Confianza en la velocidad de la luz

Lightspeed Systems® es su socio de confianza

Nuevo: Centro de gestión de confianza

Visite el Centro de Gestión de Confianza de Lightspeed Systems para obtener información detallada sobre seguridad, privacidad, cumplimiento normativo, gestión de datos, subprocesadores, certificaciones, disponibilidad del servicio y recursos de confianza para el cliente.

Visite el nuevo centro de confianza
SOC2 Type 2
Data Privacy Framework Program logo
Access 4 Learning Community badge

Seguro y protegido

La seguridad de la información y la protección de datos son parte integral de nuestras creencias fundamentales. Contamos con equipos de seguridad y cumplimiento dedicados, que se comprometen a mantener su información segura y protegida. Lightspeed Systems emplea políticas y procedimientos estrictos para garantizar la disponibilidad, integridad y confidencialidad de los datos de los clientes.

Estado del servicio de Lightspeed Systems

Acuerdo de nivel de servicio (SLA)

Lightspeed Systems ofrece servicios alojados que incluyen administración de dispositivos móviles, filtrado web, análisis de aplicaciones y administración de aulas para escuelas. Nuestros servicios están disponibles al menos el 99,91 TP3T del tiempo y los servidores se monitorean continuamente para comprobar su rendimiento y disponibilidad.

Comprobar el estado del sistema
Lea nuestro SLA
Lightspeed Product Suite screenshots

Seguridad a velocidad de la luz

Garantías administrativas

Verificación de antecedentes de empleados

Todos los empleados de Lightspeed Systems se someten a verificaciones de antecedentes y firman un acuerdo de confidencialidad antes de ser contratados.

Notificación de violación de datos

Si nos enteramos de una violación de datos, seguiremos nuestro Plan de respuesta a incidentes y notificaremos a nuestros clientes sin demoras indebidas.

Gestión de incidentes

Contamos con un Plan de Respuesta a Incidentes escrito que detalla los procesos para detectar, informar, identificar, analizar y responder a los incidentes de seguridad que afectan las redes de Lightspeed Systems y los datos de los clientes.

Capacitación sobre concientización sobre privacidad y seguridad de los empleados

Al momento de la contratación y de manera continua, todos los empleados deben realizar una capacitación sobre privacidad y seguridad, que cubre las prácticas de privacidad y los principios que se aplican al manejo de información personal por parte de los empleados, incluida la necesidad de establecer limitaciones al uso, acceso, intercambio y retención de información personal.

Ofrecemos formación sobre aspectos específicos de seguridad que requieren según sus funciones. Por ejemplo, el equipo de desarrollo de productos recibe formación sobre privacidad desde el diseño y desarrollo de software seguro. Los empleados también están expuestos a correos electrónicos de phishing con regularidad.

Selección de proveedores y gestión de riesgos

Lightspeed Systems puede utilizar subprocesadores para realizar servicios y solo tiene derecho a acceder a los datos del cliente únicamente cuando sea necesario para realizar los Servicios y estará sujeto a acuerdos escritos que le exigen proporcionar niveles estrictos de protección de datos requeridos por Lightspeed y las regulaciones aplicables. Aquí hay una lista de nuestros subprocesadores.

Se llevan a cabo evaluaciones de proveedores previas a la contratación y en curso para garantizar que se implementen prácticas adecuadas de seguridad y privacidad de datos durante toda la relación con el proveedor. Los cambios en los servicios prestados por los proveedores o los cambios en los contratos existentes requieren una evaluación de riesgos de seguridad para confirmar que los cambios no presentan riesgos adicionales o indebidos.

Los documentos de políticas y procedimientos se alinean con los marcos de privacidad y seguridad del NIST

Lightspeed Systems revisa sus sistemas en relación con los controles CIS y los marcos NIST, y cualquier riesgo o brecha identificada se aborda en consecuencia.

Contamos con un equipo de Gobernanza de Datos designado que realiza reuniones periódicas para garantizar la integridad de los datos.

Hemos implementado varios documentos de políticas en toda la Organización para la protección de datos, tales como, entre otros: Plan de Respuesta a Incidentes, Política de Seguridad, Política de Remediación de Vulnerabilidades, Política de Estándares de TI y Política de Eliminación de Datos.

Continuidad del negocio y recuperación ante desastres

Lightspeed Systems reconoce la importancia de mantener las funciones empresariales críticas y proteger los sistemas y los datos. Para garantizar la continuidad empresarial, Lightspeed ha desarrollado un plan de continuidad empresarial y recuperación ante desastres que rige el programa de gestión general de todas las funciones.

Gestión del cambio

Las políticas de gestión de cambios se documentan para abordar el diseño, el desarrollo, la adquisición, las pruebas, la aprobación y la implementación de cambios y parches del sistema.

Seguridad a velocidad de la luz

Medidas de seguridad técnicas

Auditorias externas

Lightspeed Systems se somete a una auditoría anual SOC 2 Tipo II, verificada por una firma independiente para garantizar el cumplimiento de los estándares SOC 2. Lightspeed Systems cumple con los Criterios de Servicios de Confianza del AICPA y ha establecido políticas y procesos para garantizar la seguridad, disponibilidad, confidencialidad y privacidad de los servicios que presta a sus clientes. Los clientes pueden solicitar una copia de nuestro informe SOC 2 Tipo 2 enviando un correo electrónico a [email protected]. El informe se entregará tras firmar un acuerdo de confidencialidad (NDA).

Notificación de violación de datos

Si nos enteramos de una violación de datos confirmada, seguiremos nuestro Plan de respuesta a incidentes y notificaremos a la escuela sin demoras indebidas.

