.svg)
Este Anexo de tratamiento de datos (en adelante, el “Anexo”) se incorpora y forma parte del Acuerdo de suscripción principal (en adelante, el “Acuerdo principal”) entre Avetta y el Cliente, y establece los términos, requisitos y condiciones adicionales según los cuales Avetta obtendrá, manejará, tratará, divulgará, transferirá o almacenará datos personales al prestar servicios en virtud del Acuerdo principal. A todos los términos con mayúscula inicial que no estén definidos en este Anexo se les atribuirá el significado proporcionado en el Acuerdo principal.
1. Definiciones e interpretaciones.
1.1 Definiciones.
“Legislación de protección de datos aplicable” significa las leyes y reglamentos aplicables al tratamiento de datos personales efectuado por cada parte en relación con el Acuerdo principal, incluidos, en los casos correspondientes, (i) el Reglamento General de Protección de Datos (UE) 2016/679 del Parlamento Europeo y del Consejo (“RGPD”), según sea enmendado y complementado, según sea el caso, por las leyes y reglamentos de los Estados miembros de la UE en los que el Cliente opera, directa o indirectamente, (ii) la Ley de Protección de Datos del Reino Unido de 2018 y el Reglamento General de Protección de Datos del Reino Unido (“RGPD del Reino Unido”), (iii) la Ley de Privacidad de Australia de 1988 y los Principios de Privacidad de Australia, (iv) la Ley de Privacidad del Consumidor de California de 2018, enmendada por la Ley de Derechos de Privacidad de California de 2020, y cualquier regulación o guía relacionada (colectivamente, la “CCPA”), (v) la Ley de Protección de Información Personal y Documentos Electrónicos de Canadá (la “PIPEDA”), y (vi) cualquier otra ley, regla, reglamento, directiva y requisito gubernamental de protección de privacidad o protección de datos, internacional, federal, estatal, territorial, provincial y local, que estén vigentes actualmente y que puedan entrar en vigor.
“Interesado” significa cualquier persona a la que se refieren y a la cual identifican los datos personales, ya sea de forma directa o indirecta.
“Marco de privacidad de datos” incluye el marco de privacidad de datos UE-EE. UU., la Extensión del Reino Unido al marco de privacidad de datos UE-EE. UU., y el marco de privacidad de datos Suiza-EE. UU., desarrollados respectivamente para fomentar el comercio transatlántico por el Departamento de Comercio de EE. UU. y la Comisión Europea, el Gobierno del Reino Unido, y la Administración Federal Suiza para proporcionar a las organizaciones estadounidenses mecanismos fiables para la transferencia de datos personales desde el EEE, el Reino Unido (incluido Gibraltar), y Suiza, asegurando una protección de datos coherente con la legislación de la UE, el Reino Unido y Suiza.
“EEE” hace referencia al Espacio Económico Europeo, compuesto por todos los Estados miembros de la Unión Europea e Islandia, Noruega y Liechtenstein.
“Cláusulas contractuales tipo de la UE” se refiere a las cláusulas contractuales tipo de la Comisión Europea para la transferencia de datos personales desde la Unión Europea a terceros países, estipuladas en el Anexo de la Decisión de la Comisión (UE) 2021/914, cuya copia está disponible en https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc/standard-contractual-clauses-international-transfers_en.
“Datos personales” significa cualquier información que Avetta procese que (i) identifica o se relaciona con una persona en particular que puede ser identificada, directa o indirectamente, a partir de esos datos por sí solos o en combinación con otra información en posesión o control de Avetta, o (ii) que la legislación de protección de datos aplicable define de otro modo como datos personales protegidos o información personal.
“Tratamiento y tratar” significa cualquier actividad que implique el uso de datos personales, o según la legislación de protección de datos aplicable pueda definir los términos “tratamiento” o “tratar”. Incluye la obtención, el registro o la tenencia de datos, o cualquier operación o conjunto de operaciones realizadas sobre los datos, como la organización, modificación, recuperación, uso, divulgación, eliminación o destrucción. El tratamiento también incluye la transferencia de datos personales a terceros.
“Brecha de seguridad” significa cualquier violación de seguridad que ocasione la destrucción, la pérdida, la alteración, la divulgación no autorizada o el acceso accidental o ilegal a los datos personales.
“Solicitud de derechos del interesado” significa el ejercicio de los derechos del interesado en virtud de la legislación de protección de datos aplicable.
