Política de Protección de Datos

POLÍTICA PROTECCIÓN DE DATOS

Integrasoft Castilla Servicios Informáticos S.L

ÍNDICE

1. INTRODUCCIÓN
2. RESPONSABLE DEL TRATAMIENTO – PERSONAL AUTORIZADOS
3. REGISTRO DE ACTIVIDADES DE TRATAMIENTO (RAT)
4. ESCENARIO DE TRATAMIENTO
5. ANÁLISIS DE RIESGOS
6. POLÍTICAS INTERNAS
7. CLÁUSULAS LEGALES
8. TEXTOS WEB
9. CONTRATOS ENCARGADOS DEL TRATAMIENTO
10. USUARIOS AUTORIZADOS

POLÍTICA DE PROTECCIÓN DE DATOS Integrasoft Castilla Servicios Informáticos S.L

1.     INTRODUCCIÓN

El Reglamento General de Protección de Datos (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos, en adelante, RGPD) que entró en vigor en mayo de 2016 y es obligatorio desde mayo de 2018, así como la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos de carácter personal y garantía de los Derechos Digitales (en adelante, LOPDGDD) como las correspondientes normas nacionales de desarrollo, establecen el marco básico y obligatorio que todos los responsables y encargados de tratamiento están obligadas a cumplir cuando tratan datos personales.

Desde su entrada en vigor, el RGPD es una norma directamente aplicable en todos los estados miembros de la UE y, aunque no requiere de normas internas de trasposición, en España sí que ha sido necesaria una reforma de la normativa de protección de datos española para adecuar la misma al RGPD, es por ello que la LOPDGDD sustituye la LOPD 15/99 y desarrolla varios aspectos que el RGPD deja a los estados para su perfeccionamiento.

En España, los responsables y encargados de tratamiento deben tomar como norma de referencia el RGPD y la LOPDGDD. Si bien el RGPD contiene muchos conceptos, principios y mecanismos similares a los establecidos en la normativa anterior, se basa principalmente en tres ejes principales, que deben ser respetados y cumplidos por cada organización teniendo en cuenta sus propias circunstancias.

La mayor innovación del RGPD y las normas internas que lo desarrollan viene dada por tres elementos directamente aplicables en las obligaciones de las entidades:

• El principio de ACCOUNTABILITY o de Responsabilidad Proactiva, donde los responsables han de aplicar medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el Reglamento, es decir, debe analizarse qué datos se tratan, con qué finalidades, qué tipo de operaciones de tratamiento se llevan a cabo, cuáles y cómo se aplicarán las medidas de seguridad adecuadas para cumplir con el RGPD y poder demostrar ante los interesados y ante las autoridades su cumplimiento.

Con este principio se exige una actitud proactiva, diligente y consciente por parte de las organizaciones frente a todos los tratamientos de datos personales que lleven a cabo.

• El análisis de Riesgos: las medidas de seguridad dirigidas a garantizar su cumplimiento deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas. Estas medidas deberán modularse en función del tipo de riesgo que los tratamientos presenten y adaptar su aplicación a las características de las organizaciones.

• El tratamiento de datos basado en los principios que establece el RGPD:

• Licitud, lealtad y transparencia: tratados de manera lícita, leal y transparente en relación con el interesado;
• Limitación de la finalidad: recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines;
• Minimización de datos: adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados;
• Exactitud: exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan;
• Limitación del plazo de conservación: es decir, mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales (podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos), sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el RGPD;
• Integridad y Confidencialidad: tratados de tal manera que se garantice una seguridad adecuada de los datos personales (incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental), mediante la aplicación de medidas técnicas u organizativas apropiadas.

Esta normativa interna de protección de datos es dinámica, es decir, deberá revisarse y actualizarse siempre que se produzcan cambios relevantes en la organización y que puedan repercutir en el tratamiento de los datos personales, en el contenido de la información o sistemas de información de la entidad.

Este documento está pensado para ayudar a los responsables y a los encargados a adaptarse a las obligaciones del RGPD-LOPDGDD. 

Entre la documentación que la entidad debe disponer se encuentra la siguiente: 

• Registro de actividades de tratamiento.
• Análisis de riesgos.
• Medidas de seguridad implantadas en función de los riesgos analizados.
• Contratos con los encargados del tratamiento.
• Cláusulas informativas, consentimientos, autorizaciones, etc.
• Protocolos para las violaciones de seguridad.
• Protocolos para el ejercicio de los derechos por parte de los afectados.
• Protocolos con los usuarios de los sistemas de información (firma de los documentos de confidencialidad y entrega del manual de usuarios).
• Evaluación de Impacto relativa a la protección de los datos, en caso de ser necesaria.
• Documentación relativa a las transferencias internacionales de datos, así como las garantías apropiadas o excepciones en las que se trata dicha transferencia.
• Designación de la figura del DPD (Delegado de Protección de Datos) si es necesaria.
• Los correspondientes avisos para la página web corporativa.

Definiciones

Estas son algunas definiciones sobre los conceptos que establece el RGPD y la LOPDGDD:

A efectos del RGPD (art. 4), se entenderá por:

1) «Datos personales»: toda información sobre una persona física identificada o identificable* («el interesado»).

*Para determinar si una persona es identificable deberá tenerse en cuenta, tal y como dice el Considerando 26 RGPD, datos objetivos tales como los costes y el tiempo necesarios para la identificación, teniendo en cuenta la tecnología disponible en el momento del tratamiento, así como los identificadores de la misma, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.

2) «Tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;

3) «Elaboración de perfiles*»: toda forma de tratamiento automatizado de datos personales consistente en utilizar datos personales para evaluar determinados aspectos personales de una persona física, en particular para analizar o predecir aspectos relativos al rendimiento profesional, situación económica, salud, preferencias personales, intereses, fiabilidad, comportamiento, ubicación o movimientos de dicha persona física.

*Según el Considerando 30, las personas físicas pueden ser asociadas a identificadores en línea facilitados por sus dispositivos, aplicaciones, herramientas y protocolos, como direcciones de los protocolos de internet, identificadores de sesión en forma de «cookies» u otros identificadores, como etiquetas de identificación por radiofrecuencia. Esto puede dejar huellas que, en particular, al ser combinadas con identificadores únicos y otros datos recibidos por los servidores, pueden ser utilizadas para elaborar perfiles de las personas físicas e identificarlas.

4) «Fichero»: todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica;

5) «Responsable del tratamiento» o «Responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento.

6) «Encargado del tratamiento» o «Encargado»: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento.

7) «Destinatario»: la persona física o jurídica, autoridad pública, servicio u otro organismo al que se comuniquen datos personales, se trate o no de un tercero. No obstante, no se considerarán destinatarios las autoridades públicas en los casos en que el RGPD establece.

8) «Tercero»: persona física o jurídica, autoridad pública, servicio u organismo distinto del interesado, del responsable del tratamiento, del encargado del tratamiento y de las personas autorizadas para tratar los datos personales bajo la autoridad directa del responsable o del encargado.

9) «Empresa»: persona física o jurídica dedicada a una actividad económica, independientemente de su forma jurídica, incluidas las sociedades o asociaciones que desempeñen regularmente una actividad económica;

10) «Consentimiento del interesado»: manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, mediante una declaración o una acción afirmativa, el tratamiento de datos personales que le conciernen.

11) «Violación de la seguridad de los datos personales»: violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados a dichos datos.

12) «Datos genéticos»: datos personales relativos a características genéticas heredadas o adquiridas de una persona física que proporcionen una información única sobre la fisiología o la salud de esa persona, obtenidos en particular del análisis de una muestra biológica de tal persona.

13) «Datos biométricos»: datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos.

14) «Autoridad de control»: la autoridad pública independiente establecida por un Estado miembro con arreglo a lo dispuesto en el artículo 51.

Es una autoridad pública independiente (según estipula dicho art. 51, y establece que su función principal es supervisar la aplicación del Reglamento, para proteger los derechos y las libertades fundamentales de las personas físicas y facilitar la libre circulación de datos personales en la Unión.

15) «Servicio de la sociedad de la información»: todo servicio prestado normalmente a cambio de una remuneración, a distancia, por vía electrónica y a petición individual de un destinatario de servicios (definición conforme al art. 1, ap. 1, letra b), de la Directiva (UE) 2015/1535 del Parlamento Europeo y del Consejo.

