Política de seguridad
Notificación de vulnerabilidades de seguridad
revzper SAS se toma muy en serio la seguridad de la plataforma Euphile. Si descubre una vulnerabilidad de seguridad, le rogamos que la comunique de forma responsable enviando un correo electrónico a contact@revzper.com. Confirmaremos la recepción en un plazo de 48 horas y procuraremos proporcionar una evaluación inicial en un plazo de 5 días laborables. No emprenderemos acciones legales contra los investigadores que sigan prácticas de divulgación responsable.
Cumplimiento de la normativa de protección de datos
revzper SAS, como responsable del tratamiento de datos de la plataforma Euphile, se compromete a cumplir plenamente el Reglamento General de Protección de Datos (GDPR) y demás leyes de protección de datos de la UE aplicables. Esta política describe nuestro cumplimiento de los siguientes principios:
1. Principios del GDPR
Todas las actividades de tratamiento de datos se llevan a cabo con una base jurídica clara, incluido el consentimiento, la ejecución de un contrato o el interés legítimo, tal como se especifica en nuestra Política de privacidad.
Ref: GDPR
2. Derechos de los interesados
Como interesado, tiene los siguientes derechos en relación con sus datos personales tratados en la plataforma Euphile:
Ref: GDPR
- Solicitar confirmación de si sus datos están siendo tratados y acceder a dichos datos.
- Solicitar la rectificación de datos personales inexactos o incompletos.
- Solicitar la supresión de sus datos personales en determinadas condiciones.
- Solicitar la limitación del tratamiento en determinadas circunstancias.
- Recibir sus datos personales en un formato estructurado, de uso común y legible por máquina.
- Oponerse al tratamiento basado en intereses legítimos o en la mercadotecnia directa.
- Retirar el consentimiento para el tratamiento cuando este haya sido la base jurídica.
3. Base jurídica del tratamiento
La base jurídica para el tratamiento de datos personales en la plataforma Euphile varía según el producto y el servicio. Para obtener información detallada, consulte la Política de privacidad de cada producto (Solon, Vauban, Nassau, Leonardo, Atlas, Plutus, Tzu, Richelieu).
Ref: GDPR
4. Delegado de Protección de Datos (DPO)
revzper SAS ha designado un Delegado de Protección de Datos para supervisar las prácticas de protección de datos. Puede ponerse en contacto con el DPO en privacy@revzper.com.
Ref: GDPR
Medidas de seguridad
Nuestra plataforma emplea las siguientes medidas de seguridad para proteger los datos personales:
1. Cifrado
1. En tránsito
Todos los datos transmitidos entre los usuarios y nuestra plataforma se cifran mediante protocolos estándar del sector para garantizar canales de comunicación seguros.
2. En reposo
Los datos sensibles se cifran mediante estándares de cifrado sólidos, y las claves de cifrado se gestionan de conformidad con las mejores prácticas.
2. Controles de acceso
1. Control de acceso basado en roles
Se implementa un control de acceso basado en roles para garantizar que los usuarios solo tengan acceso a los datos y funciones necesarios para sus roles.
2. Autenticación multifactor
Se requiere autenticación multifactor para todo acceso administrativo a la plataforma.
3. Evaluaciones de seguridad
1. Análisis de vulnerabilidades y pruebas de penetración
Se realizan periódicamente análisis de vulnerabilidades y pruebas de penetración para identificar y abordar las deficiencias de seguridad.
2. Evaluaciones internas de seguridad
Se llevan a cabo evaluaciones internas de seguridad para revisar los registros de acceso, las configuraciones del sistema y el cumplimiento de las políticas de seguridad.
4. Supervisión automatizada
1. Supervisión continua
Supervisión continua de los registros del sistema, el tráfico de red y la actividad de los usuarios para detectar y responder a comportamientos sospechosos en tiempo real.
2. Alertas automatizadas
Se generan alertas automatizadas para posibles incidentes de seguridad, lo que permite una respuesta rápida.
5. Certificaciones de cumplimiento
Nuestra infraestructura y nuestros procesos están diseñados para cumplir normas de seguridad reconocidas. Las certificaciones se verifican periódicamente y se ponen a disposición previa solicitud. Todos los datos se tratan dentro de la Unión Europea en una infraestructura que cumple las normas de seguridad del sector.
Respuesta a incidentes y notificación de violaciones de seguridad
revzper SAS ha establecido un procedimiento sólido de respuesta a incidentes para abordar incidentes de seguridad, violaciones de la seguridad de los datos o accesos no autorizados a datos personales. Nuestro objetivo es detectar, contener y mitigar los incidentes con prontitud, garantizando al mismo tiempo el cumplimiento de las obligaciones legales.
