Política de privacidad

Responsable del tratamiento y responsabilidades

SIA EBL Consulting, con número de registro 50203595801, Kaļķu iela 7, Rīga, LV-1050, Letonia, es responsable del tratamiento de las actividades de tratamiento de datos personales cuyos fines y medios esenciales determina, incluida la administración de su sitio web, de las relaciones institucionales y de las cuentas de usuario.

Contacto: mail@exanteon.com

En los tratamientos relativos a registros de gobernanza presentados por instituciones participantes, la distribución de responsabilidades entre Exanteon y dichas instituciones depende de los fines y medios de la actividad correspondiente.

Según el caso, Exanteon puede actuar como responsable del tratamiento, corresponsable del tratamiento o encargado del tratamiento. Estas responsabilidades deben establecerse mediante los acuerdos contractuales y de tratamiento de datos pertinentes.

Cuando Exanteon actúa como encargado del tratamiento, los datos personales se tratan siguiendo las instrucciones documentadas del responsable del tratamiento competente y con sujeción a la legislación aplicable.

Categorías y origen de los datos

Exanteon trata principalmente información relativa a entidades jurídicas y a compromisos institucionales.

Cuando se trate de datos personales, las categorías pertinentes pueden incluir:

• Datos profesionales de identificación y de contacto de representantes, administradores y usuarios autorizados.
• Afiliación institucional, función profesional, facultad de comunicación y permisos de acceso.
• Información de autenticación de cuentas, identificadores técnicos, registros de acceso y metadatos relacionados con la seguridad.
• Comunicaciones, información de incorporación institucional y constancias de aceptación contractual.
• Información personal contenida de forma incidental en declaraciones institucionales autorizadas, correspondencia o documentación de gobernanza.

La información puede obtenerse directamente de las personas interesadas, ser presentada por instituciones participantes, generarse mediante el uso de los servicios de Exanteon u obtenerse de fuentes institucionales lícitas de identificación y verificación.

Se espera que los miembros presenten únicamente la información permitida por el protocolo aplicable y necesaria para su finalidad definida.

La infraestructura no está destinada a recoger categorías especiales de datos personales, perfiles de consumidores individuales ni evaluaciones del comportamiento personal. Dicha información no debe presentarse salvo que esté expresamente autorizada, jurídicamente justificada y respaldada por garantías adecuadas.

Finalidades del tratamiento

Los datos personales pueden tratarse para las siguientes finalidades:

• Identificación institucional, verificación de la elegibilidad y administración de la membresía.
• Autenticación de los representantes autorizados y gestión de los permisos de acceso.
• Funcionamiento y seguridad de los protocolos de gobernanza aplicables.
• Atribución de las comunicaciones presentadas, notarización técnica y conservación de los registros autorizados.
• Gestión de las relaciones contractuales, facturación y cumplimiento de las obligaciones legales pertinentes.
• Prevención, investigación y gestión de accesos no autorizados, usos indebidos e incidentes técnicos de seguridad.
• Comunicaciones institucionales, consultas y notificaciones relacionadas con el servicio.
• Tramitación de solicitudes de los interesados, rectificaciones, oposiciones y controversias, cuando proceda.

La información se trata únicamente para fines determinados y legítimos y conforme a la base jurídica aplicable.

Bases jurídicas del tratamiento

La base jurídica depende de la actividad de tratamiento concreta y de la relación de que se trate.

Obligaciones legales — artículo 6, apartado 1, letra c), del RGPD

Tratamiento necesario para el cumplimiento de las obligaciones legales aplicables, incluidos los requisitos contables, jurídicos y regulatorios pertinentes.

Intereses legítimos — artículo 6, apartado 1, letra f), del RGPD

Tratamiento necesario para fines legítimos como la administración institucional, la comunicación profesional, la seguridad de las cuentas, la protección de la integridad de la infraestructura y la prevención de usos indebidos, siempre que sobre dichos intereses no prevalezcan los derechos y libertades de las personas interesadas.

Necesidad contractual — artículo 6, apartado 1, letra b), del RGPD

Tratamiento necesario para la ejecución de un contrato con la persona interesada o para la aplicación de medidas precontractuales adoptadas a petición de esta, cuando dicha base jurídica resulte aplicable.

Un contrato celebrado con una entidad jurídica no convierte automáticamente la necesidad contractual en la base jurídica adecuada para el tratamiento de los datos personales de todos sus representantes.

Consentimiento — artículo 6, apartado 1, letra a), del RGPD

Tratamiento basado en un consentimiento válido cuando sea necesario, incluidas determinadas comunicaciones opcionales o tecnologías de seguimiento no esenciales.

El consentimiento puede retirarse en cualquier momento, sin que ello afecte a la licitud del tratamiento realizado antes de su retirada.

