Los datos, con las reglas del registro

INTERNATIONAL ACCREDITATION CENTER LATAM S.A. (en adelante, G-CERTI o el Organismo) es responsable del tratamiento de los datos personales recopilados a través del sitio gcerti.org, el portal de clientes, G-CERTI Formación y todos los servicios prestados, conforme a la legislación aplicable:

• Ley 25.326 (Argentina) — Protección de Datos Personales
• Resoluciones aplicables de la Agencia de Acceso a la Información Pública (AAIP) — Argentina
• Reglamento General de Protección de Datos UE 2016/679 (GDPR), cuando se traten datos de residentes en la Unión Europea
• Lei Geral de Proteção de Dados 13.709/2018 (LGPD) — Brasil
• Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) — México
• Normativa equivalente en otros países donde G-CERTI presta servicios

G-CERTI trata categorías diferenciadas de datos personales según el rol del titular:

• Visitantes del sitio: datos de navegación (IP, navegador, sistema operativo, páginas visitadas), cookies (ver política separada), información de formularios de contacto
• Personas en proceso de consulta o inscripción: nombre completo, email, teléfono, empresa o institución, cargo, norma de interés
• Clientes en relación contractual: razón social, CUIT/identificación tributaria, domicilio, datos de representantes legales, personal clave, información sobre el sistema de gestión auditado
• Alumnos de G-CERTI Formación: identificación, contacto, datos académicos y de pago, resultados de evaluaciones
• Auditores: datos profesionales y académicos, documentación de calificación y evaluación
• Personal interno: datos laborales conforme legislación laboral aplicable

G-CERTI trata los datos para las siguientes finalidades específicas y limitadas:

• Prestación del servicio de certificación (auditorías, decisiones, emisión de certificados, vigilancias)
• Formación académica (Diplomados, cursos, talleres)
• Comunicación con clientes y prospectos sobre los servicios de G-CERTI (con consentimiento explícito para campañas no transaccionales)
• Cumplimiento de obligaciones legales (tributarias, contables, regulatorias)
• Comunicación con IAS y autoridades competentes en el marco de la acreditación
• Gestión interna de auditores y personal
• Estadísticas anonimizadas para mejora del servicio

Según la finalidad, G-CERTI aplica una de las siguientes bases legales:

• Ejecución de contrato: clientes en proceso o certificados, alumnos
• Cumplimiento de obligaciones legales: registros tributarios, requisitos ISO/IEC 17021-1
• Interés legítimo del Organismo, en equilibrio con derechos del titular: estadísticas anonimizadas, seguridad
• Consentimiento explícito del titular: newsletters, campañas no transaccionales, cookies opcionales

G-CERTI comparte datos personales solo en las siguientes situaciones acotadas y siempre bajo acuerdos de confidencialidad:

• A IAS y autoridades de acreditación, en el marco del proceso de acreditación de G-CERTI
• A proveedores que prestan servicios a G-CERTI (hosting, email, pagos), bajo acuerdo de confidencialidad y limitación al fin del servicio
• A autoridades competentes cuando la ley lo exija
• Inclusión en el directorio público de clientes certificados: con consentimiento explícito del cliente

G-CERTI conserva los datos personales por el tiempo estrictamente necesario para las finalidades declaradas:

• Datos de clientes certificados: durante la relación + 6 años desde el cierre (registros de decisión y auditoría)
• Datos de alumnos: durante la relación + 10 años (obligaciones académicas)
• Datos de auditores: durante la relación + 5 años
• Datos de prospectos y visitantes: hasta retirar el consentimiento o 24 meses desde el último contacto
• Datos contables y fiscales: según legislación tributaria aplicable

El titular de los datos puede ejercer en cualquier momento los siguientes derechos sobre sus datos personales:

• Acceso a sus datos personales tratados por G-CERTI
• Rectificación de datos inexactos o desactualizados
• Supresión (derecho al olvido), con las limitaciones legales aplicables
• Oposición al tratamiento cuando exista motivo legítimo
• Limitación del tratamiento
• Portabilidad de sus datos en formato estructurado (cuando técnicamente aplique)
• Retiro del consentimiento dado para finalidades específicas, sin efectos retroactivos

