Política de seguridad de la información y privacidad

El Real Decreto 311/2022, de 8 de enero que regula el Esquema Nacional de Seguridad (ENS) nos obliga a proteger los servicios que prestamos a nuestras partes interesadas. Con la implantación de un SGSI bajo la Norma UNE ISO/IEC 27001 integrado con el ENS de categoría MEDIA conforme a los criterios establecidos en el anexo I del RD 311/2022, y la aplicación de los requisitos descritos en las Guías e Instrucciones Técnicas del CCN, se fortalece la seguridad de nuestros servicios, así como de la información y datos que incluyen y que son necesarios para su correcta y adecuada prestación.

IAG7 Viajes trata determinados datos de carácter personal que deberán registrarse y mantenerse actualizados mediante del documento “Registro de Actividades de Tratamiento” con el objeto de facilitar el control, la gestión y la protección de los derechos aplicando medidas de seguridad específicas para cumplir con el REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos), equivalente a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, que se creó para facilitar la aplicación y cumplimiento en España.

La normativa aplicable a la organización es la siguiente:

Siguiendo estos principios la organización se compromete a cumplir con los mismos de la siguiente manera:

a) Seguridad como proceso integral

En IAG7 Viajes, la seguridad es un aspecto inherente a todas nuestras operaciones. Hemos integrado la seguridad en cada fase de nuestros procesos, desde la implantación de nuevos sistemas hasta la gestión diaria de la información. A través de capacitaciones continuas y la promoción de una cultura de seguridad, estamos asegurando que todos nuestros empleados comprendan su papel en la protección de nuestros activos de información.

b) Gestión de la seguridad basada en los riesgos

Actualmente, estamos llevando a cabo un análisis de riesgos exhaustivo para identificar las amenazas más probables y sus posibles impactos. Hemos catalogado nuestros activos de información y evaluado su valor para la organización. Con esta información, diseñamos controles de seguridad específicos para mitigar cada riesgo, priorizando aquellos que representan una mayor amenaza para nuestra continuidad de negocio.

c) Prevención, detección, respuesta y conservación

Para prevenir incidentes de seguridad, hemos implementado múltiples medidas de seguridad, como firewalls, sistemas de detección de intrusiones y políticas de acceso seguras. Además, contamos con un plan de respuesta a incidentes detallado que nos permite detectar y responder rápidamente a cualquier amenaza. En caso de producirse un incidente, conservamos toda la evidencia necesaria para realizar una investigación exhaustiva y aprender de la experiencia.

d) Existencia de líneas de defensa

Hemos establecido una defensa en profundidad, implementando múltiples capas de seguridad para proteger nuestros sistemas y datos. Estas capas incluyen controles físicos, lógicos y administrativos. Por ejemplo, controlamos el acceso físico a nuestras instalaciones, protegemos nuestros sistemas con antivirus y firewalls, y hemos implementado políticas de contraseñas robustas.

e) Vigilancia continua

Nuestros sistemas están siendo monitoreados de forma constante para detectar cualquier actividad sospechosa. Utilizamos herramientas de análisis de logs para identificar patrones inusuales y posibles amenazas. Además, realizamos auditorías de seguridad periódicas para evaluar la efectividad de nuestros controles.

f) Reevaluación periódica

Reconocemos que el panorama de las amenazas evoluciona constantemente. Por ello, realizamos evaluaciones de riesgo periódicas para identificar nuevas amenazas y ajustar nuestros controles de seguridad en consecuencia. También revisamos nuestras políticas y procedimientos de seguridad para asegurarnos de que siguen siendo relevantes y eficaces.

g) Diferenciación de responsabilidades

Hemos asignado claramente las responsabilidades en materia de seguridad a diferentes áreas de la empresa. Cada departamento tiene roles y responsabilidades específicas en la protección de la información. Por ejemplo, el departamento de sistemas es responsable de la seguridad de los sistemas informáticos, mientras que el departamento de recursos humanos es responsable de la gestión de los accesos.