16) Delegados de Protección de Datos (DPD): Figura obligatoria en el RGPD (artículo 37) cuyas funciones son informar y asesorar al responsable y al encargado de tratamiento y a los empleados que se ocupen del tratamiento de las obligaciones que les incumben en virtud del RGPD y normativas de desarrollo; supervisar el cumplimiento de la normativa de protección de datos; ofrecer asesoramiento en la realización de las evaluaciones de impacto (cuando sea obligatorio); y, cooperar y actuar como punto de contacto entre la empresa y la autoridad de control.

Tanto en el RGPD como en la LOPDGDD se establecen los casos en que es obligatoria designar un DPD que deberá notificarse a la Autoridad de Control.

Ámbito objetivo de aplicación del manual

La presente política de Protección de Datos es de aplicación al recabo y tratamiento de datos personales de personas físicas por parte de Integrasoft Castilla Servicios Informáticos S.L.

Esta política es de necesario cumplimiento en el desarrollo de las tareas laborales o profesionales que impliquen tratamiento de datos personales. Dicho tratamiento puede ser realizado tanto informáticamente como en soporte papel.

En cualquier caso, para que la normativa sobre protección de datos sea aplicable, el dato personal tratado debe referirse a personas físicas, de conformidad con la definición que se ofrece en el Apartado anterior.

Ámbito subjetivo de aplicación del manual

La presente política de Protección de Datos de Carácter Personal es obligatoria para todas aquellas personas que reúnan las siguientes condiciones:

1. Se encuentren vinculadas a Integrasoft Castilla Servicios Informáticos S.L mediante contrato laboral o mercantil, acuerdo de formación (prácticas, etc.) o, en general, cualquier otro tipo de relación jurídica análoga, verbal o escrita.
2. En el cumplimiento de sus funciones y obligaciones, dispongan de acceso autorizado a cualesquiera equipos, sistemas, redes de comunicación interna y externa, herramientas, aplicaciones o programas integrantes del Sistema de Información de Integrasoft Castilla Servicios Informáticos S.L o a documentación en papel en la que consten datos de carácter personal.

Documentación entregada 

• Política de protección de datos: Es el documento principal donde se describe el escenario de tratamiento que lleva a cabo el responsable. En caso de inspección por parte de la Autoridad de Control (en este caso AEPD) podría pedir dicho documento. Es obligatorio mantenerlo actualizado.

• Registro de actividades de tratamiento (RAT): Este registro deberá contemplar el tratamiento que se lleva a cabo de los datos personales en la entidad. Tiene que contener unos campos mínimos y debe dar cobertura a todos los tratamientos que se están llevando a cabo. Estará siempre actualizado y a disposición de la Agencia Española de Protección de Datos.

• Análisis de riesgos: Este documento pretende hacer una revisión de los riesgos a los que están expuestos los tratamientos de los datos personales, valorar el impacto que pueden generar la materialización de estos riesgos y aplicar una serie de medidas legales, técnicas y organizativas que permitan mitigarlos.

• Políticas internas: Son los documentos donde se recogen los procedimientos que sigue la empresa en diferentes ámbitos, como, por ejemplo, la gestión en caso de que se produzca una brecha de seguridad o cómo actuar en caso de que un usuario ejerza sus derechos en relación con la protección de datos.

• Cláusulas corporativas: Es el conjunto de cláusulas, textos y/o circulares que deberán incluirse en los distintos documentos que puedan contener o recoger datos personales, tales como formularios de recogida de datos, pie de facturas, pie de correo electrónico, pie de newsletter, recepción CV, páginas web, etc., para dar cumplimiento a la obligación del artículo 5 RGPD y 11 LOPDGDD de transparencia e información a los interesados a cerca de la protección que se brinda a sus datos personales y derechos que les amparan.

• Contratos Encargados de Tratamiento: Son los contratos con los que se da cumplimiento a la obligación del artículo 28 RGPD y 33 LOPDGDD, con los que se marcan las directrices por las que se regirá la cesión de datos a los encargados de tratamiento y les vincula con los responsables de tratamiento correspondiente.

• Compromiso Trabajadores: Es el documento con el que se pretende informar a todos los usuarios y trabajadores del tratamiento que se realiza de sus propios datos así como para obtener, de todos aquellos que acceden a datos personales de la entidad, la garantía y compromiso de confidencialidad respecto a los mismos. Se debe hacer firmar a todos los trabajadores.

• Manual Usuarios: Es la normativa interna que todos los usuarios del sistema de información de la entidad están obligados a conocer, para un tratamiento acorde con el RGPD y la LOPDGDD y de este modo estar informados de las políticas de empresa sobre los equipos informáticos, documentación en soporte papel, y demás medidas, normas, controles y procedimientos que puedan afectar a las tecnologías de la información y comunicación de la empresa (TIC), en el desarrollo de sus funciones. Se dará una copia de este documento junto con el documento de información y compromiso de confidencialidad de los trabajadores.

2.     RESPONSABLE DEL TRATAMIENTO – PERSONAL AUTORIZADO

Responsable del tratamiento

Responsable del tratamiento o responsable: persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine las finalidades y medios de tratamiento.

Artículo 24 RGPD 2016/679. Responsabilidad del responsable del tratamiento

1.Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario.

2.Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas políticas de protección de datos.

3.La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados como elementos para demostrar el cumplimiento de las obligaciones por parte del responsable del tratamiento.

Artículo 25 RGPD 2016/679. Protección de datos desde el diseño y por defecto

1.Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados.

2.El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas garantizarán en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas.

3.Podrá utilizarse un mecanismo de certificación aprobado con arreglo al artículo 42 como elemento que acredite el cumplimiento de las obligaciones establecidas en los apartados 1 y 2 del presente artículo.

Integrasoft Castilla Servicios Informáticos S.L es la responsable del tratamiento y, por lo tanto, sus obligaciones y responsabilidades principales son las siguientes:

1. a) Teniendo en cuenta la naturaleza, el ámbito, el contexto y la finalidad del tratamiento, deberá aplicar las medidas técnicas y organizativas que considere más indicadas para garantizar y poder demostrar que el tratamiento que se está realizando cumple con lo que prevé el RGPD y la LOPD-GDD.

1. b) El responsable deberá aplicar medidas técnicas y organizativas apropiadas para aplicar de forma efectiva los principios de protección de datos, de tal modo que debe garantizar que sólo sean objeto de tratamiento los datos personales que sean necesarios para cada una de las finalidades específicas del tratamiento.

Estas medidas se pueden conseguir a través de la seudonimización, es decir, estableciendo mecanismos de seguridad que no permitan el acceso a todos los datos personales que se hayan recogido, sino que se limite al personal o a terceros el acceso únicamente a los datos que deban tratar.

Igualmente, la otra medida que se prevé es la minimización, que implica recoger solamente los datos personales que sean indispensables para llevar a cabo la finalidad concreta, evitando solicitar y almacenar todos los datos de personas físicas que no sean esenciales para la finalidad que se pretende.

SEDE PRINCIPAL

OTRAS SEDES

Responsable de privacidad

Persona encargada de la coordinación y aplicación de las medidas en materia de protección de datos.

Posibilidad de corresponsables del tratamiento

El Reglamento 2016/679 permite que exista más de un responsable del tratamiento cuando dos o más responsables determinen conjuntamente los objetivos y los medios del tratamiento. En este caso, adquirirán la condición de corresponsables, y se regirán por lo previsto en el artículo 26 RGPD; es decir, deberán regular mediante un acuerdo formar las funciones y relaciones respectivas de cada uno de ellos en relación con los interesados.

Independientemente del acuerdo que los corresponsables hayan establecido, los interesados podrán reclamar sus derechos ante y en contra de cada uno de los responsables.

Encargados de tratamiento

Encargado del tratamiento: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento.

Integrasoft Castilla Servicios Informáticos S.L tiene designados distintos encargados del tratamiento, que se detallan a continuación.

Relación entre el responsable y el encargado del tratamiento

Cuando el responsable del tratamiento contrate la prestación de un servicio que implique un tratamiento de datos personales debe velar para que el encargado del tratamiento cumpla las garantías para el cumplimiento de lo que dispone el Reglamento (UE) 2016/679.

