Privacidad de Datos y Cumplimiento del RGPD - Actualizado

Resumen

ISMS Copilot cumple plenamente con el Reglamento General de Protección de Datos (RGPD) y sigue principios estrictos de privacidad de datos. Este artículo explica sus derechos de privacidad, cómo manejamos sus datos y qué controles tiene sobre su información.

A quién va dirigido

Este artículo es para:

• Usuarios con sede en la UE preocupados por el cumplimiento del RGPD

• Delegados de Protección de Datos que evalúan ISMS Copilot

• Consultores de cumplimiento que manejan datos de clientes bajo el RGPD

• Cualquier persona que desee comprender sus derechos de privacidad

Descripción general del cumplimiento del RGPD

Cómo cumple ISMS Copilot con los requisitos del RGPD

Minimización de datos (Artículo 5(1)(c))

ISMS Copilot recopila solo los datos mínimos necesarios para proporcionar el servicio:

• Dirección de correo electrónico para identificación de cuenta, autenticación y comunicaciones esenciales

• Credenciales de autenticación (contraseñas con hash o tokens OAuth)

• Historial de conversaciones para proporcionar respuestas de IA contextuales

• Documentos cargados para análisis y evaluación de brechas de cumplimiento

• Metadatos de uso para facturación y mejora del servicio

• Datos de interacción por correo electrónico (aperturas, clics) para correos de incorporación y actualizaciones de productos (los usuarios pueden optar por no participar)

Limitación de la finalidad (Artículo 5(1)(b))

Sus datos se utilizan exclusivamente para:

• Proporcionar asistencia de cumplimiento impulsada por IA

• Gestionar su cuenta y suscripción

• Mejorar el rendimiento y la fiabilidad del servicio

• Cumplir con las obligaciones legales

Limitación del plazo de conservación (Artículo 5(1)(e))

Usted tiene control total sobre cuánto tiempo se conservan sus datos:

• Establezca periodos de retención desde 1 día hasta 7 años, o consérvelos para siempre

• La eliminación automática de datos caducados se ejecuta diariamente

• Solicite la eliminación inmediata de la cuenta y los datos en cualquier momento

Protección de datos desde el diseño (Artículo 25)

La seguridad y la privacidad están integradas en cada función de ISMS Copilot:

• Cifrado de extremo a extremo para todos los datos

• La seguridad a nivel de fila evita el acceso no autorizado

• El aislamiento del espacio de trabajo mantiene separados los datos de los clientes

• Autenticación segura con soporte OAuth

Sus derechos bajo el RGPD

Derecho de acceso (Artículo 15)

Tiene derecho a acceder a todos sus datos personales almacenados en ISMS Copilot.

A qué puede acceder:

• Información de su cuenta (correo electrónico, configuración)

• Todo el historial de conversaciones en los espacios de trabajo

• Documentos y archivos cargados

• Metadatos de uso y marcas de tiempo

Cómo acceder a sus datos:

1. Inicie sesión en su cuenta de ISMS Copilot

2. Navegue por sus espacios de trabajo para ver las conversaciones

3. Vea los archivos cargados en cada hilo de conversación

4. Para una exportación completa de datos, contacte con soporte a través del Centro de Ayuda

Derecho de rectificación (Artículo 16)

Puede actualizar o corregir su información personal en cualquier momento.

Cómo actualizar su información:

1. Haga clic en el icono del menú de usuario (arriba a la derecha)

2. Seleccione Configuración

3. Se muestra su dirección de correo electrónico (para cambiarla, contacte con soporte)

4. Actualice sus preferencias de retención de datos

5. Haga clic en Guardar configuración

Resultado esperado: El cuadro de diálogo de configuración se cierra y sus cambios se guardan de inmediato.

Derecho de supresión / "Derecho al olvido" (Artículo 17)

Puede solicitar la eliminación completa de su cuenta y de todos los datos asociados.

