Política Interna de Protección de Datos Personales

Aplica a:

• Prospectos e interesados que busquen información para comprar, vender o alquilar un inmueble.
• Clientes de captación (vendedores/arrendadores) que firmen contrato o autorización de gestión.
• Clientes de cierre (compradores/arrendatarios) que firmen contratos, promesas, actas u ofertas.
• Seguidores y usuarios de redes sociales que interactúen con las cuentas oficiales de la Empresa.
• Contactos generales que escriban o llamen con fines informativos o de simple consulta.

Finalidades y base legal aplicable:

• Envío de avisos comerciales, alertas de propiedades y promociones → consentimiento específico, otorgable y revocable de forma independiente a la prestación del servicio inmobiliario.
• Seguimiento de requerimientos inmobiliarios y comunicación operativa → ejecución del contrato (clientes de captación/cierre) o consentimiento (prospectos).

Canales autorizados: llamadas telefónicas, correo electrónico, SMS, WhatsApp, mensajería de redes sociales, dirección física — siempre conforme al canal y finalidad consentidos por el titular.

Aplica a quienes contacten a la Empresa para adquirir/operar una franquicia o convertirse en agente asociado.

Finalidad y base legal: evaluación de perfil comercial, remisión de propuestas, convocatorias a entrevistas o webinars, y seguimiento del proceso de incorporación, con base en el consentimiento otorgado al enviar su postulación o perfil profesional, informado de forma previa sobre el alcance del tratamiento.

Finalidades: fines promocionales, posicionamiento de marca, testimoniales e historial de gestión, seguimiento comercial, evaluación de desempeño y cumplimiento de manuales de franquicia — con base en el contrato de vinculación y, para uso de imagen/testimoniales, consentimiento específico y revocable.

Ex-miembros de la red: la Empresa podrá conservar un registro histórico de gestión y cumplimiento de obligaciones de no-competencia, limitado a:

• La información estrictamente necesaria para fines de auditoría y seguimiento legal.
• El plazo definido en la Sección 7 (no de forma indefinida).
• Uso restringido a las finalidades de control de cumplimiento contractual y obligaciones legales vigentes, no para fines comerciales adicionales sin nuevo consentimiento.

• Empleados: tratamiento basado en la relación laboral (Código de Trabajo) para gestión de talento humano, nómina, evaluación de desempeño, seguridad interna y comunicación institucional.
• Proveedores: tratamiento basado en la relación contractual para gestión de compras, pagos, evaluación de calidad y auditorías, limitado a datos comerciales, financieros y de contacto pertinentes.

La Empresa implementará, como mínimo:

• Privacidad desde el diseño y por defecto en cada nuevo formulario, campaña o sistema.
• Cifrado de datos sensibles y credenciales de acceso.
• Control de acceso basado en roles, limitando el acceso a cada categoría de datos al personal autorizado.
• Copias de seguridad (backups) periódicas y seguras (si llegaremos a tener).
• Análisis de riesgos y, cuando el tratamiento implique alto riesgo (datos sensibles a gran escala, scoring), una Evaluación de Impacto en la Protección de Datos (EIPD).
• Registro de Actividades de Tratamiento (RAT) actualizado.
• Evaluación de la necesidad de designar un Delegado de Protección de Datos (DPD), conforme al volumen y sensibilidad de los datos tratados.

Ante cualquier incidente que comprometa la confidencialidad, integridad o disponibilidad de los datos personales, la Empresa deberá:

• Notificar a la Superintendencia de Protección de Datos Personales (SPDP) dentro de los plazos establecidos por la normativa vigente.
• Notificar a los titulares afectados cuando la brecha implique un riesgo alto para sus derechos (p. ej. exposición de datos financieros, identificatorios o sensibles).
• Documentar internamente: naturaleza de la brecha, datos afectados, medidas correctivas adoptadas y acciones para prevenir recurrencia.

Cuando la transferencia se realice a destinatarios ubicados fuera de Ecuador (incluyendo oficinas de la red RE/MAX internacional, proveedores de CRM o servicios en la nube), la Empresa deberá:

• Verificar que el país de destino cuente con un nivel adecuado de protección reconocido por la Autoridad de Protección de Datos, o
• Implementar garantías adecuadas: cláusulas contractuales tipo, normas corporativas vinculantes (en el caso de transferencias intra-red de franquicias), o consentimiento explícito del titular informado sobre los riesgos específicos de la transferencia.

