1. Introducción
La empresa Concesionaria Vial del Sol S.A. (COVISOL), identificada con RUC N° 20522547957, suscribió el 25 de agosto de 2009 con el Estado peruano, representado por el Ministerio de Transportes y Comunicaciones (MTC o Concedente), el Contrato de Concesión, que comprende el tramo de la Panamericana Norte desde la ciudad de Trujillo hasta la ciudad de Sullana (Autopista del Sol), para construir nuevas obras de segunda calzada y otras complementarias en los tramos entre Trujillo-Chiclayo y Piura-Sullana, operar y mantener la infraestructura vial de la Autopista del Sol y brindar servicios de auxilio a los usuarios, por un plazo no menor a 25 años.

COVISOL respeta la legislación peruana en materia de protección de datos personales, esto es, la Ley N° 29733, Ley de Protección de Datos Personales (en adelante, la Ley), en la que, entre otros, se obliga principalmente a: la recopilación y el uso de la información personal; velar por la calidad y la seguridad de la información; y, respetar los derechos de las personas con respecto a la información sobre sí mismos.

En tal sentido, COVISOL se encuentra comprometida con la protección, el manejo y tratamiento adecuado de los datos personales a los cuales tiene acceso en el desarrollo de sus actividades, lo cual incluye la revisión y la mejora continua de los procesos de la organización a fin de procurar la mayor protección de dichos datos personales.

2. Objetivo
La Política de Protección de Datos Personales (en adelante, la Política) tiene como objeto establecer los principios, las responsabilidades, los lineamientos y los procedimientos relevantes con la finalidad de cumplir con el tratamiento de datos personales a los que tiene acceso como parte de sus actividades.

3. Alcances
La presente Política describe las condiciones bajo las cuales COVISOL realizará el tratamiento de datos personales que recopile, obtenga y/o le sean proporcionados por un titular de datos personales o cualquier tercero.

4. Definiciones
Las definiciones vinculadas a la protección de datos personales han sido tomadas de la Ley y el Reglamento respectivo, siendo complementadas con otros términos, para el objeto de la presente Política, como se establecen a continuación:

• Autopista del Sol: es el Tramo Trujillo-Sullana de la Panamericana Norte.
• Autoridad Nacional de Protección de Datos Personales: es el Ministerio de Justicia, a través de la Dirección Nacional de Justicia (APDP).
• Banco de Datos Personales: es el conjunto organizado de datos personales, automatizado o no, independientemente del soporte, sea este físico, magnético, digital, óptico u otros que se creen, cualquier fuere la forma o modalidad de su creación, formación, almacenamiento, organización y acceso.
• Concedente: es el Ministerio de Transportes y Comunicaciones (MTC).
• Concesión: es el proyecto de la Autopista del Sol de acuerdo a lo establecido en el Contrato de Concesión.
• Concesionario: es la Concesionaria Vial del Sol S.A.
• Consentimiento: es la autorización previa, libre, inequívoca y expresa que debe otorgar el individuo para autorizar el tratamiento de sus datos personales.
• Datos Personales: es toda información que identifica a una persona natural o la puede identificar a través de medios razonablemente utilizados.
• Datos Sensibles: son los datos personales referidos a las características físicas, morales o emocionales, hechos o circunstancias de su vida afectiva o familiar, hábitos personales de la esfera más íntima, información relativa a la salud física o mental, datos biométricos que por sí mismos pueden identificar al titular, datos referidos al origen racial o étnico, ingresos económicos, opiniones o convicciones políticas, religiosas, filosóficas o morales, afiliación sindical, información relacionada a la salud o a la vida sexual u otras que afecten la intimidad de la persona natural.
• Encargado de Tratamiento de Datos Personales: es el personal de COVISOL responsable del tratamiento de los datos personales, así como del registro y control de los bancos de datos personales.
• Procedimiento de Anonimización: es el tratamiento de datos personales que impide la identificación o que no hace identificable al titular de estos. El procedimiento es irreversible.
• Procedimiento de Disociación: es el tratamiento de datos personales que impide la identificación o que no hace identificable al titular de estos. El procedimiento es irreversible.
• Transferencia de Datos Personales: es toda transmisión, suministro o manifestación de Datos Personales, de carácter nacional o internacional, a una persona jurídica de derecho privado, a una entidad pública o a una persona natural distinta del Titular de Datos Personales. No se considera transferencia o por difusión o cualquier otra forma de procesamiento que facilite el acceso, correlación o interconexión de datos personales.
• Tratamiento de Datos Personales: es cualquier operación o procedimiento técnico, automatizado o no, que permite la recopilación, registro, organización, almacenamiento, conservación, elaboración, modificación, extracción, consulta, utilización, bloqueo, supresión, comunicación por transferencia o por difusión o cualquier otra forma de procesamiento que facilite el acceso, correlación o interconexión de los datos personales.
• Titular de Datos Personales: es la persona natural a quien corresponde los datos personales.
• Titular de Banco de Datos Personales: es COVISOL, que determina la finalidad y el contenido del banco de datos personales, el tratamiento de estos y las medidas de seguridad.
• Usuario: es la persona natural que puede o hace uso de los servicios que ofrece COVISOL por cualquiera de sus medios o actividades.

