1. Aprobación y entrada en vigor
Esta política ha sido aprobada por la Dirección General de Woffu y entra en vigor el 19 de octubre de 2026. Su objetivo es demostrar el compromiso de la organización con la seguridad de la información y la protección de datos personales.
2. Misión y compromiso
La misión de Woffu es digitalizar eficientemente las políticas de gestión del tiempo, adaptándolas a la realidad actual, con el fin de mejorar la relación entre empleado y empleador.
Para cumplir esta misión, Woffu se compromete a proteger la información y los datos personales mediante un enfoque de mejora continua del Sistema de Gestión de Seguridad de la Información y Privacidad (SGSI/SGPI).
3. Objetivo de la política
El objetivo de esta política es establecer el marco general de seguridad y privacidad de la información de Woffu, definiendo los principios, compromisos y responsabilidades necesarios para:
- Proteger la información frente a accesos no autorizados, pérdidas, alteraciones o divulgaciones indebidas.
- Cumplir la normativa legal y reglamentaria aplicable en materia de seguridad y protección de datos personales.
- Mantener la confianza de clientes, empleados, colaboradores y proveedores.
- El sistema de gestión de seguridad de la información de Woffu tiene como referencia el Esquema Nacional de Seguridad (ENS), ISO/IEC 27001, ISO/IEC 27018 e ISO/IEC 27701.
4. Alcance
Esta política es aplicable a:
- Todo el personal, directivos y colaboradores de Woffu.
- Todos los sistemas de información, activos y procesos que soportan el servicio SaaS Woffu.
- La información y los datos personales tratados por Woffu, incluidos los tratados por cuenta de sus partners y clientes en su condición de Encargado del Tratamiento.
- Todos los proveedores y terceros que tengan acceso a información o datos personales gestionados por Woffu.
5. Principios del Sistema de Gestión de Seguridad y Privacidad
El Sistema de Gestión de Seguridad de la Información y Privacidad de Woffu se fundamenta en los siguientes principios.
5.1 Seguridad como proceso integral
La seguridad y la privacidad forman parte de todos los procesos de negocio y del ciclo de vida de los sistemas de información, implicando a todas las áreas de la organización.
5.2 Gestión basada en riesgos
Las decisiones de seguridad y privacidad se adoptan mediante un proceso continuo de identificación, análisis, evaluación y tratamiento de riesgos, garantizando que las medidas implementadas sean proporcionales al nivel de riesgo existente.
5.3 Prevención, detección, respuesta y recuperación
Se establecerán controles destinados a prevenir incidentes, detectar actividades anómalas, responder eficazmente ante incidentes de seguridad y privacidad y garantizar la continuidad y recuperación de los servicios.
5.4 Defensa en profundidad
La protección de la información se basará en múltiples capas de controles organizativos, físicos, técnicos y legales, evitando la dependencia de una única medida de seguridad.
5.5 Vigilancia y mejora continua
La eficacia del Sistema de Gestión será monitorizada de forma continua mediante indicadores, auditorías, revisiones y seguimiento de incidentes, promoviendo la mejora continua.
5.6 Reevaluación periódica
Los riesgos, controles y medidas implantadas serán revisados periódicamente o cuando se produzcan cambios significativos en la organización, la tecnología, la normativa o las amenazas.
5.7 Diferenciación de responsabilidades
Las funciones y responsabilidades relacionadas con la seguridad y la privacidad estarán claramente definidas, asignadas y comunicadas, garantizando la adecuada segregación de funciones.
5.8 Privacidad desde el diseño y por defecto
Los tratamientos de datos personales incorporarán requisitos de privacidad desde su diseño y aplicarán, por defecto, únicamente las medidas y tratamientos necesarios para cada finalidad.
5.9 Minimización y proporcionalidad
Se tratarán exclusivamente los datos personales y la información estrictamente necesarios para cada finalidad, aplicando medidas de protección proporcionales a su sensibilidad y criticidad.
