Link: Nueva publicación en Todostartups.com.
Las 3 claves para que tu web sea «legal».
Responder
Archivo de la categoría: Contratación tecnológica
Spam: Los e-mails publicitarios y su legalidad
La nueva factura electrónica
El 30 de noviembre se publicó en el BOE el Real Decreto 1619/2012, de 30 de noviembre, por el que se aprueba el Reglamento por el que se regulan las obligaciones de facturación.
Lo más destacable en mi opinión respecto a este RD es que por fin se equipara la factura electrónica a la factura en papel. La factura electrónica puede ser un simple PDF o un documento escaneado, eso sí, con el resto de requisitos de toda factura.
Además, el reglamento introduce una definición de factura electrónica que supone una simplificación muy importante para su emisión. Por tanto, el famoso EDI y la firma electrónica avanzada dejan de ser obligatorios, lo cual, en mi opinión, se agradece.
Si deseas ver con detalle el Real Decreto, puedes consultarlo aquí.
¿Tienes un negocio en Internet? Recuerda que debes identificarte correctamente!
Es muy común aún hoy encontrarnos con múltiples páginas webs de tiendas on line muy bien diseñadas y con productos muy atractivos, y que probablemente funcionen con gran profesionalidad, pero en las que no sabemos realmente quién nos presta el servicio. El que aparezca una marca o un logo no significa que detrás haya una gran empresa, puede ser un simple autónomo o una empresa estadounidense.
Recordemos que comprar por Internet es firmar un contrato y unas condiciones (que desgraciadamente no siempre leemos). Siendo esto así, ¿cómo es posible que ni siquiera sepamos con quién firmamos el contrato de compraventa? O ¿cómo es posible que no nos interesemos por saber quién hay detrás de una determinada tienda on line?
Tanto si eres el vendedor, en cuyo caso estás obligado a identificarte de conformidad con el artículo 10 de la LSSI, como si eres el comprador, en cuyo caso muchos nos echamos para atrás a la hora de comprar por no saber con quién estamos contratando, recuerda que siempre debe estar identificado el primero (ya sea autónomo o sea una sociedad).
Además, en el caso de los vendedores, tened en cuenta que puede existir sanción por este motivo, y responsabilidades no deseadas.
El artículo 10 de la LSSI
Este artículo dispone que el prestador de servicios (el vendedor) deberá poner los medios necesarios para que el comprador tenga acceso a los datos de este para saber con quién está contratando. En particular, deberá identificar obligatoriamente los siguientes:
- Su nombre o denominación social; su residencia o domicilio o, en su defecto, la dirección de uno de sus establecimientos permanentes en España; su dirección de correo electrónico y cualquier otro dato que permita establecer con él una comunicación directa y efectiva.
- Los datos de su inscripción en el Registro Mercantil en el que, en su caso, se encuentren inscritos o de aquel otro registro público en el que lo estuvieran para la adquisición de personalidad jurídica o a los solos efectos de publicidad.
- En el caso de que su actividad estuviese sujeta a un régimen de autorización administrativa previa, los datos relativos a dicha autorización y los identificativos del órgano competente encargado de su supervisión.
- Si ejerce una profesión regulada (por ejemplo un abogado) deberá indicar:
- Los datos del Colegio profesional al que, en su caso, pertenezca y número de colegiado.
- El título académico oficial o profesional con el que cuente.
- El Estado de la Unión Europea o del Espacio Económico Europeo en el que se expidió dicho título y, en su caso, la correspondiente homologación o reconocimiento.
- Las normas profesionales aplicables al ejercicio de su profesión y los medios a través de los cuales se puedan conocer, incluidos los electrónicos.
- El número de identificación fiscal que le corresponda.
- Cuando el servicio de la sociedad de la información haga referencia a precios, se facilitará información clara y exacta sobre el precio del producto o servicio, indicando si incluye o no los impuestos aplicables y, en su caso, sobre los gastos de envío o en su caso aquello que dispongan las normas de las Comunidades Autónomas con competencias en la materia.
- Los códigos de conducta a los que, en su caso, esté adherido y la manera de consultarlos electrónicamente.
Seguridad y Cloud Computing
Compliance in Cloud Computing: seguridad juridica en la “nube”
Introducción
http://www.ipc.on.ca
“… unlimited information passing …”
“Modeling Cloud Computing Architecture Without Compromising Privacy: A Privacy by Design Approach.
Según la NIST el cloud computing se entiende con base a las siguientes características:
#1: Autoservicio
#2: Amplio acceso a la red
#3: Reserva recursos comunes
#4: Rapidez y flexibilidad
#5: Medible y supervisado
Fuente: “Guía para la seguridad en áreas críticas de
atención en Cloud Computing” de la CLOUD SECURITY ALLIANCE.
Nicholas G. Carr ya hizo una compartiva del cloud computing con el auge de la comercialización de la electricidad en Estado Unidos, cuando miles de empresas dejaron su actividad para dedicarse exclusivamente a producir y vender electricidad.
“The End of Corporate Computing”: virtualización + “grid” + “web services”
Cifras:
Se estima que el Cloud computing moverá alrededor de:
130 Exabytes a 1,6 Zettabytes (sobre 5 del total) hasta el 2015
Fuente: CISCO
44,2 billones de dólares en 2013
Fuente: IDC
• “Cloud security is a tractable problem–There are both advantages and challenges”
Effectively and Securely Using the Cloud Computing Paradigm
NIST, Information Technology Laboratory
“A cloud without robust data protection is not the sort of cloud we need”
Sra. Neelie Kros, European Commission Vice-President for the Digital Agenda
Autodeterminación informativa
¿Qué datos tienen de mi ?
¿Quien los tiene?
¿Con qué finalidad?
