Política de privacidad de DTS
Ámbito: plataforma DTS, accesible desde nallam.org, para usuarios profesionales y empresas.
1. Responsable del tratamiento
NALLAM IBÉRICA, S.L. (NIF B13605712), Ctra. Argamasilla, esquina con C/ Pintor Ribera, 198, Tomelloso (Ciudad Real), España. Correo de contacto: info@nallam.org.
Esta política describe el tratamiento de datos personales relacionado con la plataforma DTS. Cuando una empresa utiliza DTS para gestionar sus propios contactos o incorpora datos personales de terceros bajo sus propias instrucciones, deberá analizarse si actúa como responsable independiente y si NALLAM interviene como encargado para alguna operación concreta.
2. Qué datos tratamos
Datos de cuenta: nombre, apellidos, correo profesional, credenciales protegidas, empresa asociada, función y preferencias de comunicación.
Datos empresariales y de representación: razón social, NIF/CIF empresarial, dominio, actividad, sector, ubicación, datos de contacto profesional y acreditaciones de representación.
Datos de evaluación y proveedores: respuestas de ciberseguridad, estado de evaluación, puntuación, relaciones cliente-proveedor, origen de invitaciones, historial de cambios y datos de contacto profesionales que sean necesarios para gestionar la relación.
Datos de verificación: documentos y metadatos de evidencias, fechas, estados de validación, aclaraciones, observaciones y trazabilidad de las actuaciones. Los usuarios deben evitar incorporar datos personales excesivos o categorías especiales que no resulten imprescindibles.
Datos técnicos y transaccionales: dirección IP, registros de acceso, identificadores de sesión, medidas de seguridad, incidencias, suscripciones, facturación y confirmaciones de pago. Los datos completos de tarjeta deben ser gestionados por la pasarela bancaria, no almacenados por DTS.
3. Para qué los utilizamos y base jurídica
Crear y administrar cuentas, autenticar usuarios, asociar representantes a empresas, prestar funciones de evaluación y proveedores, tramitar DTS Verified, mantener las suscripciones y atender consultas: ejecución del contrato o aplicación de medidas precontractuales, cuando corresponda (art. 6.1.b RGPD).
Emitir facturas, conservar documentación obligatoria y atender requerimientos legales: cumplimiento de obligaciones legales (art. 6.1.c RGPD).
Proteger el servicio, prevenir accesos indebidos, asegurar la integridad de perfiles, mantener trazabilidad, prevenir fraude y defender reclamaciones: interés legítimo de NALLAM o de terceros, previa ponderación cuando sea exigible (art. 6.1.f RGPD).
Mostrar información empresarial pertinente en perfiles públicos y permitir que empresas conozcan información de ciberseguridad de proveedores: interés legítimo de transparencia y gestión del riesgo empresarial, sujeto a minimización, exactitud, información a los interesados y derecho de oposición cuando proceda. No se publicarán datos personales innecesarios ni evidencias reservadas.
Enviar comunicaciones comerciales no necesarias para el servicio: consentimiento cuando sea exigible, o la base legal específica que resulte aplicable para comunicaciones sobre servicios similares a clientes existentes, con posibilidad de oposición en cada comunicación.
Cookies o tecnologías no esenciales: consentimiento previo cuando sea necesario, conforme a la política de cookies específica.
4. Perfiles de empresas no reclamados y datos obtenidos de terceros
DTS puede incorporar perfiles de personas jurídicas o información profesional procedente de fuentes lícitas. Los datos de personas físicas vinculadas a esas empresas solo se tratarán si son adecuados, pertinentes y necesarios.
Cuando se obtengan datos personales sin intervención directa del interesado, NALLAM facilitará la información exigida por el artículo 14 RGPD en los plazos y supuestos legalmente aplicables, salvo excepción válida y documentada. Se habilitarán mecanismos de rectificación, reclamación de perfil y oposición cuando proceda.
5. Visibilidad de clientes y proveedores
Si una empresa añade a un proveedor existente desde el buscador, la relación se configura como confidencial frente al proveedor: este solo podrá ver «Cliente confidencial», sin nombre, dominio, NIF, dirección, contactos u otros elementos que permitan identificar a la empresa cliente.