5.10 Responsabilidad y cumplimiento
La organización demostrará el cumplimiento de los requisitos legales, regulatorios y contractuales aplicables mediante políticas, procedimientos, evidencias y revisiones periódicas.
6. Requisitos mínimos de seguridad.
La organización implantará y mantendrá las medidas organizativas, operacionales, técnicas y de protección necesarias para garantizar la seguridad de la información y la protección de los datos personales. Estas medidas se desarrollarán mediante políticas, normas, procedimientos e instrucciones específicas y contemplarán, como mínimo, los siguientes aspectos:
- Organización e implantación del proceso de seguridad.
- Análisis y gestión de los riesgos.
- Gestión del personal.
- Profesionalidad del personal con responsabilidades en materia de seguridad.
- Autorización y el control de los accesos.
- Protección de las instalaciones.
- Adquisición de productos de seguridad y la contratación de servicios de seguridad.
- Aplicación del principio de mínimo privilegio.
- Integridad y actualización de los sistemas.
- Protección de la información almacenada y en tránsito.
- Protección frente a los riesgos derivados de sistemas interconectados.
- Registro de la actividad y la detección de código dañino.
- Gestión de incidentes de seguridad.
- Continuidad de la actividad.
- Mejora continua del proceso de seguridad.
7. Objetivos de Seguridad y Privacidad de la Información
La Dirección General establece los objetivos de seguridad y privacidad de la información como parte del compromiso de Woffu con la protección de la información, la gestión del riesgo y la mejora continua del Sistema de Gestión de Seguridad de la Información y Privacidad (SGSI/SGPI).
Los objetivos se alinean con la estrategia de la organización, la Política de Seguridad y Privacidad, los requisitos legales, regulatorios y contractuales aplicables, así como con los resultados del análisis de riesgos.
Los objetivos establecidos se desarrollan y monitorizan mediante indicadores de desempeño y metas, en los que se establecen, cuando corresponda, los responsables, objetivos cuantificables, plazos y mecanismos de seguimiento asociados a cada objetivo. Los indicadores son objeto de seguimiento periódico y, en caso de identificarse desviaciones, se establecen y realizan las acciones necesarias para su corrección.
Los principales objetivos de seguridad y privacidad son:
O1. Fortalecer la gestión segura de identidades y accesos
Gestionar el acceso a los sistemas y a la información aplicando los principios de mínimo privilegio, necesidad de acceso y autenticación adecuada.
O2. Integrar la seguridad y privacidad en el desarrollo de software
Incorporar controles de seguridad y privacidad durante todo el ciclo de vida del desarrollo de software.
O3. Mejorar la gestión de las vulnerabilidades de seguridad
Identificar, evaluar, priorizar y corregir las vulnerabilidades de seguridad, aplicando medidas proporcionales al nivel de riesgo.
O4. Fortalecer la protección de la infraestructura tecnológica y los servicios cloud
Mejorar la seguridad y protección de los sistemas, redes, plataformas y servicios cloud que soportan los servicios prestados por Woffu, mediante la aplicación de configuraciones seguras, medidas de bastionado y controles de protección adecuados.
O5. Mejorar la capacidad de prevención, detección y respuesta ante incidentes
Desarrollar y mantener capacidades adecuadas para identificar, analizar, contener y recuperarse frente a incidentes de seguridad y privacidad.
O6. Fortalecer la continuidad y resiliencia del negocio
Mantener y mejorar la capacidad de recuperación de los servicios críticos mediante medidas de continuidad de negocio, copias de seguridad y recuperación ante desastres, así como mediante la realización de pruebas periódicas de recuperación.
O7. Gestionar la protección de los datos personales y los riesgos asociados a sus tratamientos y a terceros
Gestionar los tratamientos de datos personales conforme al RGPD, la ISO/IEC 27701 y demás normativa aplicable, mediante la identificación, análisis, evaluación y tratamiento de los riesgos para los derechos y libertades de las personas, así como la gestión de los riesgos asociados a proveedores y colaboradores.