“Anexo del Reino Unido” significa el Anexo de Transferencia Internacional de Datos por parte de la Oficina del Comisionado de Información del Reino Unido a las cláusulas contractuales tipo de la Comisión Europea, cuya copia está disponible en el siguiente enlace: https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/international-transfers/international-data-transfer-agreement-and-guidance.
1.2 Los apéndices forman parte del presente Anexo y tendrán efecto como si formasen parte integral del cuerpo de este Anexo. Cualquier referencia a este Anexo incluye los apéndices.
1.3 Una referencia a comunicación escrita incluye correo electrónico.
1.4 En caso de conflicto o ambigüedad entre alguna de las disposiciones de este Anexo y las disposiciones del Acuerdo principal, prevalecerán las disposiciones del presente Anexo; y en caso de existir alguna discrepancia entre el presente Anexo y alguna disposición incluida en el Apéndice A, prevalecerán las disposiciones aplicables del Apéndice A.
2. Roles y alcance del tratamiento.
2.1 Roles de las partes. El Cliente y Avetta reconocen y aceptan lo siguiente:
(a) Avetta actúa como encargado del tratamiento en la medida en la que el tratamiento de los datos personales se lleve a cabo en nombre y bajo la dirección del Cliente y
(b) Avetta actúa como responsable del tratamiento en la medida en la que el tratamiento de los datos personales se efectúe para fines propios de Avetta en relación con la prestación de los Servicios o por intereses comerciales legítimos de Avetta, como facturación, gestión de cuentas, soporte técnico, prevención y detección de amenazas de ciberseguridad, desarrollo de productos, usos de análisis, ventas y marketing (por ejemplo, envío de boletines a los usuarios administradores del Cliente).
2.2 Tratamiento de datos personales del cliente. El Cliente reconoce y acepta que:
(a) El Cliente es exclusivamente responsable de la exactitud, la calidad y la legalidad de los datos personales enviados a Avetta (ya sea por el Cliente o por sus interesados);
(b) El Cliente solo cargará y enviará datos personales a Avetta que se hayan obtenido de los interesados de conformidad con la legislación de protección de datos aplicable;
(c) El Cliente se asegurará de tener todos los consentimientos y avisos necesarios y de haber cumplido con todos los demás requisitos dispuestos por la legislación de protección de datos aplicable para permitir la transferencia legal de datos personales a Avetta y permitir el acceso y el procesamiento de datos personales por parte de Avetta en varias jurisdicciones, de conformidad con el Acuerdo principal;
(d) Cuando el consentimiento sea la base legal para el procesamiento de datos personales o se requiera de otro modo para el uso de los Servicios, el Cliente deberá, en todo momento, poner a disposición y mantener (i) un mecanismo para obtener dicho consentimiento de los interesados, y (ii) un mecanismo para que los interesados puedan retirar dicho consentimiento, en cada caso de conformidad con la legislación de protección de datos aplicable; y
(e) El uso de los Servicios por parte del Cliente no infringirá los derechos de ningún interesado.
2.3 Detalles del tratamiento de datos. El Apéndice B describe las categorías generales de datos personales, los tipos de interesados y otros detalles del tratamiento que Avetta llevará a cabo en relación con la prestación de los Servicios de conformidad con el Acuerdo principal.
3. Obligaciones de Avetta.
3.1 Avetta solo tratará los datos personales para los fines específicos de la transferencia establecidos en el Apéndice B. Avetta podrá tratar los datos personales para otro fin (i) en los casos en los que haya obtenido el consentimiento previo del interesado, (ii) en los casos en los que sea necesario para el planteamiento, ejercicio o defensa de reclamaciones legales en el contexto de procedimientos administrativos, reglamentarios o judiciales específicos, o (iii) en los casos permitidos en virtud de la legislación de protección de datos aplicable para usar datos personales con fines secundarios a los propósitos específicos según lo establece el Apéndice B sin el consentimiento del interesado. En la medida en la que Avetta actúe como encargado del tratamiento del Cliente, Avetta tratará los datos personales conforme a las instrucciones del Cliente. Las partes aceptan que las instrucciones del Cliente deberán estar dentro del alcance del Acuerdo principal, y que el Cliente deberá obtener consentimiento previo y por escrito de Avetta para toda instrucción adicional. Avetta notificará al Cliente de inmediato si, a criterio de Avetta, dicha instrucción infringe cualquier legislación de protección de datos aplicable. Si corresponde, el Cliente será responsable de cualquier comunicación, notificación, asistencia o autorización que pueda ser solicitada en relación con sus interesados.
