para los fines informados a su titular.
• CONSENTIMIENTO : Es necesario contar con el consentimiento del titular.  El consentimiento debe ser libre, previo, expreso, informado e inequívoco.
• PROPORCIONALIDAD : Todo tratamiento de datos personales debe ser adecuado, relevante y no excesivo a la finalidad para la que estos hubiesen sido recopilados.
• CALIDAD : Los contenidos del banco de datos personales, debe de ajustarse con precisión a la realidad.  Debiendo ser tratados con veracidad, exactitud, y en la medida de lo posible, mantenerse actualizados. Deben conservarse de forma tal que se garantice su seguridad y solo por el tiempo necesario para cumplir con la finalidad del tratamiento.
• SEGURIDAD : Se adoptarán las medidas técnicas, organizativas y legales necesarias para evitar cualquier tratamiento de datos personales contrario a la Ley o al presente reglamento, así como su adulteración, pérdida,  desviaciones de información, entre otros.
• DISPOSICIÓN DE RECURSOS: Es derecho del USUARIO acudir a cualquier vía administrativa (Autoridad Nacional de Protección de Datos Personales) o jurisdiccional, en caso sus derechos por el tratamiento de datos personales, sean vulnerados.
• NIVEL DE PROTECCIÓN ADECUADO: MB RENTING S.A. garantiza un nivel suficiente de protección para los datos personales que se vayan a tratar.

Artículo 5.  Referencias Normativas

• Constitución Política del Perú. Título I, Capítulo I ( De la Persona y de la Sociedad – Derechos Fundamentales de la Persona) y Título V (De las Garantías Constitucionales).
• Ley N° 28237. Código Procesal Constitucional. Título I (Disposiciones Generales de los Procesos de Hábeas Corpus, Amparo, Habeas Data y Cumplimiento). Título IV (Proceso de Hábeas Data).
• Ley N° 29733. Ley de Protección de Datos Personales
• Decreto Supremo N° 003-2013-JUS. Reglamento de la Ley de Protección de Datos Personales.
• Ley 27444, Ley del Procedimiento Administrativo General.
• NTP ISO/IEC 17799 EDI. Tecnología de la Información. Código de Buenas Prácticas para la Gestión de Seguridad de la Información.
• Reglamento Interno de Trabajo( Tratamiento de Información de Compañía)
• Manual de Ética y Conducta de Negocios (Información Confidencial y Propiedad Intelectual).

Artículo 6. Tratamiento de Datos Personales.

Los datos personales sólo pueden ser objeto de tratamiento con consentimiento de su titular, salvo para los casos en que sean necesarios para ejecutar la relación contractual con la Empresa, así como la autentificación de usuario, mejora y soporte del servicio, monitoreo de la calidad del servicio, soporte para el mantenimiento y facturación de la cuenta y aquellas actividades que el manejo de la relación contractual requiera.

Para cualquier otro tipo de tratamiento, se debe de contar con el consentimiento previo, informado, expreso e inequívoco del titular de los datos.

Artículo 7. Datos sensibles.

En el caso de datos sensibles, el consentimiento para efectos de su tratamiento, debe efectuarse por escrito.

Artículo 8. Revocatoria del Consentimiento.

El titular de datos personales puede revocar su consentimiento en cualquier momento, debiendo observar los mismos requisitos que en su otorgamiento.

No es posible recabar de un menor de edad datos que permitan obtener información sobre los demás miembros de su grupo familiar, sin el consentimiento de los titulares de tales datos. Sólo podrá recabarse los datos de identidad y dirección de los padres o de los tutores con la finalidad de obtener el consentimiento de los titulares de la patria potestad o tutores.

Artículo 9. Seguridad del tratamiento de datos personales

La Empresa debe de adoptar todas las medidas técnicas, organizativas y legales que garanticen la seguridad y eviten la alteración, pérdida, tratamiento o acceso no autorizado, de los datos personales.

