Metodología

Acuerdo de Tratamiento de Datos (DPA)

Version: 1.0
Fecha: 2026-05-19

1. Objeto

El presente DPA regula el tratamiento de datos personales realizado por el Encargado por cuenta del Responsable en el marco de los servicios ACV/Ecometro.

2. Instrucciones documentadas

El Encargado tratara los datos unicamente conforme a instrucciones documentadas del Responsable, salvo obligacion legal aplicable.

3. Naturaleza y finalidad

• Naturaleza: recogida, registro, organizacion, consulta, conservacion, supresion y otras operaciones necesarias para prestar el servicio.
• Finalidad: ejecucion del servicio contratado, soporte y seguridad.

4. Tipos de datos y categorias de interesados

• Tipos: identificativos, contacto, credenciales funcionales, logs y datos de negocio cargados por el cliente.
• Interesados: usuarios del cliente, personal autorizado y, en su caso, terceros incorporados por el cliente.

5. Confidencialidad y personal autorizado

El Encargado garantiza que el personal autorizado:

• Tiene necesidad de acceso por funcion.
• Ha asumido compromisos de confidencialidad.
• Recibe formacion en proteccion de datos y seguridad.

6. Medidas de seguridad

El Encargado aplicara medidas tecnicas y organizativas apropiadas al riesgo.

Detalle de controles: 2. Medidas tecnicas y organizativas (TOMs)

7. Subencargados

El Responsable autoriza el uso de subencargados segun politica vigente, con obligacion contractual equivalente en proteccion de datos.

Detalle: 5. Subencargados y transferencias.

8. Transferencias internacionales

Si hay transferencias fuera del EEE, el Encargado aplicara garantias adecuadas (SCC u otros mecanismos validos) y medidas complementarias cuando proceda.

9. Asistencia al Responsable

El Encargado asistira razonablemente al Responsable para:

• Gestion de derechos de interesados.
• Evaluaciones de impacto cuando corresponda.
• Consultas o requerimientos de autoridad de control.
• Notificacion y gestion de brechas.

10. Brechas de seguridad

El Encargado notificara al Responsable sin dilacion indebida tras tener constancia de una brecha que afecte a datos personales, aportando la informacion necesaria para valorar riesgo y cumplimiento regulatorio.

Plazo operativo interno recomendado:24h.

11. Auditoria

El Responsable podra solicitar evidencias razonables de cumplimiento (informes, certificaciones o cuestionarios), respetando confidencialidad y seguridad de terceros.

12. Devolucion o supresion al finalizar

Finalizado el servicio, el Encargado suprimira o devolvera los datos segun instruccion del Responsable, salvo obligacion legal de conservacion.

13. Responsabilidad

Cada parte respondera conforme al contrato principal y normativa aplicable en materia de proteccion de datos.

Medidas Tecnicas y Organizativas (TOMs)

Version: 1.0
Fecha: 2026-05-19

1. Gobernanza y gestion del riesgo

• Politicas internas de seguridad y privacidad.
• Revision periodica de riesgos y plan de mitigacion.
• Inventario de activos y responsables.

2. Control de acceso

• Principio de minimo privilegio.
• Gestion de altas, bajas y cambios de permisos.
• Autenticacion robusta para accesos administrativos.
• Segregacion de entornos (desarrollo, pruebas, produccion).

3. Cifrado y proteccion de datos

• Cifrado en transito mediante TLS.
• Cifrado en reposo cuando aplica por criticidad.
• Gestion de secretos fuera del codigo fuente.
• Politica de rotacion de credenciales.

4. Seguridad de aplicaciones

• Control de versiones y trazabilidad de cambios.
• Revisiones de codigo y correccion de vulnerabilidades.
• Actualizacion regular de dependencias.
• Validacion de entradas y salida segura para reducir riesgos de injection/XSS.

5. Registro y monitorizacion

• Registro de eventos de seguridad y actividad relevante.
• Conservacion de logs segun politica de retencion.
• Correlacion de alertas y respuesta a incidentes.

