Política de Seguridad de la Información

1. Objeto y finalidad

La presente política constituye el documento marco del Sistema de Gestión de la Seguridad de la Información (en adelante, el SGSI) de AI Experience Hub SL. A través de ella, la Dirección formaliza su compromiso con la protección de los activos de información de la organización y establece el marco de referencia para instaurar, implementar, mantener y mejorar de forma continua dicho sistema.

En el desarrollo de su actividad, AI Experience Hub SL reconoce que la seguridad de la información es un pilar estratégico para sostener la confianza de sus clientes, de su personal y del resto de partes interesadas. Esta política persigue garantizar la confidencialidad, la integridad y la disponibilidad de la información que la organización gestiona, cualquiera que sea su soporte, formato o ubicación, alineando su protección con los objetivos de negocio y con las obligaciones legales, reglamentarias y contractuales asumidas.

La presente política se mantiene como información documentada del SGSI, se comunica a las personas que trabajan para o en nombre de la organización y se pone a disposición de las partes interesadas pertinentes cuando resulte apropiado. Constituye la referencia superior a partir de la cual se desarrollan las demás políticas, normas y procedimientos específicos del SGSI, que deberán ser coherentes con lo establecido en ella.

Referencias generales: UNE-EN ISO/IEC 27001 cláusulas 5.1, 5.2 y 5.3; RGPD art. 5.1.f, art. 24 y art. 32; LOPDGDD art. 5.

2. Alcance

Esta política se aplica a los activos de información, sistemas de tratamiento, aplicaciones, soportes, procesos de negocio, servicios cloud y entornos de trabajo comprendidos dentro del alcance formalmente definido para el SGSI de AI Experience Hub SL. Comprende tanto los recursos utilizados desde su domicilio social en Paseo de la Castellana 82, 1º Dcha., 28046 Madrid (España) como los utilizados desde cualquier otra ubicación autorizada en la que el personal desarrolle su actividad profesional, incluidas las modalidades de trabajo a distancia, híbrido o en itinerancia.

La presente política es aplicable a:

• Personal y usuarios autorizados: todo el personal y usuarios autorizados que accedan a información, documentación, sistemas, aplicaciones, equipos o recursos de AI Experience Hub SL, con independencia de su ubicación geográfica, de la modalidad contractual que les vincule y de la duración de la relación.
• Organizaciones externas: las organizaciones prestadoras de servicios que hayan asumido las siguientes responsabilidades: encargado del tratamiento, corresponsable del tratamiento, subencargado de tratamiento, destinatario de datos y servicios sin tratamiento de datos.

Las previsiones relativas a la seguridad física y del entorno se aplicarán de forma proporcionada al alcance del SGSI, a la evaluación de riesgos y a la Declaración de Aplicabilidad vigente. Cuando AI Experience Hub SL no gestione instalaciones propias de acceso controlado o centros de proceso de datos bajo su control directo, la protección se articulará sobre los entornos de trabajo autorizados, los dispositivos y servicios utilizados y las garantías exigidas a los proveedores de alojamiento, infraestructura y otros terceros relevantes.

3. Compromiso de la Dirección

La Dirección de AI Experience Hub SL asume la responsabilidad última sobre la seguridad de la información, lidera con el ejemplo y se compromete expresamente a:

• Aprobar, difundir y mantener actualizada la presente política, así como el conjunto de políticas y procedimientos que desarrollan el SGSI.
• Proporcionar los recursos humanos, técnicos y económicos necesarios para implantar, operar, revisar y mejorar el sistema.
• Integrar los requisitos de seguridad de la información en los procesos de negocio y en la toma de decisiones.
• Definir funciones y responsabilidades en materia de seguridad y comunicarlas a las personas afectadas.
• Promover la concienciación y la formación continua del personal.
• Revisar periódicamente el desempeño del SGSI e impulsar las acciones de mejora que resulten necesarias.

4. Objetivos de seguridad de la información

La presente política proporciona el marco para establecer, revisar y mantener los objetivos de seguridad de la información de AI Experience Hub SL. Los objetivos específicos y medibles del SGSI, junto con sus responsables, indicadores, recursos y plazos de seguimiento, se documentan y revisan conforme al proceso de planificación y seguimiento del sistema. Dentro de este marco, se establecen los siguientes objetivos estratégicos:

Confidencialidad

Preservar la confidencialidad de los datos de clientes, de personal y de la propia organización, asegurando que solo las personas autorizadas acceden a la información conforme a su necesidad operativa y al nivel de clasificación asignado.