Al implementar estos principios del ENS, IAG7 Viajes está fortaleciendo significativamente su postura de seguridad y protegiendo sus activos de información de manera proactiva.

Además, en IAG7 Viajes se cumple y respeta la Ley de Propiedad Intelectual en lo que se refiere al uso del software, así como el resto de las normativas aplicables recogidas en el documento “Marco Normativo”.

La Dirección de IAG7 Viajes se compromete a facilitar y proporcionar los recursos necesarios para el establecimiento, implantación, mantenimiento y mejora del SGSI/ENS de la entidad, así como a demostrar su liderazgo y compromiso a través de la constitución del Comité de Seguridad.

Esta política es entendida, implantada y mantenida al día en todos los niveles de la empresa y cuenta con el total compromiso y apoyo de la Dirección de IAG7 Viajes, quien la establece, desarrolla y aplica por medio del Sistema de Gestión de la Seguridad de la Información implantado, según la norma internacional UNE‐ISO IEC27001 y el R.D. 311/2022 del Esquema Nacional de Seguridad.

Se establecerán en las funciones y niveles pertinentes, enfocados a la mejora y utilizando como marco de referencia:

El despliegue del SGSI/ENS de IAG7 Viajes se realiza a partir del “Mapa de Riesgos de Seguridad”, que permite determinar el nivel de seguridad requerido por la organización e identificar los controles necesarios para el tratamiento del riesgo y llevarlo a un nivel aceptable, conforme al Anexo I del RD 311/2022 y al Anexo A de la norma ISO 27001. Los controles de seguridad deberán implantarse, mantenerse y mejorarse continuamente y estar disponibles como información documentada que deberá ser revisada y aprobada por el Comité de Seguridad de la Información en representación de la Dirección General.

La información documentada será clasificada en: Pública, Interna y Confidencial, dando el uso adecuado de acuerdo con dicha clasificación y según el criterio que se establezca en el Procedimiento de Clasificación y Etiquetado de la Información. Se deberá comunicar la información documentada de los controles de seguridad al personal que trabaja en la entidad (personal interno y externo) que tendrá la obligación de aplicarla en la realización de sus actividades laborales.

En cumplimiento del artículo 12 del Real Decreto del ENS, la presente Política de Seguridad se desarrollará aplicando los siguientes requisitos mínimos e incluirse en la documentación del sistema:

Se realizarán auditorías que revisen y verifiquen el cumplimiento del SGSI/ENS de IAG7 Viajes con los requisitos de la Norma ISO/IEC 27001 para el SGSI y con el Real Decreto 311/2022, de 8 de enero que regula el Esquema Nacional de Seguridad, por lo que el personal afectado por el alcance de dichas auditorías deberá ser colaborativo para la eficacia de estas, así como en la aplicación de las acciones correctivas que se deriven para el mejoramiento continuo.

Nuestro sistema de gestión tiene la siguiente estructura: Política de Seguridad, normativas y procedimientos internos y registros.

La gestión de nuestro sistema se encomienda al responsable de la información.

El Comité de Seguridad de la Información procederá a revisar y a proponer la aprobación de la presente Política de Seguridad de la Información a la Dirección General, que es la Responsable de la Información.

Además, el Comité de Seguridad centralizará los mecanismos de coordinación y resolución de conflictos entre los responsables que se indican a continuación, que se tratarán mediante debate durante las reuniones de los miembros de dicho Comité y que serán moderados por la Dirección General:

El Comité de Seguridad, en representación de la Dirección General, será el órgano encargado de aprobar la Política y será la responsable de la autorización de sus modificaciones, así como de toda la información documentada del SGSI/ENS de la entidad.