La red RE/MAX en Ecuador opera bajo un modelo de franquicia. Cada oficina RE/MAX es de propiedad y administración independiente («Each Office Independently Owned and Operated»): constituye una persona natural o jurídica autónoma, con su propio Registro Único de Contribuyentes, representación legal, personal, infraestructura tecnológica, políticas internas, cartera de clientes y decisiones comerciales.

En consecuencia, y para todos los efectos de la LOPDP:

• Las oficinas franquiciadas no son sucursales, agencias, establecimientos ni dependencias de INMOBILMESA S.A.
• Los agentes asociados, brokers y staff vinculados a cada oficina no mantienen relación laboral ni de dependencia con la Empresa, sino con la oficina franquiciada correspondiente o de forma autónoma según su contrato.
• La licencia de uso de la marca RE/MAX y el cumplimiento de los manuales de franquicia no confieren a la Empresa el control efectivo sobre las bases de datos, sistemas ni operaciones de tratamiento de cada oficina.

• La oficina franquiciada actúa como responsable del tratamiento autónomo e independiente respecto de los datos personales de clientes, prospectos, agentes asociados, staff, proveedores y terceros que recolecta, almacena, usa, comparte o de cualquier forma trata en el desarrollo de su propia operación, por cuanto determina de manera independiente las finalidades y los medios de dicho tratamiento.
• La Empresa actúa como responsable del tratamiento únicamente respecto de los datos que ella misma recolecta y trata directamente: canales corporativos oficiales, sitio web y plataformas digitales de su titularidad, redes sociales oficiales, procesos de reclutamiento propio, procesos de otorgamiento y administración de franquicias, y la relación contractual con franquiciados, agentes y proveedores propios.
• Cuando la Empresa ponga a disposición de las oficinas herramientas tecnológicas centralizadas (CRM, plataformas de listados, sistemas de marketing u otras), lo hará en calidad de encargada del tratamiento por cuenta de la oficina —limitándose a las instrucciones documentadas de esta— o bajo un acuerdo de corresponsabilidad con reparto expreso de obligaciones, según lo determine el instrumento contractual aplicable. Fuera de ese alcance documentado, la Empresa no accede ni dispone de las bases de datos propias de cada oficina.

RE/MAX Ecuador (INMOBILMESA S.A.) no se responsabiliza por el uso, almacenamiento, tratamiento, cesión, transferencia, comercialización, pérdida, alteración o divulgación de datos personales de clientes, prospectos, agentes asociados, staff o terceros que realicen las oficinas franquiciadas, sus propietarios, administradores, agentes, empleados o colaboradores, por hechos que se produzcan fuera del ámbito de control y de las instrucciones documentadas de la Empresa.

Cada oficina franquiciada responde de forma directa y exclusiva, frente a los titulares de los datos y frente a la Superintendencia de Protección de Datos Personales, por:

• El cumplimiento de la LOPDP y su Reglamento en su propia operación.
• La obtención, registro y conservación de la prueba de los consentimientos que recabe.
• La atención de las solicitudes de derechos de los titulares sobre las bases de datos que administra.
• Las medidas técnicas y organizativas de seguridad que implemente, y la gestión y notificación de las brechas de seguridad que ocurran en sus sistemas.
• La contratación y supervisión de los encargados del tratamiento y terceros con los que comparta datos por cuenta propia.
• Las sanciones, multas, indemnizaciones o reclamos derivados de sus propios incumplimientos.

Como condición del contrato de franquicia y de los manuales de la red, cada oficina deberá:

• Contar con su propia política de protección de datos y sus avisos de privacidad, e informar a los titulares que actúa como responsable independiente del tratamiento.
• Mantener su propio Registro de Actividades de Tratamiento (RAT) y designar un responsable interno de protección de datos.
• Atender directamente las solicitudes de derechos de los titulares que administra, en los plazos legales.
• Notificar a la Empresa, sin demora indebida, toda brecha de seguridad que involucre datos vinculados a la marca o a herramientas provistas por la red, sin perjuicio de su obligación propia de notificar a la SPDP y a los titulares afectados.
• Abstenerse de usar la marca RE/MAX para respaldar o legitimar tratamientos de datos no autorizados por el titular o contrarios a la ley.
• Mantener indemne a la Empresa frente a reclamos, sanciones, multas, costas y perjuicios que se le impongan o reclamen como consecuencia de incumplimientos imputables a la oficina.

