Cumplimiento del RGPD

Quién es responsable de los datos

En cuanto a los datos de los participantes, su organización es la responsable del tratamiento y BHP VR sp. z o.o., la empresa detrás de Skillsive, es la encargada del tratamiento. Tratamos esos datos únicamente siguiendo sus instrucciones, en virtud del acuerdo de tratamiento de datos que acepta el administrador de su organización en el panel. Para las cuentas del panel y nuestro contrato con su organización, BHP VR sp. z o.o. es la responsable del tratamiento.

Qué datos tratamos

Cada participante solo necesita un código de 6 dígitos y un apodo. Su organización decide si añade nombre y apellidos, correo electrónico, número de teléfono, número de identificación de empleado, cargo, dirección, fecha de nacimiento o sexo. También almacenamos los resultados de la formación y los certificados. Para las personas con una cuenta en el panel, tratamos su nombre, correo electrónico y datos de inicio de sesión. Las acciones relevantes para la seguridad, como la descarga de certificados, se registran con la hora, la dirección IP y el dispositivo.

Dónde se almacenan los datos

Los datos de los participantes se almacenan en la Unión Europea.

• Base de datos: Azure SQL (Microsoft SQL Server) en la región de Europa Occidental (Países Bajos).
• Archivos de certificados: Azure Blob Storage en la región de Europa Occidental (Países Bajos).
• Registros técnicos: Azure, región de Alemania Oeste Central, conservados durante 30 días.
• Copias de seguridad: copias de seguridad automáticas de la base de datos con restauración a un punto en el tiempo durante 35 días y copias de seguridad semanales conservadas durante 2 semanas, en almacenamiento de copias de seguridad georredundante dentro de la UE (Europa del Norte, Irlanda). No existe una réplica de la base de datos en otra región.

Quién nos ayuda a tratar los datos

Tres subencargados tratan los datos de los participantes: Microsoft (alojamiento en Azure), Cloudflare (protección de red y distribución de contenido) y Twilio SendGrid (correos electrónicos del sistema para las personas con una cuenta en el panel). La página de subencargados detalla qué hace cada uno de ellos y qué garantías se aplican.

Cómo protegemos los datos

Los datos se cifran en tránsito con HTTPS (TLS) y en reposo con AES-256 en la base de datos y el almacenamiento de archivos. El acceso depende de los roles, los datos de cada organización están separados en el servidor y el acceso administrativo utiliza autenticación multifactor.

Anonimización y certificados

Cuando su organización retira el consentimiento o nos da instrucciones para ello, los datos que identifican a los participantes se anonimizan de forma definitiva. Los certificados no se eliminan en ese momento: pasan a un archivo restringido durante el periodo de conservación establecido por su organización (10 años por defecto) y después se eliminan de forma permanente.

Cuánto tiempo conservamos los datos

Conservamos los datos de los participantes mientras su organización use la plataforma. Cuando el servicio finaliza, eliminamos o devolvemos los datos, según elija su organización. Las copias de seguridad caducan a los 35 días y los registros técnicos a los 30 días.

Derechos de los participantes

Los participantes pueden solicitar acceder, corregir, eliminar, limitar o portar sus datos, u oponerse a su tratamiento. Su organización, como responsable del tratamiento, gestiona estas solicitudes. Si un participante nos escribe directamente, reenviamos la solicitud sin demora y le ayudamos a responder. Cualquier persona también puede presentar una reclamación ante una autoridad de protección de datos.