Política de Protección de Datos

Esta Política de Protección de Datos ("Política") establece las medidas técnicas y organizativas implementadas por Hermes AI, S.A.P.I. de C.V., conocida comercialmente como IcloneU ("IcloneU" o "Nosotros"), para proteger los datos personales y los Datos de Plataforma ("Datos") que IcloneU recopila, procesa, almacena y transmite en el curso de la prestación de su plataforma de gestión de redes sociales y atención al cliente impulsada por inteligencia artificial (la "Plataforma"). Esta Política complementa nuestro Aviso de Privacidad y se aplica a todas las operaciones, sistemas y personal de IcloneU.

Esta Política ha sido diseñada para cumplir con los requisitos de la legislación aplicable en materia de protección de datos, incluida la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (México), el Reglamento General de Protección de Datos (RGPD), la Ley de Inteligencia Artificial de la UE de 2025, las leyes estatales de privacidad aplicables de EE. UU. y los requisitos de seguridad de datos de los proveedores de plataformas de redes sociales, incluida Meta Platforms, Inc.

1. Alcance y Aplicabilidad

Esta Política se aplica a todos los Datos procesados por IcloneU, incluyendo, entre otros:

• Datos personales de los clientes de IcloneU y de sus usuarios finales, incluidos los datos recibidos de plataformas de redes sociales (colectivamente, "Datos de Plataforma");
• Datos del propio personal y contratistas de IcloneU;
• Datos procesados por IcloneU en nombre de sus clientes en su calidad de encargado del tratamiento; y
• Datos procesados por proveedores de servicios de terceros que actúan bajo las instrucciones de IcloneU.

Esta Política se aplica a todos los sistemas, la infraestructura, el personal y los subencargados de IcloneU que acceden o procesan Datos en relación con las operaciones de IcloneU.

2. Clasificación de Datos

IcloneU clasifica los Datos en las siguientes categorías para asegurar que se apliquen las medidas de protección adecuadas:

3. Almacenamiento de Datos y Seguridad de la Infraestructura

3.1 Infraestructura de Alojamiento

Todos los Datos de Plataforma de IcloneU se alojan exclusivamente dentro de Google Cloud Platform (GCP) bajo un modelo de Infraestructura como Servicio (IaaS). Los principales componentes de la infraestructura son:

• Cómputo: Instancias de Google Compute Engine que ejecutan Windows Server 2022, operando dentro de un proyecto de GCP protegido.
• Base de Datos: SQL Server alojado en GCP Compute Engine, con datos cifrados en reposo y en tránsito.
• Gestión de Secretos: Google Cloud Secret Manager para todas las claves de API, credenciales OAuth y datos de configuración sensibles.
• Balanceador de Carga: Google Cloud Application Load Balancer con certificados TLS gestionados y políticas de seguridad.
• Marco de Aplicación: .NET Core 9 con renderizado del lado del servidor (SSR) de Blazor.

Ningún Dato de Plataforma se almacena fuera del entorno controlado de GCP de IcloneU, salvo los datos explícitamente transferidos a terceros autorizados según se describe en la Sección 8 de esta Política.

3.2 Cifrado en Reposo

IcloneU implementa cifrado conforme a estándares de la industria para todos los Datos almacenados en reposo, mediante un enfoque de doble capa que supera los requisitos regulatorios de referencia:

• Cifrado a Nivel de Base de Datos (TDE): El Cifrado Transparente de Datos (Transparent Data Encryption) de SQL Server con algoritmo AES-256 protege todos los archivos de la base de datos, los registros de transacciones y las copias de seguridad. El certificado TDE se almacena por separado en Google Cloud Secret Manager con claves gestionadas por Google Cloud KMS.
• Cifrado en Reposo: La base de datos SQL Server se protege con Transparent Data Encryption (TDE, AES-256). Los tokens de acceso y de actualización de las plataformas se almacenan en dicha base de datos cifrada, y los secretos de API se almacenan en Google Cloud Secret Manager.
• Cifrado de Secret Manager: Todas las credenciales de API y secretos almacenados en Google Cloud Secret Manager se cifran automáticamente en reposo con AES-256 mediante claves KMS gestionadas por Google, con los componentes de certificado y clave privada almacenados en secretos separados.