Esta relación debe estar regulada en un contrato que vincule al encargado respecto del responsable, y establezca el objeto, la duración, la naturaleza, y las obligaciones y derechos del responsable. 

En caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato que prevé el artículo 28.3 del Reglamento (UE) 2016/679, también se considera responsable del tratamiento, y debe responder de las infracciones en que haya incurrido personalmente. No obstante, el encargado del tratamiento no incurre en responsabilidad cuando, previa indicación expresa del responsable, comunica los datos a un tercero designado por el mismo, a quien ha encomendado la prestación de un servicio, conforme a lo previsto en el citado artículo. 

Conservación de datos por parte del encargado del tratamiento:

Una vez terminada la prestación contractual, los datos de carácter personal deben ser destruidos o devueltos al responsable del tratamiento o al encargado que éste haya designado, como también cualquier soporte o documento en que conste algún dato de carácter personal objeto del tratamiento. 

No procede la destrucción de datos en los casos en que la ley exija su conservación. En este caso, el encargado del tratamiento deberá conservar los datos, debidamente bloqueados, mientras se puedan derivar responsabilidades de su relación con el responsable del tratamiento. 

Encargados del tratamiento de Integrasoft Castilla Servicios Informáticos S.L

A continuación, se incluye la relación de personas o entidades que, siendo ajenas a Integrasoft Castilla Servicios Informáticos S.L, acceden a sus ficheros con datos de carácter personal para la prestación de sus servicios, con lo que se consideran ENCARGADOS DEL TRATAMIENTO.

Esta es la relación de terceros que prestan un servicio y que pueden tener acceso a datos. Se firmará con cada uno de ellos el correspondiente contrato como encargados de tratamiento.

3.     REGISTRO DE ACTIVIDADES DE TRATAMIENTO (RAT)

Los Registros de actividad del tratamiento se ha redactado en cumplimiento del RGPD, junto con las previsiones incorporadas por la LOPDGDD.

En el supuesto que se modifiquen las leyes que regulan esta materia se deberá adaptar el Registro de Actividades a la nueva legalidad vigente. 

El presente documento se ha elaborado con la información facilitada por Integrasoft Castilla Servicios Informáticos S.L durante la fase de implantación de la normativa en dicha entidad o en su fase de actualización anual.

Que es un registro de actividades y cuál es su contenido mínimo

La definición de Registro de Actividades del Tratamiento y el contenido mínimo que debe tener se encuentra establecido en el artículo 30 del RGPD 2016/679, que textualmente dice:

Artículo 30. Registro de las actividades de tratamiento

1.Cada responsable y, en su caso, su representante, llevarán un registro de las actividades de tratamiento efectuadas bajo su responsabilidad. Dicho registro deberá contener toda la información indicada a continuación:

1. a) el nombre y los datos de contacto del responsable y, en su caso, del corresponsable, del representante del responsable, y del delegado de protección de datos;
2. b) los fines del tratamiento;
3. c) una descripción de las categorías de interesados y de las categorías de datos personales;
4. d) las categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales, incluidos los destinatarios en terceros países u organizaciones internacionales;
5. e) en su caso, las transferencias de datos personales a un tercer país o una organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo, la documentación de garantías adecuadas;
6. f) cuando sea posible, los plazos previstos para la supresión de las diferentes categorías de datos;
7. g) cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad a que se refiere el artículo 32, apartado 1.

2.Cada encargado y, en su caso, el representante del encargado, llevará un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta de un responsable que contenga:

1. a) el nombre y los datos de contacto del encargado o encargados y de cada responsable por cuenta del cual actúe el encargado, y, en su caso, del representante del responsable o del encargado, y del delegado de protección de datos;
2. b) las categorías de tratamientos efectuados por cuenta de cada responsable;
3. c) en su caso, las transferencias de datos personales a un tercer país u organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo, la documentación de garantías adecuadas;
4. d) cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad a que se refiere el artículo 30, apartado 1.

3.Los registros a que se refieren los apartados 1 y 2 constarán por escrito, inclusive en formato electrónico.

4.El responsable o el encargado del tratamiento y, en su caso, el representante del responsable o del encargado pondrán el registro a disposición de la autoridad de control que lo solicite.

5.Las obligaciones indicadas en los apartados 1 y 2 no se aplicarán a ninguna empresa ni organización que emplee a menos de 250 personas, a menos que el tratamiento que realice pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional, o incluya categorías especiales de datos personales indicadas en el artículo 9, apartado 1, o datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10.

Esta obligación también se encuentra en la LOPD-GDD, en su artículo 31:

Artículo 31. Registro de las actividades de tratamiento.

1. Los responsables y encargados del tratamiento o, en su caso, sus representantes deberán mantener el registro de actividades de tratamiento al que se refiere el artículo 30 del Reglamento (UE) 2016/679, salvo que sea de aplicación la excepción prevista en su apartado 5.

El registro, que podrá organizarse en torno a conjuntos estructurados de datos, deberá especificar, según sus finalidades, las actividades de tratamiento llevadas a cabo y las demás circunstancias establecidas en el citado reglamento.

Cuando el responsable o el encargado del tratamiento hubieran designado un delegado de protección de datos deberán comunicarle cualquier adición, modificación o exclusión en el contenido del registro.

2. Los sujetos enumerados en el artículo 77.1 de esta ley orgánica harán público un inventario de sus actividades de tratamiento accesible por medios electrónicos en el que constará la información establecida en el artículo 30 del Reglamento (UE) 2016/679 y su base legal.

Objetivos del registro de actividades

El registro de actividades tiene por finalidad el cumplimiento de cuatro objetivos básicos:

1. Garantizar la seguridad en la protección de datos de carácter personal de los que dispone Integrasoft Castilla Servicios Informáticos S.L.
2. Establecer mecanismos de protección de los citados datos de carácter personal.
3. Formar y dar herramientas al personal de Integrasoft Castilla Servicios Informáticos S.L en lo que refiere a datos personales.
4. Dar cumplimiento a lo establecido en el artículo 30 del RGPD 2016/679, que recoge la obligatoriedad por parte del responsable del tratamiento de elaborar un registro de actividades, establecer medidas de seguridad e implementarlas.

Por lo que, mediante el registro de actividades de tratamiento, Integrasoft Castilla Servicios Informáticos S.L garantiza que cumple con los principios de protección de datos establecidos en el Reglamento. Asimismo, cabe recordar que no se trata de un documento que se elabore una única vez, sino que el mismo debe adaptarse a la realidad de la organización, con lo que el mismo debe ser revisado y actualizado de forma constante. 

En documento adjunto se encuentran todos los Registros de Actividad de Tratamiento del Responsable del tratamiento.

Ámbito de aplicación

ÁMBITO JURÍDICO

Este documento se aplicará a:

Integrasoft Castilla Servicios Informáticos S.L

C/ Pascual Marín , 29,

40004, Segovia, Segovia

B40201139

ÁMBITO PERSONAL

Este documento es de obligado cumplimiento para todos los trabajadores de Integrasoft Castilla Servicios Informáticos S.L, a los que se forma adecuadamente al respecto.

ÁMBITO MATERIAL

El registro de actividades se debe aplicar a todos los tratamientos realizados por el responsable sobre los datos de carácter personal.

Vigencia

El registro de actividades entrará en vigor para Integrasoft Castilla Servicios Informáticos S.L desde la fecha de su creación y lo estará hasta que se produzca un cambio normativo que suponga novedades vinculantes incompatibles con este sistema.

Asimismo, debe tenerse en cuenta que cualquier cambio en la entidad relacionado con su personal o con los tratamientos de datos personales que se realicen debe estar correctamente detallado en el presente documento, pues en caso de no estar actualizado, el mismo dejará de cumplir con su objetivo principal y perdería su vigencia.

Definición de fichero

El presente Registro de Actividades incluye todos los ficheros y/o tratamientos de datos de Integrasoft Castilla Servicios Informáticos S.L.

El artículo 4 del Reglamento (UE) 2016/679 define:

• fichero como “todo aquel conjunto estructurado de datos personales, accesibles de acuerdo con criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica”;
• tratamiento: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”.

Diferencias entre un fichero automatizado y uno no automatizado

Los ficheros se pueden clasificar según el soporte en que se encuentran, pudiendo ser ficheros automatizados o ficheros no automatizados.

