Política de segurança da informação e privacidade

O Real Decreto 311/2022, de 8 de janeiro, que regulamenta o Sistema de Segurança Nacional (ENS), obriga-nos a proteger os serviços que prestamos aos nossos interessados. Com a implementação de um SGSI segundo a Norma UNE ISO/IEC 27001 integrado com a categoria MÉDIA ENS de acordo com os critérios estabelecidos no Anexo I do RD 311/2022, e a aplicação dos requisitos descritos nos Guias e Instruções Técnicas do CCN, reforça-se a segurança dos nossos serviços, bem como das informações e dados que incluem e que são necessários para a sua correta e adequada prestação.

A IAG7 Viajes trata determinados dados pessoais que devem ser registados e mantidos atualizados através do documento “Registo de Atividades de Tratamento” de forma a facilitar o controlo, gestão e proteção de direitos através da aplicação de medidas de segurança específicas para cumprimento do REGULAMENTO (UE) 2016/679 DO PARLAMENTO EUROPEU E DO CONSELHO de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral de Proteção de Dados), equivalente à Lei Orgânica 3/2018, de 5 de dezembro, sobre a Proteção de Dados Pessoais e Garantia dos Direitos Digitais, que foi criada para facilitar a aplicação e o cumprimento em Espanha.

Os regulamentos aplicáveis ​​à organização são os seguintes:

Seguindo estes princípios, a organização compromete-se a cumpri-los da seguinte forma:

a) Segurança como processo integral

Na IAG7 Viajes a segurança é um aspecto inerente a todas as nossas operações. Integramos a segurança em todas as fases dos nossos processos, desde a implementação de novos sistemas até à gestão diária da informação. Através de formação contínua e da promoção de uma cultura de segurança, garantimos que todos os nossos funcionários compreendem o seu papel na proteção dos nossos ativos de informação.

b) Gestão de segurança baseada em riscos

Atualmente, estamos conduzindo uma análise de risco abrangente para identificar as ameaças mais prováveis ​​e seus impactos potenciais. Catalogamos nossos ativos de informação e avaliamos seu valor para a organização. Com essas informações, desenhamos controles de segurança específicos para mitigar cada risco, priorizando aqueles que representam maior ameaça à continuidade dos nossos negócios.

c) Prevenção, detecção, resposta e conservação

Para evitar incidentes de segurança, implementámos múltiplas medidas de segurança, tais como firewalls, sistemas de deteção de intrusões e políticas de acesso seguro. Além disso, temos um plano detalhado de resposta a incidentes que nos permite detectar e responder rapidamente a quaisquer ameaças. No caso de um incidente, retemos todas as evidências necessárias para conduzir uma investigação completa e aprender com a experiência.

d) Existência de linhas de defesa

Estabelecemos uma defesa profunda, implementando múltiplas camadas de segurança para proteger nossos sistemas e dados. Essas camadas incluem controles físicos, lógicos e administrativos. Por exemplo, controlamos o acesso físico às nossas instalações, protegemos os nossos sistemas com antivírus e firewalls e implementamos políticas robustas de palavras-passe.

e) Vigilância contínua

Nossos sistemas são constantemente monitorados em busca de qualquer atividade suspeita. Utilizamos ferramentas de análise de log para identificar padrões incomuns e possíveis ameaças. Além disso, realizamos auditorias de segurança regulares para avaliar a eficácia dos nossos controles.

f) Reavaliação periódica

Reconhecemos que o cenário de ameaças está em constante evolução. Por isso, realizamos avaliações de risco regulares para identificar novas ameaças e ajustar os nossos controlos de segurança em conformidade. Também revisamos nossas políticas e procedimentos de segurança para garantir que permaneçam relevantes e eficazes.

g) Diferenciação de responsabilidades

Atribuímos claramente responsabilidades de segurança a diferentes áreas da empresa. Cada departamento tem funções e responsabilidades específicas na proteção das informações. Por exemplo, o departamento de TI é responsável pela segurança dos sistemas informáticos, enquanto o departamento de recursos humanos é responsável pela gestão de acessos.

