Cumplimiento del RGPD

Introducción

Livappy OÜ (Lõkke 12, 10122 Tallinn, Estonia) se compromete a cumplir plenamente el Reglamento General de Protección de Datos (RGPD) de la Unión Europea en todas sus operaciones. Esta Política de cumplimiento del RGPD sirve tanto como directriz interna como declaración pública de cómo Livappy garantiza la protección de datos y la privacidad de conformidad con el RGPD.

Para cualquier duda o consulta relativa a esta política o a la protección de datos en Livappy, póngase en contacto con nosotros en info@livappy.com.

Ámbito de aplicación

Esta política se aplica a todas las actividades de tratamiento de datos personales realizadas por Livappy OÜ en el contexto de la oferta de servicios a personas físicas en la Unión Europea. Como empresa establecida en la UE, Livappy está sujeta a la jurisdicción del RGPD respecto de cualquier tratamiento de datos personales de personas que se encuentren en la UE¹. En la práctica, esto significa que cualquier información personal recogida, utilizada, almacenada o tratada de otro modo por Livappy —ya sea de clientes, usuarios, empleados o socios de toda la UE— se gestiona conforme a los requisitos del RGPD.

Livappy se dedica a garantizar que los principios y normas del RGPD rijan todo tratamiento de datos pertinente, independientemente del país de la UE en el que resida el interesado. Reconocemos que el RGPD protege los derechos fundamentales a la privacidad de las personas en la UE y nos impone obligaciones siempre que tratamos datos personales de la UE².

En virtud de esta política, las actividades de Livappy cubiertas por el RGPD incluyen (sin limitarse a): la recogida de datos personales de usuarios y clientes, el almacenamiento o alojamiento de esos datos (por ejemplo, en nuestros servidores en la nube), el análisis de datos personales con fines empresariales y la comunicación de datos a proveedores de servicios autorizados. Todas estas actividades se realizan cumpliendo el RGPD y dentro del Espacio Económico Europeo (EEE) o mediante mecanismos de transferencia aprobados cuando los datos salen del EEE. En resumen, si Livappy trata datos personales de una persona de la UE, ese tratamiento está dentro del ámbito de esta política y del cumplimiento del RGPD.

Transparencia

Livappy respeta el principio de transparencia informando claramente a los interesados sobre cómo recogemos, utilizamos y comunicamos su información personal. El RGPD exige que las organizaciones sean abiertas y honestas acerca de los datos personales que recopilan y de los fines para los que se utilizan³. En consonancia con ello, Livappy facilita a los interesados información completa sobre privacidad siempre que recogemos datos personales. Dichas informaciones (como nuestra Política de privacidad) detallan toda la información exigida, incluida:

Identidad del responsable del tratamiento:

Identificamos a Livappy OÜ como responsable del tratamiento y facilitamos nuestros datos de contacto (dirección y correo electrónico) en todas las comunicaciones sobre privacidad.

Recogida y uso de los datos:

Explicamos qué datos personales recogemos y cómo y por qué los recogemos. Esto incluye las categorías de datos (por ejemplo, nombre, datos de contacto, documentos de identificación, etc.) y los fines para los que se tratan (como la prestación de nuestros servicios, la verificación de identidad, la atención al cliente, el marketing, etc.).

Bases jurídicas:

Para cada actividad de tratamiento, especificamos la base jurídica del RGPD que la justifica; por ejemplo, si nos basamos en el consentimiento del usuario, la necesidad contractual, una obligación legal o intereses legítimos. Nos aseguramos de que no se traten datos personales sin una base jurídica válida conforme a los artículos 6 y 9 del RGPD.

Conservación de los datos:

Informamos a las personas de cuánto tiempo conservamos los datos personales. Livappy se compromete con la limitación del plazo de conservación, lo que significa que conservamos los datos personales únicamente durante el tiempo necesario para cumplir los fines indicados o durante el exigido por la ley, tras lo cual los datos se suprimen o anonimizan de forma segura.

Destinatarios de los datos:

Revelamos cualquier tercero o socio que pueda recibir datos personales. Esto incluye indicar si los datos personales se comparten con nuestros proveedores de servicios o encargados del tratamiento (por ejemplo, proveedores de alojamiento en la nube, servicios de verificación de identidad, herramientas de análisis) y garantizar que las personas conozcan las categorías de destinatarios.

