Procedimiento de conservación, revisión y eliminación de datos

Forviquex aplica un procedimiento interno destinado a evitar la conservación indefinida de datos personales una vez que hayan dejado de ser necesarios para la finalidad que justificó su tratamiento.

El sistema combina controles automatizados de vencimiento con una revisión humana para aquellos casos en los que la eliminación inmediata pueda entrar en conflicto con obligaciones legales, garantías, reclamaciones, operaciones pendientes o responsabilidades todavía exigibles.

La finalidad de este procedimiento es que los datos se mantengan únicamente durante el período necesario y que, una vez finalizado dicho período, sean eliminados, anonimizados o bloqueados conforme a la normativa aplicable.

Los datos personales no se conservarán simplemente por si pudieran resultar útiles en el futuro.

Para cada categoría de información deberá existir una finalidad determinada y un criterio razonable que permita decidir durante cuánto tiempo necesita mantenerse.

Cuando desaparezca dicha finalidad y no exista otra razón jurídica que justifique su conservación, se iniciará el procedimiento de finalización correspondiente.

El punto de inicio del período de conservación puede variar según el tipo de información.

El cómputo podrá comenzar, entre otros momentos, desde:

▪ la realización de una compra;

▪ la entrega definitiva de un pedido;

▪ la finalización de una relación contractual;

▪ el cierre de una devolución;

▪ la conclusión de una reclamación;

▪ la retirada de un consentimiento;

▪ el cierre de una cuenta;

▪ la última interacción relevante;

▪ la finalización de una obligación legal determinada.

Se utilizará el punto de referencia que resulte adecuado para la finalidad y categoría concreta de datos.

Antes de aplicar una fecha de vencimiento, Forviquex podrá clasificar la información según su función.

Entre las categorías operativas pueden encontrarse:

▪ datos necesarios para pedidos activos;

▪ datos de facturación y documentación contable;

▪ información relacionada con pagos;

▪ datos de transporte y entrega;

▪ registros de devoluciones y reembolsos;

▪ información relativa a garantías;

▪ comunicaciones de atención al cliente;

▪ preferencias comerciales;

▪ registros de seguridad y prevención del fraude;

▪ datos sujetos a reclamaciones o procedimientos.

Esta clasificación permite evitar que todos los datos reciban automáticamente el mismo período de conservación.

Cuando resulte técnicamente posible, los registros sujetos a conservación limitada podrán asociarse a una fecha o condición de revisión.

El vencimiento no significa necesariamente que el sistema destruya inmediatamente la información sin comprobación.

Significa que el registro deja de considerarse de conservación ordinaria y entra en el flujo de revisión correspondiente.

Los sistemas utilizados por Forviquex podrán ejecutar comprobaciones periódicas destinadas a localizar registros que hayan alcanzado su criterio de conservación.

Estas comprobaciones podrán identificar:

▪ registros cuya finalidad haya terminado;

▪ cuentas inactivas susceptibles de revisión;

▪ datos asociados a consentimientos retirados;

▪ información operativa cuyo período interno haya vencido;

▪ copias temporales que hayan dejado de ser necesarias;

▪ registros pendientes de anonimización o eliminación.

La detección automática de una fecha de vencimiento no deberá utilizarse para destruir indiscriminadamente información que pueda estar sujeta a una obligación legal de conservación.

Cuando el sistema detecte factores que requieran una evaluación adicional, el registro podrá ser enviado a revisión manual.

El objetivo es evitar tanto una conservación excesiva como una eliminación prematura.

Antes de proceder a una eliminación definitiva, podrán someterse a comprobación manual aquellos registros relacionados con:

▪ pedidos todavía abiertos;

▪ devoluciones en curso;

▪ reembolsos pendientes;

▪ garantías todavía aplicables;

▪ disputas con clientes;

▪ contracargos o incidencias de pago;

▪ investigaciones internas de fraude;

▪ obligaciones fiscales o contables;

▪ requerimientos de autoridades;

▪ procedimientos judiciales;

▪ posibles responsabilidades todavía no prescritas.

