Aviso legal y políticas

Aviso legal

RACSO PARTNERS CONSULTING, S.L.U. · CICLOS Group

Este Aviso Legal regula el acceso, navegación y uso de los sitios web titularidad de RACSO PARTNERS CONSULTING, S.L.U., incluyendo las marcas comerciales CICLOS Group, Consultora ISO y Consultora ENS, así como los contenidos, formularios, comunicaciones y servicios informativos ofrecidos a través de dichos sitios.

1. Información general del titular

En cumplimiento del artículo 10 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, se informa a los usuarios, visitantes y autoridades competentes de los datos identificativos del titular de los sitios web vinculados a las marcas CICLOS Group, Consultora ISO y Consultora ENS.

2. Objeto y actividad

RACSO PARTNERS CONSULTING, S.L.U. desarrolla actividades de consultoría, asesoramiento, implantación, adecuación, mantenimiento, soporte y acompañamiento en sistemas de gestión, seguridad de la información, cumplimiento normativo, Esquema Nacional de Seguridad, normas ISO y procesos de certificación.

La actividad de la organización incluye, entre otros, servicios de consultoría estratégica, operativa, organizativa y tecnológica; implantación y mantenimiento de sistemas de gestión; adecuación al Esquema Nacional de Seguridad; acompañamiento en auditorías internas y externas; gestión documental; análisis de riesgos; planes de acción; formación; digitalización de procesos; desarrollo o uso de herramientas tecnológicas; y apoyo a organizaciones públicas y privadas en materia de cumplimiento, seguridad, sostenibilidad, calidad, medio ambiente, seguridad y salud en el trabajo, eficiencia y mejora continua.

La información publicada en los sitios web tiene carácter general, comercial e informativo, y no constituye por sí misma asesoramiento jurídico, técnico o de certificación aplicable automáticamente a un caso concreto sin análisis previo del alcance, contexto, riesgos, requisitos y situación de cada organización.

3. Condiciones de acceso y uso del sitio web

El acceso y uso de los sitios web atribuye la condición de usuario e implica la aceptación del presente Aviso Legal, así como de la Política de Privacidad, la Política de Cookies y cualquier otra condición particular que resulte aplicable a determinados servicios, formularios o contenidos.

El usuario se compromete a utilizar los sitios web, sus contenidos y servicios de forma diligente, lícita, correcta y respetuosa con la legislación aplicable, la buena fe, el orden público, los usos del tráfico y los derechos de terceros.

Queda prohibido utilizar los sitios web con fines ilícitos, fraudulentos, lesivos o que puedan dañar, inutilizar, sobrecargar, deteriorar o impedir el normal funcionamiento de los sitios, sistemas, contenidos, formularios, redes o servicios asociados.

RACSO PARTNERS CONSULTING, S.L.U. podrá suspender, limitar o bloquear el acceso al sitio web cuando detecte usos contrarios a este Aviso Legal, a la normativa aplicable o a la seguridad de sus sistemas y servicios.

4. Propiedad intelectual e industrial

Todos los contenidos de los sitios web, incluyendo textos, imágenes, logotipos, marcas, nombres comerciales, diseños, iconos, estructura, código fuente, software, bases de datos, recursos gráficos, documentos, guías, metodologías y demás elementos, están protegidos por la normativa nacional e internacional de propiedad intelectual e industrial.

Los derechos sobre dichos contenidos pertenecen a RACSO PARTNERS CONSULTING, S.L.U. o, en su caso, a terceros que han autorizado su uso o cuyos contenidos se utilizan conforme a las licencias, permisos o condiciones aplicables.

Queda prohibida la reproducción, distribución, comunicación pública, transformación, puesta a disposición, extracción, reutilización o cualquier otra forma de explotación, total o parcial, de los contenidos sin autorización expresa y por escrito de RACSO PARTNERS CONSULTING, S.L.U., salvo en los casos legalmente permitidos.