Un fichero automatizado, según la normativa de protección de datos de carácter personal, se refiere a todo conjunto organizado de datos de carácter personal que permita acceder a la información relativa a una persona física determinada utilizando procedimientos de búsqueda automatizados. Están claramente incluidos dentro de este concepto los ficheros de datos personales que guarden la información en soportes informáticos (bases de datos, archivos, carpetas, etc.) y que se encuentren organizados de manera que se pueda acceder a los datos personales utilizando cualquier tipo de aplicación o procedimiento informático.

Un fichero no automatizado sería el conjunto de datos personales de carácter personal organizado de forma no automatizada y estructurado conforme a criterios específicos relativos a personas físicas, que permitan acceder sin esfuerzos desproporcionados a sus datos personales. El mejor ejemplo de un fichero no automatizado lo encontramos en los archivadores existentes en la mayoría de organizaciones donde se guardan expedientes de documentos organizados por un grupo de personas (trabajadores, clientes, proveedores, etc.) y estructurados de manera que se pueda localizar cada expediente utilizando criterios identificativos determinados (búsqueda alfabética por nombre o apellidos, etc.).

Agrupación de ficheros por su finalidad

Aunque físicamente los datos de carácter personal se encuentran almacenados en diferentes ficheros, y aunque geográficamente se encuentren ubicados en diferentes instalaciones, todos los ficheros existentes en una organización determinada (automatizados y no automatizados) que hayan sido creados con la misma finalidad se agrupan en un solo fichero.

Para entender mejor esta idea se debe analizar como acostumbran a tratar las empresas los datos de sus clientes. De forma general, los datos de los clientes se encuentran almacenados en un software de facturación, en diferentes archivos informáticos (hojas de cálculo, archivos de texto, etc.) y también en distintas carpetas y archivadores que contienen documentación de clientes en formato papel (fichas, facturas, etc.). Pues bien, aunque físicamente existe un fichero automatizado (compuesto por todos los archivos y aplicaciones informáticas) y un fichero no automatizado (compuesto por todas las carpetas y archivos ordenados alfabéticamente por nombre y apellidos) se trataría de un único fichero de carácter “mixto” (automatizado y no automatizado) que ha sido creado con la misma finalidad de gestionar las relaciones comerciales entre la empresa y sus clientes.

Tratamiento de categorias especiales de datos personales

Como se prevé en el artículo 9 del Reglamento (UE) 2016/679, está prohibido tratar datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de forma inequívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o a las orientaciones sexuales de una persona física.

No obstante lo anterior, esta prohibición no se aplicará si se da, como mínimo, uno de los siguientes requisitos:

1. Que el interesado haya prestado su consentimiento explícito para el tratamiento de estos datos.
2. Cuando el tratamiento sea necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito de derecho laboral, de la seguridad social, y de la protección social.
3. Que el tratamiento sea necesario para proteger intereses vitales del interesado o de otra persona física, cuando el interesado no esté incapacitado (físicamente o jurídicamente) para dar su consentimiento.
4. Cuando el tratamiento lo haga una fundación, asociación, o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical; siempre que se cumpla con todas las garantías.
5. El tratamiento sea sobre datos que el interesado haya hecho públicos manifiestamente.
6. Cuando el tratamiento lo haya un órgano judicial.
7. Que el tratamiento sea necesario por razones de interés público, sobre todo en el ámbito de la salud pública.
8. Que el tratamiento sea necesario para finalidades de medicina preventiva o laboral, evaluación de la capacidad del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social.
9. Que el tratamiento sea necesario para la finalidad de archivo de interés público, para investigación científica o histórica, o para finalidades estadísticas.

4.     ESCENARIO DE TRATAMIENTO

El presente apartado incluye como se realiza el tratamiento de los ficheros que contienen los datos personales objeto de protección por parte de Integrasoft Castilla Servicios Informáticos S.L, como Responsable del tratamiento.

Ficheros informatizados

Esta es la relación de aplicaciones que se utilizan en Integrasoft Castilla Servicios Informáticos S.L y que pueden gestionar datos de carácter personal.

Ficheros ofimáticos

A parte de, en su caso, las aplicaciones de gestión indicadas podrían a ver datos personales en ficheros ofimáticos que contienen datos personales relevantes autónomos o exportados de las aplicaciones y que nutren la actividad de Integrasoft Castilla Servicios Informáticos S.L.

Para este tipo de ficheros aplicaran las medidas de seguridad indicadas en el análisis de riesgos y recomendadas en este apartado.

Servidores/estaciones de trabajo/smartphones/tablets/portátiles

El Departamento de IT o responsable informático externo/interno correspondiente, tiene que disponer de un listado actualizado con la información detallada de todos los dispositivos que dispone el responsable del tratamiento. En estos terminales es necesario se los apliquen las medidas indicadas en el análisis de riesgos y medidas recomendadas en este apartado.

Medidas de seguridad

Los responsables y encargados establecerán las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado en función de los riesgos detectados y la tipología de datos tratados; además, deberán estar en condiciones de demostrar la aplicación de dichas medidas (responsabilidad proactiva).

Estas medidas técnicas y organizativas se deberán establecer teniendo en cuenta el coste de la técnica; los costes de aplicación; la naturaleza, alcance, contexto y las finalidades del tratamiento y los riesgos para los derechos y libertades de las personas.

Ficheros

Además de los datos gestionados a través de las aplicaciones informáticas, habrá datos en soporte papel para los que deberemos cumplir una serie de medidas específicas.

En caso de tener contrato con una empresa externa para la destrucción de la documentación, se deberá firmar un contrato como Encargado del Tratamiento. 

5.     ANÁLISIS DE RIESGOS

Introducción

El Reglamento (UE) 2016/679 de Protección de Datos (RGPD-GDPR) establece que, teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines de tratamiento, así como los riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado de tratamiento aplicaran medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad apropiado al riesgo que en su caso incluya:

1. la seudonimización y el cifrado de datos personales;
2. la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamientos;
3. la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
4. un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.

Identificar, evaluar y tratar la gestión de riesgos es el proceso de identificar, analizar y valorar la probabilidad e impacto derivados de la posibilidad de que se materialice un riesgo con el objetivo de establecer las acciones preventivas, correctivas y reductivas que permitan minimizar el nivel de exposición al riesgo.

Identificar y evaluar los riesgos son las tareas iniciales del proceso de gestión de riesgos. Asegurar la correcta identificación de los riesgos a los que están expuestas las actividades de tratamiento es una parte clave para poder realizar una evaluación completa. La no identificación de riesgos implica que estos no se evalúan y no se tratan, y el tratamiento podría estar más expuesto al potencial riesgo. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizado a dichos datos.

Se ha elaborado para Integrasoft Castilla Servicios Informáticos S.L        un análisis de riesgos documentado que identifica los riesgos/amenazas a las que los datos personales están expuestos y la probabilidad de que se materialicen los mismos y las medidas, tanto legales, organizativas y técnicas, correctoras llevadas a cabo para mitigarlos.

Conceptos

Análisis de riesgos: utilización sistemática de la información disponible para identificar los peligros y estimar los riesgos.

Confidencialidad: es la garantía de que la información sólo está accesible al personal autorizado a acceder a dicha información.

Integridad: es la garantía de que la información no ha sido alterada de manera no autorizada.

Disponibilidad: es la garantía de que la información está disponible para su uso a demanda de una entidad autorizada.

Seguridad de la información: es la preservación de la confidencialidad, integridad y disponibilidad de la información.

Activo: componente o funcionalidad de un sistema de información susceptible de ser atacado deliberada o accidentalmente con consecuencias para la seguridad de la información (ej.: personal, datos, aplicaciones, equipos, instalaciones, etc.).

Amenaza: toda circunstancia, evento o persona que tiene el potencial de causar daño en forma de robo, destrucción, divulgación, modificación de datos o denegación de servicio.

Vulnerabilidad: debilidad o necesidad de un activo a través de la cual una amenaza puede causar un daño.

Impacto: es el daño que se produce al materializarse una amenaza.

Nivel de riesgo: es la combinación de las consecuencias de un suceso (impacto) y de su probabilidad. Riesgo = Impacto x Probabilidad.

Control: medida que modifica un riesgo.