Integridad

Mantener la integridad de la información tratada, de modo que los datos permanezcan exactos, completos y protegidos frente a modificaciones no autorizadas a lo largo de todo su ciclo de vida.

Disponibilidad

Garantizar la disponibilidad de los servicios y de los sistemas de soporte, de forma que las partes interesadas accedan a la información cuando la requieran y dentro de los tiempos comprometidos.

Gestión del riesgo

Gestionar los riesgos de seguridad de la información mediante un enfoque sistemático de identificación, evaluación y tratamiento que anticipe amenazas y reduzca su impacto potencial sobre los objetivos de negocio.

Cumplimiento

Cumplir los requisitos legales, reglamentarios y contractuales aplicables a la protección de la información, con especial atención a la normativa europea y española de protección de datos personales.

Cultura de seguridad

Fomentar una cultura de seguridad compartida a través de la concienciación y la formación continua de todo el personal, reforzando la responsabilidad individual en la protección de los activos de información.

Mejora continua

Mejorar de forma continua la eficacia del SGSI, incorporando las lecciones aprendidas de incidentes, auditorías y revisiones por la Dirección como impulso para la evolución del sistema.

5. Principios fundamentales de seguridad de la información

La organización fundamenta su SGSI en un conjunto de principios que orientan todas las decisiones, políticas y controles en materia de protección de la información.

SEG.00.A Enfoque basado en el riesgo

AI Experience Hub SL adopta un proceso de gestión de riesgos que evalúa la probabilidad y el impacto de las amenazas sobre sus activos de información y prioriza los tratamientos conforme a los criterios definidos en su metodología de evaluación. Los nuevos servicios, cambios significativos y relaciones con terceros que puedan afectar materialmente a la seguridad de la información se evalúan y gestionan conforme a los procedimientos de riesgos, cambios y proveedores aplicables antes de su puesta en producción o formalización, cuando proceda.

SEG.00.B Responsabilidad compartida

La seguridad de la información no se delega en un único departamento: cada persona que accede a los sistemas o a los datos de la organización asume un papel activo en su protección. La Dirección lidera con el ejemplo y proporciona los medios para que el compromiso se traduzca en acciones concretas en todas las funciones.

SEG.00.C Uso aceptable de la información y los recursos

La organización promueve un uso responsable y documentado de sus activos de información. Todo recurso (dato, sistema, dispositivo o servicio) se utiliza exclusivamente para los fines autorizados, dentro de los límites que establecen las normas internas de clasificación y las restricciones de acceso vigentes.

SEG.00.D Mínimo privilegio y control de acceso

Los derechos de acceso se conceden con arreglo a la necesidad operativa y al principio de mínimo privilegio. Los accesos deben revisarse conforme a la periodicidad y al procedimiento definidos por la organización, y las altas, modificaciones y bajas deben gestionarse de forma controlada, dejando la trazabilidad necesaria para acreditar su autorización y ejecución.

SEG.00.E Clasificación y protección proporcional de la información

La información se clasifica en función de su sensibilidad, su criticidad y las exigencias legales o contractuales que le resulten aplicables. El nivel de clasificación determina las medidas de protección exigibles en su tratamiento, conservación, comunicación, transporte y destrucción, así como el régimen de acceso autorizado.

SEG.00.F Escritorio y pantalla despejados

La organización establece medidas para proteger la información mostrada en pantalla o soportada en papel frente a la visualización o el acceso no autorizados. Los dispositivos corporativos o expresamente autorizados deberán disponer de mecanismos de bloqueo automático de sesión tras un periodo de inactividad y requerir autenticación para recuperar el acceso, conforme a las configuraciones y estándares de seguridad aprobados por la organización. Los espacios de trabajo, propios o remotos, deberán mantenerse libres de documentación sensible cuando no esté siendo utilizada.

SEG.00.G Seguridad en la relación con terceros

La organización evalúa a los proveedores y colaboradores relevantes atendiendo a la naturaleza del servicio, el acceso a información, la criticidad y el riesgo asociado. Cuando resulte aplicable, las obligaciones de seguridad, confidencialidad, notificación de incidentes, subcontratación y devolución o supresión de la información se formalizarán contractualmente y su cumplimiento será objeto del seguimiento definido por la organización.