Artículo 10. Confidencialidad de datos personales

Los trabajadores  se encuentran obligados a guardar confidencialidad respecto a los datos personales a los que pueda acceder, así como de sus antecedentes. Esta obligación subsiste aun después de finalizadas las relaciones con la empresa.

Artículo 11. Derechos del Titular de Datos Personales

El titular de datos personales tiene derecho a ser informado en forma detallada, sencilla, expresa, inequívoca y de manera previa a su recopilación, sobre :

• Finalidad del recojo de sus datos personales.
• Destinatarios de los datos.
• Existencia del banco de datos en donde se almacenarán sus datos, así como del encargado del mismo.
• El carácter obligatorio o facultativo de cuestionarios que se le propongan.
• Las consecuencias de proporcionar sus datos personales y de su negativa a hacerlo.
• El tiempo durante el cual se conservarán sus datos personales.
• La posibilidad de ejercer los derechos que la ley le concede y los medios previstos para ello (Acceso, Rectificación, Cancelación u Oposición).

Si los datos personales son recogidos en línea a través de redes de comunicaciones electrónicas, las obligaciones del presente artículo podrán realizarse mediante la publicación de políticas de privacidad, las que deben ser fácilmente accesibles e identificables.

Artículo 12. Acceso, Rectificación, Cancelación u Oposición (ARCO)  del Titular de Datos Personales

El titular de datos personales puede ejercer los siguientes derechos ARCO:

• ACCESO : Obtener la información que sobre sí mismo sea objeto de tratamiento en el banco de la empresa, la forma en que sus datos fueron recopilados, las razones que motivaron su recopilación y a solicitud de quién se realizó la recopilación, así como las transferencias realizadas o que se prevén hacer de ellos.
• RECTIFICACIÓN (Actualización, Inclusión): Derecho a modificar los datos que resulten ser parcial o totalmente inexactos, incompletos, erróneos o falsos.
• CANCELACIÓN (Supresión): Solicitar la supresión o cancelación de sus datos personales de un banco de datos personales cuando estos hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hayan sido recopilados o hubiere vencido el plazo establecido para su tratamiento.
• OPOSICION : Oponerse, por un motivo legítimo y fundado, referido a una situación personal concreta, a figurar en un banco de datos o al tratamiento de sus datos personales.

Si los datos personales han sido transferidos el encargado del banco de datos personales debe comunicar la actualización, inclusión, rectificación o supresión a quienes se hayan transferido.

Durante el proceso de actualización, inclusión, rectificación o supresión de datos personales, el encargado del banco de datos personales dispone su bloqueo, quedando impedido de permitir que terceros accedan a ellos.

El titular de los datos personales podrá revocar su consentimiento para el tratamiento de sus datos personales en cualquier momento, sin justificación previa y sin que le atribuyan efectos retroactivos.  El encargado del banco de datos, deberá de adecuar el requerimiento dentro del plazo de 5 días.

Artículo 13. Tutela

El titular de datos personales, que se considere afectado en sus derechos, puede recurrir ante la Autoridad Nacional de Protección de Datos Personales en vía de reclamación o al Poder Judicial para los efectos de la correspondiente acción de hábeas data.

Artículo 14 .  Encargado del Banco de Datos Personales.

La empresa debe de nombrar a uno o más encargados del banco de datos personales.

Artículo 15. Prestación de servicios de tratamiento de datos personales

Cuando, por cuenta de terceros, se presten servicios de tratamiento de datos personales, estos no pueden aplicarse o utilizarse con un fin distinto al que figura en el contrato o convenio celebrado ni ser transferidos a otras personas, ni aún para su conservación.

Culminada la relación contractual, los datos personales tratados deben ser suprimidos. La persona natural o jurídica subcontratada asume las mismas obligaciones establecidas en el presente reglamento y demás disposiciones aplicables; asumiendo absoluta responsabilidad por:

1. Destinar o utilizar los datos personales con una finalidad distinta a la autorizada por el titular del banco de datos o responsable del tratamiento; o
2. Efectuar una transferencia, incumpliendo las instrucciones del titular del banco de datos personales, aun cuando sea para la conservación de dichos datos.