Ao implementar estes princípios ENS, a IAG7 Viajes está a fortalecer significativamente a sua postura de segurança e a proteger proativamente os seus ativos de informação.

Além disso, na IAG7 Viajes é cumprida e respeitada a Lei da Propriedade Intelectual no que diz respeito à utilização do software, bem como a restante regulamentação aplicável incluída no documento “Quadro Regulatório”.

A Direção da IAG7 Viajes está empenhada em facilitar e disponibilizar os recursos necessários ao estabelecimento, implementação, manutenção e melhoria do SGSI/ENS da entidade, bem como demonstrar a sua liderança e compromisso através da criação do Comité de Segurança.

Esta política é compreendida, implementada e atualizada a todos os níveis da empresa e conta com o total empenho e apoio da Direção da IAG7 Viajes, que a estabelece, desenvolve e aplica através do Sistema de Gestão de Segurança da Informação implementado, de acordo com a norma internacional UNE-ISO IEC27001 e o R.D.

Serão estabelecidos nas funções e níveis relevantes, focados na melhoria e utilizando como referencial:

A implementação do SGSI/ENS IAG7 Viajes é realizada com base no “Mapa de Risco de Segurança”, que permite determinar o nível de segurança exigido pela organização e identificar os controlos necessários para tratar o risco e trazê-lo para um nível aceitável, de acordo com o Anexo I do RD 311/2022 e Anexo A da norma ISO 27001. Os controles de segurança devem ser implementados, mantidos e melhorados continuamente e estar disponíveis como informações documentadas que devem ser revisadas. e aprovado pelo Comitê de Segurança da Informação em nome da Direção Geral.

As informações documentadas serão classificadas em: Pública, Interna e Confidencial, dando-se uso adequado de acordo com tal classificação e de acordo com os critérios estabelecidos no Procedimento de Classificação e Rotulagem de Informações. A informação documentada sobre os controles de segurança deve ser comunicada ao pessoal que trabalha na entidade (pessoal interno e externo) que terá a obrigação de aplicá-la no desempenho de suas atividades laborais.

Em conformidade com o artigo 12 do Real Decreto da ENS, esta Política de Segurança será desenvolvida aplicando os seguintes requisitos mínimos e será incluída na documentação do sistema:

Serão realizadas auditorias para revisar e verificar a conformidade do SGSI/ENS da IAG7 Viajes com os requisitos da Norma ISO/IEC 27001 para o SGSI e com o Real Decreto 311/2022, de 8 de janeiro, que regulamenta o Esquema de Segurança Nacional, pelo que o pessoal afetado pelo âmbito das referidas auditorias deverá colaborar para a sua eficácia, bem como na aplicação de ações corretivas. que são derivados para melhoria contínua.

Nosso sistema de gestão possui a seguinte estrutura: Política de Segurança, regulamentos e procedimentos e registros internos.

A gestão do nosso sistema é confiada ao responsável pela informação.

O Comitê de Segurança da Informação procederá à revisão e proporá a aprovação desta Política de Segurança da Informação à Direção Geral responsável pela Informação.

Além disso, o Comité de Segurança centralizará os mecanismos de coordenação e resolução de conflitos entre os responsáveis ​​abaixo indicados, os quais serão discutidos através de debate durante as reuniões dos membros do referido Comité e que serão moderados pela Direção-Geral:

O Comitê de Segurança, representando a Direção Geral, será o órgão responsável pela aprovação da Política e será responsável por autorizar suas modificações, bem como toda a informação documentada do SGSI/ENS da entidade.

