Protección de datos y privacidad

7.1 Resumen y finalidad

Este capítulo define las obligaciones de protección de datos y privacidad que rigen el tratamiento de Datos Personales dentro de la Plataforma ProjectVIEW ERP y por medio de ella durante el Plazo de Suscripción. Establece la base regulatoria, asigna las responsabilidades del Responsable y del Encargado, expone las salvaguardas técnicas y organizativas aplicadas a los Datos Personales y especifica los procedimientos de notificación de brechas y de derechos de los titulares que ambas Partes deberán seguir.

El Proveedor opera bajo un modelo de cumplimiento de doble jurisdicción, manteniendo una alineación simultánea con:

• (a) el Reglamento General de Protección de Datos de la Unión Europea (UE) 2016/679 («RGPD»), incluidas todas las opiniones y directrices adoptadas del Comité Europeo de Protección de Datos (CEPD); y
• (b) (ii) el Decreto-Ley Federal n.º 45 de 2021 de los Emiratos Árabes Unidos sobre la Protección de Datos Personales («LPDP de los EAU») y su normativa de desarrollo. Cuando un Cliente opere en jurisdicciones adicionales, podrán ejecutarse anexos suplementarios de tratamiento de datos conforme al §7.14.

DANAOS Projects Software Solutions LLC ha establecido como objetivo principal la adopción de principios de protección de datos y la incorporación de una mentalidad estricta de protección de datos en todas las operaciones comerciales diarias. El Proveedor ha logrado de forma constante el cumplimiento del marco jurídico vigente en materia de protección de datos y ha adoptado las acciones derivadas de la derogación de la Directiva 95/46/CE, el establecimiento del RGPD (UE) 2016/679 y la promulgación del LPDP de los EAU.

Este capítulo, junto con el Acuerdo de Tratamiento de Datos («DPA») anexo a este Marco (§7.5), constituye el marco contractual vinculante exigido por el artículo 28 del RGPD y el artículo 29 del LPDP de los EAU para el tratamiento lícito de Datos Personales por un Encargado del tratamiento en nombre de un Responsable del tratamiento.

7.2 Alcance

Este capítulo se aplica a todos los Datos Personales tratados por el Proveedor en relación con la prestación de la Plataforma y de los servicios asociados, incluidos, entre otros:

• (a) Datos de empleados del Cliente: registros de personal, datos de nómina, hojas de horas, asistencia, registros de productividad laboral e información de identidad tratada dentro de los módulos PV_07 (HRMS-Nómina) y PV_A (Operaciones de obra y productividad laboral).
• (b) Contactos y contrapartes del Cliente: nombres, direcciones de correo electrónico, números de teléfono y correspondencia comercial de subcontratistas, proveedores, clientes y otros terceros gestionados dentro de los módulos PV_03, PV_04, PV_09 y PV_10.
• (c) Credenciales de usuarios finales y registros de actividad: credenciales de cuentas de usuario, tokens de autenticación, registros de sesión, direcciones IP, huellas del navegador y datos de trazabilidad de auditoría generados por el módulo de Gestión de Usuarios y Roles de la Plataforma (STY).
• (d) Datos de soporte y comunicación: Datos Personales contenidos en tickets de soporte, mensajes de grupos de WhatsApp Business, grabaciones de formación, contenido de sesiones transcrito por IA y cualquier otra comunicación intercambiada a través del modelo de soporte omnicanal del Proveedor (§4.2).
• (e) Datos de proyecto y financieros: cuando los registros de proyectos, los datos de compras, los asientos contables o los registros de control de costes contienen información identificable de personas físicas, por ejemplo trabajadores nombrados o facturas de consultores, dichos datos quedan comprendidos en el alcance.
• (f) Datos de configuración y maestros: elementos de datos maestros que hacen referencia a personas identificables, incluidos registros de personal, jerarquías organizativas, matrices de aprobación y autoridades de firma.

