Jitjatjo Seguridad, Privacidad y Cumplimiento

Seguridad de la organización

Las políticas organizativas de Jitjatjo en materia de control de acceso sustentan nuestra protección de datos. Los derechos de acceso a los activos físicos y lógicos se conceden siguiendo los principios de mínimo privilegio y necesidad de saber.

Para garantizar la seguridad continua de las aplicaciones de Jitjatjo, nuestro equipo ha puesto en marcha un programa de seguridad informativa que incluye evaluaciones exhaustivas de los riesgos de seguridad, pruebas de penetración, revisiones de las características del software, análisis estáticos y dinámicos del código fuente y formación en seguridad de las aplicaciones para nuestros desarrolladores y administradores.

Seguridad de plataformas y Network

Jitjatjo se enorgullece de ofrecer Seguridad para la Empresa Inteligente en esta nueva era de rápido aumento de las ciberamenazas

Gestión de identidades y accesos

Hemos implantado métodos de identidad y acceso adecuados, como el inicio de sesión único (SSO), la autenticación multifactorial (MFA), el lenguaje de marcado de aserción de seguridad (SAML) y los certificados de seguridad para proteger las distintas capas de nuestra pila tecnológica.

Seguridad de Network

A lo largo de los distintos niveles de nuestras redes físicas y lógicas hemos implementado soluciones de seguridad para reducir las vías de ataque de las amenazas y proteger la usabilidad e integridad de nuestra plataforma.

La protección DDoS se emplea para garantizar la calidad del servicio para el tráfico normal. Un ataque de denegación de servicio distribuido (DDoS) es un intento malintencionado de interrumpir el tráfico normal de un servidor, servicio o red objetivo abrumando el objetivo o su infraestructura circundante con una avalancha de tráfico de Internet.

Las políticas del cortafuegos deaplicaciones web(WAF) nos protegen de los exploits web. Configuramos nuestras políticas WAF para controlar cómo llega el tráfico a nuestras aplicaciones y para bloquear los patrones de ataque más comunes, como la inyección de SQL o el cross-site scripting.

Los grupos de seguridad controlan el flujo de tráfico entrante y saliente hacia y desde las redes de confianza. El acceso directo a nuestra infraestructura sólo se autoriza desde redes predefinidas y autentificadas. El tráfico de red que sale de nuestra infraestructura sólo está autorizado para los protocolos predefinidos.

Las listas decontrol de acceso a la red controlan el flujo de acceso a nivel de protocolo y subred. Esto proporciona un aislamiento lógico de los entornos y niveles de red, permitiendo únicamente las redes de la lista blanca.

Cifrado de datos

Todos los datos están encriptados, y punto. Tanto si se trata de un objeto almacenado (fotos, documentos, vídeos, etc.) como de los datos de los clientes que residen en nuestra base de datos, se cifran en reposo y en tránsito tanto en las redes internas como en las externas.

Los volúmenes de disco de nuestra infraestructura de servidores también están cifrados por defecto.

Seguridad de las aplicaciones

La seguridad de nuestra aplicación es multifacética y de varios niveles. Llevamos a cabo escaneos de seguridad (SAST, DAST y escaneos de vulnerabilidad) de nuestra aplicación en cada commit de código y antes de cada lanzamiento.

Static Application Security Testing(SAST), analiza el código fuente antes de ser compilado para encontrar vulnerabilidades de seguridad. Las pruebas dinámicas de seguridad de aplicaciones (DAST) examinan la aplicación mientras se ejecuta para encontrar vulnerabilidades que un atacante podría explotar.

Cualquier vulnerabilidad identificada genera inmediatamente una alerta para que nuestro equipo de seguridad de la información la investigue y la corrija.

Detección de amenazas y supervisión de la seguridad

Nuestros protocolos de operaciones de seguridad supervisan y analizan continuamente la actividad en redes, servidores, puntos finales, bases de datos, aplicaciones, sitios web y otros sistemas, en busca de actividades anómalas que puedan ser indicativas de un incidente o compromiso de seguridad.

En algunos casos, el tiempo medio para cerrar una amenaza se elimina mediante la orquestación, automatización y respuesta de seguridad. Las amenazas (o amenazas potenciales) se detectan, se clasifican y se automatiza una respuesta adecuada para eliminar la amenaza.

Seguridad operativa

Las políticas operativas de Jitjatjo en materia de control de acceso sustentan nuestra protección de datos. Los derechos de acceso a los activos físicos y lógicos se concederán siguiendo los principios de mínimo privilegio y necesidad de saber.