Derechos y contacto:

Informamos a las personas de sus derechos como interesados en virtud del RGPD (detallados en la sección siguiente) y facilitamos instrucciones claras sobre cómo ejercer esos derechos, incluido el contacto con nosotros en info@livappy.com. También incluimos el derecho a presentar una reclamación ante una autoridad de control y otra información exigida en nuestras informaciones sobre privacidad.

Toda la información sobre privacidad se presenta de forma concisa, transparente y fácilmente accesible, con un lenguaje claro, tal como exige el RGPD. Livappy facilita esta información en el momento de la recogida de los datos (o, si se reciben de terceros, en la primera ocasión posible según los artículos 13 y 14 del RGPD). Nos comprometemos a actualizar nuestras informaciones sobre privacidad siempre que cambien nuestras prácticas de datos, y comunicaremos con prontitud cualquier cambio significativo para garantizar una transparencia continua. En esencia, Livappy se esfuerza por asegurar que las personas nunca desconozcan cómo se tratan sus datos, reforzando la confianza y cumpliendo los altos estándares de transparencia del RGPD³.

Derechos de los interesados

En virtud del RGPD, las personas físicas (interesados) disfrutan de sólidos derechos sobre sus datos personales, y Livappy se compromete plenamente a posibilitar y respetar esos derechos. Los derechos reconocidos a los interesados incluyen: el derecho a ser informado, el derecho de acceso, el derecho de rectificación, el derecho de supresión («derecho al olvido»), el derecho a la limitación del tratamiento, el derecho a la portabilidad de los datos, el derecho de oposición al tratamiento y el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado (incluida la elaboración de perfiles)⁴. Reconocemos todos estos derechos y hemos establecido procesos para facilitar su ejercicio.

Ejercicio de los derechos

Livappy dispone de procedimientos fáciles de usar para que las personas ejerzan sus derechos en virtud del RGPD. Los interesados pueden presentar solicitudes en cualquier momento escribiéndonos a info@livappy.com. También ofrecemos formularios en línea o ajustes en la aplicación (cuando proceda) para agilizar la presentación de solicitudes de acceso, rectificación, supresión, etc.

Cuando se recibe una solicitud, Livappy hará lo siguiente:

Verificar la solicitud:

Por motivos de seguridad, puede que necesitemos verificar la identidad del solicitante para asegurarnos de que los datos personales no se comunican a una persona no autorizada. Esto puede implicar solicitar información adicional o autenticación si la solicitud se realiza desde un correo electrónico o una cuenta que no conocemos previamente.

Responder en un plazo oportuno:

Respondemos a todas las solicitudes de los interesados sin dilación indebida y en el plazo de un mes desde su recepción, tal como exige el RGPD⁶. Si una solicitud es compleja o si son numerosas, podemos prorrogar este plazo hasta dos meses más, pero informaremos al solicitante de la prórroga y de sus motivos dentro del plazo inicial de un mes. En cualquier caso, el estado y el resultado de la solicitud se comunicarán con claridad.

Atender la solicitud cuando sea posible:

Si la solicitud es válida y no se aplica ninguna exención legal, Livappy la atenderá. Por ejemplo, facilitaremos una copia de los datos personales de la persona que tratamos (derecho de acceso), corregiremos cualquier inexactitud (rectificación), suprimiremos los datos si se solicita y si ninguna razón legítima prevalente lo impide (supresión), o cesaremos determinados tratamientos ante solicitudes de oposición o de limitación, todo ello conforme a las condiciones del RGPD. Cuando se solicite la portabilidad de los datos, facilitaremos los datos personales en un formato estructurado, de uso común y de lectura mecánica.

Explicar cualquier denegación o limitación:

En el caso poco frecuente de que no podamos atender una solicitud (por ejemplo, si se aplica una exención o si la solicitud es manifiestamente infundada o excesiva), informaremos a la persona del motivo concreto por el que no podemos atenderla y de su derecho a reclamar ante una autoridad de control. No cobramos ninguna tasa por responder a las solicitudes de derechos, salvo que una solicitud sea repetitiva o excesiva (en cuyo caso cualquier tasa o denegación se ajustará estrictamente a lo permitido por el RGPD).

