Seguridad y privacidad

Sí, Ekata mantiene una política de privacidad interna y formación anual sobre privacidad para todos los miembros del equipo.

Sí, Ekata ofrece un DPA a sus clientes. Sin embargo, no todos los acuerdos de clientes utilizarán este DPA; los casos de uso variarán. El DPA es un acuerdo que establece el marco legal bajo el cual Ekata procesa información personal, incluidos los datos que recopila de los clientes para proporcionar los servicios de Ekata. El DPA es una adenda o anexo al acuerdo principal, es decir, un acuerdo marco de servicios («MSA», por sus siglas en inglés), etc., entre Ekata y su(s) cliente(s).

El acuerdo de procesamiento de datos (DPA) de Ekata es específico de los servicios multiinquilino de Ekata y cubre nuestros procesos en relación con estos. Por ejemplo, el DPA cubre nuestros procesos en torno a las notificaciones relacionadas con la privacidad, las auditorías, las certificaciones, las medidas de seguridad y las actividades de subprocesamiento, todo lo cual está alineado con la forma en que funcionan los servicios de Ekata y su infraestructura multiinquilino. El DPA de Ekata también está redactado para interoperar sin problemas con el MSA y otros acuerdos pertinentes de Ekata y Mastercard.

El DPA de Ekata es aplicable a nivel mundial y establece las obligaciones y los compromisos legales pertinentes relacionados con el tratamiento de información personal en relación con la prestación de los servicios de Ekata. Para mayor comodidad, utiliza cierta terminología de leyes específicas de privacidad y protección de datos, por ejemplo, «responsable» («Controller») y «encargado» («Processor») del Reglamento General de Protección de Datos («RGPD») de la Unión Europea, que se reconocen a nivel mundial. El DPA también incluye un anexo específico para abordar las leyes de privacidad de Estados Unidos. Es posible que se añadan otros anexos al DPA a medida que las normativas de privacidad sigan evolucionando en todo el mundo.

Para los clientes que solo operan dentro de la Unión Europea, disponemos de un acuerdo de procesamiento de datos (DPA) específico para dicha región.

Sí, la mayor parte del RGPD se aplica a los clientes independientemente de su relación con el Espacio Económico Europeo («EEE»), Suiza y/o el Reino Unido («UK») (en conjunto, «Europa»). La mayoría de los compromisos del DPA se rigen por los requisitos generales de privacidad de todas las leyes de protección de datos a nivel mundial y no se limitan exclusivamente a las leyes europeas.

Ekata actúa como responsable del tratamiento con respecto a la información personal sujeta al RGPD y a leyes similares enviada por los clientes a los servicios de Ekata. El cliente actúa como responsable del tratamiento o como encargado del tratamiento de dicha información personal. Esto se establece en la Sección 2 («Roles de las partes») del DPA y en la Sección 4 del anexo para la UE.

Ekata debe controlar los fines y los medios del tratamiento de la información personal de los clientes para respaldar la mejora continua de los productos de seguridad y fraude de Mastercard y permitir una capacidad total para ofrecer resultados más coherentes y fiables a nuestros clientes. Por ejemplo, Ekata utiliza la información personal enviada por los clientes a través de una consulta al servicio («datos de consultas de clientes») para impulsar la Ekata Identity Network, lo que mejora el producto de Ekata para todos los clientes. La finalidad y el alcance del tratamiento de la información personal proporcionada a Ekata por los clientes para la mejora de los productos de prevención del fraude de Ekata superan las nociones de un rol de «encargado del tratamiento» tradicional tal como se contempla en el RGPD (y otras leyes de privacidad). Además, dado que Ekata fue adquirida recientemente por Mastercard, los datos de consultas de los clientes se utilizarán para respaldar varios productos de prevención del fraude de Mastercard.