Cifrado en reposo

Los datos se cifran en reposo mediante el estándar de cifrado avanzado (AES).

Cifrado en tránsito

Los datos se cifran en tránsito mediante el protocolo de seguridad de la capa de transporte (TLS).

Copia de seguridad de datos

Realizamos copias de seguridad periódicas de los datos y los sistemas. Los intervalos de las copias de seguridad dependen del tipo de datos y varían desde minutos hasta una vez al día.

Remediación de vulnerabilidades

Lightspeed Systems cuenta con una política de corrección de vulnerabilidades para identificar y corregir vulnerabilidades según el riesgo que presenten. Utilizamos software de gestión de parches para supervisar los sistemas y garantizar que se implementen los parches.

Eliminación de datos

Lightspeed Systems ha implementado una política de eliminación de datos. Cuando corresponde, nuestras soluciones utilizan reglas automatizadas para eliminar datos de acuerdo con la política.

Registro y monitoreo

Lightspeed Systems ha implementado soluciones de registro y monitoreo para identificar e investigar posibles eventos de seguridad.

Control de identidad y acceso

El acceso a la información personal está limitado a través de credenciales de inicio de sesión para aquellos empleados que la necesitan para realizar sus funciones laborales. Además, Lightspeed Systems utiliza controles de acceso como autenticación multifactor, inicio de sesión único, privilegios mínimos y acceso según sea necesario, controles de contraseñas seguras y acceso restringido a cuentas administrativas.

Nuestras soluciones permiten a los clientes crear roles de "Administrador" que proporcionan solo los derechos necesarios para realizar las funciones requeridas.

Seguridad a velocidad de la luz

Medidas de seguridad físicas

Seguridad en el lugar de trabajo

Lightspeed Systems mantiene los siguientes controles diseñados para evitar el acceso no autorizado a nuestras oficinas:

  • El acceso a las instalaciones está limitado a personas autorizadas mediante el uso de llaves, llaveros o credenciales de acceso.
  • Las oficinas de Lightspeed cuentan con sistemas o dispositivos de extinción y detección de incendios, así como salidas de emergencia y rutas de evacuación.

Seguridad del centro de datos

Todos los centros de datos donde se procesan y almacenan datos se encuentran en Estados Unidos y cuentan con las certificaciones SOC 2, PCI DSS e ISO 27001. Lightspeed cuenta con un proceso para registrar, supervisar y responder a eventos y anomalías en sus sistemas y soluciones. También dispone de soluciones de copia de seguridad y recuperación de datos.

Principios de diseño seguro

Lightspeed Systems practica la seguridad desde el diseño. Utilizamos un ciclo de vida de desarrollo de software seguro basado en Metodologías OWASP.

Nuestros sistemas y procesos tienen en cuenta los pilares fundamentales de la seguridad de la información: Confidencialidad, Integridad y Disponibilidad.

Cumplimiento

Ética y principios de la inteligencia artificial (IA) de Lightspeed Systems

Lightspeed Systems sabe cómo la inteligencia artificial puede cambiar el mundo de la tecnología y los negocios para mejor. Usamos la IA de manera responsable, asegurándonos de que sea ética y maximizando sus beneficios y sirviendo a nuestros clientes. Seguimos principios éticos para las soluciones de IA que coinciden con nuestros valores y estándares profesionales, y que generan la confianza de nuestros clientes, personas, comunidades y reguladores. Estamos firmes en nuestro compromiso de actuar en interés público, respetar la confianza pública y demostrar nuestro compromiso con la excelencia profesional. Para obtener más información, consulte nuestra Uso responsable de la IA.

Cumplimiento

Ley de Protección de la Privacidad Infantil en Internet (COPPA)

COPPA Se aplica a la recopilación en línea de información personal por parte de personas o entidades bajo la jurisdicción de los EE. UU. sobre niños menores de 13 años. Se requiere el consentimiento de los padres para la recopilación o uso de cualquier información personal de los usuarios.

  • Lightspeed Systems cumple con la Ley de Protección de la Privacidad Infantil en Línea (COPPA) para garantizar la seguridad de los niños en línea. Las cuentas de estudiantes se proporcionan únicamente a través de un educador, escuela u organización educativa verificada. Los educadores se comprometen a obtener la autorización de los padres antes de otorgar cuentas a los estudiantes. Lea el Aviso COPPA de Lightspeed aquí.

Cumplimos con las siguientes pautas de COPPA que se enumeran a continuación y aceptamos:

  • NO recopilar información de contacto en línea sin el consentimiento de un padre o de un educador calificado o institución educativa.
  • NO recopilar información de contacto personal identificable fuera de línea.
  • NO distribuir a terceros ninguna información de identificación personal sin el consentimiento previo de los padres.
  • NO dejarse seducir por la perspectiva de un juego especial, premio u otra actividad o divulgar más información de la necesaria para participar en la actividad.
  • NO usar ni divulgar información de los estudiantes para orientar su comportamiento con anuncios dirigidos a ellos.
  • NO crear un perfil personal de un estudiante salvo para apoyar fines educativos/escolares autorizados.

Cumplimiento

Ley de Derechos Educativos y Privacidad de la Familia (FERPA)

El Ley de Derechos Educativos y Privacidad de la Familia (FERPA) Es una ley federal que protege la privacidad de los registros educativos de los estudiantes. La ley se aplica a todas las escuelas que reciben fondos en virtud de un programa aplicable del Departamento de Educación de los EE. UU.

