Política de Protección de Datos de Grassroots Economics Foundation

Traducción de trabajo — aún no vigente. Esta traducción al español se facilita para su revisión antes de la aprobación jurídica. El texto en inglés es el texto fuente y prevalece, salvo que el derecho aplicable exija lo contrario. Leer el texto en inglés.

1. Finalidad

Grassroots Economics Foundation (GEF) respeta la privacidad y considera el tratamiento de datos personales una responsabilidad hacia las personas y comunidades que participan en su trabajo. Esta Política establece normas mínimas para los datos personales tratados a través de los sistemas, programas, investigaciones, actividades educativas, eventos, alianzas y operaciones de GEF, incluida la aplicación Cosmo-Local Credit (CLC App).

Esta Política toma como referencia la Data Protection Act, 2019 de Kenya, los reglamentos aplicables y las orientaciones vigentes de la Office of the Data Protection Commissioner. También pueden aplicarse otras leyes en los lugares donde trabaja GEF o donde se encuentran las personas afectadas.

El Aviso de privacidad de la CLC App ofrece información más específica sobre los campos de la Aplicación, los recursos públicos, la búsqueda de destinatarios y los registros públicos de blockchain. Los Términos de Servicio regulan el uso de la Aplicación.

2. Alcance

Esta Política se aplica a los miembros del patronato, directores, empleados, voluntarios, becarios, contratistas, consultores, investigadores y demás personas que traten datos personales para GEF o en su nombre. Los contratos y acuerdos de colaboración deben imponer obligaciones adecuadas de protección de datos a los proveedores de servicios y socios.

La Política abarca los datos personales contenidos en registros digitales, en papel, sonoros, visuales, de investigación, de comunicaciones y de otro tipo. Se aplica tanto cuando GEF actúa como responsable del tratamiento como cuando actúa como corresponsable o encargado. Cada proyecto debe determinar la función de GEF y la de las demás partes, en vez de presumir que una sola política regula a todos los participantes.

3. Principios rectores

GEF trata los datos personales de acuerdo con los siguientes principios:

1. Licitud, lealtad y transparencia. Siempre que sea posible y exigible, las personas reciben información comprensible sobre los aspectos esenciales del tratamiento antes o en el momento de recopilar sus datos.
2. Limitación de la finalidad. Los datos se recopilan con fines determinados, explícitos y legítimos, y no se reutilizan de manera incompatible sin una base jurídica y un aviso adecuados.
3. Minimización de datos. GEF solo recopila y comparte lo razonablemente necesario para la finalidad declarada.
4. Exactitud. Se adoptan medidas razonables para mantener exactos los datos personales importantes y corregir los registros engañosos.
5. Limitación del plazo de conservación. Los datos identificables solo se conservan durante el tiempo razonablemente necesario para su finalidad y las obligaciones aplicables.
6. Integridad y confidencialidad. Las medidas de protección son proporcionales a los datos, las personas, el contexto y los riesgos.
7. Responsabilidad. GEF documenta las decisiones importantes y puede demostrar cómo se aplican estos principios.
8. Participación y dignidad. Las prácticas relacionadas con datos deben respetar la capacidad de decisión, la seguridad, la cultura y las expectativas razonables de las personas y comunidades afectadas.

4. Rendición de cuentas y responsabilidades

Los órganos de gobierno y dirección de GEF son responsables de garantizar que los riesgos para la privacidad reciban recursos y supervisión adecuados. Designan funciones responsables de la coordinación de privacidad, la seguridad de la información, los registros, la gobernanza de la investigación, la protección de personas, la respuesta a incidentes y las solicitudes de personas interesadas.

La responsabilidad corresponde al trabajo y a la autoridad implicados; no se atribuye automáticamente a un departamento concreto. Toda persona que trabaje para GEF o en su nombre debe:

• cumplir esta Política y los procedimientos pertinentes para su función;
• acceder a datos personales solo cuando esté autorizada y sea necesario;
• informar sin demora de cualquier sospecha de pérdida, uso indebido, divulgación o deficiencia de seguridad;
• completar la formación obligatoria; y
• consultar con la persona responsable del proyecto o de privacidad antes de iniciar un tratamiento dudoso o de alto riesgo.

