POLÍTICA DE PROTECCIÓN DE DATOS PERSONALES – INSTITUTO CAMBRIDGE S.A.
Fecha de última actualización: 07 de abril de 2026.
- IDENTIFICACIÓN INSTITUCIONAL
INSTITUTO CAMBRIDGE S.A. es una institución educativa dedicada a la formación académica en idiomas, que en el desarrollo de sus actividades recopila, utiliza, almacena y, en general, trata datos personales de estudiantes, representantes legales, colaboradores, proveedores y demás personas naturales que mantienen una relación directa o indirecta con la organización.
En este contexto, el Instituto reconoce que la protección de datos personales constituye un derecho fundamental de las personas, conforme a la Constitución de la República del Ecuador y a la Ley Orgánica de Protección de Datos Personales. En consecuencia, asume el compromiso institucional de garantizar que todo tratamiento de datos personales se realice de manera lícita, leal, transparente y segura.
El Instituto Cambridge S.A. actúa en calidad de responsable del tratamiento, en tanto determina las finalidades y los medios del tratamiento de los datos personales en el marco de sus actividades académicas, administrativas y comerciales.
Para efectos de cumplimiento normativo y atención de los titulares, el Instituto ha designado un Delegado de Protección de Datos Personales (DPO), cuya función principal es supervisar el cumplimiento de la normativa aplicable, asesorar a la organización y actuar como punto de contacto frente a los titulares de datos y la autoridad de control.
- OBJETIVO Y ALCANCE
La presente Política de Protección de Datos Personales tiene como objetivo establecer los lineamientos jurídicos, organizativos y técnicos que regulan el tratamiento de datos personales dentro del Instituto Cambridge S.A., asegurando el respeto de los derechos de los titulares y promoviendo una cultura institucional basada en la protección de la información.
Esta política se aplica a la totalidad de las actividades de tratamiento de datos personales realizadas por el Instituto, independientemente del soporte en el que dichos datos se encuentren, ya sea físico o digital, así como del canal a través del cual sean recopilados, incluyendo plataformas tecnológicas, sistemas en la nube, formularios físicos, comunicaciones electrónicas y cualquier otro medio utilizado por la organización.
Asimismo, su alcance comprende a todas las áreas organizacionales, incluyendo las funciones académicas, administrativas, financieras, comerciales y de marketing, así como a todas las sedes y sucursales del Instituto.
El cumplimiento de esta política es obligatorio para todos los colaboradores, directivos, proveedores y terceros que, en virtud de sus funciones o de una relación contractual con el Instituto, tengan acceso a datos personales. Su incumplimiento podrá dar lugar a las acciones disciplinarias, contractuales o legales correspondientes.
- BASE LEGAL DEL TRATAMIENTO DE DATOS PERSONALES
El Instituto Cambridge S.A. realiza el tratamiento de datos personales únicamente cuando existe una base de legitimación que lo habilite, conforme a lo establecido en la Ley Orgánica de Protección de Datos Personales.
En este sentido, el tratamiento podrá sustentarse en el consentimiento previo, libre, específico, informado e inequívoco del titular; en la ejecución de una relación contractual o precontractual, como ocurre en los procesos de matrícula, prestación de servicios educativos o relaciones laborales; en el cumplimiento de obligaciones legales aplicables a la institución; o en el interés legítimo del responsable del tratamiento, siempre que dicho interés no prevalezca sobre los derechos y libertades fundamentales del titular.
Cuando el tratamiento se base en el consentimiento, el Instituto garantizará que este sea obtenido de manera clara y verificable, informando previamente al titular sobre las finalidades del tratamiento, los mecanismos de ejercicio de sus derechos y cualquier otra información relevante conforme al principio de transparencia.
En el caso del tratamiento de datos personales de niños, niñas y adolescentes, el Instituto aplicará el principio del interés superior del menor, adoptando medidas reforzadas de protección y recabando, cuando corresponda, la autorización de sus representantes legales, sin perjuicio del ejercicio progresivo de derechos por parte de los adolescentes conforme a la normativa vigente.
- PRINCIPIOS RECTORES DEL TRATAMIENTO
El tratamiento de datos personales en el Instituto Cambridge S.A. se rige por los principios establecidos en la normativa ecuatoriana, los cuales orientan todas las actividades institucionales relacionadas con el manejo de información personal.
En particular, el Instituto garantiza que los datos personales serán tratados conforme al principio de licitud, lo que implica que toda operación de tratamiento se realizará con base en una causa legítima prevista en la ley. Asimismo, se observará el principio de lealtad y transparencia, asegurando que los titulares conozcan de manera clara cómo se recopilan y utilizan sus datos.