Cómo eliminar sus datos:

1. Haga clic en el icono del menú de usuario

2. Seleccione Centro de Ayuda → Contactar con Soporte

3. Envíe una solicitud de eliminación de datos

4. El soporte verificará su identidad y confirmará la solicitud

5. Todos los datos se eliminan permanentemente en un plazo de 30 días

Qué se elimina:

• Su cuenta y dirección de correo electrónico

• Todos los espacios de trabajo e historial de conversaciones

• Todos los documentos y archivos cargados

• Instrucciones personalizadas del espacio de trabajo

• Metadatos de uso y registros

Qué puede conservarse:

• Registros de facturación anonimizados (requeridos para el cumplimiento fiscal y contable)

• Datos analíticos anonimizados (sin información de identificación personal)

Derecho a la portabilidad de los datos (Artículo 20)

Tiene derecho a recibir sus datos en un formato estructurado y de lectura mecánica.

Cómo exportar sus datos:

1. Contacte con soporte a través del Centro de Ayuda

2. Solicite una exportación de datos

3. El soporte le proporcionará sus datos en formato JSON que contiene:

   • Información de la cuenta

   • Historial de conversaciones

   • Configuraciones del espacio de trabajo

   • Metadatos de archivos cargados

4. Descargue el archivo de exportación para usarlo en otros sistemas

Derecho a la limitación del tratamiento (Artículo 18)

Puede solicitar la suspensión temporal del tratamiento de datos mientras se resuelven las disputas.

Cuándo puede limitar el tratamiento:

• Impugna la exactitud de los datos personales

• El tratamiento es ilícito pero no desea que se eliminen los datos

• Necesita los datos para reclamaciones legales

• Se ha opuesto al tratamiento pendiente de verificación

Cómo solicitar la limitación:

1. Contacte con soporte a través del Centro de Ayuda

2. Explique el motivo de la limitación

3. El soporte revisará e implementará las restricciones apropiadas

Derecho de oposición (Artículo 21)

Puede oponerse a ciertos tipos de tratamiento de datos.

A qué puede oponerse:

• Tratamiento para marketing directo (ISMS Copilot no realiza tratamientos de marketing)

• Tratamiento basado en intereses legítimos

• Toma de decisiones automatizada (no utilizada actualmente por ISMS Copilot)

Cómo oponerse:

1. Contacte con soporte a través del Centro de Ayuda

2. Especifique a qué tratamiento se opone

3. El soporte revisará y responderá en un plazo de 30 días

Detalles del tratamiento de datos

Base legal para el tratamiento

ISMS Copilot trata sus datos bajo las siguientes bases legales:

Ejecución de un contrato (Artículo 6(1)(b))

• Tratamiento necesario para proporcionar el servicio de cumplimiento de IA

• Gestión de su cuenta y suscripción

• Entrega de las funciones que ha solicitado

Intereses legítimos (Artículo 6(1)(f))

• Mejora del rendimiento y la fiabilidad del servicio

• Detección y prevención de fraudes o abusos

• Garantizar la seguridad del sistema

• Envío de actualizaciones de productos y guía de incorporación para mejorar la experiencia en la plataforma

Obligación legal (Artículo 6(1)(c))

• Conservación de registros de facturación para el cumplimiento fiscal

• Respuesta a solicitudes legales de las autoridades

Transferencias de datos

Residencia de datos en la UE

Todo el almacenamiento de la base de datos de ISMS Copilot ocurre exclusivamente en la Unión Europea:

• Almacenamiento principal: AWS Frankfurt, Alemania

• Proveedor de base de datos: Supabase (región UE)

• Historial de conversaciones: Almacenado en la UE independientemente del proveedor de IA

Ubicación del procesamiento de IA (Controlado por el usuario)

La ubicación del procesamiento de IA depende de su configuración del Modo de protección de datos avanzada:

• Protección de datos avanzada DESACTIVADA (Predeterminado): El procesamiento de IA ocurre en los Estados Unidos a través de xAI/OpenAI con una retención de 30 días