O8. Fomentar la cultura de seguridad y privacidad.
Promover la formación, concienciación y participación activa de empleados y colaboradores en la protección de la información.
O9. Gestionar los riesgos derivados de tecnologías emergentes e inteligencia artificial
Establecer y mantener mecanismos de gobierno, evaluación y control de los riesgos asociados al uso de inteligencia artificial y otras tecnologías emergentes.
10. Fortalecer el gobierno, cumplimiento y mejora continua de la seguridad y privacidad.
Mantener un sistema de gobierno eficaz de la seguridad y la privacidad mediante el seguimiento del cumplimiento de las políticas, requisitos legales y normativos aplicables, la realización de auditorías, la identificación y gestión de no conformidades y el seguimiento de acciones correctivas y de mejora, impulsando la evolución continua del nivel de seguridad y privacidad de Woffu.
8. Gestión documental
Woffu establece un sistema de gestión documental para garantizar que toda la documentación del Sistema de Gestión de Seguridad de la Información y Privacidad (SGSI/SGPI) se crea, revisa, aprueba, pública, distribuye, modifica, conserva y elimina de forma controlada durante todo su ciclo de vida.
La gestión de la información documentada se basa en los siguientes principios:
- Toda la documentación del SGSI/SGPI estará identificada de forma única, clasificada y sometida a control de versiones.
- Los documentos serán revisados y aprobados por los responsables designados antes de su entrada en vigor.
- Se garantizará que únicamente la versión vigente esté disponible para su utilización, manteniendo la trazabilidad de las modificaciones realizadas y la conservación de las versiones históricas cuando resulte aplicable.
- La documentación se almacenará en repositorios autorizados que garanticen su confidencialidad, integridad, disponibilidad y control de acceso.
- La documentación será revisada periódicamente y siempre que se produzcan cambios organizativos, tecnológicos, normativos o derivados de incidentes de seguridad relevantes.
- Los documentos obsoletos serán retirados de uso y conservados o eliminados conforme a los periodos de retención y a los requisitos legales, contractuales y normativos aplicables.
- Los registros del SGSI/SGPI se conservarán como evidencia del funcionamiento del sistema y de la aplicación de los controles de seguridad.
9. Cumplimiento legal y normativo
Woffu se compromete a cumplir con la legislación vigente de la Unión Europea y de España y con estándares, esquemas y buenas prácticas de seguridad y privacidad de la información.
9.1 Legislación aplicable
Woffu mantiene un Registro de Requisitos Legales actualizado con el fin de identificar, evaluar y realizar el seguimiento de la legislación, normativa, requisitos regulatorios y obligaciones contractuales aplicables a su actividad, garantizando su revisión y actualización periódica.
El registro incluye, entre otras materias, la normativa relativa a la seguridad de la información, protección de datos personales, ciberseguridad, administración electrónica, servicios digitales y de confianza, propiedad intelectual, inteligencia artificial, acceso e interoperabilidad de los datos, relaciones laborales, registro de jornada, trabajo a distancia, protección de las personas informantes y cualesquiera otros requisitos legales que resulten de aplicación a la organización o a los servicios que presta.
9.2 Estándares, esquemas y buenas prácticas de seguridad y privacidad de la Información
Woffu adopta y mantiene marcos de referencia, estándares y buenas prácticas reconocidos en materia de seguridad y privacidad de la información, con el objetivo de garantizar la eficacia de su Sistema de Gestión de Seguridad de la Información y Privacidad, promover la mejora continua y demostrar el cumplimiento de los requisitos legales, regulatorios y contractuales aplicables.
Para ello, la organización se somete periódicamente a procesos de evaluación y auditoría independientes, así como a revisiones internas y pruebas técnicas de seguridad, que permiten verificar la eficacia de los controles implantados e identificar oportunidades de mejora.
Entre los principales marcos de referencia y estándares adoptados por Woffu se incluyen:
- El Esquema Nacional de Seguridad (ENS), como marco de referencia para la protección de la información y los servicios electrónicos, cuando resulte de aplicación.
