I. MARCO JURÍDICO VINCULANTE

La presente Política de Protección de Datos Personales se dicta en estricto cumplimiento de la Ley de Protección de Datos Personales (LPDP), la Ley de Ciberseguridad y Seguridad de la Información de la República de El Salvador, y de manera específica, bajo las Políticas de Actuación N.º 001-0309025-DPDP emitidas por la Agencia de Ciberseguridad del Estado (ACE).

La organización declara que sus controles de confidencialidad, integridad y disponibilidad se estructuran, operan y auditan bajo las directrices de la norma internacional ISO/IEC 27001, de conformidad con el mandato de homologación técnica exigido por la autoridad reguladora salvadoreña.

1. MAPA DE FLUJO, CATEGORÍAS DE DATOS Y TRANSFERENCIA TRANSFRONTERIZA

1.1 Datos de Clientes y Contactos

La organización recopila y trata datos de carácter personal (tales como nombre, correo electrónico, cargo, empresa y número telefónico) bajo los principios de licitud, lealtad, transparencia y minimización. La captura de estos datos se realiza bajo el consentimiento explícito del titular y su tratamiento se limita estrictamente a fines comerciales, gestión de servicios contractuales y soporte técnico.

1.2 Datos de Infraestructura y Soporte

Para la gestión de servicios críticos (como redes VPN y seguridad perimetral), se canalizan requerimientos mediante un sistema de tickets que quedan documentados en la mesa de ayuda oficial (https://soporte.nextgt.net/) y plataformas de correo electrónico. El acceso a la infraestructura del cliente se ejecuta bajo un estricto modelo de privilegios mínimos (Zero Trust), requiriendo la autorización previa y explícita del cliente a los técnicos especializados. Para el 60% de clientes operados bajo la modalidad de servicios administrados, se cuenta con un servidor dedicado que centraliza las credenciales y configuraciones de acceso bajo un control estricto de privilegios.

1.3 Declaración Formal de Transferencia Internacional de Datos

Los titulares de los datos quedan expresamente informados de que la operación de los servicios administrados, el soporte técnico y la gestión de la infraestructura perimetral implican el flujo y alojamiento de su información en servidores y entornos lógicos de infraestructura en la nube provistos por terceros subcontratados (receptores de datos personales), específicamente: Zoho CRM, Salesforce, Google Workspace, Microsoft 365 y Microsoft Azure.

Dicho almacenamiento y tratamiento fuera del territorio nacional constituye una Transferencia Internacional de Datos Personales, regulada de conformidad con las normativas y principios de protección vigentes en El Salvador.

1.4 Cláusula de Consentimiento Expreso e Inequívoco

Todo contrato, formulario de captura web o condiciones de servicio con el cliente deberá incluir de forma obligatoria la siguiente declaración de consentimiento para legitimar el tratamiento:

CLÁUSULA DE AUTORIZACIÓN PARA EL FLUJO TRANSFRONTERIZO DE DATOS: «El Titular del dato (o el Cliente en representación legítima de sus usuarios) declara que ha sido informado de manera clara, previa y detallada sobre el mapa de flujo de su información. Por lo tanto, otorga su consentimiento expreso, libre e inequívoco para que la organización realice la Transferencia Internacional de sus datos personales, credenciales técnicas y registros de soporte hacia los servidores en la nube de los proveedores tecnológicos designados (Zoho, Salesforce, Google, Microsoft). El Titular autoriza este flujo transfronterizo exclusivamente para fines de almacenamiento, respaldo, soporte técnico y continuidad operativa de los servicios de seguridad perimetral contratados.»

1.5 Plazo de Conservación y Retención:

Los datos personales recopilados se conservarán únicamente durante el tiempo estrictamente necesario para el cumplimiento de las finalidades comerciales y contractuales que motivaron su recolección, o mientras persistan obligaciones legales, comerciales o fiscales bajo la legislación de El Salvador. Una vez finalizado dicho plazo, o revocado el consentimiento por el titular, la organización procederá al bloqueo, supresión o anonimización irreversible de la información, de conformidad con lo establecido en la LPDP.

2. INFRAESTRUCTURA, ALMACENAMIENTO Y ESTÁNDARES DE SEGURIDAD CLOUD

2.1 Ubicación de Servidores y Proveedores Cloud

Los datos se alojan de forma segura en entornos de infraestructura en la nube y herramientas de productividad empresarial de primer nivel (como Zoho/Salesforce CRM, Google Workspace, Microsoft 365, Microsoft Azure), que garantizan altos estándares de disponibilidad y resiliencia informática.