• Protección de datos avanzada ACTIVADA: Procesamiento 100% en la UE a través de Mistral AI con retención cero

Subencargados del tratamiento

Los siguientes servicios de terceros tienen acceso limitado a los datos:

Proveedores de procesamiento de IA (Configurables por el usuario con conmutación por error automática)

Puede controlar qué proveedor de IA procesa sus conversaciones a través de la configuración del Modo de protección de datos avanzada y la selección del proveedor de IA. ISMS Copilot ahora incluye múltiples opciones de modelos de IA y conmutación por error automática para garantizar la continuidad del servicio durante interrupciones del proveedor:

• Modo predeterminado (Protección de datos avanzada DESACTIVADA): xAI (Grok), OpenAI y Anthropic Claude con conmutación por error a Mistral

  • Ubicación: Estados Unidos (con conmutación por error a la UE)

  • Retención: 30 días (caché de procesamiento temporal); retención cero durante la conmutación por error a Mistral

  • Entrenamiento: Los datos de la API NO se utilizan para el entrenamiento de modelos de IA

  • Caso de uso: Trabajo de cumplimiento estándar con fiabilidad mejorada

  • Conmutación por error automática: Si OpenAI experimenta interrupciones, sus solicitudes cambian automáticamente a Mistral AI (con sede en la UE, retención cero) sin interrupción del servicio

• Modo de protección de datos avanzada (ACTIVADO): Mistral AI

  • Ubicación: Unión Europea

  • Retención: Cero (sin retención de datos)

  • Entrenamiento: NO se utiliza para el entrenamiento de modelos de IA

  • Caso de uso: Máxima privacidad, requisitos de soberanía de datos de la UE

Otros servicios de terceros

• Stripe (Procesamiento de pagos): Solo información de pago y facturación. Cumple con el RGPD con acuerdo de procesamiento de datos en la UE.

• PostHog (Analítica): Solo datos de uso anonimizados. Alojado en la UE. No se comparten conversaciones personales ni documentos.

• Sentry (Monitoreo de errores): Registros de errores, trazas de pila e IDs de usuario (solo UUID, en producción) para resolución de problemas. Con sede en Alemania. Las direcciones de correo electrónico, el contenido de las conversaciones y otros datos personales se filtran antes del envío.

• Comunicaciones por correo electrónico: SendGrid y Kit gestionan correos transaccionales, actualizaciones legales y secuencias de incorporación. Con sede en EE. UU. con Cláusulas Contractuales Tipo. Los usuarios pueden darse de baja de los correos electrónicos no esenciales.

Modo de protección de datos avanzada

ISMS Copilot le da control sobre dónde se procesan sus conversaciones de IA y cuánto tiempo conservan sus datos los proveedores de IA.

Dos opciones de procesamiento:

1. Modo predeterminado (Protección de datos avanzada DESACTIVADA): xAI/OpenAI procesan las conversaciones en EE. UU. con 30 días de retención

2. Modo solo UE (Protección de datos avanzada ACTIVADA): Mistral AI procesa las conversaciones en la UE con retención cero

Cuándo activar la protección de datos avanzada:

• Su organización tiene requisitos obligatorios de residencia de datos en la UE

• Está manejando datos de clientes altamente sensibles

• El cumplimiento del RGPD requiere minimizar las transferencias de datos fuera de la UE

• Los contratos con clientes prohíben el procesamiento de datos con sede en EE. UU.

• Desea la máxima privacidad con retención de datos cero por parte del proveedor de IA

Distinción importante:

La protección de datos avanzada controla la retención del proveedor de IA (30 días frente a cero). La retención del historial de conversaciones de ISMS Copilot se controla por separado a través de su configuración de usuario (de 1 día a 7 años). Ambos ajustes de retención funcionan de forma independiente.

