Data Processing& GDPR

Esta página resume la postura pública de Altovar en materia de RGPD y tratamiento de datos para su revisión por parte de los equipos de compras, jurídico, seguridad y privacidad. Está diseñada para responder a las preguntas recurrentes que surgen durante el alta de proveedores, la diligencia debida y las evaluaciones de seguridad.

Complementa — y no sustituye — la Política de Privacidad, la Política de Cookies, los Términos del Servicio y cualquier Acuerdo de Tratamiento de Datos (DPA) suscrito.

Altovar como responsable: Respecto de los datos personales recopilados a través de nuestro sitio web, las acciones comerciales, la administración de cuentas, la facturación, la correspondencia de soporte y las preferencias de marketing, Altovar actúa como responsable independiente del tratamiento.

Altovar como encargado: Cuando un cliente utiliza los servicios de Altovar para almacenar, analizar, transmitir o tratar de cualquier otro modo datos personales por cuenta de dicho cliente, Altovar actúa como encargado del tratamiento y el cliente sigue siendo el responsable, salvo que el contrato o la arquitectura del servicio definan una asignación distinta.

La asignación de roles se especifica con más detalle en el Formulario de Pedido aplicable, la documentación del servicio y el DPA.

Altovar está establecida en Europa y diseña su estrategia de infraestructura para preservar el control jurisdiccional de la UE, un bajo riesgo de transferencia y la transparencia operativa.

Nuestra postura estándar de servicio es el alojamiento en la UE. Las cargas de trabajo de aplicaciones principales, las bases de datos, las copias de seguridad y los sistemas operativos se seleccionan para mantener los datos de producción dentro del EEE siempre que la arquitectura del producto lo permita. Cuando la entrega en el borde (edge) o las herramientas de soporte introducen un punto de contacto con un tercer país, Altovar aplica salvaguardas documentadas y limita el acceso al alcance mínimo necesario.

Altovar facilita un Acuerdo de Tratamiento de Datos para los escenarios en los que actúa como encargado. En los acuerdos Business y Enterprise, las cláusulas del DPA pueden incorporarse en el Formulario de Pedido o en el contrato marco de servicios. Para los demás clientes, hay disponible un DPA estándar previa solicitud.

El DPA cubre las instrucciones de tratamiento, la confidencialidad, los subencargados, las medidas de seguridad, la notificación de brechas, la asistencia con los derechos de los interesados, la supresión / devolución de los datos y la cooperación en auditorías dentro de límites comercialmente razonables.

Las solicitudes de un DPA o de un anexo contractual pueden enviarse a [email protected].

Altovar utiliza un proceso controlado de revisión de proveedores para la infraestructura, los pagos, las comunicaciones y los servicios de seguridad de apoyo. Cada encargado o subencargado se evalúa en cuanto a su idoneidad técnica, sus implicaciones jurisdiccionales, sus controles de seguridad, su cobertura contractual y su madurez en la respuesta a incidentes antes de su uso en producción.

Los subencargados están vinculados por contratos escritos que reflejan los requisitos del artículo 28 del RGPD cuando corresponde. Altovar mantiene un registro interno de subencargados y notifica los cambios sustanciales a través de los mecanismos contractuales definidos en el DPA o en el contrato con el cliente.

Altovar aplica medidas técnicas y organizativas por capas, adecuadas a la sensibilidad de la carga de trabajo y al nivel de servicio implicado. Estas medidas suelen incluir el control de acceso, la administración con privilegios mínimos, la MFA en los sistemas internos, el transporte cifrado, el almacenamiento cifrado cuando procede, el registro de auditoría, la gestión de vulnerabilidades, los controles de copias de seguridad y la segregación de entornos.

Nuestras medidas se revisan a medida que evolucionan los productos. Cuando un cliente requiere un resumen de las medidas técnicas y organizativas para fines de compras o auditoría, Altovar puede proporcionar una visión general actualizada bajo acuerdo de confidencialidad (NDA) o como parte del flujo de trabajo de DPA / revisión de seguridad.

Cuando Altovar actúa como responsable, respondemos directamente a las solicitudes de acceso, rectificación, supresión, oposición, portabilidad y limitación, de conformidad con nuestra Política de Privacidad.

Cuando Altovar actúa como encargado, asistimos al cliente — dentro de las capacidades del servicio y del marco contractual — para que el cliente pueda cumplir sus propias obligaciones frente a los interesados. Esto puede incluir asistencia para la exportación, flujos de trabajo de supresión, registro de accesos o coordinación operativa a través de los canales de soporte y privacidad.

Altovar opera procedimientos de gestión de incidentes para los eventos de seguridad, disponibilidad, confidencialidad e integridad que afecten a los datos de clientes o corporativos.

Cuando Altovar actúa como encargado y tiene conocimiento de una violación de datos personales que afecte a los datos del cliente, notificamos al cliente sin dilación indebida para que el cliente pueda evaluar cualquier obligación de notificación a la autoridad de control o a los interesados. Cuando Altovar actúa como responsable, evaluamos y gestionamos directamente los deberes de notificación de conformidad con el RGPD y la legislación nacional aplicable.

Altovar no plantea las transferencias a terceros países como modelo operativo por defecto. Si una dependencia específica del servicio, un flujo de soporte o una función de entrega en el borde (edge) genera un escenario de transferencia, Altovar se apoya en un mecanismo legal de transferencia identificado y en medidas complementarias proporcionadas antes de su uso en producción.

Según el proveedor y el contexto de tratamiento, estas salvaguardas pueden incluir decisiones de adecuación, Cláusulas Contractuales Tipo, minimización de accesos, cifrado y trabajos de evaluación del impacto de las transferencias.

El cumplimiento del RGPD no se logra únicamente con la postura del proveedor. Los clientes siguen siendo responsables de elegir una base jurídica adecuada, configurar sus entornos de forma lícita, establecer reglas de conservación coherentes con sus obligaciones y dar instrucciones válidas en los escenarios de encargado.

Altovar proporciona la estructura contractual y técnica necesaria para un uso conforme, pero cada cliente sigue siendo responsable del modo en que utiliza el servicio en su propio contexto, incluidos los accesos del personal, el contenido cargado, las decisiones de conservación y las integraciones con terceros.