La verificación del cumplimiento de los manuales de franquicia —incluidas auditorías, requerimientos, capacitaciones o lineamientos que la Empresa emita en materia de protección de datos— se realiza en interés del cumplimiento contractual y de la protección de la marca. Dicha supervisión no implica que la Empresa asuma la calidad de responsable del tratamiento sobre las bases de datos propias de cada oficina, ni que ejerza control efectivo sobre las finalidades y medios definidos por esta.

Esta delimitación se fundamenta en la asignación real de roles descrita en las secciones 12.1 y 12.2. La Empresa reconoce que el deslinde no resulta aplicable respecto de aquellos tratamientos en los que ella misma determine efectivamente las finalidades y los medios, ni la exime de sus obligaciones propias como responsable o encargada según corresponda. Conforme al principio de aplicación favorable al titular (Sección 2), ninguna disposición de esta sección podrá interpretarse en el sentido de privar a un titular de sus derechos o de dejarlo sin un interlocutor identificable.

Cuando una persona se dirija a la Empresa, en su condición de matriz regional, para ejercer derechos sobre sus propios datos personales —saber si sus datos se encuentran almacenados, acceder a ellos u obtener copia, rectificarlos o actualizarlos, solicitar su eliminación, oponerse al tratamiento, solicitar su portabilidad o revocar un consentimiento— y dichos datos correspondan a la operación de una oficina franquiciada, se aplicará el siguiente procedimiento:

• Identificación de la oficina responsable. La Empresa determinará, con la información aportada por el solicitante, cuál es la oficina franquiciada a la que corresponde la solicitud.
• Remisión. La Empresa remitirá la solicitud y los datos de contacto del titular a dicha oficina, sin dilación indebida y en un plazo máximo de tres (3) días hábiles contados desde su recepción, a fin de que esta disponga del tiempo legal íntegro para atenderla.
• Atención por la oficina. La oficina franquiciada, en su calidad de responsable del tratamiento independiente, asume íntegramente la atención de la solicitud: verificar la identidad del titular, buscar en sus propias bases de datos, responder directamente al solicitante dentro de los plazos legales, ejecutar la eliminación, rectificación o medida que corresponda, y conservar la prueba de su respuesta.
• No intervención de la Empresa. La Empresa no accede ni consulta las bases de datos de la oficina, no confirma ni niega si esta posee datos del solicitante y no se pronuncia sobre el fondo de la solicitud.
• Ausencia de comunicación con el solicitante. La Empresa no se comunica con la persona que presentó la solicitud por ningún motivo: no emite acuse de recibo, no le informa que su solicitud fue derivada, no le indica a qué oficina fue remitida ni mantiene con ella ningún tipo de interacción, anterior o posterior a la remisión. La totalidad de la comunicación con el titular corresponde exclusivamente a la oficina franquiciada responsable, quien deberá contactarlo y responderle directamente dentro de los plazos legales.
• Trazabilidad. La Empresa conservará el registro de la solicitud recibida y de su remisión —fecha, oficina destinataria y datos mínimos del solicitante— por un plazo máximo de 12 meses, con la exclusiva finalidad de acreditar el cumplimiento de este procedimiento. Estos datos no se incorporan a las bases comerciales ni de marketing de la Empresa ni se utilizan para ninguna otra finalidad.

La remisión regulada en esta sección tiene por único objeto encauzar la solicitud hacia el responsable que efectivamente administra los datos, y no implica asunción de responsabilidad alguna por parte de la Empresa sobre el tratamiento consultado ni sobre la respuesta que emita la oficina.

Cuando la solicitud recaiga sobre datos que la Empresa trata directamente conforme a la Sección 12.2, esta la atenderá por sí misma con arreglo a la Sección 8.