Transferencias internacionales de datos

El enfoque de ISMS Copilot sobre las transferencias internacionales de datos depende de su configuración:

Procesamiento de datos principales

• Almacenamiento de base de datos: Siempre en la UE (Frankfurt, Alemania)

• Procesamiento de IA: UE o EE. UU. dependiendo del ajuste del Modo de protección de datos avanzada

• Analítica: Solo puntos finales de la UE (PostHog UE, Sentry Alemania)

• Conversión de archivos: Punto final de la UE (ConvertAPI)

Comunicaciones por correo electrónico (Con sede en EE. UU. con salvaguardas)

Las direcciones de correo electrónico y los datos de interacción se transfieren a proveedores de servicios de correo electrónico con sede en EE. UU. (SendGrid y Kit) para correos transaccionales, actualizaciones legales y secuencias de incorporación. Estas transferencias están protegidas por Cláusulas Contractuales Tipo aprobadas por la Comisión Europea.

Para organizaciones con requisitos estrictos de residencia de datos exclusiva en la UE, debería:

• Habilitar el Modo de protección de datos avanzada para mantener el procesamiento de IA en la UE (elimina los requisitos de Evaluación de Impacto para la IA)

• Darse de baja de los correos electrónicos de marketing/producto para minimizar las transferencias a EE. UU.

• Documentar las transferencias restantes de comunicación por correo electrónico en sus registros de tratamiento de datos

• Revisar nuestra Evaluación de Impacto de la Transferencia para comprender las salvaguardas de transferencia

Periodos de retención de datos

Datos activos

• Historial de conversaciones: Basado en su periodo de retención definido por el usuario (de 1 día a 7 años, o para siempre)

• Documentos cargados: Igual que el historial de conversaciones

• Información de la cuenta: Se conserva mientras la cuenta esté activa

Después de la eliminación de la cuenta

• Datos personales: Eliminados en un plazo de 30 días

• Registros de facturación anonimizados: 7 años (requisito de cumplimiento fiscal)

• Datos de respaldo: Sobrescritos en un plazo de 90 días

Funciones de privacidad desde el diseño

Modo de reducción de PII

ISMS Copilot ofrece la redacción automática de PII (Información de Identificación Personal) para proteger los datos personales sensibles antes de que lleguen al procesamiento de IA. Cuando está habilitado, el sistema detecta y redacta patrones comunes de PII en sus mensajes y documentos cargados.

Qué se redacta:

• Nombres personales (ej., "Juan Pérez" → "[REDACTED_NAME]")

• Nombres de empresas y organizaciones

• Direcciones de correo electrónico (ej., "[email protected]" → "[REDACTED_EMAIL]")

• Números de teléfono en varios formatos

Cómo activar la reducción de PII:

1. Navegue a Configuración → Privacidad o Protección de Datos

2. Active "Habilitar reducción de PII"

3. Revise la ventana emergente de confirmación que explica las limitaciones basadas en patrones

4. Busque el icono del escudo verde en la entrada del chat para confirmar la activación

Cuando la reducción de PII está activa, verá un icono de un escudo verde en la entrada del chat como confirmación visual de que la redacción está funcionando.

Limitaciones importantes:

• Detección basada en patrones: La reducción de PII utiliza patrones regex y puede no capturar toda la información sensible

• No es 100% precisa: Alguna PII puede filtrarse; algún texto legítimo puede ser redactado

• No sustituye a la minimización de datos: Revise siempre los datos antes de cargarlos y evite incluir PII innecesaria

• Se aplica antes del procesamiento de IA: La redacción ocurre antes de que los datos lleguen a los proveedores de IA

La reducción de PII es una mejora de la privacidad, no una garantía de anonimización completa. Verifique siempre los resultados con los estándares oficiales y evite cargar datos personales innecesarios. Esta función funciona mejor como una capa adicional de protección junto con las prácticas de minimización de datos.