Proceso

Identificación de amenazas:

La identificación del origen de riesgos es el análisis de los potenciales escenarios de riesgo a los que pueden estar expuestos los datos personales en la actividad llevada a cabo por la entidad.

En esta etapa inicial del proceso de gestión de riesgos hemos identificado los potenciales escenarios de riesgo que pueden afectar negativamente a los derechos y libertades de las personas derivados de un inadecuado tratamiento de sus datos. El riesgo es la exposición a amenazas, por tanto, como punto de partida, es fundamental entender qué es una amenaza y cómo se puede identificar escenarios de riesgo a partir de la misma.

¿Qué es una amenaza?

Una amenaza es cualquier factor de riesgo con potencial para provocar un daño perjuicio a los interesados sobre cuyos datos de carácter personal se realiza un tratamiento.

Poniendo el foco en la protección de los datos, las amenazas se pueden categorizar principalmente en 3 tipos en base a la tipología de daño que pueden producir en los datos:

• Acceso ilegitimo a los datos: confidencialidad
• Modificación no autorizada de los datos: integridad
• Eliminación de los datos: disponibilidad

En Integrasoft Castilla Servicios Informáticos S.L se identifican los siguientes activos, como escenarios de riesgos, que pueden dar lugar a distintas amenazas en materia de tratamiento de datos de carácter personal.

• Existencia de bases de datos (que pueden contener datos o información confidencial o no)
• Existencia de hardware y software (incluye el hardware en general, los programas informáticos, aplicaciones, etc.)
• Existencia de soportes informáticos (incluye todo tipo de soportes informáticos)
• Existencia de personal tratando datos dentro y/o fuera de las instalaciones
• Existencia de soportes para comunicaciones (router, switch, ADSL, fibra, etc.)
• Existencia de documentación en papel
• Desastres naturales, incendios, inundaciones y robos
• Disponer de página web o tienda on line
• Existencia de cámaras con grabación de imágenes (tanto cámaras de videovigilancia como cámaras en los ordenadores).

Valoración de impacto:

Hay que valorar el daño o consecuencias (impacto) que se podrían producir para los interesados de cuyos datos se están tratando, en caso de que se materialicen las amenazas. El considerando 75 del RGPD indica una serie de supuestos asociados a riesgos para los derechos y libertades de los interesados que supondrán un elevado impacto.

Escala para valorar el impacto:

Considerando 75 y art. 9 RGPD, cuyo tratamiento de datos puede llegar a suponer un impacto alto o muy alto si no se mitigan las consecuencias de los riesgos con medidas de seguridad:

–     Los datos revelan el origen ético o racial

–     Los datos revelan las opiniones políticas

–     Los datos revelan la religión o las creencias filosóficas

–     Los datos revelan la militancia en sindicatos

–     Se tratan datos genéticos

–     Se tratan datos relativos a la salud

–     Se tratan datos sobre la vida sexual

–     Se tratan datos sobre condenas e infracciones penales o medidas de seguridad conexas

–     Se evalúan aspectos personales

–     Se realiza el análisis o predicción de aspectos referidos al rendimiento en el trabajo

–     Se realiza el análisis o predicción de aspectos referidos a la situación económica

–     Se realiza el análisis o predicción de aspectos referidos a la salud

–     Se realiza el análisis o predicción de aspectos referidos a preferencias o intereses personales

–     Se realiza el análisis o predicción de aspectos referidos a la fiabilidad o el comportamiento

–     Se realiza el análisis o predicción de aspectos referidos a la situación o movimientos

–     Se tratan datos de personas vulnerables (en particular niños)

–     El tratamiento implica una gran cantidad de datos personales y afecta a un gran número de interesados

El impacto asociado a un riesgo puede ser ocasionado por daños de diferente índole.

Para evaluar el impacto asociado a un riesgo, se ha realizado la evaluación considerando tres dimensiones diferentes de posibles daños que se pueden producir sobre el interesado:

1. a) Daño físico: Conjunto de acciones que pueden ocasionar un daño en la integridad física del interesado.
2. b) Daño material: Conjunto de acciones que pueden ocasionar pérdidas económicas, de patrimonio, de empleo, etc.
3. c) Daño moral: Conjunto de acciones que pueden ocasionar un daño moral o mental en el interesado, como una depresión, fobias, acoso, etc.

La escala de impacto depende del tipo y cantidad de daño o perjuicio causado. El valor final de impacto debe ser solo uno por riesgo, entre las cuatro posibilidades. A continuación, se pueden ver ejemplos prácticos de cada uno de los niveles de impacto en todas sus magnitudes:

Valoración de la probabilidad:

Es necesario evaluar la probabilidad de que se materialice cada una de las amenazas identificadas. Los factores a tener en cuenta para estimar la probabilidad son:

1. El contexto del tratamiento y de los activos involucrados
2. La frecuencia con la que se presenta la amenaza
3. La vulnerabilidad del activo frente la amenaza
4. El grado de exposición a la amenaza
5. El valor que tiene la información para terceros
6. El histórico de la compañía respecto la materialización de la amenaza previamente.

Escala para valorar la probabilidad:

Valoración del riesgo:

Teniendo en cuenta la probabilidad de que un evento no deseado se produzca y el impacto que puede tener (consecuencias) en el interesado, hemos valorado cada uno de los riesgos identificados.

¿Qué es un riesgo?

Un riesgo se puede definir como la combinación de la posibilidad de que se materialice una amenaza y sus consecuencias negativas. El nivel del riesgo se mide según su probabilidad de materializarse y el impacto que tiene en caso de hacerlo.

Para evaluar un riesgo es necesario considerar todos los posibles escenarios con los que el riesgo se haría efectivo, incluidos aquellos que impliquen un mal uso o abuso de los datos y las alteraciones técnicas o del entorno.

Las amenazas y los riesgos asociados están directamente relacionados, en consecuencia, identificar y evaluar los riesgos siempre implica considerar la amenaza que los puede originar.

Evaluación de riesgos

La evaluación de riesgos consiste en valorar y estimar la probabilidad y el impacto de que el riesgo se materialice. Como punto de partida, es necesario haber definido el criterio que se seguirá a la hora de valorar los riesgos. Los criterios para cuantificar los riesgos, estimar el nivel de impacto y su probabilidad, se pueden basar en estándares o se pueden definir a criterio de la organización.

¿Qué es el riesgo inherente y cómo se calcula?

El riesgo inherente es el riesgo intrínseco de cada actividad, sin tener en cuenta las medidas de control que mitigan o reducen su nivel de exposición. El riesgo inherente surge de la exposición que se tenga a la operación de tratamiento en particular y de la probabilidad de que la amenaza asociada al riesgo se materialice.

El cálculo del riesgo inherente se realiza mediante la siguiente fórmula:

RIESGO = PROBABILIDAD X IMPACTO

Tomando como base las escalas de probabilidad e impacto, para poder determinar el riesgo inherente, es necesario asignar valores a cada uno de los niveles de las escalas de probabilidad e impacto. La escala de valores comprende desde el valor 1, en el caso de que la magnitud sea baja, hasta el valor 4 en el caso donde la magnitud es muy alta.

Si se establece un valor numérico a la probabilidad y otro valor al impacto, según la escala de valores definida, se obtiene una posición en la matriz de riesgos que se corresponde con el riesgo inherente resultado de aplicar la fórmula de estimación del riesgo. El resultado del riesgo inherente se puede considerar en los siguientes niveles en función del valor obtenido:

• Bajo: Si el valor resultante se sitúa entre los valores 1 y 2.
• Medio: Si el valor resultante es entre 3 y 6.
• Alto: Si el valor resultante es entre 7 y 9.
• Muy Alto: Si el valor resultante es mayor que 10.

Valoramos el riesgo como aceptable hasta los 6 puntos. Si supera dicho valor, se deberán tomar medidas adicionales para evitar, mitigar o transferir dicho riesgo.

Matriz de riesgos:

Gestión del riesgo (medidas):

La última etapa del proceso de gestión de riesgos consiste en definir la respuesta o las medidas necesarias para tratar el riesgo y reducir su nivel de exposición. Tratar un riesgo es el resultado de definir y establecer medidas de control para disminuir la probabilidad y/o el impacto asociados al riesgo inherente de una operación de tratamiento.

Una vez identificados los riesgos se tendrán que gestionar, especialmente los que tienen un nivel de riesgo ALTO o MUY ALTO (a partir de un valor de 7).

