Política de Privacidad

Resumen

Nos dedicamos al cumplimiento normativo y la protección de datos. Nos parecería incoherente escribir una política que no se entienda. Este resumen no sustituye al texto, pero sí lo anticipa:

1. Responsable del tratamiento

Zerod no está obligada a designar Delegado de Protección de Datos y no lo ha designado voluntariamente. Los asuntos de privacidad se canalizan a través de privacy@zerod.io.

2. Alcance: los dos papeles de Zerod

Esta es la sección más importante del documento. Zerod trata datos personales en dos calidades distintas, con obligaciones distintas.

2.1 Zerod como responsable del tratamiento

Decidimos nosotros el para qué y el cómo. Es el caso de:

• Los datos de quien visita zerod.io.
• Los datos de quien nos escribe, solicita una demo o nos contacta comercialmente.
• Los datos de las personas que administran o usan una cuenta de la plataforma Zerod.
• Los datos de nuestros proveedores y socios.

Todo lo que sigue en esta política se refiere a estos tratamientos.

2.2 Zerod como encargado del tratamiento

Cuando un cliente utiliza la plataforma Zerod, introduce o conecta información que puede contener datos personales de sus empleados, clientes, proveedores o interesados: registros de actividades de tratamiento, solicitudes de derechos, evidencias de cumplimiento, resultados de formación en seguridad o hallazgos técnicos.

Sobre esos datos, el responsable es el cliente y Zerod actúa exclusivamente como encargado, siguiendo sus instrucciones documentadas conforme al artículo 28 del RGPD.

Si has recibido una comunicación de una empresa que utiliza Zerod, o quieres ejercer tus derechos frente a ella, el interlocutor es esa empresa, no Zerod. Nosotros trasladaremos tu solicitud a nuestro cliente sin dilación, pero no podemos resolverla en su nombre.

Las condiciones de ese tratamiento se describen en Zerod como Encargado del Tratamiento y se formalizan en el acuerdo firmado con cada cliente.

3. Qué datos tratamos, para qué y con qué legitimación

3.1 Visitantes del sitio web

No utilizamos herramientas de analítica de terceros con cookies ni tecnologías publicitarias de seguimiento. Ver Política de Cookies.

3.2 Solicitudes de contacto y de demostración

La dirección IP se utiliza únicamente para aplicar límites de frecuencia en el momento del envío. No se almacena ni se transmite junto con el resto de la solicitud.

3.3 Comunicaciones comerciales

Puedes darte de baja en cualquier momento desde el enlace incluido en cada comunicación o escribiendo a la dirección de privacidad. Es inmediato y no requiere justificación.

3.4 Usuarios y administradores de cuentas de la plataforma

Estos son datos de cuenta. El contenido que tu organización introduce en la plataforma se rige por la sección 2.2 y por el contrato.

3.5 Proveedores, socios y contactos profesionales

3.6 Ejercicio de derechos y solicitudes de privacidad

4. Origen de los datos

Los datos proceden de ti, salvo:

• Los datos de contacto profesional obtenidos de fuentes públicas o profesionales de acceso público en el marco de una prospección comercial B2B, tratados sobre la base del interés legítimo y con derecho de oposición inmediato.
• Los datos de usuarios de la plataforma facilitados por la organización que da de alta la cuenta.

No adquirimos bases de datos de contactos a intermediarios ni enriquecemos perfiles con datos de terceros.

5. Destinatarios

No vendemos datos personales. No los cedemos con fines publicitarios. No los compartimos con terceros salvo en los siguientes supuestos.

5.1 Encargados del tratamiento

Prestadores que tratan datos por nuestra cuenta, bajo contrato conforme al artículo 28 del RGPD, con obligaciones de confidencialidad, seguridad y supresión al término de la prestación:

No publicamos la lista nominativa de encargados del tratamiento en este sitio web. Se facilita a clientes y a potenciales clientes que la soliciten, sujeta a un acuerdo de confidencialidad, a través del Acuerdo de Encargo del Tratamiento.

5.2 Otros destinatarios

• Administraciones públicas, jueces y tribunales, cuando exista obligación legal.
• Entidades financieras, para la gestión de cobros y pagos.
• Terceros en operaciones societarias, en caso de fusión, adquisición o transmisión de rama de actividad, informando previamente a los interesados.

6. Transferencias internacionales

Nuestra infraestructura principal está alojada en Google Cloud Platform, en región europea en la Unión Europea. Las copias de seguridad se mantienen igualmente en la Unión Europea.

Algunos de nuestros prestadores pueden tratar datos fuera del Espacio Económico Europeo o pertenecer a grupos con matriz fuera del EEE, lo que puede implicar acceso desde terceros países.