  • Aunque la FERPA se aplica a las escuelas y no a las empresas, Lightspeed Systems puede ser designado como "Funcionario Escolar" y, como tal, cumplimos con los requisitos de la FERPA y nos comprometemos a proteger la privacidad de la información de los estudiantes, la cual nos confían los Distritos Escolares. Los Distritos Escolares controlan todos los datos de los estudiantes y actuamos bajo su supervisión. Según la FERPA, los padres o estudiantes elegibles tienen derecho a acceder, inspeccionar, revisar y rectificar los expedientes estudiantiles, y Lightspeed cumple con estos derechos cuando recibimos una solicitud escrita verificada del Distrito Escolar.
  • Tenga en cuenta que Lightspeed Systems no tiene contacto directo con estudiantes o padres.

Cumplimiento

Ley de Educación de Nueva York 2-D

Ley de Educación § 2-d entró en vigor en abril de 2014. El objetivo del estatuto era fomentar la privacidad y la seguridad de la información de identificación personal (PII) de los estudiantes y cierta PII relacionada con los maestros y directores del aula. Lightspeed Systems cumple con la Ley ED 2-D de Nueva York y la Declaración de derechos de los padres, lo cual requiere lo siguiente:

  • La información de identificación personal (PII) de un estudiante no se puede vender ni divulgar para ningún propósito comercial;
  • El derecho a inspeccionar y revisar el contenido completo del expediente educativo del estudiante almacenado o mantenido por una agencia educativa;
  • Se deben implementar medidas de seguridad asociadas con los estándares de la industria y las mejores prácticas, que incluyen, entre otras, encriptación, firewalls y protección con contraseña, cuando se almacena o transfiere información personal identificable de los estudiantes;
  • Ser notificado de conformidad con las leyes y regulaciones aplicables si ocurre una violación o divulgación no autorizada de PII;
  • Los padres tienen derecho a que se atiendan las quejas sobre posibles violaciones de los datos de los estudiantes;
  • Los trabajadores de agencias educativas que manejan PII recibirán capacitación sobre las leyes, políticas y salvaguardas estatales y federales aplicables asociadas con los estándares de la industria y las mejores prácticas que protegen la PII;
  • Los contratos de las agencias educativas con los proveedores que reciben información de identificación personal abordarán los requisitos reglamentarios y estatutarios de privacidad y seguridad de los datos.

Cumplimiento

Consorcio para la Privacidad de Datos Estudiantiles (SDPC) y Acuerdo Nacional de Privacidad de Datos (NDPA)

La SDPC publicó el primer Acuerdo Nacional sobre Privacidad de Datos (NDPA) para agilizar la contratación de aplicaciones y establecer expectativas comunes entre las escuelas/distritos y los proveedores del mercado.

  • Lightspeed está trabajando con los distritos escolares en todos los estados participantes para garantizar que tengamos acuerdos de privacidad de procesamiento de datos establecidos.
  • Se anima a los distritos escolares que deseen firmar el SDPC y el NDPA con nosotros a que envíen un correo electrónico a [email protected].
  • El PCSD es una colaboración única de escuelas, distritos, agencias regionales, territoriales y estatales, formuladores de políticas, organizaciones comerciales y proveedores del mercado que abordan soluciones reales, adaptables e implementables a las crecientes preocupaciones sobre la privacidad de los datos.

Cumplimiento

Ley de Privacidad del Consumidor de California (CCPA)

El Ley de Derechos de Privacidad de California (CPRA) Enmienda y amplía la Ley de Privacidad del Consumidor de California (CCPA). La CPRA entró en vigor el 1 de enero de 2023. La CCPA se modificó para proteger los datos personales de los empleados de California (B2E) y los contactos entre empresas (B2B) y exige que todas las organizaciones que recopilen datos de residentes de California apliquen protecciones más amplias, como evaluaciones de riesgos de privacidad, políticas de minimización y retención de datos. La CPRA ahora centra los derechos de los datos en las relaciones entre empresas y los empleados, desde la divulgación transparente de datos hasta una aplicación más rigurosa y una mayor conciencia de los riesgos de privacidad relacionados con la recopilación y el procesamiento de datos, y la contabilidad de cualquier dato vinculado a empleados, empresas y residentes de California.

¿A quién protege la Ley de Derechos de Privacidad de California?
Cualquier individuo que sea empleado residente de California y proveedor/vendedor de servicios, contratista, consultor, solicitante, trabajador independiente y trabajador remoto puede ser identificado razonablemente.

Derechos de los empleados y de los datos B2B:
  • Derecho a saber: Los empleados, contratistas y proveedores de servicios tienen derecho a saber qué datos se recopilan y gestionan, así como a acceder a copias de “información personal específica”.
  • Derecho de acceso: Al igual que los consumidores, los empleados podrán presentar una solicitud de acceso a los datos personales del interesado (DSAR) a su empleador para acceder a su información, con algunas excepciones.
  • Derecho a usar y divulgar: El derecho a solicitar que una empresa limite o detenga el uso y la divulgación de información personal confidencial.
  • Derecho a corregir: El derecho a solicitar que la empresa corrija la información inexacta.
  • Derecho de exclusión: El derecho a optar por no vender o compartir su información personal.
  • Derecho a la clemencia: El derecho a no sufrir represalias por ejercer cualquier derecho sobre sus datos.
Lightspeed Systems cuenta con los siguientes procedimientos para garantizar el cumplimiento de la CCPA y la CPRA:
  • Solicitudes de acceso de los interesados: los interesados pueden ejercer sus derechos enviando un correo electrónico a nuestro Equipo de Privacidad ([email protected])
  • Mapeo de datos: Mapeo, inventario y clasificación de todos los datos
  • Minimización de datos: Solo procesamos datos que sean adecuados, relevantes y limitados a lo necesario para los fines de los datos que se utilizan.
  • Políticas de retención de datos: Hemos implementado políticas de retención de datos en todos nuestros productos y procesos. Los datos no se conservan durante más tiempo del razonablemente necesario para cumplir con la actividad de procesamiento.
  • Evaluaciones de impacto sobre la privacidad: Realizamos evaluaciones de riesgos de todos nuestros productos y procesos, para garantizar la privacidad y la seguridad desde el diseño.