Derecho activo de control sobre los datos personales
http://www.forrester.com/cloudprivacyheatmap
Do You Know Where Your Data Is In The Cloud?
http://www.privacyinternational.org/survey/dpmap.jpg
El programa de trabajo 2010-2011 del grupo del Artículo 29 incluía explícitamente analizar el “cloud computing” en relación a la protección de datos de carácter personal.
http://ec.europa.eu/justice_home/fsj/privacy/workinggroup/wpdocs/
Riesgos y amenazas
Top Threats to Cloud Computing V1.0 March 2010
1: Abuso y mal uso del “cloud computing”
2: Interfaces y APIS poco seguros
3: Amenaza interna
4: Tecnologías compartidas
5: Pérdida o fuga de información
6: Secuestro de sesión o servicio
7: Riesgos por desconocimiento
https://cloudsecurityalliance.org/research/top-threats/
1: Accesos de usuarios con privilegios
2: Cumplimiento normativo
3: Localización de datos
4: Aislamiento de datos
5: Recuperación
6: Soporte investigativo
7: Viabilidad a largo plazo
Guidelines on Security and Privacy in Public Cloud Computing
Wayne Jansen
Timothy Grance
Draft Special Publication 800-144
1: Governance
2: Compliance
3: Trust
4: Architecture
5: Identity and Access Management
6: Software Isolation
7: Data Protection
8: Availability
9: Incident Response
Computer Security Division
Information Technology Laboratory
National Institute of Standards and Technology
Gaithersburg, MD 20899-8930
January 2011
Haz clic para acceder a Draft-SP-800-144_cloud-computing.pdf
Key Security and Privacy Issues
“Cloud computing. Benefits, risks and recommendations for information security” (2009)
Technical risks
Legal risks
http://www.enisa.europa.eu/publications/act/rm/files/deliverables/cloud-computing-risk-assessment
Policy and organizational risks
1 Lock-in
2 Loss of governance
3 Compliance challenges
4 Loss of business reputation due to co-tenant activities
5 Cloud service termination or failure
6 Cloud provider acquisition
7 Supply chain failure
Technical risks
8 Resource exhaustion (under or over provisioning)
9 Isolation failure10 Cloud provider malicious insider – abuse of high privilege roles
11 Management interface compromise (manipulation, availability of
infrastructure)
12 Intercepting data in transit
13 Data leakage on up/download, intra-cloud
14 Insecure or ineffective deletion of data
15 Distributed denial of service (DDoS)
16 Economic denial of service (EDOS)
17 Loss of encryption keys
18 Undertaking malicious probes or scans
19 Compromise service engine
20 Conflicts between customer hardening procedures and cloud environment
Legal risks
21 Subpoena and e-discovery
22 Risk from changes of jurisdiction
23 Data protection risks
24 Licensing risks
Final Draft IWGDPT (16 January 2012)
Working Paper on Cloud Computing Privacy and data protection issues
A. Acuerdos de nivel de servicio
B. Violaciones de la seguridad de la información
B. Transferencia de datos a terceros países que no proporcionan suficienteprotección
C. Vulneración de la legislación y principios de privacidad y protección de datos
D. El responsable del tratamiento acepta términos y condiciones generales que el proveedor de servicios “cloud” le impone, incluyendo la posibilidad de que el proveedor de servicios en la nube puede tratar los datos de una manera que contradice las instrucciones del responsable
E. Proveedores de servicios “cloud”, o subcontratistas utilizan los datos para
finalidades no consentidas por las personas afectadas
F. La rendición de cuentas y responsabilidad se desvanecen la cadena de
subcontrataciones
G. El responsable del tratamiento pierde el control real sobre los datos y su
procesamiento
H. El responsable del tratamiento y sus terceros de confianza (auditores) no pueden
verificar adecuadamente las actividades del proveedor de “cloud”
I. Las autoridades de protección de datos tienen dificultades para supervisar este
tipo de actividades
J. El responsable del tratamiento debe confiar ciegamente en el proveedor
http://www.datenschutz-berlin.de/content/europa-international/international-working-group-on-data-protectio in-telecommunications-iwgdpt
Cumplimiento normativo – Cumplimiento en el “cloud”
Fuente: Cloud Compliance Report. Capítulo Español de la Cloud Security Aliance
• Anteproyecto de Ley de modificación de la Ley
32/2003, de 3 de noviembre, General de Telecomunicaciones
• Ley 11/2007, de Acceso Electrónico de los Ciudadanos a los Servicios Públicos
• Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico
• Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal
• Aspectos Jurídicos Laborales
• Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal Privacidad y protección de datos
1. Legislación aplicable
2. Encargado de tratamiento
3. Medidas de seguridad
4. Transferencias Internacionales
5. Ejercicio de derechos
6. Autoridades de control
7. Comunicación de datos a autoridades públicas
Contratación de servicios TIC
Fuente: Cloud Compliance Report. Capítulo Español de la Cloud Security Aliance
Evidencias digitales
Fuente: Cloud Compliance Report. Capítulo Español de la Cloud Security Aliance
Las “amenazas principales” y la prueba electrónica
1. Uso indebido o ilícito
2. Abuso o uso indebido de interfaces inseguras
3. Abuso por parte del proveedor del servicio
4. Riesgos asociados a al compartición de recursos
5. Pérdida de datos
6. Fugas de información
7. Secuestro de la cuenta o servicio
8. Otros riesgos desconocidos Auditoria
Necesidad de metodologías y tecnologías de auditoría mdiferenciadas por el modelo de computación en la nube.
Fuente: Cloud Compliance Report. Capítulo Español de la Cloud Security Aliance
Principales áreas a auditar
1. Gobernanza de las TIC
2. Cumplimiento (Normativo y Contractual)
3. Privacidad
4. Seguridad de TIC
5. Gestión de operaciones (Red)
6. Plan de contingencia
Administraciones públicas y cloud Privacy
Recommendations for the Use of Cloud
Computing by Federal Departments and Agencies
Privacy Committee
Web 2.0/Cloud Computing
Subcommittee
Seguridad y fiabilidad en las nubes de la Administración Pública
Informe para la toma de decisiones
Referencias
Privacy in the clouds:
Risks to Privacy and Confidentiality from cloud computing”, del World Privacy Forum (febrero de 2009)
“Cloud computing. Information Assurance Framework” (2011) y “Cloud computing.
