Privacidad de datos y Cumplimiento del RGPD - Actualizado

Resumen

ISMS Copilot cumple plenamente con el Reglamento General de Protección de Datos (RGPD) y sigue principios estrictos de privacidad de datos. Este artículo explica sus derechos de privacidad, cómo manejamos sus datos y qué controles tiene sobre su información.

A quién va dirigido

Este artículo es para:

• Usuarios con sede en la UE preocupados por el cumplimiento del RGPD

• Delegados de Protección de Datos que evalúan ISMS Copilot

• Consultores de cumplimiento que manejan datos de clientes bajo el RGPD

• Cualquier persona que desee comprender sus derechos de privacidad

Resumen del cumplimiento del RGPD

Cómo ISMS Copilot cumple con los requisitos del RGPD

Minimización de datos (Artículo 5(1)(c))

ISMS Copilot recopila solo los datos mínimos necesarios para proporcionar el servicio:

• Dirección de correo electrónico para identificación de la cuenta, autenticación y comunicaciones esenciales

• Credenciales de autenticación (contraseñas con hash o tokens OAuth)

• Historial de conversaciones para proporcionar respuestas de IA con contexto

• Documentos subidos para análisis y evaluación de brechas de cumplimiento

• Metadatos de uso para facturación y mejora del servicio

• Datos de interacción por correo electrónico (aperturas, clics) para correos de incorporación y actualizaciones de productos (los usuarios pueden optar por no recibirlos)

Limitación de la finalidad (Artículo 5(1)(b))

Sus datos se utilizan exclusivamente para:

• Proporcionar asistencia de cumplimiento potenciada por IA

• Gestionar su cuenta y suscripción

• Mejorar el rendimiento y la fiabilidad del servicio

• Cumplir con las obligaciones legales

Limitación del almacenamiento (Artículo 5(1)(e))

Usted tiene control total sobre cuánto tiempo se conservan sus datos:

• Establezca periodos de retención desde 1 día hasta 7 años, o conservarlos para siempre

• La eliminación automática de datos caducados se ejecuta diariamente

• Solicite la eliminación inmediata de la cuenta y los datos en cualquier momento

Protección de datos desde el diseño (Artículo 25)

La seguridad y la privacidad están integradas en cada función de ISMS Copilot:

• Cifrado de extremo a extremo para todos los datos

• Seguridad a nivel de fila que evita el acceso no autorizado

• El aislamiento de espacios de trabajo mantiene separados los datos de los clientes

• Autenticación segura con soporte para OAuth

Sus derechos bajo el RGPD

Derecho de acceso (Artículo 15)

Tiene derecho a acceder a todos sus datos personales almacenados en ISMS Copilot.

Qué puede acceder:

• Información de su cuenta (correo electrónico, ajustes)

• Todo el historial de conversaciones en los espacios de trabajo

• Documentos y archivos subidos

• Metadatos de uso y marcas de tiempo

Cómo acceder a sus datos:

1. Inicie sesión en su cuenta de ISMS Copilot

2. Navegue a sus espacios de trabajo para ver las conversaciones

3. Vea los archivos subidos en cada hilo de conversación

4. Para una exportación completa de datos, contacte con soporte a través del Centro de Ayuda

Derecho de rectificación (Artículo 16)

Puede actualizar o corregir su información personal en cualquier momento.

Cómo actualizar su información:

1. Haga clic en el icono del menú de usuario (arriba a la derecha)

2. Seleccione Configuración

3. Se muestra su dirección de correo electrónico (para cambiarla, contacte con soporte)

4. Actualice sus preferencias de retención de datos

5. Haga clic en Guardar configuración

Resultado esperado: El diálogo de configuración se cierra y sus cambios se guardan de inmediato.

Derecho de supresión / "Derecho al olvido" (Artículo 17)

Puede solicitar la eliminación completa de su cuenta y de todos los datos asociados.