El DPA de Ekata representa nuestro compromiso global con la protección de los datos de nuestros clientes. Como las transacciones digitales no tienen fronteras y son globales, este documento incluye referencias a las normativas de privacidad en muchos mercados globales, incluidos EE. UU., el EEE, el Reino Unido, Brasil, Argentina, entre otros. Si hoy en día no tienes operaciones comerciales en dichos países, el documento estipula que las cláusulas aplicables a esos países no se aplicarán. Ekata no eliminará ese texto del acuerdo. Carece de validez en la medida en que tu empresa no entre en nuevos mercados, pero protege a ambas compañías en caso de que una persona de fuera de los mercados típicos del cliente intente hacer negocios con tu empresa, ya sea con el conocimiento de tus medidas de seguridad actuales o sin él.

Para que la prueba sea fructífera, los datos de las consultas de los clientes —incluida la información personal— deben introducirse en la red en un entorno de producción con el fin de recibir las señales de la red y demostrar la eficacia completa del producto. El DPA subsiste tras la prueba y es aplicable a los servicios en el momento de la comercialización.

Muchas leyes de privacidad de datos de todo el mundo garantizan a sus residentes ciertos derechos en relación con su información personal y la forma en que las empresas pueden gestionarla: los derechos de los interesados. Para ejercer estos derechos, las personas cuya información personal es objeto de tratamiento («interesados») deben presentar una solicitud de derechos de los interesados a la empresa y, si la solicitud es válida, la empresa está legalmente obligada a tomar la medida solicitada y cumplir con la solicitud. Algunas de las solicitudes de derechos de los interesados más comunes son el derecho a solicitar una copia, corregir, dejar de procesar o eliminar la información personal. Los estados estadounidenses de California y Virginia han añadido recientemente el derecho de un individuo a solicitar que una empresa deje de vender su información personal si la empresa es un corredor de datos.

Ekata responde a las solicitudes de los interesados para ejercer los derechos que les conceden las leyes de protección de datos globales, incluido el Reglamento General de Protección de Datos y las leyes de privacidad estatales de EE. UU., según corresponda.

Nuestros proveedores de datos externos están obligados por contrato a ofrecer a los interesados la posibilidad de ejercer sus derechos de protección de datos, como el derecho de acceso o supresión de su información. Asimismo, nuestros proveedores de datos deben notificar a Ekata las solicitudes de los interesados. Cuando Ekata recibe esta notificación del proveedor de datos, realizamos la evaluación legal requerida y atendemos las solicitudes válidas.

Las personas (o sus representantes, si procede) pueden enviar solicitudes a Ekata utilizando cualquiera de los métodos apropiados para las personas de cada jurisdicción enumeradas en nuestro Aviso de privacidad. Los residentes de California y Virginia también pueden hacer clic en el enlace «No vender mi información personal» situado al pie del sitio web de Ekata para enviar una solicitud a través de nuestro formulario web.

Sí, en ocasiones. Evaluamos cada envío masivo caso por caso en cuanto a su validez y aplicabilidad. A veces, recibimos solicitudes masivas de terceros contratados por los interesados para enviar solicitudes en su nombre. También podemos recibir solicitudes masivas de nuestros proveedores de datos externos o de ciertos clientes. Dependiendo de la situación, es posible que gestionemos cada solicitud masiva de forma diferente.

Cuando un interesado presenta una solicitud que requiere que Ekata elimine o deje de procesar su información personal, eliminamos dicha información de nuestras bases de datos Identity Network e Identity Graph que dan soporte a nuestros productos. Cuando esto ocurre y un cliente envía una consulta solicitando información sobre dicho individuo, la respuesta devuelta al cliente es «Nulo», o es posible que no haya ningún resultado si la consulta forma parte de una prueba por lotes histórica. Desafortunadamente, esto significa que la respuesta a la consulta no ayudará al cliente a tomar una decisión de prevención del fraude.

Sí, las solicitudes de los interesados sobre sus datos, especialmente las solicitudes masivas, pueden afectar a las métricas de rendimiento de los servicios de Ekata. Si, por ejemplo, Ekata ha ejecutado recientemente una solicitud masiva de un interesado para eliminar o dejar de procesar información personal, los clientes pueden notar un descenso en el rendimiento como resultado del aumento de las respuestas «nulas».

