Protección de datos y seguridad de la información

En los proyectos que desarrollamos u operamos para una empresa, esa empresa (el cliente) es la responsable del tratamiento y decide para qué y cómo se usan los datos. INTEDIG actúa como encargada del tratamiento: trata los datos solo por cuenta del cliente y siguiendo sus instrucciones. Cuando INTEDIG decide los fines y medios de un tratamiento propio (por ejemplo, la gestión comercial de su relación con el cliente), actúa como responsable.

Formalizamos con cada cliente un contrato o cláusulas de encargo del tratamiento conforme al artículo 28 del RGPD, que recoge el objeto, la duración, la naturaleza y finalidad del tratamiento, los tipos de datos, las categorías de interesados y las obligaciones de ambas partes.

Tratamos los datos exclusivamente para prestar el servicio contratado y conforme a las instrucciones documentadas del cliente. Si una instrucción nos parece contraria a la normativa, se lo comunicamos de inmediato.

Solo acceden a los datos las personas que lo necesitan para prestar el servicio, vinculadas por un deber de confidencialidad que se mantiene tras finalizar la relación.

Aplicamos medidas proporcionadas al riesgo, entre ellas:

• Cifrado de las comunicaciones en tránsito (TLS) y, cuando la infraestructura lo permite, de los datos en reposo.
• Control de accesos basado en el mínimo privilegio, autenticación reforzada (verificación en dos pasos) en los sistemas críticos y revisión periódica de permisos.
• Separación de entornos (desarrollo, pruebas y producción) y uso de datos ficticios o anonimizados en desarrollo siempre que es posible.
• Gestión de secretos y credenciales fuera del código fuente.
• Registro de actividad y copias de seguridad con pruebas de restauración.
• Actualización y gestión de vulnerabilidades de las dependencias y de la infraestructura.
• Revisión de seguridad del código antes de su puesta en producción.
• Formación y concienciación del equipo en seguridad y protección de datos.

Para prestar el servicio podemos apoyarnos en proveedores de infraestructura (alojamiento, bases de datos, correo electrónico, pagos, mensajería) y de inteligencia artificial. Los seleccionamos por sus garantías, firmamos con ellos contratos que imponen obligaciones equivalentes y respondemos ante el cliente de su cumplimiento. Informamos al cliente de los subencargados que intervienen en su proyecto y le avisamos de los cambios relevantes para que pueda oponerse.

Siempre que el proyecto lo permite, preferimos ubicar los datos en regiones de la Unión Europea. Si un proveedor trata datos fuera del Espacio Económico Europeo, exigimos garantías adecuadas: decisión de adecuación (por ejemplo, el Marco de Privacidad de Datos UE-EE. UU.), cláusulas contractuales tipo de la Comisión Europea y, cuando proceda, medidas complementarias.

• No usamos los datos de un cliente para entrenar modelos propios o de terceros ni para proyectos de otros clientes.
• Configuramos los servicios de IA, cuando el proveedor lo permite, para que no conserven los datos más tiempo del necesario y no los usen para su propio entrenamiento.
• Minimizamos los datos personales enviados a los modelos y, cuando es posible, los seudonimizamos o anonimizamos.
• Documentamos con el cliente el propósito, los datos utilizados y las limitaciones de cada solución de IA.

Ayudamos al cliente, mediante medidas técnicas y organizativas adecuadas, a atender las solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición. Si recibimos una solicitud de un interesado referida a datos de un cliente, se la trasladamos sin demora.

Si detectamos una violación de la seguridad que afecte a datos personales tratados por cuenta del cliente, se lo notificamos sin dilación indebida y con la información disponible, para que pueda cumplir su deber de notificar a la autoridad de control y a los afectados cuando proceda. Investigamos la causa y aplicamos medidas correctoras.

Al finalizar el contrato, y según elija el cliente, devolvemos los datos en un formato de uso común o los suprimimos, incluidas las copias, salvo que una norma exija conservarlos. Las copias de seguridad se eliminan conforme a su ciclo de rotación.

Ponemos a disposición del cliente la información necesaria para demostrar el cumplimiento de estas obligaciones y colaboramos en auditorías razonables, previa comunicación y respetando la confidencialidad y la seguridad de otros clientes.

Para consultas sobre protección de datos y seguridad, o para solicitar la lista actualizada de subencargados de un proyecto, escríbenos a través de el formulario de contacto de este sitio web.