| Documento | Política de Seguridad de la Información |
| Tipo de documento | Marco Normativo |
| Clasificación | Pública |
| Empresa | AIR FLOWS DATA PLATFORM, S.L. |
| Finalidad | Establecer la política de seguridad de los sistemas de información |
| Versión | 1.1 · Aprobada por el Comité de Seguridad el 24/06/2026 (acta Nº 002) |
1. Introducción
AIR FLOWS DATA PLATFORM, S.L., en adelante AIRFLOWS, depende de los sistemas de información para alcanzar sus objetivos. Estos sistemas deben ser administrados con diligencia, tomando las medidas adecuadas, en función del riesgo, para protegerlos frente a daños accidentales o deliberados que puedan afectar a la autenticidad, trazabilidad, integridad o confidencialidad de la información tratada o la disponibilidad de los servicios prestados.
El objetivo último de la seguridad de la información es garantizar que la entidad pueda cumplir con sus objetivos, desarrollar sus funciones y prestar los servicios para los que ha sido constituida, preservando la calidad de la información y la prestación continuada de los servicios: actuando previamente, supervisando la actividad diaria y reaccionando con presteza a los incidentes.
Los sistemas TIC deben estar protegidos contra amenazas de rápida evolución con potencial para incidir en la confidencialidad, integridad, disponibilidad, uso previsto y valor de la información y los servicios. Para defenderse de estas amenazas se requiere una estrategia que se adapte a los cambios en las condiciones del entorno. Esto implica aplicar las medidas mínimas de seguridad exigidas por el Esquema Nacional de Seguridad, realizar un seguimiento continuo de los niveles de prestación de servicios, seguir y analizar las vulnerabilidades reportadas y preparar una respuesta efectiva a los incidentes.
AIRFLOWS debe cerciorarse de que la seguridad TIC es parte integral de cada etapa del ciclo de vida del sistema, desde su concepción hasta su retirada de servicio, pasando por las decisiones de desarrollo o adquisición y las actividades de explotación. Los requisitos de seguridad y las necesidades de financiación deben ser identificables e incluirse en la planificación, en la solicitud de ofertas y en los pliegos de licitación.
2. Alcance
Esta política se aplica a todos los sistemas de información de AIRFLOWS, a las personas que conforman la organización y a los prestadores de servicios o proveedores de soluciones TIC de AIRFLOWS.
Sistema de información de categoría ALTA conforme al Real Decreto 311/2022.
3. Misión y objetivos
En AIRFLOWS nos definimos como una compañía tecnológica especializada en la orquestación inteligente de operaciones mediante IA, mediante el desarrollo de un producto que se pone a disposición de los clientes en modo SaaS y a través de distintos partners.
Los objetivos en materia de seguridad que AIRFLOWS pretende garantizar con la presente Política son:
- Garantizar la confidencialidad, integridad y autenticidad de la información y la continuidad en la prestación de los servicios.
- Implementar medidas de seguridad en función del riesgo.
- Formar y concienciar a los integrantes de AIRFLOWS respecto a la seguridad de la información.
- Implementar medidas que permitan la trazabilidad de los accesos y respetar el principio de mínimo privilegio, reforzando el deber de confidencialidad de las personas usuarias.
- Desplegar y controlar la seguridad física, haciendo que los activos de información se encuentren en áreas seguras protegidas por controles de acceso.
- Establecer la seguridad en la gestión de comunicaciones, logrando que la información transmitida a través de redes sea adecuadamente protegida.
- Controlar la adquisición, desarrollo y mantenimiento de los sistemas en todas las fases de su ciclo de vida, garantizando su seguridad por defecto.
- Controlar el cumplimiento de las medidas de seguridad en la prestación de los servicios y en la incorporación de nuevos componentes.
- Gestionar los incidentes de seguridad para su correcta detección, contención, mitigación y resolución, adoptando medidas para que no vuelvan a producirse.
- Proteger la información personal, adoptando medidas técnicas y organizativas conforme a la legislación en materia de protección de datos.
- Supervisar de forma continuada el sistema de gestión de la seguridad, mejorando y corrigiendo las ineficiencias detectadas.
4. Principios rectores
- Alcance estratégico: la seguridad de la información debe contar con el compromiso y apoyo de todos los niveles de la entidad y coordinarse e integrarse con el resto de iniciativas estratégicas de forma coherente.