El principio de finalidad implica que los datos personales serán recolectados para fines específicos, explícitos y legítimos, y no serán tratados posteriormente de manera incompatible con dichos fines. En línea con ello, el Instituto aplicará el principio de minimización, limitando el tratamiento únicamente a aquellos datos que resulten estrictamente necesarios.
Adicionalmente, se garantizará la calidad y exactitud de los datos personales, adoptando medidas razonables para mantenerlos actualizados y corregirlos cuando sea necesario. El Instituto también aplicará el principio de confidencialidad, asegurando que el acceso a los datos esté restringido al personal autorizado.
En materia de seguridad, se implementarán medidas técnicas y organizativas adecuadas para proteger los datos personales frente a riesgos como accesos no autorizados, pérdida, alteración o divulgación indebida.
Finalmente, el Instituto adopta el principio de responsabilidad proactiva, lo que implica no solo cumplir con la normativa, sino también poder demostrar dicho cumplimiento mediante la implementación de políticas, controles y mecanismos de supervisión interna.
- CATEGORÍAS Y FINALIDADES DEL TRATAMIENTO DE DATOS PERSONALES
En el marco de sus actividades académicas, administrativas y operativas, el Instituto Cambridge S.A. trata diversas categorías de datos personales que resultan necesarias para el cumplimiento de sus funciones institucionales y la adecuada prestación de sus servicios educativos.
Entre las categorías de datos personales que pueden ser objeto de tratamiento se incluyen, de manera enunciativa más no limitativa, datos de identificación tales como nombres, apellidos y número de documento; datos de contacto como direcciones de correo electrónico, números telefónicos y direcciones domiciliarias; datos académicos relacionados con el nivel educativo, desempeño y progreso de los estudiantes; datos administrativos y financieros necesarios para la gestión de pagos, facturación y obligaciones legales; así como datos laborales correspondientes al personal de la institución.
Asimismo, el Instituto podrá tratar datos derivados del uso de plataformas tecnológicas, tales como direcciones IP, identificadores de dispositivos y registros de navegación, en la medida en que estos resulten necesarios para garantizar la funcionalidad de los sistemas, la seguridad de la información y la mejora de los servicios ofrecidos.
En determinados casos, y únicamente cuando resulte estrictamente necesario, el Instituto podrá tratar categorías especiales de datos personales, incluyendo datos de menores de edad o información que, por su naturaleza, requiera una protección reforzada. En tales supuestos, se adoptarán medidas adicionales de seguridad y se limitará el acceso a dichos datos exclusivamente al personal autorizado.
El tratamiento de los datos personales se realiza con base en finalidades específicas, legítimas y previamente determinadas. Entre las principales finalidades se encuentran la gestión de procesos académicos, incluyendo la inscripción, matrícula, seguimiento y evaluación de los estudiantes; la administración de relaciones contractuales con estudiantes, representantes legales, colaboradores y proveedores; el cumplimiento de obligaciones legales, contables y laborales; la gestión de comunicaciones institucionales; y el mantenimiento de la seguridad física y lógica de las instalaciones y sistemas.
Adicionalmente, el Instituto podrá tratar datos personales para fines de carácter comercial o promocional, tales como el envío de información sobre programas académicos, campañas de marketing o eventos institucionales. Estas finalidades se llevarán a cabo únicamente cuando el titular haya otorgado su consentimiento previo, conforme a lo establecido en la normativa vigente.
En todos los casos, el Instituto garantiza que los datos personales no serán utilizados para fines incompatibles con aquellos para los cuales fueron recopilados, y que cualquier tratamiento ulterior se realizará conforme a las condiciones de legitimidad establecidas en la ley.
- DERECHOS DE LOS TITULARES Y MECANISMOS DE EJERCICIO
El Instituto Cambridge S.A. reconoce y garantiza a los titulares de datos personales el ejercicio de los derechos establecidos en la Ley Orgánica de Protección de Datos Personales, los cuales constituyen un elemento esencial del derecho a la autodeterminación informativa.
En este sentido, los titulares tienen derecho a acceder a sus datos personales y a obtener información sobre el tratamiento que se realiza de los mismos; a solicitar la rectificación o actualización de aquellos datos que resulten inexactos o incompletos; a requerir la eliminación de sus datos cuando estos ya no sean necesarios para las finalidades para las cuales fueron recopilados o cuando el tratamiento no cumpla con los principios establecidos en la normativa; a oponerse al tratamiento de sus datos en los casos previstos por la ley; y a solicitar la portabilidad o la suspensión del tratamiento cuando corresponda.