7.3 Marco regulatorio

El programa de protección de datos del Proveedor se fundamenta en los siguientes instrumentos normativos, normas y directrices:

Texto completo del RGPD — EUR-Lex LPDP de los EAU — Decreto-Ley Federal n.º 45 de 2021 Cláusulas Contractuales Tipo de la UE (2021/914) ISO/IEC 27701:2019 — PIMS Ley de IA de la UE — Reglamento (UE) 2024/1689

7.4 Funciones y responsabilidades

7.4.1 Asignación de Responsable y Encargado

Por la naturaleza de sus operaciones comerciales, la función del Proveedor en virtud de la normativa aplicable de protección de datos se determina de la siguiente manera:

• (a) Encargado del tratamiento: El Proveedor actúa como Encargado del tratamiento respecto de cualquier actividad de tratamiento de Datos Personales realizada en nombre del Cliente dentro de la Plataforma. El Cliente, como Responsable del tratamiento, determina los fines y los medios del tratamiento; el Proveedor trata los Datos Personales únicamente siguiendo las instrucciones documentadas del Responsable (§7.5).
• (b) Responsable del tratamiento (ámbito limitado): El Proveedor actúa como Responsable del tratamiento independiente respecto de las actividades de tratamiento realizadas sobre los Datos Personales de sus propios empleados, por ejemplo el personal del Proveedor asignado a la cuenta del Cliente, los datos de contacto comercial para la gestión de la relación comercial y los análisis anonimizados o agregados que no puedan volver a identificar a ninguna persona física.
• (c) Contratación de subencargados: El Proveedor no contratará a ningún Subencargado para tratar Datos Personales sin la autorización previa específica o general por escrito del Responsable. Cuando se otorgue una autorización general, el Proveedor notificará al Responsable cualquier incorporación o sustitución prevista de Subencargados, dando al Responsable la oportunidad de oponerse (§7.6).

7.4.2 Delegado de Protección de Datos

El Proveedor ha designado un Delegado de Protección de Datos (DPD) de conformidad con los artículos 37 a 39 del RGPD y el artículo 10 del LPDP de los EAU. El DPD es responsable de: (i) supervisar el cumplimiento de la legislación aplicable en materia de protección de datos; (ii) asesorar sobre las Evaluaciones de Impacto sobre la Protección de Datos (§7.10); (iii) actuar como punto de contacto para las autoridades de control; y (iv) atender las consultas de los titulares.

Los titulares de los datos y los contactos del Cliente pueden comunicarse con el DPD en: [email protected]

Los empleados de DANAOS pueden contactar con el DPD para cualquier aclaración sobre los principios de protección de datos y solicitar directrices para realizar el tratamiento de datos de forma óptima y evitar posibles infracciones de la legislación.

7.4.3 Matriz RACI — Protección de datos

Leyenda: R = Responsible (realiza el trabajo) │ A = Accountable (asume la responsabilidad del resultado) │ C = Consulted │ I = Informed

7.5 Acuerdo de Tratamiento de Datos (DPA)

Las Partes podrán suscribir un Acuerdo de Tratamiento de Datos («DPA»), que constituye el contrato del artículo 28 exigido por el RGPD y el acuerdo equivalente de encargado exigido por el artículo 29 del LPDP de los EAU. El DPA deberá, como mínimo, especificar:

• (a) Objeto y duración: El DPA cubre todo el tratamiento de Datos Personales realizado por el Proveedor en la prestación de la Plataforma durante todo el Plazo de Suscripción, además de cualquier período de retención o devolución de datos posterior a la terminación (§7.13).
• (b) Naturaleza y finalidad del tratamiento: alojamiento, almacenamiento, transmisión, copia de seguridad y procesamiento de Datos Personales dentro del entorno privado soberano dedicado del Cliente, con el fin de permitir la gestión de proyectos de construcción, la gestión financiera, la gestión de recursos humanos y las operaciones de compras del Cliente.
• (c) Categorías de titulares de los datos: empleados del Cliente, personal de subcontratistas, contactos de proveedores, contactos de clientes, trabajadores de obra y cualquier otra persona física cuyos datos el Cliente introduzca en la Plataforma.
• (d) Tipos de Datos Personales: datos de identificación (nombres, documentos de identidad nacionales, números de pasaporte), datos de contacto (correo electrónico, teléfono, dirección), datos laborales (puesto, salario, asistencia, permisos), datos financieros (datos bancarios para nómina), datos de asignación de proyectos, credenciales de acceso y metadatos de trazabilidad de auditoría.
• (e) Instrucciones documentadas: El Proveedor tratará los Datos Personales únicamente siguiendo instrucciones documentadas del Responsable, incluso en lo relativo a transferencias a terceros países, salvo que el Derecho de la Unión o de los Estados miembros al que esté sujeto el Proveedor le obligue a hacerlo (art. 28.3.a del RGPD).
• (f) Confidencialidad: Todo el personal del Proveedor autorizado a tratar Datos Personales se ha comprometido a guardar confidencialidad o está sujeto a una obligación estatutaria de confidencialidad adecuada (art. 28.3.b del RGPD).
• (g) Supresión o devolución: A la terminación, el Proveedor, a elección del Responsable, suprimirá o devolverá todos los Datos Personales y eliminará las copias existentes salvo que la legislación de la Unión o de un Estado miembro exija su conservación (§7.13).
• (h) Derechos de auditoría: El Proveedor pondrá a disposición del Responsable toda la información necesaria para demostrar el cumplimiento y permitirá y contribuirá a las auditorías, incluidas las inspecciones, realizadas por el Responsable o por un auditor designado por el Responsable (§7.11).