Cómo eliminar sus datos:

1. Haga clic en el icono del menú de usuario

2. Seleccione Centro de Ayuda → Contactar con Soporte

3. Envíe una solicitud de eliminación de datos

4. El soporte verificará su identidad y confirmará la solicitud

5. Todos los datos se eliminan permanentemente en un plazo de 30 días

Qué se elimina:

• Su cuenta y dirección de correo electrónico

• Todos los espacios de trabajo e historial de conversaciones

• Todos los documentos y archivos subidos

• Instrucciones personalizadas del espacio de trabajo

• Metadatos de uso y registros

Qué puede conservarse:

• Registros de facturación anonimizados (requeridos para cumplimiento fiscal y contable)

• Datos analíticos anonimizados (sin información de identificación personal)

Derecho a la portabilidad de los datos (Artículo 20)

Tiene derecho a recibir sus datos en un formato estructurado y de lectura mecánica.

Cómo exportar sus datos:

1. Contacte con soporte a través del Centro de Ayuda

2. Solicite una exportación de datos

3. El soporte le proporcionará sus datos en formato JSON conteniendo:

   • Información de la cuenta

   • Historial de conversaciones

   • Configuraciones del espacio de trabajo

   • Metadatos de los archivos subidos

4. Descargue el archivo de exportación para su uso en otros sistemas

Derecho a la limitación del tratamiento (Artículo 18)

Puede solicitar la suspensión temporal del tratamiento de datos mientras se resuelven las disputas.

Cuándo puede limitar el tratamiento:

• Impugna la exactitud de los datos personales

• El tratamiento es ilícito pero no desea que se eliminen los datos

• Necesita los datos para reclamaciones legales

• Se ha opuesto al tratamiento pendiente de verificación

Cómo solicitar la limitación:

1. Contacte con soporte a través del Centro de Ayuda

2. Explique el motivo de la limitación

3. El soporte revisará e implementará las restricciones apropiadas

Derecho de oposición (Artículo 21)

Puede oponerse a ciertos tipos de tratamiento de datos.

A qué puede oponerse:

• Tratamiento para marketing directo (ISMS Copilot no realiza tratamientos de marketing)

• Tratamiento basado en intereses legítimos

• Toma de decisiones automatizada (actualmente no utilizada por ISMS Copilot)

Cómo oponerse:

1. Contacte con soporte a través del Centro de Ayuda

2. Especifique a qué tratamiento se opone

3. El soporte revisará y responderá en un plazo de 30 días

Detalles del tratamiento de datos

Base legal para el tratamiento

ISMS Copilot trata sus datos bajo las siguientes bases legales:

Ejecución de un contrato (Artículo 6(1)(b))

• Tratamiento necesario para proporcionar el servicio de cumplimiento de IA

• Gestión de su cuenta y suscripción

• Entrega de funciones que ha solicitado

Intereses legítimos (Artículo 6(1)(f))

• Mejora del rendimiento y la fiabilidad del servicio

• Detección y prevención de fraude o abuso

• Garantizar la seguridad del sistema

• Envío de actualizaciones de productos y guía de incorporación para mejorar la experiencia en la plataforma

Obligación legal (Artículo 6(1)(c))

• Conservación de registros de facturación para cumplimiento fiscal

• Responder a solicitudes legales de las autoridades

Transferencias de datos

Residencia de datos en la UE

Todo el almacenamiento de la base de datos de ISMS Copilot ocurre exclusivamente en la Unión Europea:

• Almacenamiento principal: AWS Frankfurt, Alemania

• Proveedor de base de datos: Supabase (región UE)

• Historial de conversaciones: Almacenado en la UE independientemente del proveedor de IA

Ubicación del procesamiento de IA (Controlado por el usuario)

La ubicación del procesamiento de IA depende de su configuración del Modo de Protección de Datos Avanzada:

• Protección de Datos Avanzada DESACTIVADA (Predeterminado): El procesamiento de IA ocurre en los Estados Unidos a través de xAI/OpenAI con retención de 30 días

