1. Identificación de la organización Responsable del Tratamiento
De conformidad con lo dispuesto en el Reglamento (UE) 2016/679, de 27 de abril de 2016 (GDPR), la organización Responsable del tratamiento es quien determina los fines y los medios del tratamiento de datos personales (Ficheros).
Nombre fiscal TORREÓN DE FERNÁN GONZÁLEZ S.L
Marca comercial Torreón de Fernán González (Jewels For A Princess)
Actividad VISITAS AL TORREÓN DE FERNÁN GONZÁLEZ, ORGANIZACIÓN DE EVENTOS DE FORMA EVENTUAL Y TIENDA DE RECUERDOS
Dirección Plaza Doña Sancha, 7 - 09346 COVARRUBIAS (Burgos)
Teléfono 677534267
E-mail tienda@torreondefernangonzalez.es
DPO


2. Identificación de los Ficheros de datos personales
Un fichero es un conjunto estructurado de datos personales accesibles con arreglo a criterios determinados y susceptibles de tratamiento para un fin específico.
Fichero Descripción Tipo Sistema Categoría
CLIENTES Y PROVEEDORES Gestión administrativa con clientes y proveedores. Incluye datos de contacto de personas físicas que presten servicios a una persona jurídica, inclusive los profesionales individuales Responsable Mixto BÁSICO
FISCAL Y CONTABLE Registro de las obligaciones fiscales y contables sujetas a la actividad económica Responsable Mixto BÁSICO
CONTACTOS Comunicación, información y gestión sobre productos y servicios. Incluye contactos web y redes sociales Responsable Mixto BÁSICO
AUDIOVISUALES Gestión publicitaria audiovisual. Incluye imágenes (foto/vídeo) y sonido (voz) de personas Responsable Mixto BÁSICO
TPV Datos personales facilitados en la pasarela de pago Responsable Digital BÁSICO


3. Política de seguridad relativa a la protección de datos
La Organización ha implementado las siguientes medidas de protección de datos:
1. Protección de datos desde el diseño y por defecto.
2. Análisis de los riesgos del tratamiento.
3. Medidas específicas de protección de datos.


3.1. Protección de datos desde el diseño y por defecto
De conformidad con el artículo 25 del Reglamento (UE) 2016/679, de 27 de abril de 2016 (GDPR), la protección de datos desde el diseño y por defecto se basa en la implementación de medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que entrañe el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, alcance, contexto y fines del tratamiento.
El Responsable del tratamiento ha aplicado, desde el diseño y por defecto, las siguientes medidas de seguridad:
• Finalidad del tratamiento:
o Se tratan los datos para fines determinados, explícitos y legítimos.
o No se tratarán los datos posteriormente de manera incompatible con dichos fines.
• Minimización de datos:
o Se obtienen únicamente los datos adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados.
• Exactitud de datos
o Se han adoptado mecanismos adecuados para actualizar los datos.
• Confidencialidad del tratamiento:
o Se han suscrito acuerdos de confidencialidad con el personal autorizado.
o Se han suscrito contratos de protección de datos con:
 los encargados del tratamiento.
 los corresponsables del tratamiento.
 los destinatarios de datos.
• Integridad y seguridad de los datos:
o Se han implementado mecanismos de identificación y autenticación para controlar el acceso a los sistemas informáticos mediante contraseñas cifradas y seguras con un mínimo de 8 caracteres, que deben incluir mayúsculas, minúsculas y dígitos.
o Se han aplicado medidas de seguridad en el mobiliario y departamentos que contienen datos personales para restringir el acceso a personas no autorizadas y evitar que los datos sean accesibles a un número indeterminado de personas sin la intervención humana.
o Se han adoptado medidas adecuadas para garantizar permanentemente:
 la integridad y seguridad física de los datos.
 la disponibilidad y resiliencia de los sistemas de tratamiento.
 la restauración de datos mediante copias de respaldo.
 la supresión efectiva de los datos o la seudonimización de los mismos.
o Existe un protocolo para actuar ante las brechas de seguridad detectadas y, en el caso de producirse una violación de datos, proceder a activar los mecanismos necesarios para mitigar los riesgos que afecten a los derechos y libertades de los interesados, así como los procedimientos para la notificación de la misma a la autoridad de control y la comunicación a los interesados si fuese necesario.
• Derechos del interesado:
o Se han organizado los datos de manera que posibilite el ejercicio de los derechos del interesado.
o Existe un protocolo de actuación para resolver sin dilación las solicitudes de derechos recibidas.

3.2 Análisis de los riesgos del tratamiento
De conformidad con el artículo 32 del Reglamento (UE) 2016/679, de 27 de abril de 2016 (GDPR), se ha analizado el nivel de seguridad a implantar en la Organización para garantizar la protección de datos, teniendo en cuenta los altos riesgos que pueda tener el tratamiento para los derechos y libertades de los interesados, a consecuencia de:
• La destrucción accidental o ilícita de datos.
• La pérdida, alteración o comunicación no autorizada.
• El acceso a los datos cuando sean transmitidos, conservados u objeto de algún otro tipo de tratamiento.

Teniendo en cuenta las operaciones de tratamiento realizadas, se ha determinado que existe la probabilidad de altos riesgos, por lo que serán suficientes las medidas establecidas en la protección de datos desde el diseño y por defecto.

