Privacidad de Datos y cumplimiento del RGPD - Actualizado

Descripción general

ISMS Copilot cumple plenamente con el Reglamento General de Protección de Datos (RGPD) y sigue principios estrictos de privacidad de datos. Este artículo explica sus derechos de privacidad, cómo manejamos sus datos y qué controles tiene sobre su información.

A quién va dirigido

Este artículo es para:

• Usuarios con sede en la UE preocupados por el cumplimiento del RGPD

• Delegados de Protección de Datos (DPO) que evalúan ISMS Copilot

• Consultores de cumplimiento que manejan datos de clientes bajo el RGPD

• Cualquier persona que desee entender sus derechos de privacidad

Descripción general del cumplimiento del RGPD

Cómo ISMS Copilot cumple con los requisitos del RGPD

Minimización de datos (Artículo 5(1)(c))

ISMS Copilot recopila solo los datos mínimos necesarios para prestar el servicio:

• Dirección de correo electrónico para identificación de cuenta, autenticación y comunicaciones esenciales

• Credenciales de autenticación (contraseñas con hash o tokens OAuth)

• Historial de conversaciones para proporcionar respuestas de IA con contexto

• Documentos subidos para análisis y evaluación de brechas de cumplimiento

• Metadatos de uso para facturación y mejora del servicio

• Datos de interacción con el correo electrónico (aperturas, clics) para correos de incorporación y actualizaciones de productos (los usuarios pueden optar por no recibirlos)

Limitación de la finalidad (Artículo 5(1)(b))

Sus datos se utilizan exclusivamente para:

• Proporcionar asistencia de cumplimiento impulsada por IA

• Gestionar su cuenta y suscripción

• Mejorar el rendimiento y la fiabilidad del servicio

• Cumplir con las obligaciones legales

Limitación del plazo de conservación (Artículo 5(1)(e))

Usted tiene control total sobre cuánto tiempo se conservan sus datos:

• Establecer periodos de retención desde 1 día hasta 7 años, o conservarlos para siempre

• La eliminación automática de datos caducados se ejecuta diariamente

• Solicitar la eliminación inmediata de la cuenta y los datos en cualquier momento

Protección de datos desde el diseño (Artículo 25)

La seguridad y la privacidad están integradas en cada función de ISMS Copilot:

• Cifrado de extremo a extremo para todos los datos

• La seguridad a nivel de fila evita accesos no autorizados

• El aislamiento de espacios de trabajo mantiene separados los datos de los clientes

• Autenticación segura con soporte para OAuth

Sus derechos bajo el RGPD

Derecho de acceso (Artículo 15)

Tiene derecho a acceder a todos sus datos personales almacenados en ISMS Copilot.

A qué puede acceder:

• Información de su cuenta (correo electrónico, ajustes)

• Todo el historial de conversaciones de los espacios de trabajo

• Documentos y archivos subidos

• Metadatos de uso y marcas de tiempo

Cómo acceder a sus datos:

1. Inicie sesión en su cuenta de ISMS Copilot

2. Navegue por sus espacios de trabajo para ver las conversaciones

3. Vea los archivos subidos en cada hilo de conversación

4. Para una exportación completa de datos, contacte con soporte a través del Centro de Ayuda

Derecho de rectificación (Artículo 16)

Puede actualizar o corregir su información personal en cualquier momento.

Cómo actualizar su información:

1. Haga clic en el icono del menú de usuario (arriba a la derecha)

2. Seleccione Ajustes

3. Se mostrará su dirección de correo electrónico (para cambiarla, contacte con soporte)

4. Actualice sus preferencias de retención de datos

5. Haga clic en Guardar ajustes

Resultado esperado: El cuadro de diálogo de ajustes se cierra y sus cambios se guardan de inmediato.

Derecho de supresión / "Derecho al olvido" (Artículo 17)

Puede solicitar la eliminación completa de su cuenta y de todos los datos asociados.

