Procedimiento de brechas de seguridad

Versión 1.0 · 19 de agosto de 2026

Si RNOVA, como encargado, tiene conocimiento de una violación de seguridad que afecte a datos de un cliente Dakoku, se lo comunica a esa empresa sin dilación indebida. La decisión de notificar a la AEPD (72 horas) o a las personas afectadas corresponde al responsable, salvo un deber legal propio del encargado.

1. Qué se considera brecha

Una violación de la seguridad que ocasione la destrucción, pérdida, alteración, comunicación o acceso no autorizado a datos personales tratados mediante DAKOKU, ya sean relativos a trabajadores, usuarios, clientes, contactos u otras personas cuyos datos hayan sido incorporados por la empresa responsable.

Un corte de servicio sin pérdida, alteración o acceso indebido a datos se tratará como una incidencia operativa, sin perjuicio de informar a las empresas afectadas cuando la indisponibilidad pueda tener consecuencias relevantes para el uso del servicio.

2. Cómo se detecta

Avisos internos (caída de app.dakoku.es, copias, certificados, fail2ban, logs).
Comunicación de Axarnet o de un usuario.
Hallazgo en soporte o en una revisión.

3. Qué hace RNOVA

Contener lo que se pueda (revocar sesiones, cerrar un acceso, aislar un tenant) sin destruir evidencias.
Confirmar qué empresas clientes o tenants están afectados, qué categorías de datos personales pueden haberse visto comprometidas y, en la medida de lo posible, qué categorías de personas resultan afectadas.
Avisar al responsable (contacto de la empresa) por teléfono y correo, en el mismo día laborable en que se confirma, y como máximo en 24 horas desde la confirmación. Fuera de horario, en la primera franja laborable salvo que la gravedad exija avisar antes.
Entregar lo que se sepa: naturaleza, categorías y número aproximado de interesados, datos afectados, consecuencias probables, medidas tomadas y previstas, y un interlocutor.
Seguir cooperando para que la empresa pueda cumplir los arts. 33 y 34 RGPD si le aplican.

Canal: soporte@dakoku.es · DPD dpo@datosempresariales.com · 985 08 40 40. El cliente puede usar los mismos datos para avisarnos a nosotros.

4. Qué no hacemos

No notificamos a la AEPD en nombre de la empresa, salvo que la ley nos obligue como encargado o como responsables de otro tratamiento.
No publicamos un tiempo de «restore garantizado» ni un RPO comercial.
No pedimos a la empresa que firme un silencio: el aviso queda por escrito.

5. Registro interno

Cada incidente con datos personales se anota (fecha de detección, confirmación, clientes avisados, medidas). Ese registro no es público. El encargo (cláusula 12) remite a este procedimiento.

Medidas técnicas de fondo: seguridad.