3.2 Avetta, considerando la naturaleza del tratamiento de Avetta y la información disponible para Avetta, asistirá razonablemente al Cliente para que cumpla con sus obligaciones bajo la legislación de protección de datos aplicable, siempre y cuando el Cliente asuma todos los costos incurridos por Avetta en relación con dicha asistencia. Estas obligaciones de cumplimiento pueden incluir la realización de una evaluación de impacto relativa al tratamiento en la protección de datos personales (una “evaluación de impacto en la protección de datos”), en los casos en los que sea probable que el tratamiento implique un alto riesgo para los derechos y libertades de las personas naturales.
4. Empleados de Avetta.
4.1 Avetta se asegurará de que todos los empleados que tengan acceso o participen en el tratamiento de datos personales (i) hayan recibido capacitación sobre la legislación de protección de datos aplicable en relación con el manejo de datos personales y sean conscientes tanto de las obligaciones de Avetta como de sus propias obligaciones personales en virtud de la legislación de protección de datos aplicable y este Anexo; y (ii) estén sujetos a una obligación de confidencialidad adecuada (ya sea contractual o estatutaria).
4.2 Avetta tomará medidas razonables para garantizar la confiabilidad, la integridad y la credibilidad de cualquier empleado de Avetta que tenga acceso a datos personales.
5. Seguridad.
5.1 Teniendo en cuenta la naturaleza, el alcance, el contexto y los fines del tratamiento, los costos de implementación, así como el riesgo de diversa probabilidad y gravedad para los derechos y libertades de los interesados, Avetta ha implementado medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, incluidas las medidas de seguridad descritas en el Anexo II del Apéndice B. Avetta puede revisar y actualizar el Anexo II de forma periódica, siempre y cuando tales actualizaciones no disminuyan sustancialmente la seguridad general de los servicios o los datos personales.
5.2 El Cliente es responsable de revisar la información proporcionada por Avetta en relación con la seguridad de los datos y de llevar a cabo una determinación independiente sobre si los Servicios cumplen con los requisitos y obligaciones legales del Cliente bajo la legislación de protección de datos aplicable.
6. Brecha de seguridad y pérdida de datos personales.
6.1 Avetta deberá notificar al Cliente sin demora al tomar conocimiento de haber sufrido alguna brecha de seguridad y deberá proporcionar asistencia razonable y necesaria para que el Cliente cumpla sus obligaciones de informes de brechas aquí estipuladas, y dentro de los plazos requeridos por la legislación de protección de datos aplicable. La notificación de Avetta se enviará al correo electrónico registrado por el Cliente en los Servicios y, en caso de no contar con un correo electrónico en sus registros, el Cliente reconoce que el medio de notificación será a discreción razonable de Avetta, y que la capacidad de Avetta para notificar puntualmente puede verse afectada negativamente. Avetta tomará de inmediato medidas razonables para contener, investigar y hacer frente a cualquier brecha de seguridad. En caso de que el Cliente sospeche haber sufrido alguna brecha de seguridad, deberá reportarla de inmediato enviando un correo electrónico a infosec@avetta.com.
6.2 En la medida de lo posible, Avetta proporcionará al Cliente información oportuna sobre la brecha de seguridad, que incluirá, entre otros aspectos, la naturaleza y las consecuencias de la brecha de seguridad, las medidas tomadas y/o propuestas por Avetta para controlar o contener la brecha de seguridad, el estado de la investigación de Avetta, un punto de contacto para obtener información adicional, y las categorías y número aproximado de registros de datos afectados. Las comunicaciones de Avetta al Cliente, o en nombre de Avetta al Cliente, en relación con una brecha de seguridad, no se interpretarán como una admisión de error o de responsabilidad civil por parte de Avetta con respecto a la brecha de seguridad.
7. Transferencias transfronterizas de datos personales; cláusulas contractuales obligatorias.
7.1 El Cliente reconoce y acepta que Avetta puede acceder a datos personales, transferirlos y tratarlos en todo el mundo según sea necesario para prestar los Servicios.
7.2 En los casos en los que la legislación de protección de datos aplicable haya prescrito mecanismos específicos para la transferencia de datos personales a Avetta y/o cláusulas contractuales para el tratamiento de datos personales por Avetta (conjuntamente, “mecanismos de transferencia”), Avetta pondrá tales mecanismos de transferencia específicos a disposición (en la medida en la que sean compatibles con los sistemas de Avetta) en el Apéndice A.