6. Continuidad y resiliencia

• Copias de seguridad con pruebas de restauracion.
• Plan de respuesta a incidentes y recuperacion.
• Redundancia razonable en componentes criticos.

7. Gestion de terceros

• Diligencia debida de proveedores con acceso a datos.
• Contratos con clausulas de seguridad y privacidad.
• Control de subencargados y transferencias internacionales.

8. Formacion y concienciacion

• Formacion periodica para personal con acceso a sistemas y datos.
• Procedimientos para reporte interno de incidentes.

9. Revision y mejora continua

• Revisiones periodicas de eficacia de controles.
• Ajustes ante cambios regulatorios, tecnicos o de negocio.

Politica de Privacidad SaaS

Version: 1.0
Fecha de entrada en vigor: 2026-05-19

1. Responsable del tratamiento

• Responsable: Ecómetro Mediciones SL
• NIF/CIF: B88642046
• Domicilio: C/ Ferraz 56, 28008 Madrid
• Email de privacidad: hola@ecometro.es

2. Ambito de aplicacion

Esta politica aplica al tratamiento de datos personales realizado en la plataforma ACV/Ecometro y en los servicios asociados de soporte, operacion y seguridad.

3. Datos tratados

Se tratan, segun el uso del servicio:

• Datos identificativos y de contacto de usuarios.
• Datos de cuenta, autenticacion y autorizacion.
• Datos de uso, actividad y registros de auditoria.
• Datos de negocio aportados por clientes en la plataforma.

No se trataran categorias especiales de datos salvo acuerdo expreso y base legal habilitante.

4. Finalidades y base juridica

Finalidades principales:

• Prestacion del servicio y gestion de la relacion contractual.
• Seguridad de la informacion, prevencion de fraude y monitorizacion.
• Soporte tecnico y continuidad operativa.
• Cumplimiento de obligaciones legales.

Base juridica:

• Ejecucion de contrato.
• Interes legitimo en seguridad y mejora del servicio.
• Cumplimiento de obligaciones legales.
• Consentimiento, cuando resulte necesario.

5. Conservacion

Los datos se conservaran durante la vigencia del contrato y, una vez finalizado, durante los plazos legales aplicables o los necesarios para atender responsabilidades.

Para el detalle de plazos, consultar 4. Politica de retencion y borrado

6. Destinatarios y encargados

Los datos podran ser tratados por proveedores que actuen como encargados o subencargados bajo contrato, con instrucciones documentadas y medidas de seguridad adecuadas.

Ver politica de subencargados en 5. Subencargados y transferencias

7. Transferencias internacionales

Si se realizan transferencias fuera del EEE, se aplicaran garantias adecuadas conforme RGPD, incluyendo Clausulas Contractuales Tipo (SCC) u otros mecanismos validos.

8. Derechos de las personas interesadas

Las personas interesadas podran ejercer derechos de acceso, rectificacion, supresion, oposicion, limitacion y portabilidad, asi como retirar el consentimiento cuando aplique.

Canal de ejercicio: hola@ecometro.es

Tambien podran reclamar ante la autoridad de control competente.

9. Seguridad

Se aplican medidas tecnicas y organizativas proporcionales al riesgo, incluyendo control de acceso, cifrado en transito, registro de eventos, copias de seguridad y procedimientos de gestion de incidentes.

Ver detalle en 2. Medidas tecnicas y organizativas (TOMs) y 6. Gestion de incidentes de seguridad

10. Cambios de la politica

Esta politica podra actualizarse por cambios normativos, tecnicos u operativos. Se informara de cambios relevantes por los canales habituales de comunicacion con clientes.

Politica de Conservacion y Borrado de Datos

Version: 1.0
Fecha: 2026-05-19

1. Objetivo

Definir reglas de conservacion, bloqueo, supresion y devolucion de datos tratados en ACV/Ecometro, alineadas con minimizacion y limitacion del plazo de conservacion.