7.6 Gestión de subencargados

El Proveedor recurre a un número limitado de Subencargados para prestar componentes de la Plataforma y los servicios asociados. Se aplica la siguiente gobernanza de Subencargados:

• (a) Modelo de autorización: El Cliente concede una autorización general para la contratación de Subencargados, sujeta a la obligación del Proveedor de: (i) mantener un registro actualizado de Subencargados; (ii) notificar al Cliente cualquier incorporación o sustitución prevista con no menos de treinta (30) días naturales de antelación al inicio del tratamiento por el nuevo Subencargado; y (iii) proporcionar información suficiente para que el Cliente pueda ejercer su derecho de oposición.
• (b) Derecho de oposición: Si el Cliente se opone razonablemente a un nuevo Subencargado por motivos legítimos de protección de datos, el Proveedor deberá: (i) abstenerse de contratar al Subencargado y ofrecer una alternativa; o (ii) si no es viable ninguna alternativa, cualquiera de las Partes podrá resolver los servicios afectados sin penalización, sujeto a un período razonable de desmantelamiento.
• (c) Obligaciones en cascada: El Proveedor impondrá contractualmente a cada Subencargado las mismas obligaciones de protección de datos establecidas en el DPA (§7.5), en particular proporcionando garantías suficientes para aplicar medidas técnicas y organizativas adecuadas de modo que el tratamiento cumpla los requisitos del RGPD y del LPDP de los EAU.
• (d) Responsabilidad: El Proveedor seguirá siendo plenamente responsable frente al Cliente del cumplimiento de las obligaciones del Subencargado en virtud del DPA. Cuando un Subencargado incumpla sus obligaciones de protección de datos, el Proveedor será responsable de los actos y omisiones del Subencargado como si fueran actos u omisiones propios del Proveedor.

7.6.1 Registro de Subencargados

La siguiente tabla enumera los Subencargados contratados por el Proveedor a la Fecha de Entrada en Vigor. El registro se mantiene y actualiza conforme al §7.6(a).

Nota: Los datos de la Plataforma del Cliente residen en un entorno privado soberano dedicado; no se mezclan datos de clientes entre inquilinos. La región de alojamiento se selecciona según el DPA del Cliente y puede restringirse a una región específica de Azure para cumplir los requisitos de localización de datos del LPDP de los EAU o de otra normativa aplicable.

7.7 Principios de protección de datos

Toda actividad de tratamiento de Datos Personales realizada por el Proveedor, ya sea como Responsable del tratamiento o como Encargado del tratamiento, se caracterizará por los siguientes principios, alineados con el artículo 5 del RGPD y el artículo 4 del LPDP de los EAU:

7.8 Medidas técnicas y organizativas (TOM)

El Proveedor implementa y mantiene las siguientes medidas técnicas y organizativas para garantizar un nivel de seguridad adecuado al riesgo, de conformidad con el artículo 32 del RGPD y el artículo 28 del LPDP de los EAU. Estas medidas se alinean con los objetivos de control de ISO/IEC 27001:2022 e ISO/IEC 27701:2019. El Sistema de Gestión de la Seguridad de la Información (SGSI) del Proveedor es mantenido por el Departamento de TI.