El usuario podrá visualizar, descargar, imprimir o almacenar elementos del sitio web exclusivamente para su uso personal, privado y no comercial, siempre que no suprima, altere o manipule menciones de titularidad, avisos legales, marcas o elementos identificativos.

5. Marcas, nombres comerciales y signos distintivos

Las denominaciones CICLOS Group, Consultora ISO, Consultora ENS, ISOFY, ENSFY y cualesquiera otros signos distintivos, logotipos, diseños, nombres comerciales o elementos identificativos utilizados en los sitios web forman parte de la identidad corporativa, comercial o tecnológica vinculada a RACSO PARTNERS CONSULTING, S.L.U. o a sus proyectos, salvo indicación expresa en contrario.

El uso no autorizado de dichas marcas, nombres comerciales, logotipos o signos distintivos queda prohibido. Su aparición en los sitios web no implica cesión, licencia o autorización de uso a favor del usuario.

6. Protección de datos personales

RACSO PARTNERS CONSULTING, S.L.U. tratará los datos personales que puedan recabarse a través de los sitios web de acuerdo con el Reglamento (UE) 2016/679, General de Protección de Datos, la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, y demás normativa aplicable.

La información relativa a las finalidades del tratamiento, bases jurídicas, destinatarios, plazos de conservación, derechos de los interesados y demás aspectos exigidos por la normativa se encuentra recogida en la Política de Privacidad disponible en los sitios web.

7. Uso de cookies

Los sitios web pueden utilizar cookies técnicas necesarias para su funcionamiento y, cuando el usuario lo autorice, cookies de análisis, personalización, publicidad u otras tecnologías similares.

El usuario puede obtener información completa sobre las cookies utilizadas, sus finalidades, duración, titularidad y forma de configuración en la Política de Cookies disponible en los sitios web.

8. Comunicaciones comerciales

RACSO PARTNERS CONSULTING, S.L.U. no enviará comunicaciones comerciales por medios electrónicos sin identificarlas claramente como tales y sin contar con una base jurídica adecuada, conforme a la normativa aplicable en materia de servicios de la sociedad de la información, protección de datos y comunicaciones comerciales.

Cuando exista una relación contractual previa con el destinatario, podrán remitirse comunicaciones relativas a servicios similares, información técnica, operativa, formativa o comercial vinculada a los servicios contratados o solicitados, siempre de acuerdo con la normativa aplicable y ofreciendo mecanismos sencillos para oponerse o darse de baja cuando proceda.

9. Enlaces a terceros

Los sitios web pueden contener enlaces a páginas, contenidos, plataformas, herramientas o recursos de terceros. RACSO PARTNERS CONSULTING, S.L.U. no controla necesariamente dichos sitios, contenidos o servicios, por lo que no asume responsabilidad por su disponibilidad, exactitud, licitud, calidad, actualización, seguridad o por los daños que pudieran derivarse de su acceso o uso.

La inclusión de enlaces externos no implica recomendación, aprobación, patrocinio, supervisión o relación directa con los titulares de dichos sitios, salvo indicación expresa en contrario.

10. Exclusión de garantías y responsabilidad

RACSO PARTNERS CONSULTING, S.L.U. realiza esfuerzos razonables para mantener los sitios web disponibles, actualizados, seguros y libres de errores relevantes. No obstante, no garantiza la inexistencia de interrupciones, errores técnicos, inexactitudes, omisiones, virus, código malicioso, fallos de conexión o cualquier otra incidencia ajena a su control razonable.

RACSO PARTNERS CONSULTING, S.L.U. no será responsable de los daños o perjuicios derivados del uso indebido de los sitios web, de decisiones adoptadas exclusivamente sobre la base de la información publicada sin un análisis profesional específico, de incidencias causadas por terceros, de problemas técnicos de redes o proveedores, ni de contenidos externos enlazados desde los sitios.