La persona responsable de la revisión deberá determinar cuál de las siguientes acciones resulta adecuada:

▪ eliminación definitiva;

▪ anonimización irreversible;

▪ bloqueo legal;

▪ ampliación justificada del período de conservación;

▪ mantenimiento temporal por existencia de un procedimiento activo.

La decisión deberá basarse en la finalidad real de los datos y no en una preferencia general de conservar información indefinidamente.

Cuando haya finalizado la finalidad del tratamiento, no exista una obligación jurídica pendiente y tampoco sea necesario mantener los datos bloqueados, podrá autorizarse su eliminación definitiva.

La eliminación deberá alcanzar, dentro de lo técnicamente razonable, los sistemas activos en los que la información se utilice de forma ordinaria.

Después de la eliminación, los datos no deberán seguir disponibles para operaciones comerciales ordinarias.

Cuando resulte útil conservar información exclusivamente para finalidades estadísticas, operativas o analíticas que no requieran identificar a una persona, podrá evaluarse la anonimización.

La anonimización deberá impedir razonablemente que la información pueda atribuirse nuevamente a una persona identificada o identificable mediante medios razonablemente disponibles.

La mera ocultación visual de un nombre no será considerada automáticamente una anonimización suficiente si otros elementos permiten identificar fácilmente al usuario.

En determinados supuestos previstos por la legislación española, la supresión no implica una destrucción física inmediata.

Cuando resulte obligatorio conservar temporalmente información para atender posibles responsabilidades derivadas del tratamiento, los datos podrán pasar a un estado de bloqueo.

Durante este período deberán permanecer separados del uso ordinario y no podrán continuar utilizándose libremente para finalidades comerciales.

El bloqueo tiene una función jurídica limitada.

Los datos bloqueados podrán conservarse exclusivamente durante el tiempo necesario para atender las responsabilidades que puedan derivarse del tratamiento y para su eventual puesta a disposición de las autoridades competentes en los supuestos establecidos por la normativa.

Un dato bloqueado no debe utilizarse para marketing, personalización comercial, recomendaciones de productos ni nuevas campañas.

Cuando hayan finalizado los períodos legales relacionados con las posibles responsabilidades y no exista una causa adicional que exija conservar la información, deberá procederse a la destrucción correspondiente.

No se utilizará el bloqueo como una forma de mantener indefinidamente datos que ya deberían ser eliminados.

Los datos de un cliente no se eliminarán automáticamente si todavía son necesarios para completar una obligación vigente.

Por ejemplo, pueden mantenerse mientras resulten necesarios para:

▪ entregar un pedido;

▪ tramitar una devolución;

▪ emitir un reembolso;

▪ resolver una incidencia;

▪ atender una garantía;

▪ gestionar una reclamación existente.

Una vez concluida la finalidad operativa, los datos deberán pasar nuevamente por el análisis de conservación correspondiente.

Determinados documentos asociados a operaciones comerciales pueden estar sujetos a períodos de conservación establecidos por normas fiscales, contables, mercantiles u otras obligaciones jurídicas.

La eliminación de una cuenta de cliente o la finalización de una relación comercial no obliga a destruir documentos que todavía deban conservarse legalmente.

En estos casos, el acceso deberá limitarse a las finalidades que justifican la conservación.

Una solicitud de supresión presentada por un usuario deberá analizarse separadamente del sistema automático de vencimiento.

Cuando proceda legalmente la supresión, Forviquex aplicará la eliminación o el bloqueo correspondiente.

Si una parte de la información debe seguir conservándose por una obligación jurídica válida, se limitará su utilización a dicha finalidad.

Cuando un dato se mantenga únicamente para una finalidad promocional basada en consentimiento y dicho consentimiento haya sido retirado, deberá dejar de utilizarse para esa finalidad.