Los riesgos deberán gestionarse para evitarlos, mitigarlos, transferirlos o aceptarlos, valorando el coste de las medidas de seguridad y/o controles que se deben aplicar para reducir o eliminar dicho riesgo.

¿Qué alternativas existen para reducir o mitigar un riesgo?

El nivel de riesgo se puede tratar con el objetivo de reducir o mitigar el mismo, en función de la medida que se adopte. Existen cuatro medidas diferentes para tratar el riesgo:

1. a) Mitigación del riesgo: Para reducir el nivel de riesgo, se deben establecer medidas de control que reduzcan los niveles de probabilidad y/o impacto asociados al riesgo inherente.

1. b) Aceptación del riesgo: Si el nivel de riesgo inherente es inferior al nivel de riesgo considerado como aceptable, no existe necesidad de implementar controles adicionales.

1. c) Transferencia del riesgo: Consiste en compartir un riesgo con una organización externa (se puede transferir el riesgo a una aseguradora que afronte las posibles consecuencias materiales, por ejemplo. Sin embargo, se ha de considerar que, en ocasiones, la transferencia de riesgos puede generar otros riesgos. Por ello, la transferencia puede generar la necesidad de análisis adicionales).

1. e) Evitación del riesgo: Si el riesgo es muy elevado y no se quiere asumir el mismo, se puede decidir abandonar la actividad de tratamiento.

Las medidas de control tienen como objetivo mitigar o minimizar el riesgo asociado a una operación de tratamiento. Es importante destacar que el objetivo principal de un análisis de riesgos no es eliminar completamente el riesgo asociado a las actividades de tratamiento, lo que se pretende es reducir el mismo hasta un nivel aceptable para poder llevar a cabo las mismas garantizando los derechos y libertades de los interesados.

Durante el proceso de definición de las medidas de control se han considerado de forma independiente cada riesgo identificado y establecido tantas medidas de control como se han considerado necesarias hasta lograr un nivel de riesgo aceptable.

Existen diversos tipos de medidas de control, por ejemplo:

• Organizativas: Medidas asociadas a procedimientos, a la organización y gobierno de la entidad. En esta tipología de medidas se pueden incluir los procedimientos para ejercer los derechos de los interesados, protocolos para gestionar vulnerabilidades e incidentes, etc.
• Legales: Medidas asociadas al cumplimiento normativo. Por ejemplo, cláusulas para recogida de consentimientos expresos, etc.
• Técnicas: Medidas que permiten velar por la seguridad física y lógica de los activos de información. Por ejemplo, controles de acceso, cifrado, etc.

¿Qué es el riesgo residual y cómo se calcula?

El riesgo residual es el riesgo de cada actividad una vez se hayan aplicado las medidas de control para mitigar y/o reducir su nivel de exposición. A diferencia del riesgo inherente, el riesgo residual contempla las medidas de control definidas sobre la actividad de tratamiento para valorar la probabilidad y/o el impacto asociado al riesgo.

Para evaluar el riesgo residual, se debe estimar de nuevo la probabilidad y el impacto considerando las medidas de control definidas, mediante la siguiente fórmula:

RIESGO RESIDUAL = PROBABILIDAD X IMPACTO

Se indican las medidas a aplicar por defecto para cada una de las amenazas y las medidas a revisar su aplicación por parte de Integrasoft Castilla Servicios Informáticos S.L en los documentos “Análisis de riesgos Jurídicos” y “Análisis de riesgos Técnicos”.

6.     POLÍTICAS INTERNAS

Disponéis en la plataforma del apartado “Políticas internas” que contiene los documentos donde se recogen los procedimientos que sigue la empresa en diferentes ámbitos, como, por ejemplo, la gestión en caso de que se produzca una brecha de seguridad o cómo actuar en caso de que un usuario ejerza sus derechos en relación con la protección de datos.

7.     CLÁUSULAS LEGALES

Para que Integrasoft Castilla Servicios Informáticos S.L pueda tratar datos personales es necesario que, de forma previa a la recopilación de los datos, se cumplan las siguientes condiciones:

1. En el momento en que se recaben los datos, el interesado debe ser informado sobre los siguientes aspectos:
   1. La identidad y los datos de contacto del responsable y, en su caso, de su representante.
   2. Los datos de contacto del delegado de protección de datos, en su caso.
   3. Los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento.
   4. Cuando el tratamiento se base en el artículo 6, apartado 1, letra f) del RGPD, los intereses legítimos del responsable o de un tercero.
   5. Los destinatarios o las categorías de destinatarios de los datos personales, en su caso.
   6. En su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión o, dado el caso, referencia a las garantías adecuadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado.
   7. El plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo.
   8. La existencia del derecho a solicitar al responsable el acceso a los datos personales relativos al interesado, su rectificación o supresión, la limitación de su tratamiento, la oposición al mismos, así como el derecho a la portabilidad de los datos.
   9. Cuando el tratamiento esté basado en el consentimiento del interesado, la existencia del derecho a retirar el consentimiento en cualquier momento.
   10. El derecho a presentar una reclamación ante una autoridad de control (Agencia Española de Protección de Datos).
   11. Si la comunicación de datos es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos.
   12. La existencia de decisiones automatizadas, incluida la elaboración de perfiles, así como información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.

Si el responsable trata posteriormente los datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier otra información adicional pertinente a tenor de lo indicado anteriormente.

Si los datos no se han obtenido directamente del afectado, éste debe ser informado de modo expreso, preciso e inequívoco, de lo indicado en los puntos anteriores, así como de la fuente de la que proceden los datos personales y, en su caso, si proceden de fuentes accesibles al público.

El responsable del tratamiento deberá facilitar dicha información:

• Dentro de un plazo sin dilaciones indebidas, una vez obtenidos los datos personales, y a más tardar dentro de un mes.
• Si los datos personales han de utilizarse para la comunicación con el interesado, en el momento de la primera comunicación con dicho interesado.
• Si está previsto comunicarlos a otro destinatario, a más tardar en el momento en que los datos personales sean comunicados por primera vez.

Igualmente, cuando el responsable trata posteriormente los datos personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier otra información adicional pertinente a tenor de lo indicado anteriormente.

No será necesario informar cuando los datos no se han obtenido directamente del interesado cuando:

• El interesado ya disponga de la información.
• La comunicación de dicha información resulte imposible o suponga u esfuerzo desproporcionado (en estos casos, el responsable adoptará medidas adecuadas para proteger los derechos, libertades e intereses legítimos del interesado).
• La obtención o la comunicación esté expresamente establecida por el Derecho de la Unión y que establezca medidas adecuadas para proteger los intereses legítimos del interesado.
• Cuando los datos personales deban seguir teniendo carácter confidencial sobre la base de una obligación de secreto profesional regulada por el Derecho de la Unión o de los Estados Miembros, incluida una obligación de secreto de naturaleza estatutaria.

2. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. El interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos.
4. El tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales.
5. El tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento.
6. El tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
7. El tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.
8. El tratamiento es necesario para la satisfacción de intereses legítimos del responsable del tratamiento o de un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.

Fuera de dichos casos, Integrasoft Castilla Servicios Informáticos S.L no podrá recabar o tratar datos personales de personas físicas.

En cualquier caso, Integrasoft Castilla Servicios Informáticos S.L debe conservar prueba suficiente que le permita acreditar que ha cumplido con el deber legal de informar y que dispone de una habilitación legal para el tratamiento de sus datos, conforme a lo indicado en el punto anterior. Teniendo en cuenta que la carga de la prueba del cumplimiento de los deberes de informar y disponer de una habilitación legal para el tratamiento de los datos corresponde a Integrasoft Castilla Servicios Informáticos S.L, no se recabarán o tratarán datos si no puede conservarse prueba del cumplimiento de dichas obligaciones.

No obstante, para cumplir con el deber de informar indicado en este punto en los formularios de recabo de datos utilizados por Integrasoft Castilla Servicios Informáticos S.L o documentos análogos se podrá utilizar un sistema de información por capas. Este enfoque de información por capas consistiría en lo siguiente:

1. Presentar una información básica en una primera capa, de forma resumida, en el mismo momento y en el mismo medio en que se recojan los datos.
2. Remitir a la información adicional en un segundo nivel, donde se presentará detalladamente el resto de información.