Para garantizar la seguridad continua de las aplicaciones de Jitjatjo, nuestro equipo ha puesto en marcha un programa que incluye una evaluación en profundidad de los riesgos de seguridad, pruebas de penetración, una revisión de las características de Jitjatjo, análisis estáticos y dinámicos del código fuente y formación en seguridad de las aplicaciones para nuestros desarrolladores y administradores.

La seguridad e integridad de los datos de los clientes también se extiende a la disponibilidad y el acceso a esos datos.

Recuperación de catástrofes

Dado que las catástrofes ocurren raramente, la dirección de otras empresas suele ignorar el proceso de planificación de la recuperación de desastres(DR). En Jitjatjo no sólo planificamos las catástrofes y cómo recuperarnos de ellas, sino que simulamos catástrofes para reforzar nuestras políticas de recuperación de desastres y nuestra capacidad de recuperación, con el fin de mantener nuestra ventaja competitiva.

La infraestructura en la nube de Jitjatjo está diseñada para tolerar fallos a todos los niveles. Dentro de una única región, la infraestructura que aloja los servicios críticos está altamente disponible(HA) y es capaz de mantener la disponibilidad del servicio en caso de que se produzca un corte o un problema en cualquier zona de disponibilidad(AZ) dentro de la región. Las bases de datos, los cachés, los servidores, los equilibradores de carga y el almacenamiento de objetos son tolerantes a fallos y se despliegan en una arquitectura multi-AZ. Esta capacidad de recuperación y conmutación por error es automática y no requiere ningún plan de recuperación o respuesta de los sistemas. La arquitectura también amplía la disponibilidad y la continuidad del servicio de Jitjatjo Network Apps a través de múltiples regiones para mitigar un fallo total de toda una región.

Ciclo de vida del desarrollo de la seguridad (SDL/SDLC)

En Jitjatjo, utilizamos prácticas de SDL seguras para integrar los requisitos de seguridad y las múltiples capas de pruebas de seguridad en nuestros procesos de desarrollo e implantación de software.

Relación de procesamiento

Como responsables del tratamiento de datos, hemos aplicado cuidadosamente las medidas técnicas y organizativas para demostrar nuestra obligación de proteger todos los datos personales.

Nos aseguramos de que nuestros clientes y empleados puedan ejercer sus derechos en relación con sus datos personales, incluidos el acceso, la supresión, la rectificación, la restricción y la portabilidad de los datos.

Al trabajar con nuestros proveedores de servicios, sólo seleccionamos procesadores de datos que ofrezcan garantías suficientes de que aplicarán las medidas adecuadas para asegurar que su procesamiento cumple los mismos requisitos que nosotros.

Privacidad por diseño

En Jitjatjo, integramos de forma proactiva la privacidad en el diseño y desarrollo de nuestras aplicaciones, la infraestructura en red y las prácticas empresariales.

Los 7 principios fundamentales de la privacidad por diseño:

1. Proactivo, no reactivo; preventivo, no correctivo
2. La privacidad como configuración por defecto
3. Privacidad integrada en el diseño
4. Funcionalidad completa - Suma positiva, no suma cero
5. Seguridad de extremo a extremo: protección de todo el ciclo de vida
6. Visibilidad y transparencia: manténgase abierto
7. Respeto a la privacidad de los usuarios - Mantenerlo centrado en el usuario

Consideramos cuidadosamente el impacto en la privacidad cuando desarrollamos los requisitos de diseño de las tecnologías y las prácticas empresariales. Nuestros procesos evalúan el impacto en la privacidad de las personas y damos prioridad a la anonimización de los datos siempre que sea posible.

Transparencia de los datos

Proporcionamos transparencia en las regiones geográficas donde se almacenan y procesan los datos de nuestros clientes empresariales.

Privacidad de datos a nivel mundial

Como proveedor de soluciones globales, los clientes de Jitjatjo deben cumplir con una serie de leyes y reglamentos complejos y aparentemente interminables. Jitjatjo mantiene su compromiso con los estándares globales de privacidad.

Nuestras aplicaciones están diseñadas para permitirle lograr configuraciones diferenciadas que le ayuden a cumplir con las leyes específicas de su país.

Privacidad de datos en Estados Unidos (FTC, FCRA, HIPAA, CPRA, SHIELD)

No existe una ley federal global que regule la privacidad de los datos en Estados Unidos, sino que hay un complejo mosaico de leyes específicas del sector, del medio y del estado sobre la privacidad de los datos.