5. Principios
Los siguientes principios regulan la presente Política:

• Principio de Legalidad: El tratamiento de datos personales se hace conforme a lo establecido en la Ley. Se prohíbe la recopilación de datos personales por medios fraudulentos, desleales o ilícitos.
• Principio de Consentimiento: La recopilación y el tratamiento de datos personales se efectúa con el previo consentimiento de su titular.
• Principio de Finalidad: La recopilación y el tratamiento de datos personales se realiza con una finalidad determinada, explícita y lícita, pudiendo emplearse para análisis estadístico cuando se utilice un procedimiento de disociación o anonimato.
• Principio de Proporcionalidad: Todo tratamiento de datos personales debe ser adecuado, relevante y no excesivo a la finalidad para la que estos hubiesen sido recopilados.
• Principio de Calidad: Los datos personales contenidos en un banco de datos se ajustan con precisión a la realidad. Se presume que los datos directamente facilitados por el Titular de los mismos son exactos.
• Principio de Seguridad: En el tratamiento de datos personales se adoptan las medidas de seguridad que resulten necesarios a fin de evitar cualquier uso o destino indebido.
• Principio de Disposición de Recurso: Todo titular de datos personales debe contar con las vías administrativas o jurisdiccionales necesarias para reclamar y hacer valer sus derechos, cuando estos sean vulnerados por el tratamiento de sus datos personales.
• Principio de Nivel de Protección Adecuado: Para el flujo transfronterizo de datos personales, se debe garantizar un nivel suficiente de protección de datos personales que se vayan a tratar o, por lo menos, equiparable a lo previsto por las normas legales o estándares internacionales correspondientes.

6. Confidencialidad
Los datos personales a los que cualquier colaborador, tercero o intermediario que represente o actúe en nombre de COVISOL tenga acceso o participe de su tratamiento no podrán ser utilizados de manera alguna sin el previo consentimiento del Encargado de Tratamiento de Datos Personales o, de ser necesario, del titular de los datos personales, aún luego de la terminación de su relación con COVISOL, salvo las excepciones establecidas por la Ley.

Los colaboradores que intervengan en el tratamiento de datos personales están obligados a mantener la confidencialidad de dicha información y a guardar el secreto profesional, aún luego de la terminación de su relación con COVISOL salvo las excepciones establecidas por la Ley.

7. Recopilación de Datos Personales
COVISOL puede recopilar datos personales en la ejecución de sus actividades y la prestación de sus servicios. La recopilación de datos personales puede ser a través de su proporción por el mismo titular de datos personales; de diversos medios o formas dispuestos por COVISOL; o, por fuentes de acceso público o terceros.