Facilitar y documentar:

Los procedimientos internos de Livappy garantizan que el personal esté formado para reconocer y gestionar adecuadamente las solicitudes de los interesados⁷. Mantenemos registros de las solicitudes y de las respuestas para demostrar nuestro cumplimiento. También notificamos, si es necesario, a los encargados del tratamiento o destinatarios terceros pertinentes (por ejemplo, si los datos se han compartido y deben suprimirse o rectificarse, comunicaremos la solicitud a esas partes según proceda).

Livappy respeta profundamente el control de las personas sobre sus datos personales. Al respetar estos derechos y hacer que el proceso sea sencillo, demostramos nuestra responsabilidad y nuestro compromiso con el empoderamiento de los interesados que promueve el RGPD. Nuestro equipo está siempre dispuesto a ayudar a las personas a comprender y ejercer sus derechos en todo momento.

Protección de datos desde el diseño y por defecto

Livappy adopta la protección de datos desde el diseño y la protección de datos por defecto como principios fundamentales en todos nuestros productos, servicios y procesos de negocio. Esto significa que, desde el inicio mismo de cualquier proyecto o sistema, integramos consideraciones de protección de datos y garantizamos que las salvaguardias de privacidad estén incorporadas por defecto, y no añadidas a posteriori⁸. Nuestro enfoque incluye las siguientes prácticas:

Integración en la fase de diseño:

Siempre que desarrollamos o actualizamos software, aplicaciones o procesos de negocio que implican datos personales, evaluamos proactivamente los riesgos para la privacidad e incorporamos medidas de protección en la fase de diseño. Por ejemplo, reducimos la recogida de datos a lo estrictamente necesario para el fin especificado (minimización de datos) y elegimos arquitecturas de sistemas que protejan los datos personales (como el uso de técnicas de seudonimización o de agregación cuando resulte adecuado).

Configuración de privacidad por defecto:

Los servicios de Livappy se configuran con valores predeterminados respetuosos con la privacidad. Esto significa que, salvo que el usuario elija activamente otra cosa, solo se recogen y utilizan los datos personales mínimos necesarios. Cualquier función que pueda afectar a la privacidad está configurada por defecto con los ajustes más protectores⁹. No se exige a los usuarios que acepten una recogida de datos adicional para que el servicio funcione: la privacidad es la configuración estándar.

Evaluaciones de impacto relativas a la protección de datos (EIPD):

Realizamos evaluaciones de impacto relativas a la protección de datos para cualquier actividad de tratamiento nueva o modificada de forma significativa que pueda entrañar altos riesgos para la privacidad de las personas. Mediante las EIPD, identificamos de forma temprana posibles problemas de privacidad y los abordamos ajustando nuestro diseño o aplicando salvaguardias adicionales. Este proceso garantiza el cumplimiento del artículo 35 del RGPD y demuestra nuestra consideración exhaustiva y previa de los riesgos para la privacidad.

Formación y concienciación:

Nuestros equipos de ingeniería y de producto reciben formación sobre los principios de protección de datos desde el diseño. Cultivamos una cultura interna en la que los empleados y contratistas conocen las obligaciones de privacidad y aplican de forma coherente un enfoque centrado en la privacidad cuando tratan datos personales. Antes de lanzar nuevas funciones, realizamos revisiones o listas de comprobación de privacidad para asegurarnos de que existen los controles de cumplimiento necesarios.

Revisiones y mejoras continuas:

La protección de datos desde el diseño no es un esfuerzo puntual. Livappy supervisa y revisa continuamente sus sistemas para garantizar que mantengan los estándares de privacidad a lo largo del tiempo. Realizamos auditorías y actualizaciones periódicas de los controles de seguridad y privacidad, nos adaptamos a las nuevas orientaciones regulatorias e incorporamos los comentarios de los usuarios para mejorar la protección de datos. Si se producen cambios en la tecnología o en el uso de los datos, revisamos nuestros diseños para mantener el máximo nivel de protección de datos por defecto.

Al integrar la privacidad en el tejido de nuestras operaciones, Livappy no solo cumple el requisito del RGPD de protección de datos desde el diseño y por defecto, sino que también genera confianza entre los usuarios. Nuestro objetivo es garantizar que la privacidad sea parte integral de la innovación y los servicios de nuestra empresa, protegiendo los datos personales desde la base y por defecto en todos los casos.