- Seguridad integral: la seguridad se entenderá como un proceso integral constituido por todos los elementos técnicos, humanos, materiales y organizativos, evitando actuaciones puntuales o tratamientos coyunturales. Debe considerarse parte de la operativa habitual y aplicarse desde el diseño inicial de los sistemas TIC.
- Gestión basada en el riesgo: la gestión de la seguridad basada en los riesgos identificados permite mantener un entorno controlado; las medidas serán proporcionales al riesgo que tratan y deberán estar justificadas, teniendo en cuenta también los riesgos del tratamiento de datos personales.
- Prevención, detección, respuesta y conservación: con acciones preventivas que minimicen las vulnerabilidades y, cuando las amenazas se materialicen, una respuesta ágil que restaure la información o los servicios, garantizando una conservación segura de la información.
- Existencia de líneas de defensa: la estrategia de seguridad se diseña e implementa en capas.
- Vigilancia continua y reevaluación periódica: se implementan medios de detección y respuesta a comportamientos anómalos y una evaluación continuada del estado de seguridad de los activos, con un proceso de mejora continua para revisar y actualizar las medidas.
- Seguridad por defecto y desde el diseño: los sistemas deben estar diseñados y configurados para garantizar la seguridad por defecto, proporcionando la funcionalidad mínima necesaria.
- Diferenciación de responsabilidades: las funciones del Responsable de Seguridad y del Responsable del Sistema estarán diferenciadas.
5. Marco normativo
Las principales normas que afectan a esta Política son:
- Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.
- Directiva (UE) 2022/2555 (NIS2), relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión.
- Reglamento (UE) 2024/1689 (Ley de Inteligencia Artificial / AI Act), que establece normas armonizadas en materia de inteligencia artificial.
- Reglamento (UE) 2024/2847 sobre requisitos horizontales de ciberseguridad para productos con elementos digitales (Cyber Resilience Act).
- Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
- Reglamento (UE) 2016/679 (RGPD), relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales.
- Real Decreto 1007/2023 (Reglamento Verifactu), relativo a los requisitos de los sistemas informáticos de facturación.
- Ley 18/2022 (Ley Crea y Crece), que regula el uso obligatorio de la factura electrónica entre empresas y autónomos.
- Normas y estándares sobre Seguridad de la Información, en especial la última versión vigente de ISO/IEC 27001 e ISO/IEC 27002, así como ISO/IEC 27034 (seguridad en aplicaciones).
6. Organización de la seguridad
La organización, teniendo en cuenta los artículos que describe el ENS, establece las siguientes acciones para organizar la seguridad de la información:
- Designará roles de seguridad: Responsable del Servicio o Servicios, Responsable de la Información, Responsable de Seguridad, Responsable del Sistema y Delegado de Protección de Datos.
- Constituirá un órgano consultivo y estratégico para la toma de decisiones en materia de seguridad de la información, denominado Comité de Seguridad de la Información.
6.1. Responsable de la Información (RINF) y de los Servicios (RSERV)
- Establecer los requisitos de seguridad aplicables a la información y a los servicios, dentro del marco del Anexo I del RD ENS, pudiendo recabar propuesta del Responsable de Seguridad y teniendo en cuenta la opinión del Responsable del Sistema.
- Dictaminar respecto a los derechos de acceso a la información y los servicios.
- Aceptar los niveles de riesgo residual que afectan a la información y los servicios.
- Comunicar al Responsable de Seguridad cualquier variación respecto a la información y los servicios de los que es responsable, especialmente la incorporación de nuevos servicios o información.
- Tiene la responsabilidad última del uso que se haga de determinados servicios e información y, por tanto, de su protección.
6.2. Responsable de Seguridad (RSEG)
- Mantener y verificar el nivel adecuado de seguridad de la información manejada y de los servicios prestados por los sistemas de información.
- Promover la formación y concienciación en materia de seguridad de la información.
- Designar responsables de la ejecución del análisis de riesgos y de la Declaración de Aplicabilidad, identificar medidas de seguridad, determinar configuraciones necesarias y elaborar la documentación del sistema.
- Aprobar la Declaración de Aplicabilidad a partir de las medidas de seguridad requeridas conforme al Anexo II del ENS.
- Proporcionar asesoramiento para la determinación de la categoría del sistema, en colaboración con el Responsable del Sistema y el Comité de Seguridad.
- Participar en la elaboración e implantación de los planes de mejora de la seguridad y, llegado el caso, de los planes de continuidad, validándolos.
