Acuerdo sobre el
tratamiento
de datos
Anexo B: Medidas técnicas y organizativas
La Empresa implementa y mantiene medidas de seguridad técnicas y organizativas para proteger los Datos Personales. A continuación, se presenta un resumen de las medidas que emplea la Empresa para mantener la seguridad de nuestra plataforma y de los Datos Personales.
Generalidades
- La Empresa mantiene una política de seguridad de la información documentada, conforme a los estándares de la industria, que se revisa y se actualiza anualmente. La elaboración y el mantenimiento de la política de seguridad están a cargo de personal con experiencia en el ámbito de la seguridad de la información.
- Todas las computadoras del personal deberán contar con software antivirus actualizado u otros mecanismos de protección similares.
Capacitación y personal
- Todo el personal de la Empresa debe participar de un programa de capacitación en materia de seguridad, al menos, una vez por año calendario.
- Al finalizar la relación laboral o contractual, ningún miembro del personal podrá conservar claves de acceso, códigos ni otros medios de acceso similares a los Datos Personales o a las instalaciones de la Empresa.
Control de acceso
- Las políticas de seguridad de la información de la Empresa deberán establecer medidas razonables para prevenir el acceso no autorizado a los Datos Personales o la pérdida de estos.
- La Empresa designará a un administrador del sistema, quien restringirá el acceso del resto del personal a los Datos Personales de conformidad con estas medidas técnicas y organizativas; dichos permisos de acceso deberán revisarse anualmente.
- La Empresa exigirá un proceso de autenticación para todos los accesos y accesos remotos por parte de miembros de su personal, que podrá consistir en contraseñas seguras, autenticación de dos factores u otros mecanismos que impidan el acceso no autorizado.
- Los accesos, la incorporación, la eliminación y la modificación de datos quedan registrados en un historial de actividad, marcas de tiempo incluidas.
Seguridad física
- La Empresa garantiza la seguridad física de sus instalaciones y supervisa cualquier acceso o ingreso a estas.
- La Empresa exige a todo su personal que se abstenga de conservar copias físicas de datos confidenciales durante más tiempo del necesario, de acuerdo con las políticas de la Empresa.
- El acceso de los visitantes a las instalaciones de la Empresa será supervisado y restringido, y estará gestionado por personal designado a tal efecto.
- Todos los Datos Personales deberán alojarse y almacenarse en equipos ubicados en instalaciones que cuenten con medidas ambientales razonables, tales como regulación de la temperatura, sistemas de extinción de incendios, detectores de humo, etc.
Integridad
- La Empresa realiza copias de seguridad de sus sistemas periódicamente y se compromete a revisar el software para detectar y corregir vulnerabilidades de seguridad durante la implementación inicial, así como ante cualquier modificación y actualización significativa.
- La Empresa se somete a pruebas de penetración, al menos, una vez por año calendario y corrige cualquier hallazgo de conformidad con sus políticas internas.
- La Empresa se compromete a modificar todas las configuraciones de acceso a cuentas y claves de autenticación predeterminadas antes de implementar cualquier sistema nuevo a partir de la fecha de entrada en vigor del presente Acuerdo.
- Todas las computadoras portátiles del personal son administradas por la Empresa y supervisadas periódicamente.
- La Empresa no almacenará Datos Personales fuera de sus entornos supervisados, a menos que estén protegidos por un cifrado seguro.
Eliminación
- La Empresa se compromete a eliminar todos los Datos Personales de conformidad con el DPA.
- La Empresa mantiene prácticas de copias de seguridad automáticas de los Datos Personales, que se eliminan en intervalos establecidos.
Gestión de riesgos de terceros
Antes de contratar a un nuevo proveedor de servicios externo que vaya a tener acceso a los Datos Personales, la Empresa realiza una evaluación de riesgos de sus prácticas de seguridad de la información.
Política de solicitudes de las fuerzas del orden
- Uno de los valores fundamentales más destacados de la Empresa es el respeto a los derechos humanos. Por ello, la Empresa garantiza que todas las solicitudes de datos recibidas de fuerzas del orden, organismos gubernamentales, reguladores y judiciales sean válidas y se realicen de conformidad con los procedimientos legales aplicables.
- Toda divulgación de Datos Personales a las autoridades deberá realizarse de conformidad con este DPA.