Cumplimiento

Reglamento General de Protección de Datos (RGPD)

El Reglamento General de Protección de Datos (RGPD) establece normas para la recopilación, el uso, el almacenamiento y la transferencia de datos personales de personas físicas en la Unión Europea y, a través de la RGPD del Reino Unido, en el Reino Unido). Se aplica cuando se procesan datos personales en la UE y el Reino Unido, o cuando se ofrecen bienes o servicios a residentes de la UE y el Reino Unido.

Cómo se aplica el RGPD a Lightspeed

  • Función principal: Para los productos entregados a escuelas y distritos, Lightspeed Systems actúa como un “Procesador de datos”, procesando datos personales únicamente según las instrucciones documentadas del “Controlador de datos” (la Escuela).
  • Datos de los niños: Debido a que nuestros clientes son instituciones educativas, diseñamos nuestros servicios para respetar las mayores expectativas sobre los datos de los menores y seguimos la base legal elegida por el Controlador de Datos (por ejemplo, intereses legítimos o consentimiento gestionado por la institución).

Nuestro programa GDPR:

  • Tratamiento lícito, justo y transparente
    • Procesamos datos personales de manera legal y justa, con declaraciones de propósito claras en los contratos de los clientes y la documentación del producto.
    • Transparencia: Los controladores reciben información, detallada en nuestra Política de privacidad y Acuerdos de procesamiento de datos, que describe categorías de datos, propósitos, destinatarios (incluidos subprocesadores) y retención.
  • Roles y responsabilidades
    • Obligaciones del procesador: seguimos las instrucciones del controlador, garantizamos la confidencialidad, ayudamos con las solicitudes de los interesados, apoyamos las evaluaciones de impacto de protección de datos e implementamos la seguridad adecuada.
    • Acuerdo de Procesamiento de Datos (APD): Nuestro APD (incluidas las Cláusulas Contractuales de la UE y la IDTA del Reino Unido) regula el procesamiento, la seguridad, la asistencia en caso de infracciones, las auditorías y los subprocesadores. Las solicitudes para la ejecución del APD pueden enviarse por correo electrónico a [email protected].
  • Minimización de datos y limitación de la finalidad
    • Minimización: Recopilamos y procesamos solo lo necesario para brindar y asegurar el servicio.
    • Uso estrictamente previsto: No se utilizará para publicidad ni elaboración de perfiles no relacionados; no se venderán datos personales.
  • Mapeo y clasificación de datos
    • Mantenemos un inventario y clasificación de datos vivos vinculados a sistemas, propósitos, lugares de almacenamiento y bases legales.
    • Registros de procesamiento (Art. 30 “ROPA”): Mantenemos un ROPA tanto para contextos de procesador como de controlador limitado, incluidas categorías de interesados/datos, destinatarios, retención y medidas de seguridad.
  • Retención y eliminación de datos
    • Conservamos datos personales solo el tiempo necesario para cumplir con las obligaciones contractuales y legales, y luego los eliminamos de forma segura o los anonimizamos.
    • Las solicitudes de eliminación de datos verificadas por el responsable se cumplen dentro de los plazos estipulados, tal como se detalla en los DPA ejecutados.
  • Seguridad del procesamiento
    • Controles organizativos y técnicos: control de acceso basado en roles, MFA, privilegios mínimos, registro y monitoreo, gestión de vulnerabilidades, cifrado en tránsito (TLS) y en reposo (AES) y SDLC seguro con control de cambios.
    • Evaluaciones de riesgos de seguridad de proveedores, requisitos de seguridad contractuales y revisiones periódicas de subprocesadores.
  • Privacidad por diseño y por defecto
    • Integramos la privacidad en el diseño del producto: funciones de datos predeterminadas o limitadas, enmascaramiento cuando es posible y opciones de configuración que permiten a los controladores adaptar la recopilación de datos a sus necesidades.
  • DPIAs, PIAs y AIAs
    • Realizamos evaluaciones de impacto de privacidad, evaluaciones de impacto de protección de datos y evaluaciones de impacto de IA para funciones nuevas o modificadas sustancialmente que puedan representar un riesgo elevado (por ejemplo, análisis de contenido, funciones de monitoreo).
    • Ayudamos a los controladores en sus evaluaciones de impacto de protección de datos con información sobre productos, salvaguardas y mitigaciones de riesgos.
  • Apoyo a los derechos del titular de los datos
    • Ayudamos a los responsables del tratamiento a cumplir con las solicitudes de los interesados de la UE/Reino Unido dentro de los plazos legales:
      • Acceso, rectificación, supresión, restricción
      • Portabilidad (cuando corresponda)
      • Oposición a determinados tratamientos
      • Retirada del consentimiento (cuando el responsable utiliza el consentimiento como base)
  • Transferencias internacionales
  • Gestión de incidentes y violaciones
    • Si ocurre un incidente de seguridad que afecte datos personales, notificamos al controlador sin demoras indebidas, proporcionamos detalles del incidente e información de remediación y cooperamos para que los controladores puedan cumplir con cualquier notificación de la autoridad supervisora y del sujeto de los datos (por ejemplo, la regla de las 72 horas para los controladores).
  • Subprocesadores y gobernanza de proveedores
    • Mantenemos y compartimos una lista actualizada de subprocesadores, y requerimos autorización por escrito, obligaciones de transferencia, controles de seguridad, confidencialidad y eliminación al final del servicio.
  • Capacitación, gobernanza y rendición de cuentas
    • Capacitación sobre privacidad y seguridad para el personal relevante, programas de concientización recurrentes y políticas/estándares documentados.
    • Auditorías internas y pruebas de controles para evidenciar el cumplimiento.
  • Representantes del artículo 27 de la UE y el Reino Unido
    • Representante de la UE – EDPO UE: Avenue Huart Hamoir 71, 1030 Bruselas, Bélgica
    • Representante en el Reino Unido – EDPO Reino Unido: 8 Northumberland Avenue, Londres WC2N 5BY, Reino Unido
  • Delegado de Protección de Datos Designado (DPD) – Juan Genter, [email protected]

