Conformidad RGPD | Kroqi

Conformidad con el RGPD

1. Preámbulo

Aunque la obligación no esté formalmente establecida en el RGPD, es indispensable que los programas, paquetes de software u otras aplicaciones (que llamamos, por comodidad de lenguaje, «producto») permitan a sus usuarios (empresas o entidades públicas) cumplir las obligaciones que impone el RGPD.

Pueden distinguirse 3 tipos de requisitos:

los requisitos relativos al propio producto;
los requisitos relativos al uso del producto;
los requisitos relativos a la seguridad del producto.

Se precisa que, como cliente de Kroqi, usted es responsable del tratamiento en el sentido del RGPD y debe responder directamente a las exigencias de este marco normativo.

El presente documento constituye la lista de estas exigencias y precisa cómo Kroqi le permite responder a ellas.

2. Puntos relativos al producto

Se trata esencialmente de requisitos endógenos, ligados al propio producto.

2.1 Actualización de los datos

Art. 16 RGPD: Derecho de rectificación : «El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la rectificación de los datos personales inexactos que le conciernan. Teniendo en cuenta los fines del tratamiento, el interesado tendrá derecho a que se completen los datos personales que sean incompletos, inclusive mediante una declaración adicional. »
Respuesta de Kroqi: Cada usuario de Kroqi puede modificar y rectificar en cualquier momento sus datos personales (sección Mi cuenta) y recibe un mensaje que indica que el registro de sus modificaciones se ha realizado correctamente.

2.2 Acceso y copia de datos

Art. 15.1 RGPD: Derecho de acceso del interesado
«El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen (…) »
Art. 15.3 RGPD: Derecho de copia
«El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. »
Respuesta de Kroqi
Derecho de acceso del interesado: la política de protección de datos personales enumera los tratamientos realizados por Kroqi sobre los datos personales. El responsable del tratamiento puede transmitir en cualquier momento este documento a una persona que desee ejercer este derecho.
Derecho de copia: los datos susceptibles de ser utilizados para un tratamiento son los que se muestran en la sección Mi Cuenta (accesibles, modificables y copiables por el usuario final)

2.3 Portabilidad de los datos

Art. 20 RGPD: Derecho a la portabilidad de los datos: «El interesado tendrá derecho a recibir los datos personales que le incumban, que haya facilitado a un responsable del tratamiento, en un formato estructurado, de uso común y lectura mecánica, y a transmitirlos a otro responsable del tratamiento sin que lo impida el responsable al que se los hubiera facilitado… »
**Respuesta de Kroqi
**Kroqi ofrece una funcionalidad de exportación de todas las actividades ligadas a un usuario y permite la copia de los datos personales desde la sección Mi Cuenta.

2.4 Purga total o parcial

Art. 5 e) RGPD: supresión de los datos al cabo de un cierto plazo: «Los datos personales serán mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado (limitación del plazo de conservación); »
**Respuesta de Kroqi
**El plazo de conservación de los datos personales no excede del necesario para los fines para los que se tratan (trabajo en equipo transparente, gestión de proyectos, trazabilidad).
Cuando se elimina una cuenta de Kroqi (al haberse vuelto obsoletos los fines de los tratamientos), todos los datos personales de los usuarios de esa cuenta se eliminan también en los 30 días siguientes a la eliminación de la cuenta.

2.5 Limitación

**Art. 18 RGPD: Derecho a la limitación del tratamiento:
**1. El interesado tendrá derecho a obtener del responsable del tratamiento la limitación del tratamiento de los datos cuando se cumpla alguna de las condiciones siguientes:
a) el interesado impugne la exactitud de los datos personales, durante un plazo que permita al responsable verificar la exactitud de los mismos;
b) el tratamiento sea ilícito y el interesado se oponga a la supresión de los datos personales y solicite en su lugar la limitación de su uso;
c) el responsable ya no necesite los datos personales para los fines del tratamiento, pero el interesado los necesite para la formulación, el ejercicio o la defensa de reclamaciones;
d) el interesado se haya opuesto al tratamiento en virtud del artículo 21, apartado 1, mientras se verifica si los motivos legítimos del responsable prevalecen sobre los del interesado.
La noción de «limitación» se explicita en el artículo 4 «definiciones» del RGPD, que precisa
«limitación del tratamiento»: el marcado de los datos de carácter personal conservados con el fin de limitar su tratamiento en el futuro»
**Respuesta de Kroqi
**Kroqi puede establecer una limitación del tratamiento con una simple solicitud escrita del cliente (responsable del tratamiento) a dpo-wimi@racine.eu en la que se especifique la naturaleza de la limitación deseada, el o los tratamientos afectados y el o los usuarios afectados.

2.6 Supresión

**Art. 17 RGPD: derecho de supresión («derecho al olvido»):
**«El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
a) los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo; 4.5.2016 L 119/43 Diario Oficial de la Unión Europea;
b) el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
c) el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento (…) »
**Respuesta de Kroqi
**Kroqi se compromete a suprimir los datos personales de un usuario que desee ejercer su derecho al olvido con una simple solicitud escrita del cliente (responsable del tratamiento) a dpo-wimi@racine.eu en la que se especifique el o los usuarios afectados.