Medidas técnicas y organizativas

Livappy ha implantado un conjunto completo de medidas de seguridad técnicas y organizativas para proteger los datos personales y garantizar un nivel de seguridad adecuado al riesgo, tal como exige el artículo 32 del RGPD¹¹. Reconocemos que la salvaguardia de los datos personales es primordial, y aplicamos las mejores prácticas del sector para impedir el acceso, la comunicación, la alteración o la pérdida no autorizados de los datos. Entre las medidas clave se incluyen:

Cifrado:

Todos los datos personales tratados por Livappy están protegidos mediante cifrado robusto, tanto en tránsito como en reposo. Utilizamos protocolos de cifrado actualizados (como TLS) para los datos en tránsito por las redes, y algoritmos de cifrado sólidos para cifrar los datos almacenados en nuestras bases de datos y copias de seguridad. Así se garantiza que, incluso si los datos fueran interceptados o se accediera a ellos sin autorización, seguirían siendo ininteligibles y estarían protegidos¹². Cuando es viable, ofrecemos mecanismos para gestionar las claves de cifrado de forma segura y evitar cualquier punto único de compromiso.

Controles de acceso:

Livappy aplica mecanismos estrictos de control de acceso para garantizar que los datos personales solo sean accesibles al personal autorizado según el principio de necesidad de conocer. Hemos implantado controles de acceso basados en roles y sistemas de autenticación de usuarios (incluida la autenticación multifactor para los sistemas sensibles) para limitar quién puede acceder a los datos. El acceso del personal a los datos personales se concede en función del puesto y se revoca o ajusta con prontitud cuando cambian las funciones. Todo empleado o contratista con acceso a datos personales está sujeto a obligaciones de confidencialidad y recibe formación en seguridad de los datos.

Registro y supervisión:

Mantenemos un registro detallado de los accesos a los sistemas y de las actividades de tratamiento de datos. Todos los accesos a los repositorios de datos personales, así como las acciones significativas realizadas con datos personales, se registran en pistas de auditoría seguras. Livappy emplea herramientas de supervisión para revisar los registros y detectar cualquier actividad irregular o no autorizada. Esto no solo nos ayuda a prevenir e identificar posibles incidentes de seguridad, sino que también proporciona un registro de auditoría para demostrar la responsabilidad respecto de los accesos y las modificaciones de los datos.

Infraestructura segura (nube de AWS):

Nuestros servicios se alojan en Amazon Web Services (AWS), un proveedor de nube de reconocido prestigio con altos estándares de seguridad y prácticas conformes al RGPD. Aprovechamos las funciones de seguridad y las certificaciones de cumplimiento de AWS. Por ejemplo, elegimos regiones de centros de datos en Europa para almacenar los datos personales de la UE, utilizamos los cortafuegos y la seguridad de red integrados de AWS y aplicamos periódicamente parches y actualizaciones de software. AWS ofrece sólidas garantías y opciones para la protección de datos (incluido el control del cliente sobre la ubicación de los datos, el cifrado y la gestión de accesos)¹², que utilizamos para reforzar nuestra postura general de seguridad.

Seguridad de redes y sistemas:

Livappy protege sus sistemas informáticos mediante medidas como cortafuegos, sistemas de detección y prevención de intrusiones (IDS/IPS), protección antimalware y una arquitectura de red segura. Separamos los entornos (por ejemplo, desarrollo, pruebas, producción) para reducir el riesgo y aplicamos prácticas de gestión de vulnerabilidades, incluidos análisis de vulnerabilidades y pruebas de penetración periódicos. Cualquier problema de seguridad detectado se resuelve con prontitud.

Políticas organizativas y formación:

Hemos establecido políticas internas de seguridad y protección de datos que todos los empleados y contratistas deben seguir. Estas políticas abarcan el tratamiento adecuado de los datos personales, el uso de dispositivos, los protocolos de notificación de incidentes y otros aspectos. Realizamos programas periódicos de formación y concienciación para que nuestro equipo se mantenga vigilante e informado sobre las mejores prácticas de ciberseguridad y privacidad. El acceso a los datos personales exige el cumplimiento de estas políticas, y las infracciones pueden dar lugar a medidas disciplinarias.

