La empresa llevará a cabo un monitoreo continuo y reevaluaciones periódicas de las medidas implementadas y del estado de la seguridad, atendiendo a los siguientes principios: 

• Gestión de riesgos: Se realizarán actividades coordinadas para identificar y evaluar los riesgos asociados, con el fin de gestionarlos y reducirlos a niveles aceptables. Esto se logrará mediante la implementación de medidas de seguridad adecuadas. Estas acciones se realizarán anualmente o cuando se produzcan cambios significativos en los sistemas de información o en el tratamiento de datos personales. 

• Proporcionalidad: Las medidas de protección, detección y recuperación se aplicarán de manera proporcional a los riesgos identificados, considerando la criticidad y el valor de la información, los tratamientos de datos personales y los servicios afectados. 

• Proceso de verificación: Se establecerá un mecanismo regular para verificar, evaluar y analizar la eficacia de las medidas técnicas y organizativas implantadas, con el objetivo de mantener la seguridad. 

• Seguridad centrada en las personas: Se adoptarán mecanismos para garantizar que todas las personas con acceso a los activos de información y datos personales comprendan sus responsabilidades, minimizando los riesgos por uso inadecuado. 

• Seguridad física: Los activos de información se ubicarán en áreas protegidas, dotadas de controles de acceso físico acordes a su nivel de criticidad. Estos activos estarán protegidos frente a riesgos físicos o ambientales mediante medidas adecuadas. 

• Gestión de comunicaciones y operaciones: Se implementarán procedimientos para garantizar una gestión segura y eficiente de las tecnologías de la información y comunicaciones, asegurando la protección adecuada de la información transmitida en redes según su sensibilidad y criticidad. 

• Control de acceso: El acceso a los activos de información estará limitado a usuarios, procesos y sistemas autorizados mediante mecanismos de identificación, autenticación y autorización adecuados. Además, se mantendrán registros de acceso para asegurar la trazabilidad y permitir auditorías sobre su uso. 

• Seguridad en el ciclo de vida de los sistemas de información: La seguridad será un aspecto clave en todas las fases del desarrollo, adquisición y mantenimiento de los sistemas de información, garantizando su protección por defecto. 

• Gestión de incidentes de seguridad: Se establecerán mecanismos para identificar, registrar, resolver y notificar los incidentes de seguridad según lo previsto en las normativas aplicables. 

• Protección: Se establecerá un sistema de detección y reacción frente a código dañino. 

• Continuidad del negocio: Se implantarán medidas para garantizar la disponibilidad de los sistemas de información y la continuidad de los procesos críticos de negocio, alineándose con los niveles de servicio requeridos por los usuarios. 

• Cumplimiento normativo: Se adoptarán las medidas necesarias para asegurar el cumplimiento de las normativas legales vigentes en materia de seguridad de la información y protección de datos personales. 

• Notificación de incidentes: Se implementarán procedimientos para garantizar la notificación de incidentes a las autoridades competentes, conforme a las regulaciones. 

• Auditorías de seguridad: Se llevará a cabo una auditoría anual para evaluar la eficacia de las medidas técnicas y organizativas, asegurando la protección de los sistemas y tratamientos. Adicionalmente, se realizarán auditorías extraordinarias cuando se introduzcan modificaciones sustanciales en los sistemas que puedan afectar las medidas de seguridad. Estas auditorías serán supervisadas por el responsable de seguridad de la información y el delegado de protección de datos. 

• Mejora continua: Se registrarán los incidentes de seguridad y no conformidades que se produzcan y las acciones de tratamiento que se sigan. Estos registros se emplearán para la mejora continua de la seguridad del sistema. 

La empresa tratará los datos personales bajo su responsabilidad cumpliendo con los siguientes principios de protección de datos y seguridad de la información: 

• Licitud, lealtad y transparencia: Los datos personales serán tratados de forma lícita, leal y transparente en relación con los interesados. 

• Legitimación del tratamiento: Solo se gestionarán datos personales cuando el tratamiento esté respaldado por alguna de las bases de legitimación establecidas en los artículos 6 y 9 del RGPD. 

• Limitación de la finalidad: Los datos personales serán utilizados únicamente para fines específicos, explícitos y legítimos, sin ser tratados de manera incompatible con dichos fines. 

• Minimización de datos: Se garantizará que los datos personales sean adecuados, pertinentes y limitados a lo estrictamente necesario para los fines del tratamiento. 

• Exactitud: Los datos personales serán precisos y, cuando sea necesario, actualizados. Se tomarán las medidas razonables para eliminar o corregir, sin demora, cualquier dato inexacto en relación con los fines del tratamiento. 

• Limitación del plazo de conservación: Los datos serán almacenados solo durante el tiempo necesario para los fines que justificaron su tratamiento, respetando los períodos legales aplicables. 

• Integridad y confidencialidad: Se protegerán los datos personales contra el acceso no autorizado, el tratamiento ilícito, la pérdida, la destrucción o el daño accidental mediante la aplicación de medidas técnicas y organizativas adecuadas. Además, todo el personal involucrado en el tratamiento estará sujeto al deber de confidencialidad, incluso tras finalizar su relación con la empresa. 

• Responsabilidad proactiva: La empresa será responsable de garantizar el cumplimiento de estos principios, adoptando medidas técnicas y organizativas que demuestren su compromiso y conformidad con el RGPD. 

• Atención a los derechos de los interesados: Se implementarán procedimientos para asegurar que los afectados puedan ejercer, cuando corresponda, sus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad de sus datos personales. 

• Protección de datos desde el diseño y por defecto: Se integrará la protección de datos y la seguridad de la información desde las primeras fases de cualquier proyecto, garantizando el cumplimiento de los requisitos del RGPD y la protección de los derechos de los interesados. 

• Registro de actividades: Se mantendrá un registro actualizado de las actividades de tratamiento bajo responsabilidad de la empresa, cumpliendo con los requisitos establecidos en el artículo 30 del RGPD. 
• Gestión de brechas de seguridad: La empresa adoptará las medidas necesarias para notificar a la Agencia Española de Protección de Datos cualquier violación de seguridad, siguiendo el procedimiento establecido y conforme al artículo 33 del RGPD. Asimismo, en los casos previstos en el artículo 34 del RGPD, se comunicará a los interesados afectados las violaciones de seguridad que puedan comprometer sus datos personales.