Resumen de seguridad y protección de datos

1. Nuestro enfoque

Nebs-Creative aplica medidas técnicas y organizativas proporcionadas para proteger el trabajo de los clientes, las cuentas y los datos personales. Los controles se seleccionan en función de la sensibilidad de la información, los requisitos del cliente, los sistemas implicados y los riesgos del encargo.

2. Control de acceso

• Se exige la autenticación multifactor en las cuentas compatibles que se utilizan para el trabajo de los clientes.
• El acceso se limita a las personas que lo necesitan para un proyecto concreto y se retira cuando deja de ser necesario.
• Las credenciales compartidas, cuando sean inevitables, se almacenan en un gestor de contraseñas cifrado y aprobado, en lugar de en documentos ordinarios o mensajes de chat.
• La política interna facilitada exige la revisión de los accesos al cierre del proyecto y la revisión periódica de los accesos activos.

3. Dispositivos y cuentas

• Se espera que los dispositivos de trabajo utilicen bloqueo de pantalla, sistemas operativos actuales y con soporte, actualizaciones de seguridad automáticas y cifrado de disco completo.
• La política interna facilitada exige protección antimalware en los dispositivos utilizados para el trabajo de clientes.
• Los dispositivos personales solo podrán utilizarse conforme a los requisitos internos de aprobación y seguridad.
• Los miembros del equipo deben utilizar credenciales únicas y cumplir la política de contraseñas de la empresa.

4. Tratamiento y minimización de datos

• Siempre que sea posible, preferimos utilizar datos de muestra, anonimizados o seudonimizados en lugar de datos personales reales.
• Los Datos Personales del Cliente se limitan a las herramientas aprobadas y a las personas autorizadas.
• No deben insertarse datos personales reales en los diseños o prototipos, salvo que el cliente nos lo indique y se apliquen las garantías adecuadas.
• Los archivos que contienen información confidencial se comparten con restricciones de acceso adecuadas al proyecto.

5. Cifrado y transferencia

El DPA facilitado prevé el cifrado en tránsito para las transferencias y el cifrado en reposo cuando lo ofrezcan los sistemas de almacenamiento aprobados, junto con garantías para las transferencias internacionales cuando lo exija la legislación de protección de datos aplicable.

6. Personal y confidencialidad

El paquete jurídico facilitado exige que los empleados, contratistas y autónomos firmen obligaciones de confidencialidad y de propiedad intelectual antes de acceder al trabajo de los clientes. Conforme a la política interna, se requiere formación en seguridad y protección de datos al incorporarse y, posteriormente, de forma periódica.

7. Desarrollo seguro y trabajo en proyectos

Las responsabilidades en materia de seguridad de un proyecto de desarrollo dependen de su alcance. Podemos utilizar control de versiones, acceso controlado, revisiones, pruebas, gestión de dependencias y prácticas de despliegue estructuradas, adecuadas al encargo. El cliente que requiera un marco de desarrollo seguro específico, una prueba de penetración, un estándar de seguridad, una auditoría de código o una certificación de cumplimiento debe incluirlo expresamente en el SOW.

8. Herramientas de IA

La información confidencial y los datos personales de los clientes no deben introducirse en herramientas de IA no aprobadas. Cuando se utilice una herramienta de IA aprobada con información del cliente, el uso debe cumplir el contrato aplicable con el cliente, el DPA, la configuración aprobada y las restricciones sobre el entrenamiento de modelos. Los clientes pueden restringir los elementos generados por IA en documentos específicos del proyecto.

9. Respuesta ante incidentes

La política interna facilitada exige que los presuntos incidentes de seguridad se comuniquen internamente sin demora y se registren. Cuando un incidente afecte a Datos Personales del Cliente, el DPA exige notificarlo al cliente sin dilación indebida y, conforme al DPA vigente, en cualquier caso en un plazo de 48 horas desde que Nebs-Creative tenga conocimiento de una violación de datos personales relevante. Las notificaciones a las autoridades reguladoras o a las personas afectadas se gestionan según lo exija la legislación aplicable y las responsabilidades del cliente/responsable del tratamiento.

10. Continuidad del negocio y copias de seguridad

El trabajo de los proyectos se mantiene, por lo general, en servicios en la nube aprobados con capacidades de copia de seguridad y recuperación del proveedor. La responsabilidad sobre las copias de seguridad de los sistemas de producción, el alojamiento y la infraestructura del cliente depende del alcance del proyecto y debe indicarse en el SOW o en el contrato de alojamiento/mantenimiento.

11. Eliminación de datos

Respecto de los Datos Personales del Cliente tratados conforme al DPA, la posición contractual actual es su devolución o eliminación en un plazo de 30 días tras la finalización de los servicios correspondientes, sujeta a las instrucciones del cliente, a las obligaciones legales de conservación y a los ciclos normales de sobrescritura de copias de seguridad. Los demás registros empresariales se conservan de acuerdo con nuestra Política de Privacidad y con las obligaciones legales.

12. Notificación de incidencias de seguridad

Si considera que ha encontrado un problema de seguridad que afecta a Nebs-Creative, póngase en contacto con contact@nebs-creative.com indicando «Security» en el asunto y facilite información suficiente para que podamos investigarlo. No acceda a datos que no sean suyos, ni los descargue, altere o divulgue, ni interrumpa los servicios ni utilice pruebas destructivas.

13. Ausencia de garantía absoluta de seguridad

Ninguna organización puede garantizar que todos los sistemas, dispositivos o transmisiones sean completamente seguros. Esta descripción general expone las prácticas que pretendemos aplicar y no crea ninguna garantía más allá de las obligaciones expresamente establecidas en un contrato de cliente o DPA aplicable.