Protección de datos personales

En Despapeliza, proteger los datos personales no es solo una obligación legal: es un principio fundacional en la forma en que diseñamos, desarrollamos y operamos nuestros servicios. Como plataforma que gestiona documentos digitales sensibles y firmas electrónicas, tratamos la información personal identificable (PII) con los más altos estándares de confidencialidad, integridad y disponibilidad, en plena alineación con el marco ISO/IEC 27001.

Qué datos personales protegemos

Nuestra plataforma puede tratar distintas categorías de datos personales, entre ellas:

• Nombres completos, documentos nacionales de identidad y firmas digitales.
• Direcciones de correo electrónico, números de teléfono y metadatos de sesión.
• Direcciones IP y datos de geolocalización.
• Documentos sensibles cargados para firma (por ejemplo, contratos de trabajo, acuerdos de confidencialidad, formularios con información de salud).

Aplicamos los principios de minimización de datos y limitación de la finalidad, de modo que solo recolectamos y tratamos lo estrictamente necesario para prestar nuestros servicios, y únicamente para los fines previstos y consentidos.

ISO/IEC 27001: el marco de seguridad de los datos

El enfoque de Despapeliza sobre la protección de datos personales se estructura dentro de nuestro Sistema de Gestión de Seguridad de la Información (SGSI), certificado bajo ISO/IEC 27001, la principal norma global para la gestión de riesgos de seguridad de la información.

Como parte de este sistema, hemos implementado y mantenemos de forma continua controles del Anexo A de ISO 27001, entre ellos:

• A.9 Control de acceso: acceso basado en roles y de mínimo privilegio, con gestión segura de identidades.
• A.10 Controles criptográficos: cifrado de los datos en reposo y en tránsito mediante AES-256 y TLS 1.2 o superior.
• A.12 Seguridad operativa: endurecimiento de servidores, gestión de parches y auditoría de registros.
• A.13 Seguridad de las comunicaciones: APIs seguras, túneles VPN y protección de endpoints.
• A.18 Cumplimiento: adhesión a las leyes de privacidad y a los acuerdos contractuales de tratamiento de datos.

Respaldados por Microsoft Azure: una base de nube segura y en cumplimiento

Nuestra infraestructura está alojada íntegramente en Microsoft Azure, una de las plataformas de nube más seguras y con mayor cumplimiento normativo a nivel global. Azure nos entrega una base robusta, de nivel empresarial, para sostener nuestros compromisos de protección de datos.

Algunas de sus principales ventajas:

• Almacenamiento georredundante y respaldos automatizados, que aseguran alta disponibilidad y recuperación ante desastres.
• Azure Defender y Security Center para detección de amenazas en tiempo real y puntuación de riesgo.
• Cumplimiento de más de 100 estándares globales, incluidos ISO/IEC 27001, SOC 2 y GDPR, entre otros.
• Aislamiento de redes virtuales, endpoints privados y Azure Key Vault para la gestión segura de claves y credenciales.
• Soporte completo para requisitos de residencia de datos: su información puede alojarse en la región que corresponda, en cumplimiento de la legislación nacional aplicable.

Al combinar nuestras prácticas certificadas bajo ISO 27001 con los controles de seguridad y cumplimiento nativos de Azure, entregamos un entorno resiliente y auditable para el tratamiento de datos personales a escala.

Cumplimiento legal y preparación regulatoria

Cumplimos activamente con regulaciones de privacidad internacionales y locales, entre ellas:

• Reglamento General de Protección de Datos (GDPR, Unión Europea).
• California Consumer Privacy Act (CCPA, Estados Unidos).
• Ley 19.628 sobre Protección de la Vida Privada (Chile).
• Obligaciones de protección de datos propias de determinados sectores o clientes, cuando corresponda.

Mantenemos acuerdos de tratamiento de datos (DPA) actualizados y habilitamos el ejercicio de los derechos de los titulares —acceso, rectificación, supresión, oposición y portabilidad— a través de flujos de trabajo seguros.

Privacidad desde el diseño y por defecto

Desde la arquitectura de los sistemas hasta la interfaz y la experiencia de uso, nuestra plataforma sigue los principios de privacidad desde el diseño (Privacy by Design):

• Evaluaciones de impacto en privacidad (PIA) para cada nueva funcionalidad.
• Exclusión por defecto (opt-out) cuando corresponde.
• Técnicas de anonimización o seudonimización para analítica y procesamiento interno.
• Exposición mínima de datos personales durante los flujos documentales.

Monitoreo, auditoría y mejora continua

Nuestro SGSI incorpora un modelo de mejora continua basado en:

• Auditorías internas periódicas y revisiones de efectividad de los controles.
• Monitoreo automatizado de los recursos de Azure y de los registros de acceso a datos.
• Test de penetración y hacking ético realizados por terceros.
• Un proceso documentado de acciones correctivas y preventivas (CAPA) para los riesgos identificados.

Utilizamos Drata para automatizar y monitorear en tiempo real el desempeño de los controles de ISO 27001, lo que asegura que nuestras prácticas de protección de datos personales se mantengan en cumplimiento, transparentes y en mejora continua.

Transparencia y confianza del cliente

La transparencia es clave en la relación con nuestros clientes. Por eso ponemos a disposición:

• Política de Privacidad y Anexo de Protección de Datos de acceso público.
• Estado de cumplimiento en tiempo real a través de nuestro portal en Drata.
• Documentación detallada sobre cómo se trata, se almacena y se protege su información.

En Despapeliza, la protección de datos personales está incorporada en cada capa de nuestra infraestructura y de nuestros procesos, desde nuestro código hasta nuestro proveedor de alojamiento. Al combinar controles certificados bajo ISO 27001 con la arquitectura de seguridad avanzada de Microsoft Azure, aseguramos que sus datos se gestionen siempre en un entorno seguro, auditable y en cumplimiento, en el que usted puede confiar.