Benefits, risks and recommendations for information security”, de ENISA (noviembre de 2009)
“Guía para la seguridad en áreas críticas de atención en cloud computing”, de la CSA (noviembre de 2009)
“Cloud Computing Management – Audit/Assurance Program”, de ISACA (agosto de 2010)
“Privacy Recommendations for the Use of Cloud Computing by Federal Departments and Agencies”, Privacy Committee Web2.0/Cloud Computing Subcommittee (agosto de 2010)
“Cloud computing y protección de datos”, Ramón Miralles(Revista de Internet, Derecho y Pollitica – UOC, octubre de 2010)
“Guidelines on Security and Privacy in Public Cloud Computing”, National Institute of Standards and Technology (enero de 2011)
«Riesgos y Amenazas en Cloud Computing”, INTECO-CERT (marzo de 2011)
“Cloud Compliance Report”, Capítulo Español de la Cloud Security Aliance (mayo de 2011)
“Final Draft Working Paper on Cloud Computing Privacy and data protection issues”, International Working
Data Protection and Telecommunications, (16 de enero de 2012)
Alternativas de recuperación de desastres. Contratos hot/warm/cold site, Contrato de Instalaciones duplicadas, Sitios móviles y Acuerdos recíprocos
Como posibles vías para prevenir un desastre se acude a cuatro tipos diferentes de contratos.
1.- Contratos hot/warm/cold sites.
2.- Contrato de Instalaciones duplicadas
3.- Contrato de sitio móvil
4.- Acuerdos recíprocos
Contratos hot sites.
En estos contratos lo que se regula es el arrendamiento de un servicio que implica la instalación completa de un dispositivo en una ubicación física con equipos, procesador de datos, servidores, información real, softwares instalados y compatibles que permitan a la empresa, poder acudir a él en caso de desastre y seguir funcionando en un periodo de 1 a 3 horas.
Estoso contratos se utilizan para los sistemas centrales más importantes de la empresa, cuyo fallo supondría un estado crítico.
En estos contratos también se regula el personal capaz de operar el sistema, las copias de seguridad, etc.
Se definirán los elementos de comunicación.
Puntos clave del contrato:
1.- Identificar claramente cómo localizar al proveedor en caso de desastre, con qué personas hablar, medios para comunicarse, tiempo de respuesta, etc.
2.- Si un hot site es compartido por una tercera empresa, habrá que definir quién tiene prioridad para su uso o cual será el sistema para tener la prioridad (generalmente es quien llame primero y pueda demostrarlo).
3.- Responsabilidad del prestador de servicios.
4.- Tiempo máximo de respuesta del hot site, incluyendo niveles de calidad de los servicios.
5.- Definir el personal mínimo asignado según la criticidad.
6.- Definir penalizaciones según la responsabilidad.
7.- Confidencialidad y LOPD es básico.
8.- Seguimiento contractual hasta el fin del servicio.
9.- Auditorías
10.- Revisión de precios y bechmarking.
11.- Plan de retorno de información y documentación del cliente.
Su funcionamiento es durante un escaso periodo de tiempo (horas) y por ello suele ser muy costoso.
Warm sites
Es como un hot site pero para elementos menos críticos.
Los equipos se configuran parcialmente, pero se deben configurar las conexiones de red.
Se suelen destinar estos contratos a sistemas NO centrales, sino accesorios.
Se configura para una utilización más larga que el hot site.
Cold Site
Es para un entorno básico: cableado electrico, aire acondicionado, y demás sistemas NO críticos.
Contrato de Instalaciones duplicadas
Es un contrato de prestación de servicios que lleva aparejada la duplicación de una instalación del sistema general de una empresa en otra parte, de manera que en caso de desastre pase a utilizarse ésta última.
1.- Por ello debe ubicarse lejos de la instalación del sistema principal/central (evitar que ambos fallen por estar en la misma zona ,ya sea por apagón, terremoto, nevada, huelga, ataque violento o vía Internet, etc…).
2.- El hardware y el software debe ser absolutamente compatible, sino idéntico.
3.- Monitorización: Los recursos en ambas instalaciones deben ser idénticas, por lo que las revisiones periódicas y pruebas periódicas son básicas.
Contrato para sitios móviles
El fin es el mismo que el anterior, pero se ejecuta de forma móvil, de manera que ante la falta de algún elemento clave del sistema se pueda desplazar una «unidad móvil» que haga las funciones, repare o sustituya el elemento que falla.
Contratos de reciprocidad
En España son poco comunes, pero países como Alemania no. Se trata de llegar a un acuerdo entre dos empresas para configurar sus sistemas de manera que el caso de desastre, puedan utilizar el de la otra, alojar sus datos, etc.
Ventajas: coste menor que los anteriores.
Inconvenientes: Si no gestiona bien, los sistemas pueden resultar incompatibles, puede haber falta de comunicación en caso de cambios en los sitemas, etc…
Por ello, es necesario regular bien los siguientes puntos:
1.- Tiempo de disponibilidad del sistema anfitrión
2.- Detalle de equipos, software e instalaciones disponibles de cada empresa.
3.- Disponibilidad para voz y datos en el sistema anfitrión.
4.- Prueba, auditoría…
Recuperación de desastres y continuidad de negocio en los Contratos Tecnológicos
El objetivo de las políticas de recuperación de desastres y continuidad de negocio obviamente no necesita explicación.
Prevenir, detectar y recuperar son las palabras clave.
La prevención se realiza para estar preparados en el caso de un desastre que provoque la pérdida de datos, caída del sistema central de la empresa, las comunicaciones, etc, que impidan que pueda operar con normalidad. En algunos casos, esto no supone una gran pérdida, pero supongamos que se trata de un banco que debe pagar las nóminas de su mayor cliente, y falla. Puede ser muy grave.
¿Qué se quiere evitar?
– No poder dar servicio a los clientes.
– Daños en la reputación/imagen/marca- Aquí es clave una buena política de comunicación y gestión de crisis.
– Desprotección de activos tanto intangibles como tangibles.
– Falta de control del negocio y de la información. Esto puede derivar el responsabilidad corporativa penal.
– Incumplimientos legales, vencimientos incumplidos, plazos…
Recuperación del desastre
Es importante realizar un buen plan de recuperación en caso de desastre. Para ello debemos discriminar lo crítico de lo importante, o establecer niveles intermedios:
1.- Se debe hace un inventario de activos, ya sea ordenadores, servidores, archivos en papel, centro de proceso de datos, etc…
2.- Clasificar el desastre en función de su criticidad: por un lado se determina qué casos son críticos y se evalúa por otro cuánto tiempo puede la empresa prescindir de aquello que deje de funcionar por un caso crítico.
3.- Definir la probabilidad y potencialidad del riesgo de un desastre. Como es de suponer, varía mucho en función del carácter de la empresa, en qué país este ubicada (riesgo sísmico, nevadas, inundaciones, huelgas…).
4.- Es básica la formación a las personas involucradas en el plan de recuperación de negocio.