1. Procedimiento de respuesta a incidentes
Ref: GDPR
1. Detección y notificación
Los incidentes de seguridad se detectan mediante herramientas de supervisión automatizada y notificaciones manuales. Los empleados y contratistas reciben formación para notificar inmediatamente los incidentes sospechados a privacy@revzper.com o a través de la línea directa de respuesta a incidentes en contact@revzper.com.
Ref: GDPR
2. Evaluación y contención
El equipo de respuesta a incidentes, dirigido por el DPO, evalúa el alcance y el impacto del incidente. Se implementan medidas de contención inmediatas para evitar nuevos accesos no autorizados o pérdidas de datos.
Ref: GDPR
3. Notificación a las autoridades de control
En caso de una violación de la seguridad de los datos personales, revzper SAS notificará a la autoridad de control competente en un plazo de 72 horas desde que tenga conocimiento de la violación, salvo que sea improbable que la violación entrañe un riesgo para los derechos y libertades de los interesados. La notificación incluirá: Una descripción de la naturaleza de la violación. Las categorías y el número aproximado de interesados y registros afectados. Las consecuencias probables de la violación. Las medidas adoptadas o propuestas para abordar la violación.
Ref: GDPR
4. Comunicación a los interesados afectados
Si es probable que la violación entrañe un alto riesgo para los derechos y libertades de los interesados, revzper SAS comunicará la violación a las personas afectadas sin dilación indebida. La comunicación incluirá: Una descripción clara de la violación. Las medidas adoptadas para abordar la violación. Recomendaciones para que los interesados protejan sus derechos.
Ref: GDPR
5. Documentación y revisión
Todos los incidentes se documentan, incluida la causa raíz, las acciones de respuesta y las lecciones aprendidas. El procedimiento de respuesta a incidentes se revisa y actualiza periódicamente para incorporar mejoras.
Ref: GDPR
2. Vía de escalado
Incidentes menores: gestionados por el equipo interno de seguridad bajo la supervisión del DPO. Incidentes graves: escalados a la alta dirección y al consejo de administración, con notificación obligatoria a la autoridad de control.
Ref: GDPR
3. Contacto para incidentes
Para consultas o para informar de un incidente, contacte con el DPO en privacy@revzper.com.
Ref: GDPR
Gestión de riesgos de terceros
revzper SAS reconoce que los proveedores externos, los subencargados del tratamiento y los proveedores de servicios pueden tratar datos personales en nombre de nuestra plataforma. Nos comprometemos a garantizar que todos los terceros cumplan las mismas normas estrictas de protección y seguridad de datos que revzper SAS.
1. Subencargados del tratamiento y proveedores de servicios
Los siguientes terceros son contratados por revzper SAS para prestar servicios que implican el tratamiento de datos personales. Cada subencargado del tratamiento se selecciona sobre la base de una diligencia debida rigurosa y garantías contractuales:
Ref: GDPR
- Servicio: Alojamiento en la nube
Subencargado del tratamiento: Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France
Ubicación de los datos: Francia (región de París), Unión Europea
Certificaciones de cumplimiento: ISO/IEC 27001:2022; HDS (alojamiento de datos sanitarios)
Acuerdo de tratamiento de datos: Scaleway Data Processing Agreement, https://www.scaleway.com/en/contracts/
- Servicio: Tratamiento de pagos
Subencargado del tratamiento: Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Netherlands
Ubicación de los datos: Unión Europea (Países Bajos)
Certificaciones de cumplimiento: Proveedor de servicios PCI DSS de nivel 1; entidad de pago autorizada por De Nederlandsche Bank
Acuerdo de tratamiento de datos: Mollie trata los datos de pago como responsable independiente del tratamiento en virtud de su User Agreement y Privacy Statement, https://www.mollie.com/legal/privacy
- Servicio: Inferencia de IA (modelos de OpenAI)
Subencargado del tratamiento: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Ireland (Microsoft Foundry, Azure OpenAI Service)
Ubicación de los datos: Unión Europea: implementaciones de zona de datos en un recurso en Francia (France Central); las indicaciones y respuestas se procesan dentro del Azure EU Data Boundary, datos en reposo en Francia
Certificaciones de cumplimiento: ISO/IEC 27001, SOC 2 (Microsoft Service Trust Portal, https://servicetrust.microsoft.com/)