2. Principios

• Solo conservar datos necesarios para la finalidad.
• Definir plazos por categoria de dato.
• Aplicar supresion o anonimizacion al finalizar el plazo.
• Mantener trazabilidad de operaciones de borrado.

3. Plazos orientativos por categoria

• Datos de cuenta de usuario activo: durante la relacion contractual.
• Logs de seguridad y auditoria: 6 meses salvo investigacion abierta.
• Tickets de soporte: 12 meses desde cierre.
• Datos de facturacion/contables: segun plazo legal aplicable.
• Backups operativos: 30-90 dias, con rotacion automatica.

4. Fin de contrato

Al finalizar el contrato con cliente:

• Se abre un periodo de transicion de 30 dias para exportacion por el cliente.
• Tras ese periodo, se ejecuta supresion logica de datos en produccion.
• La eliminacion fisica queda sujeta al ciclo de sobrescritura de backups.

Si el cliente solicita devolucion estructurada de datos antes del borrado, se entregara en formato interoperable razonable.

5. Excepciones

Se podran conservar datos bloqueados cuando exista obligacion legal, requerimiento de autoridad o necesidad de defensa ante reclamaciones.

6. Procedimiento de borrado

• Solicitud registrada por canal oficial.
• Verificacion de identidad y legitimacion.
• Ejecucion por personal autorizado.
• Registro de fecha, alcance y operador.
• Confirmacion al solicitante cuando aplique.

7. Control y revision

La politica se revisa al menos anualmente o cuando existan cambios regulatorios, arquitectonicos o contractuales relevantes.

Politica de Subencargados y Transferencias Internacionales

Version: 1.0
Fecha: 2026-05-19

1. Objetivo

Definir criterios de seleccion, control y transparencia sobre subencargados que puedan acceder a datos personales, asi como el marco de transferencias internacionales.

2. Principios

• Necesidad y proporcionalidad en el acceso del proveedor.
• Evaluacion previa de seguridad y cumplimiento.
• Contratacion con obligaciones equivalentes a las del Encargado principal.
• Transparencia frente a clientes sobre cambios relevantes.

3. Diligencia debida minima

Antes de contratar un subencargado se evaluan, al menos:

• Medidas de seguridad tecnicas y organizativas.
• Historial de incidentes relevantes conocidos.
• Ubicacion de tratamiento y transferencias.
• Garantias contractuales de privacidad y confidencialidad.

4. Requisitos contractuales

Cada subencargado debe asumir por contrato:

• Tratamiento conforme a instrucciones.
• Confidencialidad del personal autorizado.
• Medidas de seguridad adecuadas al riesgo.
• Asistencia en derechos de interesados e incidentes.
• Supresion o devolucion de datos al finalizar.

5. Transferencias internacionales

Cuando un subencargado trate datos fuera del EEE:

• Se aplicaran SCC u otro mecanismo valido conforme normativa.
• Se evaluaran medidas complementarias cuando exista riesgo adicional.
• Se documentara base y alcance de cada transferencia.

6. Listado de subencargados

No existen en este momento

7. Cambios y notificaciones

Se notificaran cambios sustanciales en la cadena de subencargados por canal contractual o de cliente, con antelacion razonable cuando sea posible.

8. Derecho de oposicion del cliente

Cuando contractualmente proceda, el cliente podra formular oposicion razonada a nuevos subencargados por motivos de cumplimiento o seguridad.

Procedimiento de Gestion de Incidentes de Seguridad

Version: 1.0
Fecha: 2026-05-19

1. Objetivo

Establecer el proceso para detectar, clasificar, contener, erradicar y recuperar incidentes de seguridad, incluyendo brechas de datos personales.

2. Alcance

Aplica a infraestructura, aplicaciones, identidades, datos y proveedores que soportan ACV/Ecometro.