Auditorías y evaluaciones periódicas:

Livappy audita periódicamente sus medidas de protección de datos y realiza evaluaciones de riesgos para garantizar su eficacia continuada. Revisamos con regularidad los derechos de acceso de los usuarios, probamos nuestros planes de respuesta a incidentes y podemos recurrir a auditores independientes para evaluar nuestros controles de seguridad. Cualquier debilidad u oportunidad de mejora detectada se corrige con prontitud. Estas auditorías nos ayudan a mantener el cumplimiento y a alinearnos continuamente con los estándares de seguridad y las orientaciones regulatorias en evolución.

Continuidad del negocio y copias de seguridad:

Para protegernos frente a la pérdida o destrucción de datos, mantenemos rutinas seguras de copia de seguridad y contamos con planes de recuperación ante desastres. Las copias de seguridad de los datos personales críticos están cifradas y se almacenan de forma segura (incluidas copias externas o en la nube), y probamos periódicamente la restauración de los datos. En caso de fallo del sistema o de desastre, Livappy puede recuperar los datos personales para evitar su pérdida permanente, conforme a los requisitos de integridad y disponibilidad.

Seudonimización y minimización de datos:

Cuando resulta adecuado, Livappy aplica la seudonimización a los datos personales —sustituyendo los campos identificativos por identificadores artificiales— para reducir el riesgo en caso de acceso no autorizado. También respetamos rigurosamente el principio de minimización de datos, recogiendo y conservando únicamente los datos personales necesarios para los fines especificados¹⁰. Al reducir al mínimo los datos que conservamos y al separar o anonimizar los datos cuando es posible, limitamos el impacto de cualquier posible incidente de seguridad.

Mediante estas y otras medidas, Livappy garantiza que los datos personales estén protegidos desde el diseño y por defecto en todo momento¹³. Evaluamos continuamente nuevas tecnologías y prácticas de seguridad para mejorar nuestras protecciones. Nuestro compromiso es mantener un marco de seguridad de última generación que cumpla o supere los requisitos de seguridad de los datos del RGPD, salvaguardando así la confianza que nuestros usuarios y clientes depositan en nosotros.

Delegado de protección de datos (DPO)

El RGPD exige que determinadas organizaciones nombren un delegado de protección de datos cuando se cumplen criterios específicos, como que las actividades principales consistan en el tratamiento a gran escala de datos sensibles o en la observación habitual y sistemática de personas a gran escala¹⁹. Livappy OÜ aún no ha nombrado un delegado de protección de datos, ya que nuestra escala y naturaleza actuales del tratamiento de datos no lo convierten en un requisito obligatorio conforme al artículo 37 del RGPD. Concretamente, las actividades principales de Livappy no implican en la actualidad el tratamiento a gran escala de categorías especiales de datos ni la observación habitual a gran escala de personas que obligaría legalmente al nombramiento de un DPO¹⁹. Hemos evaluado nuestras obligaciones y hemos determinado que, por ahora, no se requiere un DPO formal.

No obstante, Livappy permanece atenta a este requisito. Nos comprometemos a nombrar un DPO cualificado en el futuro si nuestras operaciones u obligaciones legales cambian de tal modo que un DPO resulte necesario. Por ejemplo, si el negocio de Livappy se amplía hasta tratar datos personales muy sensibles a gran escala, o si iniciamos actividades extensas de elaboración de perfiles u observación, reconsideraremos la necesidad de un DPO y procederemos con prontitud a su nombramiento conforme a lo dispuesto en el RGPD.

Medidas actuales de protección de datos

Incluso en ausencia de un DPO formalmente designado, Livappy garantiza que las responsabilidades de protección de datos se asignen claramente dentro de la organización:

Contamos con un equipo (o responsable) específico de privacidad y cumplimiento que supervisa la adhesión al RGPD y asesora en materia de protección de datos. Este equipo supervisa nuestro desempeño en protección de datos, proporciona orientación sobre las obligaciones del RGPD y actúa como defensor interno de la privacidad de los usuarios.
Facilitamos datos de contacto (info@livappy.com) para todas las consultas o solicitudes relativas a la protección de datos, y tratamos estas comunicaciones con el mismo cuidado y atención que si hubiera un DPO. Cualquier consulta o reclamación recibida se gestiona con diligencia y, si es necesario, se eleva a la dirección o a asesores jurídicos especializados en privacidad.
Mantenemos vías de comunicación abiertas con las autoridades de control cuando es necesario y nos mantenemos informados sobre las orientaciones regulatorias para garantizar el cumplimiento continuo.

