Protección de datos personales

Objetivo y alcance

Este documento establece los lineamientos que el equipo de Seal debe aplicar durante el diseño, desarrollo, operación y retiro de funcionalidades que traten datos personales. Se basa en los principios de licitud, finalidad, lealtad, consentimiento, calidad, proporcionalidad, información y responsabilidad.

1. Consentimiento informado

• Presentar el aviso de privacidad antes de recabar datos y mantenerlo visible y comprensible.
• Usar casillas independientes, no premarcadas, y mantener la cuenta pendiente hasta su aceptación durante la activación.
• Registrar la versión de cada documento y la fecha y hora de aceptación.
• Solicitar un consentimiento nuevo cuando cambie una finalidad o se incorporen datos sensibles.

2. Finalidad y minimización

• Definir una finalidad concreta para cada dato antes de incorporarlo a un formulario o base de datos.
• Recabar únicamente datos necesarios, adecuados y relevantes para la cuenta y el flujo contractual.
• Evitar copiar datos a ambientes de prueba; utilizar datos ficticios o disociados.
• Revisar periódicamente formularios, campos, bitácoras e integraciones para retirar información innecesaria.

3. Seguridad de los datos

• Aplicar HTTPS/TLS en producción y cifrado de almacenamiento administrado con llaves protegidas.
• Nunca almacenar contraseñas en texto claro; usar hash robusto con sal y factor de costo vigente.
• Aplicar mínimo privilegio, roles, autenticación, vencimiento de tokens y límites de solicitudes.
• Validar entradas, restringir tamaños de archivo y evitar exponer secretos, datos o trazas en logs.
• Mantener respaldos, parches, revisión de dependencias, bitácoras auditables y pruebas de restauración.

4. Derechos de las personas

• Permitir consultar y corregir el perfil desde la aplicación cuando sea posible.
• Canalizar solicitudes ARCO y de revocación a privacidad@seal.example, verificando la identidad del solicitante.
• Responder dentro de veinte días hábiles y ejecutar la determinación procedente dentro de los quince días hábiles siguientes, documentando cada etapa.
• Bloquear y posteriormente suprimir datos cancelados, salvo conservación exigida por una obligación o responsabilidad vigente.

5. Retención y eliminación

• Asignar a cada categoría de información un propietario, finalidad y plazo de conservación.
• Desactivar el tratamiento al concluir la finalidad y aplicar bloqueo cuando exista una responsabilidad pendiente.
• Eliminar de manera segura datos, respaldos y archivos temporales al vencer el plazo, o disociarlos de forma irreversible.
• Conservar evidencia de eliminación y revisar excepciones legales antes de ejecutar cancelaciones.

6. Transparencia y política de privacidad

• Mantener el aviso integral accesible desde activación, inicio de sesión y áreas donde se recaben nuevos datos.
• Describir responsable, datos, finalidades, medios de limitación, derechos ARCO, transferencias, conservación, seguridad y cambios.
• Usar lenguaje claro y separar finalidades necesarias de cualquier finalidad secundaria.

7. Transferencias y proveedores

• Inventariar proveedores, datos compartidos, ubicación, finalidad, base de legitimación y periodo de acceso.
• Exigir confidencialidad, instrucciones documentadas, seguridad, devolución o supresión y apoyo ante incidentes.
• Informar y obtener consentimiento antes de transferencias que lo requieran; documentar las excepciones legales.
• No vender datos personales ni permitir usos propios incompatibles por parte de encargados.

8. Respuesta a vulneraciones

• Identificar, contener, preservar evidencia, evaluar alcance y corregir la causa raíz.
• Determinar si existe afectación significativa a derechos patrimoniales o morales.
• Notificar de forma inmediata a las personas afectadas cuando corresponda; la ley vigente no fija una ventana genérica de 72 horas.
• Comunicar naturaleza del incidente, datos comprometidos, recomendaciones, acciones correctivas y canal de atención.
• Registrar decisiones, responsables, tiempos y lecciones aprendidas, y actualizar controles después del incidente.

9. Responsabilidad y revisión

El equipo debe designar a una persona o área responsable de privacidad, capacitar a quienes acceden a datos, revisar este documento al menos una vez al año y realizar una evaluación antes de cambios que incrementen el riesgo. El incumplimiento debe corregirse y documentarse.