1. Ámbito y definiciones
Un Incidente de seguridad es un hecho que compromete efectivamente, o presenta un riesgo importante y creíble para, la confidencialidad, la integridad o la disponibilidad de los sistemas o datos de DIRI AI. Una Violación de la seguridad de los datos personales es la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o el acceso no autorizados a ellos, una vez confirmados.
Los escaneos bloqueados, los intentos de inicio de sesión fallidos y las alertas de disponibilidad inofensivas no son automáticamente violaciones de la seguridad de los datos personales, pero aun así pueden investigarse.
2. Comunicación
Los clientes y los investigadores deben comunicar los presuntos incidentes a security@diriai.com. Las solicitudes de privacidad o la sospecha de exposición de datos personales también pueden enviarse a privacy@diriai.com. El mensaje inicial debe incluir la hora, la cuenta o ruta afectada, el comportamiento observado y los datos para una reproducción segura, pero no debe incluir contraseñas, datos completos de tarjetas ni contenido expuesto innecesario.
3. Gravedad y respuesta
DIRI AI clasifica un hecho según la sensibilidad de los datos, el número y la vulnerabilidad de las personas afectadas, el impacto sobre los límites entre inquilinos, los privilegios, la explotación activa, la disponibilidad y las obligaciones legales y contractuales.
| Gravedad | Ejemplo | Prioridad de respuesta |
|---|---|---|
| Crítica | revelación confirmada entre inquilinos, toma de control con privilegios, compromiso destructivo activo | escalada inmediata a la titularidad, contención y evaluación jurídica y de privacidad |
| Alta | probable acceso no autorizado a Datos Personales del Cliente o fallo grave de la integridad del servicio | contención urgente y evaluación el mismo día |
| Media | impacto limitado confirmado sin datos sensibles o vulnerabilidad controlada | investigación y corrección priorizadas |
| Baja | intento bloqueado, debilidad menor o ausencia de compromiso confirmado | cola normal de seguridad y revisión de tendencias |
Se trata de prioridades internas, no de plazos de resolución garantizados.
4. Ciclo de respuesta
El responsable del incidente, de forma proporcionada:
- registrará y validará el informe;
- conservará las marcas de tiempo, los registros y otras pruebas con acceso restringido;
- contendrá las credenciales, rutas, proveedores o flujos de datos afectados;
- determinará los datos, clientes, personas, países y periodo afectados;
- evaluará las obligaciones de notificación con la titularidad de privacidad y jurídica;
- eliminará la causa, restablecerá el servicio de forma segura y vigilará la reaparición;
- facilitará las actualizaciones exigidas; y
- documentará la causa raíz, las lecciones aprendidas y las acciones correctoras.
5. Notificación al cliente cuando DIRI AI es encargado del tratamiento
Respecto de los Datos Personales del Cliente, DIRI AI notificará al cliente organizativo afectado sin dilación indebida desde que tenga conocimiento de una Violación de la seguridad de los datos personales. El objetivo operativo es un aviso inicial en un plazo de 48 horas cuando sea razonablemente posible. La información podrá facilitarse por fases e incluirá la naturaleza, las consecuencias probables, los datos y personas afectados, las medidas de mitigación y el punto de contacto a medida que estén disponibles.
El cliente sigue siendo responsable de sus decisiones ante la autoridad de control y ante los interesados, salvo que DIRI AI tenga una obligación legal distinta. El objetivo de 48 horas no retrasa un aviso anterior y es una meta operativa, no un plazo contractual garantizado.
6. Notificaciones cuando DIRI AI es responsable del tratamiento
Cuando DIRI AI es responsable del tratamiento, documentará toda Violación de la seguridad de los datos personales y evaluará el riesgo para las personas. Si el RGPD exige notificar a la autoridad de control, DIRI AI notificará a la autoridad competente sin dilación indebida y, de ser posible, en un plazo de 72 horas desde que tenga conocimiento, explicando cualquier retraso. Si es probable que la violación entrañe un alto riesgo, se informará a las personas afectadas sin dilación indebida, salvo que se aplique una excepción legal.
Otros territorios admitidos pueden exigir un contenido distinto o plazos más breves; prevalece el plazo aplicable más temprano.
7. Comunicaciones sobre el estado del servicio
Los incidentes importantes de disponibilidad pueden comunicarse mediante un aviso en la aplicación, un canal de estado verificado o el correo electrónico. Un aviso público no debe exponer detalles explotables, datos de otro cliente ni una causa no verificada. Las obligaciones de notificación de seguridad y de privacidad no dependen de que exista una página pública de estado.
8. Actualizaciones y revisión posterior al incidente
En un incidente importante notificado, DIRI AI debe facilitar actualizaciones relevantes hasta su contención y un resumen de cierre cuando sea razonablemente seguro. Un informe empresarial posterior al incidente puede describir la cronología, el impacto, la causa raíz y las acciones correctoras, con sujeción a la seguridad, los privilegios, la confidencialidad y la ley. Ninguna notificación supone un reconocimiento de responsabilidad.
9. Pruebas y conservación
Las pruebas del incidente están sujetas a acceso restringido y se conservan solo para la respuesta, las obligaciones legales, las reclamaciones y la mejora de los controles. El plazo por defecto es la vigencia del caso más cinco años, ajustado según la gravedad, los plazos de prescripción, las instrucciones de la autoridad y las retenciones legales. Los datos personales ajenos al caso deben eliminarse o reducirse al mínimo.
10. Contacto y versión
Contacto de seguridad: security@diriai.com. Contacto de privacidad: privacy@diriai.com. Versión: 1.2.0. Fecha: 30 de agosto de 2026.