Medidas de cifrado y seudonimización
| Cifrado | El proveedor cifrará la información del cliente en tránsito por Internet y dentro de la red del proveedor, así como en reposo a nivel de disco, de base de datos o de aplicación. El proveedor no puede tratar ninguna información del cliente que no esté cifrada, salvo aprobación del cliente. Los controles estándar de protección de datos, como el cifrado, deben utilizarse de conformidad con las mejores prácticas del sector (por ejemplo, las directrices TLS 1.2, AES, P12 Cert) para proteger la información de las CGA. Las claves de cifrado de los datos personales tratados o transferidos desde Europa se almacenarán en Europa. |
|---|---|
| Seudonimización (tal como se define este término en el RGPD) de los Datos Personales | El proveedor solo tratará datos personales seudonimizados en nombre del cliente cuando sea apropiado a efectos de la prestación de los servicios, garantizando así que no puedan atribuirse a un interesado específico sin recurrir a información adicional, siempre que dicha información adicional se almacene por separado y esté sujeta a medidas técnicas y organizativas apropiadas. En la medida en que el cliente facilite al Proveedor datos personales seudonimizados con fines de tratamiento, el Proveedor no intentará reidentificar ni volver a asociar dichos datos a una persona, salvo instrucción expresa en contrario del cliente. |
Medidas para garantizar la confidencialidad, la integridad y la disponibilidad de los sistemas y servicios
| Acuerdos de confidencialidad o de no divulgación | Los requisitos relativos a los acuerdos de confidencialidad o de no divulgación que reflejan las necesidades de la organización en materia de protección de la información se identifican, se revisan periódicamente y se documentan. |
|---|
Medidas para garantizar la capacidad de restablecer la disponibilidad y el acceso a la información de manera oportuna en caso de incidente físico o técnico
| Copias de seguridad | El proveedor debe realizar o hacer realizar copias de seguridad diarias de la información del cliente en los sistemas del proveedor y almacenar dichas copias en un formato cifrado estándar del sector en una ubicación segura. Previa solicitud razonable, el proveedor debe facilitar al cliente una copia de su información respaldada en un formato legible por máquina. |
|---|
Medidas de identificación y autorización de los usuarios
| Política de control de acceso | Se establece, se documenta y se revisa una política de control de acceso en función de los requisitos de seguridad de la empresa y de la información. |
|---|
Medidas de protección de los datos durante el almacenamiento
| Cortafuegos | El proveedor utiliza un cortafuegos para proteger sus sistemas y su red contra los ataques externos y para ayudar a prevenir las violaciones de datos. |
|---|
Medidas para garantizar el registro de eventos
| Registro de eventos | Los registros de eventos que recojan los accesos de los usuarios, las actividades, las excepciones, las averías, el acceso a los datos, la supresión o la restauración y los eventos de seguridad de la información deben generarse, conservarse, almacenarse de forma segura y revisarse periódicamente. El cliente tendrá acceso a los registros de acceso pertinentes previa solicitud. Deben conservarse los registros de las transmisiones de información del cliente, incluidos, entre otros, la identidad de los datos transmitidos, el destinatario y la fecha de comunicación. Los registros de actividad del administrador deben conservarse y facilitarse al cliente previa solicitud. |
|---|
Medidas para la gobernanza y la gestión internas de la informática y de la seguridad informática
| Instalación de software en los sistemas en explotación | Se aplican procedimientos para controlar y prohibir la instalación de software no autorizado en los sistemas en explotación. |
|---|---|
| Controles contra el software malicioso | Se aplican controles de detección, prevención y recuperación para protegerse contra el software malicioso, junto con una formación y una concienciación adecuadas de los usuarios. |
| Continuidad de la seguridad de la información | El plan de continuidad de la actividad debe incluir medidas para mantener en los emplazamientos de respaldo el mismo nivel de controles de seguridad de la información que existe en los emplazamientos principales. |
Medidas de certificación/garantía de los procesos y de los productos
| Política de seguridad de la información | El proveedor dispone de una política de seguridad de la información aprobada y publicada que proporciona orientación y apoyo en materia de seguridad de la información (de conformidad con las necesidades de la empresa y con las leyes y reglamentos aplicables) y que se revisa, aprueba y publica periódicamente para todo el personal afectado. |
|---|
Medidas para garantizar una conservación limitada de los datos
| Conservación limitada de los datos | Existen medidas técnicas y organizativas para garantizar que los datos personales no se conserven durante más tiempo del necesario, incluidos controles y procesos para respaldar las instrucciones y los requisitos del cliente en materia de conservación de datos. |
|---|
Medidas para garantizar la responsabilidad proactiva
| Responsabilidad | Existen medidas técnicas y organizativas para demostrar que el proveedor/importador de datos ha adoptado las medidas apropiadas para garantizar la aplicación de los principios de protección de datos. |
|---|
Modalidades de control de los subencargados del tratamiento
| Control de los subencargados del tratamiento | No aplicable, sin subcontratación |
|---|