Aviso legal y política de protección de datos

Primero. Responsable del tratamiento

El responsable del tratamiento de los datos personales recabados a través de la plataforma Primavera Negra, accesible en https://primaveranegra.aplicaocdh.org, es el Observatorio Cubano de Derechos Humanos (OCDH), con domicilio en Madrid, España, y dirección de contacto para asuntos de protección de datos: holaocdh@gmail.com.

Segundo. Bases jurídicas del tratamiento

El tratamiento de los datos personales se fundamenta en las siguientes bases jurídicas, conforme al Reglamento (UE) 2016/679 General de Protección de Datos (en adelante, "RGPD") y a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, "LOPDGDD"):

1. Consentimiento explícito del titular para el tratamiento de las categorías especiales de datos personales conforme al artículo 9.2.a) RGPD y al artículo 9 LOPDGDD, manifestado mediante acto afirmativo claro al iniciar el proceso de solicitud y reiterado en cada paso del expediente.
2. Interés público sustancial en la documentación de violaciones graves de derechos humanos y crímenes de derecho internacional, conforme al artículo 9.2.g) RGPD, en el marco del derecho a la verdad, la justicia, la reparación y las garantías de no repetición reconocido por los Principios y directrices básicos de Naciones Unidas (Resolución 60/147 de la Asamblea General).
3. Fines de archivo en interés público, investigación científica o histórica y fines estadísticos, conforme al artículo 9.2.j) RGPD y al artículo 89 RGPD, con las garantías adecuadas previstas en la presente política.
4. Misión de interés público legítimamente reconocida en derecho internacional consuetudinario y convencional (Estatuto de Roma de la Corte Penal Internacional, Convención contra la Tortura, Convención sobre la Desaparición Forzada de Personas).

Tercero. Finalidades del tratamiento

Los datos personales se tratan, con la limitación estricta de su recolección a lo necesario, para las siguientes finalidades:

1. Recepción y evaluación de solicitudes de reconocimiento de la condición de víctima de crímenes de lesa humanidad o de violaciones graves de derechos humanos, conforme a los criterios del artículo 7 del Estatuto de Roma y de la Regla 85 de las Reglas de Procedimiento y Prueba de la Corte Penal Internacional.
2. Comunicación con el solicitante sobre el estado, requerimientos y resolución de su expediente.
3. Constitución y custodia del expediente probatorio con cadena de custodia documentada.
4. Acompañamiento del solicitante en procedimientos ante mecanismos internacionales de derechos humanos, siempre con su consentimiento previo y específico para cada transmisión.
5. Elaboración de estadísticas agregadas, anonimizadas y no reversibles, con fines de incidencia pública y de archivo histórico.
6. Cumplimiento de obligaciones legales del responsable conforme a la normativa española y europea de protección de datos.

Los datos no se utilizarán para finalidades ulteriores incompatibles con las anteriores. Cualquier ampliación de finalidad requerirá nuevo consentimiento expreso del titular.

Cuarto. Categorías de datos tratados

Conforme al principio de minimización del artículo 5.1.c) RGPD, se tratan exclusivamente las siguientes categorías de datos, en la medida estrictamente necesaria para las finalidades descritas:

1. Datos identificativos: nombre, apellidos, documento de identidad o pasaporte, fecha y lugar de nacimiento.
2. Datos de contacto: dirección de correo electrónico, teléfono, dirección postal en su caso.
3. Datos relativos a la condición personal del solicitante: nacionalidad, lugar de residencia actual, situación migratoria.
4. Categorías especiales de datos personales (artículo 9 RGPD): opiniones políticas, convicciones filosóficas o religiosas, afiliación sindical o asociativa, datos relativos a la salud (incluida salud mental), datos relativos a la vida sexual u orientación sexual cuando sean pertinentes a la denuncia (en particular, casos de violencia sexual), datos biométricos cuando consten en la documentación aportada (fotografías, vídeos).
5. Datos relativos a infracciones y condenas penales (artículo 10 RGPD): sentencias, antecedentes y procedimientos judiciales sufridos por el solicitante por motivos políticos, así como información identificativa sobre los presuntos autores de los hechos denunciados, exclusivamente en la medida necesaria para la evaluación del expediente.
6. Datos documentales: textos, fotografías, vídeos, grabaciones de audio, certificados médicos, sentencias, documentos administrativos y cualquier otra prueba aportada por el solicitante.
7. Datos técnicos mínimos de la conexión, exclusivamente para el funcionamiento seguro de la plataforma: ninguna analítica de terceros, ninguna creación de perfil de usuario, ningún identificador publicitario.