8. Consentimiento de Titular de Datos Personales
COVISOL puede recopilar datos personales en la ejecución de sus actividades y la prestación de sus servicios. La recopilación de datos personales puede ser a través de su proporción por el mismo titular de datos personales; de diversos medios o formas dispuestos por COVISOL; o, por fuentes de acceso público o terceros.

En caso el titular de datos personales realice cualquiera de las acciones descritas en la presente Política, se entenderá que ha otorgado a COVISOL su consentimiento libre, previo, informado, expreso e inequívoco a fin de recopilar y/o tratar sus datos personales solicitados y/o proporcionados.

9. Excepciones al Consentimiento de Titular de Datos Personales
De acuerdo con el artículo 14° de la Ley de Protección de Datos Personales, no se necesita obtener el consentimiento del titular de datos personales cuando se realice el tratamiento en los siguientes supuestos:

• Cuando los datos personales se recopilen o transfieran para el ejercicio de las funciones de las entidades públicas en el ámbito de sus competencias.
• Cuando sean datos personales contenidos o destinados a ser contenidos en fuentes accesibles al público (RENIEC, SUNAT, SBS, JNE, SUNARP, ESSALUD, Páginas Blancos, Colegios Profesionales, INFOCORP, Centrales de Riesgos, etc.).
• Cuando sean datos personales sobre la solvencia patrimonial y de crédito, conforme a lo establecido en la ley.
• Cuando medie norma para la producción de la competencia en los mercados regulados, emitida en ejercicio de la función normativa para los organismos reguladores a que se refiere la Ley N° 27332 – Ley Marco de los Organismos Reguladores de la Inversión Privada en los Servicios Públicos, o que la haga sus veces, siempre que la información brindada sea utilizada en perjuicio de la privacidad del usuario.
• Cuando los datos personales sean necesarios para ejecutar una relación contractual en la que el titular de datos personales sea parte o cuando se trate de datos personales que deriven de una relación científica o profesional del titular y sean necesarios para su desarrollo o cumplimiento.
• Cuando se realice el tratamiento de los datos personales relativos a la salud y sea necesario, en circunstancia de riesgo, para la prevención, diagnóstico y tratamiento médico o quirúrgico del titular, siempre que dicho tratamiento sea realizado en establecimientos de salud o por profesionales en ciencias de la salud, observando el secreto profesional; o cuando medien razones de interés público previstas por ley o cuando deban tratarse por razones de salud pública, ambas razones deben ser calificadas como tales por el Ministerio de Salud; o para la realización de estudios epidemiológicos o análogos, en tanto se apliquen procedimientos de disociación adecuados.
• Cuando el tratamiento sea efectuado por organismos sin fines de lucro cuya finalidad sea política, religiosa o sindical y se refiera a los datos personales recopilados de sus respectivos miembros, los que deben guardar relación con el propósito a que se circunscriben sus actividades, no pudiendo ser transferidos sin consentimiento de aquellos.
• Cuando se hubiera aplicado un procedimiento de anonimización o disociación.
• Cuando el tratamiento sea necesario para salvaguardar intereses legítimos del titular de datos personales.
• Cuando el tratamiento o transferencia sea un cumplimiento de una norma nacional o internacional (por ejemplo, entrega de información de la UIF por las normas de prevención de lavado de activos y financiamiento del terrorismo, al MINTRA por las normas de seguridad y salud en el trabajo, a la SUNAT o a la IRS de Estados Unidos por las normas FATCA, etc.).
• Otros establecidos por ley de conformidad con la Ley de Protección de Datos Personales.