7.3 Si la legislación de protección de datos aplicable prescribe requisitos adicionales para la transferencia o cláusulas contractuales para el tratamiento de datos personales, Avetta acuerda cooperar razonablemente con el Cliente para el cumplimiento de tales requisitos y actualizará los mecanismos de transferencia en el Apéndice A cuando sea apropiado. El Cliente acepta firmar documentos adicionales y tomar medidas necesarias para dar efecto legal a cualquier mecanismo de transferencia adicional o modificado.
8. Subencargados.
8.1 El Cliente acepta que, en la medida en la que Avetta actúe como encargado del tratamiento, Avetta podrá utilizar subencargados incluidos en la lista de subencargados de Avetta para el tratamiento de datos personales en relación con la prestación de los servicios. Al menos 10 días antes de autorizar un nuevo subencargado o reemplazar a un subencargado existente, Avetta notificará al Cliente mediante la publicación de los nuevos subencargados propuestos en la lista de subencargados de Avetta. Es responsabilidad del Cliente revisar periódicamente este sitio web para conocer las actualizaciones. Si el Cliente tiene alguna objeción legítima a la designación de un nuevo subencargado que esté relacionada con el cumplimiento de este Anexo por Avetta, esta última hará esfuerzos razonables para atender la objeción del Cliente. Si no se llega a una solución, Avetta, a su sola discreción, no designará al nuevo subencargado o permitirá que el Cliente suspenda o termine el Acuerdo principal sin responsabilidad para ninguna de las partes. Avetta no estará obligada a reembolsar ninguna suma pagada en virtud del Acuerdo principal. Además, el Cliente reconoce y acepta que, en la medida en la que Avetta actúe como responsable del tratamiento, Avetta puede utilizar los proveedores de servicios adicionales descritos o incluidos en la lista de subencargados de Avetta para los fines allí establecidos.
9. Solicitudes de derechos de los interesados.
9.1 Las partes acuerdan proporcionar la asistencia razonablemente requerida para que la otra parte pueda cumplir con cualquier solicitud de derechos de los interesados dentro de los plazos impuestos por la legislación de protección de datos aplicable.
10. Solicitud de acceso de terceros a los datos.
10.1 Avetta notificará al Cliente cualquier solicitud de divulgación de datos personales del Cliente presentada por un organismo gubernamental o de regulación, o por las autoridades de las fuerzas del orden, salvo que esté prohibido por ley o por una orden judicial vinculante de dicho organismo o autoridades.
11. Plazo y extinción.
11.1 Este Anexo entrará en vigor en la fecha en la que el Acuerdo principal comience a estar vigente o en la fecha de la primera provisión de datos personales a Avetta, lo que ocurra primero, y seguirá plenamente en vigor mientras el Acuerdo principal esté vigente.
11.2 Permanecerá en pleno vigor y efecto cualquier disposición de este Anexo que, de manera expresa o implícita, deba entrar en vigor o seguir vigente después de la terminación del Acuerdo principal para proteger los datos personales.
12. Devolución y destrucción de datos.
12.1 A solicitud por escrito del Cliente, Avetta le proporcionará al Cliente una copia o acceso a los datos personales del Cliente en posesión o control de Avetta, en un formato mutuamente acordado, si la solicitud se presenta antes de que Avetta elimine los datos personales.
12.2 Tras la terminación del Acuerdo principal, Avetta eliminará o destruirá de forma segura, dentro de un periodo de tiempo razonable, los datos personales del Cliente relacionados con este Anexo incluidos en la plataforma SaaS. Este requisito no se aplicará (i) en la medida en la que la retención de los datos personales sea necesaria para cumplir con requisitos legales, reglamentarios, fiscales, contables o de informes o sea necesaria para el planteamiento, ejercicio o defensa de reclamaciones legales, si Avetta cree razonablemente que existe una posibilidad de litigio; y (ii) tampoco se aplicará a los datos personales en sistemas de copia de seguridad hasta que esas copias hayan sido sobrescritas o eliminadas de acuerdo con la política de copias de seguridad de Avetta, en cuyo caso Avetta aislará y protegerá los datos personales de cualquier tratamiento adicional, salvo que la ley aplicable requiera lo contrario, hasta que sea posible su eliminación.
