Política de privacidad

POLÍTICA DE SEGURIDAD DEL PROCESAMIENTO DE DATOS

OBJETIVO

El propósito de esta política es establecer las medidas necesarias y las responsabilidades de los empleados de Noúmeno para cumplir con las obligaciones relativas a la garantía y protección de los derechos y libertades fundamentales de las personas, en particular el derecho a la vida privada, familiar y personal, en relación con el tratamiento de datos personales.

ALCANCE

Esta política se aplica a todos Noúmeno empleados con responsabilidades en el tratamiento de datos personales y/o, en su caso, a personas autorizadas.

TÉRMINOS Y DEFINICIONES

ANSPDCP – Autoridad Nacional de Supervisión del Tratamiento de Datos Personales.
Datos personales – cualquier información relativa a una persona física identificada o identificable; una persona identificable es aquella que puede ser identificada, directa o indirectamente, mediante un número de identificación o uno o más factores específicos de su identidad física, fisiológica, mental, económica, cultural o social.
Datos anónimos – datos que, debido a su origen o al método de procesamiento específico, no pueden asociarse con una persona identificada o identificable.
Controlador (Operador) – cualquier persona física o jurídica, pública o privada, incluidas las autoridades públicas, las instituciones y sus estructuras territoriales, que determine la finalidad y los medios del tratamiento de datos personales.
Responsable de seguridad de datos – la persona responsable del correcto funcionamiento del sistema de protección de la información que contiene datos personales, así como de la elaboración, implementación y supervisión del cumplimiento de la política de seguridad de datos personales.
Tratamiento de datos personales – cualquier operación o conjunto de operaciones realizadas sobre datos personales, ya sea por medios automatizados o manuales, como la recopilación, el registro, la organización, el almacenamiento, la adaptación, la modificación, la extracción, la consulta, el uso, la divulgación a terceros por transmisión, difusión o de otro modo, la combinación, el bloqueo, la eliminación o la destrucción.
Almacenamiento – conservar datos personales en cualquier tipo de soporte.
Usuario – cualquier persona que actúe bajo la autoridad del responsable del tratamiento, persona autorizada o representante, con derechos reconocidos para acceder a bases de datos de datos personales.

DOCUMENTOS DE REFERENCIA

Ley nº 677/2001 para la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, con sus posteriores modificaciones.
Orden del Defensor del Pueblo n.º 52/18.04.2002 relativa a los requisitos mínimos de seguridad para el tratamiento de datos personales.
Decisión n.º 90/18.07.2006 de la ANSPDCP relativa a los casos en los que no se requiere la notificación del tratamiento de datos personales.
Decisión ANSPDCP nº 100/23.11.2007 relativa a los casos en los que no se requiere la notificación del tratamiento de datos personales.
Decisión ANSPDCP n.º 132/20.12.2011 relativa a las condiciones de tratamiento de los números de identificación personal y otros datos personales de carácter general.

PRINCIPIOS GENERALES

Noúmeno Se han adoptado las medidas técnicas y organizativas adecuadas para proteger los datos personales contra la destrucción, pérdida, alteración, divulgación o acceso no autorizado, ya sea accidental o ilícito. Se ha designado personal responsable del cumplimiento de la Ley n.º 677/2001.

Se han adoptado medidas para garantizar el almacenamiento seguro de los datos personales, asegurando un nivel de protección adecuado de conformidad con la legislación aplicable.Las medidas organizativas y técnicas se centran en:

Identificación y autenticación del usuario
Tipo de acceso y derechos
Procedimientos de recopilación de datos
Computadoras y terminales de acceso
Archivos de registro de acceso
Capacitación del personal

PROCEDIMIENTOS ESPECÍFICOS

Identificación y autenticación de usuarios

El acceso a los sistemas de datos personales requiere autenticación mediante credenciales únicas obtenidas durante el proceso de incorporación y gestión de identidades.
Cada usuario tiene un identificador único (nombre de usuario) que no puede ser compartido ni asignado a varias personas.
Las cuentas inactivas se desactivan y se eliminan después de un período especificado por Noúmeno.
Cada cuenta requiere autenticación mediante contraseña. Las contraseñas se almacenan de forma segura, se actualizan periódicamente y se ocultan durante su introducción.
El acceso se bloquea automáticamente tras un número fijo de intentos de autenticación incorrectos.
Los usuarios están obligados a mantener la confidencialidad de sus credenciales y son responsables ante el responsable del tratamiento de datos por su uso.
El personal autorizado se encarga de la suspensión o revocación de la cuenta en caso de rescisión del contrato, reasignación, uso indebido o ausencia prolongada.

