RGPD y seguridad
Sumario
- 1. ¿Qué es el RGPD?
- 2. ¿A quién afecta el RGPD?
- 3. ¿Qué es un dato personal?
- 4. ¿En qué consiste el procesamiento de datos personales?
- 5. Ringover y el RGPD
- 6. Seguridad
- 6.1 Red e interconexión
- 6.2 Alojamiento de datos y certificación
- 6.3 Formación y sensibilización de los empleados de Ringover
- 6.4 Medidas de seguridad aplicables a nuestras instalaciones y empleados
- 6.5 Tecnología Hash y encriptación
- 6.6 Segregación de los entornos de trabajo, vigilancia y reparación de las vulnerabilidades
- 6.7 Actualizaciones (servidores, cortafuegos, redes de backup y antivirus)
- 6.8 Privilegios y segmentación de los usos de la administración
1. ¿Qué es el RGPD?
El acrónimo RGPD significa "Reglamento General de Protección de Datos". El RGPD regula el procesamiento de datos personales dentro de la Unión Europea. El contexto jurídico se está adaptando para seguir el ritmo de los cambios tecnológicos y sociales (mayor uso de la tecnología digital, desarrollo del comercio en línea, etc.). Esta nueva reglamentación europea se ajusta a la Ley francesa de protección de datos de 1978 y refuerza el control por parte de los ciudadanos del uso que puede hacerse de los datos que les conciernen. Armoniza las normas en Europa proporcionando un marco jurídico único para los profesionales. Les permite desarrollar sus actividades digitales dentro de la UE basándose en la confianza de los usuarios.
2. ¿A quién afecta el RGPD?
Cualquier organización, independientemente de su tamaño, país de establecimiento y actividad, puede ser afectada. En efecto, el RGPD se aplica a cualquier organización, pública o privada, que procese datos personales en su nombre o no, desde el momento en que: esté establecida en el territorio de la Unión Europea, o su actividad se dirija directamente a los residentes europeos. El RGPD también se aplica a los subcontratistas que procesan datos personales en nombre de otras organizaciones. Así pues, si usted procesa o recopila datos en nombre de otra entidad (empresa, autoridad local, asociación), tiene obligaciones específicas de garantizar la protección de los datos que se le confían.
3. ¿Qué es un dato personal?
La noción de "datos personales" debe entenderse de manera muy amplia. Por "dato personal" se entiende "toda información relativa a una persona física identificada o identificable". Una persona puede ser identificada: directamente (por ejemplo: apellido, nombre) o indirectamente (por ejemplo, a través de un identificador (número de cliente), un número (de teléfono), datos biométricos, varios elementos específicos de su identidad física, fisiológica, genética, psicológica, económica, cultural o social, pero también la voz o la imagen). La identificación de una persona física puede llevarse a cabo: a partir de un único dato (por ejemplo, el número de seguridad social, el ADN), a partir del cruce de un conjunto de datos (por ejemplo, una mujer que vive en tal o cual dirección, nacida en tal o cual día, suscriptora de tal o cual revista y activista en tal o cual asociación). Ejemplo: una base de datos de comercialización que contiene una gran cantidad de información precisa sobre la ubicación, la edad, los gustos y el comportamiento de compra de los consumidores, aunque su nombre no esté almacenado, se considera un procesamiento de datos personales, en cuanto es posible rastrearlo hasta una persona física concreta sobre la base de esa información.
4. ¿En qué consiste el procesamiento de datos personales?
Esta noción es muy amplia. Se entiende por "tratamiento de datos personales" una operación o conjunto de operaciones relativas a los datos personales, cualquiera que sea el procedimiento utilizado (reunión, registro, organización, conservación, adaptación, modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de puesta a disposición, conciliación). Ejemplo: mantener un archivo de sus clientes, recopilar los datos de contacto de los posibles clientes mediante un cuestionario, actualizar un archivo de proveedores, etc. Por otra parte, un archivo que contenga únicamente datos de la empresa (por ejemplo, la empresa "Compañía A" con su dirección postal, el número de teléfono de su centralita y un correo electrónico de contacto genérico "compañ[email protected]") no es un tratamiento de datos personales. El tratamiento de los datos personales no está necesariamente informatizado: también se trata de archivos en papel que deben protegerse en las mismas condiciones.
5. Ringover y el RGPD
Desde mayo de 2018, fecha de publicación en el diario oficial de el RGPD, Ringover se ha comprometido a proteger los datos personales de sus clientes.
Entre las muchas acciones implementadas para cumplir con el RGPD, podemos citar las siguientes:
- Nombramiento de un delegado de protección de datos (DPO) en interno encargado de los asuntos relacionados con el RGPD, al que se puede contactar en [email protected].
- Establecimiento de un archivo de procesamiento de datos personales: este archivo, que se actualiza periódicamente, permite tener una visibilidad precisa y en tiempo real del procesamiento de los datos personales.
- Establecimiento de un acuerdo sobre el tratamiento de datos personales (DPA).
- Mantener una lista completa y actualizada periódicamente de los subcontratistas de Ringover que pueden participar en el tratamiento de datos personales.
- La formación continua de los equipos multidisciplinarios de Ringover sobre el RGPD y la protección de datos personales.