Cuando Exanteon trata datos personales por cuenta de otro responsable del tratamiento, dicho responsable sigue siendo quien debe garantizar una base jurídica adecuada para ese tratamiento.

Indicadores organizativos y elaboración de perfiles

Exanteon está diseñado para registrar compromisos institucionales y su evolución comunicada posteriormente, no para evaluar el comportamiento de consumidores individuales.

Determinados protocolos de gobernanza pueden generar indicadores organizativos definidos a partir de declaraciones atribuibles y de eventos comunicados.

Estos indicadores se refieren al marco institucional de comunicación correspondiente y no constituyen una verificación independiente ni una certificación de conducta.

Exanteon no está diseñado para adoptar decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos o afecten significativamente de modo similar a personas físicas.

Cuando un tratamiento constituya elaboración de perfiles en el sentido del RGPD, se aplicarán los requisitos pertinentes de transparencia, base jurídica y protección de datos.

El uso de indicadores organizativos no elimina las protecciones del RGPD cuando la información pueda vincularse a personas físicas identificables.

Notarización técnica y tokenización

Exanteon utiliza mecanismos técnicos de registro y notarización para conservar pruebas relativas a la información presentada, su fuente atribuida, su integridad y el momento de su registro.

Pueden utilizarse referencias criptográficas, hashes, tokens u otros identificadores técnicos cuando la implementación aplicable lo permita.

La notarización técnica se refiere al registro. No acredita de forma independiente la veracidad, exactitud o validez jurídica de la declaración subyacente.

La tokenización, el hashing o la seudonimización no convierten necesariamente la información en anónima. Mientras una persona siga siendo identificable, la información correspondiente seguirá tratándose como dato personal.

Los mecanismos técnicos probatorios de Exanteon no están destinados a crear instrumentos financieros negociables ni a otorgar una certificación jurídica de la conducta institucional subyacente.

Destinatarios, proveedores de servicios y afiliación con heyData

Los datos personales pueden ser accesibles, cuando sea necesario y esté legalmente permitido, para:

• El personal autorizado de Exanteon y los administradores del servicio.
• Los proveedores contratados de alojamiento, infraestructura, autenticación, seguridad y servicios técnicos.
• Los proveedores de servicios de pago, contables, jurídicos y profesionales, cuando proceda.
• Las instituciones participantes autorizadas u otros destinatarios conforme a las condiciones de acceso definidas en el protocolo.
• Las autoridades competentes, cuando la comunicación sea legalmente obligatoria o esté autorizada por otra vía legal.

Los proveedores de servicios que tratan datos personales por cuenta de Exanteon están sujetos a obligaciones contractuales y de protección de datos adecuadas.

Cuando las instituciones participantes reciben información para sus propios fines, pueden tener responsabilidades propias en materia de protección de datos.

Afiliación con heyData

SIA EBL Consulting mantiene una relación de afiliación o de colaboración con heyData, un proveedor de servicios de protección de datos y de cumplimiento normativo.

Esta afiliación no constituye, por sí sola, una certificación conforme al RGPD, la designación de heyData como delegado de protección de datos de Exanteon ni una autorización para comunicar a heyData información sobre los miembros de Exanteon.

Cualquier servicio independiente de tratamiento, asesoramiento o protección de datos en el que participe heyData está sujeto a los acuerdos contractuales correspondientes y a los requisitos legales aplicables.

Transferencias internacionales

Cuando se transfieren datos personales fuera del Espacio Económico Europeo, Exanteon aplica los requisitos del capítulo V del RGPD.

Según el destinatario y el destino, los mecanismos de transferencia lícitos pueden incluir decisiones de adecuación de la Comisión Europea, cláusulas contractuales tipo aprobadas u otras garantías aplicables.

Se consideran medidas adicionales cuando las circunstancias de la transferencia así lo requieran.

Puede solicitarse información sobre las garantías aplicables a las transferencias a través del contacto de protección de datos de Exanteon.

Conservación de los datos

Los datos personales se conservan únicamente durante el tiempo necesario para la finalidad de tratamiento correspondiente, sin perjuicio de las obligaciones legales aplicables y de los requisitos de conservación justificados.

El plazo de conservación se determina en función de la categoría de información y de su finalidad.

La información de cuentas y de membresía se conserva durante la relación institucional correspondiente y, cuando esté justificado, para requisitos contractuales, legales o administrativos posteriores.

La información de facturación y contabilidad se conserva de conformidad con las obligaciones legales aplicables.

Los registros de autenticación y de seguridad se conservan durante plazos definidos y proporcionados a los requisitos de seguridad operativa y de investigación de incidentes.

Los datos personales relacionados con la gobernanza se conservan conforme a las condiciones del protocolo aplicable, a fines probatorios legítimos, a las responsabilidades contractuales y a los requisitos de protección de datos.

