Política de Confidencialidad

• Establecer la política de confidencialidad de FVR: qué información protege, frente a quién se compromete y hasta dónde llega esa obligación. La política, puntual, se declara en el §3.

• Aplica a toda la información obtenida durante el ciclo de certificación en ambas líneas de servicio (17021 y 17024), incluyendo:
• - Datos personales de candidatos, clientes, empleados de clientes
• - Expedientes de auditoría (línea 17021) y evaluación (línea 17024)
• - Hallazgos no publicados (NC mayores, NC menores, OM)
• - Información financiera y operativa del cliente
• - Guías de entrevista, paquetes sellados, transcripciones, lecturas y dictámenes de la IA de la defensa, sus verificaciones, y los acuses del aviso sobre el uso de la IA (línea 17024)
• - Banco de preguntas
• - Claves criptográficas
• - Registros de personal interno y subcontratado
• - Información comercial confidencial (cotizaciones, contratos, tarifas)

• FVR protege la información confidencial obtenida o generada durante todas las actividades de certificación. La confidencialidad es un compromiso ético y contractual con candidatos, clientes, partes interesadas y reguladores.

• 1. Mínimo privilegio: cada rol accede solo a lo necesario para su función (FVR_IM-MZ-01).
• 2. Consentimiento informado: el candidato/cliente acepta el uso de su información mediante contrato.
• 3. No divulgación externa sin consentimiento por escrito, salvo cuando la ley lo exija o, para la línea 17021, lo autorice una disposición contractual aplicable.
• 4. Cifrado en reposo y en tránsito para información de niveles 3 (CONFIDENCIAL) y 4 (RESTRINGIDA).
• 5. Retención limitada conforme a FVR_CD-MZ-01.

• - Firma de acuerdo de confidencialidad al ingreso (FVR_IM-FO-02)
• - Renovación de la declaración cada 3 años (junto con la renovación contractual y las actualizaciones de políticas; la declaración exigida para cada asignación de auditoría atiende los riesgos específicos del encargo)
• - Subsistencia de la obligación post-vínculo: 5 años
• - No discusión de casos fuera del entorno laboral controlado
• - Notificación inmediata de incidente real o sospechado (FVR_IM-WI-01)
• - Devolución de información al término del vínculo
• — Cómo se evidencia el compromiso general de confidencialidad, y no sólo se exige. Firmar al ingreso es la obligación; poder demostrarlo es el control. FVR conserva, de cada persona que actúa en su nombre, la constancia del compromiso firmado con su fecha y la versión del texto firmado, y esa constancia es condición para ser autorizado a actuar: ninguna autorización de un rol de certificación se aprueba sin ella. El compromiso alcanza a personal propio, evaluadores, examinadores, desarrolladores de reactivos, personal de IA, miembros de comité y contratistas, y cubre la información obtenida o creada en la actividad de certificación venga de donde venga —incluido lo que una persona sabe por actuar para FVR y de otro modo no sabría—. Incumplirlo es materia disciplinaria y causal de retiro de la autorización para actuar.

• Cuando la divulgación sea exigida por ley o, para la línea 17021, autorizada por una disposición contractual aplicable:
• - DG es notificado primero
• - Asesor Legal valida el fundamento legal o contractual
• - Si procede, FVR informa al cliente afectado antes de la divulgación, salvo prohibición legal
• - Se documenta la entrega con bitácora
• — Dónde se conserva la constancia de la divulgación y cómo se avisa a la parte afectada. Una divulgación exigida por ley o, para la línea 17021, autorizada por una disposición contractual aplicable es un acto manual excepcional y debe dejar constancia. Se registra en el expediente de la parte afectada, con la fecha, el fundamento legal o contractual aplicable, la información divulgada y la persona que la autorizó; la Dirección autoriza la divulgación. FVR notifica a la parte afectada —cliente, solicitante, candidato o persona certificada— cuál es la información que va a proporcionar, salvo prohibición legal. El mismo deber rige antes de hacer pública información de esa parte: FVR avisa previamente qué datos serán públicos para que el servicio o el esquema se acepte con ese conocimiento.