• Protección de Datos Avanzada ACTIVADA: Procesamiento 100% en la UE a través de Mistral AI con retención cero

Subencargados del tratamiento

Los siguientes servicios de terceros tienen acceso limitado a los datos:

Proveedores de procesamiento de IA (Configurables por el usuario con conmutación por error automática)

Puede controlar qué proveedor de IA procesa sus conversaciones a través de la configuración del Modo de Protección de Datos Avanzada y la selección del proveedor de IA. ISMS Copilot ahora incluye múltiples opciones de modelos de IA y conmutación por error automática para garantizar la continuidad del servicio durante interrupciones de los proveedores:

• Modo predeterminado (Protección de Datos Avanzada DESACTIVADA): Anthropic Claude (chat), xAI Grok-3 (generación de documentos) y OpenAI GPT (detección) con conmutación por error a Mistral

  • Ubicación: Estados Unidos (con conmutación por error a la UE)

  • Retención: 30 días (caché de procesamiento temporal); retención cero durante la conmutación por error a Mistral

  • Entrenamiento: Los datos de la API NO se utilizan para el entrenamiento de modelos de IA

  • Caso de uso: Trabajo de cumplimiento estándar con fiabilidad mejorada

  • Conmutación por error automática: Si OpenAI experimenta interrupciones, sus solicitudes cambian automáticamente a Mistral AI (con sede en la UE, retención cero) sin interrupción del servicio

• Modo de Protección de Datos Avanzada (ACTIVADO): Mistral AI

  • Ubicación: Unión Europea

  • Retención: Cero (sin retención de datos)

  • Entrenamiento: NO se utiliza para el entrenamiento de modelos de IA

  • Caso de uso: Máxima privacidad, requisitos de soberanía de datos de la UE

Otros servicios de terceros

• Stripe (Procesamiento de pagos): Solo información de pago y facturación. Cumple con el RGPD con acuerdo de tratamiento de datos en la UE.

• PostHog (Analítica): Solo datos de uso anonimizados. Alojado en la UE. No se comparten conversaciones personales ni documentos.

• Sentry (Monitoreo de errores): Registros de errores, trazas de pila e IDs de usuario (solo UUID, en producción) para resolución de problemas. Con sede en Alemania. Las direcciones de correo electrónico, el contenido de las conversaciones y otros datos personales se filtran antes del envío.

• Comunicaciones por correo electrónico: SendGrid y Kit gestionan correos transaccionales, actualizaciones legales y secuencias de incorporación. Con sede en EE. UU. con Cláusulas Contractuales Tipo. Los usuarios pueden darse de baja de los correos electrónicos no esenciales.

Modo de Protección de Datos Avanzada

ISMS Copilot le da control sobre dónde se procesan sus conversaciones de IA y cuánto tiempo conservan sus datos los proveedores de IA.

Dos opciones de procesamiento:

1. Modo predeterminado (Protección de Datos Avanzada DESACTIVADA): xAI/OpenAI procesan conversaciones en EE. UU. con retención de 30 días

2. Modo Solo UE (Protección de Datos Avanzada ACTIVADA): Mistral AI procesa conversaciones en la UE con retención cero

Cuándo activar la Protección de Datos Avanzada:

• Su organización tiene requisitos obligatorios de residencia de datos en la UE

• Está manejando datos de clientes altamente sensibles

• El cumplimiento del RGPD requiere minimizar las transferencias de datos fuera de la UE

• Los contratos de los clientes prohíben el procesamiento de datos con sede en EE. UU.

• Desea máxima privacidad con retención de datos cero por parte del proveedor de IA

Distinción importante:

La Protección de Datos Avanzada controla la retención del proveedor de IA (30 días frente a cero). La retención del historial de conversaciones de su ISMS Copilot se controla por separado a través de sus ajustes de usuario (1 día a 7 años). Ambos ajustes de retención funcionan de forma independiente.