- SO/IEC 27001, para la gestión de la seguridad de la información.
- ISO/IEC 27002, como guía de buenas prácticas para la selección e implementación de controles de seguridad.
- ISO/IEC 27701, para la gestión de la privacidad de la información y la protección de los datos personales.
- ISO/IEC 27018, como código de buenas prácticas para la protección de la información de identificación personal (PII) en servicios de computación en la nube.
Como complemento a estos marcos de referencia, Woffu realiza periódicamente pruebas y evaluaciones destinadas a verificar la eficacia de las medidas de seguridad implementadas. Estas incluyen, entre otras, análisis de vulnerabilidades, pruebas de penetración sobre sus servicios, ejercicios y pruebas de continuidad del negocio y recuperación ante desastres, así como cualquier otra actividad de verificación que contribuya a identificar, evaluar y corregir posibles debilidades, garantizando la resiliencia y la mejora continua del Sistema de Gestión de Seguridad de la Información y Privacidad. .
10. Gestión de datos personales y privacidad
El tratamiento de datos personales se describe detalladamente en la Política de Privacidad, donde se especifican:
- Derechos de las personas interesadas
- Datos tratados
- Finalidad del tratamiento
- Categoría de interesados
- Base legítima
- Plazo de conservación
- Tratamientos a realizar
- Cesiones
10.1 Roles en el tratamiento de datos personales
10.1.1 Responsable del Tratamiento
Woffu actúa como Responsable del Tratamiento respecto de los datos personales que trata para sus propias finalidades y sobre los que determina los fines y medios del tratamiento, incluyendo, entre otros, los datos relativos a empleados, candidatos, clientes, contactos comerciales y usuarios de sus canales digitales.
En estos tratamientos, Woffu determina las finalidades y los medios del tratamiento y garantiza el cumplimiento de las obligaciones establecidas por la normativa aplicable en materia de protección de datos.
10.1.2 Encargado del tratamiento
Woffu actúa como Encargado del Tratamiento respecto de los datos personales tratados por cuenta de sus clientes y partners en la prestación de los servicios de la plataforma SaaS Woffu, de acuerdo con las instrucciones documentadas del Responsable del Tratamiento y las condiciones establecidas en el correspondiente acuerdo de tratamiento de datos (DPA).
En estos tratamientos, Woffu no determina las finalidades de los tratamientos realizados por cuenta del Responsable, salvo aquellas decisiones necesarias para la prestación del servicio que correspondan al encargado conforme al RGPD y al acuerdo aplicable.
10.1.3 Subencargado del tratamiento
Cuando actúe como Encargado del Tratamiento, Woffu podrá recurrir a terceros que traten datos personales por cuenta de Woffu en calidad de subencargados, cuando resulte necesario para la prestación de los servicios, de conformidad con el artículo 28 del RGPD y con las condiciones establecidas en los acuerdos de tratamiento aplicables.
Asimismo, cuando Woffu actúe como subencargado por cuenta de un partner que tenga la condición de Encargado del Tratamiento, tratará los datos personales conforme a las instrucciones y condiciones establecidas por dicho Encargado y al marco contractual aplicable.
La relación actualizada de los subencargados autorizados por Woffu, así como la información relevante sobre los servicios que prestan y, cuando corresponda, las garantías aplicables a las transferencias internacionales de datos, estará disponible en la Lista de Subencargados del Tratamiento.
10.2 Privacidad desde el diseño y por defecto
El diseño y la evolución de las funcionalidades del SaaS Woffu incorporan los requisitos de protección de datos desde el diseño y por defecto (Art. 25 RGPD), así como los controles de la ISO/IEC 27701, verificados mediante auditorías periódicas
11. Organización y responsabilidades
11.1 Modelo de gobernanza
La Dirección General de Woffu asume el liderazgo y el compromiso con la seguridad de la información y la privacidad, estableciendo un modelo de gobernanza que garantiza la protección de los activos de información, la adecuada gestión de los riesgos y la mejora continua del Sistema de Gestión de Seguridad de la Información y Privacidad (SGSI/SGPI).