7.8.1 Control de acceso y autenticación

• (a) Complejidad de contraseña: longitud mínima, requisitos de clases de caracteres y prohibición de contraseñas comunes o comprometidas aplicados en la capa de aplicación.
• (b) Caducidad de contraseñas: Política configurable de rotación de contraseñas; período de rotación predeterminado de 90 días, configurable según la política del Cliente. Este valor predeterminado de rotación periódica es una configuración de la política del Cliente y no se presenta como alineado con la guía de NIST sobre rotación de contraseñas.
• (c) Bloqueo por autenticación fallida: bloqueo de la cuenta tras un número configurable de intentos fallidos consecutivos; la duración del bloqueo aumenta con infracciones repetidas.
• (d) Historial de contraseñas: el sistema impide reutilizar las últimas N contraseñas (configurable según la política del Cliente).
• (e) Autenticación multifactor (MFA): la autenticación de segundo factor es compatible y recomendada para todas las cuentas administrativas y privilegiadas. Los métodos MFA incluyen TOTP (contraseña de un solo uso basada en tiempo), notificación push y claves de hardware FIDO2.
• (f) Inicio de sesión único (SSO): la Plataforma admite la integración con proveedores de identidad empresariales mediante SAML 2.0 y OpenID Connect, lo que permite la gestión centralizada de credenciales y reduce la superficie de ataque asociada a la proliferación de contraseñas.
• (g) Gestión de sesiones: mecanismo de bloqueo automático por inactividad; tiempo de espera de sesión inactiva configurable; invalidación de sesión al cambiar la contraseña o suspender la cuenta.
• (h) Control de acceso basado en roles (RBAC): el módulo de Gestión de Usuarios y Roles (STY) aplica un control de acceso granular basado en roles a nivel de módulo, función, campo y registro. La segregación de funciones se aplica mediante la detección de roles en conflicto.
• (i) Acceso remoto restringido: el acceso administrativo remoto a la infraestructura del Proveedor está restringido al personal autorizado mediante túneles VPN cifrados con MFA; todas las sesiones remotas se registran y pueden auditarse.

7.8.2 Cifrado

• (a) Datos en tránsito: toda la comunicación cliente-servidor se cifra mediante TLS 1.2 o superior. El cifrado de transmisión de datos extremo a extremo se aplica en todas las interfaces, API y puntos de integración de la Plataforma.
• (b) Datos en reposo: Se aplica Transparent Data Encryption (TDE) a todas las instancias de base de datos. Las copias de seguridad de la base de datos se cifran mediante cifrado AES-256. Las claves de cifrado se gestionan a través del Key Management Service del proveedor en la nube, con opciones de clave administrada por el cliente (CMK) disponibles.
• (c) Gestión de claves: Las claves de cifrado se rotan conforme a un calendario definido. Los procedimientos de gestión de claves siguen los controles del Anexo A.10 de la norma ISO 27001. Se utilizan Hardware Security Modules (HSMs) para la protección de la clave raíz cuando están disponibles.

7.8.3 Seguridad de bases de datos

• (a) Conexiones a bases de datos: Las conexiones a las instancias de base de datos se controlan, supervisan y restringen únicamente a servicios autorizados de la capa de aplicaciones y al personal de DBA designado.
• (b) Cuentas predeterminadas: El DBA protege las cuentas de sistema predeterminadas; todas las contraseñas predeterminadas se cambian inmediatamente tras el aprovisionamiento; las cuentas predeterminadas innecesarias se deshabilitan.
• (c) Privilegio mínimo: Las cuentas de usuario de base de datos se aprovisionan con los permisos y roles mínimos necesarios para su función. Los privilegios del sistema se eliminan salvo que se requieran y aprueben expresamente.
• (d) Registro de auditoría: El registro de auditoría de la base de datos captura todas las operaciones DDL, la actividad de usuarios privilegiados, los intentos fallidos de autenticación y las operaciones de exportación de datos. Los registros se conservan durante un mínimo de doce (12) meses y evidencian alteraciones.
• (e) Acceso remoto del DBA: La administración remota de la base de datos se restringe a personas nominalmente identificadas mediante canales cifrados con autenticación multifactor. Todas las sesiones del DBA se registran con trazabilidad de auditoría completa a nivel de comandos.

7.8.4 Seguridad de red

• (a) Defensa perimetral: Firewalls de nueva generación, Web Application Firewalls (WAF) y servicios de protección frente a DDoS protegen el perímetro de la plataforma. La segmentación de red aísla el entorno soberano privado del Cliente de otra infraestructura del Proveedor.
• (b) Detección de intrusiones y supervisión: Herramientas nativas de la nube de SIEM y de supervisión de red proporcionan alertas en tiempo real sobre patrones anómalos de tráfico, intentos de escaneo de puertos e indicadores de movimiento lateral.
• (c) Gestión de vulnerabilidades: Se realizan análisis periódicos de vulnerabilidades y pruebas de penetración anuales. Las vulnerabilidades críticas y de alta severidad se remedian dentro de los plazos especificados en §3.5 (Clasificación de prioridad de incidentes).

