Aspectos generales BANCO CENTRAL DE RESERVA DE EL SALVADOR, (en lo sucesivo, BCR) ha definido el presente documento como la Política de Privacidad en complemento a sus Declaraciones de Practicas de Certificación, con el fin de dar cumplimiento a las previsiones respecto de la Protección de Datos Personales previstas en las normas: Decreto 534 de Ley de Acceso a la Información Pública, Decreto 133 de Ley de Firma Electrónica, así como el Decreto 60, Reglamento de la Ley de Firma Electrónica. Esta Política de privacidad se ha realizado teniendo en cuenta que para la gestión de datos personales se utiliza la infraestructura de clave pública (PKI) de Uanataca, S.A. El BCR y “Uanataca, S.A.” han suscrito un contrato de prestación de servicios de tecnología en el que Uanataca, S.A., proveerá la infraestructura de clave pública (PKI) que sustenta el servicio de certificación del BCR. La PKI de Uanataca, S.A., garantiza el cumplimiento de los requisitos exigidos por la normativa y se somete a auditorías anuales para la evaluación de la conformidad de prestadores de servicios de certificación de acuerdo con la normativa aplicable, bajo los estándares: ETSI EN 319 401, ETSI EN 319 411-2 y ETSI EN 319 421. Asimismo, la PKI de Uanataca, S.A., se somete a auditorías anuales bajo los estándares de seguridad: ISO 9001:2015 y ISO/IEC 27001:2017.
Alcance El alcance de la presente política de privacidad comprende la prestación de los servicios de certificación, siendo de aplicación sobre el personal externo e interno del BCR, independientemente del título, modo o relación que les una. Además de lo anterior, el sometimiento a la presente política de privacidad es de carácter obligatorio para todas las partes, debiendo manifestar la aceptación y aprobación de este de la forma que se considere oportuna por parte del BCR.
Prestación de Servicios de CertificaciónEn el presente apartado se desarrollan aquellos aspectos referentes al tratamiento de los datos personales de los servicios de certificación, véase emisión de certificados y sellado de tiempo, prestados por parte del BCR.
Responsable del tratamientoBCR actúa como responsable del tratamiento de datos personales, respecto de la prestación de los servicios de certificación. BANCO CENTRAL DE RESERVA DE EL SALVADORAlameda Juan Pablo II, entre 15 y 17 avenida norte, Apartado Postal (106), San Salvador, El Salvador Correo electrónico: psc.bcr@bcr.gob.sv Teléfono: +503 2281-8000 Página web: www.bcr.gob.sv
Datos tratados BCR por sí mismo, recaba datos personales de los firmantes, del siguiente tipo:
Datos de identificación personal, incluyendo una copia de documentos de identidad.
Datos de la persona jurídica, incluyendo copia de los documentos que acrediten la existencia y vigencia de la persona jurídica.
Datos del Representante Legal y el tipo de facultades que ostenta, incluyendo copia de documento que garantice dichas facultades.
Contrato de solicitud de servicios. De acuerdo con la Declaración de Práctica de Certificación del BCR, la información siguiente es considerada como confidencial:
Solicitudes de certificados, aprobadas o denegadas, así como toda otra información personal obtenida para la expedición y mantenimiento de certificados, excepto las informaciones indicadas en la sección siguiente.
Claves privadas generadas y/o almacenadas por el prestador de servicios de certificación.
Registros de transacciones, incluyendo los registros completos y los registros de auditoría de las transacciones.
Registros de auditoría interna y externa, creados y/o mantenidos por la Entidad de Certificación y sus auditores.
Planes de continuidad de negocio y de emergencia.
Política y planes de seguridad.
Documentación de operaciones, archivo, monitorización y otros análogos.
Toda otra información identificada como “Confidencial”. De acuerdo con la Declaración de Prácticas de Certificación del BCR, la información siguiente es considerada como no confidencial:
Los certificados emitidos o en trámite de emisión.