13. Auditoría.
13.1 A solicitud por escrito y sin costo adicional para el Cliente, Avetta les proporcionará al Cliente, o a su representante tercero debidamente calificado (colectivamente, el “Auditor”), acceso a la documentación solicitada razonablemente que evidencie el cumplimiento de Avetta de sus obligaciones bajo este Anexo en forma de las auditorías o certificaciones relevantes enumeradas en el Anexo II del Apéndice B como, por ejemplo, ISO/IEC 27001:2022, ISO/IEC 27701:2019, ISO/IEC 27017:2015, ISO/IEC 27018:2019, ISO/IEC 22301:2019 (“Certificaciones ISO”) y SOC 2 Tipo II. Avetta también responderá a cualquier cuestionario de auditoría escrito presentado por el auditor y se reunirá mediante teleconferencia o en persona (corriendo el Cliente con los gastos) para responder preguntas de seguimiento, siempre y cuando (i) tales cuestionarios de auditoría no cubran temas o áreas abordados por las Certificaciones ISO o el informe de auditoría SOC 2 Tipo II, y (ii) el Cliente no ejerza este derecho más de una vez al año, excepto cuando sea requerido por instrucción de una autoridad competente en materia de protección de datos. Avetta podrá requerir que el auditor firme un acuerdo de confidencialidad con Avetta antes de cualquier revisión de los informes o auditoría de Avetta, y Avetta podrá oponerse por escrito a dicho auditor si, en opinión razonable de Avetta, el auditor no está debidamente calificado o es un competidor directo de Avetta. Cualquier objeción por parte de Avetta requerirá que el Cliente designe a otro auditor. Cualquier gasto incurrido por un auditor en relación con cualquier revisión de informes o auditoría será asumido exclusivamente por el Cliente.
14. Aspectos generales.
14.1 Las partes acuerdan que este Anexo reemplazará y sustituirá cualquier otro anexo de tratamiento de datos, apéndice, documento legal o cláusulas contractuales tipo que Avetta y el Cliente hayan celebrado previamente en relación con los Servicios. Avetta pudiere actualizar este Anexo (por ejemplo, en respuesta a cambios en la legislación de protección de datos aplicable, o como resultado de una fusión, adquisición, reorganización corporativa o acontecimiento similar o la incorporación de nuevas funciones, productos o servicios, o cambios importantes en los Servicios), con la condición de que ninguna de dichas actualizaciones disminuya sustancialmente la privacidad o seguridad de los datos personales. Avetta publicará la versión actualizada del Anexo de tratamiento de datos del Acuerdo de suscripción principal, o en un sitio web sucesor designado por Avetta.
14.2 La responsabilidad de Avetta bajo este Anexo, incluidas las cláusulas contractuales tipo de la UE, está sujeta a las exclusiones y limitaciones de responsabilidad civil contenidas en el Acuerdo principal. En ningún caso, Avetta limitará o excluirá su responsabilidad hacia los interesados o según lo exijan las autoridades competentes en protección de datos.
14.3 Salvo en los casos en los que se disponga expresamente en las cláusulas contractuales tipo de la UE o sea requerido por la legislación de protección de datos aplicable, este Anexo no confiere derechos a terceros beneficiarios; está destinado a beneficiar únicamente a las partes de este documento y a sus respectivos sucesores y cesionarios reconocidos, y no en beneficio de ninguna otra persona, ni ninguna disposición de este Anexo podrá ser ejecutada por ninguna otra persona.
14.4 Este DPA y cualquier acción relacionada con él se regirá e interpretará de conformidad con las leyes especificadas en el Acuerdo principal, sin dar efecto a ningún principio de conflicto de leyes. Las partes aceptan la jurisdicción personal y la ubicación de los tribunales especificados en el Acuerdo principal.
14.5 Si alguna disposición de este DPA es, por cualquier motivo, considerada inválida o inexigible, las demás disposiciones del DPA seguirán siendo exigibles. Sin limitar la generalidad de lo anterior, el Cliente acepta que la sección 14.2 (Límite de responsabilidad civil) permanecerá en vigor a pesar de la invalidez de cualquier disposición de este Anexo.
APÉNDICE A
MECANISMOS DE TRANSFERENCIA Y CLÁUSULAS CONTRACTUALES REQUERIDAS
Este Apéndice A estipula los mecanismos de transferencia admitidos por Avetta. Los mecanismos de transferencia no se aplicarán ni se incorporarán al presente Anexo, si no son aplicables a las transferencias desde el Cliente hacia Avetta. Si algún mecanismo de transferencia en la lista es o se convierte en aplicable en virtud de la legislación de protección de datos aplicable, se considerará aceptado por las partes con sus firmas (en caso de que se requieran firmas) y se incorporará a este DPA.