Casos de uso:

• Procesamiento de informes de auditoría de clientes que contienen nombres de empleados

• Análisis de políticas de cumplimiento con información de contacto

• Trabajo con políticas de RR. HH. o informes de incidentes

• Añadir protección de privacidad extra al usar el Modo de protección de datos avanzada

Combinación con la protección de datos avanzada:

Para una privacidad máxima, habilite ambas funciones:

• Reducción de PII: Redacta datos personales antes del procesamiento de IA

• Modo de protección de datos avanzada: Garantiza el procesamiento exclusivo en la UE con retención cero del proveedor de IA

Juntas, estas funciones proporcionan salvaguardas de privacidad sólidas para trabajos de cumplimiento sensibles.

Aislamiento del espacio de trabajo

Los espacios de trabajo proporcionan separación de datos para escenarios con múltiples clientes:

• Cada espacio de trabajo mantiene su propio historial de conversaciones

• Los archivos cargados están vinculados a espacios de trabajo específicos

• Las instrucciones personalizadas son específicas de cada espacio de trabajo

• Al eliminar un espacio de trabajo se eliminan todos los datos asociados

Sin intercambio de datos entre usuarios

ISMS Copilot implementa límites de datos estrictos:

• Los usuarios no pueden acceder a los datos de otros usuarios

• Las respuestas de la IA se generan de forma independiente para cada usuario

• Las consultas a la base de datos se filtran automáticamente por el ID de usuario autenticado

• Incluso los administradores de sistemas siguen el principio de mínimo privilegio

Sin entrenamiento de IA con datos de usuario

Sus datos sensibles de cumplimiento nunca se utilizan para el entrenamiento de IA:

• Las conversaciones no son almacenadas por OpenAI u otros proveedores de IA

• Los documentos cargados siguen siendo confidenciales y privados

• La información del cliente nunca contribuye a la mejora del modelo

• Cada conversación se procesa de forma aislada

Solicitudes de los interesados

Cómo enviar una solicitud de RGPD

1. Haga clic en el icono del menú de usuario (arriba a la derecha)

2. Seleccione Centro de Ayuda → Contactar con Soporte

3. Describa su solicitud claramente:

   • "Solicito acceso a todos mis datos personales bajo el Artículo 15 del RGPD"

   • "Solicito la eliminación de mi cuenta bajo el Artículo 17 del RGPD"

   • "Solicito una exportación de datos bajo el Artículo 20 del RGPD"

4. El soporte verificará su identidad y procesará la solicitud

Plazos de respuesta

ISMS Copilot responde a las solicitudes del RGPD de acuerdo con los plazos reglamentarios:

• Acuse de recibo: En un plazo de 24-48 horas

• Solicitudes de acceso: En un plazo de 30 días (normalmente en 72 horas)

• Solicitudes de eliminación: En un plazo de 30 días

• Portabilidad de datos: En un plazo de 30 días (normalmente en 72 horas)

• Solicitudes de rectificación: Inmediatamente para campos actualizables por el usuario; en un plazo de 30 días para otros

Verificación de identidad

Para proteger sus datos de accesos no autorizados, ISMS Copilot puede verificar su identidad:

• Debe enviar las solicitudes desde su dirección de correo electrónico registrada

• Para solicitudes sensibles, puede requerirse una verificación adicional

• El soporte puede hacer preguntas de seguridad sobre su cuenta

Privacidad de los niños

ISMS Copilot no está destinado a niños menores de 16 años:

• El servicio está diseñado para profesionales de cumplimiento y empresas

• No se proporcionan mecanismos de consentimiento parental

• Si se descubre el uso por menores de edad, la cuenta será cancelada y los datos eliminados

Actualizaciones de la Política de Privacidad

Cómo se le notificará

Cuando las prácticas de privacidad cambien, ISMS Copilot:

• Enviará una notificación por correo electrónico a su dirección registrada

• Mostrará una notificación en la aplicación al siguiente inicio de sesión

• Actualizará la Política de Privacidad con una fecha de "Última actualización"

• Proporcionará al menos 30 días de aviso para cambios sustanciales

Sus opciones

Si no está de acuerdo con los cambios en la política de privacidad:

• Solicite la eliminación de la cuenta antes de que los cambios entren en vigor

• Exporte sus datos antes de la fecha de entrada en vigor

• Contacte con el soporte para discutir sus inquietudes

Autoridad de control

Como servicio con sede en la UE, ISMS Copilot está sujeto a la supervisión de protección de datos.

