§01Confidencialidad
Control de acceso físico
• Oficinas en un edificio con servicio de seguridad; prohibido el acceso a personas no autorizadas.
• Salas de trabajo con cerradura; documentos en armarios con cerradura.
• Sin salas de servidores propias: el tratamiento se realiza exclusivamente con proveedores de alojamiento con centros de datos en la UE que disponen de sus propios controles de acceso físico certificados.
Control de acceso lógico
• Todas las cuentas de la empresa y los accesos de administrador están protegidos con autenticación de dos factores.
• Dispositivos finales con contraseña o autenticación biométrica (huella dactilar/reconocimiento facial); bloqueo automático de pantalla tras un máximo de 20 minutos.
• Las contraseñas se gestionan exclusivamente en gestores de contraseñas.
• Filtros de privacidad para el trabajo móvil; cortafuegos y mecanismos de protección de los sistemas operativos activos; las actualizaciones de seguridad se instalan automáticamente.
• Los accesos de las personas que abandonan la empresa se bloquean de inmediato.
Control de acceso a los datos
• Sistema de roles y autorizaciones: acceso a los datos del cliente únicamente para el propietario y las personas encargadas de la operativa y el desarrollo; el personal de ventas solo tiene derechos restringidos.
• Aislamiento de inquilinos a nivel de base de datos (Row-Level-Security): cada cliente visualiza exclusivamente los datos de su propia cuenta.
• Accesos a la API únicamente con claves propias del cliente y revocables; las claves se almacenan únicamente como hash.
Control de separación
• Separación lógica de los datos por cliente (inquilino).
Seudonimización / Minimización de datos
• lead.box identifica empresas, no a personas físicas; no se crean perfiles de personas físicas.
§02Integridad
Control de la transferencia
• Transferencia exclusivamente cifrada (TLS/HTTPS); los webhooks se envían con firma HMAC.
Control de la entrada de datos
• Registro de las modificaciones y de los accesos administrativos (registro de auditoría).
§03Disponibilidad y resiliencia
• Copias de seguridad automáticas diarias en el proveedor de alojamiento de la UE.
• Alojamiento en infraestructura en la nube redundante en la UE; supervisión de fallos y errores.
§04Procedimiento de verificación periódica
• Comprobaciones periódicas de la seguridad de la aplicación (entre otras, análisis de seguridad automatizados, revisión de las reglas de acceso).
• Protección de datos desde el diseño y por defecto.
Control de encargos
• Los subencargados se seleccionan cuidadosamente y solo se contratan mediante un contrato de encargo del tratamiento. En la medida en que los datos se traten fuera de la UE/del EEE, esto solo se hará sobre la base de una decisión de adecuación de la Comisión de la UE (p. ej., el EU-US Data Privacy Framework) o de las cláusulas contractuales tipo de la UE (art. 46 del RGPD).
• Los empleados y socios comerciales están obligados contractualmente a la confidencialidad.
Gestión de incidentes
• Las violaciones de la seguridad de los datos personales se notificarán al Cliente sin dilación indebida y, a más tardar, en un plazo de 72 horas desde que se tenga constancia de ellas.
Concepto de supresión
• La cancelación de la tarifa pone fin a la recogida de datos; la cuenta se mantiene hasta que se solicite su supresión.
• A petición del Cliente, la cuenta y todos los datos asociados se suprimirán en un plazo de 30 días.