El presente documento tiene por finalidad describir de forma detallada el conjunto de medidas técnicas y organizativas implementadas por PROMOCIONES E INICIATIVAS DE ELCHE, SA (PIMESA) para garantizar un adecuado control de accesos a los datos personales tratados en el ejercicio de su actividad. Estas medidas están orientadas a asegurar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento, en cumplimiento del principio de responsabilidad proactiva previsto en el Reglamento (UE) 2016/679 (RGPD) y en la Ley Orgánica 3/2018 (LOPDGDD).

El control de accesos constituye un elemento esencial dentro del sistema de seguridad de la información, ya que permite limitar el tratamiento de datos exclusivamente a aquellas personas autorizadas, evitando accesos indebidos, alteraciones no autorizadas, pérdidas accidentales o divulgaciones ilícitas. PIMESA adopta un enfoque basado en el análisis de riesgos, evaluando la naturaleza de los datos tratados, el volumen de información, las categorías de interesados y las posibles consecuencias derivadas de un acceso no autorizado.

PIMESA dispone de una política interna formalmente aprobada en la que se establecen los criterios generales de acceso a los sistemas de información. Dicha política determina que el acceso a datos personales solo podrá concederse cuando resulte estrictamente necesario para el desempeño de funciones profesionales concretas, aplicando el principio de minimización y el criterio de necesidad de conocer.

El alta de personas usuarias en los sistemas que contienen datos personales se realiza mediante un procedimiento formal que exige solicitud expresa del responsable de área correspondiente. Cuando se producen modificaciones en las funciones del personal, los permisos son adaptados de forma inmediata. En caso de baja laboral o finalización de contrato, la revocación de los accesos se efectúa de manera inmediata.

Todo el personal con acceso a datos personales suscribe un compromiso expreso de confidencialidad que permanece vigente incluso tras la finalización de la relación contractual. Asimismo, PIMESA proporciona formación periódica en materia de protección de datos y seguridad de la información.

PIMESA dispone de un procedimiento documentado para la gestión de incidentes relacionados con accesos no autorizados, contemplando la detección, análisis, contención y documentación del incidente, así como la adopción de medidas correctoras.

Todos los sistemas que contienen datos personales requieren identificación individual previa. Cada usuario dispone de credenciales únicas e intransferibles. La autenticación se basa en contraseñas robustas que deben cumplir requisitos mínimos de complejidad.

 
Cuando la naturaleza de los datos o el nivel de riesgo lo aconsejan, se implementan mecanismos de autenticación multifactor. Los sistemas incorporan mecanismos de bloqueo automático tras intentos fallidos y establecen tiempos de expiración de sesión por inactividad.

Los accesos se configuran mediante un modelo basado en roles, de forma que cada perfil profesional tiene asignados únicamente los permisos imprescindibles para el desempeño de sus tareas. Las cuentas con privilegios elevados son objeto de especial control.

Los sistemas registran de manera automática los accesos realizados, incluyendo identificación del usuario, fecha, hora y tipo de operación efectuada. Estos registros se conservan durante el plazo necesario para permitir la trazabilidad.

PIMESA garantiza que los equipos y servidores que alojan datos personales se encuentran ubicados en instalaciones con acceso restringido. El acceso a estas dependencias está limitado a personal autorizado.

En el caso de documentación en soporte papel, los archivos se almacenan en armarios cerrados o salas de acceso limitado. Las visitas externas son registradas cuando acceden a zonas donde pueda existir información personal.

Trataremos sus datos, siempre y cuando sean necesarios para la finalidad para los que fueron recogidos y, una vez finalizada la relación que legitima el tratamiento de sus datos, éstos se almacenarán bloqueados con el único objetivo de realizar la formulación y defensa de reclamaciones y la oportuna cesión a requerimiento de las autoridades, únicamente durante el tiempo establecido legalmente.

Asimismo, una vez finalizada la relación contractual, trataremos sus datos personales para el envío de comunicaciones comerciales, siempre que dispongamos del consentimiento expreso para ello.

Cuando el acceso a datos personales se realiza de forma remota, PIMESA exige el uso de redes privadas virtuales (VPN) y dispositivos previamente autorizados. Se establece la obligación de bloquear la pantalla cuando el equipo quede desatendido.

PIMESA bloquea los datos personales cuando ya no son necesarios para los fines del tratamiento para los que fueron recogidos o cuando la persona interesada ha ejercido el derecho de supresión o borrado, entendiendo como bloqueo la identificación y reserva de dichos datos, adoptando las medidas técnicas y organizativas necesaria para impedir su tratamiento, excepto para la puesta a disposición de jueces, tribunales, Ministerio Fiscal o Administraciones Públicas.

Finalizados los tiempos de bloqueo establecidos en la normativa que resulte de aplicación en función a la finalidad por la que fueron recogidos, PIMESA procede al borrado o anonimización de los datos personales.

Las medidas descritas son objeto de revisión periódica para garantizar su adecuación al estado de la técnica y a la evolución de los riesgos. PIMESA realiza auditorías internas o externas cuando la naturaleza de los tratamientos lo requiere, documentando los resultados y adoptando planes de acción correctores.