Política de seguridad
Notificación de vulnerabilidades de seguridad
revzper SAS se toma muy en serio la seguridad de la plataforma Euphile. Si descubre una vulnerabilidad de seguridad, le rogamos que la notifique de forma responsable enviando un correo electrónico a contact@revzper.com. Acusaremos recibo en un plazo de 48 horas y procuraremos proporcionar una evaluación inicial en un plazo de 5 días laborables. No emprenderemos acciones legales contra los investigadores que sigan prácticas de divulgación responsable.
Cumplimiento de la normativa de protección de datos
revzper SAS, como responsable del tratamiento de datos de la plataforma Euphile, se compromete a cumplir plenamente el Reglamento General de Protección de Datos (GDPR) y demás leyes de protección de datos de la UE aplicables. Esta política describe nuestra adhesión a los siguientes principios:
1. Principios del GDPR
Todas las actividades de tratamiento de datos se llevan a cabo sobre una base jurídica clara, incluido el consentimiento, la ejecución de un contrato o el interés legítimo, según se especifica en nuestros Registros de tratamiento de datos.
Ref: GDPR
2. Derechos de los interesados
Como interesado, tiene los siguientes derechos en relación con sus datos personales tratados en la plataforma Euphile:
Ref: GDPR
- Solicitar confirmación de si sus datos están siendo tratados y acceder a dichos datos.
- Solicitar la rectificación de datos personales inexactos o incompletos.
- Solicitar la supresión de sus datos personales en determinadas condiciones.
- Solicitar la limitación del tratamiento en determinadas circunstancias.
- Recibir sus datos personales en un formato estructurado, de uso común y lectura mecánica.
- Oponerse al tratamiento basado en intereses legítimos o en marketing directo.
- Retirar el consentimiento para el tratamiento cuando este fuera la base jurídica.
3. Base jurídica del tratamiento
La base jurídica para el tratamiento de datos personales en la plataforma Euphile varía según el producto y el servicio. Para obtener información detallada, consulte los Registros de tratamiento de datos correspondientes a cada producto (Solon, Vauban, Nassau, Leonardo, Atlas, Plutus, Tzu, Richelieu).
Ref: GDPR
4. Delegado de Protección de Datos (DPO)
revzper SAS ha designado a un Delegado de Protección de Datos para supervisar las prácticas de protección de datos. Puede ponerse en contacto con el DPO en privacy@revzper.com.
Ref: GDPR
Medidas de seguridad
Nuestra plataforma emplea las siguientes medidas de seguridad para proteger los datos personales:
1. Cifrado
1. En tránsito
Todos los datos transmitidos entre los usuarios y nuestra plataforma se cifran mediante protocolos estándar del sector para garantizar canales de comunicación seguros.
2. En reposo
Los datos sensibles se cifran utilizando estándares de cifrado sólidos, con claves de cifrado gestionadas de conformidad con las mejores prácticas.
2. Controles de acceso
1. Control de acceso basado en roles
Se implementa un control de acceso basado en roles para garantizar que los usuarios solo tengan acceso a los datos y funciones necesarios para sus roles.
2. Autenticación multifactor
Se requiere autenticación multifactor para todo acceso administrativo a la plataforma.
3. Evaluaciones de seguridad
1. Análisis de vulnerabilidades y pruebas de penetración
Se realizan periódicamente análisis de vulnerabilidades y pruebas de penetración para identificar y abordar las deficiencias de seguridad.
2. Evaluaciones internas de seguridad
Se llevan a cabo evaluaciones internas de seguridad para revisar los registros de acceso, las configuraciones del sistema y el cumplimiento de las políticas de seguridad.
4. Supervisión automatizada
1. Supervisión continua
Supervisión continua de los registros del sistema, el tráfico de red y la actividad de los usuarios para detectar y responder a comportamientos sospechosos en tiempo real.
2. Alertas automatizadas
Se generan alertas automatizadas ante posibles incidentes de seguridad, lo que permite una respuesta rápida.