Cómo eliminar sus datos:

1. Haga clic en el icono del menú de usuario

2. Seleccione Centro de Ayuda → Contactar con Soporte

3. Envíe una solicitud de eliminación de datos

4. El equipo de soporte verificará su identidad y confirmará la solicitud

5. Todos los datos se eliminan permanentemente en un plazo de 30 días

Qué se elimina:

• Su cuenta y dirección de correo electrónico

• Todos los espacios de trabajo e historial de conversaciones

• Todos los documentos y archivos subidos

• Instrucciones personalizadas del espacio de trabajo

• Metadatos de uso y registros

Qué puede conservarse:

• Registros de facturación anonimizados (requeridos para cumplimiento fiscal y contable)

• Datos analíticos anonimizados (sin información de identificación personal)

Derecho a la portabilidad de los datos (Artículo 20)

Tiene derecho a recibir sus datos en un formato estructurado y de lectura mecánica.

Cómo exportar sus datos:

1. Contacte con soporte a través del Centro de Ayuda

2. Solicite una exportación de datos

3. Soporte le proporcionará sus datos en formato JSON que contiene:

   • Información de la cuenta

   • Historial de conversaciones

   • Configuraciones de los espacios de trabajo

   • Metadatos de los archivos subidos

4. Descargue el archivo de exportación para su uso en otros sistemas

Derecho a la limitación del tratamiento (Artículo 18)

Puede solicitar la suspensión temporal del tratamiento de datos mientras se resuelven disputas.

Cuándo puede limitar el tratamiento:

• Usted impugna la exactitud de los datos personales

• El tratamiento es ilícito pero no desea que se eliminen los datos

• Necesita los datos para reclamaciones legales

• Se ha opuesto al tratamiento mientras se verifica la procedencia

Cómo solicitar la limitación:

1. Contacte con soporte a través del Centro de Ayuda

2. Explique el motivo de la limitación

3. Soporte revisará e implementará las restricciones adecuadas

Derecho de oposición (Artículo 21)

Puede oponerse a ciertos tipos de tratamiento de datos.

A qué puede oponerse:

• Tratamiento para marketing directo (ISMS Copilot no realiza tratamientos de marketing)

• Tratamiento basado en intereses legítimos

• Toma de decisiones automatizada (no utilizada actualmente por ISMS Copilot)

Cómo oponerse:

1. Contacte con soporte a través del Centro de Ayuda

2. Especifique a qué tratamiento se opone

3. Soporte revisará y responderá en un plazo de 30 días

Detalles del tratamiento de datos

Base legal para el tratamiento

ISMS Copilot trata sus datos bajo las siguientes bases legales:

Ejecución de un contrato (Artículo 6(1)(b))

• Tratamiento necesario para proporcionar el servicio de cumplimiento mediante IA

• Gestión de su cuenta y suscripción

• Entrega de funciones que ha solicitado

Intereses legítimos (Artículo 6(1)(f))

• Mejorar el rendimiento y la fiabilidad del servicio

• Detectar y prevenir fraudes o abusos

• Garantizar la seguridad del sistema

• Enviar actualizaciones de productos y orientación de incorporación para mejorar la experiencia en la plataforma

Obligación legal (Artículo 6(1)(c))

• Conservación de registros de facturación para el cumplimiento fiscal

• Responder a solicitudes legítimas de las autoridades

Transferencias de datos

Residencia de datos en la UE

Todo el almacenamiento de la base de datos de ISMS Copilot ocurre exclusivamente en la Unión Europea:

• Almacenamiento principal: AWS Frankfurt, Alemania

• Proveedor de base de datos: Supabase (región UE)

• Historial de conversaciones: Almacenado en la UE independientemente del proveedor de IA

Ubicación del procesamiento de IA (Controlado por el usuario)

La ubicación del procesamiento de la IA depende de su ajuste del Modo de Protección de Datos Avanzada:

• Protección de Datos Avanzada DESACTIVADA (Por defecto): El procesamiento de IA ocurre en los Estados Unidos a través de xAI/OpenAI con una retención de 30 días