Transferencias internacionales de datos

El enfoque de ISMS Copilot respecto a las transferencias internacionales de datos depende de su configuración:

Procesamiento de datos centrales

• Almacenamiento de base de datos: Siempre en la UE (Frankfurt, Alemania)

• Procesamiento de IA: UE o EE. UU. dependiendo de la configuración del Modo de Protección de Datos Avanzada

• Analítica: Solo endpoints de la UE (PostHog UE, Sentry Alemania)

• Conversión de archivos: Endpoint de la UE (ConvertAPI)

Comunicaciones por correo electrónico (Con sede en EE. UU. con salvaguardas)

Las direcciones de correo electrónico y los datos de interacción se transfieren a proveedores de servicios de correo electrónico con sede en EE. UU. (SendGrid y Kit) para correos transaccionales, actualizaciones legales y secuencias de incorporación. Estas transferencias están protegidas por Cláusulas Contractuales Tipo aprobadas por la Comisión Europea.

Para organizaciones con requisitos estrictos de residencia de datos solo en la UE, usted debería:

• Activar el Modo de Protección de Datos Avanzada para mantener el procesamiento de IA en la UE (elimina los requisitos de TIA para la IA)

• Darse de baja de los correos de marketing/productos para minimizar las transferencias a EE. UU.

• Documentar las transferencias restantes de comunicación por correo electrónico en sus registros de actividades de tratamiento

• Revisar nuestra Evaluación de Impacto de la Transferencia para comprender las salvaguardas de transferencia

Periodos de retención de datos

Datos activos

• Historial de conversaciones: Basado en su periodo de retención definido por el usuario (1 día a 7 años, o para siempre)

• Documentos subidos: Igual que el historial de conversaciones

• Información de la cuenta: Conservada mientras la cuenta esté activa

Tras la eliminación de la cuenta

• Datos personales: Eliminados en un plazo de 30 días

• Registros de facturación anonimizados: 7 años (requisito de cumplimiento fiscal)

• Datos de respaldo (backup): Sobrescritos en un plazo de 90 días

Funciones de privacidad desde el diseño

Modo de reducción de PII

ISMS Copilot ofrece la eliminación automática de PII (Información de Identificación Personal) para proteger los datos personales sensibles antes de que lleguen al procesamiento de IA. Cuando está activado, el sistema detecta y redacta patrones comunes de PII en sus mensajes y documentos subidos.

Qué se redacta:

• Nombres personales (p. ej., "Juan Pérez" → "[REDACTED_NAME]")

• Nombres de empresas y organizaciones

• Direcciones de correo electrónico (p. ej., "[email protected]" → "[REDACTED_EMAIL]")

• Números de teléfono en varios formatos

Cómo activar la reducción de PII:

1. Navegue a Configuración → Privacidad o Protección de Datos

2. Active "Habilitar reducción de PII"

3. Revise la ventana emergente de confirmación que explica las limitaciones basadas en patrones

4. Busque el icono del escudo verde en la entrada de su chat para confirmar la activación

Cuando la reducción de PII esté activa, verá un icono de escudo verde en la entrada del chat como confirmación visual de que la redacción está funcionando.

Limitaciones importantes:

• Detección basada en patrones: La reducción de PII utiliza patrones regex y puede no detectar toda la información sensible

• No es 100% precisa: Alguna PII podría filtrarse; algún texto legítimo podría ser redactado

• No sustituye a la minimización de datos: Revise siempre los datos antes de subirlos y evite incluir PII innecesaria

• Se aplica antes del procesamiento de IA: La redacción ocurre antes de que los datos lleguen a los proveedores de IA

La reducción de PII es una mejora de la privacidad, no una garantía de anonimización completa. Verifique siempre los resultados frente a los estándares oficiales y evite subir datos personales innecesarios. Esta función funciona mejor como una capa adicional de protección junto con las prácticas de minimización de datos.