De conformidad con el Esquema Nacional de Seguridad (ENS), la norma ISO/IEC 27001 y los principios establecidos por la Directiva NIS2, la Dirección General es la máxima responsable de la seguridad de la información dentro de la organización. En particular, le corresponde:
- Aprobar la Política de Seguridad de la Información y Privacidad y el resto del marco normativo del SGSI/SGPI.
- Definir la estrategia y los objetivos de seguridad y privacidad.
- Designar formalmente a los responsables de las funciones de seguridad.
- Proporcionar los recursos humanos, técnicos, organizativos y económicos necesarios para el funcionamiento eficaz del SGSI/SGPI.
- Aprobar la aceptación de los riesgos residuales que excedan los criterios de aceptación establecidos.
- Supervisar el desempeño del SGSI/SGPI y promover la mejora continua de la seguridad y la resiliencia de los servicios.
Woffu estructura la gestión de la seguridad de la información en tres bloques de responsabilidad claramente diferenciados:
- Gobierno, responsable de definir la estrategia, establecer los requisitos de seguridad y asumir los riesgos.
- Supervisión, responsable de verificar el cumplimiento, supervisar la gestión de riesgos y garantizar la eficacia del sistema.
- Operación, responsable de implantar, mantener y operar las medidas de seguridad aprobadas.
Esta separación garantiza la independencia entre la toma de decisiones, la supervisión y la ejecución de las actividades de seguridad, evitando conflictos de interés y favoreciendo una adecuada segregación de funciones.
11.1.1 Bloque de Gobierno
El Bloque de Gobierno establece la estrategia de seguridad, define los requisitos de protección de la información y de los servicios y aprueba las decisiones de mayor impacto para la organización.
Dirección General
Como máximo órgano de dirección de la organización, asume la responsabilidad última sobre la seguridad de la información y la privacidad. Entre sus funciones destacan:
- Aprobar la Política de Seguridad de la Información y Privacidad.
- Designar formalmente a los responsables definidos por el ENS.
- Aprobar la estrategia y los objetivos del SGSI/SGPI.
- Asignar los recursos necesarios.
- Aprobar la aceptación de riesgos residuales.
- Revisar periódicamente el desempeño del SGSI/SGPI.
Comité de Seguridad y Privacidad
Órgano de apoyo a la Dirección encargado de coordinar la gobernanza de la seguridad de la información y la privacidad.
Entre sus responsabilidades se encuentran:
- Supervisar el estado del SGSI/SGPI.
- Revisar periódicamente los riesgos relevantes.
- Aprobar propuestas de mejora.
- Priorizar iniciativas de seguridad.
- Realizar el seguimiento de incidentes relevantes.
- Impulsar la mejora continua del sistema.
Responsable de la Información
Es el propietario de la información tratada por la organización y determina los requisitos de seguridad aplicables a la misma, estableciendo su nivel de protección en términos de confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad.
Asimismo, acepta formalmente el riesgo residual asociado a la información bajo su responsabilidad.
Responsable del Servicio
Determina los requisitos de seguridad de los servicios prestados por la organización y garantiza que dichos servicios satisfacen las necesidades de seguridad establecidas.
Acepta el riesgo residual asociado a los servicios de los que es responsable.
11.1.2 Bloque de Supervisión
El Bloque de Supervisión es responsable de verificar el cumplimiento normativo y la correcta gestión de los riesgos.
Responsable de Seguridad
Es la figura definida por el Esquema Nacional de Seguridad responsable de determinar las decisiones necesarias para satisfacer los requisitos de seguridad establecidos por el Responsable de la Información y el Responsable del Servicio.
Entre sus funciones principales destacan:
- Coordinar el Sistema de Gestión de Seguridad de la Información y Privacidad.
