Procedimiento de derechos, conservación e incidentes de AfterToMe

1. Recepción e identidad

1. Las solicitudes de ejercicio de derechos de protección de datos se reciben en /legal/privacy-rights, en legal@aftertome.com y por correo postal en Carrer Agricultura, 16, 1º, 9ª, 08320 El Masnou (Barcelona), España. El soporte y las reclamaciones de consumo se reciben en support@aftertome.com. Cada solicitud recibe una referencia de expediente en un plazo de 2 días hábiles.

2. La identidad se verifica de forma proporcionada: mediante la sesión iniciada, si se trata del titular de la cuenta; mediante el paso de identidad del flujo de reclamación, si se trata de un destinatario; mediante copia de un documento de identidad únicamente cuando la solicitud se refiera al contenido de la bóveda, a una liberación o a una cuenta en la que el solicitante no pueda iniciar sesión. Los documentos utilizados para la verificación se suprimen en un plazo de 30 días desde la decisión.

3. Una solicitud formulada por un representante solo se tramita previa acreditación del apoderamiento.

2. Decisión y plazos

1. El Operador responde en el plazo de un mes desde la recepción. Cuando las solicitudes sean complejas o numerosas, el plazo se prorroga hasta dos meses más y se comunica el motivo al solicitante dentro del primer mes.

2. Una denegación o una limitación indica el fundamento, el alcance y el derecho a reclamar ante la AEPD y ante los tribunales.

3. La supresión del contenido de la bóveda se ejecuta a petición del titular mientras el titular tenga capacidad. Cuando se aplique una retención legal o una resolución judicial, la supresión se suspende mientras dure y se informa al solicitante.

4. La supresión nunca altera los registros de aceptación, de consentimiento o de liberación; esos registros se conservan como prueba conforme a C16.1 y no contienen contenido de la bóveda.

3. Calendario de conservación

1. Los datos de la cuenta se conservan durante la vida de la cuenta y se suprimen o anonimizan en un plazo de 90 días desde el cierre, salvo cuando la ley exija un periodo superior (registros fiscales y contables: 6 años; registros de aceptación y de consentimiento: 5 años desde el fin de la relación, como prueba del cumplimiento; registros sujetos a retención legal: hasta que la retención finalice).

2. Los registros de conversaciones, las grabaciones y las cargas no vinculados a un contrato en vigor se suprimen a más tardar 12 meses después de la última interacción, y antes si usted lo solicita, salvo que se aplique una retención legal.

3. Las copias de seguridad se rotan en un ciclo que no supera los 35 días; los datos suprimidos en producción se eliminan de las copias de seguridad al final del ciclo.

4. Cuando un proveedor es responsable independiente, sus propias normas de conservación se aplican a sus registros.

5. Calendario de la plataforma. Los periodos de conservación por clase de datos son los indicados en PUB-02 §3. Una tarea de conservación se ejecuta en el planificador existente en cada límite o antes de él y escribe un evento de supresión; el registro de la tarea es la prueba de la ejecución.

6. Retenciones legales. Una retención registra a su titular, el fundamento, el alcance, la fecha de revisión y el fin; las retenciones se revisan cada 90 días y se levantan cuando cesa el fundamento.

4. Medidas de seguridad

El Operador mantiene: aislamiento de inquilinos exigido a nivel de base de datos; cifrado en tránsito (TLS) y en reposo; acceso de mínimo privilegio y multifactor para el personal y los contratistas conforme a INT-01; acceso privilegiado y suplantación de usuario auditados y limitados en el tiempo; gestión de secretos sin credenciales en el código ni en los registros; gestión de vulnerabilidades y de parches; copias de seguridad sometidas a prueba de restauración al menos cada trimestre; resúmenes de integridad de los elementos de la bóveda reverificados al menos cada 12 meses (SEC-01 §3.3); y el procedimiento de incidentes del §5.

5. Procedimiento de violación de datos personales

1. El personal comunica de inmediato un incidente sospechoso al responsable del incidente a través del canal interno. El responsable del incidente contiene el incidente, conserva las pruebas y valora en un plazo de 24 horas los datos, las personas y los inquilinos afectados y el riesgo probable.

2. Cuando sea probable que la violación entrañe un riesgo para los derechos y libertades de las personas físicas, el Operador la notifica a la AEPD en un plazo de 72 horas desde que tenga conocimiento de ella, por fases cuando los hechos aún no estén completos, y deja constancia de los motivos de cualquier retraso.

3. Cuando sea probable que la violación entrañe un alto riesgo, el Operador informa a las personas afectadas sin dilación indebida, en un lenguaje claro, indicando la naturaleza de la violación, las consecuencias probables, las medidas adoptadas y el punto de contacto, salvo que se aplique y se deje constancia de una excepción del artículo 34(3) del RGPD.

4. Cuando el Operador actúe como encargado de un cliente (futuro DAT-01), lo notifica a ese cliente sin dilación indebida desde que tenga conocimiento.

5. Una revisión posterior al incidente deja constancia de la causa, el impacto y las medidas correctoras en un plazo de 30 días.

6. Revisión

Una decisión adoptada conforme a este procedimiento puede revisarse, a petición, por una persona distinta de quien la adoptó. El solicitante puede reclamar en cualquier momento ante la AEPD (www.aepd.es) o ejercitar una acción ante los juzgados y tribunales de su domicilio (C14 [B2C-ES]).