En esos casos garantizamos que la transferencia se ampara en alguno de los mecanismos previstos en el Capítulo V del RGPD:

• Decisión de adecuación de la Comisión Europea, incluido el Marco de Privacidad de Datos UE-EE. UU. cuando el prestador esté certificado.
• Cláusulas Contractuales Tipo aprobadas por la Comisión Europea, acompañadas de una evaluación de impacto de la transferencia y de medidas complementarias cuando resulten necesarias.

Puedes solicitar información sobre las garantías aplicadas a un tratamiento concreto escribiendo a la dirección de privacidad.

7. Plazos de conservación

Los plazos concretos figuran junto a cada finalidad en la sección 3. Como criterio general:

• Conservamos los datos mientras la finalidad que justificó su recogida siga siendo válida.
• Cuando deja de serlo, los bloqueamos: quedan a disposición exclusiva de jueces, tribunales, Ministerio Fiscal y administraciones competentes durante el plazo de prescripción de las posibles responsabilidades, sin acceso operativo por nuestra parte.
• Transcurrido ese plazo, se suprimen de forma segura e irreversible.

8. Decisiones automatizadas e inteligencia artificial

No adoptamos decisiones automatizadas con efectos jurídicos o de significación similar sobre los interesados.

La plataforma Zerod incorpora funcionalidades asistidas por inteligencia artificial: utiliza modelos de lenguaje de terceros para generar borradores de políticas y documentación a partir de la información de tu programa de cumplimiento. Estas funcionalidades producen propuestas que requieren revisión y decisión humana; no sustituyen el criterio del usuario ni generan efectos jurídicos automáticos.

Zerod no entrena modelos propios. Tus datos no se utilizan para entrenar ningún modelo, ni en su forma original ni agregados o anonimizados.

9. Medidas de seguridad

Aplicamos medidas técnicas y organizativas apropiadas conforme al artículo 32 del RGPD, atendiendo al estado de la técnica y al riesgo del tratamiento. Entre otras:

• Cifrado de datos en tránsito y en reposo.
• Control de accesos según el principio de mínimo privilegio y autenticación multifactor.
• Registro y monitorización de la actividad de los sistemas.
• Pruebas de seguridad periódicas sobre nuestros propios sistemas, incluidas pruebas de intrusión y revisión de código.
• Gestión de vulnerabilidades y procedimiento de respuesta ante incidentes.
• Formación en seguridad y protección de datos del personal, sujeto a deber de confidencialidad.
• Evaluación de la seguridad de nuestros proveedores.

El detalle actualizado de nuestra postura de seguridad y de nuestras certificaciones está disponible en nuestro Trust Center y en la página de Seguridad.

10. Tus derechos

Puedes ejercer en cualquier momento los siguientes derechos:

Cómo ejercerlos

Canal preferente — nuestro portal de privacidad: ciso.zerod.io/privacy/zerod

Es el mismo portal que la plataforma Zerod genera para nuestros clientes. Lo usamos nosotros mismos. Cada derecho tiene su formulario, la solicitud queda registrada y puedes seguir su estado.

Canal alternativo: privacy@zerod.io, o por correo postal a Calle Josep Irla i Bosch, 1 — 08034 Barcelona, indicando el derecho que ejercitas.

Sobre la acreditación de identidad

Como norma general no te pediremos documentación para atender tu solicitud. Solo lo haremos si existe una duda razonable sobre tu identidad, conforme al artículo 12.6 del RGPD —por ejemplo, si la solicitud llega desde un canal que no podemos asociar contigo—.

En ese caso, te lo pediremos por correo electrónico, será la documentación mínima imprescindible, y no conservaremos copia más allá de lo estrictamente necesario para acreditar que atendimos tu solicitud. El portal de privacidad no te solicita documentos de identidad para cursar una solicitud.

Plazo de respuesta

Un mes desde la recepción, prorrogable dos meses adicionales en solicitudes complejas o ante un volumen elevado de solicitudes, informándote de la prórroga y de sus motivos dentro del primer mes.

Reclamación ante la autoridad de control

Si consideras que no hemos atendido correctamente tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos: www.aepd.es — C/ Jorge Juan, 6, 28001 Madrid.

Te agradeceríamos que nos escribieras primero. Suele ser más rápido para ti y nos permite corregir lo que haya fallado.

11. Menores de edad

Nuestros servicios se dirigen exclusivamente a profesionales y organizaciones. No están destinados a menores de 18 años y no recogemos deliberadamente sus datos. Si detectamos que hemos tratado datos de un menor sin la legitimación adecuada, los suprimiremos.

12. Cambios en esta política

Podemos actualizar esta política para reflejar cambios en nuestros servicios, en la normativa o en nuestras prácticas. La versión vigente y su fecha de efecto figuran siempre en la cabecera, y el historial completo al pie.

Si el cambio es sustancial y te afecta como usuario registrado o suscriptor, te lo comunicaremos con antelación razonable por correo electrónico o mediante aviso destacado en el servicio.

13. Idioma

Este documento se publica en español e inglés. En caso de discrepancia entre ambas versiones, prevalecerá la versión en español.

Historial de versiones