Condiciones de Seguridad de Datos de WhatsApp Business ("Condiciones de Seguridad de Datos")

29 de octubre de 2020

Estas Condiciones de Seguridad de Datos de WhatsApp Business ("Condiciones de Seguridad de Datos") se aplican a ti en relación con la prestación de Servicios de Business de WhatsApp de acuerdo con las Condiciones de Business. Los términos que se emplean con inicial mayúscula, pero que no se definen en estas Condiciones de Seguridad de Datos, tienen los significados que se establecen en las Condiciones de Business. Estas Condiciones de Seguridad de Datos describen los estándares de seguridad mínimos que mantiene WhatsApp para los Servicios de Business ofrecidos en virtud de las Condiciones de Business, incluidos los datos que envías a WhatsApp mediante los Servicios de Business ("Datos cubiertos").

1. Organización de la seguridad de la información. WhatsApp cuenta con personal responsable de supervisar la seguridad de los Servicios de Business.
2. Seguridad física y ambiental. Las medidas de seguridad de WhatsApp incluirán controles diseñados para garantizar, dentro de lo razonable, que se limite el acceso físico a los centros de tratamiento de datos físicos controlados por WhatsApp y usados para proporcionar los Servicios de Business ("Centro de Tratamiento de Datos") solo a personas autorizadas y que haya controles ambientales establecidos para detectar, prevenir y controlar la destrucción debido a peligros ambientales. Los controles incluirán:
   1. registro y auditoría del acceso físico al Centro de Tratamiento de Datos por parte de empleados y contratistas;
   2. sistemas de cámaras de vigilancia en el Centro de Tratamiento de Datos;
   3. sistemas que monitorizan y controlan la temperatura y la humedad de los equipos informáticos en el Centro de Tratamiento de Datos;
   4. suministro de energía y generadores de respaldo en el Centro de Tratamiento de Datos;
   5. procedimientos para la supresión y destrucción segura de datos conforme a las Condiciones de Business; y
   6. protocolos que requieren tarjetas de identificación para acceder a todos los centros de WhatsApp para todo el personal que trabaje en Servicios de Business.
3. Personal
   1. Capacitación. WhatsApp se asegurará de que todo el personal con acceso a Datos Cubiertos reciba capacitación de seguridad.
   2. Confidencialidad. WhatsApp vinculará contractualmente al personal con acceso a Datos Cubiertos con requisitos de confidencialidad adecuados.
   3. Revisión y verificación de antecedentes. WhatsApp contará con procesos para:
      1. verificar la identidad del personal con acceso a Datos Cubiertos; y
      2. realizar la verificación de antecedentes, donde lo permita la legislación, del personal que trabaje o realice funciones de soporte relacionadas con los Servicios de Business de conformidad con los estándares de WhatsApp.
   4. Violación de seguridad por parte de un miembro del personal. WhatsApp impondrá sanciones disciplinarias a los miembros del personal que accedan a Datos Cubiertos sin autorización, incluida la finalización de la relación laboral donde lo permita la legislación.
4. Pruebas de seguridad WhatsApp realizará pruebas de seguridad y vulnerabilidades regularmente para evaluar si los controles clave se implementan de manera correcta y son eficaces.
5. Control del acceso a.
   1. Administración de contraseñas. WhatsApp ha establecido y mantendrá procesos de administración de contraseñas para su personal diseñados con el fin de asegurar que las contraseñas sean personales para cada individuo y que las personas sin autorización no puedan acceder a ellas. Estos procesos incluyen, como mínimo, lo siguiente:
      1. provisión de contraseñas, incluidos procesos diseñados para verificar la identidad del usuario antes de proporcionarle una contraseña nueva, de reemplazo o temporal;
      2. protección de contraseñas mediante cifrado cuando se almacenan en sistemas informáticos o se transfieren por la red;
      3. modificación de contraseñas predeterminadas de proveedores;
      4. complejidad de las contraseñas en función de su uso previsto; y
      5. capacitación sobre buenas prácticas para contraseñas.
   2. Administración del acceso. WhatsApp también controlará y supervisará el acceso del personal a sus sistemas mediante:
      1. procedimientos establecidos para modificar y revocar permisos de acceso e identificadores de usuarios sin demora indebida;
      2. procedimientos establecidos para reportar y revocar credenciales de acceso comprometidas (contraseñas, tokens, etc.);
      3. mantenimiento de registros de seguridad apropiados que incluyan el identificador del usuario y la indicación de hora y fecha, si corresponde;
      4. sincronización de relojes con NTP (por sus siglas en inglés); y
      5. registro de al menos los siguientes eventos de administración de acceso de usuarios:
         • cambios de autorización;
         • intentos de autenticación y acceso exitosos y fallidos; y
         • operaciones de lectura y escritura.
6. Seguridad de las comunicaciones
   1. Seguridad de la red
      1. WhatsApp usará tecnología que cumpla con los estándares del sector para la segregación de redes.
      2. El acceso remoto por red a los sistemas de WhatsApp requerirá una comunicación cifrada mediante protocolos seguros y el uso de autentificación multifactor.
   2. Protección de datos en tránsito
      1. WhatsApp requerirá el uso de protocolos apropiados diseñados para proteger la confidencialidad de los datos transmitidos por redes públicas.
7. Administración de vulnerabilidades WhatsApp estableció y mantendrá un programa de administración de vulnerabilidades de los Servicios de Business que incluye definiciones de funciones y responsabilidades para la supervisión de vulnerabilidades, la evaluación de riesgos de vulnerabilidades y la implementación de revisiones.
8. Administración de incidentes de seguridad
   1. Respuesta ante incidentes de seguridad. WhatsApp establecerá y mantendrá un plan de respuesta ante incidentes de seguridad para supervisar, detectar y abordar posibles incidentes de seguridad que afecten a los Datos Cubiertos. El plan de respuesta ante incidentes de seguridad incluye, como mínimo, definiciones de funciones y responsabilidad, comunicación y revisiones posteriores al incidente, incluidos análisis de la causa y planes de resolución.
   2. Supervisión. WhatsApp controlará que no existan violaciones de seguridad ni actividades maliciosas que afecten a los Datos Cubiertos.

En caso de cualquier conflicto explícito entre las Condiciones de Business y estas Condiciones de Seguridad de Datos, prevalecerán las Condiciones de Business únicamente en relación con tu uso de los Servicios de Business y solo en lo que respecta a dicho conflicto. WhatsApp puede actualizar estas Condiciones de Seguridad de Datos de vez en cuando para que reflejen los estándares de seguridad en constante evolución.