Si el proveedor se incorpora a través del enlace de invitación de una empresa, el proveedor podrá conocer la identidad de la empresa que lo invitó. Los datos visibles en los perfiles públicos se limitarán a los necesarios para la finalidad informativa del servicio.
Estas reglas de visibilidad empresarial no sustituyen las obligaciones de protección de datos personales que correspondan cuando una relación incluya información de personas físicas.
6. Destinatarios y proveedores tecnológicos
Podrán acceder a los datos, según necesidad y con medidas de seguridad, personal autorizado de NALLAM, proveedores de alojamiento, mantenimiento, mensajería transaccional, soporte, seguridad, facturación y pasarela bancaria. Los proveedores que actúen como encargados estarán sujetos a los contratos exigidos por el artículo 28 RGPD.
Cuando el usuario acepta la finalidad de analítica, DTS carga Google Analytics, prestado por Google, para medir el uso del sitio. Esta herramienta no se carga si el usuario rechaza o no ha elegido la analítica.
Podrán comunicarse datos a administraciones, órganos judiciales y autoridades cuando exista obligación legal. Las empresas que consulten perfiles públicos recibirán únicamente los datos que sean efectivamente públicos. No se venderán bases de datos personales.
7. Transferencias internacionales
Si se utilizan proveedores ubicados fuera del Espacio Económico Europeo o que accedan a datos desde terceros países, NALLAM verificará la existencia de una decisión de adecuación o de garantías apropiadas (por ejemplo, cláusulas contractuales tipo), junto con las medidas adicionales que resulten necesarias. La relación concreta de proveedores y países deberá verificarse antes de publicar esta política.
8. Plazos de conservación
Los datos de cuenta se conservarán mientras exista relación activa y, después, durante los plazos necesarios para atender obligaciones legales y posibles responsabilidades.
Los registros de seguridad, evidencias, historiales de verificación y documentación contractual se conservarán durante períodos proporcionados a su finalidad, a la vigencia del servicio y a los plazos legales aplicables. No se establece en este borrador un plazo numérico uniforme porque debe validarse con la operativa real y el calendario de conservación de NALLAM.
Los datos utilizados exclusivamente para comunicaciones comerciales basadas en consentimiento se tratarán hasta su retirada, sin perjuicio de conservar una prueba mínima de oposición para evitar nuevos envíos.
9. Derechos de las personas
Las personas interesadas pueden solicitar acceso, rectificación, supresión, oposición, limitación y portabilidad cuando sean aplicables, así como retirar el consentimiento sin afectar a tratamientos anteriores. También pueden oponerse al tratamiento basado en interés legítimo en las condiciones legales.
Para ejercer derechos: info@nallam.org, indicando la solicitud y la información imprescindible para acreditar la identidad cuando existan dudas razonables. También se puede reclamar ante la Agencia Española de Protección de Datos (AEPD).
10. Decisiones automatizadas y puntuación DTS
El motor DTS calcula automáticamente una puntuación de ciberseguridad empresarial. Su finalidad es describir una situación de una organización, no evaluar a personas físicas. NALLAM no debe utilizar esta puntuación para adoptar decisiones exclusivamente automatizadas sobre personas físicas que produzcan efectos jurídicos o significativamente similares sin establecer las garantías legalmente exigidas.
La revisión humana de evidencias DTS Verified se limita a la autenticidad, suficiencia y vigencia documental; el motor aplica automáticamente los efectos previstos en el sistema.
11. Seguridad y confidencialidad
NALLAM aplicará medidas técnicas y organizativas proporcionadas al riesgo, incluyendo control de accesos por perfiles, registros de auditoría, medidas de autenticación, protección de comunicaciones y restricción de acceso a evidencias.
Los documentos aportados para DTS Verified no se publicarán ordinariamente ni se pondrán a disposición de clientes o proveedores como documentos completos. Se publicarán únicamente los estados o resultados permitidos por el diseño del servicio.
12. Menores, modificaciones y contacto
DTS se dirige a usuarios profesionales y no está diseñado para menores de edad. La política podrá actualizarse cuando cambien los tratamientos, proveedores o requisitos legales, indicando la fecha de versión.
Consultas sobre privacidad: info@nallam.org. Antes de publicación deberá confirmarse si existe delegado de protección de datos designado y, en su caso, incorporar su canal de contacto.