Livappy comprende el valor que puede aportar un DPO, incluso si no es estrictamente obligatorio, como la supervisión independiente y el conocimiento experto en materia de privacidad. Seguiremos vigilando nuestras obligaciones y no dudaremos en designar un DPO cuando las condiciones o nuestro crecimiento lo hagan oportuno. Mientras tanto, nuestro compromiso es que todas las funciones esenciales de un DPO (supervisar el cumplimiento, asesorar sobre las EIPD, formar al personal, etc.) se cumplan a través de nuestras estructuras internas de gobernanza.

Notificación de violaciones de la seguridad de los datos personales

A pesar de las sólidas protecciones, Livappy reconoce que pueden producirse incidentes de seguridad. En caso de una violación de la seguridad de los datos personales (un incidente de seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o el acceso no autorizados a dichos datos), disponemos de un procedimiento claro para gestionar la violación y cumplir las obligaciones de notificación del RGPD. Nuestro Plan de respuesta a violaciones de la seguridad de los datos incluye los siguientes pasos, en consonancia con los artículos 33 y 34 del RGPD:

Detección inmediata y alerta interna:

Disponemos de sistemas y procesos para detectar y alertarnos de posibles violaciones de la seguridad de los datos. Nuestros empleados están formados para reconocer y escalar los incidentes de seguridad. En el momento en que se sospecha o se identifica una violación, se notifica a nuestro equipo interno de respuesta (que incluye personal de TI, de seguridad y de dirección). Designamos un gestor del incidente concreto para supervisar la investigación.

Contención y evaluación:

Livappy contendrá rápidamente la violación para evitar nuevas fugas de datos (por ejemplo, aislando los sistemas afectados, revocando las credenciales comprometidas o desactivando funciones concretas). A continuación, investigamos el incidente para determinar la naturaleza y el alcance de la violación, qué datos y personas están afectados y los riesgos potenciales para los interesados. Como parte de esta evaluación, valoramos la probabilidad y la gravedad de cualquier daño que pueda derivarse.

Notificación a las autoridades (72 horas):

Si es probable que la violación entrañe un riesgo para los derechos y libertades de las personas, Livappy lo notificará a la autoridad de control competente sin dilación indebida y, de ser posible, en el plazo de 72 horas desde que tenga conocimiento de la violación¹⁴. Dado que Livappy tiene su sede en Estonia, nuestra autoridad de control principal será probablemente la Inspección de Protección de Datos de Estonia (Andmekaitse Inspektsioon), salvo que la violación afecte a interesados de varios países de la UE (en tal caso nos coordinaremos con la autoridad principal en el marco del mecanismo de ventanilla única).

Nuestra notificación de la violación a las autoridades incluirá toda la información exigida (naturaleza de la violación, categorías y número aproximado de interesados y de registros afectados, consecuencias probables, medidas adoptadas o propuestas para hacer frente a la violación, etc.). Si no podemos facilitar todos los detalles en 72 horas, proporcionaremos la información por fases según lo permitido, con una explicación del retraso^15,16.

Notificación a las personas afectadas:

Si es probable que la violación entrañe un alto riesgo para los datos personales o la privacidad de las personas, comunicaremos también la violación a los interesados afectados sin dilación indebida¹⁷. Esta comunicación se realizará en un lenguaje claro y sencillo, describiendo la naturaleza de la violación y ofreciendo recomendaciones para que las personas mitiguen los posibles efectos adversos (por ejemplo, podríamos aconsejar restablecer las contraseñas o estar atentos a intentos de phishing si se expusieron credenciales). No notificaremos a las personas si, debido a medidas técnicas eficaces (como el cifrado de los datos) u otros factores, los datos afectados resultan ininteligibles o el riesgo es bajo, salvo que las autoridades nos indiquen lo contrario.

Subsanación y prevención futura:

Livappy adoptará de inmediato medidas para subsanar la causa de la violación. Esto puede implicar corregir vulnerabilidades del software, reforzar los controles de acceso, mejorar el cifrado u otras acciones correctivas para garantizar que no se repita un incidente similar. También documentaremos las lecciones aprendidas y actualizaremos en consecuencia nuestras políticas de seguridad y nuestra formación. La alta dirección es informada de todas las violaciones y del avance de las medidas correctivas, lo que garantiza la responsabilidad y el apoyo a las mejoras necesarias.