Ley de la Comisión Federal de Comercio (FTC)

La Ley de la Comisión Federal de Comercio(FTC) tiene una amplia jurisdicción sobre las entidades comerciales en virtud de su autoridad para prevenir las "prácticas comerciales desleales o engañosas". La misión de la FTC es proteger a los consumidores y a la competencia impidiendo las prácticas comerciales anticompetitivas, engañosas y desleales mediante la aplicación de la ley, la promoción y la educación, sin imponer una carga excesiva a la actividad comercial legítima. Aunque la FTC no regula explícitamente qué información debe incluirse en las políticas de privacidad, utiliza su autoridad para emitir reglamentos, hacer cumplir las leyes de privacidad y tomar medidas de aplicación para proteger a los consumidores. Por ejemplo, la FTC puede tomar medidas contra las organizaciones que:

• No aplicar y mantener medidas razonables de seguridad de los datos.
• No respetar los principios de autorregulación aplicables del sector de la organización.
• No seguir una política de privacidad publicada.
• Transferir información personal de una manera que no se haya indicado en la política de privacidad.
• Hacer representaciones inexactas de privacidad y seguridad (mentir) a los consumidores y en las políticas de privacidad.
• No proporcionar suficiente seguridad a los datos personales.
• Violar los derechos de privacidad de los datos de los consumidores al recopilar, procesar o compartir la información de los consumidores es una violación del marco de privacidad de los consumidores de la FTC o de las leyes y reglamentos nacionales de privacidad.
• Realizar prácticas publicitarias engañosas.

‍

Ley de Información Crediticia Justa (FCRA)

La Ley Federal de Informes Crediticios Justos(FCRA) promueve la exactitud, imparcialidad y privacidad de la información en los archivos de las agencias de informes de los consumidores, incluyendo la verificación de antecedentes.

Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA)

La Ley de Portabilidad y Responsabilidad de los Seguros Médicos(HIPAA) es una ley federal que exigió la creación de normas nacionales para proteger la información sanitaria sensible de los pacientes de su divulgación sin el consentimiento o el conocimiento del paciente. La HIPAA establece tres normas para proteger la información sanitaria de los pacientes.

• Laregla de privacidad protege la privacidad de la información sanitaria individualmente identificable, denominada información sanitaria protegida (PHI)
• La regla de seguridad protege un subconjunto de información cubierta por la regla de privacidad, que es toda la información de salud individualmente identificable que una entidad cubierta crea, recibe, mantiene o transmite en forma electrónica
• Regla de Notificación de Violación una entidad cubierta debe notificar a la Secretaría de Salud si descubre una violación de información de salud protegida no asegurada.

‍

Ley de Derechos de Privacidad de California (CPRA)

La Ley de Derechos de Privacidad de California (CPRA) revisa y amplía la Ley de Privacidad del Consumidor de California(CCPA), creando nuevos requisitos para el sector, derechos de privacidad del consumidor y mecanismos de aplicación. La CPRA aclara que las personas pueden optar por no vender ni compartir su información personal con terceros.

Derecho a corregir la información inexacta

Cuando las personas ejercen el derecho de acceso a la información y la información proporcionada es inexacta, pueden solicitar a la empresa que la corrija. La empresa está obligada a hacer esfuerzos comercialmente razonables para corregir esa información si recibe una solicitud verificable del consumidor (se aplican algunas excepciones).

Derecho a que la información personal recopilada esté sujeta a la minimización de datos y a la limitación de la finalidad

Las empresas están obligadas a minimizar el uso, la conservación y el intercambio de información personal a lo que sea razonablemente necesario y proporcionado para lograr los fines para los que se recogió la información.

Derecho a recibir una notificación de las empresas que planean utilizar información personal sensible y pedirles que dejen de hacerlo

Las empresas están obligadas a avisar a los ciudadanos si tienen previsto recoger o utilizar cualquier tipo de información personal sensible, y una persona puede pedir a las empresas que dejen de venderla, compartirla y utilizarla. Este tipo de información incluye:

• información que revele un número de seguridad social, de permiso de conducir, de tarjeta de identificación estatal o de pasaporte
• el número de registro de la cuenta, de la cuenta financiera, de la tarjeta de débito o de la tarjeta de crédito en combinación con el código de acceso, la contraseña o las credenciales de los mismos
• geolocalización precisa
• el origen racial o étnico, las creencias religiosas o filosóficas, o la afiliación sindical
• contenido del correo, del correo electrónico y de los mensajes de texto
• datos genéticos
• información biométrica con el fin de identificar a alguien
• información recogida y analizada sobre la salud, la vida sexual o la orientación sexual de una persona
  

Ley de Nueva York para detener los ataques y mejorar la seguridad de los datos electrónicos (SHIELD)

La ley "Stop Hacks and Improve Electronic Data Security"(SHIELD) modifica la actual ley de notificación de violaciones de datos de Nueva York y crea más requisitos de seguridad de datos para las empresas que recopilan información sobre los residentes de Nueva York. La Ley SHIELD exige a toda persona o empresa que posea o autorice datos informatizados que incluyan información privada de un residente de Nueva York que aplique y mantenga salvaguardias razonables para proteger la seguridad, la confidencialidad y la integridad de la información privada.