3.3 Cifrado en Tránsito

Todos los Datos transmitidos a través de redes públicas se protegen mediante cifrado TLS 1.2 o superior:

• Aplicación del Protocolo TLS: TLS 1.2 y TLS 1.3 se aplican en todos los servicios expuestos a Internet. SSL v2, SSL v3, TLS 1.0 y TLS 1.1 están deshabilitados. Validado de forma independiente por Qualys SSL Labs con una calificación de seguridad global de A+.
• Gestión de Certificados: Certificados SSL gestionados por Google con renovación automática, desplegados a través de Google Cloud Load Balancer.
• Redirección de HTTP a HTTPS: Todo el tráfico HTTP se redirige automáticamente a HTTPS mediante Redirección Permanente 301.
• HSTS: Encabezados de HTTP Strict Transport Security con max-age=31536000 incluyendo subdominios, lo que previene ataques de degradación de protocolo.
• Encabezados de Seguridad: Conjunto completo que incluye Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy y Permissions-Policy, validado con calificación A+.
• Comunicaciones Internas: Todas las comunicaciones de servidor a servidor ocurren dentro de la red privada, la cual no acepta conexiones desde internet; todas las llamadas a las API de servicios de terceros se realizan exclusivamente sobre HTTPS/TLS.

4. Control de Acceso y Autenticación

4.1 Autenticación Multifactor

El acceso administrativo a todos los sistemas que procesan Datos de Plataforma está vinculado a identidades corporativas gestionadas bajo una sola organización en el dominio icloneu.ai, con verificación en dos pasos exigida como política obligatoria a nivel de organización. Ningún usuario puede desactivarla ni autenticarse sin ella.

• Infraestructura en la nube: Todo acceso administrativo — consola web, API y línea de comandos — se autentica mediante dichas identidades corporativas, sujetas a la política obligatoria de verificación en dos pasos.
• Gestión de secretos: El acceso a los secretos de la plataforma se autoriza mediante las mismas identidades corporativas y roles de IAM, por lo que hereda el mismo requisito. Las credenciales de la aplicación nunca se almacenan en el código fuente ni en archivos de configuración versionados.
• Repositorios de código fuente: El código fuente se aloja en repositorios privados con autenticación de dos factores exigida a nivel de organización; los miembros que carecen de un segundo factor son removidos automáticamente y no pueden acceder al código.
• Acceso remoto a servidores: Los servidores no exponen a internet el puerto de administración remota — se aplica una regla de denegación predeterminada a todas las fuentes. El acceso ocurre exclusivamente a través de un proxy de acceso con reconocimiento de identidad, que autentica la identidad corporativa, con verificación en dos pasos obligatoria, antes de establecer un túnel al servidor. Cada sesión queda registrada en registros de auditoría inmutables.
• Base de datos: La base de datos no tiene exposición pública: ninguna regla de entrada permite conexiones al puerto de la base de datos desde internet, y solo es alcanzable desde la red privada. El acceso humano ocurre exclusivamente desde el host de producción, alcanzable únicamente a través del proxy de acceso con reconocimiento de identidad y verificación en dos pasos obligatoria. Las credenciales de la base de datos son utilizadas únicamente por la aplicación y se resguardan en la gestión de secretos.

4.2 Principio de Mínimo Privilegio

• El acceso a los Datos y a los sistemas se otorga estrictamente conforme al principio de necesidad de conocer, limitado al personal cuya función lo requiere.
• Las cuentas de servicio operan con los permisos mínimos necesarios para su función.
• El control de acceso basado en roles limita el acceso a los Datos de Plataforma dentro de la aplicación únicamente a los usuarios de negocio autorizados.