Esto no impide conservar un registro mínimo de exclusión cuando sea necesario para evitar que una persona que ha solicitado la baja vuelva a ser incorporada accidentalmente a una campaña.

El registro de exclusión no podrá utilizarse como una nueva base para publicidad.

Cuando se ordene la eliminación de un registro, se procurará identificar las copias operativas duplicadas que puedan existir en diferentes herramientas utilizadas por Forviquex.

La eliminación de un registro principal no deberá considerarse completa si una copia equivalente continúa utilizándose activamente en otro sistema sin una finalidad válida.

Cuando existan integraciones técnicas, podrán utilizarse procesos de sincronización destinados a transmitir el estado de eliminación o exclusión.

Las copias de seguridad pueden funcionar mediante ciclos técnicos diferentes de los sistemas activos.

Cuando un dato haya sido eliminado del entorno operativo, podrá permanecer temporalmente dentro de una copia de seguridad hasta que esta sea sustituida o destruida conforme a su ciclo de retención.

Durante ese período, la información incluida en copias de seguridad no deberá restaurarse para usos comerciales ordinarios.

Si una restauración técnica recuperase datos que ya habían sido eliminados, deberán aplicarse medidas razonables para restablecer el estado de eliminación correspondiente.

Cuando los datos hayan sido tratados por proveedores que actúen por cuenta de Forviquex, la finalización de la conservación podrá requerir instrucciones dirigidas a dichos proveedores.

Dependiendo de las funciones utilizadas, esto puede afectar a proveedores relacionados con:

▪ plataforma de comercio electrónico;

▪ atención al cliente;

▪ servicios tecnológicos;

▪ comunicaciones;

▪ logística;

▪ gestión de pagos;

▪ seguridad.

La información únicamente se conservará en dichos sistemas durante el tiempo que resulte necesario conforme a la finalidad y a las obligaciones aplicables.

Un registro pendiente de eliminación o sujeto a bloqueo no deberá permanecer accesible indiscriminadamente para todas las funciones internas.

Cuando resulte adecuado, podrán restringirse los permisos para que únicamente las personas autorizadas puedan acceder a datos pendientes de una decisión jurídica o técnica.

Estas restricciones ayudan a impedir que información cuya finalidad ordinaria ha terminado vuelva a utilizarse accidentalmente.

Las decisiones relevantes de conservación podrán documentarse con información mínima que permita demostrar la aplicación del procedimiento.

El registro podrá indicar:

▪ categoría revisada;

▪ fecha de revisión;

▪ motivo del vencimiento;

▪ resultado de la comprobación;

▪ acción aplicada;

▪ motivo jurídico de una eventual conservación adicional;

▪ fecha prevista para una nueva revisión cuando proceda.

Este registro de control tampoco deberá conservar información personal innecesaria.

Una decisión de conservar temporalmente información después de su vencimiento inicial no debe convertirse automáticamente en una conservación permanente.

Cuando se acuerde una ampliación, deberá establecerse una nueva fecha o condición de revisión.

Al llegar dicha fecha se comprobará nuevamente si sigue existiendo la causa que impedía la eliminación.

Si existe una reclamación, investigación o procedimiento real que requiera conservar determinados registros, la destrucción podrá suspenderse respecto de la información estrictamente relacionada con dicho asunto.

La suspensión deberá limitarse a los datos necesarios.

Cuando termine la causa que justificó dicha conservación, el registro volverá al procedimiento ordinario de revisión y eliminación.

No se ampliará un período de conservación únicamente porque resulte técnicamente más sencillo mantener todos los registros.

Razones como comodidad administrativa, posibilidad remota de utilizar información en el futuro o interés genérico en mantener históricos no constituyen por sí mismas una justificación suficiente para conservar indefinidamente datos identificables.

Las reglas internas de conservación deberán revisarse periódicamente para comprobar si siguen siendo adecuadas.