5.- Realizar pruebas (simulacros) e implantación del plan.
6.- Auditorías y monitorizaciones.
Los puntos 5 y 6, que son importantísimos y clave, muchas veces son olvidados por las empresas.
Análisis de impacto del desastre en el negocio
1.- Evaluar el impacto desde el punto de vista temporal: Un día de desastre puede ser fatal para una empresa, mientras que para otra pueda implicar muy poco coste.
2.- Evaluar el coste de recuperación del desastre.
3.- Análisis coste-beneficio. Obviamente si las medidas de recuperación de desastre que vamos a implantar suponen más gasto que lo que supondría recuperar el desastre, la medida no es correcta por excesiva.
Criticidad de los sistemas de información y comunicación de las empresas
Crítico: Se debe reemplazar el sistema por capacidades idénticas y no manuales.
Vital: Cabe la sustitución por un periodo breve del sistema por métodos manuales.
Sensitivo: Cabe la sustitución por un periodo largo del sistema por métodos manuales.
No crítico: Tolera largas interrupciones sin sustitución.
Recuperación de datos
Para evitar la pérdida, hay que definir el punto de recuperación y el tiempo de recuperación, para establecer cada cuánto es necesario realizar copias de seguridad. En algunos casos será diaria, en otros semanal…
¿A qué nos obligamos los usuarios de Facebook?
Lo que voy a hacer en esta entrada es una libre interpretación para que los legos en Derecho entiendan a qué se obligan al abrir una cuenta, qué dice Facebook que hace con nuestros datos, qué responsabilidades asumimos, que nos garantizan y a qué Jurisdicción aceptamos someternos.
En primer lugar, al abrir una cuenta de Facebook aceptas lo siguiente:
1.-FACEBOOK LO UTILIZAS BAJO TU PROPIA RESPONSABILIDAD.
2.- PROPORCIONAN FACEBOOK TAL CUAL SIN GARANTÍA ALGUNA EXPRESA O IMPLÍCITA, INCLUIDAS, DE MANERA ENUNCIATIVA PERO NO LIMITATIVA, LAS GARANTÍAS DE COMERCIABILIDAD, ADECUACIÓN A UN FIN PARTICULAR Y NO CONTRAVENCIÓN.
3.- NO GARANTIZAN QUE FACEBOOK SEA SEGURO.
4.- FACEBOOK NO SE RESPONSABILIZA DE LAS ACCIONES, EL CONTENIDO, LA INFORMACIÓN O LOS DATOS DE TERCEROS Y POR LA PRESENTE NOS DISPENSAS A NOSOTROS, NUESTROS DIRECTIVOS, EMPLEADOS Y AGENTES DE CUALQUIER DEMANDA O DAÑOS, CONOCIDOS O DESCONOCIDOS, DERIVADOS DE O DE ALGÚN MODO RELACIONADOS CON CUALQUIER DEMANDA QUE TENGAS INTERPUESTA CONTRA TALES TERCEROS.
5.- SI ERES RESIDENTE DE CALIFORNIA, NO SE TE APLICA EL CÓDIGO CIVIL DE CALIFORNIA §1542 , SEGÚN EL CUAL: UNA RENUNCIA GENERAL NO INCLUYE LAS DEMANDAS QUE EL ACREEDOR DESCONOCE O NO SOSPECHA QUE EXISTEN EN SU FAVOR EN EL MOMENTO DE EJECUCIÓN DE LA RENUNCIA, LA CUAL, SI FUERA CONOCIDA POR ÉL, DEBERÁ HABER AFECTADO MATERIALMENTE A SU RELACIÓN CON EL DEUDOR.
6.- NO SON RESPONSABLES DE NINGUNA PÉRDIDA DE BENEFICIOS, ASÍ COMO DE OTROS DAÑOS RESULTANTES, ESPECIALES, INDIRECTOS O INCIDENTALES DERIVADOS DE O RELACIONADOS CON ESTA DECLARACIÓN DE FACEBOOK, INCLUSO EN EL CASO DE QUE SE HAYA AVISADO DE LA POSIBILIDAD DE QUE SE PRODUZCAN DICHOS DAÑOS.
7.- SU RESPONSABILIDAD CONJUNTA DERIVADA DE LA PRESENTE DECLARACIÓN O DE FACEBOOK NO PODRÁ SOBREPASAR LA CANTIDAD MAYOR DE CIEN DÓLARES (100 $) O LA CANTIDAD QUE NOS HAYAS PAGADO EN LOS ÚLTIMOS DOCE MESES.
8.-LAS LEYES APLICABLES PODRÍAN NO PERMITIR LA LIMITACIÓN O EXCLUSIÓN DE RESPONSABILIDAD POR DAÑOS INCIDENTALES O CONSECUENCIALES, POR LO QUE LA EXCLUSIÓN DE LIMITACIÓN ANTERIOR PODRÍA NO SER APLICABLE EN TU CASO. EN TALES CASOS, LA RESPONSABILIDAD DE FACEBOOK SE LIMITARÁ AL GRADO MÁXIMO PERMITIDO POR LA LEY APLICABLE.
DATOS PERSONALES:
1.- Das tu consentimiento para que tus datos personales sean transferidos y procesados en Estados Unidos.
2.- Si te encuentras en un país bajo el embargo de Estados Unidos o que forme parte de la lista SDN (Specially Designated Nationals, Nacionales especialmente designados) del Departamento del Tesoro de Estados Unidos, no participarás en actividades comerciales en Facebook (como publicidad o pago) ni utilizarás una aplicación o sitio web de la Plataforma.
3.- Las condiciones aplicables específicamente a los usuarios de Facebook en Alemania están disponibles aquí.
1.- Ante cualquier discrepancia en la versión traducida al castellano, prevalece la versión inglesa.
2.- Facebook Ireland Limited para Europa está situada en Dublín, Irlanda. Por motivos fiscales probablemente, como muchas otras empresas norteamericanas. Si no estás establecido en USA o Canadá, esta es la sociedad responsable.
3.- Por otro lado, te indican que Facebook Inc. se ha establecido y registrado de acuerdo con las Leyes del Estado de Delaware, Estados Unidos.
