Guía de cumplimiento del RGPD

CUMPLIMIENTO NORMATIVO · RGPD

Cada derecho del interesado se respalda operativamente, no solo se plasma en una política.

Los datos biométricos y los documentos de identidad son datos personales de categoría especial según el artículo 9 del RGPD, la categoría de datos más estrictamente regulada en la legislación de la UE. Shufti procesa estos datos con una base legal documentada, los conserva solo durante el tiempo que usted configure y ofrece soporte operativo para todos los derechos que sus usuarios puedan ejercer como titulares de los datos. El Acuerdo de Procesamiento de Datos RGPD de Shufti está incluido en el contrato empresarial estándar, no es un complemento opcional.

Solicita una demo Contáctenos

¿Qué abarca el RGPD?

El RGPD se aplica a cualquier organización que procese datos personales de residentes de la UE. Distingue entre datos personales estándar y datos de categorías especiales, cada uno con obligaciones diferentes. Para los proveedores de verificación de identidad, esta distinción es fundamental.

Datos personales estándar

Nombre, dirección de correo electrónico, número de teléfono, dirección IP, regulados por los artículos 5 y 6 del RGPD. Requiere una base legal para el tratamiento, medidas de seguridad razonables y el respeto de los derechos del interesado. La mayoría de las plataformas SaaS operan bajo esta categoría.

Artículo 9 Datos de categoría especial

Los datos biométricos utilizados para identificar de forma unívoca a una persona, las imágenes faciales y los datos de documentos de identidad constituyen la categoría más estrictamente regulada por el RGPD. Requieren el consentimiento explícito o una obligación legal como base para el tratamiento, controles de seguridad más estrictos, la minimización obligatoria de datos, el pleno respeto de los derechos del interesado y un acuerdo de protección de datos documentado antes de que comience cualquier tratamiento.

POR QUE ES IMPORTANTE

Las autoridades de supervisión, el Garante italiano, la DPC irlandesa y la CNIL francesa, investigaron específicamente los procesos de incorporación digital en los que los proveedores de verificación conservaban datos biométricos innecesariamente, carecían de una base documental para el tratamiento de datos o no podían garantizar operativamente los derechos de los interesados. Posteriormente, se emprendieron acciones legales contra las empresas que contrataron con dichos proveedores.

Cuando un usuario ejerce su derecho de supresión

Tu equipo debe implementarlo operativamente, no solo reconocerlo. La API y la consola de administración de Shufti te permiten activar la eliminación de registros de verificación individuales y recibir una confirmación de eliminación como evidencia de auditoría.

Más de 1.2 millones de euros

Multas por incumplimiento del RGPD, 2023-2024, con especial atención a los datos biométricos en los procesos de incorporación. La responsabilidad recae en el responsable del tratamiento, es decir, en usted. El acuerdo de protección de datos (DPA) y los controles de eliminación de Shufti le permiten minimizar este riesgo.

Cómo Shufti mantiene la TI

El paquete de documentación de Shufti sobre el RGPD incluye: el Acuerdo de Procesamiento de Datos (DPA) conforme al artículo 28, el registro de subencargados del tratamiento (actualizado en un plazo de 30 días tras cualquier cambio), la política de retención y eliminación de datos, y la documentación técnica sobre cómo se gestionan operativamente los derechos de los interesados. Todo ello disponible previa solicitud antes de la firma del contrato.

Los datos de residentes en la UE se procesan en infraestructura de la UE. Los datos de residentes en el Reino Unido se procesan conforme al RGPD del Reino Unido. Para flujos de datos fuera de la UE, se dispone de implementaciones regionales en EE. UU. y la región Asia-Pacífico.

Detalles de la certificación

Base legal

Artículo 28 del RGPD (encargado del tratamiento); base procesal del artículo 9(2)(a) o 9(2)(b) configurada por el responsable del tratamiento.

Incluido de serie

Acuerdo de procesamiento de datos conforme al RGPD en todos los contratos empresariales, sin necesidad de negociación por separado.

Residencia de datos

Infraestructura de la UE para flujos dentro de la UE; opciones regionales disponibles para Reino Unido, EE. UU. y la región Asia-Pacífico.

Derechos del interesado

El borrado, el acceso y la portabilidad son compatibles a través de la API y la consola de administración, con confirmación mediante registro de auditoría.

Lo que obtienes

El acuerdo de procesamiento de datos (DPA), el registro de subprocesadores, la política de retención y la documentación sobre eliminación estarán disponibles antes de la firma del contrato.