SSBCC México, S.R.L. de C.V. («CONFIE») establece la presente Política Interna de Privacidad para garantizar un tratamiento responsable, legal y proporcional de los datos personales que tiene bajo resguardo, conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y su Reglamento.

1. Alcance y objetivos

La presente Política Interna de Privacidad establece los principios y responsabilidades que deben observar todas las personas colaboradoras, directivos, contratistas, proveedores, personal operativo en campo y cualquier tercero que trate datos personales por cuenta de CONFIE, en cumplimiento de la normatividad aplicable.

Esta Política aplica al tratamiento de datos personales en cualquier formato (físico y/o electrónico) y en cualquier entorno operativo, incluyendo de manera enunciativa más no limitativa: oficinas corporativas, equipo en campo, comercialización, administración, finanzas y servicios al cliente.

2. Definiciones

Cláusulas Modelo: cláusulas contractuales en las que se establezcan los deberes y obligaciones de los terceros a los que CONFIE les transfiera datos personales por cualquier título o a través de las cuales CONFIE reciba datos personales por parte de terceros.

Datos Bancarios y Financieros: Son datos personales vinculados con información patrimonial, títulos de propiedad, operaciones económicas, pagos, facturación, administración de cuentas, así como con el registro de movimientos derivados de la relación comercial o contractual. Se utilizan para acreditar propiedad, procesar transacciones, cumplir requisitos contables o fiscales y ofrecer servicios relacionados con el objeto social de CONFIE. A continuación, se incluyen algunos ejemplos:

• Datos bancarios
• Información de facturación
• Historial de pagos y/o cobros
• Información transaccional

Datos de Identificación: Son aquellos datos personales que permiten distinguir o identificar a una persona física de manera individual dentro de un grupo. Incluyen, entre otros:

• Nombre completo
• Fecha de nacimiento
• Clave Única de Registro de Población (CURP)
• Registro Federal de Contribuyentes (RFC)
• Identificación Oficial
• Firma autógrafa o firma digital
• Datos de acreditación como empleado
• Identificadores asignados por el responsable para gestión interna (ID de cliente, ID de usuario de sistemas)

Datos Laborales: Son aquellos datos personales relacionados con la gestión de la relación de trabajo, desde el proceso de reclutamiento hasta la terminación laboral. Permiten evaluar, administrar y documentar la vinculación entre la persona y CONFIE, así como cumplir obligaciones legales en materia laboral, fiscal, de seguridad social y demás aplicables. Incluye, de manera enunciativa, más no limitativa:

• Información curricular
• Antecedentes académicos
• Expediente laboral
• Información administrativa (vacaciones, inasistencias, datos de seguridad social, aportaciones)

Datos Personales: Cualquier información que se refiera a una persona física identificada o identificable.

Encargados: Cualquier tercero que trate datos personales en nombre y en representación de CONFIE (proveedores, empresas afiliadas y/o prestadores de servicios).

Tratamiento: Se entiende por tratamiento de datos personales cualquier actividad, operación o conjunto de operaciones realizadas sobre datos personales, ya sea por medios manuales o automatizados, con o sin el uso de tecnologías de información. Por ejemplo: obtención, uso, transferencia, registro, organización, almacenamiento, acceso, consulta, eliminación.

3. Principios rectores del tratamiento de los datos personales

En CONFIE todo tratamiento de datos personales debe observar los siguientes principios:

• Calidad: los Datos Personales que se mantengan bajo resguardo deberán ser exactos, completos, pertinentes y actualizados.
• Confidencialidad: cualquier persona que tenga acceso a los Datos Personales bajo resguardo de CONFIE deberá protegerlos y mantener la confidencialidad de estos, usándolos exclusivamente para los propósitos necesarios en el desarrollo de sus funciones.
• Consentimiento: Por regla general, todo tratamiento de Datos Personales estará sujeto al consentimiento de la persona titular. El consentimiento podrá expresarse de forma tácita o expresa, dependiendo de la sensibilidad de la información.
• Finalidad: los Datos Personales solo se utilizarán para las finalidades explícitas para las que fueron recabados y, en su caso, para cumplir las instrucciones del Cliente.
• Lealtad y Transparencia: cuando CONFIE sea Responsable del tratamiento de Datos Personales, se informará a los titulares sobre el uso de sus datos mediante avisos de privacidad veraces, completos y actualizados.
• Licitud: todo tratamiento deberá tener una finalidad legítima y acorde a una necesidad de negocio comercial o de gestión interna operativa de CONFIE.
• Proporcionalidad: se recabarán únicamente los datos estrictamente necesarios.
• Seguridad: se implementarán medidas administrativas, físicas y técnicas para proteger los datos personales de uso o divulgación no autorizados.

4. Datos Personales que se recaban y finalidades

• 4.1 Empleados y exempleados. Datos de Identificación, Datos Bancarios y Financieros, Datos Laborales y Datos Personales Sensibles. Finalidades: mantener la relación jurídica, integrar expediente laboral y clínico, cumplir obligaciones laborales, fiscales y de seguridad social. En el caso de los exempleados, la finalidad es conservar evidencia de la relación laboral y dar de baja patronal cuando proceda.
• 4.2 Candidatos. Datos de Identificación, Datos Laborales. Finalidades: identificar y evaluar idoneidad para procesos de reclutamiento y selección.
• 4.3 Clientes y proveedores. Datos de Identificación y Datos Bancarios y Financieros. Finalidades: mantener la relación jurídica y el cumplimiento del objeto social de CONFIE.