4.3 Controles de Seguridad de Red

• Sin superficie administrativa pública: Ni el puerto de administración remota ni el puerto de la base de datos aceptan conexiones desde internet; se aplica una regla de denegación predeterminada a todas las fuentes.
• Proxy de acceso con reconocimiento de identidad: Los túneles administrativos se establecen únicamente tras autenticar la identidad corporativa con verificación en dos pasos, y cada sesión queda registrada.
• Reglas de firewall: Las reglas de firewall de la VPC imponen segmentación de red y restringen el acceso a los rangos y servicios autorizados.
• Políticas de seguridad del balanceador de carga: El Balanceador de Carga de Aplicaciones de Google Cloud aplica políticas de seguridad, protección contra DDoS y CDN con controles de seguridad.

5. Flujo y Procesamiento de Datos

5.1 Arquitectura del Flujo de Datos de Plataforma

Los Datos de Plataforma de IcloneU fluyen a través de la siguiente ruta controlada:

• Ingreso: La API Graph de Meta y la API de WhatsApp Business entregan datos mediante webhooks HTTPS y flujos OAuth 2.0 a los endpoints de webhook alojados en GCP de IcloneU y al cliente de la API Graph.
• Procesamiento: Los datos se procesan del lado del servidor por los servidores de aplicación Blazor .NET Core 9 dentro de GCP Compute Engine. Ningún Dato de Plataforma se procesa del lado del cliente.
• Almacenamiento: Los datos procesados se almacenan en la base de datos SQL Server cifrada. Los tokens de acceso se almacenan en dicha base de datos cifrada. Los secretos de API se almacenan en Google Cloud Secret Manager. El contenido de la biblioteca de conocimiento se divide adicionalmente en fragmentos, se vectoriza y se almacena en la base de datos vectorial administrada que se identifica en la Sección 8.1, la cual conserva tanto los vectores como el texto indexado de cada fragmento.
• Procesamiento con IA: El contenido de las conversaciones — los mensajes, comentarios y notas de voz intercambiados en los canales que el cliente conecta, junto con el contenido de la biblioteca de conocimiento del cliente y el contexto de la conversación que el Clon Digital necesita para responder — se transmite a los proveedores de IA de IcloneU para la generación de respuestas, la transcripción de audio y la recuperación semántica, en cumplimiento de la Ley de Inteligencia Artificial de la UE de 2025. El contenido de los mensajes se transmite tal como lo escribió el usuario final: cuando un usuario final decide incluir Datos Personales en un mensaje — un nombre, un número telefónico, un domicilio —, esos datos se transmiten junto con el mensaje. IcloneU no transmite tokens de acceso, secretos de OAuth, credenciales ni datos de tarjetas de pago a ningún proveedor de IA. Las respuestas generadas se almacenan en la base de datos. Los patrones de comportamiento agregados y anonimizados pueden utilizarse para mejorar los sistemas de IA de IcloneU, sin acceder al contenido individual de los usuarios ni a los datos de la biblioteca específica del cliente.
• Egreso: Las respuestas autorizadas se transmiten de vuelta a las plataformas de redes sociales a través de sus respectivas API sobre HTTPS. Las direcciones de correo electrónico obtenidas mediante Facebook Login se transmiten a la API de Stripe únicamente para la creación de la cuenta de pago.

5.2 Sin Almacenamiento de Tokens del Lado del Cliente

• Todas las interacciones con la API de Meta se enrutan exclusivamente a través del servidor.
• Ningún token de acceso se escribe en archivos de registro, almacenamiento del navegador o ubicaciones temporales.
• Los Secretos de Aplicación nunca se incrustan en el código del lado del cliente ni se transmiten a navegadores o aplicaciones móviles.
• Los flujos OAuth se implementan con manejo de secretos del lado del servidor en su totalidad.

5.3 Minimización de Datos

• Únicamente las direcciones de correo electrónico obtenidas mediante OAuth de Facebook se transmiten a Stripe para el procesamiento de pagos.
• Las transmisiones a los proveedores de IA se limitan a lo que el Clon Digital necesita para producir una respuesta: el contenido de la conversación, el contenido de la biblioteca de conocimiento del cliente y el contexto de conversación descrito en la Sección 5.1. Nunca se les transmiten tokens de acceso de plataforma, secretos de OAuth, credenciales ni datos de pago.
• IcloneU no filtra ni suprime los Datos Personales del cuerpo de los mensajes antes de transmitirlos para su procesamiento con IA. Por lo tanto, el contenido de los mensajes llega a los proveedores de IA tal como lo escribió el usuario final, incluidos los Datos Personales que este haya decidido incluir — véase la Sección 8.3.
• Ningún Dato de Plataforma se comparte con plataformas de analítica, sistemas CRM o socios comerciales.
• Todos los demás Datos de Plataforma permanecen dentro del entorno de GCP de IcloneU, salvo la base de datos vectorial administrada a que se refiere la Sección 8.1, que conserva por cuenta de IcloneU los fragmentos de la biblioteca de conocimiento.