Privacidad de datos de la UE (GDPR)

La legislación del Reglamento General de Protección de Datos(GDPR) se formó para armonizar las leyes de privacidad de datos en toda Europa. En el proceso, se potencia la privacidad de los datos de todos los ciudadanos de la UE y se reconfigura la forma en que las organizaciones abordan la privacidad de los datos de forma segura y transparente.

Jitjatjo está y estará siempre comprometido con la protección de los datos personales de nuestros usuarios. Como recopiladores y procesadores de datos, somos conscientes de nuestra responsabilidad en materia de protección de datos y hemos implementado las prácticas técnicas y organizativas necesarias para garantizar que los datos personales se procesen de acuerdo con los más estrictos controles de seguridad.

Todo tratamiento de datos personales debe respetar seis principios, que son responsabilidad del responsable del tratamiento:

1. Legalidad, equidad y transparencia;
2. Limitación del tratamiento a fines legítimos;
3. Minimización de datos;
4. Precisión;
5. Limitación del periodo de almacenamiento;
6. Integridad y confidencialidad.

A continuación se presenta un resumen de las secciones del GDPR que son más aplicables a los usuarios de los servicios de Jitjatjo.

Datos

Desde la perspectiva de Jitjatjo, reconocemos que recogemos, procesamos, almacenamos y somos propietarios de los datos y de la relación con los ciudadanos de la UE. Entendemos que la información que procesamos está clasificada como datos personales y que cumplir con el GDPR requiere la protección de la información de los interesados.

Datos de los sujetos

Al ser un agencia de empleo digital, la persona a la que se aplica el RGPD puede ser un empleado de un cliente empresarial o alguien que solicita convertirse en empleado. Un empleado puede ser un usuario de una aplicación que administra la plataforma, gestiona la mano de obra, está autorizado por una empresa para crear horarios, confirmar reservas o aceptar asignaciones de trabajo.

Base legal

El GDPR sólo permite la recogida de datos del usuario por una razón legal. Jitjatjo solo recopila datos con fines de verificación según nuestras condiciones de servicio y política de privacidad y con el consentimiento del interesado.

El derecho al olvido

El interesado tendrá derecho a obtener del responsable del tratamiento la supresión de los datos personales que le conciernen sin demora indebida y el responsable del tratamiento (Jitjatjo) tendrá la obligación de suprimir los datos personales sin demora indebida.

Los interesados pueden presentar un formulario de solicitud de borrado a un representante de Jitjatjo.

Privacidad de datos en el Reino Unido

La Ley de Protección de Datos de 2018 es la aplicación en el Reino Unido del Reglamento General de Protección de Datos (RGPD) - véase más arriba.

Privacidad de datos en la UA

La Ley de Privacidad de 1988 es la principal legislación australiana que protege el tratamiento de la información personal de los individuos. Incluye la recogida, el uso, el almacenamiento y la divulgación de información personal.

• la recogida, el uso y la divulgación de información personal.
• la gobernanza y la responsabilidad de una organización o agencia.
• integridad y corrección de la información personal.
• los derechos de las personas a acceder a su información personal.

Los Principios Australianos de Privacidad (APP) se refieren a las siguientes áreas:

1. Gestión abierta y transparente de la información personal
2. Anonimato y seudonimato
3. Recogida de información personal solicitada
4. Tratamiento de la información personal no solicitada
5. Notificación de la recogida de información personal
6. Uso o divulgación de información personal
7. Marketing directo
8. Divulgación transfronteriza de información personal
9. Adopción, uso o divulgación de identificadores relacionados con el gobierno
10. Calidad de la información personal
11. Seguridad de la información personal
12. Acceso a la información personal
13. Corrección de la información personal

Cumplimiento de los requisitos de RRHH/Empleo

Garantizar que los nuevos contratados reúnen los requisitos para trabajar en la jurisdicción y que sus antecedentes se investigan adecuadamente antes de comenzar a trabajar son estrategias esenciales de mitigación de riesgos para los empresarios.