G-CERTI aplica medidas técnicas y organizativas adecuadas para garantizar la seguridad de los datos personales tratados:

• Cifrado en tránsito (HTTPS, TLS 1.3) y en reposo (base de datos y backups)
• Control de acceso por rol con principio de menor privilegio
• Auditoría de accesos a información sensible
• Backups cifrados con replicación geográfica
• Acuerdos de confidencialidad con todo el personal y proveedores
• Plan documentado de respuesta a incidentes de seguridad
• Sistema de gestión de seguridad alineado con ISO/IEC 27001

En caso de incidente de seguridad que afecte datos personales, G-CERTI procede según protocolo documentado:

• Notificación a la AAIP dentro de 72 horas cuando aplique (Ley 25.326 / GDPR cuando corresponda)
• Notificación a los titulares afectados cuando el riesgo sea alto para sus derechos y libertades
• Investigación interna documentada con análisis causa raíz
• Implementación de medidas correctivas y preventivas

G-CERTI Formación mantiene un registro institucional de las credenciales académicas que emite, diseñado bajo principios de gestión de seguridad de la información y protección de datos personales, tomando como referencia ISO/IEC 27001 e ISO/IEC 27701. El registro y la publicación de perfiles son espacios separados:

• Registro institucional (verificación de autenticidad): trata los datos mínimos necesarios para comprobar una credencial — titular, programa, norma, fecha, código, estado, entidad emisora e historial de modificaciones. Base legal: ejecución de la relación académica. Incorporarse al registro no publica datos personales.
• Perfil profesional público: es voluntario y requiere consentimiento expreso, informado y específico del titular, campo por campo (fotografía, ubicación, especializaciones, idiomas, experiencia, sectores, disponibilidad, contacto). El consentimiento es revocable en cualquier momento, con efecto sobre lo publicado.
• La verificación pública responde autenticidad, alcance, fecha y estado del documento. No comunica competencia profesional vigente ni categorías profesionales.
• Si el titular no otorga la autorización de publicación, ningún dato de su perfil se hace público.

Los formularios del sitio —solicitud de información de una diplomatura, contacto, pedido de propuesta, orientación y actualización de registro— tratan únicamente los datos que la persona escribe y los mínimos de ruteo y seguridad necesarios para responder:

• Datos que se piden: nombre, correo electrónico, teléfono cuando la consulta lo requiere, país u organización cuando corresponde, la norma o el programa de interés y el comentario que la persona escribe. Ningún formulario pide datos sensibles ni documentación de identidad.
• Datos técnicos de ruteo: la página de origen, el identificador del formulario, la validación antiabuso de Cloudflare y un número de ticket generado en el envío. El ticket es el que se cita en toda la conversación posterior.
• Finalidad: responder la consulta, orientar sobre el servicio o programa y dejar registro de la solicitud. No se usan para publicidad ni se ceden a terceros con fines comerciales.
• Base legal: consentimiento de la persona al enviar el formulario y, cuando ya existe relación, ejecución de esa relación. El consentimiento se retira escribiendo a info@gcerti.org.
• Dónde quedan: en la infraestructura de G-CERTI, cifrados en tránsito, accesibles sólo para el personal autorizado que atiende consultas mediante un panel interno con acceso nominado. Se conserva el historial de las respuestas enviadas.
• Plazo de conservación: hasta 24 meses desde el último contacto, o el plazo contractual aplicable si la consulta deriva en una relación de servicio.

G-CERTI actualiza esta política periódicamente para reflejar cambios en la legislación, en los servicios ofrecidos o en las prácticas de tratamiento. Las versiones anteriores quedan archivadas y disponibles a solicitud. Los cambios sustantivos se notifican a los titulares con 30 días de antelación cuando sea posible. El uso continuado de los servicios tras la publicación de cambios constituye la aceptación de la política actualizada.