- Dirigir el análisis y tratamiento de riesgos.
- Elaborar y mantener la Declaración de Aplicabilidad.
- Supervisar la implantación de los controles de seguridad.
- Coordinar la gestión de incidentes de seguridad.
- Promover la formación y concienciación en seguridad.
- Informar periódicamente a la Dirección y al Comité de Seguridad y Privacidad sobre el estado del SGSI/SGPI.
Data Protection Manager
Responsable de coordinar internamente las actividades relacionadas con privacidad, asegurando el cumplimiento de la normativa aplicable y colaborando estrechamente con el Responsable de Seguridad y el Delegado de Protección de Datos.
Delegado de Protección de Datos (DPO)
El Delegado de Protección de Datos, designado externamente, ejerce las funciones establecidas por el Reglamento (UE) 2016/679 (RGPD), actuando con plena independencia.
Entre sus responsabilidades se incluyen:
- Asesorar a la organización en materia de protección de datos.
- Supervisar el cumplimiento del RGPD.
- Cooperar con la autoridad de control.
- Actuar como punto de contacto con las autoridades de protección de datos.
- Asesorar sobre evaluaciones de impacto cuando resulte necesario.
Función de Compliance
Supervisa el cumplimiento del Esquema Nacional de Seguridad, ISO 27001, ISO 27018, ISO 27701, NIS2 y del resto del marco normativo aplicable.
Asimismo, verifica la adecuación de los controles implantados y la correcta aplicación de los requisitos regulatorios.
11.1.3 Bloque de Operación
El Bloque de Operación es responsable de implantar, administrar y mantener las medidas de seguridad aprobadas por la organización.
Responsable del Sistema
Es el responsable de la operación segura de los sistemas de información y de la correcta implantación de las medidas de seguridad definidas.
Entre sus funciones destacan:
- Administrar la operación del sistema durante todo su ciclo de vida.
- Coordinar la implantación técnica de los controles de seguridad.
- Garantizar el correcto funcionamiento de los sistemas.
- Informar al Responsable de Seguridad sobre incidencias relevantes.
- Proponer actuaciones de mejora cuando se detecten deficiencias de seguridad.
Punto de contacto de seguridad (POC)
La organización dispone de un Punto de Contacto de Seguridad (POC) encargado de recibir y gestionar las comunicaciones relacionadas con la seguridad de la información. El POC es atendido por personal autorizado del departamento de Tech y está disponible a través del correo electrónico security@woffu.com.
Equipo DevOps
Es responsable de la implantación técnica y operación diaria de las medidas de seguridad, incluyendo:
- Configuración segura de infraestructuras.
- Gestión de vulnerabilidades.
- Despliegue de controles técnicos.
- Monitorización de plataformas.
- Aplicación de procedimientos operativos de seguridad.
Managers de Área
Garantizan la aplicación de las políticas y procedimientos de seguridad dentro de sus respectivos equipos, supervisando el cumplimiento operativo y promoviendo las buenas prácticas de seguridad.
Empleados y colaboradores
Todo el personal tiene la obligación de:
- Cumplir las políticas y procedimientos de seguridad.
- Proteger la información y los activos bajo su responsabilidad.
- Participar en las actividades de formación y concienciación.
- Comunicar inmediatamente cualquier incidente o sospecha de incidente de seguridad al Punto de Contacto de Seguridad (POC)
11.2 Designación y renovación de roles de seguridad
La designación de los responsables relacionados con la seguridad de la información y la privacidad corresponde a la Dirección General y se realiza mediante un procedimiento formal documentado.
Los nombramientos tendrán en consideración:
- La experiencia y conocimientos técnicos requeridos para el desempeño del puesto.
- La capacidad de decisión dentro del ámbito de responsabilidad asignado.
- La independencia necesaria para ejercer las funciones de supervisión cuando resulte aplicable.
- La disponibilidad de recursos adecuados para el desempeño de la función.