El Responsable de Seguridad de la Información será el encargado de notificar la presente Política al personal de la entidad y de los cambios que en ella se produzcan, así como de coordinar las acciones de implantación, mantenimiento y mejora del SGSI/ENS de la entidad (incluyendo la firma de la Declaración de Aplicabilidad que formaliza la relación de medidas de seguridad aplicables derivadas del Análisis de Riesgos), y de sus auditorías, con el Responsable de Sistemas que se encargará de gestionar los requisitos técnicos de seguridad de los sistemas de información, y con el Responsable del Servicio, cuya figura recae en los directores de las áreas de la entidad, que se encargará de gestionar los requisitos de seguridad de las actividades de su área para la prestación de los servicios.

El Responsable de cada información y/o del servicio afectado por el análisis y gestión de riesgos se indicará en el Mapa de Riesgos del SGSI/ENS que recogerá los criterios que determinarán el nivel de seguridad requerido, dentro del marco establecido en el artículo 40 y los criterios generales prescritos en el Anexo I del Real Decreto del ENS.

El Responsable de Protección de Datos en colaboración con el Comité Seguridad se compromete a tratar los riesgos derivados del tratamiento de los datos de carácter personal y por tanto será el encargado de garantizar que los datos personales se tratan y se protegen conforme al Reglamento General de Protección de Datos (RGPD UE 2016/679), por lo que trabajará en coordinación con el Responsable de Seguridad de la Información y con el Responsable de Sistemas.

Todo el personal de la organización, tanto interno como externo, será responsable de cumplir con la presente Política de Seguridad de la Información dentro de su área de trabajo, así como de aplicar toda la información documentada de los controles y medidas de seguridad del SGSI/ENS de IAG7 Viajes en sus actividades laborales que afecta a su desempeño en seguridad de la información.

La presente Política de Seguridad de la Información será examinada en las revisiones del sistema por la Dirección a través del Comité de Seguridad de la Información siempre que se produzcan cambios significativos y, como mínimo, una vez al año.

La presente Política de Seguridad de la Información será aprobada por la Dirección General de IAG7 Viajes mediante firma y difundida a las partes interesadas.

Así mismo, la Dirección General dotará de los recursos necesarios para la aplicación efectiva de esta política, y para su buen desarrollo, tanto en las actividades de implantación.

IAG7 Viajes dispone del deber de estructurar nuestro sistema de gestión de forma que sea fácil de comprender. Nuestro sistema de gestión tiene la siguiente estructura: POLÍTICAS, PROCEDIMIENTOS Y REGISTROS.

La gestión de nuestro sistema se encomienda al responsable de la información y el sistema estará disponible en nuestro sistema de información en un repositorio, al cual se puede acceder según los perfiles de acceso concedidos según nuestro procedimiento en vigor de gestión de los accesos.

Las diferencias de criterios que pudiesen derivar en un conflicto se tratarán en el seno del Comité de Seguridad y prevalecerá en todo caso el criterio de la Dirección General.

Los principales riesgos en materia de protección de datos para IAG7 Viajes son:

Para mitigar estos riesgos, IAG7 Viajes ha implementado las siguientes medidas:

Siguiendo los principios de licitud, lealtad y transparencia, a continuación se detalla la información relevante con respecto a los datos de carácter personal recabados de empleados y clientes:

En IAG7 Viajes dependiendo de la categoría de interesado de que se trate, tratamos la información que nos facilita con las siguientes finalidades:

La base legal para el tratamiento de sus datos personales, dependiendo de la categoría de interesado de que se trate, puede ser:

Los datos que le solicitamos son adecuados, pertinentes y estrictamente necesarios y en ningún caso está obligado a facilitárnoslos, pero su no comunicación podrá afectar a la finalidad del servicio o la imposibilidad de prestarlo.

Sus datos serán conservados el tiempo mínimo necesario para la correcta prestación del servicio ofrecido, así como para atender las responsabilidades que se pudieran derivar del mismo y de cualquier otra exigencia legal.

