Protección de datos y seguridad informática
Protección de datos y seguridad informática
La protección de datos y la seguridad de la información son una prioridad para nosotros. Todos nuestros productos y servicios aplican medidas técnicas y organizativas para garantizar el tratamiento seguro de la información.
Nuestras prácticas se basan en el marco legal del Reglamento General Europeo de Protección de Datos (RGPD).
Información general sobre la protección de datos
Envía un correo electrónico a security@whappy.it con toda la información posible, por ejemplo URL donde se detectó el problema, Nombre de tu empresa y nombre del usuario afectado, Tipo de datos afectados, Información sobre el dispositivo móvil/sistema operativo, Información sobre cómo se puede reproducir el problema.
¿Quién es el Delegado de Protección de Datos?
Para la protección de datos hemos nombrado a un responsable de protección de datos que es Adriano Gazzerro
Si tienes alguna pregunta sobre este tema, ponte en contacto con nosotros en privacy@whappy.it
En primer lugar, todos los empleados y colaboradores de nuestra empresa están obligados al secreto de los datos y a la protección de datos en general, y son informados de las consecuencias de cualquier infracción.
Además, organizamos periódicamente programas de formación y sensibilización sobre el tratamiento de los datos personales, así como sobre la protección de datos. Estos programas también incluyen nuevas normativas como el Reglamento General de Protección de Datos de la UE (RGPD de la UE).
Estamos comprometidos con la mejora continua de los procesos y estructuras que garantizan la protección de datos y la seguridad de la información. Además de nombrar regularmente a un responsable de la protección de datos y de formar al personal, empleamos a un responsable interno de la seguridad de la información para garantizar que la seguridad sea una prioridad máxima en todos los procesos de tratamiento e internos.
En el improbable caso de que se produzca una violación de datos, si los datos personales de un cliente se ven afectados y la violación puede suponer un riesgo para los derechos y libertades del personal del cliente, informamos inmediatamente al cliente afectado, para que pueda cumplir su obligación legal de informar a la autoridad reguladora y a las personas afectadas.
Sí, la protección de datos es un elemento integral de nuestra estrategia de producto. Por ello, incluso en la fase de desarrollo de nuestras funcionalidades, observamos cuidadosamente principios como la economía de datos y utilizamos medidas de vanguardia para garantizar un nivel adecuado de protección. Además, mientras nos preparábamos para el GDPR de la UE, revisamos la configuración predeterminada de todas las aplicaciones y la adaptamos para proporcionar el mayor nivel posible de protección de datos, garantizando al mismo tiempo la facilidad de uso.
En general, todas las configuraciones son adaptables a las necesidades de cada cliente. Para garantizarlo constantemente, también hemos establecido procedimientos para introducir los requisitos legales en el proceso de desarrollo del producto de forma continua y revisar la demanda en consecuencia a intervalos determinados.
Cifrado y seudonimización
Sí, todos los datos personales que la aplicación transmita a un cliente o a otra plataforma deben encriptarse utilizando Seguridad de la Capa de Transporte (TLS), en particular HTTPS. Esto requiere que se establezca una conexión segura entre los dos interlocutores de la comunicación (cliente y servidor) antes de que se puedan transmitir los datos.
Confidencialidad e integridad
Utilizamos los servicios Azure de Microsoft Cloud para alojar nuestras soluciones de software (https://privacy.microsoft.com/en-us/data-privacy-notice). Los centros de datos que utilizamos tienen la certificación ISO/IEC 27001, por lo que cumplen nuestros elevados requisitos de seguridad física de los datos de nuestros clientes.
Por regla general, ni el personal del centro de datos ni el personal de Aruba tienen acceso a tus datos. Por lo que respecta a nuestro personal, sólo nuestro gestor de servidores y nuestro gestor de productos tienen acceso a los datos cuando es necesario. Los derechos de acceso se conceden en función de la necesidad de conocimiento y se documentan. Además, se registra el acceso a los sistemas del cliente.