La vinculación del suscriptor a un certificado emitido por la Entidad de Certificación.
El nombre y los apellidos de la persona física identificada en el certificado, así como cualquiera otra circunstancia o dato personal del titular, en el supuesto de que sea significativa en función de la finalidad del certificado.
La dirección de correo electrónico de la persona física identificada en el certificado, o la dirección de correo electrónico asignada por el suscriptor, en el supuesto de que sea significativa en función de la finalidad del certificado.
Los usos y límites económicos reseñados en el certificado.
El periodo de validez del certificado, así como la fecha de emisión del certificado y la fecha de caducidad.
El número de serie del certificado.
Los diferentes estados o situaciones del certificado y la fecha del inicio de cada uno de ellos, en concreto: pendiente de generación y/o entrega, válido, revocado, suspendido o caducado y el motivo que provocó el cambio de estado.
Las listas de revocación de certificados (LRCs), así como las restantes informaciones de estado de revocación.
La información contenida en los depósitos de certificados.
Cualquier otra información que no esté indicada en la sección anterior.
Conservación Los datos personales se conservarán mientras sean necesarios para dar respuesta a las consultas y solicitudes, hasta la finalización de la relación contractual y posteriormente, durante los plazos legalmente exigidos acorde a cada caso. Como norma general, el plazo de conservación de datos respecto de la Prestación de Servicios de Certificación será de 15 años desde la revocación del certificado o finalización del servicio.
Finalidad del tratamiento Los datos personales recabados únicamente se utilizan en estricto cumplimiento de las siguientes finalidades:
Prestación de Servicios Electrónicos de Certificación. Los datos son recabados mediante el contrato oportuno y son tratados con la finalidad de llevar a cabo los servicios electrónicos solicitados y contratados por los usuarios, todo ello en base a lo establecido en la Declaración de Prácticas de Certificación del BCR que se puede encontrar en esta página web.
Atender las consultas y solicitudes de información. Los datos se recaban mediante los datos de contacto facilitados por BCR y/o el formulario de disponible en el apartado “Contacto”, siendo utilizados exclusivamente para gestionar las consultas y solicitudes recibidas.
Atender consultas técnicas. Los datos se recaban mediante los datos de contacto facilitados por y serán utilizados exclusivamente para gestionar las consultas y solicitudes recibidas sobre cuestiones técnicas.
Legitimación del tratamiento De acuerdo con las finalidades de tratamiento indicadas, la base legal para el tratamiento de los datos personales de los usuarios es:
La legitimación del tratamiento para la Prestación de Servicios Electrónicos de Certificación es la ejecución del contrato de los servicios solicitados, donde el usuario es parte del mismo.
La legitimación del tratamiento para: atender las consultas y solicitudes, así como consultas técnicas, se basa en el consentimiento del interesado. Dicho consentimiento se presta expresa e inequívocamente, mediante acción positiva y previa al envío. Ya sea mediante la acción positiva de enviar una comunicación o bien al aceptar las condiciones y la política de privacidad o haciendo “click” en la casilla que aparece en el formulario correspondiente y previo al tratamiento de sus datos.
Transferencia de datos Como norma general los datos personales no se cederán a terceros salvo obligación legal o en el caso de la ejecución del contrato de los servicios solicitados. Cuando se trate de la ejecución del contrato de los servicios solicitados en el que el usuario de los servicios de certificación forma parte del mismo, los datos serán custodiados por BCR. Para la ejecución de los servicios contratados de la prestación de servicios de certificación los datos serán usados por a:
BANCO CENTRAL DE RESERVA DE EL SALVADOR, con fines administrativos, de gestión y de atención al cliente.
BANCO CENTRAL DE RESERVA DE EL SALVADOR, custodia los datos personales relativos a la prestación de servicios de certificación mediante la infraestructura de clave pública de UANATACA.