7.8.5 Medidas organizativas

• (a) Acuerdos de confidencialidad: Todo el personal del Proveedor autorizado para tratar Datos Personales ha firmado acuerdos de confidencialidad y no divulgación y está sujeto a una obligación legal de confidencialidad adecuada.
• (b) Formación y concienciación: El personal del Proveedor recibe formación anual sobre protección de datos que abarca GDPR, UAE PDPL, notificación de brechas, ingeniería social y prácticas de codificación segura.
• (c) Mesa limpia y pantalla despejada: En todas las instalaciones del Proveedor se aplican políticas de mesa limpia y pantalla despejada para evitar la exposición inadvertida de Datos Personales.
• (d) Política de uso de activos: Todos los activos de hardware y software se utilizan exclusivamente para fines empresariales y para la ejecución de tareas correspondientes a la descripción del puesto de cada empleado.

7.9 Derechos del interesado

El Proveedor reconoce los derechos de los Interesados tal como se definen en el Capítulo III del GDPR (artículos 12 a 23) y en los artículos 12 a 18 de la UAE PDPL, y asistirá al Cliente en el cumplimiento de su obligación de responder a las solicitudes de los Interesados de conformidad con el artículo 28(3)(e) del GDPR y el artículo 29 de la UAE PDPL. El Proveedor deberá:

• (a) Notificar de inmediato al Cliente la recepción de una solicitud de un Interesado relacionada con datos del Cliente, sin responder directamente al Interesado salvo que el Cliente lo indique.
• (b) Proporcionar al Cliente la capacidad técnica para extraer, rectificar, restringir, portar o eliminar Datos Personales mediante la funcionalidad de la Plataforma o, cuando no esté disponible a través de la UI, mediante operaciones de base de datos ejecutadas por el Proveedor dentro de los plazos exigidos por la ley.
• (c) Mantener registros de auditoría de todas las acciones de atención de solicitudes del Interesado durante un mínimo de veinticuatro (24) meses.

7.9.1 Matriz de atención de derechos

Sustitución por conservación legal: Cuando la supresión o la limitación entren en conflicto con una obligación legal (por ejemplo, conservación documental obligatoria, litigio pendiente o investigación regulatoria), el Proveedor informará al Cliente y al Interesado de la base jurídica para continuar el tratamiento, y limitará el tratamiento al mínimo necesario para cumplirla.

7.10 Evaluación de impacto en la protección de datos (DPIA)

Cuando un tipo de tratamiento pueda dar lugar a un alto riesgo para los derechos y libertades de las personas físicas, el Cliente, como Responsable del tratamiento, llevará a cabo una Evaluación de impacto relativa a la protección de datos de conformidad con el artículo 35 del GDPR y el artículo 23 de la UAE PDPL. El Proveedor deberá:

• (a) Proporcionar al Cliente toda la información necesaria para realizar la DPIA, incluida la documentación de los flujos de datos de la Plataforma, las políticas de conservación, el modelo de control de acceso y los mecanismos de transferencia transfronteriza.
• (b) Asistir al Cliente en la realización de la EIPD cuando así se solicite, incluso proporcionando una plantilla de EIPD ya completada que cubra las operaciones de tratamiento estándar realizadas por la Plataforma.
• (c) Notificar al Cliente si, a juicio del Proveedor, una nueva funcionalidad, activación de módulo, integración o cambio en las operaciones de tratamiento desencadena la necesidad de una nueva EIPD o de una EIPD actualizada.
• (d) EIPD específica de IA: Cuando los componentes de IA de la Plataforma (por ejemplo, transcripción asistida por IA, detección de anomalías AIOps, orientación contextual en la aplicación) traten Datos Personales, se llevará a cabo una EIPD complementaria específica de IA que aborde el sesgo algorítmico, la transparencia de la toma de decisiones automatizada, la minimización de datos en los conjuntos de entrenamiento y los derechos de los Interesados en virtud del artículo 22 del RGPD (toma de decisiones individual automatizada). Esta evaluación también tendrá en cuenta las obligaciones derivadas de la Ley de IA de la UE (Reglamento (UE) 2024/1689) y del NIST AI Risk Management Framework.