Documentación:

En cumplimiento del artículo 33(5) del RGPD, Livappy documenta todas las violaciones de la seguridad de los datos, independientemente de si requieren notificación. Este registro interno de violaciones recoge los hechos relativos a la violación, sus efectos y las medidas correctivas adoptadas. Dicha documentación permite a las autoridades de control verificar nuestro cumplimiento y nos ayuda a perfeccionar continuamente nuestra respuesta a los incidentes de seguridad. Incluso en el caso de incidentes menores, mantenemos un registro como parte de nuestras obligaciones de responsabilidad¹⁸.

Siguiendo este enfoque estructurado, Livappy garantiza que cualquier violación de la seguridad de los datos se gestione con rapidez y transparencia, con el objetivo último de proteger los datos y los derechos de nuestros usuarios. Nuestra preparación para responder a incidentes 24/7 y nuestro compromiso con el plazo de notificación de 72 horas reflejan la seriedad con la que tratamos la seguridad de los datos personales y nuestras obligaciones en virtud del RGPD.

Acuerdos de tratamiento de datos

Livappy recurre a determinados proveedores de servicios terceros de confianza (encargados del tratamiento) para respaldar nuestros servicios; por ejemplo, proveedores de infraestructura en la nube, servicios de verificación de identidad y plataformas de análisis. De conformidad con los requisitos del RGPD, Livappy firma acuerdos de tratamiento de datos (DPA) con todos los encargados del tratamiento externos que tratan datos personales por cuenta nuestra²⁰. Estos DPA son contratos formales que garantizan que cada encargado se compromete a cumplir el RGPD y a proteger los datos personales con los mismos altos estándares que nosotros. Entre los aspectos clave de nuestro enfoque respecto de los DPA se incluyen:

DPA obligatorios con todos los encargados del tratamiento:

Tenemos como política que no se compartirán ni se confiarán datos personales a un encargado del tratamiento tercero salvo que exista un DPA conforme al RGPD. Esto incluye a socios importantes como Amazon Web Services (AWS) para el alojamiento en la nube, Veriff para los servicios de verificación de identidad, Google para herramientas o análisis basados en la nube, y cualquier otro proveedor o contratista que trate datos. Cada uno de estos encargados ha aceptado contractualmente cumplir los requisitos del RGPD, tratar los datos únicamente siguiendo las instrucciones documentadas de Livappy y aplicar medidas de seguridad adecuadas.

Compromisos y garantías suficientes:

En consonancia con el artículo 28 y el considerando 81 del RGPD, Livappy solo contrata encargados del tratamiento que ofrecen garantías suficientes de su capacidad para proteger los datos personales²¹. Nuestros acuerdos de tratamiento de datos estipulan que los encargados deben aplicar todas las medidas técnicas y organizativas apropiadas para salvaguardar los datos (por ejemplo, cifrado, controles de acceso, obligaciones de confidencialidad) y asistir a Livappy en la atención de las solicitudes de los interesados y en las notificaciones de violaciones de seguridad cuando sea necesario²². Examinamos cuidadosamente a los nuevos proveedores en cuanto a sus prácticas de protección de datos y su reputación antes de incorporarlos como encargados del tratamiento.

Cláusulas clave de los DPA:

Cada DPA que firma Livappy contiene todas las cláusulas exigidas por el artículo 28(3) del RGPD. Entre otras, se incluyen: el encargado tratará los datos personales únicamente siguiendo las instrucciones de Livappy; el personal que trate los datos estará sujeto a confidencialidad; el encargado ayudará a garantizar el cumplimiento de los requisitos de seguridad y asistirá en relación con los derechos de los interesados y las EIPD; no podrán contratarse subencargados sin nuestra autorización y estos deberán quedar sujetos a las mismas obligaciones; el encargado devolverá o suprimirá los datos personales al finalizar la relación; y el encargado deberá someterse a auditorías y aportar pruebas de su cumplimiento²². Estas cláusulas contractuales dan a Livappy y a nuestros usuarios la confianza de que los datos personales siguen protegidos incluso cuando son tratados por terceros.