5. Certificaciones de cumplimiento
Nuestra infraestructura y nuestros procesos están diseñados para cumplir normas de seguridad reconocidas. Las certificaciones se verifican periódicamente y se ponen a disposición previa solicitud. Todos los datos se tratan dentro de la Unión Europea en una infraestructura que cumple las normas de seguridad del sector.
Respuesta a incidentes y notificación de violaciones de seguridad
revzper SAS ha establecido un procedimiento sólido de respuesta a incidentes para abordar incidentes de seguridad, violaciones de la seguridad de los datos o accesos no autorizados a datos personales. Nuestro objetivo es detectar, contener y mitigar los incidentes con prontitud, garantizando al mismo tiempo el cumplimiento de las obligaciones legales.
1. Procedimiento de respuesta a incidentes
Ref: GDPR
1. Detección y notificación
Los incidentes de seguridad se detectan mediante herramientas de supervisión automatizada y notificación manual. Los empleados y contratistas reciben formación para notificar inmediatamente los incidentes sospechados a privacy@revzper.com o a través de la línea directa de respuesta a incidentes en contact@revzper.com.
Ref: GDPR
2. Evaluación y contención
El equipo de respuesta a incidentes, dirigido por el DPO, evalúa el alcance y el impacto del incidente. Se aplican medidas de contención inmediatas para evitar nuevos accesos no autorizados o pérdidas de datos.
Ref: GDPR
3. Notificación a las autoridades de control
En caso de una violación de la seguridad de los datos personales, revzper SAS notificará a la autoridad de control competente en un plazo de 72 horas desde que tenga conocimiento de la violación, salvo que sea improbable que la violación entrañe un riesgo para los derechos y libertades de los interesados. La notificación incluirá: Una descripción de la naturaleza de la violación. Las categorías y el número aproximado de interesados y registros afectados. Las consecuencias probables de la violación. Las medidas adoptadas o propuestas para abordar la violación.
Ref: GDPR
4. Comunicación a los interesados afectados
Si es probable que la violación entrañe un alto riesgo para los derechos y libertades de los interesados, revzper SAS comunicará la violación a las personas afectadas sin dilación indebida. La comunicación incluirá: Una descripción clara de la violación. Las medidas adoptadas para abordar la violación. Recomendaciones para que los interesados protejan sus derechos.
Ref: GDPR
5. Documentación y revisión
Todos los incidentes se documentan, incluida la causa raíz, las acciones de respuesta y las lecciones aprendidas. El procedimiento de respuesta a incidentes se revisa y actualiza periódicamente para incorporar mejoras.
Referencia: GDPR
2. Vía de escalado
Incidentes menores: gestionados por el equipo interno de seguridad bajo la supervisión del DPO. Incidentes graves: escalados a la alta dirección y al consejo de administración, con notificación obligatoria a la autoridad de control.
Referencia: GDPR
3. Contacto para incidentes
Para cualquier pregunta o para notificar un incidente, póngase en contacto con el DPO en privacy@revzper.com.
Referencia: GDPR
Gestión de riesgos de terceros
revzper SAS reconoce que los proveedores externos, los subencargados del tratamiento y los proveedores de servicios pueden tratar datos personales en nombre de nuestra plataforma. Nos comprometemos a garantizar que todos los terceros cumplan las mismas normas estrictas de protección y seguridad de los datos que revzper SAS.