7.11 Auditoría y cumplimiento

7.11.1 Obligaciones del Proveedor

El Proveedor deberá:

• (d) Mantener un Registro de Actividades de Tratamiento (RoPA) de conformidad con el artículo 30 del RGPD, que abarque todas las operaciones de tratamiento realizadas por cuenta del Cliente.
• (e) Poner a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el artículo 28 del RGPD y en el artículo 29 de la PDPL de los EAU.
• (f) Permitir y contribuir a las auditorías, incluidas las inspecciones, realizadas por el Cliente o por un auditor designado por el Cliente, con sujeción a: (i) un aviso previo razonable no inferior a treinta (30) días naturales; (ii) un alcance de auditoría limitado a las actividades de tratamiento cubiertas por el DPA; (iii) la firma por el auditor de un acuerdo de confidencialidad aceptable para el Proveedor; y (iv) que las auditorías se lleven a cabo durante el horario comercial normal de manera que se minimicen las interrupciones.
• (g) Informar inmediatamente al Cliente si, a juicio del Proveedor, una instrucción del Cliente infringe el RGPD, la PDPL de los EAU o cualquier otra ley aplicable de protección de datos (RGPD art. 28(3)(h)).

7.11.2 Frecuencia y alcance de la auditoría

Se aplica el siguiente calendario de auditoría:

7.12 Conservación y destrucción de datos

Los Datos Personales no se conservarán durante más tiempo del necesario para los fines para los que fueron recogidos. Se aplica el siguiente marco de conservación:

• (a) Tratamiento activo: Los Datos Personales se tratan activamente durante todo el Período de Suscripción y cualquier período de cierre posterior a la terminación acordado conforme al DPA.
• (b) Períodos de conservación: Cuando la legislación aplicable imponga períodos específicos de conservación (por ejemplo, conservación de registros en materia laboral, requisitos de la autoridad tributaria, órdenes regulatorias de preservación), el Proveedor conservará la cantidad mínima necesaria de datos durante el período prescrito, claramente segregada y con acceso restringido.
• (c) Aplicación automatizada: La Plataforma admite políticas de conservación de datos configurables que marcan, archivan o depuran automáticamente los registros que superan su período de conservación definido. El Cliente define las reglas de conservación; el Proveedor implementa la aplicación técnica.
• (d) Destrucción segura: Cuando se eliminen Datos Personales, el Proveedor garantizará su destrucción segura mediante: (i) borrado criptográfico para datos cifrados (dejando irrecuperable la clave de cifrado); (ii) sobrescritura múltiple para soportes no cifrados; y (iii) certificados de confirmación de eliminación proporcionados al Cliente previa solicitud.
• (e) Conservación de copias de seguridad: Las copias de seguridad que contengan Datos Personales están sujetas a las mismas políticas de conservación y destrucción. El Proveedor garantizará que los Datos Personales eliminados se depuren de todos los ciclos de copia de seguridad dentro de los noventa (90) días naturales siguientes a la instrucción de eliminación, salvo que en el DPA se especifique un plazo más breve.

NIST SP 800-88 Rev. 1 — Directrices para la sanitización de soportes

7.13 Devolución de datos y portabilidad al finalizar

Al término o vencimiento del Marco, se aplican las siguientes disposiciones de devolución y portabilidad de datos:

• (a) Plazo para la devolución de datos: El Cliente dispondrá de un plazo de sesenta (60) días naturales desde la fecha efectiva de terminación para solicitar la devolución de todos los Datos Personales y Datos del Cliente en un formato estructurado, de uso común y legible por máquina (CSV, JSON, XML o volcado SQL).
• (b) Opciones de formato: El Proveedor ofrecerá la exportación de datos en al menos tres formatos legibles por máquina. La exportación incluirá: (i) todos los datos transaccionales de los módulos activados; (ii) los registros de datos maestros; (iii) los archivos adjuntos de documentos; (iv) los registros de auditoría; y (v) los metadatos de configuración suficientes para reconstruir la configuración operativa del Cliente en un sistema sucesor.
• (c) Eliminación tras la devolución: Tras la confirmación de que el Cliente ha recibido y verificado los datos exportados, o al expirar el plazo de sesenta (60) días para la devolución de datos, lo que ocurra antes, el Proveedor eliminará de forma segura todos los Datos Personales de todos los sistemas, incluidas las bases de datos de producción, los entornos de prueba, las copias de seguridad y las réplicas de recuperación ante desastres.
• (d) Certificado de eliminación: El Proveedor emitirá un certificado escrito de eliminación dentro de los treinta (30) días naturales siguientes a la finalización del proceso de destrucción segura, confirmando que todos los Datos Personales han sido destruidos de forma irreversible en todos los sistemas y soportes controlados por el Proveedor.
• (e) Obligaciones residuales: Las obligaciones de protección de datos establecidas en este capítulo subsistirán tras la terminación respecto de cualquier Dato Personal conservado por el Proveedor en virtud de una obligación legal, hasta que dichos datos sean destruidos de forma segura.