PRIVACIDAD
Facebook recibe mucha información sobre nosotros, más que muchos de nuestros amigos o familia y además es muy importante para la compañía, la base de su negocio. Facebook sabe tu nombre y apellidos, tu correo electrónico, tu fecha de nacimiento, tu sexo, tus fotos, tus comentarios, los amigos que tienes, lo que te gusta o no te gusta, si tienes una relación con alguien, tus familiares, tus redes, tu nombre de usuario y tu identificador de usuario, tu país, tu ciudad (a veces incluso tu dirección), tu foto de perfil, etc…
Pero además, cuando utilizas cualquier aplicación o juego de Facebook, también pueden tener acceso a estos datos las empresas responsables o desarrolladoras de estas aplicaciones o juegos.
Por otro lado, tus propios amigos al etiquetarte también queda registrado para Factbook, saben que eres su amigo, que has estado con éste, e incluso el lugar exacto en el que has estado vía GPS o Google maps.
5.- Aunque lo indica ya empieza a “dar miedo”, a continuación indicamos qué información tiene Facebook de ti como usuario y para qué puede utilizarla, puesto que tú le has dado permiso:
1.- Cada vez que interactúas en Facebook queda registrado, cada vez que miras el perfil de otra persona queda registrado, tienen acceso a los mensajes que envía a otro usuario, cuando tratas de localizar algo o alguien en su buscador, cuando hace click en un anuncio, etc…
2.- Cada vez que subes una foto o video no sólo ven qué foto o video sino que saben la hora, fecha y lugar en el que hiciste la foto.
3.- Saben tu IP del ordenador o tu número de móvil si accedes desde éste o desde un IPad u otra tablet. Estos datos incluyen la localización (dónde estás en cada momento), el tipo de navegador de Internet que usas o las páginas web que visitas y a qué horas. Incluso pueden obtener tu localización GPS, y el sistema operativo que utilizas.
Además, lo que ellos llaman, “socios publicitarios”, clientes y “otros”, facilitan información sobre nosotros cuando interactuamos en un anuncio, una aplicación, un juego, número de clicks, horas de acceso, lugar, IP…Por tanto, no sólo Facebook tiene nuestros datos sino sus “socios publicitarios”, clientes y “otros”…
La “excusa” de Facebook es que tienen acceso y pueden hacer uso y transmitir estos datos para “calibrar su efectividad y mejorar su calidad”, pero creo que existen otras intenciones. La información es poder, y quien quiere poder, puede pagar mucho dinero.
Creo que no debe preocuparnos tanto el hecho de que alguien “nos vea” como el hecho de que dar tanta información a una organización que le produce tantos beneficios debería hacernos pensar si queremos contribuir o no.
Facebook dice que sólo facilita nuestros datos a sus socios publicitarios o a sus clientes después de haber eliminado nuestro nombre u otros datos que puedan identificarnos (lo cual es lo de menos, pensémoslo bien), o bien después de haber combinado nuestros datos con los de otras personas de manera que dejen de estar asociados con nosotros.
Sin embargo, luego indican “de modo similar, cuando recibimos datos sobre ti de nuestros socios y clientes publicitarios, conservamos esos datos durante 180 días, es decir, 6 meses con nuestra cara y nuestros datos, nombres, apellidos, fotos…!! Pasado este tiempo, combinamos esos datos con los de otras personas de forma que dejan de estar asociados contigo.
INFORMACIÓN PÚBLICA
Esta información es la que no sólo es accesible a través de Facebook sino que te pueden localizar por Google u otros buscadores, y tus datos serán accesibles para sus API de la gráfica social. Se supone que tú decides hacerla pública o no, pero no todos los usuarios, y menos los más jóvenes y vulnerables, son conscientes de esto.
Además indican que, en ocasiones, cuando publiques algo (como cuando escribas en el muro de una página o comentes un artículo periodístico que incluye el plug-in de comentarios) no podrás elegir un público concreto. Esto se debe a que algunas publicaciones son siempre públicas. En general, se entiende que si no hay un icono para compartir, la información será pública.
Cuando otras personas comparten información sobre ti, pueden optar a hacerla pública.
Pero además, hay información que SIEMPRE es pública:
Nombre. Si no te gusta esto, te proponen como solución eliminar tu cuenta. ;)
Fotos del perfil. Si no te gusta esto, Facebook te propone borrarla. ;)
Red. Facebook dice: Si no quieres hacer pública tu red, puedes abandonar la red.
Nombre de usuario e identificador de usuario.
¿PARA QUÉ UTILIZAN LA INFORMACIÓN NUESTRA QUE RECIBEN?
Según Facebook, utilizan tu la información:
• como parte de nuestros esfuerzos por mantener la seguridad de Facebook. Nuestros datos no son necesarios para esto. COMENTARIO: Lo necesario es crear una herramienta segura.
• para ofrecerte funciones y servicios de localización, como informarte a ti y a tus amigos sobre eventos cercanos. COMENTARIO: Los servicios de localización no sólo se usan para beneficio del usuario, sino para crear bases de datos segmentadas por países, provincias o incluso barrios de las ciudades.
• para calibrar o comprender la eficacia de los anuncios que tú y otros usuarios veis.
• para hacerte sugerencias a ti y a otros usuarios de Facebook, como: sugerir a tu amigo que utilice nuestra herramienta de importación de contactos porque tú encontraste amigos gracias a ella; sugerir a otro usuario que te incorpore a su lista de amigos porque ese usuario ha importado la misma dirección de correo electrónico que tú, o sugerir a un amigo que te etiquete en una foto que ha cargado en la que apareces.
Facebook dice: “Aunque nos permites utilizar la información que recibimos acerca de ti, tú eres en todo momento su propietario”. Vamos, esto es como cuando prestas un libro. Efectivamente soy el propietario, pero no volveré a ver el libro ni sabré qué se hace con él jamás.
Facebook compartirá tu información con terceros desconocidos si les das permiso.
ELIMINACIÓN Y DESACTIVACIÓN DE TU CUENTA
Facebook dice:
Si quieres dejar de usar tu cuenta, la puedes desactivar o eliminar.
Desactivación
Una cuenta desactivada queda en espera. El resto de usuarios ya no podrán ver tu perfil, pero no eliminaremos tu información. Al desactivar una cuenta nos estás pidiendo que no eliminemos la información porque piensas volver a activar la cuenta más adelante.
Puedes desactivar tu cuenta en la página de configuración de la cuenta.
