Política Integral de Videovigilancia y Seguridad Física

Grupo Empresarial Orocash

I. Objeto y alcance

La presente Política de Videovigilancia establece las directrices jurídicas, técnicas, físicas y organizativas que regulan la captación, grabación, transmisión, almacenamiento, consulta y destrucción de imágenes, video y datos biométricos captados por los sistemas de Circuito Cerrado de Televisión (CCTV) instalados en la red nacional de agencias, joyerías, bóvedas, centros de acopio y oficinas administrativas del Grupo Empresarial Orocash.

Esta política es de cumplimiento obligatorio para todas las agencias operadas por las sociedades del holding, sus trabajadores, proveedores de servicios, visitantes y clientes que ingresen a las instalaciones físicas del grupo a nivel nacional.

II. Arquitectura corporativa y delimitación de roles

De conformidad con los Arts. 31 y 32 de la LOPDP y Arts. 40 y 41 del RLOPDP, los roles del tratamiento de videovigilancia se estructuran de la siguiente forma:

1. Responsables del Tratamiento (Co-responsables por ámbito territorial y de agencia):

• METALSUD S.A. (RUC: 0992738456-001)
• AURUM-ECUADOR AUREC S.A. (RUC: 0891792612-001)
• SOCMETASA S.A. (RUC: 0992818050-001)
• UNICASH S.A. (RUC: 0992892528-001)
• COMMERCORPLUS S.A. (RUC: 0993233943-001)
• METALTEXCORPSA S.A. (RUC: 0992877367-001)

Cada una de las 7 compañías anteriores ostenta la calidad de Responsable del Tratamiento respecto de las cámaras físicamente instaladas en las agencias bajo su operación comercial.

Encargado del Tratamiento — Operación y Monitoreo de Seguridad:

MONITORSEG CIA LTDA.: empresa especializada y contratada para la prestación del servicio de monitoreo remoto, gestión de alarmas y patrullaje de video. Actúa bajo instrucciones documentadas del Responsable y sujeto a las restricciones de la Resolución No. SPDP-SPD-2026-0009-R (delimitación de visibilidad y control efectivo).

Encargado del Tratamiento — Plataforma Tecnológica e Infraestructura:

SIAPE S.A.: empresa de servicios compartidos del holding que administra la infraestructura de red, servidores centralizados, almacenamiento de respaldo e interconexión del sistema contable y de seguridad.

III. Base de legitimación y test de triple juicio (interés legítimo)

El tratamiento de datos personales mediante videovigilancia NO se fundamenta en el consentimiento del titular (dado que el tránsito en un establecimiento comercial de alto riesgo no permite una manifestación de voluntad libre e inequívoca), sino en el interés legítimo del Responsable del Tratamiento (Art. 7 num. 8 de la LOPDP), respaldado por el cumplimiento del Test de Triple Juicio expedido bajo la Resolución No. SPDP-SPD-2026-0012-R (EIPD V.2):

• Juicio de Idoneidad: la captación de imágenes es idónea y apta para disuadir la comisión de delitos (robos, hurtos, extorsiones), garantizar la seguridad física de los clientes, colaboradores y custodiar bienes de gran valor comercial (oro, joyas y dinero en efectivo derivados de la compraventa con pacto de retroventa).
• Juicio de Necesidad: no existen medios alternativos menos intrusivos que permitan la supervisión continua y en tiempo real de zonas de alto riesgo de seguridad en establecimientos de comercio de metales preciosos.
• Juicio de Proporcionalidad: la medida se limita estrictamente a las zonas de atención al público, cajas, vitrinas, accesos y bóvedas, excluyendo totalmente zonas donde exista una expectativa razonable de privacidad.

IV. Categorías de datos y principio de minimización

Datos captados:

• Imagen en movimiento y fotogramas estáticos de las personas naturales.
• Rasgos de identificación física y patrones comportamentales en el establecimiento.
• Placas de vehículos en áreas de parqueo o accesos vehiculares.
• Eventual captura de voz en mostradores de tasación únicamente cuando la evaluación de riesgo de la agencia exija registro analógico por razones de prevención de fraudes.

Prohibición absoluta de captación (zonas excluidas):

Queda estrictamente prohibida la instalación de cámaras de videovigilancia en baños, vestidores, servicios higiénicos, áreas de descanso del personal y oficinas donde se realicen actividades de representación sindical o médica, garantizando la dignidad y el derecho a la intimidad (Art. 66 num. 19 CRE y Art. 10 LOPDP).

V. Obligaciones de los encargados (MonitorSeg Cía. Ltda. y Siape S.A.)

De conformidad con la Resolución No. SPDP-SPD-2026-0009-R y el Art. 41 del RLOPDP, los Encargados deberán obligatoriamente:

• Tratar las imágenes de video únicamente para la finalidad de seguridad y bajo las instrucciones estrictas del Grupo Orocash.
• Prohibir expresamente la extracción, copia, reproducción, difusión o uso de fragmentos de video para fines propios, publicitarios o de entrenamiento de algoritmos de Inteligencia Artificial sin autorización previa.
• Garantizar el secreto profesional y firmar acuerdos individuales de confidencialidad con todo el personal técnico y operadores del Centro de Control de Monitoreo (SOC).
• Notificar al Responsable del Tratamiento y al DPD, en un plazo máximo de 24 horas, cualquier incidente de seguridad, intento de acceso no autorizado o brecha que afecte los servidores o DVRs de videovigilancia (Art. 27 RLOPDP).

