Anexo TOMS del acuerdo de tratamiento de datos

ID del documento: T-03
Versión y fecha: 1.0 - 21 de agosto de 2026
Versión y fecha de corte: 1.0 - 21 de agosto de 2026
Fuentes autorizadas: I-04 TOMS real e I-09-I-11

Conclusión importante: A la fecha de corte, I-09 no contiene ninguna línea de aprobación. Por ello, T-03 no puede presentar, ni jurídica ni profesionalmente, requisitos, hallazgos de código o confirmaciones verbales como TOMS verificadas. El documento puede aprobarse como un extracto correcto del estado real, pero no como una aprobación de seguridad de la producción.

1. Finalidad y delimitación

T-03 solo contiene medidas que cumplen todos los criterios siguientes:

1. El control está implementado en la configuración de producción pertinente.

2. Se cumple el criterio de aceptación de I-09.

3. El protocolo de pruebas I-11 pertinente se ha concluido con el resultado previsto.

4. La evidencia necesaria está archivada con referencia, fecha y, en su caso, hash.

5. Un revisor pertinente ha aprobado el resultado.

6. Se ha fijado la próxima revisión u otro desencadenante.

Un requisito de diseño, una función de código, una declaración de un proveedor, una factura o una captura de pantalla sin control concluido no son suficientes.

2. Definiciones de estado

3. Estado global de los controles

TEST-18 es un control transversal de documentos, versiones y publicación, y no se computa como control K independiente.

4. Medidas reales aprobadas

No hay ninguna entrada en este apartado a 21 de agosto de 2026.

Cuando se apruebe un control, se creará un nuevo extracto T-03 vinculado a versión. La versión anterior no se modificará con efecto retroactivo.

5. Mecanismos observados que no son TOMS aprobadas

I-04 describe mecanismos observados en el código, la arquitectura o la última línea base técnica. Son pertinentes para el plan de pruebas, pero no se han incluido en el apartado 4 porque falta la configuración efectiva, la cobertura completa o las pruebas negativas.

6. Controles limitados

Tres controles K-03 están registrados como Limitado. La limitación no significa que el control esté aprobado; significa que la función afectada solo puede utilizarse dentro del control temporal documentado.

Otras funciones abiertas también pueden estar limitadas o desactivadas conforme a I-03/I-10, aunque su estado K siga siendo Abierto. Prevalece la limitación documentada más estricta.

7. Requisitos organizativos sin evidencia aprobada de eficacia

Las políticas internas de FlowDule establecen, entre otras cosas:

• funciones designadas y aprobación de la dirección;

• confidencialidad y acceso según la necesidad;

• gestión de cambios, revisión del código y pruebas de seguridad;

• notificación de incidentes y asistencia al cliente;

• control de proveedores e instrucción documentada;

• formación en seguridad, protección de datos e IA;

• control y documentación basados en el riesgo.

Estos requisitos no se incluyen como TOMS aprobadas hasta que se registren la implementación, los participantes, la fecha, las pruebas u otra evidencia de eficacia adecuada. Una política adoptada constituye gobernanza pertinente, pero no es por sí sola prueba del cumplimiento efectivo.

8. Decisión sobre producción y riesgo

I-03 solo permite mantener un piloto limitado bajo restricciones concretas de producción. TEST-03 no modifica esa decisión.

Sigue rigiendo lo siguiente:

• ningún cliente nuevo de producción ni ampliación sustancial del piloto antes de que se aprueben los controles P0 pertinentes;

• el I-12 del cliente piloto debe completarse y aceptarse;

• los menores de edad y los modelos de tutela y apoderamiento permanecen fuera del alcance aprobado del producto y no pueden utilizarse; actualmente no existe un bloqueo técnico automático por edad. La investigación, los conjuntos de datos anónimos derivados del historial y las funciones autónomas de IA permanecen fuera del alcance o desactivados, según se describe por separado;

• los flujos abiertos de proveedores, de compartición, de IA, de vídeo, de push, de tarjetas y de comunicación solo se utilizan dentro de las limitaciones documentadas;

• todo fallo crítico sin control temporal suficiente conlleva la parada o una limitación adicional.

Mantener el piloto en esas condiciones es una decisión de la dirección. La decisión no convierte en aprobado ningún control de seguridad.

9. Cómo se actualiza T-03

Cuando un control esté terminado:

1. Ejecutar el protocolo de pruebas I-11 pertinente con la población fijada y los escenarios negativos.

2. Archivar la evidencia en el archivo de evidencias de acceso restringido.

3. Registrar en I-09 la referencia de prueba, la referencia de evidencia y el hash, la fecha, el revisor y la próxima revisión.

4. Cerrar o actualizar las desviaciones relacionadas en I-10.

5. Comprobar que I-04, I-03, I-07, el anexo del cliente y los textos públicos siguen siendo fidedignos.

6. Generar un nuevo extracto T-03 con el control aprobado en el apartado 4.

7. Vincular el extracto a versión y aprobarlo; conservar la versión anterior.

10. Contenido mínimo de una entrada TOMS aprobada

11. Entrega de evidencias en bruto

T-03 contiene el estado y las referencias de evidencia, no credenciales, datos de historial en bruto ni detalles de seguridad innecesarios. Los extractos de prueba en bruto, las configuraciones de la nube, los registros y los contratos solo se entregan cuando son necesarios para el objeto de la inspección, a través de un canal seguro y previo control de ocultación y de destinatario conforme a T-00.

La ocultación no puede encubrir un problema de seguridad pertinente ni hacer que el estado resulte engañoso.

12. Aprobación del extracto

La aprobación confirma que el extracto muestra correctamente cero controles aprobados a la fecha de corte. No confirma que la producción cumpla todos los requisitos del artículo 32.

13. Fuentes jurídicas

• Artículos 25 y 32 del RGPD

• Catálogo de medidas de seguridad de la autoridad danesa de protección de datos (Datatilsynet)