GEF mantiene registros adecuados de los sistemas de tratamiento, las finalidades, las categorías de datos, las personas afectadas, las bases jurídicas, los destinatarios, las transferencias, los plazos de conservación, las medidas de protección y las personas responsables.

5. Bases jurídicas y consentimiento

Toda actividad de tratamiento debe contar con una base jurídica aplicable, como el consentimiento, la ejecución de un acuerdo, el cumplimiento de una obligación legal, la protección de intereses vitales, una misión de interés público cuando la ley lo permita o un interés legítimo que no quede anulado por los derechos de las personas.

El equipo responsable registra la base antes de recopilar los datos. Cuando se utilice el consentimiento, debe ser informado, específico, otorgado libremente cuando sea necesario, demostrable y tan fácil de retirar como de otorgar. Negarse a dar el consentimiento o retirarlo no debe acarrear una penalización que no se haya comunicado.

El consentimiento no es la respuesta predeterminada para todas las actividades. GEF debe utilizar la base que describa con exactitud el tratamiento y aplicar cualquier medida adicional exigida para datos sensibles, niños, personas vulnerables, comunicaciones directas, investigaciones o transferencias internacionales.

6. Transparencia y recopilación

Antes de recopilar datos personales, GEF proporciona un aviso adecuado al público y al contexto. Según corresponda, debe explicar:

• quién recopila los datos y cómo ponerse en contacto;
• qué datos se recopilan y si son obligatorios u opcionales;
• para qué se utilizan y cuál es la base jurídica;
• las consecuencias de no facilitar datos obligatorios;
• quién los recibe y si pueden tratarse internacionalmente;
• durante cuánto tiempo se conservan o cómo se determina su conservación;
• las principales medidas de seguridad y confidencialidad;
• si la información se publicará o se registrará en una blockchain pública; y
• los derechos de la persona y las vías de reclamación.

Por lo general, GEF recopila los datos directamente de la persona. La recopilación indirecta debe tener una base jurídica, una fuente documentada y un aviso adecuado, salvo que se aplique una excepción legal.

7. Datos sensibles y personas con mayor riesgo

Los datos pueden crear riesgos graves por su contenido, contexto o combinación, o por las personas implicadas. Esto incluye información sanitaria, biométrica, genética, étnica, religiosa, política, sexual, financiera, de ubicación precisa, de identificación y de protección, así como datos que puedan exponer a una persona a discriminación, violencia, exclusión, vigilancia, explotación o pérdida.

GEF aplica medidas reforzadas cuando el riesgo es mayor. Estas pueden incluir recopilar menos datos, separar los identificadores, reforzar las restricciones de acceso, cifrar, acortar los plazos de conservación, utilizar medios de contacto más seguros, transferir de forma segura, revisar la divulgación, solicitar asesoramiento especializado y documentar una evaluación de impacto.

Los equipos deben tener en cuenta las circunstancias locales. Un nombre, la pertenencia a una comunidad, un punto en el mapa, la dirección de una Billetera, una fotografía o un historial de transacciones pueden ser sensibles aunque no se clasifiquen como datos sensibles en todas las leyes.

8. Niños y protección

El tratamiento de datos de un niño exige un cuidado especial, una base jurídica aplicable, información adecuada para su edad y cualquier autorización necesaria de sus padres o tutores. El interés superior del niño es una consideración primordial.

GEF reduce al mínimo los datos de niños, limita el acceso, evita ubicaciones precisas o materiales identificativos innecesarios y evalúa si la publicación o la comunicación digital pueden crear un daño previsible. El tratamiento de datos debe cumplir la Política de Protección de la Infancia.

La CLC App está restringida a personas adultas. Esta Política no crea una vía para que un niño se registre en la Aplicación.