Medidas de seguridad
Seguridad de la información Se establecen las medidas de seguridad necesarias para garantizar la protección de los datos de carácter personales. Para ello se ha elaborado una Política de Seguridad (PSI) por la que se regula la seguridad de las instalaciones o centro de tratamiento de datos, los servidores o entornos automatizados, así como el archivo de documentación o tratamiento de documentación no automatizada.
Organización de la seguridad El personal encargado del tratamiento de datos sólo accederá a aquellos datos y recursos que precise para el desarrollo de sus funciones. Para ello se ha definido una Política de Recursos Humanos donde se establecen los controles del personal, así como la descripción de los puestos de trabajo. Se garantiza la segregación de funciones y el establecimiento de los mínimos privilegios, asegurando el control y vigilancia. Sin perjuicio de lo anterior, el personal interno y externo encargado del tratamiento de datos y en general aquel que, derivado de sus funciones, intervenga en cualquier fase del tratamiento de los datos de carácter personal quedan obligados a mantener confidencialidad sobre los datos personales que tengan acceso con motivo de su actividad. Los mismos tendrán el deber de custodiarlos de forma adecuada de tal manera que se garantice su confidencialidad, integridad y disponibilidad. Las presentes obligaciones de confidencialidad subsistirán incluso una vez hayan finalizado, por el motivo que sea, su relación con el BCR.
Procedimientos de seguridad Se dispone de un sistema de copias de respaldo y de recuperación de los datos de los ficheros, así como de un Plan de Continuidad de Negocio a través del cual se regula la gestión de copias de seguridad, así como el plan de recuperación de datos. Asimismo, a través de un Procedimiento de gestión de incidencias, se recogen todos los procedimientos de notificación, gestión y respuesta ante las incidencias que resulten de la prestación de servicios electrónicos de certificación. Sin perjuicio de lo anterior, se dispone de un Protocolo de actuación, previsto en el documento de gestión de incidencias, para el caso de brechas de seguridad o pérdida de integridad de sus sistemas que impliquen una afectación a la prestación de servicios de certificación y a los datos personales que se deriven de éstos.
Derechos de los usuarios
Derechos ARCO Los usuarios que lo soliciten podrán ejercer los siguientes derechos:
Acceso y rectificación. Los usuarios tienen derecho a acceder a todos sus datos personales, así como solicitar la rectificación de aquellos que sean inexactos o erróneos.
Confirmación. Todos los usuarios tienen derecho a obtener confirmación sobre si el BCR está tratando datos personales que les conciernan.
Cancelación. Lo usuarios podrán solicitar la cancelación de los datos cuando, entre otros motivos, éstos no sean necesarios para los fines para los que fueron recogidos.
Oposición. En determinadas circunstancias y por motivos relacionados con su situación particular, el usuario podrá oponerse al tratamiento de datos, estando el BCR obligado a dejar de tratarlos, salvo por motivos legítimos imperiosos, o el ejercicio o la defensa de posibles reclamaciones.
Procedimiento de gestión de peticiones de derechos ARCO
Inicio del procedimientoCualquier usuario que desee ejercer sus derechos deberá notificarlo al BCR por una de las siguientes vías:Correo electrónico: psc.bcr@bcr.gob.sv Dirección postal: Alameda Juan Pablo II, entre 15 y 17 avenida norte, Apartado Postal (106), San Salvador, El Salvador En dicha petición, deberán adjuntar copia de su documento de identidad e indicar claramente cuál es el derecho que se desea ejercer.
Recepción Recibida una petición, el BCR le dará el trámite oportuno, entregando la misma al Responsable que corresponda en función del área que se vea afectada o del derecho que se desee ejercer.
Tratamiento
Las solicitudes de ejercicio de los derechos de los usuarios del BCR se responderán dentro del plazo de diez (10) días hábiles contados desde el día siguiente de su recepción.
En este sentido, se responderán las consultas para la realización del ejercicio de los derechos de los usuarios por orden de recepción en las oportunas vías de comunicación designadas a dicho efecto.