1. Marco de privacidad de datos. Para transferencias de datos personales a los Estados Unidos, Avetta certifica su cumplimiento del marco de privacidad de datos UE-EE. UU., la extensión del Reino Unido al marco de privacidad de datos UE-EE. UU. y el marco de privacidad de datos Suiza-EE. UU., administrados por el Departamento de Comercio de los EE. UU. Para obtener más información, consulte el aviso de privacidad de datos de Avetta, disponible en la Política del marco de privacidad de datos.
2. Cláusulas contractuales tipo de la UE (SCC de la UE). Cuando el tratamiento implique transferencias de datos personales fuera del EEE (Espacio Económico Europeo) hacia Avetta, y no exista otra base legítima para la transferencia internacional (por ejemplo, si el marco de privacidad de datos aplicable fue invalidado), tales transferencias estarán sujetas a las SCC de la UE, específicamente:
3. Anexo del Reino Unido. Cuando el tratamiento implique transferencias de datos personales fuera del Reino Unido hacia Avetta, y no exista otra base legítima para la transferencia internacional (por ejemplo, si el marco de privacidad de datos aplicable fue invalidado), tales transferencias estarán sujetas al Anexo del Reino Unido, complementado por los términos a continuación:
4. Cláusulas contractuales tipo de Suiza. Cuando el tratamiento implique transferencias de datos personales fuera de Suiza hacia Avetta, y no exista otra base legítima para la transferencia internacional (por ejemplo, si el marco de privacidad de datos aplicable dejó de ser un mecanismo de transferencia válido), dichas transferencias estarán sujetas a las SCC de la UE referenciadas en la sección 2 del presente Apéndice A, con las siguientes excepciones:
5. Cláusulas contractuales de la CCPA. En los casos en los que el tratamiento implique datos personales de residentes de California, las partes deberán cumplir a su vez con lo siguiente:
APÉNDICE B
DETALLES DEL TRATAMIENTO DE DATOS PERSONALES
El presente Apéndice B forma parte del Anexo y describe el tratamiento que Avetta llevará a cabo en relación con la prestación de los Servicios.
ANEXO I: DESCRIPCIÓN DEL TRATAMIENTO DE DATOS
A. LISTA DE LAS PARTES
Exportador de datos:
Importador de datos:
B. DESCRIPCIÓN DE LA TRANSFERENCIA
C. AUTORIDAD SUPERVISORA COMPETENTE
ANEXO II: MEDIDAS TÉCNICAS Y ORGANIZATIVAS DE SEGURIDAD
Resumen
Las aplicaciones de software como servicio (“Servicios SaaS”) de Avetta se diseñaron desde un primer momento teniendo la seguridad informática en mente. La arquitectura de los Servicios SaaS Connect y Workforce Management contiene múltiples controles de seguridad en cada uno de los niveles para hacer frente a una amplia gama de riesgos de seguridad informáticos. Estos controles de seguridad están sujetos a cambios; sin embargo, cualquier cambio mantendrá o mejorará la medida de seguridad general de la plataforma SaaS.
A continuación, indicamos las principales áreas de controles de seguridad aplicables a cada uno de los componentes de los Servicios SaaS de Avetta Connect y Workforce Management de Avetta. Avetta aloja sus Servicios SaaS en plataformas de proveedores de servicios en la nube, utilizando principalmente Amazon Web Services (AWS) y, en casos limitados, Equinix.
Certificaciones y auditorías
Los Servicios SaaS de Avetta están certificados bajo las normas ISO/IEC 27001:2022, ISO/IEC 27701:2019, ISO/IEC 27017:2015, ISO/IEC 27018:2019 e ISO/IEC 22301:2019 (“Certificaciones ISO”). Avetta revisa anualmente su cumplimiento de estas certificaciones mediante una auditoría de controles internos. Dicha auditoría es revisada por el Comité de Gestión de Sistemas de Información de Seguridad y Privacidad, el cual está compuesto por miembros del equipo de liderazgo ejecutivo de Avetta.