Con respecto a la primera capa, se recomienda que la información esté claramente identificada con un título tal como “Información básica sobre protección de datos”. En esta primera capa se incluirá una primera información sin entrar en el detalle de la misma. Al final de esta primera capa, se incluirá un apartado denominado “Información adicional”, en el que se informará sobre donde se encuentra el resto de información. Asimismo, en esta primera capa de información se deberá indicar que se recomienda leer la información sobre protección de datos antes de facilitar estos.

En el caso de formularios en papel, la información complementaria podrá incluirse en el propio reverso del formulario correspondiente. De tal manera que a pie de página de los documentos tendríamos una primera información básica y, en el reverso, el resto de información sobre el tratamiento de los datos de manera más detallada.

En los supuestos de formularios electrónicos, la información complementaria podrá incluirse en un link que al pinchar sobre él se despliegue la información adicional sobre protección de datos (segunda capa de información). De tal manera que a pie de página del formulario on-line tendríamos una primera información básica y mediante la inclusión de un link en el apartado de “información adicional” de la primera capa de información, se desplegaría el resto de información sobre el tratamiento de los datos de manera más detallada, y que remite a la Política de privacidad de la web.

Cumplimiento del deber de información y condiciones de licitud para los tratamientos del responsable

Modelos de cláusulas de información y consentimiento

Integrasoft Castilla Servicios Informáticos S.L deberá informar a todas aquellas personas que proporcionen datos personales, en el momento de facilitar sus datos personales, sobre el tratamiento de sus datos personales, conforme a lo indicado en el artículo 13 del RGPD.

Para cumplir con la obligación descrita en el párrafo anterior, Integrasoft Castilla Servicios Informáticos S.L incluirá la pertinente cláusula legal de información.

Videovigilancia

Este tratamiento implica el recabo y/o tratamiento de los datos captados por el sistema de Videovigilancia.

Obligaciones derivadas del uso de cámaras de videovigilancia

La existencia de cámaras de videovigilancia en Integrasoft Castilla Servicios Informáticos S.L para garantizar la seguridad en las mismas implica la necesidad de cumplir las siguientes obligaciones:

1. Integrasoft Castilla Servicios Informáticos S.L debe informar al público de la existencia del sistema de videovigilancia, adoptando las dos medidas siguientes:

• Colocar en cada acceso a la zona videovigilada, al menos, un cartel Informativo en un lugar suficientemente visible.
• Tener a disposición del público, en la zona videovigilada, los Impresos Informativos con la explicación detallada del tratamiento de la videovigilancia. Se recomienda que se coloque un número suficiente de dichos impresos en la entrada a las instalaciones de Integrasoft Castilla Servicios Informáticos S.L, de modo que, quien lo desee, pueda consultarlos. Como alternativa, la información adicional podrá incluirse en un código QR incorporado al cartel de videovigilancia referenciado en el punto anterior. Al escanear dicho código QR, se desplegará la información indicada.

1. Sólo podrán utilizarse cámaras cuando la vigilancia o control de accesos no pueda llevarse a cabo por otros medios menos intrusivos para la intimidad, siempre que estos otros medios no exijan esfuerzos desproporcionados.

Los monitores donde se visualicen las imágenes se ubicarán en un espacio de acceso restringido de forma que no sean accesibles a personas no autorizadas.

Si las cámaras van a ser utilizadas con fines de control laboral, según lo previsto en el artículo 20.3 del Estatuto de los Trabajadores, se informará por escrito al trabajador o a sus representantes acerca de ello, con indicación expresa de la finalidad de control laboral de las imágenes captadas. En estos casos, las cámaras se orientarán de forma que no capten imágenes de lugares destinados al descanso o esparcimiento de trabajadores, tales como vestuarios, aseos, comedores y análogos. La grabación de sonidos en el lugar de trabajo no está permitida.

1. Las imágenes serán suprimidas en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación. La petición de acceso a las imágenes por las Fuerzas y Cuerpos de Seguridad se realizará en el marco de actuaciones judiciales o policiales. En este caso, se conservará siempre el requerimiento recibido al efecto, que será el documento que ampare la comunicación de los datos.
2. Las cámaras de vigilancia deberán ser orientadas de modo que no se obtengan imágenes de la vía pública u otras áreas no privadas de Integrasoft Castilla Servicios Informáticos S.L. Tampoco podrán captarse imágenes de terrenos y viviendas colindantes o de cualquier otro espacio ajeno. Si se utilizan cámaras orientables o con zoom, será necesaria la instalación de máscaras de privacidad, para evitar captar imágenes de la vía pública, terrenos y viviendas de terceros. En caso de que se grabe la vía pública, deberá seguirse el procedimiento descrito en la Ley Orgánica 4/1997, de 4 de agosto, y su Reglamento de desarrollo 596/1999 de 16 abril De 1999.

Información para incluir al pie de los e-mails que se envíen o facturas

Para el cumplimiento del deber de informar en relación con los datos personales que se recaben a través de correo electrónico o que se incluyan en facturas, debe incluirse, en la firma, el texto correspondiente a pie de correo electrónico o factura.  

8.     TEXTOS WEB

Las páginas web quedan sometidas a las previsiones de la LSSI. Adicionalmente, si a través de ellas se recaban o tratan datos personales, les resultan aplicables el RGPD y la LOPDGDD.

Aviso Legal

La página web debe incluir determinada información relativa a su titular.

Para cumplir a esta obligación, debe incluirse en ella un enlace permanente, con la rúbrica “Aviso Legal”, haciendo clic en el cual se abrirá una ventana de navegación independiente en la que se incluirá el texto “Aviso Legal”.

Este enlace debe ser visible en todo momento y en todas las URL de la web, sin que resulte tapado por banners o similares.

Politica de prvacidad

Información general sobre protección de datos

Cuando se recaben datos personales a través de la web, se debe informar sobre las condiciones de su tratamiento.

Para ello, debe incluirse al pie de la web un enlace permanente con la rúbrica “Política de privacidad”, haciendo clic en el cual se abrirá una ventana de navegación independiente en la que se incluirá el texto que consta en la “Política de Privacidad”.

Este enlace debe ser visible en todas las URL de la web y en todo momento, sin que resulte tapado por banners o similares.

Información sobre protección de datos en formularios web

Al pie de cada uno de los formularios de recabo de datos existen en la página web se debe incluir información sobre el tratamiento de los datos personales, incluyendo los cuadros “Cláusulas primera capa”, dependiendo del tipo de formulario que se trate se deberá utilizar el que corresponda. En concreto, se incluyen los siguientes:

Debajo de dichos cuadros, se incluirá una casilla que confirme que se conoce la información sobre protección de datos, del modo que consta en la propia capa.

El sistema no permitirá el envío de los datos personales a través de la web sin que previamente el usuario haya marcado la casilla, que no podrá estar premarcada.

Deben guardarse, de forma segura, evidencias informáticas de todos los procesos de envío de datos personales, de modo que puedan servir como prueba en caso de reclamación.

Los usuarios cuyos datos sean utilizados para la remisión de comunicaciones comerciales de los productos y servicios ofrecidos por Integrasoft Castilla Servicios Informáticos S.L deberán ser informados y consentir el tratamiento de sus datos con esta finalidad.

En cualquier caso, Integrasoft Castilla Servicios Informáticos S.L deberá respetar las obligaciones y requisitos indicados en el documento denominado “PROTOCOLO PARA EL ENVÍO DE COMUNICACIONES COMERCIALES” en los envíos publicitarios que realice.

Uso de Cookies

Las cookies son archivos informáticos que las páginas web pueden colocar en los dispositivos que las visitan, para obtener pautas y datos que puedan ser utilizados para prestar servicios concretos, estudiar el comportamiento del internauta, el envío de publicidad, el desarrollo de mejoras o nuevos productos y servicios, etc.

Para que una página web pueda utilizar cookies, es necesario informar de ellas al usuario y, además, obtener su previo consentimiento inequívoco. Sólo quedan exceptuadas de este último deber las cookies técnicas, que son aquellas que tienen como finalidad:

• Permitir únicamente la comunicación entre el equipo del usuario y la red, o
• Estrictamente, prestar un servicio que haya sido solicitado por el usuario.

