Compromisos RGPD i drets de l'usuari

Última actualització: [TODO data]

Nota important: [Aquesta pàgina resumeix els compromisos de YesWeTicket SL en matèria de protecció de dades. El seu contingut és una proposta inicial pendent de validació pel Delegat de Protecció de Dades (DPO) i un assessor jurídic. Els camps marcats amb TODO han de completar-se abans de la publicació definitiva.]

A YesWeTicket SL tractem les dades personals amb la màxima cura, aplicant els principis del Reglament (UE) 2016/679 (RGPD) i la Llei Orgànica 3/2018 (LOPDGDD). Aquesta pàgina detalla els nostres compromisos concrets i com podeu exercir els vostres drets.

1. Els nostres compromisos concrets

1.1. Dades a la Unió Europea

Totes les dades dels nostres clients s'emmagatzemen a infraestructures ubicades dins de l'Espai Econòmic Europeu (EEE). Treballem amb proveïdors de núvol amb centres de dades a la UE i evitem, sempre que és possible, transferències internacionals.

1.2. Xifratge en trànsit i en repòs

• Totes les comunicacions amb el nostre servei es realitzen sota TLS 1.2 o superior.
• Les dades sensibles s'emmagatzemen xifrades en repòs mitjançant algorismes estàndard de la indústria ([TODO especificar AES-256 o equivalent, un cop validat per equip tècnic]).
• Les contrasenyes es guarden amb funcions de hash unidireccional amb salt ([TODO validar tècnicament l'algorisme utilitzat, ex. bcrypt/argon2]).

1.3. Còpies de seguretat i continuïtat

• Còpies de seguretat automatitzades amb periodicitat definida a l'acord de nivell de servei (SLA).
• Proves periòdiques de restauració per garantir la recuperabilitat.
• Pla de continuïtat de negoci i recuperació davant desastres ([TODO enllaçar document intern un cop aprovat]).

1.4. Control d'accessos

• Principi de mínim privilegi: cada persona accedeix únicament a les dades necessàries per a la seva funció.
• Autenticació robusta i registres d'auditoria dels accessos privilegiats.
• Revisió periòdica dels permisos.

1.5. Delegat de Protecció de Dades (DPO)

YesWeTicket SL disposa d'una figura interna encarregada de vetllar pel compliment del RGPD. Podeu contactar amb el DPO a:

• Correu electrònic: dpo@yesweticket.com
• Correu postal: [TODO adreça postal per a comunicacions al DPO]

1.6. Contractes amb encarregats del tractament

Tots els nostres proveïdors que tracten dades personals per compte nostre estan vinculats mitjançant contractes conformes a l'article 28 del RGPD, amb obligacions específiques de confidencialitat i seguretat.

1.7. Esquema Nacional de Seguretat (ENS)

YesWeTicket SL es troba actualment en procés d'avaluació per a l'obtenció de la certificació ENS, en la categoria que resulti aplicable segons l'anàlisi de riscos. Aquest procés reforçarà les nostres capacitats per prestar serveis a administracions públiques amb totes les garanties.

2. Els vostres drets

Com a persona interessada, teniu reconeguts els drets següents, que podeu exercir de manera gratuïta en qualsevol moment:

• Dret d'accés (art. 15 RGPD): saber quines dades vostres tractem i amb quines finalitats.
• Dret de rectificació (art. 16): corregir dades inexactes o incompletes.
• Dret de supressió o "dret a l'oblit" (art. 17): sol·licitar l'eliminació de les vostres dades quan ja no siguin necessàries.
• Dret a la limitació del tractament (art. 18): sol·licitar la restricció temporal del tractament en determinats supòsits.
• Dret a la portabilitat (art. 20): rebre les vostres dades en un format estructurat, d'ús comú i lectura mecànica.
• Dret d'oposició (art. 21): oposar-vos al tractament basat en interès legítim o per finalitats de màrqueting directe.
• Dret a no ser objecte de decisions automatitzades (art. 22), inclosa l'elaboració de perfils.
• Dret a retirar el consentiment en qualsevol moment, sense afectar la licitud del tractament previ.
• Dret a presentar una reclamació davant l'Agència Espanyola de Protecció de Dades (AEPD): www.aepd.es.

3. Com exercir els vostres drets

Per exercir qualsevol dels drets anteriors, podeu escriure al nostre DPO a dpo@yesweticket.com. La sol·licitud ha d'incloure com a mínim:

• Nom i cognoms de la persona interessada.
• Còpia del DNI, NIE, passaport o document equivalent que acrediti la identitat.
• Descripció clara del dret que voleu exercir i la petició concreta.
• Adreça electrònica o postal per a les notificacions.
• Data i signatura (si s'envia per correu postal).

Respondrem la vostra sol·licitud en el termini màxim d'un mes des de la recepció, ampliable en dos mesos més quan sigui necessari, tenint en compte la complexitat i el nombre de sol·licituds. En aquest cas, us informarem de la pròrroga dins del primer mes.

[TODO Considerar la incorporació d'un formulari en línia específic per a l'exercici de drets. Fins llavors, el canal oficial és el correu al DPO.]

4. Política de gestió de bretxes de seguretat

En cas de detectar una violació de la seguretat de les dades personals ("bretxa"), YesWeTicket SL actuarà d'acord amb els articles 33 i 34 del RGPD:

• Detecció i contenció: l'equip de seguretat activarà els protocols interns per identificar l'abast i limitar l'impacte.
• Anàlisi de risc: avaluació dels riscos per als drets i llibertats de les persones afectades.
• Notificació a l'AEPD: si la bretxa suposa un risc, notificarem l'incident a l'AEPD dins de les 72 hores següents a haver-ne tingut coneixement.
• Comunicació a les persones afectades: quan la bretxa impliqui un alt risc per als seus drets i llibertats, els comunicarem la incidència sense demora indeguda, per correu electrònic o mitjà equivalent.
• Registre intern: totes les bretxes queden documentades al registre intern d'incidents, tal com exigeix el RGPD.
• Millora contínua: després de cada incident, es realitza una anàlisi post-mortem i s'incorporen millores als procediments i controls.

5. Privadesa des del disseny i per defecte

Apliquem els principis de "privacy by design" i "privacy by default" a tot el cicle de vida dels nostres productes: des del disseny funcional fins al desplegament i manteniment. Això inclou minimització de dades, pseudonimització quan és possible, i configuracions per defecte orientades a la màxima protecció.

6. Auditoria i millora contínua

Duim a terme revisions periòdiques dels nostres procediments de protecció de dades, així com anàlisis de risc i avaluacions d'impacte (DPIA) quan la naturalesa del tractament ho requereix.

7. Contacte

Per a qualsevol qüestió relacionada amb la protecció de dades, escriviu al nostre DPO: dpo@yesweticket.com. Per a altres consultes generals, podeu utilitzar hola@yesweticket.com.

Aquest document està pendent de revisió jurídica final. Consulteu també la nostra Política de privacitat, la Política de cookies i l'Avís legal.