Eliminación
Cuando eliminas una cuenta, se borra de forma permanente de Facebook. Normalmente tardamos aproximadamente un mes en eliminar una cuenta, pero puede quedar información en las copias de seguridad y los registros durante hasta 90 días. Sólo deberías eliminar tu cuenta si estás seguro de que nunca querrás volver a activarla.
CESIÓN DE TODOS TUS DATOS, FOTOS Y CONTENIDOS
Cedes a Facebook (no sabemos si a Facebook Irlanda o Facebok Inc. de Estados Unidos o a ambas) TODOS tus datos, incluidas fotos y videos, para que puedan usarlos de forma no exclusiva. Estos datos los pueden transmitir a cualquiera, sin royalties, aplicable globalmente en TODO EL MUNDO, para utilizar cualquier contenido tuyo que publiques en Facebook o en conexión con Facebook. Si eliminas tu cuenta, esta cesión NO finaliza si el contenido se ha compartido con terceros y éstos no lo han eliminado. Con lo cual, pierdes el control de tus datos.
1. Es más, cuando eliminas contenido puede quedar en copias de seguridad durante un plazo de tiempo razonable COMENTARIO_ ¿Cuánto es un tiempo razonable para Facebook? ¿Con qué finalidad?
2. Cuando usas una aplicación, tu contenido e información se comparte con ella. Ésta controlará el modo en que la aplicación use, almacene y transfiera dicho contenido e información.
3. Cuando publicas contenido o información con la configuración Todos, significa que permites que todos, incluidas las personas que son ajenas a Facebook, accedan y usen dicha información y la asocien a ti (es decir, tu nombre y foto del perfil).
4. Pueden utilizar tus datos, incluso con fines comerciales, sin obligación de compensarte por ello (del mismo modo que tú no tienes obligación de ofrecerlos).
SEGURIDAD DE LA CUENTA Y REGISTRO
Los usuarios de Facebook proporcionan sus nombres e información reales y necesitamos tu colaboración para que siga siendo así. Éstos son algunos de los compromisos que aceptas en relación con el registro y mantenimiento de la seguridad de tu cuenta:
5. No proporcionarás información personal falsa en Facebook, ni crearás una cuenta para otras personas sin su autorización.
6. No crearás más de un perfil personal.
7. Si inhabilitamos tu cuenta, no crearás otra sin nuestro permiso.
8. No utilizarás tu perfil personal para obtener ganancias comerciales (como vender tu actualización de estado a un anunciante).
9. No utilizarás Facebook si eres menor de 13 años.
10. No utilizarás Facebook si has sido declarado culpable de un delito sexual.
11. Mantendrás la información de contacto exacta y actualizada.
12. No compartirás la contraseña (o en el caso de los desarrolladores, tu clave secreta), no dejarás que otra persona acceda a tu cuenta, ni harás cualquier cosa que pueda poner en peligro la seguridad de tu cuenta.
13. No transferirás la cuenta (incluida cualquier página o aplicación que administres) a nadie sin nuestro consentimiento previo por escrito.
14. Si seleccionas un nombre de usuario para tu cuenta, nos reservamos el derecho a eliminarlo o reclamarlo si lo consideramos oportuno (por ejemplo, si el propietario de una marca comercial se queja por un nombre de usuario que no está relacionado estrechamente con el nombre real del usuario).
TUS OBLIGACIONES CON FACEBOOK
Según Facebook:
No publicarás contenido ni realizarás ninguna acción en Facebook que infrinja o viole los derechos de otros o que viole la ley de algún modo.
Podemos retirar cualquier contenido o información que publiques en Facebook si consideramos que viola estaDeclaración. COMENTARIO: ¿Qué hacen con este contenido?
Te proporcionaremos las herramientas necesarias para ayudarte a proteger tus derechos de propiedad intelectual.
Para obtener más información, visita nuestra página Cómo informar de presuntas infracciones de los derechos de propiedad intelectual.
Si infringes repetidamente los derechos de propiedad intelectual de otra persona, desactivaremos tu cuenta si es oportuno.
No utilizarás nuestros copyrights o marcas registradas (incluidos Facebook, los logotipos de Facebook y F, FB, Face, Poke, Wall y 32665) ni ninguna marca que se parezca a las nuestras sin nuestro permiso por escrito.
Si recopilas información de usuarios: deberás obtener su consentimiento previo, dejar claro que eres tú (y no Facebook) quien recopila la información y publicar una política de privacidad que explique qué datos recopilas y cómo los usarás.
No publicarás los documentos de identificación ni información financiera de nadie en Facebook.
No etiquetarás a los usuarios ni enviarás invitaciones de correo electrónico a quienes no sean usuarios sin su consentimiento.
MÓVIL
Actualmente ofrecemos nuestros servicios de móviles de forma gratuita pero ten en cuenta que se aplicarán las tarifas normales de tu operadora, por ejemplo, las tarifas de mensajes de texto.
En caso de que cambies o desactives tu número de teléfono móvil, actualizarás la información de tu cuenta de
Facebook en un plazo de 48 horas para garantizar que los mensajes no se le envíen por error a la persona que pudiera adquirir tu antiguo número.
Proporcionarás todos los derechos necesarios para permitir que los usuarios sincronicen (incluso a través de una aplicación) sus listas de contactos con cualquier información básica y de contacto que puedan ver en Facebook, así como tu nombre y foto del perfil.
Disposiciones especiales aplicables a los enlaces compartidos
Si incluyes en tu sitio web nuestro botón para compartir enlaces, debes tener en cuenta los siguientes términos adicionales:
Te damos permiso para utilizar el botón de compartir enlaces de Facebook para que los usuarios puedan publicar enlaces o contenido de tu sitio web en Facebook.
Nos das permiso para utilizar dichos enlaces y el contenido en Facebook, y para permitir que otros los utilicen.
No pondrás un botón de compartir enlaces en ninguna página que incluya contenido que pueda violar esta Declaración si se publica en Facebook.
Disposiciones especiales aplicables a desarrolladores u operadores de aplicaciones y sitios web
Si eres un desarrollador u operador de una aplicación de la Plataforma o de un sitio web, se aplicarán las siguientes condiciones adicionales:
Eres responsable de tu aplicación, de su contenido y del uso que hagas de la Plataforma. Esto incluye la obligación de asegurar que tu aplicación o uso de la plataforma cumple las Normas de la plataforma de Facebook y nuestras Normas de publicidad.