Los nombramientos permanecerán vigentes mientras la persona continúe desempeñando las funciones asignadas.
Cuando se produzcan cambios organizativos, modificaciones en las responsabilidades, ausencias prolongadas o cualquier circunstancia que afecte a la estructura de gobierno del SGSI/SGPI, la Dirección General revisará los nombramientos y actualizará la documentación correspondiente.
Todos los cambios que afecten a los roles definidos en esta Política serán comunicados a las partes interesadas y reflejados en la documentación del Sistema de Gestión de Seguridad de la Información y Privacidad.
11.3 Gestión de conflictos de interés
Woffu garantizará que la asignación de responsabilidades en materia de seguridad de la información, privacidad, continuidad, cumplimiento y gestión de los sistemas preserve la independencia, objetividad y adecuada segregación de funciones, evitando situaciones que puedan generar conflictos de interés o comprometer la eficacia de los mecanismos de gobierno, supervisión y control.
Con carácter general, ninguna persona deberá supervisar, auditar, aprobar o evaluar actividades cuya ejecución sea de su propia responsabilidad cuando ello pueda afectar a la imparcialidad de sus decisiones o a la independencia de criterio.
Cuando, por razones organizativas, una misma persona desempeñe más de un rol o existan relaciones jerárquicas entre funciones con responsabilidades diferenciadas, la organización establecerá las medidas organizativas y de supervisión necesarias para preservar la independencia de criterio y garantizar una adecuada segregación de funciones.
Los posibles conflictos de interés deberán identificarse, comunicarse y gestionarse de acuerdo con el procedimiento establecido en el Manual del SGSI/SGPI, aplicando las medidas compensatorias que resulten necesarias para asegurar la objetividad de las decisiones y la eficacia del sistema de gestión.
La Dirección General velará por que existan mecanismos adecuados para prevenir, gestionar y resolver los conflictos de interés que puedan afectar al SGSI/SGPI.
12. Concienciación y formación
Todos los miembros de Woffu realizan formación anual en seguridad de la información y privacidad, integrada en el ciclo de vida del empleado.
Asimismo, la Dirección General y los responsables con funciones de gobierno reciben formación adecuada para comprender los riesgos de ciberseguridad, supervisar las medidas de gestión de riesgos y ejercer sus responsabilidades conforme a los principios establecidos por NIS2.
13. Gestión de riesgos
Woffu realiza de forma periódica análisis de riesgos de seguridad de la información y análisis de riesgos asociados a los tratamientos de datos personales, con el fin de proteger los activos de información y garantizar la protección de los derechos y libertades de las personas físicas.
En relación con los tratamientos de datos personales, Woffu identifica, analiza, evalúa y trata los riesgos asociados a dichos tratamientos, considerando la probabilidad y gravedad del impacto sobre los derechos y libertades de las personas físicas, de conformidad con el Reglamento (UE) 2016/679 (RGPD) y la norma ISO/IEC 27701. Cuando el nivel de riesgo así lo requiera, se realizará una Evaluación de Impacto relativa a la Protección de Datos (EIPD).
Revisión de riesgos:
- Al menos una vez al año
- Ante cambios relevantes en servicios o tratamientos
- Tras incidentes graves o vulnerabilidades significativas
14. Incumplimientos
El incumplimiento de esta política, incluyendo las obligaciones de seguridad establecidas en la misma, podrá dar lugar a medidas disciplinarias conforme a la normativa laboral vigente.
Estas medidas podrán variar en función de la gravedad del incumplimiento e incluir, entre otras, sanciones disciplinarias o la terminación de la relación laboral o contractual.
La organización establece los mecanismos necesarios para que las personas trabajadoras conozcan y tengan acceso a esta política, de acuerdo con los procesos internos establecidos al efecto.
15. Revisión y comunicación
- El comité de seguridad revisará esta política al menos una vez al año o cuando haya cambios significativos en la normativa o en la organización.
- Se publicará en la página web de Woffu y estará disponible para todas las partes interesadas.