7.14 Transferencias transfronterizas de datos

Cuando el tratamiento de Datos Personales implique o pueda implicar la transferencia de Datos Personales a un tercer país o a una organización internacional, se aplicarán las siguientes disposiciones:

• (a) Datos de origen del EEE: Las transferencias de Datos Personales originados en el Espacio Económico Europeo a países no cubiertos por una decisión de adecuación conforme al artículo 45 del RGPD se regirán por las Cláusulas Contractuales Tipo (CCT) de la UE adoptadas en virtud de la Decisión de Ejecución (UE) 2021/914 de la Comisión, complementadas por una Evaluación del Impacto de la Transferencia (TIA) cuando así lo exijan las Recomendaciones 01/2020 del CEPD.
• (b) Datos de origen de los EAU: Las transferencias de Datos Personales originados en los EAU a países fuera de los EAU cumplirán con el artículo 22 de la PDPL de los EAU (disposiciones sobre transferencias transfronterizas), incluidas cualesquiera exigencias de localización de datos impuestas por la Oficina de Datos de los EAU o por reguladores sectoriales específicos.
• (c) Opciones de localización de datos: El modelo de entorno soberano privado dedicado del Proveedor permite al Cliente seleccionar la región geográfica (región de Azure) en la que residen y se procesan todos los Datos del Cliente. Cuando el Cliente requiera que los datos permanezcan dentro de una jurisdicción específica (por ejemplo, los EAU para contratos gubernamentales, el EEE para entidades reguladas por la UE), el Proveedor garantizará que ningún dato salga de la región designada, incluso a efectos de copia de seguridad y recuperación ante desastres.
• (d) Evaluación del Impacto de la Transferencia: Antes de iniciar cualquier nuevo mecanismo de transferencia transfronteriza, el Proveedor realizará y documentará una Evaluación del Impacto de la Transferencia que valore: (i) el marco jurídico del país destinatario; (ii) las medidas suplementarias en vigor; y (iii) la exigibilidad práctica de los derechos de los Interesados en la jurisdicción destinataria.

7.15 Gestión de brechas de datos personales

7.15.1 Detección y clasificación de brechas

El Proveedor ha establecido procedimientos, regidos por el Departamento de TI, para detectar, clasificar y responder a brechas de Datos Personales. Las herramientas SIEM y AIOps del Proveedor proporcionan detección automatizada de anomalías; todas las alertas clasificadas como posibles brechas de Datos Personales se elevan de inmediato al DPO.

Las brechas se clasifican por severidad:

7.15.2 Procedimiento de notificación de brechas

El Proveedor notificará al Cliente, como Responsable del tratamiento, cualquier brecha de Datos Personales confirmada o sospechada de la siguiente manera:

• (a) Notificación inicial: Dentro de los plazos especificados en §7.15.1, el Proveedor notificará al DPO o responsable de privacidad designado por el Cliente a través del canal de comunicación principal (correo electrónico a la dirección designada, seguido de confirmación telefónica para las brechas de gravedad Crítica y Alta). La notificación inicial incluirá: (i) la naturaleza de la brecha; (ii) las categorías y el número aproximado de Interesados afectados; (iii) las categorías y el número aproximado de registros afectados; (iv) las consecuencias probables; y (v) las medidas adoptadas o propuestas para mitigar los efectos adversos.
• (b) Informe de seguimiento: Cuando los detalles completos no estén disponibles en el momento de la notificación inicial, el Proveedor facilitará la información por fases sin demora indebida a medida que vaya estando disponible (RGPD art. 33(4)).
• (c) Análisis de la causa raíz: El Proveedor entregará al Cliente un informe completo de análisis de la causa raíz dentro de los quince (15) días hábiles siguientes a la contención de la brecha, que incluirá: cronología de los hechos, sistemas y datos afectados, causa raíz, acciones de contención, medidas correctivas y recomendaciones para evitar su recurrencia.
• (d) Cooperación regulatoria: El Proveedor asistirá al Cliente en: (i) la notificación a la autoridad de control competente (RGPD art. 33, PDPL de los EAU art. 28); y (ii) la comunicación de la brecha a los Interesados afectados cuando sea necesario (RGPD art. 34). El Proveedor no se comunicará directamente con la autoridad de control ni con los Interesados respecto de los datos del Cliente sin el consentimiento previo por escrito del Cliente, salvo que la ley lo exija.