SEG.00.H Mejora continua

La organización se compromete a evaluar de forma recurrente la idoneidad y la eficacia del SGSI a través de auditorías internas, revisiones por la Dirección, indicadores de desempeño y análisis de incidentes, incorporando las conclusiones como motor de evolución de sus controles y procesos.

6. Organización y responsabilidades

La organización asigna las siguientes funciones y responsabilidades en materia de seguridad de la información, sin perjuicio de las que se concreten en otras políticas y procedimientos internos:

Dirección

Aprueba la política, asigna recursos, revisa el desempeño del SGSI y asume la responsabilidad última sobre la seguridad de la información.

Responsable del sistema de gestión

Coordina la implantación y el mantenimiento del SGSI, gestiona el análisis de riesgos, centraliza la recepción y el tratamiento de los incidentes de seguridad y eleva a la Dirección los resultados y las propuestas de mejora.

Responsables de área o departamento

Velan por la aplicación de esta política en su ámbito, autorizan los accesos necesarios para las funciones de su equipo y comunican los cambios que afecten a la seguridad de la información.

Personal y usuarios autorizados

Conocen y cumplen esta política y las normas que la desarrollan, protegen la información a la que acceden y comunican con prontitud cualquier evento o sospecha de incidente de seguridad.

Proveedores y colaboradores externos

Deberán cumplir las obligaciones de seguridad y confidencialidad asumidas contractualmente y las instrucciones aplicables que la organización les traslade, y notificar sin dilación indebida cualquier incidente que pueda afectar a la información o a los servicios prestados.

Delegado de Protección de Datos. La organización cuenta con un Delegado de Protección de Datos, que desempeña sus funciones con independencia, informa y asesora a la Dirección y a las áreas afectadas, supervisa el cumplimiento de la normativa de protección de datos personales y actúa como punto de contacto con la autoridad de control y con las personas interesadas. Puede dirigirse a él a través de [email protected].

7. Gestión de riesgos de seguridad de la información

La organización mantiene un proceso documentado de gestión de riesgos que comprende la identificación de los activos de información y de las amenazas y vulnerabilidades que les afectan, la valoración del riesgo en términos de probabilidad e impacto, la determinación de los niveles de riesgo aceptables y la selección de los tratamientos aplicables.

El análisis de riesgos se revisa con la periodicidad definida en el SGSI y también cuando se produzcan cambios que puedan modificar de forma material el perfil de riesgo de la organización, como la incorporación de servicios o tecnologías relevantes, cambios organizativos o técnicos significativos, nuevas relaciones con terceros con acceso a información o un incidente de seguridad relevante.

Cuando un tratamiento de datos personales pueda entrañar un alto riesgo para los derechos y libertades de las personas, la organización realizará con carácter previo la correspondiente evaluación de impacto relativa a la protección de datos y recabará el asesoramiento del Delegado de Protección de Datos cuando resulte aplicable.

Referencias generales: UNE-EN ISO/IEC 27001 cláusulas 6.1 y 8.2; RGPD art. 32 y art. 35; LOPDGDD art. 28.

8. Protección de activos fuera de las instalaciones

Una parte relevante de los activos de información de la organización se utiliza fuera de un perímetro físico corporativo, ya sea por movilidad, por trabajo a distancia o por la propia naturaleza de la actividad. La organización reconoce esta circunstancia como un factor de riesgo y se compromete a proteger dichos activos con medidas proporcionales a su valor y a la sensibilidad de la información que contienen.

SEG.00.I Custodia responsable de los activos

Los dispositivos corporativos o expresamente autorizados (portátiles, terminales móviles y, cuando proceda, soportes de almacenamiento) deben permanecer bajo el control de la persona a la que están asignados o autorizados, aplicando las medidas de custodia adecuadas al riesgo.

SEG.00.J Condiciones de transporte

Los activos se transportan siempre en custodia personal. Cuando sea necesario remitir activos a colaboradores, proveedores u otras ubicaciones, se emplea un servicio de mensajería con seguimiento que permita confirmar la entrega.