O Gestor de Segurança da Informação será responsável por notificar esta Política aos funcionários da entidade e das alterações que possam ocorrer na mesma, bem como coordenar as ações de implementação, manutenção e melhoria do SGSI/ENS da entidade (incluindo a assinatura da Declaração de Aplicabilidade que formaliza a lista de medidas de segurança aplicáveis ​​derivadas da Análise de Risco), e suas auditorias, com o Gestor de Sistemas que será responsável pela gestão dos requisitos técnicos de segurança dos sistemas. de informação, e com o Responsável pelo Serviço, cuja figura recai sobre os diretores das áreas da entidade, a quem caberá gerir os requisitos de segurança das atividades da sua área para a prestação de serviços.

O responsável por cada informação e/ou serviço afetado pela análise e gestão de riscos será indicado no Mapa de Riscos do SGSI/ENS, que incluirá os critérios que determinarão o nível de segurança exigido, no quadro estabelecido no artigo 40.º e nos critérios gerais prescritos no Anexo I do Real Decreto da ENS.

O Gestor de Proteção de Dados, em colaboração com a Comissão de Segurança, compromete-se a fazer face aos riscos decorrentes do tratamento de dados pessoais, pelo que será responsável por garantir que os dados pessoais são tratados e protegidos de acordo com o Regulamento Geral de Proteção de Dados (RGPD UE 2016/679), pelo que trabalhará em coordenação com o Gestor de Segurança da Informação e o Gestor de Sistemas.

Todo o pessoal da organização, tanto interno como externo, será responsável pelo cumprimento desta Política de Segurança da Informação dentro da sua área de trabalho, bem como pela aplicação de toda a informação documentada dos controlos e medidas de segurança do SGSI/ENS da IAG7 Viajes nas suas atividades de trabalho que afetem o seu desempenho na segurança da informação.

Esta Política de Segurança da Informação será examinada nas revisões do sistema pela Administração, por meio do Comitê de Segurança da Informação, sempre que ocorrerem alterações significativas e pelo menos uma vez por ano.

A presente Política de Segurança da Informação será aprovada pela Direção Geral da IAG7 Viajes mediante assinatura e divulgada aos interessados.

Da mesma forma, a Direção Geral fornecerá os recursos necessários para a aplicação eficaz desta política, e para o seu bom desenvolvimento, tanto nas atividades de implementação.

A IAG7 Viajes tem o dever de estruturar o nosso sistema de gestão de uma forma que seja de fácil compreensão. Nosso sistema de gestão possui a seguinte estrutura: POLÍTICAS, PROCEDIMENTOS E REGISTROS.

A gestão do nosso sistema é confiada ao responsável pela informação e o sistema ficará disponível no nosso sistema de informação num repositório, que poderá ser acedido de acordo com os perfis de acesso concedidos de acordo com o nosso atual procedimento de gestão de acessos.

As diferenças de critérios que possam levar a um conflito serão tratadas no âmbito do Comitê de Segurança e os critérios da Direção Geral prevalecerão em todos os casos.

Os principais riscos de proteção de dados para IAG7 Viajes são:

Para mitigar estes riscos, a IAG7 Viajes implementou as seguintes medidas:

Seguindo os princípios da legalidade, lealdade e transparência, a informação relevante relativa aos dados pessoais recolhidos de colaboradores e clientes é detalhada abaixo:

Na IAG7 Viajes, dependendo da categoria de interessado em causa, tratamos a informação que nos fornece com as seguintes finalidades:

A base legal para o tratamento dos seus dados pessoais, dependendo da categoria de interessado em causa, pode ser:

Os dados que lhe solicitamos são adequados, relevantes e estritamente necessários e em nenhum caso é obrigado a fornecê-los, mas o seu não fornecimento pode afetar a finalidade do serviço ou a impossibilidade de o fornecer.

Os seus dados serão conservados pelo tempo mínimo necessário à correta prestação do serviço oferecido, bem como ao cumprimento das responsabilidades que dele possam decorrer e de qualquer outra exigência legal.