Cumplimiento

Ley de Protección de Datos Personales de Singapur de 2012

El Ley de Protección de Datos Personales de Singapur (PDPA) de 2012 Establece un nivel fundamental de protección de datos personales en Singapur, otorgando a los “individuos” (según lo especificado por la legislación) un mayor control sobre cómo las organizaciones recopilan, utilizan y divulgan sus datos personales.

Obligaciones de protección de datos según la PDPA de Singapur

Lightspeed Systems se compromete a cumplir con las obligaciones estipuladas de la siguiente manera:

  • ResponsabilidadHemos desarrollado políticas de protección de datos y fomentamos una cultura de responsabilidad a través de formaciones periódicas.
  • Notificación: Informamos a los usuarios sobre las finalidades previstas para la recogida, uso o divulgación de sus datos personales tal y como se detalla en nuestra política de privacidad.
  • Consentir: Nos basamos en el consentimiento obtenido de las instituciones educativas (clientes) a las que prestamos servicios, antes de recopilar, utilizar o divulgar datos personales. Los datos se utilizan para el propósito para el cual se otorgó el consentimiento y los clientes tienen la opción de retirar el consentimiento en cualquier momento.
  • Limitación de finalidad: Recopilamos, utilizamos o divulgamos información personal para los fines que se han comunicado a nuestros clientes.
  • Precisión de los datos: Nos aseguramos de que la información personal sea precisa y completa.
  • Protección de datos: Hemos implementado las medidas de seguridad necesarias para proteger los datos personales del acceso, recopilación, uso y divulgación no autorizados.
  • Retención de datos: Los datos se conservan durante el tiempo necesario para cumplir con la actividad de procesamiento.
  • Limitación de transferencia de datos: Se realizan transferencias transfronterizas de datos a países que tienen leyes de protección de datos con estándares similares a los descritos en la PDPA (a menos que estén exentos por la PDPC).
  • Derechos del interesado: Las personas tienen derecho a solicitar el acceso, la corrección y la eliminación de su información personal cuando lo soliciten. Además, tienen derecho a la portabilidad de los datos y a optar por no permitir que sus datos sean recopilados, utilizados o divulgados.
  • Notificación de violación de datos: En caso de una violación de datos, Lightspeed Systems informará a sus clientes sin demoras indebidas.

Cumplimiento

Ley de Privacidad de Datos de Filipinas de 2012 (Ley de la República n.º 10173)

El Ley de Privacidad de Datos de Filipinas de 2012 (DPA) y su Normas y reglamentos de aplicación (IRR) Establecer un marco para la protección de datos personales en los sectores público y privado. La ley es aplicada por la Comisión Nacional de Privacidad (CNP) y se aplica a cualquier entidad que recopile, almacene, procese o transmita datos personales de personas en Filipinas.

Lightspeed Systems se compromete a cumplir con la Ley de Privacidad de Datos de Filipinas de 2012 al garantizar el procesamiento legal, justo y transparente de los datos personales; limitar el uso a fines educativos legítimos; salvaguardar los datos a través de medidas de seguridad líderes en la industria; y mantener la responsabilidad, el consentimiento y los derechos de los interesados en consonancia con las directrices de NPC y los estándares de privacidad globales.

Lightspeed Systems ofrece soluciones de tecnología educativa y seguridad digital a escuelas e instituciones educativas de todo el mundo. Al procesar datos en nombre de estas instituciones, Lightspeed Systems actúa como "Encargado del Tratamiento" según la Ley de Protección de Datos (LPD), mientras que las escuelas o instituciones educativas actúan como "Responsables del Tratamiento".

Lightspeed garantiza que todas las actividades de procesamiento que involucran datos personales de Filipinas cumplen con los principios y requisitos establecidos por la DPA y la guía de la NPC de la siguiente manera:

  • Procesamiento legal y justo – Todos los datos personales se recopilan y procesan de forma legal, justa y transparente, con la autorización explícita de la escuela o institución educativa. El procesamiento se limita a fines educativos y de seguridad legítimos, como la protección del alumnado en línea, la gestión de las actividades del aula y la prestación de asistencia técnica. No se utilizan datos para marketing, elaboración de perfiles ni ningún otro fin ajeno a las funciones educativas.
  • Limitación de la finalidad – Los datos se procesan únicamente para los fines explícitamente estipulados en los acuerdos de Lightspeed con las instituciones clientes y de conformidad con los avisos de privacidad de dichas instituciones. Los datos no se procesan de forma incompatible con dichos fines originales.
  • Seguridad de datos – Lightspeed implementa medidas de seguridad organizativas, físicas y técnicas para garantizar la confidencialidad, integridad y disponibilidad de los datos personales. Entre las medidas clave se incluyen, entre otras, el cifrado en tránsito (TLS 1.2+) y en reposo (AES-256), controles de acceso basados en roles, entornos SOC 2 Tipo II, monitorización continua y protocolos de respuesta a incidentes.
  • Retención de datos – Lightspeed conserva los datos únicamente durante el tiempo necesario para cumplir con las obligaciones contractuales o legales. Salvo que el cliente especifique lo contrario, se aplican los periodos de conservación estándar (90 días tras la finalización de la licencia), tras los cuales los datos se eliminan o anonimizan de forma segura. Lightspeed Systems no intentará reidentificar los datos anonimizados.
  • Derechos del titular de los datos – De conformidad con la DPA, Lightspeed apoya el pleno ejercicio de los derechos de los interesados a través de sus instituciones clientes, entre las que se incluyen:
    • Derecho a estar informado: transparencia en la recopilación y uso de datos
    • Derecho de acceso y rectificación: capacidad de revisar o corregir la información
    • Derecho de supresión o bloqueo: eliminación o restricción de datos que ya no son necesarios
    • Derecho a la portabilidad de datos: acceso a los datos en formato portátil
    • Derecho a oponerse y retirar el consentimiento: capacidad de oponerse o revocar el consentimiento para actividades de procesamiento específicas
    • Derecho a presentar una queja – ante la Comisión Nacional de Privacidad (NPC)
  • Consentimiento y Transparencia – Lightspeed procesa datos con la autorización legal y el consentimiento obtenido por la institución educativa. Se informa a los clientes sobre la naturaleza, la finalidad y el alcance del procesamiento de datos mediante avisos de privacidad claros y Acuerdos de Procesamiento de Datos (APD). No se realiza ningún procesamiento sin autorización o sin un fin educativo legítimo.
  • Rendición de cuentas y gobernanza – Lightspeed mantiene un marco integral de gobernanza de privacidad y seguridad dirigido por su responsable de protección de datos (DPO), John Genter ([email protected]). La empresa mantiene registros de las actividades de procesamiento, realiza evaluaciones periódicas del impacto en la privacidad y realiza la debida diligencia de los proveedores para garantizar que todos los subprocesadores cumplan con estándares equivalentes.
  • Gestión de violaciones de datos – Lightspeed mantiene un Plan de Respuesta a Incidentes y Gestión de Infracciones formal alineado con Circular 16-03 de la Asamblea Popular Nacional. En caso de violación de datos personales:
    • Se notificará sin demora indebida al responsable afectado (escuela/institución).
    • Lightspeed coopera con el controlador para cumplir con cualquier notificación obligatoria al NPC dentro del plazo de 72 horas requerido.
    • Se documentan y revisan el análisis de causa raíz, la remediación y las acciones correctivas.
  • Transferencias transfronterizas de datos – Cuando los datos personales se transfieren fuera de Filipinas (por ejemplo, a la infraestructura de nube segura de Lightspeed en EE. UU.), dichas transferencias están protegidas mediante cifrado y protocolos de comunicación seguros, salvaguardas contractuales consistentes con Circular 16-01 de la NPCy acuerdos vinculantes con los subencargados del tratamiento que garantizan la confidencialidad, la seguridad y las obligaciones de eliminación. Las transferencias se limitan a los fines aprobados por el responsable del tratamiento.

Cumplimiento

Ley de privacidad australiana (1988)

El Ley de privacidad australiana de 1988  Regula el manejo de información personal en Australia. Esta legislación sirve como base para las políticas de recopilación y gestión de datos en todo el país. La Ley describe 13 Principios australianos de privacidad (APP) para gestionar el uso información personal y sensible

¿A quién se aplica la Ley de Privacidad?

La Ley de Privacidad se aplica a las agencias y organizaciones del Gobierno australiano con una facturación anual superior a 3 millones de dólares australianos que manejan la información personal de residentes australianos.

Principios fundamentales de la Ley de privacidad australiana (1988)

Lightspeed Systems se compromete a cumplir con los requisitos de protección de datos descritos en los Principios de privacidad australianos de la siguiente manera:

  • Gestión abierta y transparente de la información personal – Somos transparentes en la forma en que gestionamos la información personal. política de privacidad detalla cómo recopilamos, usamos, divulgamos, transferimos y almacenamos información
  • Anonimato y seudónimo – Lightspeed Systems utiliza la anonimización y la seudonimización para proteger la identidad de las personas siempre que sea posible, excepto en circunstancias que requieran una identidad personal para procesar los datos.
  • Recopilación de información personal solicitada – Practicamos la minimización de datos y la limitación de la finalidad, y solo recopilamos los datos necesarios para cumplir con el servicio solicitado y la finalidad principal. Si alguna vez surgiera un caso en el que tuviéramos que utilizar los datos para una finalidad secundaria, notificaríamos a nuestros clientes y obtendríamos su consentimiento.
  • Cómo manejar información personal no solicitada – Hemos bloqueado automáticamente la información no solicitada. En el caso de las cookies de nuestros sitios web, hemos configurado nuestro banner de cookies con una opción de aceptación como configuración predeterminada para todas las cookies, excepto las cookies estrictamente necesarias.
  • Notificación de la recopilación de información personal – Las instituciones educativas reciben información sobre los datos de los estudiantes y del personal que se recopilan. Esto se detalla en los acuerdos de procesamiento de datos que firmamos con nuestros clientes. También mantenemos un cronograma de datos para cada uno de nuestros productos, que detalla los datos recopilados y el motivo de su recopilación.
  • Uso o divulgación de información personal – Utilizamos datos personales que son relevantes para el propósito original para el cual se recopiló la información. Consulte la sección 'Terceros: cómo podemos compartir sus datos' de nuestra política de privacidad para obtener más detalles sobre las circunstancias en las que se pueden divulgar los datos.
  • Marketing directo – No realizamos marketing directo a estudiantes o padres. El marketing está dirigido únicamente a instituciones educativas y se les ofrece una opción clara y visible para darse de baja de todas las comunicaciones de marketing.
  • Divulgación transfronteriza de información personal – Los datos transfronterizos solo se divulgan a organizaciones que cumplen con los Principios de privacidad australianos y tras la ejecución de un Acuerdo de procesamiento de datos que las vincula a las prácticas de privacidad y seguridad requeridas.
  • Adopción, uso o divulgación de identificadores relacionados con el gobierno – No utilizamos identificadores relacionados con el gobierno como propios, ni revelamos el identificador de una persona, a menos que la ley nos autorice a hacerlo o el identificador sea necesario para verificar la identidad del individuo.
  • Calidad de la información personal – Contamos con sistemas establecidos para garantizar que la calidad de la información personal recibida sea precisa, completa y actualizada.
  • Seguridad de la información personal – Empleamos las medidas de seguridad administrativas, técnicas y físicas necesarias para la protección de datos, tal y como se detalla en esta página.
  • Acceso a la información personal – Las personas tienen derecho a acceder a su información personal, tal y como se establece en nuestra política de privacidad en la sección 'Protección de datos transfronterizos'.
  • Corrección de información personal – Las personas tienen derecho a corregir su información personal, como se establece en nuestra política de privacidad en la sección “Protección de datos transfronterizos”.

Cumplimiento

Ley General de Protección de Datos de Brasil (LGPD)

El Ley General de Protección de Dados (LGPD)La Ley General de Protección de Datos (LGPD) es el marco legal establecido para regular la recopilación y el uso de datos personales en Brasil. Esta ley entró en vigor el 16 de agosto de 2020 y su aplicación está a cargo de la Autoridade Nacional de Proteção de Dados (ANPD).

 

¿A quién se aplica la Ley de Protección de Datos de Brasil?

Lightspeed Systems se compromete a cumplir con los principios LGPD de la siguiente manera:

  • Objetivo: Los datos personales se tratan para fines legítimos, específicos y explícitos comunicados al interesado, sin que ello suponga un tratamiento ulterior incompatible.
  • Adecuación: Los datos personales se tratan de acuerdo con los fines revelados al interesado, considerando el contexto de dicho tratamiento.
  • Necesidad: Los datos personales se procesan en la medida mínima necesaria para lograr los fines pertinentes, utilizando únicamente datos apropiados, proporcionados y no excesivos.
  • Acceso gratuito: Los interesados tienen derecho a realizar consultas sobre los medios y la duración del tratamiento, así como sobre la integridad de sus datos personales, de forma fácil y gratuita.
  • Calidad de los datos: Los interesados tienen derecho a recibir información precisa, clara, pertinente y actualizada, necesaria para alcanzar los fines pertinentes.
  • Transparencia: Los interesados tienen derecho a información clara, precisa y de fácil acceso sobre las actividades de tratamiento y los respectivos agentes de tratamiento (responsables del tratamiento y encargados del mismo), salvaguardando al mismo tiempo los secretos comerciales e industriales.
  • Seguridad: Lightspeed Systems ha implementado las medidas técnicas y organizativas necesarias para proteger los datos personales de accesos no autorizados, y de eventos accidentales o ilícitos de destrucción, pérdida, alteración, comunicación o difusión, tal y como se detalla en nuestra Página de Confianza.
  • Prevención: Se han adoptado medidas preventivas para mitigar los riesgos asociados con el procesamiento de datos personales como se detalla en nuestra Página de Confianza.
  • No discriminación: Los datos personales no se tratan con fines discriminatorios ni de forma ilícita o abusiva.
  • Responsabilidad: Se han implementado medidas efectivas para cumplir con los requisitos de protección de datos personales y se mejoran continuamente en respuesta al entorno cambiante.

La LGPD establece los siguientes derechos principales para los interesados:

  • obtener confirmación sobre la existencia o no de un tratamiento de datos personales;
  • para acceder a sus datos personales;
  • para rectificar datos incompletos, inexactos o desactualizados;
  • a anonimizar, bloquear o borrar datos personales innecesarios, excesivos o no conformes;
  • portabilidad de datos;
  • supresión de los datos personales tratados con el consentimiento del interesado, salvo en los casos previstos en el art. 16 de esta Ley
  • a ser informado sobre terceros con los que se han compartido sus datos;
  • a ser informado sobre la posibilidad de negarse a proporcionar datos personales y las consecuencias correspondientes; y
  • a retirar su consentimiento.

Cumplimiento

Marco de privacidad de datos (DPF) del Departamento de Comercio de EE. UU.