- Gestionar las revisiones externas o internas del sistema y los procesos de certificación.
- Elevar al Comité de Seguridad la aprobación de cambios y otros requisitos del sistema.
- Aprobar los procedimientos de seguridad que forman parte del Marco Normativo y que no sean competencia del Comité, informando a este de las modificaciones realizadas.
- Participar en la elaboración de la Política de Seguridad de la Información en el marco del Comité, para su aprobación por Dirección.
- Coordinar con el Secretario la convocatoria de reuniones, la preparación del orden del día y la elaboración de las actas.
- Es responsable de la ejecución directa o delegada de las decisiones del Comité.
6.3. Responsable del Sistema (RSIS)
- Desarrollar, operar y mantener el sistema de información durante todo su ciclo de vida, elaborando los procedimientos operativos necesarios.
- Definir la topología y la gestión del sistema, estableciendo los criterios de uso y los servicios disponibles.
- Detener el acceso a la información o la prestación del servicio si tiene conocimiento de deficiencias graves de seguridad.
- Cerciorarse de que las medidas específicas de seguridad se integren adecuadamente en el marco general de seguridad.
- Coordinar las funciones del administrador de seguridad del sistema: gestión y actualización del hardware y software de los mecanismos de seguridad, y gestión de las autorizaciones y privilegios concedidos a los usuarios, incluida la monitorización de la actividad.
- Aprobar los cambios en la configuración vigente del sistema y asegurar que los controles y procedimientos aprobados se cumplen estrictamente.
- Supervisar las instalaciones de hardware y software, sus modificaciones y mejoras, para asegurar que la seguridad no queda comprometida.
- Monitorizar el estado de seguridad mediante las herramientas de gestión de eventos y los mecanismos de auditoría técnica.
- Informar al Responsable de Seguridad de cualquier anomalía, compromiso o vulnerabilidad, y colaborar en la investigación y resolución de incidentes.
6.4. Delegado de Protección de Datos (DPD)
- Informar y asesorar a la organización y a quienes se ocupen del tratamiento de las obligaciones que les incumben en virtud de la normativa de protección de datos.
- Supervisar el cumplimiento de la normativa de seguridad y de las políticas internas en materia de protección de datos, incluida la asignación de responsabilidades, la concienciación y formación del personal y las auditorías correspondientes.
- Ofrecer asesoramiento sobre la evaluación de impacto relativa a la protección de datos y supervisar su aplicación.
- Cooperar con la Agencia Española de Protección de Datos y actuar como punto de contacto con ésta.
- Analizar y comprobar la conformidad de las actividades de tratamiento, asesorar en protección de datos por diseño y por defecto, y priorizar actividades en base a los riesgos.
6.5. Comité de Seguridad de la Información
El Comité está compuesto por Presidencia, Secretario y Vocales, clasificados en permanentes y no permanentes según la obligatoriedad de su participación.
- Miembros permanentes: Presidencia, Responsable de Seguridad y Responsable del Sistema.
- Miembros no permanentes: Responsables del Servicio, Responsable de la Información, Delegado de Protección de Datos, representantes de la organización o especialistas externos cuya presencia sea aconsejable, y asesores (con voz, pero sin voto).
El Delegado de Protección de Datos participa con voz, pero sin voto, cuando se aborden cuestiones relacionadas con datos personales; si un asunto se somete a votación, su opinión se hará constar siempre en acta. El Secretario realiza las convocatorias y levanta las actas.
Composición de roles: Presidencia, CEO. Secretario, Responsable de Operaciones y Alianzas. Vocales: CEO, CFO, CTO, Responsable de Ingeniería de Producto, CPO y Responsable de Operaciones y Alianzas. Responsable del Sistema: Responsable de Ingeniería de Producto. Responsable de Seguridad: CPO. Delegado de Protección de Datos: prestador externo (Govertis).
Atribuciones principales: informar regularmente del estado de la seguridad a la Alta Dirección; promover la mejora continua del Sistema de Gestión de la Seguridad de la Información; elaborar la estrategia de evolución; promover auditorías periódicas; aprobar documentación de seguridad; mantenerse informado de la normativa de certificación de conformidad con el ENS y de las entidades certificadoras acreditadas; coordinar los esfuerzos de las distintas áreas; resolver conflictos de responsabilidad; y revisar la Política de Seguridad de la Información previa aprobación por el órgano superior.