Aún en estos casos, para que quede excluida del deber de obtener el consentimiento, la cookie técnica ha de caducar o desaparecer cuando lo haga la finalidad que justificó su existencia.

Hay cookies que pueden tener dos o más finalidades diferentes, de modo que algunas de ellas estén exceptuadas del deber de obtener consentimiento y otras no. En tal caso, la cookie no debe utilizarse si no se autoriza expresamente, excepto que el sistema de gestión utilizado permita dar un tratamiento diferenciado a las distintas finalidades de estas cookies, de forma que sea posible que, si el usuario acepta una de sus finalidades y no otras, la cookie solo opere con la finalidad aceptada.

Por otra parte, debe valorarse específicamente si es necesaria la utilización de cookies persistentes, puesto que los riesgos para la privacidad podrían reducirse mediante la utilización de cookies de sesión. En todo caso, cuando se instalen cookies persistentes, debe reducirse al mínimo necesario su duración temporal, atendiendo a la finalidad de su uso.

Para recabar el consentimiento del usuario en el uso de cookies, al acceder a la página web, de modo bien visible, debe aparecer un banner con el contenido del cuadro “Banner para el uso de cookies”.

Esa información debe ser visible hasta que el usuario haga clic en una de las opciones que se le ofrecen: aceptar las cookies, rechazar las cookies o bien configurar las cookies que desee, eligiendo cuáles acepta y cuáles no. Las casillas destinadas a la elección de qué cookies se aceptan o no deberán aparecer desmarcadas.

Hasta que el usuario no haya manifestado su voluntad aceptando todas las cookies o parte de ellas, las cookies no podrán instalarse.

El usuario debe disponer de acceso al sitio web y sus funciones a pesar de haber rechazado todas las cookies, salvo las estrictamente necesarias que han sido mencionadas más arriba. El consentimiento otorgado, en su caso, debe ser revocable.

Deben guardarse, de forma segura, evidencias informáticas de todos los consentimientos otorgados al uso de cookies, de forma que puedan servir como prueba en caso de reclamación.

Se recomienda que la validez del consentimiento prestado por un usuario para el uso de una determinada cookie no tenga una duración superior a 24 meses y que durante este tiempo se conserve la selección realizada sobre sus preferencias, sin que se le solicite un nuevo consentimiento cada vez que visite la página en cuestión.

Se debe ofrecer al usuario, en todo caso, una fórmula para que pueda denegar o revocar el consentimiento prestado para el uso de cookies de forma fácil. A tal fin, una vez efectuada la selección de cookies por el usuario, conforme a lo previsto en los párrafos anteriores, aparecerá en la web, de modo permanente y visible, un botón con la rúbrica “OPCIONES DE COOKIES”, haciendo clic en el cual se accederá al cuadro de configuración de las cookies que figura en el apartado “Banner para el uso de cookies”.

Por último, al pie de la web debe aparecer un link independiente con la rúbrica “Política de Cookies”, haciendo clic en el cual se abrirá una ventana de navegación independiente, en la cual aparezca el texto “Política de cookies”.

Este link debe ser visible en todas las URL de la web y en todo momento, sin que resulte tapado por banners o similares.

9.      CONTRATOS ENCARGADOS DEL TRATAMIENTO

Prestaciones de servicios con acceso a datos personales

Cuando para la prestación de un servicio a Integrasoft Castilla Servicios Informáticos S.L es necesario que un tercero acceda a los datos de carácter personal contenidos en sus ficheros, la normativa vigente impone que dicha relación se regule mediante un contrato, con base en el artículo 28.3 RGPD, que debe ser un anexo al contrato de prestación de servicios firmado entre las partes.

La firma de este contrato debe ser solicitada por Integrasoft Castilla Servicios Informáticos S.L cada vez que contrate con un tercero una prestación de servicios que implique que éste acceda a los datos de carácter personal de los ficheros de aquél.

Integrasoft Castilla Servicios Informáticos S.L tiene la obligación de elegir únicamente encargados que ofrezcan garantías suficientes de que aplican medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos legales y garantice la protección de los derechos del interesado.

Además, es necesario efectuar un seguimiento periódico de dicho cumplimiento por los proveedores, por lo que, una vez al año, se les debe enviar un documento donde el Encargado del tratamiento declare que cumple con la normativa de protección de datos.

Integrasoft Castilla Servicios Informáticos S.L será responsables de velar por que dichos formularios sean remitidos a todos los proveedores con acceso a datos personales y sean devueltos por ellos. 

10. USUARIOS AUTORIZADOS

Todas las personas que presten sus servicios en Integrasoft Castilla Servicios Informáticos S.L están obligadas a guardar la más absoluta confidencialidad sobre los datos de carácter personal a los que accedan en el desempeño de sus funciones.

El deber de confidencialidad existe mientras el usuario se encuentre vinculado a Integrasoft Castilla Servicios Informáticos S.L y subsiste aún después, una vez finalizada su relación con ésta, indefinidamente.

Dicho compromiso será asumido por cada uno de los usuarios de modo expreso mediante la firma individualizada de los documentos dirigidos a ellos que se incluyen adjuntos a este documento.

Los usuarios de Integrasoft Castilla Servicios Informáticos S.L deben ser informados de las condiciones en las que son tratados sus datos personales.

Esta información debe ofrecerse por escrito, a través del documento indicado y que se les entregará para su firma. El impreso deberá ser firmado por los usuarios actuales de Integrasoft Castilla Servicios Informáticos S.L y también por los nuevos que se vayan incorporando a la entidad.

Para cumplir con la obligación recogida en el párrafo anterior, Integrasoft Castilla Servicios Informáticos S.L seguirá el siguiente procedimiento:

• Para usuarios de Integrasoft Castilla Servicios Informáticos S.L que tengan acceso a datos personales: En este supuesto, se deberá firmar con los usuarios correspondientes el documento de compromiso de confidencialidad correspondiente, y se le facilitará una copia del Manual de Uso de sistemas de información de la entidad, que incluye las medidas de seguridad que deben cumplir los usuarios con acceso a datos en el tratamiento de datos personales. No obstante, en ningún caso sustituye la obligación de leer y cumplir todo lo establecido en las Políticas de Seguridad de Integrasoft Castilla Servicios Informáticos S.L.
• Para usuarios de Integrasoft Castilla Servicios Informáticos S.L que, en la prestación de sus servicios, no tengan acceso a datos personales: En este supuesto, se deberá firmar con los usuarios correspondientes el documento de compromiso de confidencialidad correspondiente.

Integrasoft Castilla Servicios Informáticos S.L conservará el original firmado de estos documentos y, si el usuario lo solicita, se le entregará copia.

Se recomienda que Integrasoft Castilla Servicios Informáticos S.L incluya la cláusula informativa correspondiente como una cláusula adicional en los nuevos contratos que se firmen con los usuarios. De esta manera, a través de la firma del propio contrato, la entidad cumplirá la obligación descrita en este punto, evitando tener que firmar un documento independiente.

Tratamiento de categorías especiales de datos de trabajadores

A la hora de realizar la gestión de recursos humanos, Integrasoft Castilla Servicios Informáticos S.L puede necesitar tratar categorías especiales de datos de sus usuarios.

Por ejemplo, Integrasoft Castilla Servicios Informáticos S.L puede manejar información relativa a la salud cuando alguno de ellos se da de baja de su puesto de trabajo por motivos de salud (en cuyo caso los datos se tratan, por ejemplo, en los partes de baja, de confirmación de baja, partes de alta y las nóminas), cuando se tratan informes de no aptitud emitidos en cumplimiento de la legislación de prevención de riesgos laborales, etc.

Dichos datos se considerarán de riesgo bajo en la medida en que no revelen las concretas enfermedades o lesiones sufridas por el trabajador.

No obstante, lo anterior, se considerarán datos de riesgo alto y, por tanto, se deberán aplicar las medidas de seguridad correspondientes para estas tipologías de datos, en los siguientes casos concretos:

• Tratamiento de partes de baja por enfermedad o accidente en los que figure la concreta enfermedad o lesión sufrida por el usuario.
• Datos de salud relativos a la minusvalía sufrida por algunos usuarios.
• Tratamiento de datos de salud para solicitar las ayudas ofrecidas a través de las convocatorias de acción social.
• Datos de afiliación sindical para la deducción en la nómina del pago de la cuota sindical.