Análisis de Impacto Transferencia TIA v.2.0

1. Contexto de la Transferencia

Entidad Responsable: Rankmi

Ubicación del Responsable: Oficinas en Chile, Perú, Colombia y México.

Proveedor de Servicios: Amazon Web Services (AWS), región de Oregón y Virginia (Estados Unidos).

Tipo de Datos Transferidos.

Los datos personales que Rankmi recibe, trata y procesa, dependen exclusivamente de los módulos que el cliente contrata con Rankmi, hay datos sin embargo que siempre van a ser procesados independientemente del módulo que contrata el cliente, y son los correspondientes al “Core” o también llamado “Master de Personas”, información básica y necesaria para el funcionamiento de la plataforma. Revise el detalle completo de los datos tratados en el “Anexo A” de este documento.

En relación con el procesamiento mediante Inteligencia Artificial (IA Genius), Rankmi garantiza la segregación lógica de los datos de cada cliente. Los datos de entrada (inputs) de clientes corporativos (Enterprise) no se utilizan para el re-entrenamiento de modelos de lenguaje globales o públicos de terceros. El tratamiento se limita exclusivamente a la prestación del servicio contratado bajo una instancia privada y segura, manteniendo la propiedad intelectual del cliente íntegra.

Finalidad de la Transferencia

Rankmi realiza transferencias internacionales de la información hacia varias regiones dentro de USA debido a la ubicación del centro de datos de AWS, nuestro proveedor de Nube

2. Análisis Legal

2.1. Reglamentación Local

1. Latam, Chile y Méxio.

   • Países como Chile (LOGPD) y México (LFPDPPP) tienen leyes específicas que requieren garantías contractuales adecuadas para la transferencia internacional de datos.
   • Se asegura el cumplimiento mediante cláusulas contractuales estándar (Standard Contractual Clauses, SCCs) y acuerdos con AWS.
     
   
   

2. Perú

   .
   La nueva Ley N° 31814 sobre Inteligencia Artificial en Perú clasifica como de "riesgo alto" los sistemas de IA que afectan procesos de selección, evaluación o contratación laboral. Esto introduce requisitos adicionales de transparencia, supervisión humana obligatoria y mitigación de sesgos que deben ser considerados en nuestras transferencias de datos para cumplir con la normativa peruana. La norma exige informar a los trabajadores y postulantes sobre el uso de la IA y el tipo de decisiones que puede tomar.
   
   
   

3. Estados Unidos.

   • No existe una ley federal equivalente al GDPR; sin embargo, AWS cumple con el CLOUD Act y otros requerimientos que podrían comprometer los datos bajo ciertas condiciones.

2.2. Reglamentación Internacional

1. Unión Europea (GDPR).

• Aunque no todos los países de Latam están alineados con el GDPR (la gran mayoría ya lo está), las mejores prácticas se adoptan para garantizar la legalidad de la transferencia de datos.
• SCCs o Binding Corporate Rules (BCR) con AWS aseguran que los datos reciban un nivel de protección adecuado.
• Rankmi cuenta con ISO 27701 lo cual es un primer paso para el cumplimiento con GDRP.

3. Riesgos Identificados

3.1. Riesgo de Acceso Gubernamental

• El CLOUD Act o la Ley Patriota permite a agencias gubernamentales de EE. UU. solicitar acceso a datos bajo ciertas circunstancias, lo que podría comprometer la privacidad de los datos transferidos.

3.2. Riesgo de Brechas de Seguridad

• Aunque AWS ofrece controles avanzados, siempre existe un riesgo inherente de acceso no autorizado a los datos.

3.3. Riesgo de Incompatibilidad Regulatoria

• Diferencias entre los marcos regulatorios locales en Latam y las leyes de privacidad de EE. UU. Es evidente la contraposición de la GDRP con la Ley Patriota.

3.4. Riesgo de Sesgos Algorítmicos

• El uso de datos para entrenar modelos de IA puede introducir sesgos que deben ser identificados y minimizados. El incumplimiento de esto podría resultar en consecuencias legales y reputacionales.

4. Medidas de Mitigación

4.1. Técnicas

• Cifrado de Datos. Todos los datos se almacenan cifrados con SHA-256. Adicional se usa SSL TLS 1.2 para la transferencia.

• Seguridad Perimetral. Configuración de VPCs, Security Groups, y uso de AWS Shield para protección contra DDoS.

• Monitoreo Continuo. Uso de Amazon GuardDuty y AWS CloudTrail para la detección de amenazas y auditorías.

4.2. Organizacionales

• Implementación de políticas de seguridad alineadas con la ISO 27001:2022.
• Formación y concienciación del personal en mejores prácticas de protección de datos bajo nuestro estandar ISO 27701.

4.3. Contractuales

• Inclusión de SCCs en los contratos con AWS para garantizar un nivel de protección adecuado.
• Aseguramiento de que AWS ofrezca mecanismos de cumplimiento como SOC 2 y alineación con el GDPR.

4.4. Legales.

• Revisión periódica de las leyes locales e internacionales para adaptarse a cambios regulatorios.
• Implementación de mecanismos para notificación y manejo de incidentes de acceso no autorizado.
• Se continuará con la revisión periódica de las leyes locales e internacionales, ahora incluyendo la de IA en Perú. Se implementarán mecanismos para notificar y manejar incidentes, especialmente si involucran la transferencia de datos y sistemas de IA.