Periodicidad: el Comité se reunirá al menos una vez al año, sin perjuicio de una mayor frecuencia si las necesidades lo requieren. Las reuniones se convocan por su Presidencia a través del Secretario, a su iniciativa o por mayoría de los miembros permanentes. Las decisiones se adoptan por consenso de los miembros permanentes.
6.6. Designación y resolución de conflictos
- La creación del Comité, el nombramiento de sus integrantes y la designación de los responsables se realizará mediante acta de constitución inicial.
- Los roles se renuevan anualmente de forma automática. Las bajas o modificaciones se comunicarán al Comité, siguiendo los cauces establecidos para designar al nuevo responsable.
- Conforme al artículo 13.3 del RD ENS, no puede existir dependencia jerárquica entre el Responsable de Seguridad y el Responsable del Sistema, salvo excepciones justificadas, que conllevarán medidas compensatorias.
- Cuando surja un conflicto entre los requisitos de seguridad y las necesidades operativas o de negocio, cualquier responsable podrá elevarlo al Comité, que decidirá por consenso, quedando documentado en el acta.
- En situaciones de urgencia operativa en las que no sea posible convocar el Comité de forma inmediata, el Responsable de Seguridad podrá adoptar una medida provisional, documentándola y sometiéndola a ratificación en la siguiente sesión.
7. Tratamiento de datos personales
AIRFLOWS trata datos de carácter personal según se describe en el Registro de Actividades del Tratamiento. AIRFLOWS deberá evaluar los riesgos relacionados con los datos personales tratados, proponiendo un plan de actuación para corregir aquellos riesgos que superen el umbral autorizado.
El análisis de riesgos será reevaluado periódicamente, con el asesoramiento y supervisión del Delegado de Protección de Datos y, en todo caso, cuando se detecte un tratamiento de alto riesgo, debiendo realizarse en su caso una evaluación de impacto. La implementación del plan de tratamiento del riesgo se coordinará con el del ENS, así como el resto de procedimientos o normas de seguridad con las obligaciones en materia de protección de datos, especialmente en el control de los prestadores de servicios y la respuesta a incidentes y brechas de seguridad.
8. Gestión de riesgos
Todos los sistemas sujetos a esta Política deberán realizar un análisis de riesgos, evaluando las amenazas y los riesgos a los que están expuestos. Este análisis se repetirá:
- Regularmente, al menos una vez al año.
- Cuando se produzcan cambios en la información manejada.
- Cuando se produzcan cambios en los servicios prestados.
- Cuando ocurra un incidente grave de seguridad.
- Cuando se reporten vulnerabilidades graves.
- Cuando se produzcan modificaciones en el análisis de riesgos de protección de datos o en las evaluaciones de impacto.
Para la armonización de los análisis de riesgos, el Comité de Seguridad establecerá una valoración de referencia para los distintos tipos de información manejados y servicios prestados, y dinamizará la disponibilidad de recursos para atender a las necesidades de seguridad, promoviendo inversiones de carácter horizontal. Se tendrán en cuenta los riesgos en protección de datos, contando con la opinión del Delegado de Protección de Datos, y se coordinarán los planes de tratamiento del riesgo.
La Declaración de Aplicabilidad (SoA) recoge el detalle de los controles del Esquema Nacional de Seguridad aplicables al sistema de información de AIR FLOWS DATA PLATFORM, S.L., conforme al Anexo II del RD 311/2022, junto con su justificación de aplicabilidad y nivel de madurez.
9. Desarrollo de la Política
La presente Política será complementada con documentos más precisos —normas, procedimientos de seguridad e instrucciones técnicas— que ayuden a llevar a cabo lo propuesto. El cuerpo normativo se desarrollará en tres niveles:
- Primer nivel normativo: la presente Política de Seguridad de la Información.
- Segundo nivel normativo: las normas de seguridad derivadas de la anterior, con el objetivo de indicar el uso correcto de aspectos concretos del sistema de gestión.
- Tercer nivel normativo: procedimientos de seguridad, guías e instrucciones técnicas que determinan las acciones o tareas a realizar en el desempeño de un proceso.
Corresponde a la dirección la aprobación de la Política de Seguridad de la Información, siendo el Comité de Seguridad el órgano responsable de la aprobación y difusión de los restantes documentos, tal y como establece el artículo 12 del RD ENS. Cualquier cambio deberá ser difundido a todas las partes afectadas.