5. Bases de legitimación para el tratamiento de los datos personales

Todo tratamiento se realiza con fundamento en: (i) consentimiento del titular cuando sea requerido; (ii) ejecución de un contrato; (iii) cumplimiento de obligaciones legales (laborales, fiscales y de seguridad social); y/o (iv) en caso de ser necesario para la atención de una emergencia.

6. Transferencias y Encargados

Las transferencias se limitarán a las necesarias entre sociedades afiliadas del mismo grupo corporativo, proveedores de servicios que actúen como Encargados, transferencias que sean necesarias para cumplir con una obligación legal y/o las que sean necesarias por virtud de un contrato celebrado o por celebrar en interés del titular.

Toda relación Responsable-Encargado en el tratamiento de datos personales deberá estar documentada en cláusulas contractuales que incluyan instrucciones, medidas de seguridad, confidencialidad, subencargos y supresión al término del servicio conforme las Cláusulas Modelo de CONFIE.

7. Plazos de conservación y eliminación de la información

Los Datos Personales se conservarán únicamente por el tiempo necesario para cumplir las finalidades y obligaciones legales aplicables. Una vez transcurrido el plazo, las áreas de CONFIE deberán eliminar la información (en formato físico o electrónico) de manera segura y documentar dicha eliminación como evidencia.

En particular, para el área de Recursos Humanos, se aplicarán las siguientes reglas:

1. Expedientes laborales: 5 años posteriores a la terminación de la relación o por el plazo que determinen obligaciones legales.
2. Candidatos: en caso de no ser seleccionados para ocupar la posición, su información se elimina.

8. Derechos ARCO y medios de atención

En línea con lo manifestado a través de los avisos de privacidad de CONFIE, el canal formal para recibir y procesar solicitudes de acceso, rectificación, cancelación y oposición (ARCO), así como limitar el uso o revocar el consentimiento, es a través del correo electrónico ComplianceTJ@confie.com. No obstante lo anterior, cualquier colaborador de CONFIE que reciba o tenga conocimiento de una solicitud de derechos ARCO por otra vía, tiene la obligación de canalizarla a dicho correo electrónico dentro de las 24 horas siguientes a su recepción, con el propósito de poder revisarla y atenderla conforme la normatividad aplicable.

9. Medidas de seguridad

CONFIE adoptará medidas de seguridad administrativas, físicas y técnicas para proteger los Datos Personales, según el riesgo de la naturaleza de los datos, incluyendo de manera enunciativa, más no limitativa: Control de accesos a la información basado en privilegios mínimos necesarios; protocolos de ciberseguridad; capacitación a todas las personas colaboradoras en materia de tratamiento de datos personales.

10. Roles y responsabilidades

Colaboradores: Todo el personal de CONFIE debe conocer y cumplir esta política, así como asegurar que cualquier tercero que trate Datos Personales de los que CONFIE sea Responsable, cumplan con las obligaciones de protección de la confidencialidad también.

Persona responsable de privacidad: La persona que ocupa la Gerencia Legal y de Compliance es la persona designada para coordinar la atención de las solicitudes de derechos ARCO, fomentar la cultura de privacidad al interior de CONFIE, validar que los contratos con responsables y/o Encargados incluyan la Cláusula Modelo y evaluar la vulneración de los datos personales en los incidentes de seguridad de la información.

Seguridad de la Información: deben informar a la Persona responsable de privacidad en caso de que tengan conocimiento de cualquier incidente de seguridad de la información que afecte datos personales, incluyendo uso, acceso, modificación, eliminación o divulgación no autorizada.

11. Gestión de incidentes

Ante un acceso, pérdida o divulgación de datos personales sin autorización, se activará el protocolo interno: contención, evaluación del impacto, notificación a titulares cuando corresponda conforme la normatividad aplicable. Se documentará el incidente y se revisarán las causas raíz.

12. Capacitación y concientización

Todas las personas colaboradoras de CONFIE deberán atender las capacitaciones y cursos que la organización imparta -de manera presencial o virtual a través de Confie University- para la sensibilización en materia de privacidad y protección de datos personales, para conocer el contenido de esta política y entender las obligaciones normativas.

13. Revisión y actualizaciones de la política

Esta política deberá revisarse por lo menos una vez al año para confirmar su vigencia y pertinencia. No obstante lo anterior, esta política podrá actualizarse para reflejar cambios normativos o de procesos cuando sea necesario. La versión vigente se comunicará a través de correo electrónico e intranet (Confie Desk).

14. Vínculo con avisos de privacidad

Esta política complementa los Avisos de Privacidad de CONFIE y operativiza su cumplimiento al interior de la organización.

Versión:	1.0
Fecha de emisión:	Enero 2026
Fecha de última revisión:
Fecha de última actualización:
Responsable interno:	Gerente de Legal & Compliance