Adicionalmente le informamos que determinados datos, en virtud de la normativa vigente o de la relación contractual que mantenga con IAG7 Viajes, podrán ser comunicados a:

Como hemos indicado anteriormente, para la gestión de las finalidades inherentes al desarrollo y cumplimento del servicio contratado puede resultar necesario y obligatorio la comunicación de sus datos a determinados proveedores tales como compañías aéreas, navieras, hoteles y otros proveedores de servicios. Estos proveedores, dependiendo del país de destino de su viaje, podrán estar ubicados en terceros países para los que sea necesario realizar una transferencia internacional de datos y/o estén ubicados en países que no cuentan con las garantías adecuadas. En cualquier caso, nos aseguraremos de que cualquier transferencia internacional cumpla con las garantías necesarias, a efectos de garantizar la confidencialidad de su información.

INTEGRACIÓN AGENCIA DE VIAJES podría realizar desde este sitio web transferencias internacionales de datos derivados de la aceptación de las cookies:

Google Llc y Google Ireland Limited transfieren datos a Estados Unidos en base al consentimiento del usuario al aceptar las cookies.

Al aceptar las cookies de estas entidades el usuario consiente que sus datos personales que puedan recabarse a través de la carga y lectura de las cookies sean transferidos a Estados Unidos, país en el que se ofrece un nivel de protección equiparable al europeo, solo en aquellas empresas estadounidenses incluidas en la lista de privacidad de datos UE-EE.UU., en el conocido como “Data Privacy Framework” (en adelante, “DPF”). En caso de que las empresas estadounidenses no estén adheridas al DPF, se entenderán que las mismas no garantizan un nivel de protección equiparable al europeo.

En caso de que el usuario no consienta esta transferencia internacional de datos a Estados Unidos deberá rechazar estas cookies no prestándose ni obteniéndose las funcionalidades o servicios que se ofrecen con estas cookies.

Puedes informarte de las transferencias a terceros países que, en su caso, realizan los terceros identificados en la política de cookies en sus correspondientes políticas.

Los derechos de protección de datos que podrán ejercer los interesados, cuando procedan, son:

Puede utilizar los siguientes modelos para realizar sus ejercicios de derechos:

Los titulares de los datos personales obtenidos podrán ejercer sus derechos de protección de datos personales dirigiendo una comunicación por escrito al domicilio social de Integración Agencias de Viajes S.A. o al correo electrónico habilitado a tal efecto, dpo@iag7viajes.com.

Dispone de modelos, formularios y más información disponible sobre sus derechos en la página web de la autoridad de control nacional, Agencia Española de Protección de Datos, en adelante, AEPD, en www.aepd.es

Usted tiene la posibilidad y el derecho de retirar el consentimiento para cualquier finalidad específica otorgada en su momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada.

Si algún interesado considera que sus datos no son tratados correctamente por IAG7 Viajes o que las solicitudes de ejercicio de derechos no han sido atendidas de forma satisfactoria, puede interponer una reclamación ante a la autoridad de protección de datos que corresponda, siendo la AEPD la indicada en el territorio nacional, www.aepd.es.

Con el objetivo de salvaguardar la seguridad de sus datos personales, le informamos de que IAG7 Viajes ha adoptado todas las medidas de índole técnica y organizativa necesarias para evitar su alteración, pérdida, y/o tratamientos o accesos no autorizados, tal como exige la normativa, si bien la seguridad absoluta no existe.

Es importante que, para que podamos mantener sus datos personales actualizados, nos informe siempre que se produzca una modificación de estos.

IAG7 Viajes le informa de que sus datos serán tratados con el máximo celo y confidencialidad por todo el personal que intervenga en cualquiera de las fases del tratamiento. No cederemos ni comunicaremos a ningún tercero sus datos, excepto en los casos legalmente previstos, o salvo que el interesado nos hubiera autorizado expresamente.