6. Registro de Auditoría y Monitoreo

6.1 Registro de Auditoría

• Registros de infraestructura inmutables: Los Registros de Auditoría de Google Cloud documentan la actividad administrativa del proyecto de GCP. Son escritos por la infraestructura de Google Cloud, no pueden ser modificados ni eliminados por el código de la aplicación, y se conservan conforme a la retención administrada por Google Cloud para registros de auditoría.
• Monitoreo de accesos: El acceso a los datos de registro queda a su vez documentado en los Registros de Auditoría de Cloud.
• Registro de la aplicación: Los eventos de la aplicación se recopilan en el servicio de registro centralizado de IcloneU, alcanzable únicamente desde el entorno de producción y no expuesto a internet.

6.2 Cobertura de Eventos

El registro de auditoría descrito arriba documenta:

• Eventos administrativos y del sistema: acceso administrativo al proyecto de GCP, actividad de cuentas de servicio, uso de permisos elevados, cambios de configuración y accesos a Google Cloud Secret Manager, cada uno con marca de tiempo e identidad.
• Sesiones de acceso remoto: toda sesión administrativa establecida a través del proxy de acceso con reconocimiento de identidad descrito en la Sección 4.
• Eventos de la aplicación: actividad a nivel de aplicación registrada en el servicio de registro centralizado, incluidos errores, llamadas a integraciones y resultados de procesamiento.

IcloneU no opera actualmente auditoría a nivel de sentencia sobre las consultas a la base de datos. El acceso a la base de datos se restringe, en cambio, mediante los controles de red e identidad de la Sección 4, que impiden cualquier conexión a la base de datos desde fuera del entorno de producción.

6.3 Control de los Destinos de Salida

Los destinos externos a los que pueden enviarse Datos de Plataforma están determinados por la configuración de la aplicación y se enumeran en la Sección 8.1. IcloneU mantiene una verificación automatizada en su canalización de compilación que falla cuando un proveedor es alcanzable desde el código sin una entrada correspondiente en la Sección 8.1, de modo que un destino nuevo no puede desplegarse sin que esta Política se actualice en el mismo cambio.

IcloneU no opera actualmente detección de anomalías de salida a nivel de red, ni alertas automatizadas sobre transferencias a destinos ajenos a dicho conjunto. El control descrito arriba opera de manera preventiva — impide que un destino nuevo llegue a producción sin actualizar esta Sección — y no constituye un mecanismo de detección en tiempo real.

7. Protección del Secreto de Aplicación de Meta y de los Tokens de Acceso a la API

7.1 Protección del Secreto de Aplicación

Los Secretos de Aplicación de Meta y todas las credenciales relacionadas se almacenan exclusivamente en Google Cloud Secret Manager con cifrado AES-256 en reposo. Los Secretos de Aplicación nunca se exponen a las aplicaciones cliente, no se incrustan en el código distribuido y no se devuelven en ninguna respuesta de red a navegadores o aplicaciones móviles.

7.2 Protección de los Tokens de Acceso a la API

• Tokens de Acceso de Usuario: Almacenados en la columna Hermes.dbo.PlatformConnection.UserAccessToken, protegidos mediante Transparent Data Encryption (TDE) a nivel de base de datos.
• Tokens de Acceso de Página: Almacenados en la columna Hermes.dbo.AssistedAccount.AccessToken con idéntica protección de cifrado de doble capa.
• Tokens de Actualización (Refresh Tokens): Almacenados en la misma tabla y protegidos con el mismo cifrado a nivel de base de datos que los tokens de acceso.