2.2 Idoneidad del Receptor Internacional y Homologación Normativa

En estricta consonancia con las directrices de la Agencia de Ciberseguridad del Estado (ACE), la organización garantiza que los terceros proveedores cloud elegidos para el tratamiento y resguardo de la información ostentan la calidad de receptores internacionales idóneos. Estos proveedores acreditan y garantizan contractualmente niveles de seguridad jurídica y técnica equivalentes o superiores a los exigidos por la legislación salvadoreña, salvaguardando la información a través de las siguientes certificaciones globales vigentes:

2.3 Mitigación de Riesgos en Servicios Administrados

Para el porcentaje de clientes que operan bajo la modalidad de servicios administrados, el servidor en la nube que resguarda las credenciales y configuraciones de seguridad perimetral aplicará controles técnicos rigurosos alineados con las directrices de la ACE y el estándar ISO 27001:

  1. Cifrado de Datos: Los datos personales y credenciales críticas serán almacenados utilizando algoritmos de cifrado robusto (AES-256 o superior) tanto en tránsito como en reposo, mitigando el riesgo de accesos no autorizados en la nube.
  2. Modelo de Privilegios Mínimos: El acceso lógico al servidor de almacenamiento cloud estará restringido exclusivamente al personal técnico especializado que cuente con una autorización previa, explícita y auditable, utilizando mecanismos de autenticación multifactor (MFA) y registros de auditoría (logs) inmutables.
  3. Gobernanza Contractual (DPAs): Las relaciones con estos subencargados internacionales se rigen por Acuerdos de Procesamiento de Datos (DPA) que prohíben estrictamente el uso de la información para fines distintos a las instrucciones corporativas autorizadas por el cliente.

3. GESTIÓN DE TERCEROS, ALIANZAS E ISPS

3.1 Vinculación con Proveedores de Servicios de Internet (ISPs)

En los escenarios comerciales donde la organización celebre alianzas operativas con ISPs para la provisión conjunta de soluciones tecnológicas, y estos últimos suministren datos básicos de contacto e información de infraestructura (tales como números de serie de dispositivos o perfiles de red vinculados a usuarios finales), las partes se sujetarán estrictamente al régimen de distribución de responsabilidades establecido en la LPDP.

3.2 Delimitación de Responsabilidades y Cadena de Custodia

  1. Rol del Responsable: Se establece contractualmente que el ISP actúa en calidad de Responsable del Tratamiento. Por tanto, es responsabilidad única y exclusiva del ISP haber obtenido el consentimiento previo, informado, expreso e inequívoco de sus usuarios finales para compartir dicha información con nuestra organización.
  2. Rol de la Organización (Encargado): Nuestra organización actuará estrictamente en calidad de Encargado del Tratamiento, obligándose a procesar los datos recibidos únicamente bajo las instrucciones del acuerdo de alianza, aplicando medidas de seguridad perimetral, confidencialidad, y cifrado bajo el control ISO 27001: A.18.1.3 (Protección de Datos Personales y Privacidad).
  3. Gobernanza mediante DPAs: Ningún tercero, aliado o ISP tendrá acceso a los sistemas internos de la organización sin la suscripción previa de un Acuerdo de Procesamiento de Datos (DPA) y un Acuerdo de Confidencialidad (NDA) que penalice penal y civilmente el uso no autorizado de la información de conformidad con la Ley de Delitos Informáticos y Conexos de El Salvador.

4. RESPUESTA, GESTIÓN Y NOTIFICACIÓN DE INCIDENTES DE SEGURIDAD

4.1 Activación del Plan de Respuesta

En caso de detectarse cualquier evento, vulnerabilidad o brecha de seguridad que afecte o comprometa de forma parcial o total la confidencialidad, integridad o disponibilidad de los datos personales bajo custodia de la organización, se activará de forma inmediata el Plan de Respuesta a Incidentes.

4.2 Protocolo Operativo bajo Estándar ISO/IEC 27001

Para dar cumplimiento al Capítulo II (Art. 6) y Capítulo III (Art. 7) de las Políticas de la ACE, el protocolo de contención se operativiza bajo los siguientes dominios internacionales:

4.3 Notificación Obligatoria ante la ACE y Titulares

  1. Plazo Perentorio: La organización notificará formalmente el incidente a la Agencia de Ciberseguridad del Estado (ACE) y a los titulares afectados dentro de un plazo máximo e improrrogable de setenta y dos (72) horas contadas a partir del momento en que se tenga constancia de la vulneración.
  2. Contenido del Informe: La notificación se acompañará de un informe técnico descriptivo que detalle la naturaleza de la brecha, las categorías de datos expuestas, las medidas de contención ejecutadas y las acciones preventivas programadas.