1. Subencargados del tratamiento y proveedores de servicios
Los siguientes terceros son contratados por revzper SAS para prestar servicios que implican el tratamiento de datos personales. Cada subencargado del tratamiento se selecciona sobre la base de una diligencia debida rigurosa y de garantías contractuales:
Referencia: GDPR
- Servicio: Alojamiento en la nube
Subencargado del tratamiento: Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France
Ubicación de los datos: Francia (región de París), Unión Europea
Certificaciones de cumplimiento: ISO/IEC 27001:2022; HDS (alojamiento de datos sanitarios)
Acuerdo de tratamiento de datos: Acuerdo de tratamiento de datos de Scaleway, https://www.scaleway.com/en/contracts/
- Servicio: Tratamiento de pagos
Subencargado del tratamiento: Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Netherlands
Ubicación de los datos: Unión Europea (Países Bajos)
Certificaciones de cumplimiento: Proveedor de servicios PCI DSS de nivel 1; entidad de pago autorizada por De Nederlandsche Bank
Acuerdo de tratamiento de datos: Mollie trata los datos de pago como responsable independiente del tratamiento en virtud de su Acuerdo de usuario y su Declaración de privacidad, https://www.mollie.com/legal/privacy
2. Diligencia debida y selección
Todos los posibles subencargados del tratamiento se evalúan en función de sus prácticas de seguridad, certificaciones de cumplimiento y compromisos en materia de protección de datos. Se establecen acuerdos de tratamiento de datos con todos los subencargados del tratamiento, en los que se describen sus obligaciones en materia de protección de datos, seguridad y notificación de violaciones de la seguridad de los datos. revzper SAS revisa periódicamente el rendimiento y el cumplimiento de los subencargados del tratamiento para garantizar el cumplimiento continuado de la normativa aplicable.
Referencia: GDPR
3. Respuesta a incidentes y notificación de violaciones de la seguridad de los datos
Los subencargados del tratamiento están obligados a notificar inmediatamente a revzper SAS cualquier violación de la seguridad de los datos presunta o efectiva. revzper SAS evaluará el impacto de la violación y adoptará las medidas adecuadas, incluida la notificación a la autoridad de control competente y a los interesados afectados, según lo exigido por la normativa aplicable.
Referencia: GDPR
4. Contacto para la gestión de riesgos de terceros
Para cualquier pregunta sobre nuestras prácticas de gestión de riesgos de terceros, póngase en contacto con el DPO en privacy@revzper.com.
Referencia: GDPR
Formación y concienciación de los empleados en materia de seguridad
revzper SAS se compromete a fomentar una cultura de concienciación sobre la seguridad entre todos los empleados y contratistas. La formación y la educación periódicas son esenciales para mantener la seguridad de nuestra plataforma y proteger los datos personales.
1. Programa de formación
1. Ámbito de aplicación
Todos los empleados y contratistas con acceso a los sistemas o datos de revzper SAS deben completar la formación en materia de seguridad.
2. Temas tratados
Concienciación sobre las amenazas comunes a la seguridad (por ejemplo, phishing e ingeniería social). Prácticas de autenticación segura. Principios de control de acceso y de mínimo privilegio. Procedimientos de notificación de incidentes. Principios de protección de datos y cumplimiento normativo. Prácticas de desarrollo seguro (para el personal técnico). Seguridad física y seguridad en el lugar de trabajo.
3. Frecuencia de la formación
Nuevas incorporaciones: formación obligatoria en materia de seguridad durante los primeros 30 días de empleo. Actualización anual: todos los empleados y contratistas deben completar una actualización anual de la formación en materia de seguridad. Formación ad hoc: se proporciona formación adicional para nuevos sistemas, políticas o amenazas emergentes.
4. Documentación
La asistencia y la finalización de la formación se documentan y almacenan de forma segura. Los empleados deben confirmar que comprenden los materiales de formación.
2. Campañas de concienciación
Simulaciones de phishing: se realizan simulaciones periódicas de phishing para evaluar la concienciación de los empleados y reforzar la formación. Boletines de seguridad: se distribuyen boletines periódicos para compartir actualizaciones sobre amenazas a la seguridad, buenas prácticas y cambios en las políticas. Revisiones de incidentes: se realizan revisiones posteriores a los incidentes para analizar las lecciones aprendidas y mejorar las prácticas de seguridad.
3. Cumplimiento y aplicación
El incumplimiento de los requisitos de formación en materia de seguridad puede dar lugar a medidas disciplinarias, incluido el despido. revzper SAS se reserva el derecho de auditar la finalización de la formación y el cumplimiento de las políticas de seguridad.
4. Contacto para consultas sobre la formación
Para cualquier pregunta sobre nuestro programa de formación en materia de seguridad, póngase en contacto con el DPO en privacy@revzper.com.