Supervisión y exigencia de cumplimiento:

Livappy mantiene un inventario de todos los encargados del tratamiento actuales y del estado de nuestros acuerdos con ellos. Supervisamos el cumplimiento de nuestros encargados; por ejemplo, revisando sus certificaciones de seguridad, informes de auditoría o su adhesión a códigos de conducta. Si un encargado no cumple sus obligaciones de protección de datos, adoptamos medidas inmediatas que pueden incluir exigir su subsanación, suspender el tratamiento de datos o incluso resolver el contrato. Además, nuestros DPA hacen responsables a los encargados de la protección de los datos, lo que significa que deben indemnizar a Livappy (y en última instancia a nuestros usuarios) por cualquier daño causado por un tratamiento que no cumpla los estándares del RGPD.

Subencargados del tratamiento:

Cuando nuestros encargados subcontratan a su vez cualquier tratamiento (por ejemplo, si AWS utiliza subcontratistas para el mantenimiento de los centros de datos), nuestros DPA exigen que esos subencargados queden sujetos a los mismos estándares. Los contratos de Livappy garantizan que exista una cadena de obligaciones conformes al RGPD a lo largo de todos los niveles del tratamiento de datos.

Nota: Livappy ha suscrito un acuerdo de tratamiento de datos (DPA) con Google Ireland Limited para la prestación de los servicios de Google Workspace (correo electrónico, calendario, nube). Google actúa como encargado del tratamiento por cuenta de Livappy, y todo el tratamiento cumple el RGPD, incluidas las cláusulas contractuales tipo (CCT) cuando los datos puedan transferirse fuera de la UE.

Al mantener rigurosos acuerdos de tratamiento de datos, Livappy cumple su deber como responsable del tratamiento de trabajar únicamente con encargados que puedan garantizar la protección de los datos personales²³. Esta diligencia contractual es una parte fundamental de nuestro programa de cumplimiento del RGPD y ofrece a nuestros clientes y usuarios la seguridad de que sus datos se gestionarán de forma segura no solo por Livappy, sino también por cualquier socio o proveedor implicado en la prestación de nuestros servicios. Revisamos y actualizamos periódicamente nuestros DPA conforme a la evolución legal y garantizamos que todas las nuevas colaboraciones comiencen con un contrato de protección de datos sólido.

Información de contacto

Correo electrónico de contacto: info@livappy.com

Fecha de entrada en vigor: 10 de septiembre de 2025

Operador: Livappy OÜ (registrikood 17298558)
Harju maakond, Tallinn, Kesklinna linnaosa, Sakala tn 7-2, 10141, Estonia
Inscrita en el Departamento del Registro del Tribunal del Condado de Tartu, ficha del registro mercantil n.º 1

Fecha de entrada en vigor y revisión

Esta Política de cumplimiento del RGPD entra en vigor en la fecha de su publicación y está aprobada por la dirección de Livappy. Revisaremos la política al menos una vez al año y, además, cuando sea necesario para reflejar cualquier cambio en nuestras prácticas o en la ley. Las actualizaciones se publicarán para garantizar que empleados, clientes y socios se mantengan informados sobre cómo Livappy cumple su compromiso con el RGPD.

Referencias

^1,12 GDPR - Amazon Web Services (AWS) - https://aws.amazon.com/compliance/gdpr-center/

^2,3 EU General Data Protection Regulation Compliance Policy | Policy Library - https://www.policylibrary.gatech.edu/legal/eu-general-data-protection-regulation-compliance-policy

^4,5,6,7 Respect individuals' rights | European Data Protection Board - https://www.edpb.europa.eu/sme-data-protection-guide/respect-individuals-rights_en

^8,9,10 Privacy by Design & by Default: What You Need To Know - https://www.datagrail.io/blog/data-privacy/privacy-by-design-privacy-by-default/

^11,20,21,22 What is a GDPR data processing agreement? - GDPR.eu - https://gdpr.eu/what-is-data-processing-agreement/

¹³ Data protection by design and by default | ICO - https://ico.org.uk/for-organisations/law-enforcement/guide-to-le-processing/accountability-and-governance/data-protection-by-design-and-by-default/

^{14,15,16,17,18} Personal data breaches: a guide | ICO - https://ico.org.uk/for-organisations/report-a-breach/personal-data-breach/personal-data-breaches-a-guide/

¹⁹ Does my company/organisation need to have a Data Protection Officer (DPO)? - European Commission - https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/data-protection-officers/does-my-companyorganisation-need-have-data-protection-officer-dpo_en

²³ GDPR Compliance Statement - Free Privacy Policy - https://www.freeprivacypolicy.com/blog/gdpr-compliance-statement/