Tratamiento de datosy RGPD

Traducción de cortesía. En caso de discrepancia, prevalece la versión en inglés.

Esta página resume la postura pública de Altovar en materia de RGPD y tratamiento de datos, para su uso en procesos de compras, revisiones legales, de seguridad y de privacidad. Está diseñada para responder a las preguntas recurrentes planteadas durante el alta de proveedores, la debida diligencia y las evaluaciones de seguridad.

Complementa — y no sustituye — la Política de Privacidad, la Política de Cookies, los Términos del Servicio y cualquier Acuerdo de Tratamiento de Datos (DPA) suscrito.

Altovar como responsable del tratamiento: Respecto de los datos personales recogidos a través de nuestro sitio web, nuestras acciones comerciales, la administración de cuentas, la facturación, la correspondencia de soporte y las preferencias de marketing, Altovar actúa como responsable del tratamiento independiente.

Altovar como encargado del tratamiento: Cuando un cliente utiliza los servicios de Altovar para almacenar, analizar, transmitir o tratar de otro modo datos personales por cuenta de dicho cliente, Altovar actúa como encargado del tratamiento y el cliente sigue siendo responsable del tratamiento, salvo que se defina una asignación distinta en el contrato o en la arquitectura del servicio.

La asignación de roles se especifica con mayor detalle en el Order Form aplicable, en la documentación del servicio y en el DPA.

Altovar está establecida en Europa y diseña su estrategia de infraestructura para preservar el control jurisdiccional de la UE, un bajo riesgo de transferencia y la transparencia operativa.

Nuestra postura de servicio estándar es el alojamiento en la UE. Las cargas de trabajo de aplicaciones principales, las bases de datos, las copias de seguridad y los sistemas operativos se seleccionan para mantener los datos de producción dentro del EEE siempre que la arquitectura del producto lo permita. Cuando la entrega en el borde de la red (edge-delivery) o las herramientas de soporte introducen un punto de contacto en un tercer país, Altovar aplica garantías documentadas y limita el acceso al ámbito mínimo necesario.

Altovar proporciona un Acuerdo de Tratamiento de Datos (DPA) para los escenarios en que actúa como encargado del tratamiento. Para los planes Business y Enterprise, las cláusulas del DPA pueden incorporarse en el Order Form o en el contrato marco de servicios. Para el resto de clientes, un DPA estándar está disponible previa solicitud.

El DPA cubre las instrucciones de tratamiento, la confidencialidad, los subencargados, las medidas de seguridad, la notificación de violaciones de seguridad, la asistencia para el ejercicio de los derechos de los interesados, la supresión/devolución de datos y la cooperación en auditorías dentro de límites comercialmente razonables.

Las solicitudes de un DPA o de un anexo contractual pueden enviarse a [email protected].

Altovar utiliza un proceso controlado de revisión de proveedores para infraestructura, pagos, comunicaciones y servicios de seguridad de apoyo. Cada responsable o subencargado del tratamiento se evalúa en cuanto a idoneidad técnica, implicaciones jurisdiccionales, controles de seguridad, cobertura contractual y madurez en la respuesta a incidentes antes de su uso en producción.

Los subencargados están vinculados por contratos escritos que reflejan los requisitos del artículo 28 del RGPD cuando resulta aplicable. Altovar mantiene un registro interno de subencargados y notifica los cambios sustanciales a través de los mecanismos contractuales definidos en el DPA o en el contrato con el cliente.

Altovar aplica medidas técnicas y organizativas por capas, adecuadas a la sensibilidad de la carga de trabajo y al nivel de servicio implicado. Estas medidas suelen incluir control de accesos, administración conforme al principio de mínimo privilegio, MFA en los sistemas internos, transporte cifrado, almacenamiento cifrado cuando corresponde, registro de auditoría, gestión de vulnerabilidades, controles de copias de seguridad y segregación de entornos.

Nuestras medidas se revisan a medida que evolucionan los productos. Cuando un cliente requiera un resumen de las medidas técnicas y organizativas (MTO) con fines de compras o auditoría, Altovar puede proporcionar una visión general actualizada bajo un acuerdo de confidencialidad (NDA) o como parte del proceso de DPA / revisión de seguridad.

Cuando Altovar actúa como responsable del tratamiento, respondemos directamente a las solicitudes de acceso, rectificación, supresión, oposición, portabilidad y limitación, de conformidad con nuestra Política de Privacidad.

Cuando Altovar actúa como encargado del tratamiento, asistimos al cliente — dentro de las capacidades del servicio y del marco contractual — para que pueda cumplir sus propias obligaciones frente a los interesados. Esto puede incluir asistencia para la exportación de datos, flujos de supresión, registro de accesos o coordinación operativa a través de los canales de soporte y privacidad.

Altovar aplica procedimientos de gestión de incidentes para los eventos que afectan a la seguridad, disponibilidad, confidencialidad e integridad de los datos de clientes o corporativos.

Cuando Altovar actúa como encargado del tratamiento y tiene conocimiento de una violación de datos personales que afecta a los datos del cliente, se lo notificamos sin dilación indebida, para que el cliente pueda evaluar cualquier obligación de notificación a la autoridad de control o a los interesados. Cuando Altovar actúa como responsable del tratamiento, evaluamos y gestionamos directamente las obligaciones de notificación de conformidad con el RGPD y la normativa nacional aplicable.

Altovar no considera las transferencias a terceros países como un modelo operativo predeterminado. Si una dependencia de servicio específica, un flujo de soporte o una función de entrega en el borde de la red genera un escenario de transferencia, Altovar se basa en un mecanismo jurídico de transferencia identificado y en medidas suplementarias proporcionadas antes de su uso en producción.

Dependiendo del proveedor y del contexto del tratamiento, estas garantías pueden incluir decisiones de adecuación, Cláusulas Contractuales Tipo, minimización de accesos, cifrado y trabajos de evaluación de impacto de la transferencia (TIA).

El cumplimiento del RGPD no se logra únicamente con la postura del proveedor. Los clientes siguen siendo responsables de elegir una base jurídica adecuada, de configurar sus entornos de forma lícita, de establecer normas de conservación coherentes con sus obligaciones y de dar instrucciones válidas en los escenarios en que Altovar actúa como encargado del tratamiento.

Altovar proporciona la infraestructura contractual y técnica necesaria para un uso conforme, pero cada cliente sigue siendo responsable de la forma en que utiliza el servicio en su propio contexto, incluidos el acceso de los empleados, el contenido cargado, las decisiones de conservación y las integraciones con terceros.