Adicionalmente, informamos que determinados dados, por força da regulamentação em vigor ou da relação contratual que mantém com a IAG7 Viajes, poderão ser comunicados a:

Tal como indicamos anteriormente, para a gestão das finalidades inerentes ao desenvolvimento e cumprimento do serviço contratado, poderá ser necessária e obrigatória a comunicação dos seus dados a determinados fornecedores como companhias aéreas, companhias marítimas, hotéis e outros prestadores de serviços. Estes prestadores, dependendo do país de destino da sua viagem, podem estar localizados em países terceiros para os quais é necessária a realização de uma transferência internacional de dados e/ou podem estar localizados em países que não dispõem de garantias adequadas. Em qualquer caso, garantiremos que qualquer transferência internacional cumpra as garantias necessárias, de forma a garantir a confidencialidade das suas informações.

A INTEGRATION AGENCIA DE VIAJES poderá realizar transferências internacionais de dados derivados da aceitação de cookies deste site:

Google Llc e Google Ireland Limited transferem dados para os Estados Unidos com base no consentimento do usuário ao aceitar cookies.

Ao aceitar cookies destas entidades, o utilizador consente que os seus dados pessoais que possam ser recolhidos através do carregamento e leitura de cookies sejam transferidos para os Estados Unidos, país onde é oferecido um nível de proteção comparável ao europeu, apenas nas empresas americanas incluídas na lista de privacidade de dados UE-EUA, no que é conhecido como “Data Privacy Framework” (doravante, “DPF”). Se as empresas americanas não forem membros do DPF, entender-se-á que não garantem um nível de proteção comparável ao europeu.

Se o usuário não consentir com esta transferência internacional de dados para os Estados Unidos, deverá rejeitar estes cookies, não fornecendo nem obtendo as funcionalidades ou serviços oferecidos com estes cookies.

Poderá conhecer as transferências para países terceiros que, quando aplicável, são realizadas pelos terceiros identificados nopolítica de cookiesnas suas políticas correspondentes.

Os direitos de proteção de dados que os interessados ​​poderão exercer, quando aplicável, são:

Você pode utilizar os seguintes modelos para realizar seus exercícios de direitos:

Os titulares dos dados pessoais obtidos poderão exercer os seus direitos de proteção de dados pessoais enviando uma comunicação escrita para a sede social da Integración Agencias de Viajes S.A. ou para o email habilitado para o efeito,dpo@iag7viajes.com.

Você dispõe de modelos, formulários e mais informações sobre seus direitos no site da autoridade nacional de controle, Agência Espanhola de Proteção de Dados, doravante AEPD, emwww.aepd.es

Tem a possibilidade e o direito de retirar o consentimento para qualquer finalidade específica concedido no momento, sem afetar a legalidade do tratamento baseado no consentimento anterior à sua retirada.

Caso algum interessado considere que os seus dados não são corretamente tratados pela IAG7 Viajes ou que os pedidos de exercício de direitos não foram satisfatoriamente atendidos, poderá apresentar reclamação junto da autoridade de proteção de dados correspondente, sendo a AEPD a indicada no território nacional,www.aepd.es.

De forma a salvaguardar a segurança dos seus dados pessoais, informamos que a IAG7 Viajes adotou todas as medidas técnicas e organizativas necessárias para evitar a sua alteração, perda e/ou tratamento ou acesso não autorizado, conforme exigido pela regulamentação, embora não exista segurança absoluta.

É importante que, para que possamos manter os seus dados pessoais atualizados, nos informe sempre quando houver alguma alteração dos mesmos.

IAG7 Viajes informa que os seus dados serão tratados com o máximo cuidado e confidencialidade por todo o pessoal envolvido em qualquer uma das fases do tratamento. Não transferiremos nem comunicaremos os seus dados a terceiros, salvo nos casos legalmente previstos, ou salvo se o interessado nos tiver expressamente autorizado.