Todos los tokens de acceso se procesan exclusivamente del lado del servidor y nunca se almacenan en dispositivos cliente ni se escriben en archivos de registro.

8. Proveedores de Servicios de Terceros

8.1 Intercambio de Datos Autorizado

Los proveedores de IA procesan este contenido únicamente para devolver un resultado a IcloneU. IcloneU selecciona y configura a sus proveedores de IA de modo que los Datos de Plataforma no se utilicen para entrenar sus modelos, y no autoriza a ningún proveedor a utilizarlos para ninguna finalidad distinta de prestar su servicio a IcloneU. Cuando los términos de un proveedor permitieran dicho uso, IcloneU ejerce la opción de exclusión que dicho proveedor ofrezca, o bien no le enruta Datos de Plataforma. La conservación en cada proveedor se limita a lo que sus propios términos permiten para procesar la solicitud y para el monitoreo de abusos.

La tabla anterior es la lista completa de todos los proveedores a los que IcloneU puede enrutar Datos de Plataforma, no una fotografía de la configuración de un día determinado. IcloneU selecciona entre los proveedores enumerados en función de la tarea, el idioma, el modelo más adecuado para cada solicitud y la disponibilidad del proveedor; el tráfico de una cuenta determinada puede llegar a algunos de ellos y no a otros. Dado que todos los proveedores que IcloneU puede utilizar ya están nombrados aquí, cambiar cuál de ellos atiende una solicitud no constituye la contratación de un nuevo subencargado para efectos de la Sección 13.3 de los Términos de Uso. Incorporar un proveedor que no aparezca en esta tabla sí lo constituye, y se sujeta al procedimiento de notificación previsto en dicha Sección.

8.2 Requisitos para los Proveedores de Servicios

Todos los proveedores de servicios que procesan Datos de Plataforma en nombre de IcloneU deben:

• Procesar los datos únicamente bajo la dirección de IcloneU para la finalidad especificada;
• Cumplir con los Términos de Plataforma aplicables y con la legislación en materia de protección de datos;
• Implementar medidas de seguridad técnicas y organizativas adecuadas;
• Eliminar los datos de inmediato al término de los servicios; y
• Proporcionar prueba de cumplimiento cuando así se solicite.

8.3 Datos Personales Contenidos en el Contenido de las Conversaciones

Los usuarios finales escriben libremente en los canales que el cliente conecta. IcloneU no controla — ni intenta anticipar — qué decide incluir un usuario final en un mensaje: un mensaje puede contener un nombre, un número telefónico, un domicilio, una referencia de pedido o cualesquiera otros Datos Personales. Ese contenido se transmite a los proveedores de IA enumerados en la Sección 8.1 como parte de la generación ordinaria de respuestas.

Por lo anterior, IcloneU no declara que el contenido transmitido para su procesamiento con IA esté libre de Datos Personales, y actualmente no ofrece detección ni supresión automática de Datos Personales dentro del cuerpo de los mensajes. Lo que IcloneU sí garantiza es lo siguiente:

• Solo se transmite el contenido y el contexto necesarios para generar una respuesta, conforme a las Secciones 5.1 y 5.3;
• Las credenciales estructuradas en poder de IcloneU que no son necesarias para generar una respuesta — tokens de acceso, secretos de OAuth, credenciales y datos de pago — nunca se transmiten a los proveedores de IA;
• Los proveedores de IA actúan como subencargados del tratamiento bajo contrato, e IcloneU configura a cada uno de ellos para que el contenido no se utilice para entrenar sus modelos — ejerciendo la opción de exclusión que cada proveedor ofrezca, o bien no enrutándole contenido — y no autoriza a ninguno a utilizarlo para una finalidad distinta a devolver un resultado a IcloneU;
• Los registros de contacto que se mantienen por cuenta del cliente — descritos en la Sección 12 de la Política de Privacidad — permanecen dentro del entorno de IcloneU. Lo que se transmite para su procesamiento con IA se limita al contexto de conversación descrito en la Sección 5.1, junto con cualquier campo de contacto que el propio cliente decida incluir en un prompt, una automatización o una plantilla de mensaje que configure;
• El contenido transmitido para su procesamiento con IA está sujeto a las reglas de conservación y eliminación de la Sección 9, incluida la eliminación al cierre de la cuenta; y
• El cliente, en su carácter de responsable del tratamiento respecto de sus propios usuarios finales, mantiene la obligación de informarles que sus mensajes son procesados mediante inteligencia artificial, conforme a la Política de Uso de IA.

