Confianza
Compromisos de confidencialidad que proponemos acordar
Esta página enumera las medidas de confidencialidad que proponemos incluir en los acuerdos de cada proyecto. Son una propuesta de partida, no una lista de compromisos ya asumidos: cada medida se ajusta al riesgo, a los datos implicados y a lo que el cliente necesite, y solo obliga cuando se recoge en el contrato o en el acuerdo de confidencialidad firmado.
Medidas que proponemos y lo que obliga
Acceso mínimo y personal autorizado
Proponemos que solo accedan a la información las personas que la necesitan para su tarea, identificadas por nombre o función, y durante el tiempo que dure esa tarea. Los accesos se conceden de forma individual (sin cuentas compartidas) y se retiran cuando alguien deja de participar en el proyecto.
- Relación de personas o perfiles con acceso, revisable por el cliente.
- Permisos de solo lectura salvo que la tarea exija modificar datos.
- Revisión periódica de accesos y retirada documentada al terminar.
Segregación de entornos
Proponemos separar desarrollo, pruebas y producción, y trabajar en desarrollo con datos ficticios, anonimizados o reducidos siempre que sea viable. Cuando un análisis exija datos reales, se acuerda en qué entorno se tratan, quién accede y cuándo se eliminan. En sistemas para varias organizaciones, la separación de datos entre ellas forma parte del diseño, no de una configuración posterior.
Gestión de credenciales
- Credenciales personales e intransferibles, con segundo factor cuando el sistema lo permita.
- Secretos y claves fuera del código fuente y de los documentos compartidos, en un gestor de secretos o almacén equivalente acordado.
- Rotación de credenciales al terminar el proyecto o al salir una persona del equipo, y ante cualquier sospecha de exposición.
- Las credenciales nunca se envían por correo en claro ni se introducen en herramientas de IA.
Canales cifrados
Proponemos intercambiar documentos y datos por canales cifrados en tránsito acordados con el cliente (por ejemplo, un espacio de almacenamiento del propio cliente con acceso controlado) y evitar adjuntos sueltos en correo para material sensible. El canal concreto se decide según las herramientas que el cliente ya tenga y sus políticas internas.
Limitación de subencargados y terceros
Proponemos no ceder información a terceros (subcontratistas, proveedores de nube, servicios de IA) sin que el cliente lo conozca y lo autorice previamente, y trasladar a esos terceros obligaciones equivalentes a las pactadas. Cuando haya datos personales, la autorización de subencargados se rige además por el encargo de tratamiento.
Retención, devolución y borrado
| Momento | Qué se propone |
|---|---|
| Durante el proyecto | Conservar solo lo necesario y en los repositorios o espacios acordados. |
| Si el proyecto no sigue adelante | Devolver o eliminar el material recibido en el plazo pactado. |
| Al terminar | Devolver o borrar la información, a elección del cliente, y confirmarlo por escrito. |
| Excepciones | Copias que la ley obligue a conservar o que estén en copias de seguridad hasta su ciclo de borrado, si así se acuerda. |
Notificación de incidentes
Proponemos acordar cómo y en qué plazo se comunica al cliente cualquier acceso no autorizado, pérdida o exposición de su información, con un punto de contacto por cada parte y la información mínima que debe contener la comunicación. Si afectan a datos personales, el RGPD regula obligaciones específicas de notificación; el reparto de tareas entre responsable y encargado se fija en el encargo de tratamiento.
Auditoría y verificación
Proponemos que el cliente pueda solicitar información sobre cómo se aplican las medidas pactadas (relación de accesos, confirmaciones de borrado, terceros intervinientes) y, si el contrato lo prevé, realizar o encargar una verificación con un preaviso y alcance razonables. No afirmamos auditorías externas ni certificaciones: si un proyecto las exige, se planifican y presupuestan expresamente.
Qué es política vigente y qué no
| Aspecto | Qué contiene esta página | Qué obliga realmente |
|---|---|---|
| Naturaleza | Explicación de opciones y criterios que conviene valorar. | El acuerdo firmado por las partes para cada proyecto. |
| En este tema | Medidas de confidencialidad que proponemos como punto de partida para negociar. | Las medidas que se incorporen al contrato o al acuerdo de confidencialidad firmado; las no recogidas no obligan. |
| Certificaciones | No se afirma ninguna certificación, auditoría externa ni sello. | Solo existiría si constara documentada y se aportara la evidencia correspondiente. |
| Políticas internas | No se presenta como política implantada nada que no figure en un acuerdo. | Las medidas aplicables son las que se recojan por escrito en el contrato o en sus anexos. |
Esta página es informativa. No constituye un contrato ni crea obligaciones por sí misma: las condiciones aplicables a cada proyecto son las que se acuerdan y firman por escrito.