SEGURIDAD
Medidas técnicas y organizativas
Anexo al Acuerdo de tratamiento de datos. Medidas de seguridad del artículo 32 del RGPD aplicadas a PersoHR.
Esta página constituye el anexo de Medidas Técnicas y Organizativas («TOMs») al que se refiere la sección 7 del Acuerdo de tratamiento de datos disponible en /legal/dpa. Las medidas que figuran a continuación son las vigentes actualmente; pueden actualizarse periódicamente, siempre que ninguna actualización reduzca de forma significativa el nivel general de seguridad.
1. Alojamiento y residencia de datos en la UE
La aplicación principal de RR. HH. utiliza la infraestructura de Hetzner para la base de datos y el almacenamiento de archivos. Los proveedores de servicios también dan soporte a las funciones de IA, el correo electrónico, los SMS de seguridad, la facturación y la analítica de las páginas públicas. La lista disponible en /legal/sub-processors describe la función y las condiciones de tratamiento de cada proveedor. Las integraciones activadas por el cliente pueden enviar información al proveedor elegido por el cliente. El alojamiento en la UE de los registros principales no debe interpretarse como una declaración de que todos los servicios o destinatarios relacionados realicen el tratamiento exclusivamente dentro de la UE.
2. Control de acceso y autenticación
La autenticación de los clientes utiliza enlaces por correo electrónico sin contraseña. Los tokens de enlace mágico y de actualización se almacenan como hashes; los enlaces mágicos son de un solo uso y caducan. La autenticación de dos factores TOTP es obligatoria para los roles de Propietario y Administrador de RR. HH. Los mecanismos de recuperación están sujetos a comprobaciones de seguridad independientes. Los tokens de acceso tienen una duración limitada y los tokens de actualización se entregan mediante cookies HttpOnly con atributos de seguridad de producción. Los roles de la aplicación son Propietario, Administrador de RR. HH., Responsable de equipo y Empleado; las comprobaciones a nivel de servicio restringen además el acceso a los registros pertinentes. Estos controles no constituyen una afirmación sobre llaves de seguridad físicas ni sobre revisiones operativas de accesos en la infraestructura de producción.
3. Aislamiento de inquilinos
Los registros de RR. HH. de la empresa están limitados a un inquilino, y los controles de acceso a nivel de repositorio y de servicio utilizan el espacio de trabajo autenticado. Las identidades globales de usuario pueden pertenecer a más de un espacio de trabajo y se gestionan por separado de las membresías de RR. HH. del inquilino. Los identificadores de registro no otorgan acceso por sí solos; la autorización depende del usuario autenticado, del espacio de trabajo, del rol y de las comprobaciones de relación aplicables. Los filtros de inquilino son una parte de estos controles y no sustituyen la comprobación de cada vía de acceso.
4. Cifrado
La aplicación utiliza AES-256-GCM para determinados valores sensibles, incluidos los secretos TOTP y los identificadores bancarios, fiscales y de seguridad social de nómina admitidos. Se trata de una protección a nivel de campo y no significa que cada campo de salario, documento o salud tenga una capa de cifrado propia a nivel de aplicación. El tráfico entre la aplicación y la base de datos permanece dentro del mismo servidor, y todas las conexiones públicas utilizan TLS. Las copias de seguridad se almacenan cifradas, mientras que el volumen de la base de datos y el almacenamiento de documentos no tienen cifrado a nivel de almacenamiento. Este anexo no afirma un algoritmo de cifrado de almacenamiento ni una versión de TLS concretos para cada punto de acceso desplegado sin el registro operativo correspondiente.
5. Registro, supervisión y auditoría
Los registros de auditoría recogen las acciones admitidas, como cambios, exportaciones y solicitudes de supresión, con información sobre el autor, la acción, la referencia del registro y el momento. Están sujetos a controles de acceso, a una conservación programada y a reglas específicas de retención legal. No se trata de un compromiso de registrar cada lectura ni de conservar un historial inmutable e ilimitado. Los registros operativos y de seguridad sirven para la investigación y el funcionamiento del servicio; su contenido, su acceso y su conservación deben limitarse a esa finalidad. Los identificadores de usuarios y de registros pueden constituir en sí mismos datos personales.