El Instituto garantiza que el ejercicio de estos derechos será gratuito y no estará sujeto a formalidades excesivas. Para tal efecto, se han habilitado canales de atención a través de los cuales los titulares podrán presentar sus solicitudes, incluyendo el contacto directo con el Delegado de Protección de Datos Personales.
Las solicitudes deberán contener, al menos, la identificación del titular, la descripción clara del derecho que se desea ejercer y, cuando sea necesario, los documentos que permitan sustentar la solicitud. El Instituto podrá requerir información adicional únicamente cuando resulte indispensable para verificar la identidad del solicitante o para atender adecuadamente el requerimiento.
Una vez recibida la solicitud, el Instituto procederá a su análisis y dará respuesta dentro de los plazos establecidos en la normativa vigente. En caso de que la solicitud sea aceptada, se adoptarán las medidas necesarias para hacer efectivo el derecho del titular; en caso contrario, se comunicará de manera motivada la razón de la negativa, informando al titular sobre los mecanismos disponibles para presentar su reclamo ante la autoridad competente.
El Instituto implementará procedimientos internos que permitan gestionar de manera eficiente las solicitudes de los titulares, garantizando la trazabilidad de las mismas y el cumplimiento de los principios de celeridad, eficacia y transparencia.
- TRANSFERENCIAS Y ENCARGADOS DEL TRATAMIENTO
En el desarrollo de sus actividades, el Instituto Cambridge S.A. podrá requerir la participación de terceros para la prestación de servicios que impliquen el acceso o tratamiento de datos personales. En estos casos, dichos terceros actuarán en calidad de encargados del tratamiento, conforme a lo establecido en la normativa vigente.
El acceso a datos personales por parte de estos terceros no constituye una transferencia o comunicación en los términos legales, siempre que dicho tratamiento se realice por cuenta del Instituto y bajo sus instrucciones. Para garantizar esto, el Instituto suscribirá los correspondientes instrumentos contractuales en los que se establecerán, de manera clara y precisa, las obligaciones del encargado, incluyendo el deber de confidencialidad, la limitación del tratamiento a las finalidades autorizadas y la implementación de medidas de seguridad adecuadas.
En particular, el Instituto podrá apoyarse en proveedores externos para la gestión de sus sistemas tecnológicos, plataformas académicas, servicios en la nube, servicios de seguridad física, videovigilancia, servicios contables, marketing y otros servicios especializados necesarios para su operación. Estos esquemas responden al modelo organizacional adoptado por la institución, que incluye la externalización de determinadas funciones estratégicas y operativas.
En todos los casos, el Instituto verificará que los encargados del tratamiento ofrezcan garantías suficientes en materia de protección de datos personales, tanto desde una perspectiva técnica como organizativa, y realizará un seguimiento razonable del cumplimiento de dichas obligaciones.
Cuando la relación con el encargado finalice, este deberá devolver o eliminar los datos personales tratados, según corresponda, salvo que exista una obligación legal que exija su conservación.
En aquellos casos en los que se realicen transferencias o comunicaciones de datos personales a terceros distintos de los encargados, el Instituto garantizará que dichas operaciones cuenten con una base de legitimación válida, como el consentimiento del titular, el cumplimiento de una obligación legal o cualquier otra causa prevista en la normativa.
En caso de transferencias internacionales de datos personales, el Instituto adoptará las medidas necesarias para asegurar que el nivel de protección de los datos sea equivalente al exigido por la legislación ecuatoriana, implementando garantías contractuales, técnicas y organizativas apropiadas.
- CONSERVACIÓN, SEGURIDAD Y GESTIÓN DE INCIDENTES
- Conservación de los datos personales
El Instituto Cambridge S.A. conservará los datos personales únicamente durante el tiempo necesario para cumplir con las finalidades para las cuales fueron recopilados, así como para atender las obligaciones legales, contractuales y regulatorias que le sean aplicables.
Una vez cumplida la finalidad del tratamiento o vencidos los plazos de conservación establecidos, los datos personales serán eliminados, anonimizados o bloqueados, según corresponda, de manera segura y conforme a procedimientos internos definidos.
El Instituto implementará mecanismos de revisión periódica de sus bases de datos, con el fin de evitar la conservación innecesaria o desproporcionada de información personal.