• Conforme a FVR_IM-MZ-01: PÚBLICA, INTERNA, CONFIDENCIAL, RESTRINGIDA.

• Cualquier acceso no autorizado, fuga, pérdida o sospecha se gestiona por FVR_IM-WI-01. Tiempo máximo de reporte interno: 2 horas. En México, las vulneraciones de seguridad que afecten significativamente los derechos patrimoniales o morales de las personas titulares se les informan de inmediato, conforme a la legislación aplicable.

• Negligencia — Capacitación obligatoria + amonestación
• Acceso no autorizado — Acción disciplinaria + reporte Comité Salvaguarda
• Filtración deliberada — Terminación + acción legal
• Comercialización de info confidencial — Acción legal + reporte al Organismo Acreditador

• Cláusula única reutilizable. Aplica a todos los procedimientos de auditoría 17021: CA-E1, CA-E2, FSA, SA, RA, TA, Especial, Multi-Sitio, Remota.
• Los requisitos de confidencialidad aplicables a los procedimientos de auditoría 17021 (FVR_EC-PR-01, FVR_RD-PR-05, FVR_TP-PR-03, FVR_TP-PR-04) se consolidan en esta cláusula. Reglas aplicables:
• 1. NDA vigente entre FVR y cliente antes del inicio de cualquier auditoría
• 2. Declaraciones de no-conflicto del equipo auditor (FVR_IM-FO-03) firmadas por cada miembro del equipo antes de la asignación
• 3. Declaración de confidencialidad específica por auditoría (FVR_IM-FO-02) firmada por cada auditor y experto técnico antes del inicio
• 4. Información obtenida durante la auditoría se trata como nivel 3 CONFIDENCIAL conforme a FVR_IM-MZ-01
• 5. Las capturas de pantalla y los documentos compartidos son evidencia de auditoría: se conservan en el expediente del proyecto y el auditor elimina únicamente sus copias locales al cierre
• 6. Los observadores (auditor en formación o representante del Organismo Acreditador) requieren autorización por escrito del cliente
• 7. Las sesiones de auditoría remota no se graban
• 8. Comunicación de hallazgos estrictamente al cliente firmante del contrato — no a terceros sin autorización por escrito
• 9. Post-auditoría: la obligación de confidencialidad subsiste 5 años (§5)
• Referencia: cada procedimiento de auditoría debe indicar: *"Confidencialidad: aplica la cláusula transversal de FVR_GD-POL-03 §10"*.
• — Organismos relacionados, y el que FVR tiene. FVR se asegura de que las actividades de los organismos relacionados no comprometan la confidencialidad de la información de sus solicitantes, candidatos y personas certificadas. FVR identifica su unidad de formación de la línea 17024 como su único organismo relacionado vigente. Opera en la misma plataforma utilizada para administrar los exámenes y atiende a los mismos candidatos. La barrera es concreta, no una declaración de intenciones: la actividad de formación no tiene acceso a reactivos, claves de respuesta, resultados de un intento en curso ni a la identidad de quien se examina en ese momento; quien tiene rol de formación no puede tener rol del banco de preguntas ni de evaluación para el mismo esquema; y la segregación de quien forma respecto de quien decide la impone el sistema al momento de decidir una certificación. Todo nuevo organismo relacionado debe identificarse en esta política, junto con sus salvaguardas específicas de confidencialidad, antes de iniciar operaciones.

• Las sesiones de auditoría remota son videollamadas y no se graban, así que no hay grabación que borrar. Lo que el auditor captura durante una sesión (capturas de pantalla, documentos que el cliente comparte) es evidencia de auditoría: se sube al expediente del proyecto y se conserva conforme a FVR_CD-MZ-01; al cierre del expediente el auditor borra toda copia local de sus propios equipos, como obligación personal bajo esta política, no como acto del ERP. Lo que el ERP sí registra: el compromiso de confidencialidad de toda persona que actúa en nombre de FVR, firmado dentro de la declaración de imparcialidad con huella del texto, IP y fecha; y la bitácora de accesos — cada inicio de sesión y cada intento fallido o bloqueado, con IP y ubicación. El auditor líder obtiene la autorización escrita de los observadores externos (auditor en formación, testigo del organismo acreditador o tercero) y la carga mediante el ERP al expediente del proyecto. Los proveedores de servicios digitales quedan obligados por los términos de su suscripción (FVR_CM-PR-03 §5.3) y no firman acuerdo alguno en el ERP.