Desde mayo de 2018, fecha de publicación en el diario oficial de el RGPD, Ringover se ha comprometido a proteger los datos personales de sus clientes.
Entre las muchas acciones implementadas para cumplir con el RGPD, podemos citar las siguientes:
Si tiene alguna pregunta sobre el RGPD, por favor contacte con nuestro DPO en: [email protected]
6. Seguridad
Sabemos que la telefonía de su empresa es un elemento clave en su desarrollo. Nuestra infraestructura está diseñada y asegurada para proporcionarle una calidad de servicio irreprochable.
Por obvias razones de seguridad, no comunicamos un detalle exhaustivo de las modalidades técnicas y físicas aplicadas. Comprobamos y actualizamos, cuando es necesario, los procedimientos y medidas que se describen a continuación, de acuerdo con la evolución de las técnicas y los entornos de trabajo.
Sabemos que la telefonía de su empresa es un elemento clave en su desarrollo. Nuestra infraestructura está diseñada y asegurada para proporcionarle una calidad de servicio irreprochable.
Por obvias razones de seguridad, no comunicamos un detalle exhaustivo de las modalidades técnicas y físicas aplicadas. Comprobamos y actualizamos, cuando es necesario, los procedimientos y medidas que se describen a continuación, de acuerdo con la evolución de las técnicas y los entornos de trabajo.
6.1 Red e interconexión
Gestionamos nuestra propia red internamente. Nuestra empresa es miembro de RIPE (Réseaux IP Européens AS201188). El tránsito IP de los servicios es redundante para evitar cualquier interrupción del servicio. Operador telefónico desde 2005, estamos registrados en la ARCEP (Autorité de Régulation des Communications Électroniques et des Postes de Francia). Estamos interconectados de forma redundante con los mayores operadores de telefonía internacional: Orange, SFR , COLT, BICS… Esto nos permite elegir en tiempo real el mejor operador para enrutar sus llamadas. Más de 250 millones de minutos pasan por nuestro equipo telefónico cada año.
6.2 Alojamiento de datos y certificación
Todos los centros de datos, en los que se almacenan los datos necesarios para prestar los servicios de Ringover, están alojados y ubicados en Francia, por lo que no se transfiere ningún dato fuera de la Unión Europea o del Espacio Económico Europeo. Estos servidores tienen las siguientes certificaciones:
- Certificación PCI-DSS para los proveedores de servicios
- Certificación HDS (Health Data Hosting)
- ISO 9001:2015
- ISO 14001:2015
- ISO 27001:2013
- ISO 50001:2011
6.3 Formación y sensibilización de los empleados de Ringover
Regularmente implementamos operaciones de concienciación y entrenamiento para nuestros equipos. Además, las buenas prácticas de seguridad son objeto de comunicaciones orales y escritas y están permanentemente accesibles en la intranet de la empresa.
6.4 Medidas de seguridad aplicables a nuestras instalaciones y empleados
Aplicamos medidas de protección y seguridad física de acuerdo con las normas de la industria. Nuestras oficinas y los sistemas de información de nuestros empleados están adecuadamente asegurados y se prueban regularmente. Por obvias razones de seguridad, no proporcionamos detalles completos de los procedimientos técnicos y físicos implementados.
6.5 Tecnología Hash y encriptación
Implementamos sistemáticamente una tecnología hash o funciones de resumen que es al menos tan robusta como la norma SHA-256. Las llamadas realizadas desde las aplicaciones de Ringover están encriptadas (DTLS-SRTP). Las solicitudes a la API se hacen sólo en HTTPS (TLS).
6.6 Segregación de los entornos de trabajo, vigilancia y reparación de las vulnerabilidades
Nuestros ambientes están estrictamente separados, tanto física como lógicamente. Todos los desarrollos se llevan a cabo en entornos de desarrollo distintos de los de producción. También implementamos un estricto procedimiento de prueba en múltiples entornos antes de tomar la decisión de entrar en producción. Además, vigilamos activamente la aparición e identificación de posibles nuevas vulnerabilidades (0-día) y hacemos cumplir la aplicación de nuevos parches de seguridad en todas las estaciones de trabajo y entornos de producción.
6.7 Actualizaciones (servidores, cortafuegos, redes de backup y antivirus)
Nuestros servidores se actualizan regularmente, especialmente cada vez que se ponen en producción. Tenemos un firewall o cortafuegos físico (máquina) con reglas de cortafuegos que sólo permiten los flujos necesarios para las necesidades de Ringover y la prestación de sus servicios a los clientes. Tenemos un sistema de backups o copias de seguridad de frío y calor automático, máquinas y clústers de bases de datos. No usamos VPN, sino túneles SSH para acceder a los servidores. Todas las estaciones de trabajo y los entornos de producción están protegidos por un software antivirus.
6.8 Privilegios y segmentación de los usos de la administración
Hemos implementado varias clases de privilegios y permisos de acceso para nuestros clientes. Estas clases de usuarios garantizan que los usuarios de cada cliente sólo tengan el acceso y los permisos necesarios para utilizar los servicios, sobre la base estricta de "need to know" y de "need to do". Estos niveles de uso permiten la segmentación de los usos y derechos de administración de la solución Ringover.