Última actualización: Enero de 2026

ALCASYS GROUP E.I.R.L. establece esta Política para proteger la información propia y la confiada por sus clientes durante el desarrollo, operación y soporte de ALCASYS Education. Su enfoque toma como referencia ISO/IEC 27001:2022, ISO/IEC 27002:2022, la Ley N.º 29733 y su Reglamento.

Esta declaración pública define compromisos y principios. No constituye una certificación ISO ni revela configuraciones, credenciales, topología, procedimientos de respuesta u otra información cuya publicación pueda aumentar el riesgo. Los controles detallados se administran mediante documentos internos y evidencias operativas.

1. Objetivo

Preservar la confidencialidad, integridad, disponibilidad y trazabilidad de la información mediante controles proporcionales a los riesgos, requisitos legales, obligaciones contractuales y necesidades de continuidad del servicio.

2. Alcance

La Política se aplica al personal, proveedores, procesos, aplicaciones, infraestructura, dispositivos, comunicaciones y datos vinculados con ALCASYS Education. Comprende el ciclo de vida de la información desde su recopilación o recepción hasta su devolución, archivo o eliminación.

3. Principios

• Acceso según necesidad de conocer y mínimo privilegio.
• Separacion de responsabilidades cuando resulte viable y necesaria.
• Protección proporcional a la sensibilidad, criticidad y riesgo de la información.
• Seguridad considerada en cambios, desarrollos, integraciones y nuevas funcionalidades.
• Registro de evidencia suficiente para investigar y demostrar operaciones relevantes.
• Mejora continua basada en incidentes, revisiones, cambios y evaluación de riesgos.

4. Gobierno y responsabilidades

La Gerencia proporciona dirección, asigna responsabilidades y aprueba las políticas de seguridad. El responsable de tecnología implementa controles y mantiene evidencias. Los propietarios de procesos definen accesos y requisitos. Todo trabajador y proveedor debe proteger credenciales, reportar incidentes y cumplir las instrucciones aplicables.

ALCASYS designará un Oficial de Datos Personales cuando se configure alguno de los supuestos establecidos por el Reglamento. Sus datos de contacto se publicarán y comunicarán a la Autoridad dentro del plazo legal que corresponda.

5. Gestión de riesgos

ALCASYS identificará activos, amenazas, vulnerabilidades, impactos y controles aplicables. Los riesgos se evaluarán con criterios definidos y se tratarán mediante reducción, aceptación, transferencia o evitación, con responsables y seguimiento. Los cambios relevantes y los incidentes pueden originar una evaluación extraordinaria.

6. Gestión de activos e información

La información y los activos tecnológicos deben inventariarse en un nivel acorde con su importancia. La clasificación considera sensibilidad, valor, obligaciones y consecuencias de divulgación, alteración o pérdida. El manejo, intercambio, respaldo, conservación y eliminación se ajustan a dicha clasificación.

7. Identidades accesos y autenticación

• Las cuentas deben ser individuales salvo excepción técnica documentada.
• Las altas, modificaciones y bajas requieren autorización y trazabilidad.
• Los privilegios se asignan según funciones y se revisan periódicamente; para accesos a datos personales, la revisión se realizará como mínimo cada seis meses cuando resulte aplicable.
• Las credenciales deben protegerse y los accesos privilegiados requieren controles reforzados.
• Los accesos se revocan oportunamente ante cese, cambio de función o riesgo identificado.

8. Operación segura y trazabilidad

ALCASYS mantiene procedimientos para operación, monitoreo, cambios, capacidad, copias de respaldo y recuperación. Los eventos relevantes se registran y protegen contra acceso o alteración no autorizados. Los registros de interacción lógica con datos personales se conservarán por el mínimo legal de dos años cuando corresponda.

9. Desarrollo mantenimiento y cambios

Los cambios en la Plataforma deben contar con autorización, pruebas acordes con el riesgo, control de versiones y posibilidad razonable de reversa. Las correcciones de seguridad se priorizan según impacto y exposición. Los ambientes y datos de prueba se protegen y se evita usar datos personales reales cuando no sean necesarios.

10. Protección de infraestructura y comunicaciones

ALCASYS aplica controles para proteger redes, servidores, estaciones, comunicaciones y servicios en la nube. Estos pueden incluir segmentación, configuración segura, cifrado durante la transmisión, protección contra código malicioso, actualizaciones, monitoreo y restricciones de administración, de acuerdo con el riesgo y la capacidad técnica.

11. Respaldo continuidad y recuperación

La información necesaria para la continuidad se respalda con una frecuencia y retención definidas según criticidad. Los respaldos se protegen, supervisan y verifican. ALCASYS mantiene criterios de recuperación y continuidad, realiza pruebas periódicas proporcionales al riesgo y conserva evidencia de sus resultados y acciones correctivas.

12. Proveedores y servicios en la nube

Los proveedores con acceso a información o capacidad de afectar el servicio se evalúan según su criticidad. Los acuerdos deben incluir requisitos de confidencialidad, seguridad, privacidad, continuidad, notificación de incidentes, devolución o eliminación de datos y control de subcontratación cuando corresponda.

13. Gestión de vulnerabilidades

ALCASYS recibe y evalúa información sobre vulnerabilidades, determina la exposición de sus activos y aplica medidas de tratamiento según riesgo. Las pruebas intrusivas y la investigación de seguridad requieren autorización previa. Los hallazgos se registran hasta su cierre o aceptación formal.

14. Gestión de incidentes

Todo evento sospechoso debe comunicarse sin demora por los canales internos. ALCASYS clasifica, contiene, investiga, recupera y documenta los incidentes, preservando evidencia cuando resulte necesario. Las lecciones aprendidas se incorporan a los controles y procedimientos.

Cuando un incidente afecte datos tratados por cuenta de una Institución, ALCASYS informará de forma inmediata al responsable del tratamiento. Las notificaciones a autoridades y titulares se gestionarán conforme a los roles y plazos legales aplicables, incluido el plazo de cuarenta y ocho horas en los supuestos previstos por el Reglamento.

15. Personal y cultura de seguridad

El personal y los proveedores deben asumir compromisos de confidencialidad y recibir orientación acorde con sus funciones. ALCASYS promueve capacitación periódica sobre credenciales, phishing, manejo de datos personales, reporte de incidentes, trabajo remoto y uso autorizado de herramientas.

16. Cumplimiento y auditoría

ALCASYS identifica requisitos legales, contractuales y técnicos aplicables, conserva evidencia razonable de cumplimiento y realiza revisiones internas según riesgo. Los incumplimientos pueden generar medidas correctivas, restricciones de acceso o consecuencias contractuales y laborales conforme a la ley.

17. Excepciones

Toda excepción a una política o control debe estar justificada, evaluada por riesgo, autorizada por un responsable competente, limitada en alcance y tiempo, y acompañada de controles compensatorios cuando sean necesarios.

18. Comunicación y contacto

Esta Política se comunica al personal y se pone a disposición de clientes y partes interesadas. Las consultas sobre seguridad y protección de datos pueden dirigirse a privacidad@alcasys.com. La información sobre vulnerabilidades debe remitirse de manera responsable, sin explotar, divulgar ni acceder a datos de terceros.

Control y revisión del documento

Este documento será revisado al menos una vez al año y cuando existan cambios relevantes en la normativa, el servicio, la infraestructura, los riesgos o las obligaciones contractuales. La versión vigente será la publicada por ALCASYS.