Sí, es posible que actores malintencionados presenten solicitudes de derechos de los interesados (Data Subject requests) para eliminar su información personal de los servicios de prevención del fraude y dificultar la detección de sus acciones. Sin embargo, las autoridades mundiales de protección de datos han considerado generalmente que este riesgo es menos importante que el derecho de todas las personas a poder controlar su información personal.

Sí. Ekata puede compartir la información personal que recibimos cuando los clientes utilizan nuestros servicios con nuestras subsidiarias y filiales que forman parte del grupo de empresas de Mastercard. También podemos compartir información personal con nuestros proveedores de servicios que realizan servicios en nuestro nombre. Ejemplos de nuestros proveedores de servicios incluyen proveedores de análisis, proveedores de almacenamiento de datos y proveedores de procesamiento de pagos. Exigimos a estos proveedores de servicios que solo procesen la información personal que reciben de acuerdo con nuestras instrucciones y según sea necesario para realizar servicios en nuestro nombre, cumplir con los requisitos legales y proteger la información con las medidas de seguridad adecuadas.

El funcionamiento eficaz y eficiente de los servicios de Ekata requiere el uso de subprocesadores. Estos subprocesadores pueden incluir afiliados de Mastercard, Ekata y/o terceros, como proveedores o prestadores de servicios. El uso de subprocesadores por parte de Ekata puede requerir la transferencia de datos de clientes a dichos subprocesadores para fines como el alojamiento de datos de clientes, la prestación de asistencia al cliente y la garantía del funcionamiento correcto de los servicios.

Todos los sistemas de Ekata en Estados Unidos pueden acceder a los datos de carácter personal. Como el acceso efectúa una «transferencia» en virtud del RGPD, toda la información personal enviada a Ekata y almacenada en los sistemas de Ekata se transfiere a EE. UU.

En virtud de la legislación de protección de datos de la UE, la información personal no se puede transferir fuera de Europa a menos que (i) el país importador haya sido considerado adecuado por el organismo gubernamental pertinente; o (ii) el exportador de datos disponga de las garantías adecuadas para asegurar que la información personal transferida está sujeta a un nivel adecuado de protección de datos. Las «garantías adecuadas» incluyen mecanismos de transferencia como las cláusulas tipo de protección de datos (es decir, las cláusulas contractuales tipo) y las normas corporativas vinculantes.

Dependiendo de los Servicios específicos del Acuerdo Principal, Ekata puede transferir datos basándose en sus normas corporativas vinculantes («BCRs») —políticas de protección de datos específicas de la empresa y aplicables a todo el grupo aprobadas por las autoridades de protección de datos para facilitar las transferencias de información personal fuera de Europa dentro del grupo de Mastercard. Algunos acuerdos más antiguos pueden basarse en cláusulas contractuales tipo para autorizar estas transferencias de datos.

Actualmente Ekata no ofrece opciones de localización de datos para ninguno de los Servicios de Ekata, aunque nuestros equipos de productos están trabajando en estas opciones para el futuro. Las configuraciones actuales de los Servicios de Ekata exigen que la información personal de la UE se transfiera a los Estados Unidos o se acceda a ella desde allí.

El equipo de Protección de Datos y Privacidad de Mastercard evalúa caso por caso las solicitudes de datos de los gobiernos («GDR», por sus siglas en inglés) que implican información personal. En particular, el equipo determinará si la solicitud GDR es (i) jurídicamente vinculante; (ii) se basa en normas claras, precisas y accesibles; (iii) es necesaria y proporcional; (iv) está sujeta a una supervisión independiente por parte de los reguladores o del sistema judicial nacional; y (v) está sujeta a recursos efectivos para las personas afectadas. Solo cuando consideramos que el proceso legal es válido y adecuado, y cuando estamos convencidos de que la solicitud GDR no impide que Ekata cumpla con sus obligaciones en virtud de las Normas Corporativas Vinculantes de Mastercard ni tiene un efecto sustancial sobre las garantías proporcionadas por estas, entregamos el conjunto de datos más reducido posible necesario para responder a la solicitud GDR. Si no logramos resolver el conflicto de leyes, el equipo de privacidad y protección de datos hará todo lo posible para suspender el GDR durante un plazo razonable con el fin de consultar con la Autoridad de Protección de Datos de Bélgica sobre cómo resolverlo.