El acceso a la información que recibes de Facebook y su utilización por tu parte se limitará de la siguiente forma:
1. Sólo podrás solicitar los datos que necesites para hacer funcionar tu aplicación.
2. Dispondrás de una política de privacidad que indique a los usuarios qué datos de usuario utilizarás, además de la forma en que los utilizarás, mostrarás, compartirás o transferirás. También incluirás la dirección web de la política de privacidad en la aplicación.
3. No utilizarás, mostrarás, compartirás ni transferirás datos de un usuario de un modo que resulte incoherente con la configuración de privacidad.
4. Eliminarás todos los datos que recibas de nosotros relacionados con un usuario si éste te pides que los elimines, y facilitarás un mecanismo para que los usuarios puedan realizar dicha solicitud.
5. No incluirás datos que recibas de nosotros en relación con un usuario en ningún mensaje publicitario.
6. No transferirás, directa o indirectamente, los datos que recibas de nosotros a (ni los usarás en conexión con) ninguna red publicitaria, intercambio de anuncios, agente de datos u otro conjunto de herramientas relacionado con la publicidad, incluso si un usuario consiente en dicha transferencia o uso.
7. No venderás los datos de los usuarios. Si un tercero compra tu empresa o si la fusionas con otra, podrás seguir utilizando los datos de los usuarios en la aplicación, pero no podrás transferirlos fuera de ella.
8. Podemos solicitar que elimines datos de usuarios si los utilizas de un modo que no responde a las expectativas de los usuarios.
9. Podemos limitar tu acceso a los datos.
10. Cumplirás todas las demás restricciones incluidas en nuestras Normas de la plataforma de Facebook.
No nos proporcionarás información que recopiles independientemente de un usuario ni el contenido de un usuario sin su consentimiento.
Facilitarás a los usuarios la eliminación o desconexión de tu aplicación.
Facilitarás a los usuarios el modo de ponerse en contacto contigo. También podemos compartir tu dirección de correo electrónico con los usuarios y otras personas que afirmen que has infringido o violado sus derechos.
Proporcionarás atención al cliente para tu aplicación.
No mostrarás anuncios de terceros o casillas de búsqueda en la web en Facebook.
Te concedemos todos los derechos necesarios para usar el código, las API, los datos y las herramientas que recibes de nosotros.
No venderás, transferirás ni sublicenciarás nuestro código, API (interfaces de programación de aplicaciones) o herramientas a nadie.
No falsearás tu relación con Facebook ante otros.
Puedes utilizar los logos disponibles para desarrolladores o hacer público un comunicado de prensa o cualquier otra declaración pública siempre que cumplas las Normas de la plataforma de Facebook.
Podemos publicar un comunicado de prensa que describa nuestra relación contigo.
Cumplirás todas las leyes aplicables. En particular, deberás (si procede):
1.- tener una política de eliminación de contenido infractor e inhabilitación de los infractores que sea conforme a la ley estadounidense de protección de los derechos de autor (Digital Millennium Copyright Act).
2.- cumplir la ley de protección de la privacidad de vídeo (Video Privacy Protection Act, VPPA) y obtener el consentimiento necesario de los usuarios para que se puedan compartir en Facebook los datos de usuario de acuerdo con la VPPA. Declaras que cualquier notificación que nos hagas no incidirá en el transcurso normal de tu negocio.
No garantizamos que la Plataforma será siempre gratuita.
Nos concedes todos los derechos necesarios para habilitar tu aplicación para que funcione con Facebook, incluido el derecho a:
Nos concedes el derecho a enlazar a tu aplicación, o a incluirla en un marco, y a colocar contenido, incluidos anuncios, alrededor de ella.
Podemos analizar tu aplicación, contenido y datos para cualquier propósito, incluido el comercial (por ejemplo, para la segmentación de anuncios o el indexado de contenido para búsquedas).
Para garantizar que tu aplicación es segura para los usuarios, podríamos realizar una auditoría.
Podemos crear aplicaciones que ofrezcan funciones y servicios similares a los de tu aplicación, o que de algún modo compitan con ella.
¿QUÉ PASA SI HAY ALGÚN CONFLICTO CON FACEBOOK?
Pues de primeras te sometes al Tribunal de Santa Clara (¡!!!!), California. Te sometes a las Leyes del Estado de California.
IMPORTANTE: Si alguien interpone una demanda contra Facebook relacionada con tus acciones, tu contenido o tu información en Facebook, te encargarás de indemnizar a Facebook y le librarás de la responsabilidad por todos los posibles daños, pérdidas y gastos de cualquier tipo (incluidos los costes y tasas legales razonables) relacionados con dicha demanda.
Además de todo esto, lo cual debería, como poco, ponernos en alerta, no llegamos a comprender aún la finalidad de que Facebook quiera tantos datos de nosotros. Parece claro que nuestros datos pueden ser cedidos a terceros, que utilizan nuestros datos para realizar estadísticas, que pueden saber antes que nadie qué nos va a gustar el año que viene o qué artículos se van a vender más en cada país, provincia o barrio. Pueden segmentar nuestros gustos con un simple click, puesto que disponen de una sofisticadísima base de datos, de la cual no garantizan que pueda fallar o ser hackeada.
En fin, se me ocurren muchos riesgos sobre los datos que Facebook obtiene, de manera lícita, eso sí, puesto que nosotros aceptamos todas estas condiciones mediante un contrato de adhesión que no permite negociación alguna. O lo aceptas, o no lo aceptas.
La desprotección es total, habida cuenta que ningún usuario medio acudirá a los Tribunales de Santa Clara California, otra cosa serán las empresas potentes.
Por último, me gustaría aclarar que esta interpretación es personal, que no afirmo ni confirmo nada, simplemente me base en lo que las condiciones de Facebook a ka fecha de publicación de esta entrada indica y a mi libre entender quieren decir.
Resolución de conflictos. Contratos tecnológicos y sociedad de la información (tercera parte)
Medidas preventivas desde el punto de vista procesal
1.- Obviamente lo primer es un buen contrato.
2.- Es muy importante documentar todo lo posible
3.- La prueba pericial es básica, la prueba estrella.
4.- Si podemos crear condiciones generales de contratación es perfecto para nosotros.
5.- Tener claro qué se puede negociar de las Condiciones generales y lo que es absolutamente intocable.
