RGPD y sus datos: cómo Zeuslock se mantiene conforme

Para qué sirve este documento

Esta página está dirigida a quienes validan Zeuslock antes de su despliegue en toda la organización: el Delegado de Protección de Datos (DPD), los equipos de seguridad y cumplimiento, y la revisión jurídica externa. Describe, de forma concreta y verificable, cómo Zeuslock trata los datos personales conforme al Reglamento General de Protección de Datos (RGPD) y a los regímenes nacionales equivalentes. Cuando resulta útil se citan los artículos concretos del RGPD, y cuando una afirmación es operativa se indica la ruta de la UI que permite verificarla.

Flujo de datos: dónde se hace el análisis, qué sale del equipo

El hecho más importante para una revisión de privacidad es este: la detección se ejecuta en el lado del cliente. Cuando una persona empleada escribe un prompt en ChatGPT, Claude, Gemini, Copilot o cualquier otra herramienta de IA compatible, el análisis sucede en la extensión del navegador o en el agente de escritorio, sobre el equipo local. El texto original del prompt no se transmite a Zeuslock en operación normal.

Solo cuando un detector se activa — es decir, cuando efectivamente se identifica un dato sensible dentro del prompt — se envía un evento anonimizado a los servidores de Zeuslock. Ese evento describe el incidente; no contiene el contenido sensible original. El dato fuente no abandona el equipo.

Esta decisión arquitectónica es deliberada. Significa que Zeuslock no es, en el sentido del RGPD, una plataforma de interceptación de contenido para la actividad habitual: no hay nada que interceptar centralmente, porque la inspección es local. La plataforma central solo ve resúmenes redactados de los incidentes.

Qué se almacena centralmente, y qué no

La matriz siguiente describe, por categoría, qué aloja Zeuslock — o no — para un incidente concreto.

La vista previa redactada es el único campo derivado del contenido del prompt. Las subcadenas sensibles se sustituyen en el equipo, por el mismo anonimizador que protege el prompt, antes de que la vista previa se construya.

Base legitimadora y roles

El RGPD exige una base legitimadora para todo tratamiento de datos personales. Para el despliegue de Zeuslock en una organización cliente, esa base es el interés legítimo del artículo 6(1)(f): el empleador tiene un interés legítimo en detectar e impedir la exfiltración de datos confidenciales y personales hacia servicios de IA de terceros, y el tratamiento se limita a lo necesario para esa finalidad. Una nota de ponderación de intereses se facilita previa solicitud, conforme a la práctica recomendada por la AEPD.

Los roles son inequívocos. La organización cliente es la responsable del tratamiento de los eventos de uso generados por su personal. Zeuslock es encargado del tratamiento en el sentido del artículo 28, actuando bajo instrucciones documentadas del responsable. Un Acuerdo de Encargo del Tratamiento (DPA) estándar, basado en Cláusulas Contractuales Tipo cuando proceda, se entrega previa solicitud y se firma antes de cualquier paso a producción para los clientes que lo requieran.

Encargados posteriores

Zeuslock recurre al mínimo número de encargados posteriores necesarios para operar el servicio. La lista siguiente es exhaustiva para el tratamiento de datos personales.

No existe ningún encargado exclusivamente estadounidense en la ruta de datos personales. Toda modificación de esta lista se notifica a los DPD del cliente con al menos 30 días de antelación, conforme al DPA estándar.

Residencia de datos

Por defecto, los datos del cliente residen en AWS París (eu-west-3), con copias frías replicadas en AWS Fráncfort (eu-central-1) a efectos de recuperación ante desastres. Ambas regiones están bajo jurisdicción de la Unión Europea.

La Edición Soberana ancla el tenant de un cliente a una sola región elegida sin replicación fuera de esa región. Para organizaciones cuya política o regulador exige que los datos no salgan nunca de un perímetro de red definido — habitual en parte del sector público, defensa y ciertas entidades financieras bajo DORA — Zeuslock ofrece además un despliegue on-premise, en el que el plano de control se ejecuta íntegramente dentro de la infraestructura del cliente.

Plazos de conservación

La retención por defecto es de 13 meses para los incidentes. La elección es deliberada: suficiente para cubrir un ciclo anual de auditoría e investigaciones prolongadas, y lo bastante breve para resultar defendible bajo el principio de minimización. El valor se configura por tenant entre un mínimo de 30 días y un máximo de 7 años cuando una obligación reglamentaria lo exige explícitamente.

Los registros de auditoría administrativos se conservan 7 años, en línea con las obligaciones probatorias habituales. Los plazos efectivos figuran en el anexo del DPA que acompaña a cada contrato.

Derechos de los interesados

Al ser el cliente el responsable del tratamiento, las solicitudes de los interesados las gestiona el equipo administrador del cliente, y Zeuslock proporciona la herramienta. Todos los derechos previstos en los artículos 15 a 22 del RGPD están soportados operativamente.

• Derecho de acceso (art. 15). Un administrador exporta el historial completo de incidentes de una persona desde Operator Console → Usuarios → [usuario] → Exportar. La exportación es un paquete CSV + JSON estructurado, apto para entregar directamente al interesado.
• Derecho de supresión (art. 17). Desde la misma pantalla, el administrador emite un borrado definitivo. El borrado se propaga al almacenamiento principal y a las copias de seguridad en 24 horas, y queda a su vez registrado en la pista de auditoría.
• Derecho de rectificación (art. 16). Los metadatos identificativos (grupo, rol) se editan en tiempo real, normalmente vía la sincronización SCIM desde el proveedor de identidad; existe sobreescritura manual en la misma UI.
• Derecho de limitación y oposición (art. 18, 21). Usuarios concretos pueden excluirse del monitoreo a nivel de política sin eliminar su cuenta.
• Derecho a la portabilidad (art. 20). La exportación anterior se entrega en formatos legibles por máquina y puede reimportarse en otro sistema.

Cifrado

Todos los datos en tránsito se protegen con TLS 1.3, HSTS activado en todos los dominios expuestos al cliente y certificate pinning en el agente de escritorio. En reposo, los datos se cifran con AES-256 mediante AWS KMS. La Edición Soberana admite claves gestionadas por el cliente (BYOK) sobre su propio AWS KMS: la revocación está en manos del cliente.

Pista de auditoría y responsabilidad proactiva

Cada acción administrativa — consultar un incidente, editar una política, exportar el historial de un usuario, suprimir datos — queda registrada en un registro de auditoría inmutable con actor, marca de tiempo, objeto y resultado. Ese registro es accesible desde el Operator Console y exportable para incluirlo en las auditorías del cliente.

Acompañamiento EIPD

Para los despliegues que requieran una Evaluación de Impacto relativa a la Protección de Datos al amparo del artículo 35 del RGPD, Zeuslock proporciona una plantilla de EIPD descargable, precargada con los flujos de datos, encargados, plazos y medidas de mitigación descritos en esta página. Es un punto de partida que su DPD completa y adapta, no un sustituto de la evaluación en sí.

Notificación de brechas

Zeuslock se compromete contractualmente a notificar al cliente en un plazo de 24 horas tras la confirmación de una brecha de datos personales que afecte a su tenant. La notificación incluye la naturaleza de la brecha, las categorías y número aproximado de personas afectadas, las consecuencias probables y las medidas adoptadas o propuestas. Esta ventana queda holgadamente dentro de las 72 horas que el cliente tiene a continuación para notificar a la AEPD conforme al artículo 33.