Tratamiento y conservación de datos
Versión de trabajo: 0.1 · Sin fecha de entrada en vigor
1. Clasificación de información
Los datos de cuentas, registros financieros, comprobantes y auditorías deberán clasificarse según sensibilidad. Los archivos de configuración y credenciales se gestionarán por separado de los documentos de usuarios.
2. Acceso y necesidad
Las consultas y operaciones deben aplicar controles de autenticación, autorización y propiedad del registro, incluso cuando un identificador llegue manipulado desde el navegador. El acceso administrativo requiere una finalidad autorizada y trazabilidad.
3. Almacenamiento y transmisión
Las comunicaciones deben utilizar HTTPS y los archivos privados no deben estar disponibles mediante enlaces públicos previsibles. Deben mantenerse procedimientos para contraseñas seguras, secretos fuera del código público y copia de seguridad protegida.
4. Conservación por categoría
Se definirán períodos diferentes para cuentas activas, comprobantes, seguridad, soporte, facturación comercial y copias de respaldo. No se atribuyen aquí períodos ficticios; deberán documentarse después de comprobar obligaciones legales y capacidades técnicas.
5. Copia de seguridad y restauración
Los respaldos deben protegerse contra modificación o acceso indebido y probarse periódicamente mediante restauración controlada. La eliminación de datos en el sistema principal no equivale necesariamente a su eliminación instantánea en todas las copias; esta diferencia debe explicarse.
6. Transferencias y encargados
Los contratos con proveedores deberán evaluar confidencialidad, medidas de seguridad, ubicación de datos, solicitudes oficiales y mecanismos de transferencia internacional. Deben recogerse únicamente proveedores reales y comprobados.
7. Eliminación segura
La eliminación debe distinguir desactivación, supresión lógica y borrado definitivo. Los procedimientos técnicos deben cubrir bases de datos, adjuntos y respaldos conforme a una política aprobada y los límites exigidos por ley.
8. Verificación periódica
Las reglas de conservación se revisarán cuando cambien módulos, proveedores, países de operación o procesos de negocio. La documentación definitiva debe asignar responsables y registrar fechas de revisión.