- Seguridad de la información
El Instituto adopta un enfoque integral de seguridad de la información, alineado con estándares internacionales como ISO/IEC 27001 e ISO/IEC 27002, así como con su política interna de seguridad de la información.
En este sentido, se implementan medidas técnicas y organizativas orientadas a garantizar la confidencialidad, integridad y disponibilidad de los datos personales, considerando la naturaleza de la información tratada, los riesgos asociados y el contexto operativo de la organización.
Entre las medidas adoptadas se incluyen, entre otras, la gestión de accesos basada en roles y privilegios mínimos, la autenticación individual de usuarios, la restricción de accesos a datos sensibles, la protección de credenciales, el uso de entornos tecnológicos seguros y el control sobre los sistemas de almacenamiento y procesamiento de la información.
Asimismo, el Instituto opera bajo una arquitectura tecnológica basada en servicios en la nube, lo que implica la implementación de controles específicos para garantizar la seguridad de la información en dichos entornos, incluyendo la gestión centralizada de accesos, la trazabilidad de actividades y la protección de la información frente a accesos no autorizados, en concordancia con lo establecido en su política de seguridad institucional .
El acceso a datos personales se encuentra limitado exclusivamente al personal autorizado, en función de sus responsabilidades y necesidades operativas, conforme al principio de privilegio mínimo.
- Gestión de incidentes de seguridad
El Instituto cuenta con procedimientos internos para la identificación, análisis y gestión de incidentes de seguridad que puedan comprometer datos personales.
Todo colaborador, proveedor o tercero que detecte una anomalía, vulnerabilidad o incidente relacionado con la seguridad de la información deberá reportarlo de manera inmediata a los responsables designados, conforme a los protocolos internos establecidos.
Una vez detectado un incidente, el Instituto procederá a su evaluación, adoptará las medidas necesarias para mitigar sus efectos y, cuando corresponda, notificará a la Autoridad de Protección de Datos Personales y a los titulares afectados, en los términos previstos por la normativa vigente.
El Instituto mantendrá registros de los incidentes de seguridad, con el fin de analizar sus causas, prevenir su recurrencia y fortalecer continuamente sus mecanismos de protección.
- VIDEOVIGILANCIA
El Instituto Cambridge S.A., en ejercicio de su facultad de garantizar la seguridad de sus instalaciones, estudiantes, colaboradores y demás personas que interactúan en sus espacios físicos, implementa sistemas de videovigilancia en determinadas áreas de sus sedes.
El tratamiento de datos personales mediante sistemas de videovigilancia tiene como finalidad principal la prevención de riesgos, la protección de bienes e instalaciones, el control de accesos y la gestión de incidentes de seguridad. Este tratamiento se realiza bajo criterios de necesidad, proporcionalidad y minimización, evitando cualquier afectación indebida a los derechos y libertades de las personas.
Las cámaras de videovigilancia se encuentran ubicadas exclusivamente en áreas comunes, accesos y zonas de circulación general, quedando expresamente prohibida su instalación en espacios que puedan comprometer la intimidad de las personas, tales como baños, áreas de descanso privadas o cualquier otro entorno que requiera un nivel reforzado de privacidad.
El Instituto garantiza que los titulares serán informados de la existencia de sistemas de videovigilancia mediante señalética visible, clara y accesible en las zonas monitoreadas, en cumplimiento del principio de transparencia.
Las grabaciones obtenidas a través de estos sistemas serán almacenadas por un período limitado, estrictamente necesario para cumplir con las finalidades de seguridad, y serán eliminadas de manera automática o segura una vez cumplido dicho plazo, salvo que deban ser conservadas por más tiempo en caso de incidentes, investigaciones internas o requerimientos de autoridad competente.
El acceso a las grabaciones se encuentra restringido exclusivamente al personal autorizado y a los encargados del tratamiento que prestan servicios de seguridad, quienes deberán actuar bajo estrictas obligaciones de confidencialidad y conforme a las instrucciones del Instituto. Este esquema se enmarca dentro del modelo operativo que contempla la participación de proveedores especializados en seguridad y monitoreo.
El Instituto no utilizará las imágenes obtenidas para finalidades distintas a las informadas, ni realizará tratamientos que impliquen decisiones automatizadas o elaboración de perfiles a partir de las mismas.
- GOBERNANZA Y RESPONSABILIDAD EN PROTECCIÓN DE DATOS PERSONALES
El Instituto Cambridge S.A. adopta un modelo de gobernanza en materia de protección de datos personales basado en el principio de responsabilidad proactiva, que implica no solo el cumplimiento de la normativa aplicable, sino también la capacidad de demostrar dicho cumplimiento mediante la implementación de estructuras organizativas, políticas internas y mecanismos de control.