2.7 Cuenta de usuario

**Art. 13 y 14 RGPD: Información y acceso a los datos personales:
**Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento le facilitará varias informaciones, entre ellas:
La identidad y los datos de contacto del responsable (en su defecto, de su representante);
Los fines del tratamiento de los datos;
Los destinatarios de los datos; etc.
**Respuesta de Kroqi
**Todo usuario de Kroqi puede consultar nuestra política de protección de datos personales desde el sitio www.kroqi.fr, que facilita al usuario toda la información exigida por el RGPD.

2.8 Consentimiento

**Art. 7: Condiciones para el consentimiento:
**«1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. »
**Respuesta de Kroqi
**Cuando se añade un nuevo usuario a una cuenta de Kroqi, este da su consentimiento al tratamiento que se hará de los datos personales que introduzca en Kroqi.

3. Puntos relativos a la seguridad

3.1 Seguridad del tratamiento

**El artículo 32 «seguridad del tratamiento»:
**precisa que el responsable del tratamiento (cliente) y el encargado del tratamiento (proveedor) aplican las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo.
**Respuesta de Kroqi
**El servidor frontal cifra todas las conexiones externas con un mecanismo de política de seguridad web (HTTP Strict Transport Security, también conocido como HSTS). Esto protege nuestros servicios frente a ataques de red activos y pasivos (escucha). Un atacante «man-in-the-middle» tiene una capacidad muy reducida para interceptar las solicitudes y las respuestas entre un usuario y nuestros servidores de aplicaciones web.
Además, Kroqi cuenta con aislamiento de red. El aislamiento de red significa que todos los servidores de nuestra infraestructura están aislados dentro del centro de datos y conectados mediante redes privadas dedicadas.

3.2 Condiciones de acceso al producto

**Considerando 57 RGPD:
**«La identificación debe incluir la identificación digital de un interesado, por ejemplo mediante un mecanismo de autenticación como las mismas credenciales, empleadas por el interesado para acceder al servicio en línea ofrecido por el responsable del tratamiento».
**Respuesta de Kroqi
**Kroqi ofrece una autenticación reforzada mediante la activación de la opción «Política de contraseñas avanzada». En ese caso, las contraseñas deben cumplir las siguientes condiciones:
al menos 8 caracteres
una minúscula y una mayúscula
un número o un símbolo
no haber sido utilizada anteriormente
Además, Kroqi ofrece una autenticación mediante las identidades existentes en el directorio de empresa de sus clientes a través de SAML V2. En ese caso, los identificadores son estrictamente idénticos a los utilizados en el responsable del tratamiento (cliente).

3.3 Condiciones de acceso al producto

**Art. 5 f) RGPD:
**Tratamiento que garantice la seguridad de los datos, la protección frente al tratamiento ilícito y la pérdida
**Respuesta de Kroqi
**Kroqi dispone de registros de historización y de alertas que permiten rastrear una actividad sospechosa. Los accesos a estos registros están estrictamente controlados y limitados. En general, todos los accesos a la infraestructura Kroqi se realizan mediante VPN: solo determinadas IP predefinidas están autorizadas a establecer un túnel (lista blanca de direcciones IP) mediante una clave RSA 4096. Este túnel de comunicación se cifra entonces en AES-256-CBC y se procesa con hash SHA-512. Los administradores deben autenticarse por SSH mediante su clave privada (ED25519 o ECDSA) protegida con frase de contraseña. Los centros de datos utilizados por Kroqi cuentan con la máxima seguridad física. Todos los accesos a las instalaciones están estrictamente controlados. Para protegerse frente a intrusiones y peligros, los centros de datos están protegidos con vallas de alambre de espino. Además, funcionan de forma continua sistemas de detección de movimiento y de videovigilancia. La actividad en los centros de datos y en el exterior de los edificios está controlada y registrada en servidores seguros, y el equipo de vigilancia está presente 24/7.

3.4 Seguridad técnica y organizativa

**Art. 32.1 RGPD:
**«(…) el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo (…) »
Art. 39 RGPD **:
**«Los datos personales deben tratarse de tal manera que se garantice una seguridad y confidencialidad adecuadas, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento.».
**Respuesta de Kroqi
**El número de empleados de Kroqi con acceso a la infraestructura es extremadamente reducido. Estas personas están sujetas a un compromiso de confidencialidad específico y a una cláusula de confidencialidad en su contrato de trabajo.
Todos los accesos a la infraestructura Kroqi están estrictamente controlados, monitorizados y se realizan mediante VPN: solo determinadas IP predefinidas están autorizadas a establecer un túnel (lista blanca de direcciones IP) mediante una clave RSA 4096
Este túnel de comunicación se cifra entonces en AES-256-CBC y se procesa con hash SHA-512.
A continuación, los administradores deben autenticarse por SSH mediante su clave privada (ED25519 o ECDSA) protegida con frase de contraseña
Las bases de datos se respaldan cada 3 horas. Los archivos, por su parte, se replican y se respaldan todas las noches. Los servidores de copia de seguridad están protegidos, aislados y solo son accesibles para las aplicaciones de copia de seguridad.

3.5 Gestión de las brechas de seguridad

Marco normativo RGPD Obligación de seguridad del RGPD
**Implementación
**Nuestra infraestructura se apoya en su gran mayoría en tecnologías de código abierto, que tienen la ventaja de agrupar a comunidades de colaboradores y usuarios extremadamente amplias, gracias a las cuales las brechas de seguridad se descubren rápidamente. Aplicamos sistemáticamente todos los parches de seguridad aprobados y considerados estables.