Avetta utiliza principalmente regiones globales de AWS para el procesamiento y almacenamiento de sus Servicios SaaS. AWS ofrece instalaciones de alta calidad que cuentan con múltiples acreditaciones, entre ellas, SOC2, ISO/IEC 27001:2022, ISO/IEC 27017:2015, ISO/IEC 27018:2019, ISO/IEC 27701:2019, ISO/IEC 22301:2019, ISO/IEC 20000-1:2018 e ISO/IEC 9001:2015. Estas instalaciones de AWS también proporcionan salvaguardas de protección física avanzadas en los casos en los que se almacenen y procesen los datos de los clientes de Avetta. Avetta utiliza Equinix como proveedor de servicios en la nube para Workforce Management en determinadas regiones. Equinix también mantiene varias certificaciones, entre ellas, ISO/IEC 27001, ISO/IEC 22301, ISO/IEC 14001, ISO/IEC 9001, ISO/IEC 50001, SOC 1 Tipo II y SOC 2 Tipo II. Para obtener más información sobre los proveedores de servicios en la nube, visite los siguientes enlaces:https://aws.amazon.com/compliance/programs/ y https://www.equinix.com/data-centers/asia-pacific-colocation/australia-colocation/sydney-data-centers/sy6.
Recuperación ante desastres y continuidad del negocio
Para asegurar una alta disponibilidad de sus Servicios SaaS, Avetta emplea un centro de datos de copias de seguridad en AWS situado en una ubicación geográfica distinta a la de la instalación de tratamiento de datos de producción normal. Esto garantiza que Avetta pueda responder rápidamente ante cualquier evento ambiental, físico o accidental que pueda interrumpir la instalación de producción de AWS.
Avetta mantiene un plan integral de recuperación ante desastres y continuidad del negocio, el cual revisa al menos una vez al año. Esta revisión permite que el personal de Avetta esté familiarizado con los planes de emergencia en caso de que surja un evento que pueda causar una interrupción en las actividades comerciales normales de Avetta.
Los sistemas de Avetta están diseñados para admitir un objetivo de punto de recuperación (RPO) de menos de 2 horas y un objetivo de tiempo de recuperación (RTO) de menos de 4 horas.
Avetta también lleva a cabo de forma periódica un ejercicio integral de evaluación de riesgos para garantizar que se siguen implementando estrategias y controles adecuados de mitigación de riesgos dentro de la organización.
Respuesta ante incidentes
Avetta cuenta con un plan integral de respuesta ante incidentes. Este plan, junto con los procesos y procedimientos relacionados, permite al personal de Avetta responder rápidamente ante una posible o potencial brecha de seguridad u otra actividad sospechosa de ciberseguridad dentro del entorno de Avetta. Un equipo de respuesta ante incidentes, dirigido por un equipo de seguridad calificado, evaluará la situación y desarrollará planes de acción y estrategias de mitigación. En caso de confirmarse una brecha de seguridad, el equipo de respuesta seguirá los protocolos designados para actuar de inmediato y responder apropiadamente, combatiendo la actividad maliciosa y preservando la evidencia forense. También se seguirán los procedimientos para su notificación.
Cifrado
Los Servicios SaaS de Avetta cifran los datos en reposo utilizando AES-256. Emplean métodos SALT para cifrar otros elementos de datos. Estos procesos de cifrado aseguran un alto grado de confidencialidad e integridad en los datos de los clientes. La separación lógica de los datos en los Servicios SaaS de Avetta garantiza que fuentes no autorizadas no puedan tener acceso a ningún dato de los clientes. El acceso a los datos de los clientes se controla mediante un sistema único de gestión de identidad y acceso, con atributos que impiden que usuarios no autorizados accedan a dichos datos.
Las medidas de seguridad de Avetta se implementan según el principio de “privilegios mínimos”, lo que significa que solo los empleados con una necesidad comercial tienen acceso a datos específicos y funciones del sistema.
Controles de seguridad de aplicaciones web
El acceso de los clientes a los Servicios SaaS tiene lugar únicamente a través de protocolos de comunicación seguros, como TLS 1.2 o superior. Esto establece un canal de cifrado que permite la transmisión segura de datos entre el usuario final y los Servicios SaaS. A través de estas medidas, se protegen los datos de los clientes durante el proceso de transmisión.
La administración de los Servicios SaaS de un cliente puede habilitar y deshabilitar usuarios de los Servicios SaaS y los accesos asociados según sea necesario. Los Servicios SaaS permiten a los clientes habilitar la autenticación multifactor para acceder a las cuentas de los Servicios SaaS mediante inicio de sesión único (SSO) con proveedores de identidad SAML 2.0. Los Servicios SaaS también permiten a los clientes habilitar políticas de contraseñas personalizables para adecuar las contraseñas de los Servicios SaaS con las políticas corporativas del cliente.