El tratamiento predeterminado de la información personal de los clientes consiste en seudonimizar y cifrar los datos.

Ekata mantiene medidas técnicas y organizativas adecuadas para proteger los datos de los clientes, lo que incluye, entre otras:

Control de acceso físico

Las medidas técnicas y organizativas para evitar que personas no autorizadas obtengan acceso a los sistemas de procesamiento de datos disponibles en las instalaciones y dependencias (incluidas bases de datos, servidores de aplicaciones y hardware relacionado), donde se procesa la información personal, incluyen:

• Establecimiento de áreas de seguridad, restricción de las rutas de acceso;
• Establecimiento de autorizaciones de acceso para empleados y terceros;
• Sistema de control de acceso (lector de identificación, tarjeta magnética, tarjeta con chip);
• Gestión de claves, procedimientos de tarjetas y llaves;
• Cierre de puertas (abridores de puertas eléctricos, etc.);
• Personal de seguridad, personal de limpieza;
• Instalaciones de vigilancia, monitor de vídeo/CCTV, sistema de alarma;
• Garantía de seguridad en los equipos de procesamiento de datos descentralizados y ordenadores personales.

Control de acceso virtual

Las medidas técnicas y organizativas para evitar que personas no autorizadas utilicen los sistemas de procesamiento de datos incluyen:

• Procedimientos de identificación y autenticación de usuarios;
• Procedimientos de seguridad de ID/contraseña (caracteres especiales, longitud mínima, cambio de contraseña);
• Bloqueo automático (p. ej., contraseña o tiempo de espera);
• Monitoreo de intentos de intrusión y desactivación automática del ID de usuario tras varios intentos con contraseñas erróneas;
• Creación de un registro principal por usuario, procedimientos de datos maestros de usuario, por entorno de procesamiento de datos.

Control de acceso a datos

Las medidas técnicas y organizativas para garantizar que las personas autorizadas a utilizar un sistema de tratamiento de datos solo puedan acceder a los datos personales correspondientes a sus derechos de acceso, y que dichos datos no puedan ser leídos, copiados, modificados o eliminados sin autorización, incluyen:

• Políticas y procedimientos internos;
• Controla los esquemas de autorización;
• Derechos de acceso diferenciados (perfiles, roles, transacciones y objetos);
• Supervisión y registro de accesos;
• Acciones disciplinarias contra los empleados que accedan a la información personal sin autorización;
• Informes de acceso;
• Procedimiento de acceso;
• Cambiar procedimiento;
• Procedimiento de eliminación.

Consulta también la página de seguridad específica de Ekata, donde se detallan nuestras certificaciones de cumplimiento y enfoque sobre la seguridad, o el anexo 1 del acuerdo de procesamiento de datos (DPA).

• El aviso de privacidad de Ekata se puede consultar aquí.
• El DPA aplicable a los productos de Ekata se puede consultar aquí.
• Ekata cuenta con una página de seguridaddedicada.

Si tienes preguntas adicionales, ponte en contacto con tu gestor de cuentas.

Ekata mantiene políticas y procedimientos de gestión de incidentes de seguridad que se describen en las Pautas de seguridad aplicables (disponibles aquí). En la sección 9.1 del DPA (disponible aquí). Ekata se compromete a notificar a los Clientes sin demora indebida tras tener conocimiento de una violación de datos personales.

Si tu organización se ve afectada por una brecha de seguridad, se notificará a los contactos de seguridad de tu organización. Los pasos para crear y mantener tu lista de contactos de seguridad están disponibles aquí.