• Protección de Datos Avanzada ACTIVADA: Procesamiento 100% en la UE a través de Mistral AI con retención cero

Encargados del tratamiento terceros

Los siguientes servicios de terceros tienen acceso limitado a los datos:

Proveedores de procesamiento de IA (Configurables por el usuario con conmutación por error automática)

Puede controlar qué proveedor de IA procesa sus conversaciones a través del ajuste del Modo de Protección de Datos Avanzada y la selección del proveedor de IA. ISMS Copilot ahora incluye múltiples opciones de modelos de IA y conmutación por error automática para asegurar la continuidad del servicio durante caídas de los proveedores:

• Modo por defecto (Protección de Datos Avanzada DESACTIVADA): Anthropic Claude (chat), xAI Grok (generación de documentos) y OpenAI GPT (detección) con conmutación por error de Anthropic a OpenAI

  • Ubicación: Estados Unidos

  • Retención: 30 días (caché de procesamiento temporal)

  • Entrenamiento: Los datos de la API NO se utilizan para el entrenamiento de modelos de IA

  • Caso de uso: Trabajo de cumplimiento estándar con fiabilidad mejorada

  • Conmutación por error automática: Si Anthropic sufre interrupciones, las solicitudes de chat cambian automáticamente a OpenAI sin interrupción del servicio

• Modo de Protección de Datos Avanzada (ACTIVADO): Mistral AI

  • Ubicación: Unión Europea

  • Retención: Cero (sin retención de datos)

  • Entrenamiento: NO se utiliza para el entrenamiento de modelos de IA

  • Caso de uso: Máxima privacidad, requisitos de soberanía de datos de la UE

Otros servicios de terceros

• Stripe (Procesamiento de pagos): Solo información de pago y facturación. Cumple con el RGPD con acuerdo de tratamiento de datos en la UE.

• PostHog (Analítica): Solo datos de uso anonimizados. Alojado en la UE. No se comparten conversaciones personales ni documentos.

• Sentry (Monitoreo de errores): Registros de errores, trazas de pila e IDs de usuario (solo UUID, en producción) para resolución de problemas. Con sede en Alemania. Las direcciones de correo electrónico, el contenido de las conversaciones y otros datos personales se filtran antes del envío.

• Comunicaciones por correo electrónico: SendGrid y Kit gestionan correos transaccionales, actualizaciones legales y secuencias de incorporación. Con sede en EE. UU. con Cláusulas Contractuales Tipo. Los usuarios pueden darse de baja de los correos no esenciales.

Modo de Protección de Datos Avanzada

ISMS Copilot le da el control sobre dónde se procesan sus conversaciones de IA y cuánto tiempo retienen sus datos los proveedores de IA.

Dos opciones de procesamiento:

1. Modo por defecto (Protección de Datos Avanzada DESACTIVADA): xAI/OpenAI procesan las conversaciones en EE. UU. con una retención de 30 días

2. Modo solo UE (Protección de Datos Avanzada ACTIVADA): Mistral AI procesa las conversaciones en la UE con retención cero

Cuándo activar la Protección de Datos Avanzada:

• Su organización tiene requisitos obligatorios de residencia de datos en la UE

• Está manejando datos de clientes altamente sensibles

• El cumplimiento del RGPD requiere minimizar las transferencias de datos fuera de la UE

• Los contratos con clientes prohíben el procesamiento de datos con sede en EE. UU.

• Desea la máxima privacidad con cero retención de datos por parte del proveedor de IA

Distinción importante:

La Protección de Datos Avanzada controla la retención del proveedor de IA (30 días frente a cero). La retención del historial de conversaciones de su ISMS Copilot se controla por separado a través de sus ajustes de usuario (1 día a 7 años). Ambos ajustes de retención funcionan de forma independiente.