5. DELEGADO DE PROTECCIÓN DE DATOS (DPD) Y DERECHOS ARCO-POL

5.1 Institucionalización Obligatoria del Cargo

De conformidad con los artículos 15 y 16 de la Ley de Protección de Datos Personales y el Artículo 8, literal a) de las directrices de la ACE, la organización institucionaliza con carácter obligatorio y permanente el cargo de Delegado de Protección de Datos Personales (DPD) o responsable interno de cumplimiento. El DPD operará como el nexo oficial entre la empresa, los titulares y la ACE.

5.2 Funciones de Supervisión y Garantía ARCO-POL

El DPD asumirá las siguientes funciones directas:

  1. Garantía de Derechos: Tramitar y resolver las solicitudes de los titulares para el ejercicio de sus derechos de Acceso, Rectificación, Cancelación, Oposición, Portabilidad, Olvido y Limitación del Tratamiento (ARCO-POL), los cuales son plenamente reconocidos por la legislación salvadoreña vigente.
  2. Evaluación de Impacto: Asesorar a la alta gerencia en la mitigación de riesgos de privacidad ante la adopción de nuevas tecnologías o nubes de almacenamiento.

5.3 Programa de Auditorías Anuales Obligatorias

En cumplimiento del Artículo 8, literal b) de los lineamientos de la ACE y el estándar ISO 27001: A.18.1.3, la organización se obliga a ejecutar una Auditoría de Cumplimiento en Protección de Datos con una periodicidad mínima anual.

Los informes resultantes evaluarán la eficacia de los controles técnicos, la gestión del DPD y se mantendrán a estricta disposición de la ACE para verificar que no se incurra en las infracciones tipificadas en la ley.

5.4 Canales Oficiales de Contacto

Para el ejercicio de los derechos ARCO-POL, los titulares podrán comunicarse directamente con el DPD a través de los siguientes canales exclusivos de atención prioritaria:

6. PROCEDIMIENTO OPERATIVO PARA EL EJERCICIO DE DERECHOS ARCO-POL

6.1 Canales y Requisitos de Presentación

Cualquier titular de datos personales, o su representante legal debidamente acreditado, podrá solicitar en cualquier momento el ejercicio de sus derechos de Acceso, Rectificación, Cancelación, Oposición, Portabilidad, Olvido y Limitación del Tratamiento (ARCO-POL).

La solicitud deberá ser dirigida formalmente al Delegado de Protección de Datos (DPD) a través del correo electrónico institucional privacidad@nextgt.net. Para que la solicitud sea admitida a trámite, el interesado deberá adjuntar de forma obligatoria:

  1. Identificación del Titular: Copia digitalizada de su Documento Único de Identidad (DUI), Pasaporte o documento de identificación oficial vigente. Si se actúa mediante apoderado, se deberá adjuntar el documento legal que acredite de forma inequívoca la representación de la persona natural.
  2. Descripción de la Solicitud: Claridad en el derecho que desea ejercer (p. ej., acceso a su historial de tickets, rectificación de correo electrónico, cancelación de datos en el CRM) y una descripción precisa de los datos personales referidos.
  3. Medio de Notificación: Dirección de correo electrónico válida para recibir las notificaciones correspondientes del proceso.

6.2 Fases del Procedimiento y Plazos de Respuesta

De conformidad con los parámetros procesales validados por la Agencia de Ciberseguridad del Estado (ACE) y en estricto cumplimiento de la normativa legal aplicable, el procedimiento interno se ejecutará bajo las siguientes fases obligatorias:

  1. Fase de Recepción y Análisis de Admisibilidad y Prevención (Plazo de Subsanación): El DPD recibirá la solicitud y verificará el cumplimiento de los requisitos de identidad y claridad. En caso de que la solicitud de protección de datos no cumpla con alguno de los requisitos legales exigidos o se requiera información adicional para su localización, el Delegado deberá realizar la prevención respectiva por una sola ocasión, para que el interesado subsane las omisiones dentro de un plazo de diez (10) días hábiles contados a partir del día siguiente de la notificación. Si el interesado no realiza la actuación requerida en el plazo previsto o la realiza sin atender a las prevenciones realizadas, se archivará su escrito sin más trámite y quedará a salvo su derecho de presentar una nueva solicitud.
  2. Fase de Análisis Técnico-Legal: Una vez admitida a trámite la solicitud por cumplir con todos los requisitos (o habiendo sido subsanada formalmente), el DPD analizará la viabilidad jurídica de la petición, verificando que no se encuentre sujeta a las excepciones de conservación de datos.
  3. Fase de Resolución y Ejecución Operativa (Plazo Legal Máximo: 20 días): El DPD emitirá una resolución formal motivada. De ser favorable, se coordinará con el área técnica de infraestructura la aplicación inmediata del requerimiento en las bases de datos locales y entornos cloud (Azure, Salesforce, Zoho, Google Workspace), notificando el resultado detallado al titular. El plazo total para la resolución y ejecución de la solicitud no excederá los veinte (20) días establecidos en la legislación vigente.
  4. Excepciones Legales de Aplicación: El Titular reconoce que los derechos de Cancelación y Olvido no serán procedentes cuando el tratamiento de los datos personales sea necesario para el cumplimiento de una obligación legal, por razones de interés público, para el cumplimiento de un contrato vigente entre las partes, o para la formulación, ejercicio o defensa de reclamaciones judiciales o administrativas.

6.3 Gratuidad del Proceso

El ejercicio de los derechos ARCO-POL es completamente gratuito para el titular. La organización únicamente podrá trasladar al solicitante los costos reales de reproducción de copias físicas o de envío de información por servicios de encomienda, en caso de que estos sean formalmente solicitados de esa manera por el interesado.

6.4 Derecho de Reclamación ante la Autoridad (ACE)

En caso de que el Titular considere que la organización no ha resuelto, denegado o tramitado de forma satisfactoria su solicitud de derechos ARCO-POL dentro del plazo legal de veinte (20) días, queda expresamente facultado para interponer la denuncia o reclamación correspondiente ante la Agencia de Ciberseguridad del Estado (ACE), como autoridad de control de protección de datos en la República de El Salvador.

Para lograr un blindaje técnico y legal absoluto ante la Agencia de Ciberseguridad del Estado (ACE) y cumplir de manera estricta con la Ley de Protección de Datos Personales (LPDP) y la Ley de Ciberseguridad y Seguridad de la Información, he estructurado las tres nuevas cláusulas solicitadas.

Estas disposiciones introducen controles operativos rigurosos para la empresa (gestión de archivos físicos, copias de respaldo de la mesa de ayuda, planes de contingencia ante caídas de las nubes de almacenamiento y la obligatoriedad de capacitar al personal técnico), alineándose perfectamente con los estándares ISO 27001 que exige la autoridad reguladora salvadoreña.

A continuación, le presento la redacción jurídica formal de estas tres cláusulas para que sean incorporadas de forma correlativa en el documento final:

7. SEGURIDAD DE LA INFRAESTRUCTURA FÍSICA Y GESTIÓN DE DOCUMENTACIÓN DIGITAL

7.1 Control de Accesos y Seguridad Física corporativa

De conformidad con el estándar ISO/IEC 27001: A.11 (Seguridad Física y Ambiental), la organización adopta medidas estrictas de protección perimetral para sus instalaciones físicas, centros de datos locales y áreas de archivo donde se almacene o procese información confidencial de clientes o datos personales. Queda restringido el acceso a estas áreas exclusivamente al personal debidamente autorizado, implementándose controles de registro físico o biométrico, sistemas de videovigilancia y mecanismos de protección contra amenazas ambientales (incendios, fallos eléctricos o inundaciones).

7.2 Resguardo, Custodia y Digitalización de Archivos

  1. Expedientes Físicos: Todo documento en soporte papel que contenga datos personales o información contractual de infraestructura crítica deberá ser resguardado bajo llave en mobiliario ignífugo, quedando prohibida la extracción de copias o traslado de expedientes fuera de las instalaciones sin la autorización expresa y por escrito del Delegado de Protección de Datos (DPD).
  2. Documentación Digital e Inmutabilidad: Los registros lógicos, logs de auditoría perimetral y el histórico de tickets almacenados en la mesa de ayuda oficial (https://soporte.nextgt.net/) serán digitalizados e indexados bajo estrictos mecanismos de control de acceso lógico. La organización aplicará políticas de retención digital y copias de seguridad (backups) automatizadas y cifradas (mínimo AES-256), impidiendo la alteración, borrado malicioso o manipulación de la evidencia digital.