En el lado del servidor, utilizamos un sistema de detección de intrusos para controlar parámetros como entradas sospechosas en el registro, firmas de rootkits y troyanos conocidos, anomalías en el sistema de archivos del dispositivo o ataques clásicos de fuerza bruta. Estos parámetros se analizan periódicamente en busca de anomalías. En caso de que se detecte una anomalía, se informa inmediatamente al personal operativo y de desarrollo responsable para que puedan tomar medidas. Además, en el lado de la aplicación, se registran todas las actividades esenciales (especialmente las operaciones de modificación, borrado y actualización), de modo que puedan probarse bajo demanda los accesos no autorizados y los cambios en los datos.
Sólo se permite el acceso a través de cuentas de usuario personalizadas, cada una de las cuales está claramente asignada a una persona. El registro se realiza con un nombre de usuario y una contraseña, esta última debe cambiarse durante el acceso inicial de acuerdo con las directrices de contraseña segura implementadas en la aplicación. Además, aconsejamos a nuestros clientes que utilicen la autenticación de dos factores para un mayor nivel de protección.
En general, los derechos de acceso están pensados para cumplir por defecto los requisitos del artículo 24 del GDPR de la UE sobre protección de datos. Esto significa que todos los empleados con cuentas de usuario recién creadas no tienen derechos predefinidos más allá de la edición de su perfil. Sin embargo, tú, como cliente, puedes gestionar la concesión de derechos de acceso según tu protocolo de autorización individual.
Disponibilidad y capacidad
Nos centramos en particular en el diseño georredundante de la infraestructura de servidores en relación con los datos de producción y las copias de seguridad, así como en la seguridad física de los centros de datos (por ejemplo, la gestión continua de la capacidad para supervisar los recursos en uso y la distribución de recursos libres según sea necesario
Recuperabilidad
Hemos implantado un concepto de copia de seguridad de última generación para los datos y documentos de los clientes almacenados en nuestros centros de datos, con el fin de garantizar una disponibilidad adecuada. Las copias de seguridad de los sistemas de bases de datos se almacenan exclusivamente de forma encriptada. Esto significa que no es necesario que el cliente realice sus propias copias de seguridad. Se realizan pruebas periódicas de recuperación para garantizar que las copias de seguridad se almacenan correctamente y pueden restaurarse en caso necesario.
En el improbable caso de un fallo total del sistema, la estructura redundante del centro de datos (datos de producción y de copia de seguridad) garantiza que tus datos no se pierdan. En este caso, garantizaremos la recuperación más rápida posible de acuerdo con nuestro concepto de recuperación ante desastres.
Limitación de la finalidad
El cliente es y sigue siendo el controlador y el procesador de datos en el sentido del artículo 24 del GDPR de la UE. En particular, esto significa que el cliente es responsable de respetar los derechos de los interesados (Capítulo 3 del GDPR de la UE). Nuestro software está diseñado para el procesamiento de información y, en calidad de tal, procesa tus datos exclusivamente siguiendo tus instrucciones y para los fines establecidos en el acuerdo de procesamiento de datos.
Al finalizar la relación comercial, las personas autorizadas por el cliente pueden solicitar que los datos se entreguen en un formato legible por máquina. Transcurridos 30 días desde la finalización del contrato, los datos se eliminarán de forma irrecuperable. En el improbable caso de que Whappy cese sus operaciones, este procedimiento permanece en principio inalterado, ya que el cliente es el propietario de los datos.
Procedimiento de verificación de seguridad
En primer lugar, realizamos auditorías de nuestros procedimientos y nuestro producto a intervalos regulares, generalmente una vez al año, de acuerdo con los requisitos legales de protección de datos. Los resultados de estas auditorías se utilizan para tomar medidas específicas para seguir desarrollando nuestra documentación, procesos, estructuras y/o funcionalidades, así como nuestros procesos técnicos y organizativos.
Realizamos exploraciones internas de vulnerabilidad a intervalos regulares para probar nuestra aplicación e infraestructura. También contratamos periódicamente a un proveedor de servicios externo para que realice pruebas de penetración y examine nuestros sistemas y aplicaciones en busca de errores y puntos débiles.