7.15.3 Simulacro de respuesta ante brechas

El Proveedor y el Cliente realizarán al menos anualmente un simulacro conjunto de respuesta ante brechas de Datos Personales, simulando un escenario de brecha de severidad Crítica. El simulacro pondrá a prueba: (i) los plazos desde la detección hasta la notificación; (ii) la eficacia del canal de comunicación; (iii) la ejecución del procedimiento de contención; y

• (iv) preparación para la notificación regulatoria. Los hallazgos de cada simulacro se documentarán e incorporarán a las mejoras del proceso.

7.16 Protección de datos específica para IA

El uso por parte del Proveedor de componentes de inteligencia artificial dentro de la Plataforma, incluidos la transcripción asistida por IA, AIOps, el análisis predictivo y la guía contextual dentro de la aplicación, está sujeto a los siguientes controles de protección de datos, alineados con la Ley de IA de la UE (Reglamento (UE) 2024/1689) y el NIST AI RMF:

• (a) Sin entrenamiento entre clientes: Los datos del Cliente nunca se utilizan para entrenar modelos de IA que presten servicio a otros clientes o mejoren las capacidades de IA de uso general del Proveedor. Los resultados generados por IA de cada Cliente (por ejemplo, modelos de transcripción, analítica predictiva) se entrenan y se limitan exclusivamente a los datos de ese Cliente dentro de su entorno soberano dedicado.
• (b) Minimización de datos en IA: Los componentes de IA tratan el mínimo de Datos Personales necesario para prestar su función. Cuando sea posible, los datos se seudonimizan o anonimizan antes del tratamiento por IA.
• (c) Toma de decisiones automatizada: La Plataforma no adopta decisiones basadas exclusivamente en un tratamiento automatizado que produzcan efectos jurídicos o afecten de forma similarmente significativa a los Interesados (RGPD art. 22), salvo que: (i) el Cliente configure explícitamente dicho tratamiento; (ii) el Cliente garantice una base jurídica lícita (consentimiento, necesidad contractual o derecho de un Estado miembro); y (iii) exista revisión humana.
• (d) Transparencia de la IA: El Proveedor documenta la finalidad, las entradas de datos, la lógica y el ámbito de resultados de cada componente de IA en la documentación técnica de la Plataforma. Esta documentación está a disposición del Cliente a efectos de la EIPD (§7.10) y de la inspección regulatoria.
• (e) Seguimiento de sesgos: Cuando los componentes de IA traten Datos Personales que incluyan categorías especiales (por ejemplo, etnia, nacionalidad en módulos HRMS), el Proveedor aplicará comprobaciones de seguimiento de sesgos e informará de los hallazgos al Cliente como parte de la autoevaluación trimestral (§7.11.2).

7.17 Registro de procesos

La siguiente tabla enumera los procesos contractuales y operativos regulados por este capítulo. A cada proceso se le asigna un identificador único, una condición de activación, un responsable de ejecución, un aprobador, el resultado previsto y una referencia cruzada a la sección aplicable.

7.18 Esquema del flujo de proceso

El siguiente diagrama ilustra el ciclo de vida de la protección de datos desde la ejecución del DPA hasta la supervisión continua del cumplimiento, la respuesta a incidentes de seguridad y la devolución de datos al finalizar el contrato.

① Ejecución del DPA y base legítima → ② RoPA y privacidad desde el diseño → ③ Implementación de TOM

▼

④ DPIA (incluida la AI DPIA) → ⑤ Tratamiento y supervisión continuos → ⑥ Atención de los derechos de los interesados

▼

⑦ Detección y respuesta ante incidentes de seguridad → ⑧ Revisión de auditoría y cumplimiento → ⑨ Devolución / destrucción de datos

Bucle de retroalimentación: La etapa ⑨ (Devolución/Destrucción de datos) retroalimenta la etapa ② (RoPA) para el registro de las actividades de destrucción y la etapa ⑧ (Auditoría) para la verificación del cumplimiento posterior a la terminación. Las etapas ④–⑦ operan de forma continua durante todo el Plazo de Suscripción con puntos de control trimestrales de autoevaluación (§7.11.2).