Transferencias internacionales de datos

El enfoque de ISMS Copilot respecto a las transferencias internacionales de datos depende de su configuración:

Tratamiento de datos principales

• Almacenamiento en base de datos: Siempre en la UE (Frankfurt, Alemania)

• Procesamiento de IA: UE o EE. UU. según el ajuste del Modo de Protección de Datos Avanzada

• Analítica: Solo endpoints en la UE (PostHog UE, Sentry Alemania)

• Conversión de archivos: Endpoint en la UE (ConvertAPI)

Comunicaciones por correo electrónico (Con sede en EE. UU. y salvaguardas)

Las direcciones de correo electrónico y los datos de interacción se transfieren a proveedores de servicios de correo electrónico con sede en EE. UU. (SendGrid y Kit) para correos transaccionales, actualizaciones legales y secuencias de incorporación. Estas transferencias están protegidas por Cláusulas Contractuales Tipo aprobadas por la Comisión Europea.

Para organizaciones con requisitos estrictos de residencia de datos exclusivamente en la UE, deberían:

• Activar el Modo de Protección de Datos Avanzada para mantener el procesamiento de IA en la UE (elimina los requisitos de TIA para la IA)

• Darse de baja de los correos de marketing/producto para minimizar las transferencias a EE. UU.

• Documentar las transferencias restantes de comunicación por correo electrónico en sus registros de actividades de tratamiento

• Revisar nuestra Evaluación de Impacto de Transferencia para entender las salvaguardas de transferencia

Periodos de retención de datos

Datos activos

• Historial de conversaciones: Según su periodo de retención definido por el usuario (1 día a 7 años, o para siempre)

• Documentos subidos: Igual que el historial de conversaciones

• Información de la cuenta: Se conserva mientras la cuenta esté activa

Tras la eliminación de la cuenta

• Datos personales: Eliminados en un plazo de 30 días

• Registros de facturación anonimizados: 7 años (requisito de cumplimiento fiscal)

• Datos de respaldo: Sobrescritos en un plazo de 90 días

Funciones de privacidad desde el diseño

Modo de reducción de PII

ISMS Copilot ofrece la redacción automática de PII (Información de Identificación Personal) para proteger datos personales sensibles antes de que lleguen al procesamiento de IA. Cuando está activado, el sistema detecta y redacta patrones comunes de PII en sus mensajes y documentos subidos.

Qué se redacta:

• Nombres personales (ej. "Juan Pérez" → "[NOMBRE_REDACTADO]")

• Nombres de empresas y organizaciones

• Direcciones de correo electrónico (ej. "[email protected]" → "[EMAIL_REDACTADO]")

• Números de teléfono en varios formatos

Cómo activar la reducción de PII:

1. Navegue a Ajustes → Privacidad o Protección de Datos

2. Active "Habilitar reducción de PII"

3. Revise la ventana emergente de confirmación que explica las limitaciones basadas en patrones

4. Busque el icono del escudo verde en la entrada de su chat para confirmar la activación

Cuando la reducción de PII está activa, verá un icono de escudo verde en la entrada del chat como confirmación visual de que la redacción está funcionando.

Limitaciones importantes:

• Detección basada en patrones: La reducción de PII utiliza patrones regex y puede no detectar toda la información sensible

• No es 100% precisa: Alguna PII podría filtrarse; algún texto legítimo podría ser redactado

• No es un sustituto de la minimización de datos: Siempre revise los datos antes de subirlos y evite incluir PII innecesaria

• Se aplica antes del procesamiento de IA: La redacción ocurre antes de que los datos lleguen a los proveedores de IA

La reducción de PII es una mejora de la privacidad, no una garantía de anonimización completa. Verifique siempre los resultados frente a los estándares oficiales y evite subir datos personales innecesarios. Esta función funciona mejor como una capa adicional de protección junto con las prácticas de minimización de datos.

