POL Política del sistema de gestión

AUTENTIC LABS S.L. establece la presente Política del Sistema de Gestión como expresión del compromiso de la Alta Dirección con la protección de la confidencialidad, integridad y disponibilidad de los activos de información que sustentan su actividad. La organización, dedicada al diseño, desarrollo y prestación de servicios de investigación de mercados mediante una plataforma SaaS basada en inteligencia artificial, reconoce que la seguridad de la información constituye un pilar estratégico para la confianza de sus clientes B2B, los participantes en los estudios, los inversores y el conjunto de partes interesadas.

La misión de la organización consiste en transformar la investigación cualitativa de mercados mediante inteligencia artificial conversacional, ofreciendo a sus clientes B2B estudios rigurosos, escalables y accionables. Su visión es consolidarse como referente de confianza en el sector, diferenciándose por la excelencia en la protección de la información y la privacidad de los datos de participantes, clientes e inversores.

A través de esta política, la organización formaliza su voluntad de mantener un Sistema de Gestión de la Seguridad de la Información (SGSI) apropiado a su contexto, alineado con sus orientaciones estratégicas y orientado a la mejora continua. La política proporciona el marco de referencia para el establecimiento de los objetivos de seguridad de la información y constituye el documento rector que guía todas las políticas específicas y los procedimientos operativos del SGSI.

AUTENTIC LABS S.L. promueve una cultura de responsabilidad compartida en la que cada persona, desde la Alta Dirección hasta todo el personal y los colaboradores externos, contribuye activamente a la protección de la información y al cumplimiento de la normativa vigente en materia de seguridad y protección de datos personales.

La presente política se aplica a todas las actividades, procesos y activos de información de AUTENTIC LABS S.L., incluida la plataforma Autentic AI, la infraestructura en la nube y los sistemas corporativos de gestión y comunicación. Su alcance abarca la sede operativa situada en Carrer de Llull, 63, 2-6, 08005 Barcelona, así como las operaciones realizadas en modalidad de trabajo remoto. Es de obligado cumplimiento para todo el personal, colaboradores, contratistas y terceros que accedan a la información o a los sistemas de la organización, con independencia de su ubicación geográfica o modalidad de trabajo.

• ISO/IEC 27001:2022
• ISO/IEC 27002:2022
• ISO/IEC 27005:2022
• ISO 31000:2018
• Reglamento (UE) 2016/679
• Ley Orgánica 3/2018

• Seguridad de la información: preservación de la confidencialidad, la integridad y la disponibilidad de la información.
• Sistema de gestión de la seguridad de la información (SGSI): parte del sistema de gestión global, basada en un enfoque de riesgo del negocio, que se establece para crear, implementar, operar, supervisar, revisar, mantener y mejorar la seguridad de la información.
• Política: intenciones y dirección de una organización, expresadas formalmente por la Alta Dirección.
• Riesgo: efecto de la incertidumbre sobre los objetivos.
• Parte interesada: persona u organización que puede afectar, verse afectada o percibirse como afectada por una decisión o actividad.
• Mejora continua: actividad recurrente para mejorar el desempeño.
• Información documentada: información que una organización tiene que controlar y mantener, y el medio que la contiene.
• Confidencialidad: propiedad de la información por la que esta no se pone a disposición ni se divulga a individuos, entidades o procesos no autorizados.
• Integridad: propiedad de exactitud y completitud de la información.
• Disponibilidad: propiedad de ser accesible y utilizable a demanda por una entidad autorizada.

• Cofundador · Co-CEO: aprueba la política y sus actualizaciones, asigna los recursos necesarios para el SGSI y lidera la dirección estratégica de la seguridad de la información.
• Responsable del SGSI (Responsable del sistema de gestión): redacta, implementa y mantiene la política y la documentación del sistema de gestión, coordina las evaluaciones de riesgos y las actividades de mejora continua, gestiona las auditorías internas y actúa como punto de contacto principal con el organismo de certificación.
• Cofundador · CPTO: asegura la integración de los requisitos de seguridad de la información en la arquitectura, el desarrollo y la operación de la plataforma Autentic AI.
• Referente Interno de Privacidad (función asumida por el Responsable del SGSI): garantiza el cumplimiento de la normativa de protección de datos personales, asesora sobre privacidad desde el diseño y coordina la respuesta a las solicitudes de ejercicio de derechos de los interesados.
• Todo el personal, colaboradores y terceros con acceso: cumplen la presente política, utilizan los activos de información de forma aceptable e informan sin demora de cualquier evento de seguridad observado o sospechado.

Las funciones de Cofundador · CPTO, Responsable del SGSI y Referente Interno de Privacidad recaen en la misma persona, Jacob Bamio Cordero, conforme al PRO Procedimiento de roles y responsabilidades.