3.3 Medidas específicas de protección de datos.
El Responsable del tratamiento dispone de los siguientes informes reglamentarios para garantizar la protección de datos:
• Registro de las actividades del tratamiento (conforme al artículo 30 del GDPR).
• Protocolo para dar curso al ejercicio de los derechos del interesado (conforme a los artículos 13 a 23 del GDPR).
• Protocolo para resolver las violaciones de la seguridad (conforme a los artículos 33 y 34 del GDPR).


4. Auditoría de aplicación de la Política de seguridad
A continuación, se detallan las medidas aplicadas en cada fichero de datos para garantizar la seguridad del tratamiento.


Fichero Descripción Tipo Sistema Categoría
CLIENTES Y PROVEEDORES Gestión administrativa con clientes y proveedores. Incluye datos de contacto de personas físicas que presten servicios a una persona jurídica, inclusive los profesionales individuales Responsable Mixto BÁSICO
Normativa Tratamiento
Política de seguridad
Derechos de los interesados Los datos están organizados de manera que ES POSIBLE dar respuesta al ejercicio de los derechos del interesado.
Desde el diseño y por defecto SE HAN IMPLEMENTADO medidas adecuadas para la protección de datos desde el diseño y por defecto
Riesgos del tratamiento SE HA ANALIZADO el tratamiento y NO EXISTE la probabilidad de un ALTO RIESGO para los derechos y libertades de los interesados
Violaciones de la seguridad EXISTE un protocolo de actuación en caso de producirse una violación de la seguridad

Fichero Descripción Tipo Sistema Categoría
FISCAL Y CONTABLE Registro de las obligaciones fiscales y contables sujetas a la actividad económica Responsable Mixto BÁSICO
Normativa Tratamiento
Política de seguridad
Derechos de los interesados Los datos están organizados de manera que ES POSIBLE dar respuesta al ejercicio de los derechos del interesado.
Desde el diseño y por defecto SE HAN IMPLEMENTADO medidas adecuadas para la protección de datos desde el diseño y por defecto
Riesgos del tratamiento SE HA ANALIZADO el tratamiento y NO EXISTE la probabilidad de un ALTO RIESGO para los derechos y libertades de los interesados
Violaciones de la seguridad EXISTE un protocolo de actuación en caso de producirse una violación de la seguridad

Fichero Descripción Tipo Sistema Categoría
CONTACTOS Comunicación, información y gestión sobre productos y servicios. Incluye contactos web y redes sociales Responsable Mixto BÁSICO
Normativa Tratamiento
Política de seguridad
Derechos de los interesados Los datos están organizados de manera que ES POSIBLE dar respuesta al ejercicio de los derechos del interesado.
Desde el diseño y por defecto SE HAN IMPLEMENTADO medidas adecuadas para la protección de datos desde el diseño y por defecto
Riesgos del tratamiento SE HA ANALIZADO el tratamiento y NO EXISTE la probabilidad de un ALTO RIESGO para los derechos y libertades de los interesados
Violaciones de la seguridad EXISTE un protocolo de actuación en caso de producirse una violación de la seguridad

Fichero Descripción Tipo Sistema Categoría
RESERVAS Gestión de reservas de visitas. Incluye datos de contacto de personas físicas Responsable Mixto BÁSICO
Normativa Tratamiento
Política de seguridad
Derechos de los interesados Los datos están organizados de manera que ES POSIBLE dar respuesta al ejercicio de los derechos del interesado.
Desde el diseño y por defecto SE HAN IMPLEMENTADO medidas adecuadas para la protección de datos desde el diseño y por defecto
Riesgos del tratamiento SE HA ANALIZADO el tratamiento y NO EXISTE la probabilidad de un ALTO RIESGO para los derechos y libertades de los interesados
Violaciones de la seguridad EXISTE un protocolo de actuación en caso de producirse una violación de la seguridad

Fichero Descripción Tipo Sistema Categoría
AUDIOVISUALES Gestión publicitaria audiovisual. Incluye imágenes (foto/vídeo) y sonido (voz) de personas Responsable Mixto BÁSICO
Normativa Tratamiento
Política de seguridad
Derechos de los interesados Los datos están organizados de manera que ES POSIBLE dar respuesta al ejercicio de los derechos del interesado.
Desde el diseño y por defecto SE HAN IMPLEMENTADO medidas adecuadas para la protección de datos desde el diseño y por defecto
Riesgos del tratamiento SE HA ANALIZADO el tratamiento y NO EXISTE la probabilidad de un ALTO RIESGO para los derechos y libertades de los interesados
Violaciones de la seguridad EXISTE un protocolo de actuación en caso de producirse una violación de la seguridad

Fichero Descripción Tipo Sistema Categoría
TPV Datos personales facilitados en la pasarela de pago Responsable Digital BÁSICO
Normativa Tratamiento
Política de seguridad
Derechos de los interesados Los datos están organizados de manera que ES POSIBLE dar respuesta al ejercicio de los derechos del interesado.
Desde el diseño y por defecto SE HAN IMPLEMENTADO medidas adecuadas para la protección de datos desde el diseño y por defecto
Riesgos del tratamiento SE HA ANALIZADO el tratamiento y NO EXISTE la probabilidad de un ALTO RIESGO para los derechos y libertades de los interesados
Violaciones de la seguridad EXISTE un protocolo de actuación en caso de producirse una violación de la seguridad

Todos los tratamientos cumplen con la normativa