Red
Los Servicios SaaS utilizan controles de red de proveedores de servicios en la nube para restringir el ingreso y la salida de la red. Se emplean grupos de seguridad para limitar la actividad de red a puntos finales autorizados. Los Servicios SaaS emplean una arquitectura de red de múltiples niveles, incluidos los múltiples entornos virtuales lógicamente separados en Cloudflare, aprovechando zonas privadas, DMZ y zonas no confiables dentro de la infraestructura de servicios en la nube.
Monitoreo y auditoría
Los sistemas y redes de los Servicios SaaS se monitorean para detectar incidentes de seguridad, estado del sistema, anormalidades en la red, actividad de procesamiento, niveles de procesamiento de infraestructura y disponibilidad. Avetta utiliza un sistema de detección de intrusiones para monitorear la actividad de la red, alertando a miembros designados del equipo de Avetta sobre comportamientos sospechosos. Además, se implementan firewalls de aplicaciones web para todos los servicios web públicos.
Avetta registra eventos de aplicaciones, redes, usuarios y sistemas operativos en un servidor de syslog local y un sistema de administración de eventos de seguridad (SIEM). Estos registros se analizan y verifican automáticamente para identificar actividades sospechosas y amenazas. Las anomalías en la actividad del sistema se enfrentan con las acciones apropiadas requeridas. Avetta utiliza sistemas de información y gestión de eventos de seguridad que ofrecen un análisis continuo de seguridad de las redes y el entorno de seguridad de Avetta, en los casos en los que se emitan alertas, se detecten y se reporten indicadores de posible actividad sospechosa. Todas estas capacidades y actividades son administradas por el personal de DevOps y de ciberseguridad de Avetta.
Gestión de vulnerabilidades
Avetta realiza evaluaciones periódicas de vulnerabilidades en aplicaciones web, análisis de código estático y evaluaciones de seguridad externas como parte de su programa de seguridad integral para garantizar que los controles de seguridad se implementen y operen de manera efectiva. Semestralmente, Avetta contrata a terceros independientes para ejecutar evaluaciones de vulnerabilidades y pruebas de penetración tanto en la red como en la web. Estas auditorías externas incluyen la verificación de cumplimiento, tomando en cuenta las diez principales vulnerabilidades de seguridad de aplicaciones web identificadas por el Proyecto de Seguridad de Aplicaciones Web Abiertas (OWASP). Los resultados de estas evaluaciones de vulnerabilidad se integran en el ciclo de vida de desarrollo de software de Avetta (“SDLC”) para remediar las vulnerabilidades identificadas. De esta manera, se priorizan y rastrean la resolución de vulnerabilidades en el sistema de tickets internos de Avetta.
Desarrollo de software seguro
Avetta sigue prácticas de desarrollo seguro dentro de su SDLC. Estas prácticas incluyen análisis de código estático y herramientas de análisis de código en tiempo real. También se organizan revisiones entre pares antes de que el código se despliegue en el entorno de producción. Avetta sigue implementando entornos de procesamiento separados: producción, pruebas/control de calidad y demostración. Los desarrolladores de software de Avetta deben recibir capacitación en codificación segura anualmente.
Equipo de ciberseguridad de Avetta
Avetta cuenta con un equipo de seguridad dedicado, liderado por un gerente de Ciberseguridad que posee una maestría en Ciberseguridad. Este equipo lleva a cabo capacitaciones de seguridad periódicas en toda la empresa, ejercicios de seguridad y evaluaciones regulares de vulnerabilidades y penetración. Mediante estos esfuerzos, el equipo de Ciberseguridad asegura la evaluación, prueba y efectividad continua de las medidas técnicas y organizativas para garantizar la seguridad en el tratamiento de los datos de los clientes.
El equipo de Ciberseguridad también participa en auditorías y certificaciones anuales y asiste a seminarios de ciberseguridad.
Privacidad y protección de datos
Avetta mantiene políticas sólidas de seguridad de la información y protección de datos personales. Dichas políticas describen los procedimientos seguidos para garantizar la protección de la información de los clientes. Además, estas políticas definen los controles implementados, los cuales incluyen directrices sobre retención de datos, accesibilidad y autenticación, uso aceptable y privacidad de datos.
ANEXO III: LISTA DE SUBENCARGADOS
La lista de subencargados actuales de Avetta se puede consultar en el siguiente enlace: Subencargados de Avetta.
