Cómo cumplimos el GDPR como responsables del tratamiento de datos

Garantizamos la seguridad de los datos adoptando todas las medidas de seguridad adecuadas al riesgo, según lo estipulado en el artículo 32 del GDPR, y más: garantizamos la confidencialidad del tratamiento (obligando a nuestros empleados a la confidencialidad), y hemos adoptado políticas sobre violaciones de datos personales para notificar al responsable del tratamiento sin demora indebida cualquier violación de datos de la que tengamos conocimiento, Por último, una vez finalizada la prestación de servicios, según las instrucciones recibidas del responsable del tratamiento le permitimos exportar o eliminar todos los datos de nuestros sistemas y no conservaremos ninguna copia.

Advertir, ayudar y asesorar al propietario

Cooperamos con el responsable del tratamiento notificándole, ayudándole y asesorándole sobre el funcionamiento de nuestros sistemas. Prestaremos asistencia al responsable del tratamiento para que pueda tramitar las solicitudes relativas al ejercicio de los derechos de los interesados y, teniendo en cuenta la naturaleza del tratamiento y la información de que dispongamos, ayudaremos al responsable del tratamiento a garantizar el cumplimiento de los requisitos de seguridad del tratamiento, notificación de violación de datos y evaluaciones de impacto sobre la protección de datos.

Privacidad por diseño y por defecto

Conscientes de las obligaciones que incumben al responsable del tratamiento en relación con los principios de privacidad desde el diseño y privacidad por defecto, de conformidad con el artículo 25 del Reglamento, y de la instrumentalidad que caracteriza el papel del responsable del tratamiento, hemos establecido las medidas técnicas y organizativas apropiadas para que el tratamiento cumpla los requisitos del GDPR y garantice la protección de los derechos del interesado. En particular:

• Desde la fase de diseño de nuestros sistemas, establecemos las medidas técnicas y organizativas adecuadas para aplicar eficazmente los principios de protección de datos, como la minimización, y para integrar en el tratamiento las garantías necesarias para cumplir los requisitos del Reglamento y proteger los derechos de los interesados (privacidad desde el diseño);
• Establecemos medidas técnicas y organizativas apropiadas para garantizar que, por defecto, sólo se traten los datos personales necesarios para cada finalidad específica del tratamiento. (privacidad por defecto). Por ejemplo:
  • ofrecemos la posibilidad de gestionar y eliminar todo tipo de datos;
  • permitimos establecer contraseñas complejas que reflejen requisitos de alta seguridad;
  • te permiten establecer una fecha de caducidad para las contraseñas;
  • permiten crear usuarios con permisos personalizados;
  • permitimos la visualización y modificación de cualquier dato relativo a los nombres;
  • Permitimos la visualización de todos los datos recogidos de las entrevistas realizadas por los usuarios;
  • permitimos establecer textos de privacidad personalizados con banderas de aceptación.

Consulta las características y certificaciones de nuestra infraestructura OnCloud.

¿Estamos obligados a nombrar un Delegado de Protección de Datos (DPO)?

No estamos obligados a designar un RPD: la designación es obligatoria en tres casos:

• el tratamiento lo lleva a cabo una autoridad pública o un organismo público;
• la actividad principal, realizada por cuenta del titular, consiste en el seguimiento regular y sistemático de los interesados a gran escala;
• la actividad principal realizada por cuenta del responsable del tratamiento consiste en el tratamiento de datos sensibles (categorías especiales de datos personales) o judiciales (datos relativos a condenas e infracciones penales) a gran escala.

Una orientación para definir mejor el ámbito obligatorio de la designación del RPD se encuentra en las Directrices sobre los Responsables de la Protección de Datos (RPD) publicadas por el Grupo de Trabajo del Artículo 29, que, en su apartado 2.2, se dedica a la designación del RPD por el responsable del tratamiento, proporcionando también algunos ejemplos. Dado que nuestra actividad principal no es el procesamiento a gran escala, como se ha descrito anteriormente, no estamos sujetos al requisito de nombramiento.

Estamos dispuestos a llegar a acuerdos sobre el tratamiento

Estamos dispuestos a proporcionar o celebrar acuerdos que proporcionen (por escrito):

• el objeto y la duración del servicio que debe realizar la persona responsable por cuenta del titular;
• la naturaleza y la finalidad del tratamiento;
• el tipo de datos personales tratados por cuenta del titular;
• categorías de partes interesadas;
• obligaciones y derechos del responsable del tratamiento;
• las obligaciones y derechos del responsable del tratamiento, según lo dispuesto en el artículo 28 del Reglamento.

Disponemos de un registro de actividades de tratamiento

Como exige el Reglamento, llevamos un registro de las operaciones de tratamiento que realizamos por cuenta del titular. El registro, que llevamos por escrito, contiene:

• el nombre y los datos de contacto de cada responsable del tratamiento en cuyo nombre actúe el responsable del tratamiento;
• las categorías de tratamiento realizadas por cuenta de cada responsable del tratamiento;
• en su caso, las transferencias de datos personales a un tercer país u organización internacional, y la documentación de las garantías adecuadas en las que se basan;
• una descripción general de las medidas de seguridad técnicas y organizativas a que se refiere el artículo 32, apartado 1, del Reglamento.

Obligaciones del gestor que nombra a un subgestor

Sabemos que el responsable del tratamiento sólo puede designar a otro responsable con la autorización previa por escrito del responsable del tratamiento. Revelamos los datos de nuestros subprocesadores al firmar el acuerdo de procesamiento, que preverá la delegación de nombramientos posteriores. Imponemos al subencargado del tratamiento, mediante un contrato, las mismas obligaciones de protección de datos que figuran en el contrato celebrado entre el responsable y el encargado del tratamiento.

Violación de datos

Una violación de datos personales es un fallo de seguridad que, de forma accidental o ilícita, provoca la destrucción, pérdida, modificación, divulgación no autorizada o acceso a datos personales transmitidos, almacenados o tratados de otra forma. Si tenemos conocimiento de una violación, informaremos al responsable del tratamiento sin demora indebida. Hemos adoptado una política de empresa que nos permite ayudar al responsable del tratamiento a garantizar que las operaciones de tratamiento cumplen las normas que rigen su seguridad, incluidas las relativas a las violaciones de datos personales.

Papel del directivo en la evaluación de impacto

La evaluación de impacto sobre la protección de datos conforme al artículo 35 del RGPD debe realizarla el responsable del tratamiento, y la responsabilidad de la misma recae sobre él y no puede trasladarse al responsable del tratamiento. Sin embargo, ayudamos al propietario a realizar la DPIA proporcionándole toda la información necesaria, según lo previsto en el acuerdo de procesamiento.