La revisión podrá tener en cuenta:

▪ cambios legislativos;

▪ nuevas obligaciones de conservación;

▪ cambios en los servicios de la tienda;

▪ nuevos proveedores;

▪ modificaciones de sistemas tecnológicos;

▪ cambios en los riesgos asociados al tratamiento.

El hecho de que un conjunto de datos se acerque a su fecha de eliminación no permite asignarle automáticamente una nueva finalidad para evitar su destrucción.

Cualquier nueva utilización deberá contar con una base jurídica válida y respetar los requisitos de transparencia y compatibilidad que correspondan.

Forviquex no necesita esperar necesariamente a una fecha programada para eliminar información que se haya identificado claramente como innecesaria.

Cuando una revisión detecte datos duplicados, incorrectos, excesivos o sin finalidad vigente, podrá iniciarse anticipadamente su corrección, anonimización, bloqueo o eliminación.

Cuando proceda una destrucción definitiva, se utilizarán métodos razonables teniendo en cuenta el formato y el sistema en el que se encuentren los datos.

La finalidad será impedir que la información continúe disponible para tratamientos ordinarios o pueda ser recuperada de forma sencilla desde los sistemas activos.

En documentos físicos, cuando existan, podrán aplicarse mecanismos de destrucción adecuados que impidan una reconstrucción razonable de la información.

Cuando la naturaleza del sistema lo justifique, después de una operación de eliminación podrán realizarse controles destinados a verificar que el registro ya no permanece activo.

La comprobación podrá revisar especialmente:

▪ sistema principal;

▪ listas operativas;

▪ herramientas de comunicación;

▪ integraciones relevantes;

▪ copias duplicadas conocidas.

Si un proceso automático de eliminación falla, el registro deberá permanecer identificado para que la incidencia pueda corregirse.

Cuando sea necesario, podrá generarse una alerta para revisión manual.

Un error técnico no debe utilizarse como motivo para mantener indefinidamente un dato cuyo período de conservación ya ha finalizado.

Si una operación de recuperación, migración o restauración técnica vuelve a introducir datos previamente eliminados o bloqueados, deberán adoptarse medidas para recuperar el estado correcto del registro.

Siempre que sea técnicamente posible, las listas de exclusión y registros de eliminación deberán utilizarse para evitar que una restauración reactive tratamientos que ya habían finalizado.

La revisión manual deberá realizarse atendiendo a criterios verificables y no únicamente a decisiones subjetivas.

La persona que revise un registro deberá analizar, cuando resulte relevante:

▪ si existe una finalidad todavía activa;

▪ si existe una obligación legal;

▪ si existe una responsabilidad pendiente;

▪ si existe una reclamación abierta;

▪ si el dato puede anonimizarse;

▪ si debe entrar en bloqueo;

▪ si ya puede eliminarse definitivamente.

Cuando sea necesario conservar información después de finalizar la finalidad principal, se analizará si es posible reducir el conjunto conservado.

No deberá conservarse un expediente completo cuando para cumplir la obligación pendiente sea suficiente mantener únicamente determinados elementos.

Cuando resulte aplicable, Forviquex informará a los usuarios del período previsto durante el cual se conservarán sus datos o, cuando no pueda establecerse una fecha exacta, de los criterios utilizados para determinar dicho período.

El hecho de utilizar sistemas automáticos de revisión no modifica los derechos que correspondan a las personas sobre sus datos personales.

Cuando un usuario ejerza válidamente su derecho de acceso, podrá recibir la información sobre el plazo previsto de conservación o los criterios utilizados para determinarlo cuando corresponda conforme a la normativa aplicable.

La información proporcionada deberá reflejar de forma razonable la situación del tratamiento correspondiente.

El ciclo de conservación de un dato deberá terminar, según corresponda, en uno de los siguientes estados:

▪ eliminado definitivamente;

▪ anonimizado de forma irreversible;

▪ bloqueado temporalmente por una obligación legal.

La conservación activa indefinida no constituye un estado final válido por defecto.