3. Roles

• Responsable de Seguridad: coordinacion global del incidente.
• Equipo Tecnico: analisis tecnico, contencion y recuperacion.
• Responsable Legal/Privacidad: evaluacion RGPD y comunicaciones regulatorias.
• Direccion: decisiones de impacto alto y comunicacion externa.

4. Clasificacion de severidad

• Critica: impacto severo en confidencialidad, integridad o disponibilidad; servicio esencial afectado.
• Alta: impacto relevante o compromiso parcial confirmado.
• Media: incidente contenido con impacto limitado.
• Baja: evento sin impacto significativo.

5. Flujo operativo

1. Deteccion y registro

• Registro inmediato en el sistema interno de incidencias.
• Asignacion de identificador unico.

2. Triaje inicial

• Confirmar si es incidente real.
• Clasificar severidad y alcance.

3. Contencion

• Aislar sistemas o credenciales afectadas.
• Aplicar reglas de bloqueo temporales.

4. Erradicacion

• Eliminar causa raiz (malware, configuracion insegura, vulnerabilidad explotada).
• Aplicar parches y endurecimiento.

5. Recuperacion

• Restablecer servicios en entorno controlado.
• Monitorizar posibles recaidas.

6. Cierre y lecciones aprendidas

• Post-mortem con acciones correctivas.
• Actualizacion de controles preventivos.

6. Brechas de datos personales

Cuando el incidente implique datos personales:

• Se realiza evaluacion de riesgo para derechos y libertades.
• Si procede, se notificara a autoridad competente en un maximo de 72 horas desde constancia.
• Si procede, se comunicara a personas afectadas sin dilacion indebida.
• Se documentara decision de notificar o no notificar y su justificacion.

7. Evidencias y trazabilidad

Se preservaran logs, snapshots y pruebas relevantes con cadena de custodia razonable para auditoria y analisis forense.

8. Simulacros y revision

• Simulacro de incidente al menos anual.
• Revision del procedimiento tras incidentes relevantes.
• Seguimiento de acciones de mejora con responsables y fechas.

9. Contacto de seguridad

Canal de reporte:hola@ecometro.es

Terminos de Servicio y Seguridad

Version: 1.0
Fecha: 2026-05-19

1. Objeto del servicio

Ecometro S.L. presta la solucion ACV/Ecometro en modalidad SaaS, segun alcance y condiciones del contrato principal.

2. Responsabilidades del proveedor

• Operar el servicio con medidas de seguridad razonables y proporcionales al riesgo.
• Mantener controles de acceso, registro y monitorizacion.
• Gestionar incidentes de seguridad conforme procedimiento interno.
• Notificar brechas de datos personales al cliente sin dilacion indebida cuando aplique.

3. Responsabilidades del cliente

• Gestionar adecuadamente cuentas y permisos de sus usuarios.
• Custodiar credenciales y aplicar buenas practicas de seguridad.
• Cargar datos de forma licita y con base juridica adecuada.
• Notificar incidencias detectadas sin demora injustificada.

4. Uso aceptable

Queda prohibido:

• Uso del servicio para actividades ilicitas o no autorizadas.
• Intentos de acceso no autorizado, escalado de privilegios o alteracion de integridad.
• Carga de contenido malicioso o que vulnere derechos de terceros.

5. Disponibilidad y continuidad

El proveedor aplicara medidas de continuidad y recuperacion razonables. Los objetivos de servicio (SLA) se fijaran en el contrato principal o anexo tecnico aplicable.

6. Proteccion de datos

El tratamiento de datos personales se rige por el DPA y la politica de privacidad vigentes.

7. Limitacion de responsabilidad

Salvo dolo o negligencia grave, la responsabilidad se limitara en los terminos pactados contractualmente y conforme derecho aplicable.

8. Cambios y actualizaciones

El proveedor podra actualizar el servicio por motivos de seguridad, cumplimiento o mejora operativa, informando al cliente cuando el cambio sea material.