Tipo de acceso

Los usuarios solo podrán acceder a los datos personales necesarios para el desempeño de sus funciones. Los derechos de acceso se determinan según la funcionalidad (administración, introducción de datos, procesamiento, almacenamiento, etc.) y las acciones permitidas (lectura, escritura, eliminación), incluyendo los procedimientos para garantizar el cumplimiento de estos límites.

Recopilación de datos

Solo el personal autorizado puede recopilar e ingresar datos personales en Noúmeno sistemas.
Todas las modificaciones de datos se registran con fecha, hora e ID de usuario. Los datos eliminados o modificados se conservan con fines de auditoría.

Computadoras y terminales de acceso

Los terminales están ubicados en salas de acceso restringido o áreas con cerradura.
Las sesiones inactivas se cierran automáticamente después de un período preestablecido.
El acceso a los servidores que alojan datos personales solo se realiza bajo permisos controlados.
Los dispositivos de almacenamiento móviles que contengan datos personales no podrán salir de las instalaciones sin autorización previa.

Registros de acceso

Todos los accesos a datos personales quedan registrados. Los intentos de acceso no autorizados también se registran.
Los registros se conservan durante al menos 2 años y pueden utilizarse como prueba en investigaciones.
Los registros permiten identificar a los usuarios que accedieron a los datos sin la debida justificación.

Capacitación del personal

Se informa a los empleados sobre la Ley nº 677/2001, los requisitos mínimos de seguridad y los riesgos asociados al tratamiento de datos personales.
Los usuarios reciben formación sobre confidencialidad y reciben recordatorios a través de notificaciones del sistema.
Los usuarios deben cerrar sesión al abandonar sus estaciones de trabajo.

Seguridad informática y de datos

Las medidas incluyen:

Prohibición de software no autorizado.
Conocimiento por parte de los usuarios de los riesgos del malware y los virus.
Instalación de sistemas antivirus, antimalware y de seguridad.
Restricción de la copia/impresión de datos personales fuera de los flujos comerciales normales.

Impresión y procesamiento manual

Solo los usuarios autorizados pueden imprimir datos personales.
Los documentos que contengan datos personales deberán guardarse en archivadores con cerradura o devolverse al personal autorizado inmediatamente después de su uso.

TRATAMIENTO DE DATOS PERSONALES IDENTIFICABLES

El procesamiento solo está permitido con consentimiento explícito, disposición legal o con la aprobación de la ANSPDCP y las salvaguardias adecuadas.
Principios: Los datos deben ser pertinentes, limitados, precisos y procesados únicamente para fines específicos. Su conservación se limita a lo estrictamente necesario.

DERECHOS DE LOS TITULARES DE LOS DATOS

Derecho a la información

Las personas deben ser informadas sobre la finalidad del tratamiento de sus datos, los derechos que les asisten conforme a la ley (acceso, rectificación, oposición) y demás información requerida por las autoridades de control.
Se obtiene el consentimiento antes de recopilar datos personales.
El número de registro de notificación debe mencionarse en todos los documentos que recopilen, almacenen o divulguen datos personales.

Derecho de acceso

Las personas pueden solicitar, de forma gratuita, una vez al año, una confirmación de si sus datos están siendo procesados.

Derecho de rectificación o supresión

Las personas pueden solicitar la corrección, actualización, bloqueo o eliminación de los datos procesados ilegalmente.
Se permite la transformación en datos anónimos si el procesamiento no cumple con la normativa.

Derecho a oponerse

Las personas pueden oponerse al tratamiento de sus datos personales en cualquier momento por motivos legítimos. El tratamiento deberá cesar si la objeción está justificada, salvo que existan disposiciones legales que la exijan.

Derecho a recurso legal

Los interesados pueden recurrir a las autoridades de control o a los tribunales para hacer valer sus derechos y solicitar una indemnización por los daños causados por el tratamiento ilícito de sus datos.

DIVULGACIÓN DE DATOS PERSONALES

Los datos podrán ser compartidos con personal autorizado o entidades públicas/privadas con:
1. Consentimiento explícito e informado del interesado; o
2. Autorización legal.
Las transferencias en línea deben garantizar la seguridad del sistema.
Los interesados que hayan ejercido su derecho de oposición no deben ver sus datos procesados.