9. Privacidad desde el diseño y evaluación de impacto

Los requisitos de privacidad deben considerarse al diseñar un proyecto o sistema, no añadirse únicamente después de recopilar los datos. Antes del lanzamiento, los equipos deben definir la finalidad, el flujo de datos, la visibilidad, el acceso, la conservación, la eliminación, los proveedores, las transferencias y las medidas ante incidentes.

GEF realiza y documenta una evaluación de impacto relativa a la protección de datos cuando es probable que el tratamiento genere un riesgo elevado. Entre los factores pertinentes se encuentran la supervisión sistemática o a gran escala, los datos sensibles o de niños, la ubicación precisa, las nuevas tecnologías, la vinculación pública, la evaluación automatizada, la combinación de conjuntos de datos o la publicación irreversible.

Los riesgos elevados sin resolver deben comunicarse al órgano de dirección o gobierno responsable y, cuando sea necesario, a la autoridad competente antes de iniciar el tratamiento.

10. Acceso y seguridad

El acceso a los datos personales se limita según la función y la necesidad. GEF selecciona medidas adecuadas al sistema y al riesgo, que pueden incluir:

• autenticación robusta y acceso administrativo controlado;
• permisos de privilegio mínimo y separación de funciones;
• transmisión segura y protección adecuada de los datos almacenados;
• programas informáticos compatibles, aplicación de parches, revisión de la configuración y gestión de vulnerabilidades;
• registro, supervisión, límites de solicitudes y detección de abusos;
• copias de seguridad protegidas, recuperación probada y medidas de continuidad del servicio;
• eliminación o destrucción segura al finalizar el plazo de conservación; y
• obligaciones contractuales de confidencialidad y seguridad para el personal y los proveedores.

Los controles de seguridad se revisan cuando cambian los sistemas, las amenazas o los riesgos. Los registros públicos de blockchain requieren medidas distintas porque, por lo general, los registros confirmados no pueden modificarse ni eliminarse.

11. Proveedores de servicios, socios y transferencias

Antes de dar acceso a datos personales a un proveedor de servicios, GEF evalúa la finalidad, la necesidad, la seguridad, la ubicación, la comunicación posterior, la eliminación y la capacidad para ayudar a cumplir las obligaciones legales. Cuando sea necesario, las condiciones escritas deben definir el tratamiento permitido, la confidencialidad, la seguridad, la notificación de incidentes, la subcontratación del tratamiento, la asistencia, la devolución o eliminación y la supervisión.

Una colaboración no convierte por sí sola a todas las organizaciones en encargados del tratamiento. Cada acuerdo debe determinar si las partes actúan como responsables independientes, corresponsables o como responsable y encargado, y debe proporcionar a las personas información exacta sobre esas funciones.

El acceso o la transferencia internacional debe contar con una base jurídica aplicable y medidas adecuadas. Los equipos pertinentes documentan el destinatario, el país de destino, la finalidad, los datos, los riesgos y las medidas de protección. La información publicada y los datos públicos de blockchain pueden consultarse en todo el mundo y requieren un aviso claro antes de su publicación.

12. Investigación, estadísticas y datos abiertos

GEF apoya la investigación responsable y el aprendizaje abierto. La apertura no significa publicar datos personales de manera predeterminada.

Los trabajos de investigación y datos públicos deben:

• definir la pregunta, el valor público, la base jurídica y el mínimo de datos necesarios;
• utilizar agregación, desidentificación, seudonimización, muestreo o acceso controlado cuando corresponda;
• evaluar los riesgos de reidentificación y de daño colectivo, incluidas las combinaciones con datos públicos;
• evitar presentar los datos desidentificados como anónimos cuando la reidentificación siga siendo razonablemente posible;
• documentar el consentimiento, la revisión ética, el acuerdo comunitario u otra autorización legal cuando sea necesario;
• establecer normas de acceso, reutilización, atribución, conservación, corrección y retirada adecuadas al proyecto; y
• revisar tablas, mapas, relatos, imágenes y grupos pequeños para detectar divulgaciones involuntarias antes de publicar.