El 10 de julio de 2023 entró en vigor la decisión de adecuación de la Comisión Europea para el Marco de Privacidad de Datos UE-EE. UU. (EU-US DPF). El Marco de Privacidad de Datos UE-EE. UU. (EU-US DPF) y la Extensión del Reino Unido al Marco de Privacidad de Datos UE-EE. UU. (Extensión del Reino Unido al DPF UE-EE. UU.), respectivamente, fueron desarrollados para promover el comercio transatlántico por el Departamento de Comercio de los EE. UU., la Comisión Europea y el Gobierno del Reino Unido para proporcionar a las organizaciones estadounidenses mecanismos confiables para las transferencias de datos personales a los Estados Unidos desde la Unión Europea/Espacio Económico Europeo y el Reino Unido, al tiempo que se garantiza una protección de datos que sea consistente con las leyes de la UE y el Reino Unido. Lightspeed Systems cumple con el Marco de Privacidad de Datos UE-EE. UU. (EU-US DPF) y la Extensión del Reino Unido al DPF UE-EE. UU., según lo establecido por el Departamento de Comercio de los EE. UU. Lightspeed Systems ha certificado al Departamento de Comercio de los EE. UU. que cumple con los Principios del Marco de Privacidad de Datos UE-EE. UU. (Principios del DPF UE-EE. UU.) con respecto al procesamiento de datos personales recibidos de la Unión Europea y el Reino Unido en virtud del DPF UE-EE. UU. y la Extensión del Reino Unido al DPF UE-EE. UU. Si existe algún conflicto entre los términos de esta política de privacidad y los Principios del DPF UE-EE. UU., prevalecerán los Principios. Para obtener más información sobre el Programa del Marco de Privacidad de Datos (DPF) y para ver nuestra certificación, visite https://www.dataprivacyframework.gov/.

Lightspeed Systems está sujeto a los poderes de investigación y ejecución de la Comisión Federal de Comercio (FTC).

De conformidad con el DPF UE-EE. UU. y la extensión del Reino Unido al DPF UE-EE. UU., Lightspeed Systems se compromete a cooperar y cumplir respectivamente con el asesoramiento del panel establecido por las autoridades de protección de datos de la UE (APD) y la Oficina del Comisionado de Información del Reino Unido (ICO) con respecto a las quejas no resueltas relacionadas con nuestro manejo de datos de recursos humanos recibidos en base al DPF UE-EE. UU. y la extensión del Reino Unido al DPF UE-EE. UU. en el contexto de la relación laboral.

Para obtener más detalles sobre nuestro cumplimiento del Marco de privacidad de datos, revise la sección 'Transferencias internacionales de datos' de nuestra política de privacidad.

Cumplimiento

Oficina de Control de Activos Extranjeros (OFAC)

La Oficina de Control de Activos Extranjeros (“OFAC”) El Departamento del Tesoro de los Estados Unidos administra y hace cumplir las sanciones económicas y comerciales basadas en la política exterior y los objetivos de seguridad nacional de los Estados Unidos contra países y regímenes extranjeros específicos, terroristas, narcotraficantes internacionales, aquellos involucrados en actividades relacionadas con la proliferación de armas de destrucción masiva y otras amenazas a la seguridad nacional, la política exterior o la economía de los Estados Unidos.

  • Lightspeed Systems, sus empresas subsidiarias y afiliadas se comprometen a cumplir plenamente con todas las sanciones internacionales, incluidas, entre otras, aquellas impuestas por los Estados Unidos, la Unión Europea y el Reino Unido.
  • Las sanciones internacionales son leyes, reglamentos, órdenes ejecutivas, resoluciones del consejo y otras medidas gubernamentales que prohíben una amplia gama de transacciones comerciales y financieras. Es política de Lightspeed Systems cumplir con todas las sanciones internacionales aplicables.
  • Lightspeed Systems considera que un programa de cumplimiento eficaz que aborde los controles de exportación con políticas y procedimientos es una parte importante y vital de nuestras operaciones comerciales y nuestro código de conducta ética.
  • Antes de aceptar todos los pedidos internacionales, los examinamos en función de distintas listas de personas y destinos sancionados y prohibidos. Se rechazará cualquier pedido recibido, directa o indirectamente, de una persona sancionada o destinado a ser utilizado por una persona sancionada o en un destino sancionado.
  • Los empleados de Lightspeed Systems reciben capacitación anual sobre concientización sobre la OFAC para garantizar el cumplimiento.

Lista de subprocesadores de Lightspeed Systems

Nombre de la entidad Actividades de subprocesamiento Ubicación de la entidad (sede) Medidas de seguridad y complementarias
Servicios web de Amazon, Inc. Alojamiento y almacenamiento de aplicaciones Estados Unidos
LightEdge Centro de datos Estados Unidos
Corporación Microsoft Herramientas de correo electrónico y colaboración Estados Unidos
Nombre de la entidad Actividades de subprocesamiento Ubicación de la entidad (sede) Medidas de seguridad y complementarias
Abiertamente.io Monitoreo de presencia Reino Unido
Signo de Adobe Proveedor de firma electrónica Estados Unidos
Perro de datos Monitoreo y alerta de nuestros productos para garantizar que cumplamos con los objetivos de calidad y los SLA contractuales Estados Unidos
Software de invernadero Inc. Software de gestión de contratación Estados Unidos
IA de colmena Moderación de texto para la funcionalidad del producto Estados Unidos
Corporación Microsoft Herramientas de correo electrónico y colaboración Estados Unidos
Reino Unido Software de gestión de nóminas Estados Unidos
NetSuite Sistemas de contabilidad Estados Unidos
IA abierta Proveedor de servicios de inteligencia artificial generativa para funciones de productos de inteligencia Estados Unidos
Pendo.io Inc Gestión de la experiencia de software Estados Unidos
Fuerza de ventas Atención al cliente – Proveedor de CRM Estados Unidos
Copo de nieve Análisis de uso de productos, base de datos de categorización Estados Unidos
Twilio Proveedor de tecnología de comunicaciones Estados Unidos
Zoom, Inc. Proveedor de videoconferencias Estados Unidos