Casos de uso:

• Procesamiento de informes de auditoría de clientes que contienen nombres de empleados

• Análisis de políticas de cumplimiento con información de contacto

• Trabajo con políticas de RR. HH. o informes de incidentes

• Añadir protección de privacidad extra al usar el Modo de Protección de Datos Avanzada

Combinación con la Protección de Datos Avanzada:

Para una máxima privacidad, active ambas funciones:

• Reducción de PII: Redacta datos personales antes del procesamiento de IA

• Modo de Protección de Datos Avanzada: Garantiza el procesamiento solo en la UE con retención cero por parte del proveedor de IA

Juntas, estas funciones proporcionan salvaguardas de privacidad sólidas para el trabajo de cumplimiento sensible.

Aislamiento de espacios de trabajo

Los espacios de trabajo proporcionan separación de datos para escenarios multicliente:

• Cada espacio de trabajo mantiene su propio historial de conversaciones

• Los archivos subidos están vinculados a espacios de trabajo específicos

• Las instrucciones personalizadas son específicas de cada espacio de trabajo

• Eliminar un espacio de trabajo elimina todos los datos asociados

No se comparten datos entre usuarios

ISMS Copilot implementa límites de datos estrictos:

• Los usuarios no pueden acceder a los datos de otros usuarios

• Las respuestas de la IA se generan de forma independiente para cada usuario

• Las consultas a la base de datos se filtran automáticamente por el ID de usuario autenticado

• Incluso los administradores del sistema siguen el principio de privilegio mínimo

Sin entrenamiento de IA sobre datos de usuario

Sus datos sensibles de cumplimiento nunca se utilizan para el entrenamiento de IA:

• Las conversaciones no son almacenadas por OpenAI u otros proveedores de IA

• Los documentos subidos permanecen confidenciales y privados

• La información del cliente nunca contribuye a la mejora del modelo

• Cada conversación se procesa de forma aislada

Solicitudes de los interesados

Cómo enviar una solicitud RGPD

1. Haga clic en el icono del menú de usuario (arriba a la derecha)

2. Seleccione Centro de Ayuda → Contactar con Soporte

3. Describa su solicitud claramente:

   • "Solicito acceso a todos mis datos personales bajo el Artículo 15 del RGPD"

   • "Solicito la eliminación de mi cuenta bajo el Artículo 17 del RGPD"

   • "Solicito una exportación de datos bajo el Artículo 20 del RGPD"

4. Soporte verificará su identidad y procesará la solicitud

Plazos de respuesta

ISMS Copilot responde a las solicitudes del RGPD de acuerdo con los plazos reglamentarios:

• Acuse de recibo: En un plazo de 24-48 horas

• Solicitudes de acceso: En un plazo de 30 días (normalmente en 72 horas)

• Solicitudes de eliminación: En un plazo de 30 días

• Portabilidad de datos: En un plazo de 30 días (normalmente en 72 horas)

• Solicitudes de rectificación: Inmediatamente para campos actualizables por el usuario; en un plazo de 30 días para otros

Verificación de identidad

Para proteger sus datos de accesos no autorizados, ISMS Copilot puede verificar su identidad:

• Debe enviar las solicitudes desde su dirección de correo electrónico registrada

• Para solicitudes sensibles, puede requerirse una verificación adicional

• El soporte puede hacer preguntas de seguridad sobre su cuenta

Privacidad infantil

ISMS Copilot no está destinado a niños menores de 16 años:

• El servicio está diseñado para profesionales del cumplimiento y empresas

• No se proporcionan mecanismos de consentimiento paterno

• Si se descubre un uso por menores de edad, la cuenta será cancelada y los datos eliminados

Actualizaciones de la Política de Privacidad

Cómo se le notificará

Cuando cambien las prácticas de privacidad, ISMS Copilot:

• Enviará una notificación por correo electrónico a su dirección registrada

• Mostrará una notificación en la aplicación al siguiente inicio de sesión

• Actualizará la Política de Privacidad con una fecha de "Última actualización"

• Proporcionará al menos 30 días de aviso para cambios sustanciales

Sus opciones

Si no está de acuerdo con los cambios en la política de privacidad:

• Solicite la eliminación de la cuenta antes de que los cambios entren en vigor

• Exporte sus datos antes de la fecha de entrada en vigor

• Contacte con soporte para discutir sus inquietudes

Autoridad de control

Como servicio con sede en la UE, ISMS Copilot está sujeto a la supervisión de protección de datos.