Quinto. Destinatarios de los datos

Los datos personales no se ceden a terceros, salvo en los siguientes supuestos, siempre con consentimiento expreso, previo, específico, informado e inequívoco del titular, manifestado por escrito para cada cesión concreta:

1. Mecanismos internacionales de derechos humanos: Corte Penal Internacional, Comisión Interamericana de Derechos Humanos, Procedimientos Especiales y Órganos de Tratados de Naciones Unidas, Tribunal Europeo de Derechos Humanos en su caso, jurisdicciones de Estados que ejerzan jurisdicción universal.
2. Organizaciones aliadas con las que el OCDH establezca acuerdos formales de cooperación para el acompañamiento de víctimas, con garantías equivalentes de protección de datos.
3. Autoridades judiciales o administrativas competentes cuando exista obligación legal vinculante en virtud de norma con rango de ley o de resolución judicial firme dictada por tribunal con jurisdicción reconocida por el OCDH; en ningún caso se reconoce competencia, a estos efectos, a autoridades del Estado cubano.

El panel evaluador independiente y el personal técnico y administrativo del OCDH acceden a los datos en la medida estrictamente necesaria para el ejercicio de sus funciones, bajo compromiso escrito de confidencialidad, conforme al principio de mínimo privilegio.

Sexto. Transferencias internacionales

La infraestructura técnica de la plataforma está alojada en territorio de la Unión Europea, concretamente en Francia. No se realizan transferencias de datos a terceros países ni a organizaciones internacionales para su almacenamiento o procesamiento técnico.

Las transmisiones de expedientes concretos a mecanismos internacionales con sede fuera de la Unión Europea (por ejemplo, la Corte Penal Internacional, con sede en La Haya, Países Bajos, o los Órganos de Tratados de Naciones Unidas, con sede en Ginebra) se realizarán, en cada caso, con consentimiento expreso del titular y al amparo de las garantías adecuadas previstas en los artículos 46 y 49 RGPD, en su caso por motivos importantes de interés público conforme al artículo 49.1.d) RGPD.

Séptimo. Plazos de conservación

1. Durante la tramitación del expediente y hasta la resolución motivada del panel evaluador.
2. Tras el reconocimiento, los datos se conservarán de forma indefinida para fines de archivo histórico, justicia transicional y eventuales procedimientos ante mecanismos internacionales, salvo solicitud expresa de supresión por el titular.
3. Tras la inadmisión, los datos se conservarán durante un plazo máximo de cinco años desde la resolución, salvo que el titular consienta expresamente su conservación con fines de archivo histórico o solicite su supresión anticipada.
4. Cuando el titular ejerza su derecho de supresión, los datos se eliminarán en un plazo máximo de setenta y dos horas desde la verificación de identidad, con confirmación por escrito al titular. Se preservarán únicamente, en su caso, los datos estrictamente necesarios para acreditar el cumplimiento de las obligaciones legales del responsable.

Octavo. Derechos del interesado

Conforme a los artículos 15 a 22 RGPD y a los correlativos de la LOPDGDD, el solicitante tiene en todo momento los siguientes derechos:

1. Acceso a sus datos personales y a la información sobre su tratamiento.
2. Rectificación de datos inexactos o incompletos.
3. Supresión de sus datos cuando concurra alguna de las circunstancias del artículo 17 RGPD, en los términos del apartado séptimo de esta política.
4. Limitación del tratamiento en los supuestos del artículo 18 RGPD.
5. Portabilidad de los datos que haya facilitado, en formato estructurado, de uso común y lectura mecánica.
6. Oposición al tratamiento en los supuestos del artículo 21 RGPD.
7. Retirada del consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada.
8. No ser objeto de decisiones individuales automatizadas: ninguna decisión sobre el reconocimiento se adopta de forma automatizada; toda resolución del panel evaluador es individual, motivada y humana.
9. Reclamación ante la autoridad de control, que en España es la Agencia Española de Protección de Datos (AEPD), con sede en C/ Jorge Juan 6, 28001 Madrid, https://www.aepd.es. Antes de presentar reclamación ante la AEPD, el interesado puede dirigirse al OCDH a través de la dirección holaocdh@gmail.com para resolver cualquier incidencia.