Acuerdo de tratamiento de datos: Microsoft Products and Services Data Protection Addendum, https://aka.ms/DPA; condiciones de datos para modelos de Foundry, https://learn.microsoft.com/en-us/azure/foundry/responsible-ai/openai/data-privacy
- Servicio: Inferencia de IA (modelos de Mistral)
Subencargado del tratamiento: Mistral AI SAS, RCS Paris 952 418 325, 15 rue des Halles, 75001 Paris, France (La Plateforme)
Ubicación de los datos: Unión Europea (inferencia en el endpoint regional de la UE de Mistral; los datos se alojan en la Unión Europea de forma predeterminada; las entradas y salidas de la API se conservan durante treinta días consecutivos para la supervisión de abusos)
Certificaciones de cumplimiento: SOC 2 Type II; ISO/IEC 27001 y 27701 (Mistral AI Trust Center, https://trust.mistral.ai/)
Acuerdo de tratamiento de datos: Mistral AI Data Processing Addendum, https://legal.mistral.ai/terms/data-processing-addendum/
2. Diligencia debida y selección
Todos los posibles subencargados del tratamiento se evalúan en función de sus prácticas de seguridad, certificaciones de cumplimiento y compromisos de protección de datos. Se establecen Acuerdos de Tratamiento de Datos con todos los subencargados del tratamiento, en los que se describen sus obligaciones relativas a la protección de datos, la seguridad y la notificación de violaciones de la seguridad de los datos. revzper SAS revisa periódicamente el desempeño y el cumplimiento de los subencargados del tratamiento para garantizar el cumplimiento continuado de la normativa aplicable.
Ref: GDPR
3. Respuesta a incidentes y notificación de violaciones de la seguridad de los datos
Los subencargados del tratamiento están obligados a notificar inmediatamente a revzper SAS cualquier violación de la seguridad de los datos sospechada o real. revzper SAS evaluará el impacto de la violación y adoptará las medidas adecuadas, incluida la notificación a la autoridad de control competente y a los interesados afectados, según lo exija la normativa aplicable.
Ref: GDPR
4. Contacto para la gestión de riesgos de terceros
Para consultas sobre nuestras prácticas de gestión de riesgos de terceros, contacte con el DPO en privacy@revzper.com.
Ref: GDPR
Formación y concienciación de seguridad para empleados
revzper SAS se compromete a fomentar una cultura de concienciación sobre la seguridad entre todos los empleados y contratistas. La formación y la educación periódicas son esenciales para mantener la seguridad de nuestra plataforma y proteger los datos personales.
1. Programa de formación
1. Ámbito
Todos los empleados y contratistas con acceso a los sistemas o datos de revzper SAS deben completar la formación de seguridad.
2. Temas tratados
Concienciación sobre las amenazas comunes a la seguridad (p. ej., phishing, ingeniería social). Prácticas de autenticación segura. Control de acceso y principios de mínimo privilegio. Procedimientos de notificación de incidentes. Principios de protección de datos y cumplimiento normativo. Prácticas de desarrollo seguro (para el personal técnico). Seguridad física y seguridad en el lugar de trabajo.
3. Frecuencia de la formación
Nuevas incorporaciones: formación de seguridad obligatoria durante los primeros 30 días de empleo. Actualización anual: todos los empleados y contratistas deben completar una actualización anual de la formación de seguridad. Formación ad hoc: se proporciona formación adicional para nuevos sistemas, políticas o amenazas emergentes.
4. Documentación
La asistencia y la finalización de la formación se documentan y almacenan de forma segura. Los empleados deben confirmar que comprenden los materiales de formación.
2. Campañas de concienciación
Simulaciones de phishing: Se realizan simulaciones periódicas de phishing para evaluar la concienciación de los empleados y reforzar la formación. Boletines de seguridad: Se distribuyen boletines periódicos para compartir actualizaciones sobre amenazas a la seguridad, buenas prácticas y cambios en las políticas. Revisiones de incidentes: Se realizan revisiones posteriores a los incidentes para analizar las lecciones aprendidas y mejorar las prácticas de seguridad.
3. Cumplimiento y aplicación
El incumplimiento de los requisitos de formación en materia de seguridad puede dar lugar a medidas disciplinarias, incluido el despido. revzper SAS se reserva el derecho de auditar la finalización de la formación y el cumplimiento de las políticas de seguridad.
4. Contacto para consultas sobre formación
Para cualquier pregunta sobre nuestro programa de formación en materia de seguridad, póngase en contacto con el DPO en privacy@revzper.com.