Derecho a presentar una reclamación

Si cree que ISMS Copilot ha violado sus derechos de privacidad, puede:

1. Contactar con el soporte de ISMS Copilot para resolver el problema directamente

2. Presentar una reclamación ante su autoridad local de protección de datos

3. Presentar una reclamación ante la autoridad francesa de protección de datos (CNIL), donde está establecido ISMS Copilot

Commission Nationale de l'Informatique et des Libertés (CNIL)

• Sitio web: https://www.cnil.fr/en

• Dirección: 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France

• Teléfono: +33 1 53 73 22 22

Buenas prácticas para el cumplimiento

Para consultores que manejan datos de clientes

• Cree espacios de trabajo separados para cada cliente

• Establezca periodos de retención adecuados que coincidan con los contratos de los clientes

• Anonimice los datos personales sensibles antes de cargarlos

• Informe a sus clientes que utiliza ISMS Copilot para el trabajo de cumplimiento

• Incluya a ISMS Copilot en sus acuerdos de procesamiento de datos

• Habilite el Modo de protección de datos avanzada si los clientes requieren procesamiento exclusivo en la UE

Para organizaciones

• Documente ISMS Copilot en su registro de actividades de tratamiento (consulte nuestro Registro de Actividades de Tratamiento como referencia)

• Inclúyalo en las Evaluaciones de Impacto de la Protección de Datos (EIPD) si procesa datos sensibles

• Capacite al personal sobre el manejo adecuado de datos dentro de ISMS Copilot

• Configure los periodos de retención para que coincidan con su política de retención de datos

Transparencia y Confianza

Documentación de seguridad

Para obtener información detallada sobre las prácticas de seguridad y privacidad de ISMS Copilot, visite nuestra Colección de Seguridad:

• Descripciones detalladas del procesamiento de datos

• Documentación de medidas de seguridad

• Lista completa de subencargados con ubicaciones y estado del DPA

• Certificaciones de cumplimiento

• Políticas de gobernanza de IA

También puede revisar nuestro exhaustivo Registro de Actividades de Tratamiento (RoPA) para conocer las medidas técnicas y organizativas detalladas.

Estado del sistema

Monitoree la disponibilidad del servicio y los incidentes de seguridad en la Página de Estado:

• Monitoreo de tiempo de actividad en tiempo real a través de BetterStack

• Notificaciones de incidentes y actualizaciones de estado

• Programas de mantenimiento planificados

• Datos históricos de tiempo de actividad

• Clasificación y escalada de incidentes transparente

Limitaciones

Funciones de privacidad actuales

• La exportación automática de datos no está disponible (debe solicitarse a través de soporte)

• Los cambios de dirección de correo electrónico requieren asistencia de soporte

• Sin eliminación de cuenta de autoservicio (debe contactar con soporte)

• Banner de consentimiento de cookies no implementado (no se utilizan cookies de seguimiento)

Siguientes pasos

• Conozca las medidas de seguridad y el cifrado

• Configure espacios de trabajo para aislar los datos de los clientes

• Revise nuestra Evaluación de Impacto de la Transferencia

• Cree una cuenta segura con autenticación sólida

• Revise nuestra Colección de Seguridad para obtener documentación detallada de privacidad

Obtener ayuda

Para preguntas relacionadas con la privacidad o solicitudes del RGPD:

• Contacte con soporte a través del menú del Centro de Ayuda

• Envíe un correo electrónico desde su cuenta registrada

• Incluya "Solicitud RGPD" en el asunto para un procesamiento más rápido

• Visite nuestra Colección de Seguridad para obtener documentación detallada