Derecho a presentar una reclamación

Si cree que ISMS Copilot ha violado sus derechos de privacidad, puede:

1. Contactar con el soporte de ISMS Copilot para resolver el problema directamente

2. Presentar una reclamación ante su autoridad local de protección de datos

3. Presentar una reclamación ante la autoridad francesa de protección de datos (CNIL), donde ISMS Copilot está establecida

Commission Nationale de l'Informatique et des Libertés (CNIL)

• Sitio web: https://www.cnil.fr/en

• Dirección: 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, Francia

• Teléfono: +33 1 53 73 22 22

Mejores prácticas para el cumplimiento

Para consultores que manejan datos de clientes

• Cree espacios de trabajo separados para cada cliente

• Establezca periodos de retención adecuados que coincidan con los contratos de los clientes

• Anonimice los datos personales sensibles antes de subirlos

• Informe a sus clientes que utiliza ISMS Copilot para el trabajo de cumplimiento

• Incluya a ISMS Copilot en sus acuerdos de tratamiento de datos

• Active el Modo de Protección de Datos Avanzada si los clientes requieren procesamiento solo en la UE

Para organizaciones

• Documente a ISMS Copilot en su registro de actividades de tratamiento (consulte nuestro Registro de Actividades de Tratamiento como referencia)

• Inclúyalo en las Evaluaciones de Impacto de Protección de Datos (EIPD) si procesa datos sensibles

• Capacite al personal sobre el manejo adecuado de datos dentro de ISMS Copilot

• Configure los periodos de retención para que coincidan con su política de retención de datos

Transparencia y confianza

Documentación de seguridad

Para obtener información detallada sobre las prácticas de seguridad y privacidad de ISMS Copilot, visite nuestra Colección de Seguridad:

• Descripciones detalladas del tratamiento de datos

• Documentación de medidas de seguridad

• Lista completa de subencargados del tratamiento con ubicaciones y estado del DPA

• Certificaciones de cumplimiento

• Políticas de gobernanza de IA

También puede revisar nuestro exhaustivo Registro de Actividades de Tratamiento (RoPA) para conocer las medidas técnicas y organizativas detalladas.

Estado del sistema

Monitoree la disponibilidad del servicio y los incidentes de seguridad en la Página de Estado:

• Monitoreo de tiempo de actividad en tiempo real a través de BetterStack

• Notificaciones de incidentes y actualizaciones de estado

• Programación de mantenimientos planificados

• Datos históricos de tiempo de actividad

• Clasificación y escalada de incidentes transparente

Limitaciones

Funciones de privacidad actuales

• La exportación automática de datos no está disponible (debe solicitarse a través de soporte)

• Los cambios de dirección de correo electrónico requieren asistencia del soporte

• No hay eliminación de cuenta por autoservicio (debe contactar con soporte)

• Banner de consentimiento de cookies no implementado (no se utilizan cookies de seguimiento)

Próximos pasos

• Aprenda sobre las medidas de seguridad y cifrado

• Configure espacios de trabajo para aislar los datos de los clientes

• Revise nuestra Evaluación de Impacto de Transferencia

• Cree una cuenta segura con autenticación sólida

• Revise nuestra Colección de Seguridad para obtener documentación detallada sobre privacidad

Obtener ayuda

Para preguntas relacionadas con la privacidad o solicitudes del RGPD:

• Contacte con soporte a través del menú del Centro de Ayuda

• Envíe un correo desde su dirección de correo electrónico registrada

• Incluya "Solicitud RGPD" en el asunto para un procesamiento más rápido

• Visite nuestra Colección de Seguridad para obtener documentación detallada