8. CONTINUIDAD DEL NEGOCIO Y RESILIENCIA TECNOLÓGICA

8.1 Plan de Continuidad y Gestión de Disponibilidad

En estricto cumplimiento del Capítulo II de las Políticas de la ACE y bajo las directrices internacionales del estándar ISO/IEC 27001: A.17 (Aspectos de Seguridad de la Información para la Gestión de la Continuidad del Negocio), la organización cuenta con un Plan de Continuidad del Negocio (BCP) y un Plan de Recuperación ante Desastres (DRP) formalmente instituidos.

Estos planes están diseñados para garantizar la resiliencia operativa y la disponibilidad permanente de las bases de datos ante eventos críticos, fallos de infraestructura perimetral, ciberataques de gran escala o interrupciones mayores en los servicios cloud de terceros proveedores (Azure, Google Cloud, Zoho, Salesforce).

8.2 Mecanismos de Redundancia y Recuperación

  1. Redundancia de Datos: La organización mantendrá réplicas de seguridad lógicas de las credenciales de acceso de los servicios administrados y configuraciones de red VPN en entornos geográficamente distribuidos, asegurando que un fallo en un nodo tecnológico no comprometa la integridad de la custodia.
  2. Pruebas Periódicas: El DPD, en coordinación con el área de infraestructura técnica, ejecutará simulacros y pruebas de recuperación de datos con una periodicidad mínima semestral. Los resultados de estas pruebas de continuidad e integridad de los respaldos se documentarán formalmente y se mantendrán a disposición de la Agencia de Ciberseguridad del Estado (ACE) en el marco de las auditorías anuales obligatorias.

9. PROGRAMA DE CAPACITACIÓN Y CONCIENCIACIÓN PERMANENTE

9.1 Obligatoriedad de la Formación en Privacidad y Ciberseguridad

De conformidad con el Artículo 8, literal c) de las directrices de la ACE y el estándar ISO/IEC 27001: A.7.2.2 (Concienciación, Educación y Capacitación en Seguridad de la Información), la organización establece el Programa Obligatorio de Capacitación Continua en materia de protección de datos personales, normativa digital y mitigación de riesgos de ciberseguridad.

Este programa es de cumplimiento mandatorio para todos los colaboradores de la empresa, con especial énfasis en el personal técnico especializado encargado de la administración de redes, firewalls, accesos VPN y soporte en la mesa de ayuda.

9.2 Alcance del Plan de Capacitación

El plan anual de capacitación, coordinado y supervisado directamente por el Delegado de Protección de Datos (DPD), abordará de forma enunciativa pero no limitativa los siguientes módulos operativos:

  1. Cumplimiento Normativo Local: Obligaciones legales, plazos de los derechos ARCO-POL (incluyendo el régimen de prevención de 10 días para subsanación y el plazo de 20 días para resolución), y el catálogo de infracciones y sanciones estipulado en la LPDP salvadoreña.
  2. Seguridad Técnica y Operativa: Protocolos de manejo seguro de credenciales bajo el modelo de privilegios mínimos (Zero Trust), técnicas de cifrado de datos en reposo y en tránsito, y detección temprana de vectores de ataque o incidentes de seguridad para activar el reporte obligatorio a la ACE dentro de las 72 horas legales.
  3. Evaluación de la Eficacia: Todo colaborador que participe en las jornadas de formación será sujeto a una evaluación técnica de competencias. El registro de asistencia, las calificaciones obtenidas y el material didáctico impartido formarán parte del expediente de cumplimiento corporativo auditable por la autoridad de control.

10. VIGENCIA, ACTUALIZACIÓN Y APROBACIÓN

La presente Política de Protección de Datos Personales entra en vigor a partir de la fecha de su aprobación formal por parte de la Alta Gerencia de la organización. Este documento será objeto de revisión obligatoria de forma anual, o de manera extraordinaria ante cualquier modificación sustancial en la infraestructura tecnológica perimetral o ante la emisión de nuevas normativas, decretos y resoluciones de obligatorio cumplimiento por parte de la Agencia de Ciberseguridad del Estado (ACE).

Dado y firmado en la ciudad de San Salvador, a los veintiséis días del mes de mayo del año dos mil veintiséis.

Seguridad de Correo Electrónico

Mapa de amenazas