Los investigadores y destinatarios no deben intentar reidentificar a las personas ni utilizar los datos para dañar, discriminar, explotar o señalar a una persona o comunidad. GEF puede restringir, corregir, retirar o rechazar una publicación cuando el riesgo no esté adecuadamente controlado.

13. Exactitud, corrección y procedencia

Los equipos adoptan medidas razonables para mantener exactos los datos personales con respecto a la finalidad para la que se utilizan. Las personas deben contar con una forma práctica de comunicar errores importantes.

Las correcciones deben conservar los registros necesarios de procedencia, auditoría o controversias sin seguir presentando como vigente la información incorrecta. Cuando una blockchain pública o una copia bajo control independiente no pueda modificarse, GEF corregirá el registro fuera de la cadena que controle y explicará la limitación técnica cuando corresponda.

14. Conservación y eliminación

Cada sistema o actividad debe tener una norma de conservación basada en la finalidad, las obligaciones legales, los contratos, los riesgos, los plazos de prescripción, la auditoría, la integridad de la investigación y los derechos de las personas afectadas. No se aplica un periodo fijo a todas las categorías únicamente porque lo utilice un socio u otro proyecto.

Al finalizar el periodo de conservación, GEF elimina, destruye, agrega, desidentifica o restringe los datos de forma segura. La eliminación de copias de seguridad puede seguir un ciclo de sustitución documentado. Una obligación de conservación legal, un asunto de protección, una reclamación, una investigación o un archivo de interés público pueden exigir una conservación limitada con acceso restringido.

GEF no puede eliminar registros públicos de blockchain ni copias controladas por terceros independientes.

15. Derechos individuales y reclamaciones

GEF ofrece un proceso práctico para que las personas ejerzan los derechos que les reconoce el derecho aplicable, incluidos los derechos de información, acceso, corrección, oposición, restricción, retirada del consentimiento, eliminación y portabilidad cuando correspondan.

Las solicitudes deben enviarse a [email protected]. GEF puede verificar la identidad y las facultades del solicitante y responderá dentro del plazo exigido por el derecho aplicable. Si una solicitud no puede atenderse por completo, GEF explicará el motivo cuando esté permitido e indicará una vía de reclamación disponible.

Las personas pueden presentar una reclamación ante la Office of the Data Protection Commissioner u otra autoridad competente.

16. Incidentes relacionados con datos

Toda persona que trabaje para GEF o en su nombre debe comunicar sin demora cualquier sospecha de pérdida, acceso no autorizado, divulgación, alteración, destrucción o uso indebido de datos personales a través del canal designado para incidentes o a la dirección responsable.

GEF contendrá e investigará el incidente, protegerá a las personas afectadas, conservará las pruebas pertinentes, evaluará el riesgo, documentará las decisiones y notificará a las personas afectadas, socios, aseguradoras o autoridades cuando sea necesario. La información sobre incidentes solo debe compartirse con quienes la necesiten para la respuesta, la rendición de cuentas o el cumplimiento legal.

17. Formación, garantía y cumplimiento

El personal recibe información sobre privacidad y seguridad adecuada a su función. Las funciones de mayor riesgo reciben formación adicional. GEF revisa periódicamente los sistemas, accesos, avisos, proveedores, plazos de conservación, incidentes y el cumplimiento de esta Política.

El incumplimiento de esta Política puede dar lugar a la restricción de acceso, medidas correctoras, recursos contractuales, medidas disciplinarias, la terminación de un acuerdo, la comunicación a una autoridad u otras medidas proporcionales.

Nadie debe sufrir represalias por plantear de buena fe una preocupación de privacidad o seguridad.

18. Revisión y contacto

GEF revisa esta Política al menos una vez al año y cuando se produzcan cambios jurídicos, operativos o técnicos importantes. Las versiones actualizadas indican sus fechas de publicación y entrada en vigor.

Las preguntas, solicitudes de ejercicio de derechos o preocupaciones sobre privacidad pueden enviarse a:

Grassroots Economics Foundation
P.O. Box 1659-80108
Kilifi, Kenya
[email protected]