VI. Plazo de conservación y eliminación segura

Tiempo de retención: las grabaciones de videovigilancia se conservarán por un plazo estándar y estricto de treinta (30) días calendario a partir de su captación (Art. 10 lit. i LOPDP y Art. 8 RLOPDP).

Destrucción automatizada: cumplido el plazo de 30 días, el sistema configurado por Siape S.A. ejecuta un proceso de sobrescritura automática y continua del almacenamiento de los DVRs/NVRs.

Excepción por custodia legal: cuando las imágenes sean requeridas por la Fiscalía General del Estado, la Policía Nacional u órganos judiciales mediante requerimiento motivado, o sean necesarias para el sustento de un proceso penal o reclamo de seguro por siniestro, los fragmentos pertinentes serán extraídos, bloqueados y conservados en una base de datos aislada con cifrado fuerte hasta la finalización del procedimiento (Art. 9 RLOPDP).

VII. Medidas de seguridad técnicas, organizativas y físicas (ISO 27001 / ISO 27701)

Siape S.A. y MonitorSeg Cía. Ltda. implementarán los siguientes controles de seguridad conforme al Anexo A.5.34 de ISO/IEC 27001:2022 y la Guía DevPrivOps (Res. SPDP-SPD-2025-0040-R):

• Seguridad física (ISO 27001 Control A.7): los DVRs, NVRs y switches de red de CCTV estarán custodiados bajo llave en gabinetes/racks ignífugos en salas de telecomunicaciones de acceso restringido con cerraduras biométricas o tarjetas RFID.
• Control de accesos lógicos (RBAC): acceso restringido bajo el principio de "mínimo privilegio". Únicamente los operadores autorizados de MonitorSeg Cía. Ltda. y el personal de seguridad de Siape S.A. tendrán credenciales nominales y con autenticación multifactor (MFA).
• Cifrado de datos (ISO 27001 Control A.8.24): toda transmisión de video a través de redes públicas o VPNs entre las agencias y el SOC de MonitorSeg Cía. Ltda. estará cifrada bajo protocolo TLS 1.3. El almacenamiento local o respaldos en nube contarán con cifrado AES-256 bits.
• Resiliencia y continuidad (ISO 22301): se definen métricas de recuperación ante fallos de hardware o cortes de energía en agencias:
  • RTO (Recovery Time Objective): recuperación de la transmisión de monitoreo en un tiempo menor a 4 horas.
  • RPO (Recovery Point Objective): tolerancia máxima de pérdida de video de 15 minutos en almacenamiento local mediante sistemas UPS.

VIII. Derechos ARCO-POL (acceso y supresión de imágenes)

Los titulares de los datos (clientes, colaboradores o visitantes) podrán ejercer sus derechos de Acceso y Supresión sobre las grabaciones en las que aparezcan de forma identificable:

• Canal de recepción: la solicitud puede presentarse en la ventanilla de cualquier agencia de la red Orocash a nivel nacional o mediante correo electrónico dirigido al Delegado de Protección de Datos (DPD): protecciondedatos@orocash.ec.
• Requisitos de validación de identidad (Art. 13 RLOPDP): para evitar la entrega arbitraria de imágenes de terceros (protección de la intimidad ajena), el solicitante deberá aportar su cédula de identidad, indicar la fecha, hora aproximada y agencia específica donde estuvo presente, y una fotografía reciente para el cotejo de imagen.
• Plazo de respuesta: el Responsable atenderá la solicitud en un plazo máximo de quince (15) días hábiles (Art. 42 RLOPDP).
• Protección de terceros: si el video contiene imágenes de otros titulares, Siape S.A. o MonitorSeg Cía. Ltda. aplicarán técnicas de anonimización o difuminado de rostros (pixelado/blurring) previo a cualquier acceso o entrega del material.

IX. Aviso de privacidad multicapa (capa 1 y capa 2)

En cumplimiento de la Resolución SPDP-SPD-2025-0040-R:

• Capa 1 (Cartel Físico): ubicado en el acceso exterior e interior de todas las agencias Orocash, conteniendo la advertencia de videovigilancia, la base legal (interés legítimo), la identificación de la sociedad del grupo operadora, el Encargado MonitorSeg Cía. Ltda., el contacto del DPD y un código QR.
• Capa 2 (Política Completa): la presente política íntegra está disponible escaneando el código QR de los carteles de las agencias y en la dirección web https://orocash.ec/politica-videovigilancia.

X. Gobernanza, DPD e independencia técnica

De conformidad con la Resolución No. SPDP-SPD-2025-0028-R y el Oficio Circular N.° SPDP-SPDP-2024-005-OC:

La supervisión y auditoría continua del cumplimiento de esta política está a cargo de Bernardo de Jesús Cortes Serrato, en su calidad de Delegado de Protección de Datos (DPD) del Grupo Empresarial Orocash y Siape S.A., formalmente registrado ante la plataforma oficial de la Superintendencia de Protección de Datos Personales (SPDP).

El DPD actuará con total independencia funcional y técnica, estando facultado para instruir la suspensión inmediata de cualquier cámara o tratamiento de video que vulnere los principios de proporcionalidad o genere un riesgo inaceptable para los derechos de los titulares.

Aprobado DPD.
Abg. Bernardo Cortes Serrato.