En este sentido, la gestión de la protección de datos personales se articula a través de una estructura organizacional que involucra a las distintas áreas de la institución, incluyendo las funciones académicas, administrativas, tecnológicas, comerciales y de seguridad, conforme al organigrama institucional .
El Instituto ha designado un Delegado de Protección de Datos Personales (DPO), quien actúa como asesor interno en materia de cumplimiento, supervisa la correcta aplicación de la normativa, coordina la atención de los derechos de los titulares y sirve como punto de contacto con la Autoridad de Protección de Datos Personales.
Adicionalmente, el Instituto podrá conformar un Comité de Protección de Datos Personales, encargado de coordinar la gestión institucional en esta materia, evaluar riesgos, definir estrategias de mitigación y promover la mejora continua de los procesos relacionados con el tratamiento de datos personales.
Las distintas áreas de la organización, en función de sus competencias, son responsables de garantizar que el tratamiento de datos personales bajo su gestión se realice conforme a los principios y obligaciones establecidos en la presente política. Esto incluye la adopción de medidas de seguridad, la correcta gestión de accesos, la identificación de riesgos y la colaboración activa en la gestión de incidentes.
Asimismo, el Instituto implementará mecanismos de control interno, auditoría y revisión periódica de sus prácticas de tratamiento de datos personales, con el objetivo de asegurar su adecuación continua a la normativa vigente y a los estándares de buenas prácticas.
- REVISIÓN, ACTUALIZACIÓN, PUBLICACIÓN Y VIGENCIA
La presente Política de Protección de Datos Personales será objeto de revisión periódica por parte del Instituto Cambridge S.A., con el fin de asegurar su adecuación a cambios normativos, tecnológicos, organizacionales o derivados de la identificación de nuevos riesgos en el tratamiento de datos personales.
Cualquier modificación será debidamente aprobada por la instancia competente dentro de la organización y comunicada a través de los canales institucionales correspondientes.
La política será publicada y puesta a disposición de los titulares de datos personales, colaboradores, proveedores y demás partes interesadas, garantizando su accesibilidad y conocimiento.
La presente política entrará en vigencia a partir de su aprobación formal por parte de la máxima autoridad del Instituto y será de cumplimiento obligatorio para toda la organización.
- CONTACTO DEL RESPONSABLE Y DEL DELEGADO DE PROTECCIÓN DE DATOS PERSONALES
Con el fin de garantizar el principio de transparencia y facilitar el ejercicio de los derechos por parte de los titulares de datos personales, el Instituto Cambridge S.A. pone a disposición los siguientes canales de contacto institucional:
Responsable del tratamiento
Los titulares podrán comunicarse con el Instituto Cambridge S.A. a través de los siguientes medios:
Correo electrónico: ceo@cambridgesol.edu.ec
Teléfono: +593 98-759-9035
Dirección: Jorge Juan N30-130, Quito – Ecuador
Delegado de Protección de Datos Personales (DPO)
El Instituto ha designado como Delegado de Protección de Datos Personales (DPO) a: Alexander Cuenca Espinoza
quien actúa como punto de contacto para la atención de consultas, reclamos y el ejercicio de derechos relacionados con el tratamiento de datos personales, así como para la coordinación con la Autoridad de Protección de Datos Personales.
Correo electrónico de contacto: ace@iurenovum.com
Los titulares de datos personales deberán canalizar el ejercicio de sus derechos, así como cualquier consulta o reclamo relacionado con el tratamiento de sus datos personales, a través del Delegado de Protección de Datos Personales, quien gestionará dichas solicitudes conforme a los procedimientos internos y los plazos establecidos en la normativa vigente.
El Instituto garantizará la adecuada atención de todas las solicitudes presentadas a través del Delegado de Protección de Datos Personales, en cumplimiento de los principios de celeridad, eficacia y transparencia.
DISPOSICIÓN FINAL
El Instituto Cambridge S.A. reafirma su compromiso con la protección de datos personales como un elemento esencial de la confianza institucional, la ética organizacional y el cumplimiento normativo.
En este sentido, la institución adopta un enfoque basado en la responsabilidad proactiva, la gestión de riesgos y la mejora continua, orientado a garantizar la protección efectiva de los derechos de los titulares y a consolidar una cultura organizacional que integre la privacidad y la seguridad de la información como pilares fundamentales de su operación.