Seguridad · Protección de datos
Medidas de seguridad
Este documento detalla las medidas técnicas y organizativas que Avatia, en su condición de Encargado del tratamiento, aplica para garantizar un nivel de seguridad adecuado al riesgo, conforme al artículo 32 del Reglamento (UE) 2016/679 (RGPD).
1. Seudonimización y cifrado
- Cifrado en tránsito. Todas las comunicaciones externas se realizan sobre canales cifrados (TLS 1.2 o superior), con terminación TLS en el balanceador de carga.
- Cifrado en reposo. Las bases de datos y los volúmenes de almacenamiento se cifran en reposo. El almacenamiento de objetos emplea cifrado del lado del servidor con claves diferenciadas por inquilino.
- Gestión de claves. Las claves criptográficas se gestionan mediante un servicio gestionado, con acceso restringido.
- Minimización y seudonimización. Los datos personales se limitan a los necesarios para la finalidad del tratamiento y se seudonimizan cuando dicha finalidad lo permite.
2. Confidencialidad
- Control de acceso. El acceso a los sistemas se realiza mediante identidad federada e inicio de sesión único (SSO), con aplicación del principio de mínimo privilegio.
- Compromiso de confidencialidad. El personal autorizado para tratar datos personales está sujeto a obligaciones de confidencialidad.
- Aislamiento por inquilino. Cada inquilino dispone de una red dedicada (VPC) con separación de cargas de trabajo; la salida a Internet se canaliza a través de una pasarela controlada.
3. Integridad, disponibilidad y resiliencia
- Infraestructura. Los servicios se alojan sobre un proveedor de nube de primer nivel con garantías de disponibilidad de servicio.
- Monitorización y auditoría. Los sistemas cuentan con monitorización y observabilidad continuas y con registro de auditoría de las operaciones.
4. Restauración de la disponibilidad y el acceso
- Copias de seguridad. Las bases de datos se respaldan de forma automática, con capacidad de restauración a un punto anterior en el tiempo.
- Recuperación. Existen procedimientos para restaurar la disponibilidad y el acceso a los datos personales con rapidez en caso de incidente físico o técnico.
5. Verificación periódica de la eficacia
- Las medidas se revisan periódicamente para verificar y evaluar su eficacia.
- Se gestionan las vulnerabilidades y se aplican actualizaciones de seguridad.
- Se revisan los registros de acceso y auditoría.
6. Tratamiento mediante modelos de inteligencia artificial
- Los modelos de lenguaje de terceros empleados no se entrenan con los datos del Responsable.
- El tratamiento por el proveedor de modelos se realiza con exclusión del uso de los datos para entrenamiento y con un periodo de retención limitado (30 días).
- Los proveedores que actúan como subencargados se relacionan en avatia.ai/security/subencargados.
7. Gestión de incidentes de seguridad
- Avatia dispone de un procedimiento de respuesta a incidentes y notifica al Responsable cualquier violación de la seguridad de los datos personales conforme a los plazos y condiciones establecidos en el Acuerdo.
Para cualquier cuestión relativa a estas medidas o al tratamiento de datos personales, puede dirigirse a dpo@avatia.ai.