AUTENTIC LABS S.L. adopta la seguridad de la información como componente esencial de su estrategia empresarial. La Alta Dirección asume el liderazgo activo del SGSI y respalda su desarrollo con los recursos humanos, tecnológicos y financieros necesarios para alcanzar los objetivos establecidos.

Compromiso de la Alta Dirección

La organización se compromete a proteger la confidencialidad de los datos de investigación de sus clientes, la propiedad intelectual de la plataforma Autentic AI y los datos personales de participantes, clientes e inversores. Asimismo, promueve la integridad y la disponibilidad de los sistemas y servicios que sustentan la prestación de los estudios de investigación de mercados.

AUTENTIC LABS S.L. reconoce la necesidad de cumplir los requisitos legales, reglamentarios y contractuales aplicables, en particular el Reglamento (UE) 2016/679 y la Ley Orgánica 3/2018, y se compromete a mantener y reforzar dicho cumplimiento de forma permanente. Igualmente, la organización asume el compromiso de mejorar continuamente la idoneidad, adecuación y eficacia del SGSI, apoyándose en la evaluación periódica del desempeño, las auditorías internas, el análisis de incidentes y la implantación de acciones correctivas.

Principios rectores

La organización fundamenta su SGSI en un enfoque basado en riesgo, mediante una metodología que evalúa la probabilidad y el impacto de los escenarios de amenaza identificados y establece planes de tratamiento para los riesgos que alcanzan o superan el umbral definido en el PRO Procedimiento de gestión de riesgos. La información se clasifica en tres niveles de sensibilidad (Público, Limitado y Confidencial), y cada nivel lleva asociadas medidas de protección proporcionadas.

La seguridad de la información es una responsabilidad compartida por todas las personas de la organización. Cada miembro del equipo contribuye activamente a la protección de los activos de información, y el incumplimiento de las obligaciones de seguridad puede dar lugar a medidas disciplinarias. La organización fomenta un entorno de comunicación abierta y sin culpa para la notificación inmediata de eventos de seguridad observados o sospechados al Responsable del SGSI a través de los canales corporativos.

Objetivos de seguridad de la información

Los objetivos estratégicos de seguridad de la información se orientan a:

• Proteger la confidencialidad de los datos de investigación de clientes, la propiedad intelectual de Autentic AI y los datos personales de participantes, clientes e inversores.
• Garantizar la integridad y disponibilidad de los sistemas y servicios que soportan la prestación de los estudios de mercado.
• Mantener y reforzar el cumplimiento de los requisitos legales, reglamentarios y contractuales aplicables.
• Reducir los niveles de riesgo de los escenarios de amenaza identificados por debajo del umbral definido en el PRO Procedimiento de gestión de riesgos.
• Fomentar una cultura de concienciación en seguridad mediante programas periódicos de formación dirigidos a todo el personal.
• Asegurar la capacidad efectiva de respuesta ante incidentes y la continuidad operativa de los servicios críticos.

Estos objetivos se revisan al menos una vez al año, durante la revisión por la dirección, para garantizar que se mantienen relevantes y alineados con el contexto organizativo y las orientaciones estratégicas de la empresa. Los resultados de dicha revisión alimentan el ciclo de planificación y orientan las decisiones de la Alta Dirección hacia la mejora continua del SGSI.

Comunicación de la política

La organización garantiza la difusión de la presente política a todo el personal y la trazabilidad de su recepción, de modo que cada persona conozca las directrices de seguridad que rigen su actividad. Las modalidades concretas de comunicación interna y externa se detallan en el PRO Procesos directivos y en el PRO Procedimiento gestión de la comunicación. Una vez aprobada, la política se publica en el sitio web corporativo y se pone igualmente a disposición de las partes interesadas externas cuando resulte pertinente, en particular en el marco de cuestionarios de seguridad o procesos de diligencia debida.

La presente política se conserva como información documentada controlada en Complaion, repositorio oficial del SGSI, con un historial completo de versiones que incluye número de revisión, fecha de aprobación y descripción del cambio. El Responsable del SGSI revisa la política al menos una vez al año, coincidiendo con el ciclo de revisión del SGSI, o con anterioridad cuando se producen cambios significativos en el contexto organizativo, la tecnología o el panorama de amenazas. Toda modificación requiere la aprobación formal del Cofundador · Co-CEO antes de su publicación y distribución. Las versiones obsoletas se conservan en el historial de versiones, claramente identificadas como no vigentes, y los plazos de conservación se aplican conforme a los criterios definidos por la organización para cada categoría de información documentada.

• POL Política de seguridad de la información
• PRO Procesos directivos
• PRO Gestión de revisión por la dirección
• PRO Procedimiento de gestión de información documentada
• PRO Procedimiento gestión de la comunicación
• PRO Procedimiento de gestión de riesgos
• POL Política de clasificación y etiquetado de la información
• POL Política de roles y responsabilidades en materia de seguridad de la información
• Código de conducta