10. Obligaciones del personal
Todos los miembros de AIRFLOWS tienen la obligación de conocer y cumplir esta Política y las normas, procedimientos o guías que la desarrollen, siendo responsabilidad de AIRFLOWS, a través del Comité de Seguridad y del área de personal, disponer de los medios necesarios para que la información llegue a los afectados.
Todos los miembros de AIRFLOWS atenderán a una sesión de concienciación en materia de seguridad de la información al menos una vez al año. Se establecerá un programa de concienciación continua, en particular para las nuevas incorporaciones.
Las personas con responsabilidad en el uso, operación o administración de sistemas TIC recibirán formación para el manejo seguro de los sistemas en la medida en que la necesiten para realizar su trabajo. La formación será obligatoria antes de asumir una responsabilidad, tanto en la primera designación como en un cambio de puesto o de responsabilidad.
11. Terceras partes
Cuando AIRFLOWS preste servicios a otras entidades o maneje información de otras, se les hará partícipes de esta Política, sin perjuicio de respetar las obligaciones de la normativa de protección de datos si actúa como encargado del tratamiento, y se establecerán canales para el reporte y la coordinación de los respectivos Comités de Seguridad y procedimientos de actuación ante incidentes. El Responsable de Seguridad (o persona en quien delegue) será el Punto de Contacto (POC).
Cuando AIRFLOWS utilice servicios de terceros o ceda información a terceros, se les hará partícipes de esta Política y de la Normativa de Seguridad que atañe a dichos servicios o información. En la contratación de prestadores de servicios o adquisición de productos se tendrá en cuenta la obligación del adjudicatario de cumplir con el ENS. En la adquisición de derechos de uso de activos en la nube se tendrán en cuenta los requisitos del Anexo II y las guías de desarrollo.
Dicha tercera parte quedará sujeta a las obligaciones establecidas en dicha normativa, pudiendo desarrollar sus propios procedimientos operativos para satisfacerla, de modo que AIRFLOWS pueda supervisarlos o solicitar evidencias de cumplimiento, incluso auditorías de segunda o tercera parte. Se establecerán procedimientos específicos de reporte y resolución de incidencias, canalizados por el POC de los terceros implicados y, cuando se afecte a datos personales, por el Delegado de Protección de Datos. Los terceros garantizarán que su personal está adecuadamente concienciado en materia de seguridad, al menos al mismo nivel establecido en esta Política.
Cuando algún aspecto de la Política no pueda ser satisfecho por un tercero, el Responsable de Seguridad emitirá un informe que precise los riesgos en que se incurre y la forma de tratarlos. Se requerirá la aprobación de este informe por los Responsables de la Información y los Servicios afectados antes del inicio de la contratación o, en su caso, la adjudicación.
Cuando la organización adquiera, desarrolle o implante un sistema de inteligencia artificial, además de cumplir con la normativa vigente en la materia, deberá contar con el informe del Responsable de Seguridad, que consultará al Responsable de la Información y los Servicios y, cuando sea necesario, al del Sistema, debiendo también el Delegado de Protección de Datos emitir su parecer.
12. Gestión de incidentes de seguridad
AIRFLOWS dispondrá de un procedimiento para la gestión ágil de los eventos e incidentes de seguridad que supongan una amenaza para la información y los servicios.
Este procedimiento se integrará con otros relacionados con incidentes de seguridad de otras normas sectoriales —como la de protección de datos personales— para coordinar la respuesta desde los diferentes enfoques y comunicar a los organismos de control sin dilaciones indebidas y, cuando sea preciso, a las Fuerzas y Cuerpos de Seguridad del Estado o a los juzgados.
13. Aprobación y entrada en vigor
Esta Política de Seguridad de la Información será efectiva desde su fecha de aprobación y hasta que sea reemplazada por una nueva Política.
La Política será revisada por el Comité de Seguridad de la Información a intervalos planificados, que no podrán exceder el año, o siempre que se produzcan cambios significativos, a fin de asegurar que se mantenga su idoneidad, adecuación y eficacia.
Texto aprobado el 24 de junio de 2026 vía Comité de Seguridad y correspondiente acta por AIRFLOWS, mediante firma del acta Nº 002.
.svg%3Fwidth%3D256&w=128)
.svg%3Fwidth%3D256&w=128)
.svg%3Fwidth%3D256&w=128)