El carácter persistente de un registro de gobernanza de Exanteon no prevalece sobre los derechos imperativos en materia de datos personales ni sobre las limitaciones legales de conservación.

Cuando sea necesaria una rectificación, limitación o supresión, Exanteon aplica los procedimientos pertinentes según su función jurídica y los acuerdos de tratamiento aplicables.

Política de comercialización y comunicación de datos

SIA EBL Consulting no opera Exanteon como un mercado de datos personales ni como un servicio comercial de intermediación de datos.

La infraestructura está diseñada para prestar servicios de registro de gobernanza, notarización técnica y observabilidad controlada.

Los datos personales y la información de gobernanza institucional no se venden ni se alquilan como conjuntos de datos comerciales a terceros ajenos.

El acceso a los registros de gobernanza se rige por las condiciones del protocolo aplicable, las disposiciones de autorización, las obligaciones de confidencialidad y los requisitos legales.

Según las circunstancias, el acceso puede basarse en autorizaciones contractuales válidas, una base jurídica adecuada, un consentimiento aplicable u otro mecanismo lícito de comunicación.

La autorización institucional no sustituye los derechos legales de las personas físicas identificables.

Ningún protocolo concede, por el mero hecho de la participación, acceso público ilimitado a toda la información registrada.

Cookies y tecnologías del sitio web

El sitio web de Exanteon y la plataforma autenticada pueden utilizar tecnologías necesarias para el funcionamiento, la autenticación, la seguridad y las preferencias del usuario.

Las herramientas de análisis opcionales, las integraciones de terceros u otras tecnologías de seguimiento no esenciales están sujetas a los requisitos aplicables de transparencia y consentimiento.

Cuando se requiera consentimiento, las tecnologías no esenciales no deben activarse antes de haber obtenido un consentimiento válido.

Los usuarios deben poder retirar su consentimiento mediante un mecanismo fácilmente accesible.

La información sobre las cookies y tecnologías similares efectivamente utilizadas, sus proveedores, finalidades y plazos de conservación se facilita a través de la información sobre cookies y de los controles de preferencias aplicables.

Seguridad y protección de datos desde el diseño

La arquitectura de gobernanza de Exanteon se basa en la atribución institucional, en permisos de acceso definidos, en la minimización de datos y en la separación entre las funciones de registro y las decisiones posteriores.

Las garantías técnicas y organizativas adecuadas deben reflejar la naturaleza de la información tratada y los riesgos asociados.

Según los sistemas implementados, pueden incluir autenticación, acceso restringido, registros de auditoría, protección de la integridad, comunicaciones seguras y procedimientos de respuesta a incidentes.

La infraestructura independiente de registro de Exanteon no implica una comunicación ilimitada de datos.

Las medidas de seguridad y las responsabilidades en materia de protección de datos pueden documentarse con mayor detalle en los documentos contractuales o de diligencia debida institucional aplicables.

Derechos de los interesados

Las personas interesadas tienen derechos en virtud del RGPD, con sujeción a las condiciones y limitaciones aplicables.

Entre ellos figuran los derechos de acceso, rectificación, supresión, limitación del tratamiento, oposición y, cuando proceda, portabilidad de los datos.

Las personas interesadas pueden retirar su consentimiento cuando el tratamiento se base en el consentimiento y pueden ejercer los derechos relativos a las decisiones automatizadas que correspondan.

Las solicitudes pueden enviarse a:

mail@exanteon.com

Exanteon evaluará las solicitudes en función de su papel en la actividad de tratamiento correspondiente.

Cuando otra institución participante sea el responsable del tratamiento competente, Exanteon podrá remitir la solicitud o colaborar en su tramitación de conformidad con las obligaciones contractuales y legales aplicables.

Las solicitudes se tramitan dentro de los plazos aplicables del RGPD. Puede requerirse una verificación de identidad cuando sea necesario y proporcionado.

Reclamaciones

Las personas que consideren que sus datos personales han sido tratados de forma ilícita pueden ponerse en contacto con Exanteon en la dirección indicada anteriormente.

Asimismo, tienen derecho a presentar una reclamación ante una autoridad de control de protección de datos competente.

Para los tratamientos supervisados en Letonia, la autoridad competente es:

Datu valsts inspekcija — Inspección Estatal de Datos de Letonia

Sitio web: https://www.dvi.gov.lv/en

Las personas interesadas también pueden dirigirse, cuando proceda, a la autoridad de control competente de otro Estado miembro de la UE o del EEE.

Documentación relacionada

Encontrará más información sobre la participación contractual, el acceso institucional y las responsabilidades operativas en las Condiciones de uso, el Aviso legal y el Pie de imprenta de Exanteon, así como en los acuerdos de membresía o de protocolo aplicables.