9. Retención y Eliminación de Datos

9.1 Principios Generales de Retención

IcloneU conserva los Datos únicamente durante el tiempo necesario para cumplir con las finalidades para las cuales fueron recopilados, o según lo exija la ley. Los Datos se eliminan:

• Cuando ya no sean necesarios para la finalidad comercial declarada;
• Cuando el producto o servicio a través del cual fueron recopilados deje de operar;
• A solicitud del titular de los datos (con sujeción a los requisitos legales aplicables);
• Al cierre de la cuenta;
• Según lo exija la legislación aplicable o la autoridad competente; o
• Cuando una plataforma de redes sociales solicite la eliminación para la protección del usuario.

9.2 Requisitos Específicos para los Datos de Plataforma

• Al término del acceso a las API de la plataforma de redes sociales correspondiente;
• Cuando las API, permisos o funciones de la plataforma permanezcan sin uso durante 28 o más días consecutivos;
• De inmediato al momento de la eliminación de la cuenta por parte del usuario; y
• No se realiza almacenamiento temporal en caché de los Datos de Plataforma; no se efectúa registro de solicitudes/respuestas de API para los Datos de Plataforma.

9.3 Retención de Copias de Seguridad y Registros

Las copias de seguridad de la base de datos se conservan de conformidad con los requisitos operativos y legales. Los Registros de Auditoría de Google Cloud se conservan conforme a la retención administrada por Google Cloud para registros de auditoría; los registros de la aplicación en el servicio de registro centralizado se conservan conforme a los requisitos operativos. Los archivos de respaldo están sujetos a los mismos controles de cifrado que los datos de producción.

10. Respuesta a Incidentes

10.1 Reporte de Vulnerabilidades de Seguridad

IcloneU mantiene un sistema de reporte de vulnerabilidades de seguridad. Los incidentes o vulnerabilidades de seguridad pueden reportarse a: wecare@icloneu.ai.

10.2 Procedimientos de Respuesta a Incidentes

En caso de un incidente de seguridad sospechado o confirmado que involucre Datos de Plataforma, IcloneU:

11. Transferencias Internacionales de Datos

11.1 Transferencias de Datos del EEE

Para las transferencias de datos desde Irlanda controlados por plataformas de redes sociales hacia territorios fuera del Espacio Económico Europeo sin decisiones de adecuación de la Comisión Europea, IcloneU cumple con las Cláusulas Contractuales Tipo (Módulo Uno — transferencias de responsable a responsable) según se especifica en la Decisión de la Comisión Europea (UE) 2021/914. IcloneU actúa como importador de datos; las plataformas de redes sociales pertinentes en Irlanda son los exportadores de datos. La autoridad supervisora competente es la Comisión de Protección de Datos de Irlanda.

11.2 Transferencias de Datos del Reino Unido

Para las transferencias de datos del Reino Unido controlados por plataformas de redes sociales sujetas al RGPD del Reino Unido hacia territorios sin decisiones de adecuación del Reino Unido, IcloneU cumple con el Addendum de Transferencia Internacional de Datos a las Cláusulas Contractuales Tipo de la UE, según lo aprobado por la Oficina del Comisionado de Información del Reino Unido.

12. Monitoreo de Cumplimiento y Auditoría

12.1 Auditorías Internas

• Revisiones Mensuales: Análisis de patrones de transferencia de Datos de Plataforma, evaluación de la eficacia del sistema de monitoreo, optimización de umbrales de alerta y validación de controles de seguridad.
• Auditorías Trimestrales: Actualizaciones completas de los diagramas de flujo de datos, evaluaciones de seguridad de las integraciones con terceros, pruebas de penetración de los sistemas de monitoreo de transferencias y análisis de brechas de cumplimiento.
• Revisiones Anuales: Revisión integral de esta Política, rotación de claves de cifrado y evaluación de nuevos requisitos legales y regulatorios, incluidas las actualizaciones de la Ley de Inteligencia Artificial de la UE y las leyes estatales de privacidad aplicables.