• FVR se compromete a:
• 1. Conceder acceso bajo privilegio mínimo: cada rol alcanza sólo lo que su función exige, y el acceso se otorga por rol y no por persona.
• 2. Obtener el consentimiento informado del candidato o cliente antes de usar su información para algo distinto de la propia actividad de certificación.
• 3. Obligar a toda persona con acceso —empleados, auditores contratados, examinadores, evaluadores, miembros de comité y proveedores— mediante acuerdos de confidencialidad legalmente exigibles *(17021-1 §8.4; 17024 §8.4)*.
• 4. Avisar al cliente por anticipado cuando la ley obligue a divulgar o, para la línea 17021, lo autorice una disposición contractual aplicable, salvo que la ley prohíba el aviso.
• 5. Conservar la información durante el periodo de retención declarado en el control de registros, y disponer de ella de forma segura al terminar, siempre que no aplique una suspensión de disposición conforme a FVR_CD-MZ-01 §6.
• 6. Tratar una violación de confidencialidad como un incidente: se registra, se investiga y abre una acción correctiva.

• En FVR está prohibido:
• 1. Divulgar información de cliente o candidato a un tercero sin autorización escrita, salvo cuando la ley lo obligue.
• 2. Usar la información obtenida durante la certificación con fin comercial, propio o ajeno, incluido abordar al cliente para un servicio distinto.
• 3. Acceder a registros que la función propia no exige, aunque el sistema lo permita técnicamente.
• 4. Sacar evidencia del entorno controlado — copias en dispositivos personales, cuentas personales o almacenamiento no autorizado.
• 5. Divulgar el contenido del banco de preguntas o de un examen en curso, en cualquier forma.
• 6. Comentar la identidad o el resultado de un candidato o cliente fuera de las personas que el proceso exige.

• Se declara por rol, nunca por nombre.
• Dirección General — aprueba esta política y responde de los recursos que hacen posible la confidencialidad.
• Dirección Técnica — responde de que la confidencialidad se sostenga a lo largo del ciclo de certificación en las dos líneas.
• Responsable de Calidad — custodia los acuerdos de confidencialidad firmados y verifica que estén completos antes de cada asignación.
• Operaciones · TI · Administración — implementa el acceso por rol y mantiene el registro de accesos; mientras el puesto esté vacante, el Director Técnico desempeña estas funciones. El dueño del proceso realiza la disposición segura al terminar el periodo de retención y la registra conforme a FVR_CD-MZ-01. Este rol no accede a la evidencia para fines propios.
• Equipo auditor, examinadores y evaluadores — manejan sólo la información que su asignación exige, y dentro del entorno controlado.
• Todo el personal, interno y externo — firma el acuerdo antes de su primera asignación y reporta cualquier violación de la que tenga conocimiento, incluida la propia.

• La confidencialidad se gobierna a través del registro de riesgos del sistema de gestión, que cubre las amenazas de seguridad de la información en las dos líneas de servicio *(9001 §6.1)*.
• · Cada amenaza —acceso no autorizado, fuga del banco de preguntas, pérdida del repositorio documentado, divulgación por un proveedor— lleva en el registro su salvaguarda y su responsable.
• · Una violación se trata como riesgo materializado: abre una acción correctiva y se revisa la salvaguarda que falló.
• · La oportunidad consiste en fortalecer la confianza del cliente para disponer de la información necesaria para una auditoría o un examen.
• La periodicidad de revisión se establece en el procedimiento responsable de cada amenaza.

Approvals / Aprobaciones