Política de privacidad

1Responsable del tratamiento

INTERNATIONAL ACCREDITATION CENTER LATAM S.A. (en adelante, G-CERTI o el Organismo) es responsable del tratamiento de los datos personales recopilados a través del sitio gcerti.org, el portal de clientes, la academia y todos los servicios prestados, conforme a la legislación aplicable:

• Ley 25.326 (Argentina) — Protección de Datos Personales
• Resoluciones aplicables de la Agencia de Acceso a la Información Pública (AAIP) — Argentina
• Reglamento General de Protección de Datos UE 2016/679 (GDPR), cuando se traten datos de residentes en la Unión Europea
• Lei Geral de Proteção de Dados 13.709/2018 (LGPD) — Brasil
• Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) — México
• Normativa equivalente en otros países donde G-CERTI presta servicios

2Datos que tratamos

G-CERTI trata categorías diferenciadas de datos personales según el rol del titular:

• Visitantes del sitio: datos de navegación (IP, navegador, sistema operativo, páginas visitadas), cookies (ver política separada), información de formularios de contacto
• Personas en proceso de consulta o inscripción: nombre completo, email, teléfono, empresa o institución, cargo, norma de interés
• Clientes en relación contractual: razón social, CUIT/identificación tributaria, domicilio, datos de representantes legales, personal clave, información sobre el sistema de gestión auditado
• Alumnos de Academia: identificación, contacto, datos académicos y de pago, resultados de evaluaciones
• Auditores: datos profesionales y académicos, documentación de calificación y evaluación
• Personal interno: datos laborales conforme legislación laboral aplicable

3Finalidades del tratamiento

G-CERTI trata los datos para las siguientes finalidades específicas y limitadas:

• Prestación del servicio de certificación (auditorías, decisiones, emisión de certificados, vigilancias)
• Formación académica (Diplomados, cursos, talleres)
• Comunicación con clientes y prospectos sobre los servicios de G-CERTI (con consentimiento explícito para campañas no transaccionales)
• Cumplimiento de obligaciones legales (tributarias, contables, regulatorias)
• Comunicación con IAS y autoridades competentes en el marco de la acreditación
• Gestión interna de auditores y personal
• Estadísticas anonimizadas para mejora del servicio

4Base legal del tratamiento

Según la finalidad, G-CERTI aplica una de las siguientes bases legales:

• Ejecución de contrato: clientes en proceso o certificados, alumnos
• Cumplimiento de obligaciones legales: registros tributarios, requisitos ISO/IEC 17021-1
• Interés legítimo del Organismo, en equilibrio con derechos del titular: estadísticas anonimizadas, seguridad
• Consentimiento explícito del titular: newsletters, campañas no transaccionales, cookies opcionales

5Comunicación a terceros

G-CERTI comparte datos personales solo en las siguientes situaciones acotadas y siempre bajo acuerdos de confidencialidad:

• A IAS y autoridades de acreditación, en el marco del proceso de acreditación de G-CERTI
• A proveedores que prestan servicios a G-CERTI (hosting, email, pagos), bajo acuerdo de confidencialidad y limitación al fin del servicio
• A autoridades competentes cuando la ley lo exija
• Inclusión en el directorio público de clientes certificados: con consentimiento explícito del cliente

Las transferencias internacionales se realizan a países con nivel adecuado de protección o bajo Cláusulas Contractuales Estándar (SCC) según el caso.

6Plazo de conservación

G-CERTI conserva los datos personales por el tiempo estrictamente necesario para las finalidades declaradas:

• Datos de clientes certificados: durante la relación + 6 años desde el cierre (registros de decisión y auditoría)
• Datos de alumnos: durante la relación + 10 años (obligaciones académicas)
• Datos de auditores: durante la relación + 5 años
• Datos de prospectos y visitantes: hasta retirar el consentimiento o 24 meses desde el último contacto
• Datos contables y fiscales: según legislación tributaria aplicable

7Derechos del titular

El titular de los datos puede ejercer en cualquier momento los siguientes derechos sobre sus datos personales:

• Acceso a sus datos personales tratados por G-CERTI
• Rectificación de datos inexactos o desactualizados
• Supresión (derecho al olvido), con las limitaciones legales aplicables
• Oposición al tratamiento cuando exista motivo legítimo
• Limitación del tratamiento
• Portabilidad de sus datos en formato estructurado (cuando técnicamente aplique)
• Retiro del consentimiento dado para finalidades específicas, sin efectos retroactivos

Para ejercer estos derechos, escribir a [email protected] con copia de identificación. G-CERTI responde dentro de los 10 días hábiles desde la recepción. Si la respuesta no resulta satisfactoria, el titular puede reclamar ante AAIP (Argentina) o ante la autoridad de control de su país de residencia.

8Medidas de seguridad

G-CERTI aplica medidas técnicas y organizativas adecuadas para garantizar la seguridad de los datos personales tratados:

• Cifrado en tránsito (HTTPS, TLS 1.3) y en reposo (base de datos y backups)
• Control de acceso por rol con principio de menor privilegio
• Auditoría de accesos a información sensible
• Backups cifrados con replicación geográfica
• Acuerdos de confidencialidad con todo el personal y proveedores
• Plan documentado de respuesta a incidentes de seguridad
• Sistema de gestión de seguridad alineado con ISO/IEC 27001

9Brechas de datos

En caso de incidente de seguridad que afecte datos personales, G-CERTI procede según protocolo documentado:

• Notificación a la AAIP dentro de 72 horas cuando aplique (Ley 25.326 / GDPR cuando corresponda)
• Notificación a los titulares afectados cuando el riesgo sea alto para sus derechos y libertades
• Investigación interna documentada con análisis causa raíz
• Implementación de medidas correctivas y preventivas

10Cambios a esta política

G-CERTI actualiza esta política periódicamente para reflejar cambios en la legislación, en los servicios ofrecidos o en las prácticas de tratamiento. Las versiones anteriores quedan archivadas y disponibles a solicitud. Los cambios sustantivos se notifican a los titulares con 30 días de antelación cuando sea posible. El uso continuado de los servicios tras la publicación de cambios constituye la aceptación de la política actualizada.