12.2 Auditorías Externas

IcloneU reconoce y acepta los derechos de auditoría de las plataformas de redes sociales:

• Las plataformas o sus auditores externos designados podrán realizar auditorías de cumplimiento hasta una vez por año calendario.
• Se permiten auditorías adicionales cuando existan violaciones, requisitos legales, cambio de control u otras condiciones necesarias.
• IcloneU proporcionará un aviso de al menos 10 días hábiles para las auditorías programadas, salvo que se requiera acceso inmediato.
• IcloneU brindará plena cooperación, incluido el acceso físico y remoto a los sistemas de TI y a los registros.
• Cualquier incumplimiento identificado se subsanará tan pronto como sea razonablemente posible.
• Los derechos de auditoría de la Plataforma subsisten tras el término del acceso a la plataforma hasta un año después de que IcloneU demuestre el cese de todo procesamiento de Datos de Plataforma y la eliminación de todos los Datos de Plataforma.

12.3 Certificaciones

IcloneU proporciona las certificaciones solicitadas respecto al cumplimiento de los Términos de Plataforma aplicables. Todas las certificaciones son emitidas por representantes autorizados de la empresa y están respaldadas por documentación mantenida para su verificación.

13. Personal y Capacitación

IcloneU garantiza que todo el personal con acceso a los Datos esté sujeto a obligaciones de confidencialidad adecuadas y reciba capacitación periódica de concienciación en seguridad. El acceso a los sistemas de producción y a los Datos de Plataforma está restringido al personal que lo requiere para su función específica y que ha reconocido sus responsabilidades en materia de protección de datos.

La capacitación de concienciación en seguridad se lleva a cabo con la siguiente frecuencia mínima y abarca los siguientes temas:

• Frecuencia: Al menos una vez al año para todo el personal con acceso a los Datos de Plataforma, y al momento de la incorporación de nuevos miembros del equipo.
• Manejo de Datos de Plataforma: Procedimientos correctos para el procesamiento, almacenamiento y transmisión de los Datos de Plataforma de conformidad con esta Política.
• Respuesta a incidentes: Cómo identificar, reportar y responder a incidentes de seguridad, incluido el requisito de notificación en 72 horas.
• Phishing e ingeniería social: Reconocimiento y prevención de ataques de phishing e intentos de ingeniería social.
• Control de acceso: Uso correcto de la MFA, gestión de contraseñas y principios de privilegio mínimo.
• Cumplimiento de la Ley de IA de la UE: Obligaciones relacionadas con el uso de sistemas de IA en el procesamiento de datos, incluidos los requisitos de minimización de datos y transparencia.

Responsable: El Director de Tecnología (Javier Bertran) es responsable de asegurar que la capacitación en seguridad se imparta, documente y mantenga actualizada frente a la evolución del panorama de amenazas y los requisitos regulatorios.

14. Cambios a Esta Política

IcloneU se reserva el derecho de modificar esta Política en cualquier momento para reflejar cambios en nuestras prácticas de protección de datos, en los requisitos legales aplicables o en los requisitos de los socios de plataformas de redes sociales. Los cambios sustanciales se comunicarán a los clientes con al menos 30 días de anticipación mediante correo electrónico o notificación en la Plataforma. El uso continuado de la Plataforma tras dicho aviso constituye la aceptación de la Política actualizada.

15. Información de Contacto

Oficial de Privacidad / Contacto de Protección de Datos

• Correo electrónico: wecare@icloneu.ai · Asunto: Consulta sobre la Política de Protección de Datos
• Dirección: Hermes AI, S.A.P.I. de C.V., Calle Corbeta 21, Colonia Lomas del Chamizal, Cuajimalpa de Morelos, C.P. 05129, Ciudad de México

Para asuntos técnicos de seguridad, incluido el reporte de vulnerabilidades de seguridad:

• Director de Tecnología: Javier Bertran
• Correo electrónico: privacy@icloneu.ai