Casos de uso:

• Procesamiento de informes de auditoría de clientes que contienen nombres de empleados

• Análisis de políticas de cumplimiento con información de contacto

• Trabajo con políticas de RR. HH. o informes de incidentes

• Añadir protección de privacidad extra al usar el Modo de Protección de Datos Avanzada

Combinación con la Protección de Datos Avanzada:

Para una máxima privacidad, active ambas funciones:

• Reducción de PII: Redacta datos personales antes del procesamiento de IA

• Modo de Protección de Datos Avanzada: Garantiza el procesamiento exclusivo en la UE con retención cero por parte del proveedor de IA

Juntas, estas funciones proporcionan fuertes salvaguardas de privacidad para el trabajo de cumplimiento sensible.

Aislamiento del espacio de trabajo

Los espacios de trabajo proporcionan separación de datos para escenarios con múltiples clientes:

• Cada espacio de trabajo mantiene su propio historial de conversaciones

• Los archivos subidos están vinculados a espacios de trabajo específicos

• Las instrucciones personalizadas son específicas del espacio de trabajo

• Al eliminar un espacio de trabajo se borran todos los datos asociados

No se comparten datos entre usuarios

ISMS Copilot implementa límites estrictos de datos:

• Los usuarios no pueden acceder a los datos de otros usuarios

• Las respuestas de la IA se generan de forma independiente para cada usuario

• Las consultas a la base de datos se filtran automáticamente por el ID de usuario autenticado

• Incluso los administradores del sistema siguen el principio de privilegio mínimo

No hay entrenamiento de IA con datos de usuario

Sus datos sensibles de cumplimiento nunca se utilizan para el entrenamiento de IA:

• Las conversaciones no son almacenadas por OpenAI u otros proveedores de IA

• Los documentos subidos permanecen confidenciales y privados

• La información del cliente nunca contribuye a la mejora del modelo

• Cada conversación se procesa de forma aislada

Solicitudes de los interesados

Cómo enviar una solicitud de RGPD

1. Haga clic en el icono del menú de usuario (arriba a la derecha)

2. Seleccione Centro de Ayuda → Contactar con Soporte

3. Describa su solicitud claramente:

   • "Solicito acceso a todos mis datos personales bajo el Artículo 15 del RGPD"

   • "Solicito la eliminación de mi cuenta bajo el Artículo 17 del RGPD"

   • "Solicito una exportación de datos bajo el Artículo 20 del RGPD"

4. El soporte verificará su identidad y procesará la solicitud

Plazos de respuesta

ISMS Copilot responde a las solicitudes del RGPD de acuerdo con los plazos reglamentarios:

• Acuse de recibo: En un plazo de 24-48 horas

• Solicitudes de acceso: En un plazo de 30 días (normalmente en 72 horas)

• Solicitudes de eliminación: En un plazo de 30 días

• Portabilidad de datos: En un plazo de 30 días (normalmente en 72 horas)

• Solicitudes de rectificación: Inmediatamente para campos actualizables por el usuario; en un plazo de 30 días para otros

Verificación de identidad

Para proteger sus datos del acceso no autorizado, ISMS Copilot puede verificar su identidad:

• Debe enviar las solicitudes desde su dirección de correo electrónico registrada

• Para solicitudes sensibles, puede requerirse una verificación adicional

• El soporte puede hacer preguntas de seguridad sobre su cuenta

Privacidad de los niños

ISMS Copilot no está destinado a menores de 16 años:

• El servicio está diseñado para profesionales de cumplimiento y empresas

• No se proporcionan mecanismos de consentimiento parental

• Si se descubre un uso por parte de menores de edad, la cuenta será cancelada y los datos eliminados

Actualizaciones de la Política de Privacidad

Cómo se le notificará

Cuando las prácticas de privacidad cambien, ISMS Copilot:

• Enviará una notificación por correo electrónico a su dirección registrada

• Mostrará una notificación en la aplicación al siguiente inicio de sesión

• Actualizará la Política de Privacidad con una fecha de "Última actualización"

• Proporcionará un aviso de al menos 30 días para cambios sustanciales

Sus opciones

Si no está de acuerdo con los cambios en la política de privacidad:

• Solicite la eliminación de la cuenta antes de que los cambios entren en vigor

• Exporte sus datos antes de la fecha de entrada en vigor

• Contacte con soporte para discutir sus preocupaciones

Autoridad de control

Como servicio con sede en la UE, ISMS Copilot está sujeto a la supervisión de protección de datos.