SEG.00.K Notificación de pérdida, robo o daño

Todo incidente que afecte a un activo fuera del lugar habitual de trabajo (pérdida, sustracción, deterioro o posible compromiso) deberá comunicarse sin dilación indebida y tan pronto como sea posible al responsable del sistema de gestión. Como plazo interno máximo, la comunicación deberá realizarse dentro de las veinticuatro horas siguientes a su conocimiento, sin esperar a confirmar el alcance definitivo.

Nota. Tras la notificación se evaluarán y ejecutarán las medidas de contención técnicamente disponibles y adecuadas al riesgo, que podrán incluir la revocación de accesos y sesiones, el cambio de credenciales y, cuando la configuración tecnológica lo permita, el bloqueo o borrado remoto del dispositivo. El evento se documentará en el registro interno de incidentes de seguridad de la información y, cuando pueda afectar a datos personales, se aplicará el procedimiento de gestión de brechas correspondiente.

SEG.00.L Restitución de activos

Al concluir la relación laboral o mercantil, el proyecto o la necesidad operativa que motivó la asignación, la persona usuaria restituye todos los activos corporativos a la organización, dejando constancia documental de la devolución y garantizando la trazabilidad completa del ciclo de vida del recurso.

9. Notificación de eventos e incidentes de seguridad

AI Experience Hub SL fomenta un entorno en el que cualquier persona comunique con prontitud y sin temor a represalias los eventos o sospechas de incidentes de seguridad. La organización mantiene canales accesibles para facilitar dicha notificación y documenta los eventos e incidentes relevantes conforme al procedimiento interno establecido, con el fin de posibilitar su clasificación, análisis, tratamiento y, cuando proceda, la adopción de acciones correctivas y lecciones aprendidas.

Cuando el incidente afecte o pueda afectar a datos personales, se aplicará el procedimiento interno de gestión de brechas de seguridad atendiendo al rol de AI Experience Hub SL en el tratamiento. Cuando actúe como responsable, se evaluará si procede notificar la violación a la autoridad de control sin dilación indebida y, de ser posible, dentro de las 72 horas siguientes a que se haya tenido constancia de ella, así como comunicarla a las personas interesadas cuando exista un alto riesgo para sus derechos y libertades. Cuando actúe como encargado, se informará al responsable del tratamiento sin dilación indebida conforme a las obligaciones contractuales y legales aplicables.

Referencias generales: UNE-EN ISO/IEC 27001 cláusula 8 y Anexo A.5.24 a A.5.28; RGPD art. 33 y art. 34.

10. Cumplimiento, aprobación y revisión

El cumplimiento de esta política es obligatorio para todas las personas y organizaciones incluidas en su alcance. Su incumplimiento podrá ser valorado conforme a la normativa laboral aplicable, al régimen disciplinario vigente y a las políticas internas de AI Experience Hub SL y, en el caso de proveedores y colaboradores externos, conforme a las condiciones contractuales suscritas y a la normativa civil y mercantil aplicable, sin perjuicio de las responsabilidades administrativas, civiles o penales que pudieran derivarse.

En caso de duda sobre cómo actuar, deberá consultarse con la persona responsable correspondiente antes de realizar cualquier actuación que pueda afectar a la seguridad, la confidencialidad, la integridad o la disponibilidad de la información.

La presente política entrará en vigor una vez aprobada por la Dirección de AI Experience Hub SL y permanecerá vigente en tanto no sea sustituida por una versión posterior. Se revisará al menos con carácter anual y también cuando se produzcan cambios organizativos, tecnológicos, normativos o contractuales relevantes, cuando cambie de forma material el perfil de riesgo o tras un incidente de seguridad significativo.

Las excepciones a esta política deberán estar justificadas, ser proporcionales al riesgo, contar con la autorización correspondiente y quedar documentadas cuando proceda. Ninguna excepción podrá implicar el incumplimiento de requisitos legales, regulatorios o contractuales aplicables.

Versión

1.1

Fecha de la versión

21 de septiembre de 2026

Aprobada por

Dirección de AI Experience Hub SL

Revisión

Anual o ante cambios significativos.

Referencias generales: UNE-EN ISO/IEC 27001 cláusulas 5.2, 7.5 y 9.3; RGPD art. 5.2, art. 24 y art. 32; LOPDGDD art. 5.