RGPD y tratamiento de datos
Mantenido por: Aether365 Team Audiencia: Responsables de protección de datos y equipos jurídicos Alcance: Roles en el RGPD, derechos del interesado y compromisos de cumplimiento de Aether365
Aether365 está diseñado para ayudar a las organizaciones con sus obligaciones en materia de RGPD, pero como plataforma SaaS también trata datos personales en tu nombre. Esta página explica la base jurídica del tratamiento, tus derechos y cómo ejercerlos.
Roles conforme al RGPD
| Rol | Parte | Alcance |
|---|---|---|
| Responsable del tratamiento | Tu organización | Tu determinas los fines y medios del tratamiento (tu decidiste conectar tu tenant de M365 a Aether365) |
| Encargado del tratamiento | Aether365 | Tratamos los datos siguiendo tus instrucciones (ejecutar comprobaciones de seguridad sobre tu tenant) |
| Subencargado | nuestro proveedor de infraestructura en la nube, Stripe, etc. | Tratan datos por cuenta de Aether365 - consulta Residencia de datos |
Base jurídica del tratamiento
Aether365 trata datos personales bajo las siguientes bases jurídicas:
| Actividad de tratamiento | Base jurídica | Notas |
|---|---|---|
| Creación y gestión de cuentas | Ejecución de contrato (Art. 6(1)(b)) | Necesario para prestar el servicio |
| Análisis de la configuración de Microsoft 365 | Ejecución de contrato (Art. 6(1)(b)) | Función principal del servicio |
| Lectura de datos de Microsoft Graph | Interés legítimo (Art. 6(1)(f)) | El análisis de seguridad requiere leer datos de configuración |
| Envío de informes de análisis por correo | Ejecución de contrato | Tu configuraste las notificaciones por correo |
| Facturación y procesamiento de pagos | Ejecución de contrato | Necesario para los planes de pago |
Datos personales tratados
Cuando Aether365 analiza tu tenant de Microsoft 365, puede leer datos de configuración que incluyen identificadores personales:
- Nombres principales de usuario (UPN) - Direcciones de correo utilizadas como identificadores en asignaciones de políticas
- IDs de objeto - IDs de Microsoft Entra para usuarios, grupos y service principals
- Nombres para mostrar - Nombres de usuario y grupo en el contexto de asignaciones de roles
Estos datos se utilizan únicamente para evaluar las comprobaciones de seguridad y se almacenan como parte de los resultados de los análisis. No se utilizan para ningún otro fin.
Sin AI ni elaboración de perfiles automatizada
Aether365 no utiliza inteligencia artificial ni aprendizaje automático para tratar los datos personales que lee de tu tenant. Tus datos de configuración y los resultados de los análisis nunca se envían a ningún servicio de AI o de modelos de lenguaje, ni se emplean para entrenar modelos de AI, ni se someten a decisiones automatizadas o a elaboración de perfiles en el sentido del Article 22 del RGPD.
Derechos del interesado
Cómo Responsable del tratamiento, tu organización es la encargada de responder a las solicitudes del interesado de tus usuarios de Microsoft 365. Aether365 almacena únicamente datos de configuración - nunca se procesan contenidos de correos electrónicos individuales, documentos personales ni correspondencia privada.
Cómo interesado de tu propia cuenta de Aether365 (tu dirección de correo y datos de la cuenta), tienes los siguientes derechos conforme al RGPD:
| Derecho | Cómo ejercerlo |
|---|---|
| Acceso (Art. 15) | Enviar un correo a privacy@aether365.io |
| Rectificación (Art. 16) | Actualiza tu cuenta en Settings o escribenos |
| Supresion (Art. 17) | Enviar un correo a privacy@aether365.io para solicitar la eliminación completa de la cuenta |
| Portabilidad (Art. 20) | Exporta tus datos de análisis mediante CSV o la API, o solicita una exportación completa por correo |
| Limitación (Art. 18) | Enviar un correo a privacy@aether365.io |
| Oposición (Art. 21) | Enviar un correo a privacy@aether365.io |
Respondemos a todas las solicitudes del interesado en un plazo de 30 días.
Acuerdo de tratamiento de datos
Un Acuerdo de Tratamiento de Datos (DPA) está disponible para los clientes de los planes Pro y Enterprise. El DPA:
- Documenta las obligaciones de Aether365 como encargado del tratamiento
- Especifica las medidas de seguridad técnicas y organizativas
- Enumera los subencargados y sus ubicaciones
- Define los procedimientos para solicitudes del interesado, brechas de datos y derechos de auditoría
Para recibir el DPA, enviar un correo a privacy@aether365.io. Los clientes Enterprise tienen el DPA incluido en su contrato; los clientes Pro pueden solicitarlo sin coste adicional.
Notificación de brechas de datos
En caso de una brecha de datos personales que afecte a tus datos, Aether365 te notificara sin demora indebida y a más tardar en 72 horas desde que tengamos conocimiento de la brecha, de conformidad con el Artículo 33 del RGPD.
Las notificaciones se enviarán a la dirección de correo del propietario de la cuenta. Los clientes Enterprise pueden designar una dirección de contacto de seguridad independiente.
Para informar de un incidente de seguridad: security@aether365.io
Autoridad de control
Aether365 está registrada en la UE. Nuestra autoridad de control principal es la Autoridad Sueca para la Protección de la Privacidad (IMY - Integritetsskyddsmyndigheten).
Tienes derecho a presentar una reclamación ante tu autoridad de control local si consideras que hemos tratado tus datos de forma ilicita.