Derecho a presentar una reclamación

Si cree que ISMS Copilot ha violado sus derechos de privacidad, puede:

1. Contactar con el soporte de ISMS Copilot para resolver el problema directamente

2. Presentar una reclamación ante su autoridad local de protección de datos

3. Presentar una reclamación ante la autoridad francesa de protección de datos (CNIL), donde ISMS Copilot está establecida

Commission Nationale de l'Informatique et des Libertés (CNIL)

• Sitio web: https://www.cnil.fr/en

• Dirección: 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, Francia

• Teléfono: +33 1 53 73 22 22

Mejores prácticas para el cumplimiento

Para consultores que manejan datos de clientes

• Cree espacios de trabajo separados para cada cliente

• Establezca periodos de retención adecuados que coincidan con los contratos de los clientes

• Anonimice los datos personales sensibles antes de subirlos

• Informe a los clientes que utiliza ISMS Copilot para el trabajo de cumplimiento

• Incluya a ISMS Copilot en sus acuerdos de tratamiento de datos

• Active el Modo de Protección de Datos Avanzada si los clientes requieren procesamiento exclusivo en la UE

Para organizaciones

• Documente a ISMS Copilot en su registro de actividades de tratamiento (consulte nuestro Registro de Actividades de Tratamiento como referencia)

• Inclúyalo en las Evaluaciones de Impacto de la Protección de Datos (EIPD) si trata datos sensibles

• Forme al personal sobre el manejo adecuado de los datos dentro de ISMS Copilot

• Configure los periodos de retención para que coincidan con su política de retención de datos

Transparencia y confianza

Documentación de seguridad

Para obtener información detallada sobre las prácticas de seguridad y privacidad de ISMS Copilot, visite nuestra Colección de Seguridad:

• Descripciones detalladas del tratamiento de datos

• Documentación de las medidas de seguridad

• Lista completa de subencargados con ubicaciones y estado del DPA

• Certificaciones de cumplimiento

• Políticas de gobernanza de la IA

También puede revisar nuestro Registro de Actividades de Tratamiento (RAT) completo para obtener medidas técnicas y organizativas detalladas.

Estado del sistema

Supervise la disponibilidad del servicio y los incidentes de seguridad en la Página de Estado:

• Monitoreo de tiempo de actividad en tiempo real a través de BetterStack

• Notificaciones de incidentes y actualizaciones de estado

• Programación de mantenimiento planificado

• Datos históricos de tiempo de actividad

• Clasificación y escalada de incidentes transparente

Limitaciones

Funciones de privacidad actuales

• La exportación automática de datos no está disponible (debe solicitarse a través de soporte)

• Los cambios de dirección de correo electrónico requieren asistencia de soporte

• No hay eliminación de cuenta en autoservicio (debe contactar con soporte)

• Banner de consentimiento de cookies no implementado (no se utilizan cookies de seguimiento)

Qué sigue

• Conozca las medidas de seguridad y el cifrado

• Configure espacios de trabajo para aislar los datos de los clientes

• Revise nuestra Evaluación de Impacto de la Transferencia

• Cree una cuenta segura con autenticación fuerte

• Revise nuestra Colección de Seguridad para obtener documentación detallada sobre privacidad

Obtener ayuda

Para preguntas relacionadas con la privacidad o solicitudes de RGPD:

• Contacte con soporte a través del menú del Centro de Ayuda

• Envíe un correo electrónico desde su dirección de cuenta registrada

• Incluya "Solicitud de RGPD" en la línea del asunto para un procesamiento más rápido

• Visite nuestra Colección de Seguridad para obtener documentación detallada