6.- Regular muy bien la propiedad intelectual
7.- Limitación de la Responsabilidad Civil (RC).
8.- Incluir en las causas de resolución un plazo previo de subsanación (ya que a veces iniciar un nuevo contrato es más caro y no compensa).
9.- Regulación de conflictos menores (actas, seguimiento, calendario, fases realistas…)
10.- Revisiones aleatorias de contratos suscritos (evaluación del riesgo).
Resolución de conflictos. Contratos tecnológicos y sociedad de la información (segunda parte)
Como ya comentábamos, hay algunos casos títpicos de conflictos en los contratos tecnológicos, y sobre todo relacionados con el uso de licencias de software.
En este sentido, siempre conviene tanto cuando la relación de las partes es buena como si se empieza a vislumbrar ciertos problemas que pueden acabar en conflicto, recabar documentación y pruebas necesarias para el caso de que llegue un supuesto conflicto. Ya se sabe de la máxima romana: «Si vis pacem para bellum«: Si quieres la paz, prepárate para la guerra.
Preconstitución de pruebas
Durante la relación, es importante hacer un buen seguimiento contractual mediante reuniones periódicas y actas firmadas por ambas partes que reflejen lo acordado, lo modificado, las quejas en su caso, los retrasos, etc. Es la mejor manera de documentar incumplimientos por una u otra parte. También es importante recabar correspondencia, e-mails, etc., pero lo ideal son las actas de las reuniones.
En los supuestos de desarrollo de software a medida, si hay retrasos, es muy importante dejar constancia del estado de desarrollo del software solicitado, sobre todo si queremos acreditar que el desarrollo del mismo va con retraso por causa imputable a la empresa tecnológica. ¿Cómo dejamos constancia? Nos haccemos una copia del código fuente junto con la documentación necesaria y nos vamos a un Notario para que levante acta, para que además un perito lo evalúe.
Otro punto muy importante es acudir al análisis o diseño funcional. De esta manera sabré hasta dónde puedo exigir (si soy el cliente) o hasta dónde me pueden exigir (si soy la empresa tecnológica). Si no se cumple, ya tenemos otra prueba.
También debemos dfierenciar entre tareas pendientes y nuevas necesidades o requerimientos. Con el análisis funcional será fácil determinarlo, y que no puedan imputarnos incumplimientos si lo que nos requieren son nuevas necesidades no contempladas en el análisis funcional.
Obviamente los partes de trabajo y la descripción de tareas conforme se desarrolla el software son muy importantes para preconstituir prueba.
Valor de las entregas parciales y aceptación de facturas: lo pagado y entregado, se da por aceptado, salvo pacto en contrario.
Realizar demostraciones acerca de la funcionalidad. Si el software ya tiene muchas de las especificaciones requeridas por el cliente, conviene hacer demostraciones de funcionalidad para acreditar esto, y dejar constancia de la formación realizada.
RFP: Request for proposal. Es la solicitud que hace el cliente para recibir una oferta por parte de la empresa desarrolladora del software. Con este documento, se puede establecer una prelación de documentos:
Si quieremos favorecer a la empresa desarrolladora la prealación sería:
1. -Contrato
2.- Oferta (redactada por la empresa)
3.- RFP
Si queremos favorecer al cliente:
1.- COntrato
2.- RFP (redactado por el cliente)
3.- Oferta
La documentación precontractual de esta manera sería parte del contrato (si así se acuerda).
La formación a usuarios también es importante por que éstos tendrán un papel importante en la fase de desarrollo del mismo.
Por tanto, resumiendo, tenemos la preconstitución de las siguientes pruebas:
1.- Acta notarial de manifestaciones
2.- Aceptación de análisis funcional
3.- Diferenciación de tareas / necesidades nuevas
4.- Peticiones escritas (actas)
5.- Partes de trabajo y descripción de tareas
6.- Aceptación de facturas incluyendo bien claro el concepto
7.- Demostraciones de funcionalidad
8.- Formación a usuarios
Pruebas periciales
1.- Comprobación de si el diseño funcional es correcto y completo. Si el cliente no tiene un buen departamento de IT, deberá contratar un externo que lo verifique.
2.- Comprobación de que el diseño funcional se corresponde con el resultado o desarrollo realizado.
3.- Comprobación de la metodología empleada por la empresa (hay muchas normas ISO que se deben seguir para poder comprobar esto). Si no se han seguido estas normas, se puede «atacar» por ahí.
4.- Comprobación del tiempo necesario y razonable empleado.
5.- Coste horas/trabajador/a
6.- Peticiones no previstas que retrasan el proyecto.
7.- Ahorros esperados o comprometidos contractualmente.
8.- Criterios de selección de solución implementada.
Es importante tener en cuenta que en el supuesto de que se retrase el proyecto y esto implique la resolución del contrato, también podría exigir no sólo los gastos realizados sino los gastos que me supondrá y deberé incurrir para contratar a otra empresa que realice el trabajo que la empresa anterior no supo terminar.
9.- Igualdad de Conocimientos: El perito podrá evaluar el nivel de conocimiento de cada parte para saber quién engañó a quién por estar en una posición más favorable al saber más de tecnología.
Criterios de resolución contractual
1.- Dependerá si es arrendamiento de servicios o de obra.
2.- Existencia de un estudio previo o no de necesidades.
3.- Existencia o no de descripción o acuerdo de nuevos requerimientos.
4.- Metodología aplicada
5.- Desequilibrio del conocimiento técnico
6.- La colaboración del cliente o usuario.
7.- Demostraciones previas.
8.- Buen uso o no de la aplicación.
9.- Adaptación o «traje a medida».
10.- La más importante: INFORME PERICIAL.
Medidas preventivas desde el punto de vista procesal.
1.- Lo primero obviamente es firmar un buen contrato y completo.
2.- Documentar TODO lo posible.
3.- Definir la naturaleza del contrato.
4.- Crear condiciones generales de contratación (si eres una empresa de software).
5.- Tener instrucciones claras de negociación del contrato: qué es negociable, qué es intocable.
6.- Regular perfectamente la propiedad intelectual.
7.- Limitar la RC (si eres la empresa tecnológica).
8.- Cláusula de resolución con posibilidad de un plazo de subsanación.
9.- Resolución de conflictos menores y seguimiento del contrato.
10.- Revisiones aleatorias de contratos firmados.
Andrés Bruno. Protección de datos. 