6. Copias de seguridad y recuperación ante desastres
Las medidas adecuadas de disponibilidad y recuperación forman parte de las obligaciones del Encargado con arreglo al artículo 32 del RGPD. Los calendarios de copias de seguridad de la infraestructura, su conservación, su cifrado y las pruebas de restauración deben documentarse y mantenerse para el servicio desplegado. Póngase en contacto con nosotros para obtener la evidencia operativa actual y cualquier objetivo de recuperación acordado. Las exportaciones de datos de la aplicación no sustituyen a las copias de seguridad de la infraestructura, y este anexo no representa una garantía de tiempo de recuperación verificada de forma independiente.
7. Respuesta a incidentes
Las violaciones de la seguridad de los datos personales que afecten a datos del responsable del tratamiento se comunican a este sin dilación indebida desde que se tiene conocimiento de ellas, según se describe en el Acuerdo de tratamiento de datos. Los hechos disponibles, las consecuencias probables y las medidas de respuesta se facilitan y se completan a medida que avanza la investigación. El plazo del que dispone el responsable para notificar a la autoridad de control es independiente de la obligación del Encargado de notificarle. La investigación de incidentes y las medidas correctoras deben proteger los datos afectados y preservar las pruebas necesarias.
8. Gestión de vulnerabilidades y desarrollo seguro
Los repositorios incluyen pruebas automatizadas y comprobaciones estáticas de calidad para ayudar a detectar defectos. Los problemas de seguridad identificados deben evaluarse y abordarse en función de su riesgo. Estas comprobaciones de desarrollo no acreditan que todas las dependencias se analicen en cada compilación, que se hayan realizado pruebas de penetración externas ni que cada función cuente con un modelo de amenazas completado. Puede solicitarnos la evidencia de evaluación actual.
9. Supresión, conservación y portabilidad
El servicio ofrece flujos de exportación y supresión de datos de usuarios y empleados, además de una exportación administrativa del inquilino. Su alcance y sus permisos son distintos. Las rutinas de supresión eliminan o anonimizan los registros admitidos. No ofrecen un flujo general de retención legal controlado por el empleador. El cliente debe evaluar la respuesta lícita a una solicitud individual. La eliminación del espacio de trabajo de la empresa es independiente de la interrupción de la renovación de la suscripción y tiene un periodo de cancelación de 30 días tras la solicitud realizada en la aplicación. La supresión de la cuenta personal es inmediata y ejecuta además la supresión de las membresías de espacios de trabajo asociadas sin un paso separado de aprobación por parte del empleador. Actualmente, los registros de jornada bloqueados que se conservan no disponen de un flujo específico de recuperación. El Acuerdo de tratamiento de datos rige la devolución o supresión al finalizar el tratamiento, incluidas las copias de seguridad protegidas y los registros cuya conservación sea obligatoria.
10. Diligencia debida con los subencargados
La lista de proveedores disponible en /legal/sub-processors describe las funciones, las ubicaciones, las categorías de datos y los contratos con los proveedores. El Encargado debe contratar a los subencargados mediante condiciones escritas que satisfagan los requisitos del artículo 28 del RGPD, sigue siendo responsable de las protecciones exigidas y debe seguir el procedimiento de autorización, preaviso y oposición del Acuerdo de tratamiento de datos.
11. Personal
El personal autorizado para tratar datos personales de los clientes debe estar sujeto a obligaciones de confidencialidad y recibir un acceso adecuado a sus responsabilidades. La gestión de accesos, la concienciación en materia de seguridad y los procedimientos de tratamiento de datos forman parte de las salvaguardas organizativas del Encargado. La obligación de proteger los datos personales conservados continúa tras la finalización de un encargo o de una suscripción.