Para el ejercicio de cualquiera de estos derechos, el interesado puede dirigirse al OCDH mediante comunicación escrita a holaocdh@gmail.com, acompañando copia de su documento de identidad o medio equivalente de acreditación. El OCDH responderá en el plazo máximo de un mes desde la recepción de la solicitud, prorrogable por dos meses adicionales en supuestos de especial complejidad debidamente motivados.

Noveno. Medidas técnicas y organizativas de seguridad

El OCDH aplica las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, conforme al artículo 32 RGPD. Entre dichas medidas se encuentran, sin limitación:

1. Cifrado de las comunicaciones mediante protocolo TLS con política de seguridad de transporte estricto (HSTS).
2. Cifrado de contraseñas en reposo mediante función hash bcrypt con factor de coste no inferior a doce.
3. Cabeceras de seguridad conforme a los estándares OWASP (CSP, X-Frame-Options, X-Content-Type-Options, Cross-Origin-Resource-Policy, Cross-Origin-Opener-Policy, Referrer-Policy).
4. Aislamiento de la infraestructura respecto de servicios comerciales de nube de terceros (autoalojamiento en servidor dedicado bajo control directo del responsable).
5. Acceso restringido por roles bajo principio de mínimo privilegio, con autenticación robusta del personal autorizado.
6. Compromiso escrito de confidencialidad firmado por todos los integrantes del panel evaluador y del equipo técnico.
7. Ausencia total de cookies de terceros, rastreadores publicitarios o servicios de analítica comercial.
8. Política activa de recepción de reportes de vulnerabilidades de seguridad (responsible disclosure).
9. Plan de continuidad y de copias de seguridad cifradas (en implementación, con calendario público de despliegue).

El responsable se compromete a notificar a la autoridad de control y, en su caso, a los interesados, cualquier violación de seguridad de los datos personales en los plazos y formas previstos en los artículos 33 y 34 RGPD.

Décimo. Evaluación de impacto y protección desde el diseño

El OCDH ha realizado, conforme al artículo 35 RGPD, una evaluación de impacto relativa a la protección de datos (EIPD) sobre el tratamiento descrito, dada su naturaleza —tratamiento a gran escala de categorías especiales de datos relativos a víctimas de violaciones graves de derechos humanos y de datos relativos a infracciones penales—. La plataforma incorpora medidas de protección de datos desde el diseño y por defecto conforme al artículo 25 RGPD, incluida la minimización de la recolección, la pseudonimización del solicitante hasta su decisión expresa de identificarse plenamente, y la separación lógica de los datos identificativos respecto de los datos del expediente.

Undécimo. Principio de no causar daño

Más allá del cumplimiento normativo formal, el OCDH adopta como criterio rector el principio de no causar daño (do no harm) recogido en el Protocolo de Estambul y en los principios rectores de empresas y derechos humanos de Naciones Unidas. En consecuencia, ante cualquier conflicto entre la finalidad del archivo o de la denuncia internacional, por una parte, y la seguridad personal o psicosocial del solicitante o de su entorno, por otra, prevalecerá siempre la protección del titular y de los suyos.

Duodécimo. Modificaciones

El OCDH se reserva el derecho de modificar la presente política para adaptarla a novedades normativas, jurisprudenciales o técnicas. Las modificaciones se publicarán con indicación de la fecha de actualización y, cuando supongan alteración sustancial del tratamiento, se comunicarán de forma específica a los solicitantes con expediente activo.

Decimotercero. Legislación aplicable y jurisdicción

La presente política se rige por el Reglamento (UE) 2016/679, por la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, y, supletoriamente, por la legislación española aplicable. Para cualquier controversia derivada del tratamiento de datos personales, son competentes los Juzgados y Tribunales del orden contencioso-administrativo o civil de Madrid, sin perjuicio del derecho del interesado a acudir a la autoridad de control competente.