10. Uso de Datos Personales
COVISOL podrá recopilar y tratar datos personales en el marco de sus actividades establecidas en el Contrato de Concesión, su objeto social y las normas legales o regulatorias que correspondan. En tal sentido, los datos personales con los que se pudiera disponer podrían tener los siguientes fines:

• Identificación de usuarios o personas en general que interactúen con COVISOL a través de los distintos medios o canales dispuestos.
• Prestación de servicios obligatorios u opcionales a los usuarios de la infraestructura vial, así como atención de reclamos.
• Mejora de la calidad en la prestación de servicios o procesamiento de requerimientos de los usuarios o la población.
• Realización de análisis estadísticos, comerciales o de mercado.
• Cumplimiento de presentación de información o reportes a autoridades públicas, incluyendo a las fiscales y judiciales, o tribunales arbitrales.
• Envío de notificaciones, comunicaciones o correspondencias vinculadas a los servicios y, en general, las actividades del Concesionario.

11. Transferencia de Datos Personales
Los datos personales que sean tratados por COVISOL solo podrán ser cedidos o transferidos a terceros para el cumplimiento de los fines relacionados con el interés legítimo del cedente y del cesionario y con el consentimiento previo, expreso, libre, inequívoco e informado del titular de los datos personales. Dicho consentimiento no será requerido en los supuestos permitidos por la Ley.

12. Divulgación de Datos Personales
COVISOL no divulgará datos personales a terceros salvo cuando:

• Sea necesaria para la finalidad que fueron recopilados.
• Se le informe a su titular antes de la divulgación o al momento de la recopilación de los mismos.
• Su titular preste su consentimiento previo y expreso.
• El consentimiento no sea exigido por la Ley.
• Sean requeridos por autoridades públicas en el ámbito de sus competencias y atribuciones legales.
• Sean necesarios para satisfacer legítimos requerimientos de alguna organización interesada en adquirir servicios permitidos de COVISOL o proveer bienes o servicios a ésta, previo consentimiento de su titular.
• El acceso a los mismos sea por parte de auditores y abogados y demás profesionales obligados a guardar el secreto profesional.

13. Registro de Bancos de Datos
COVISOL registra los bancos de datos personales en el Registro Nacional de Datos Personales, administrado por la Autoridad Nacional de Registro de Banco de Datos (ADPDP) del Ministerio de Justicia conforme a las normas legales correspondientes.

14. Relaciones con Terceros
En las relaciones con terceros, sean socios comerciales, clientes o proveedores, COVISOL contempla el establecimiento no solo de la confidencialidad sino además de la protección de datos personales.

15. Atención de Derechos Protegidos
COVISOL debe garantizar la atención de los derechos protegidos que pueda ejercer el titular de datos personales. Los derechos que puede ejercer el titular de los datos personales son:

En caso el titular de datos personales desee conocer más de estos derechos o hacer uso de los mismos, puede comunicarse con el Encargado de Tratamiento de Datos Personales de COVISOL, para lo cual deberá escribir un correo electrónico a la siguiente dirección: encargadodatos@covisol.com.pe. Si el titular de datos personales requiere hacer uso de estos derechos deberá: (i) presentar una solicitud debidamente completada y firmada conforme al formato que haya establecido COVISOL; (ii) adjuntar copia simple y legible de su documento de identidad; (iii) adjuntar copia simple y legible de vigencia de poder, no mayor a 1 mes, en caso de representación; (iv) otros que sean necesarios agregar mayor información según lo especifique COVISOL.

16. Eliminación de Datos Personales
Una vez finalizado el tratamiento de los datos personales y se haya cumplido con su finalidad, y siempre que no exista mandato legal o razón que justifique su conservación, COVISOL procederá a eliminarlos de sus registros.

Alternativamente, COVISOL podrá aplicar procesos de disociación, anonimato o equivalentes cuando por alguna razón contractual, comercial, estadística o de análisis de mercado justifiquen la conveniencia de conservar tales datos.

17. Seguridad de Bancos de Datos
COVISOL implementa medidas de seguridad correspondientes de acuerdo con el tipo de banco de datos que soporte los datos personales, en cuanto a su acceso, almacenamiento, tratamiento, transferencia o traslado.