La información publicada sobre normas ISO, Esquema Nacional de Seguridad, auditorías, certificaciones, cumplimiento o sistemas de gestión tiene carácter informativo y orientativo. La aplicación práctica de dichos contenidos requiere un análisis individualizado del alcance, contexto, riesgos, evidencias, requisitos normativos y situación concreta de cada organización.

11. Modificación de contenidos y servicios

RACSO PARTNERS CONSULTING, S.L.U. se reserva el derecho a modificar, actualizar, suspender, retirar o limitar, en cualquier momento y sin necesidad de previo aviso, la presentación, configuración, contenidos, servicios, formularios, funcionalidades y condiciones de acceso o uso de los sitios web.

También podrá actualizar el presente Aviso Legal cuando se produzcan cambios legales, técnicos, corporativos, organizativos o de actividad que así lo aconsejen.

12. Seguridad del sitio web

RACSO PARTNERS CONSULTING, S.L.U. aplica medidas técnicas y organizativas razonables para proteger los sitios web, formularios, comunicaciones y sistemas asociados frente a accesos no autorizados, pérdida, alteración, uso indebido o indisponibilidad.

No obstante, el usuario debe ser consciente de que las medidas de seguridad en internet no son inexpugnables. Por ello, deberá utilizar medios seguros de navegación, custodiar sus credenciales cuando proceda y evitar el envío de información sensible por canales no autorizados.

13. Normativa aplicable y jurisdicción

El presente Aviso Legal se rige por la legislación española.

Para cualquier controversia derivada del acceso, navegación o uso de los sitios web, las partes se someterán a los Juzgados y Tribunales de Santander, salvo que una norma imperativa establezca otro fuero aplicable, especialmente en materia de consumidores y usuarios cuando resulte procedente.

14. Contacto

Para cualquier cuestión relacionada con este Aviso Legal, el usuario puede contactar con RACSO PARTNERS CONSULTING, S.L.U. a través del correo electrónico administracion@ciclosgroup.com o mediante los canales de contacto disponibles en los sitios web.

Control del documento

Política de privacidad

RACSO PARTNERS CONSULTING, S.L.U. · CICLOS Group

La presente Política de Privacidad informa sobre el tratamiento de los datos personales realizado por RACSO PARTNERS CONSULTING, S.L.U. en el desarrollo de sus actividades, sitios web, canales de comunicación, procesos comerciales, prestación de servicios y plataformas vinculadas. Su finalidad es ofrecer una información clara, transparente y accesible a clientes, potenciales clientes, usuarios, proveedores, partners, colaboradores y demás personas interesadas.

1. Identidad del responsable del tratamiento

En cumplimiento del Reglamento (UE) 2016/679, General de Protección de Datos, y de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, se informa de que el responsable del tratamiento es:

2. Ámbito de aplicación

Esta Política se aplica a los datos personales tratados en el marco de:

• La navegación por los sitios web corporativos y páginas asociadas.
• El envío de formularios de contacto, solicitudes de información, diagnósticos, propuestas o presupuestos.
• La relación precontractual o contractual con clientes, proveedores, partners, certificadoras, colaboradores y demás terceros.
• La prestación de servicios de consultoría, implantación, adecuación, mantenimiento, soporte y acompañamiento en sistemas de gestión, normas ISO, seguridad de la información, Esquema Nacional de Seguridad y procesos de certificación.
• El uso de plataformas, áreas privadas, herramientas colaborativas, canales de soporte, comunicaciones electrónicas y demás recursos tecnológicos habilitados por la organización.
• La remisión de comunicaciones informativas, técnicas, comerciales o de seguimiento, cuando exista base jurídica para ello.

3. Finalidades del tratamiento y bases jurídicas

Los datos personales se tratarán para las finalidades indicadas a continuación, aplicando en cada caso la base jurídica que corresponda:

4. Categorías de datos tratados

RACSO PARTNERS CONSULTING tratará únicamente los datos adecuados, pertinentes y limitados a lo necesario para cada finalidad. Según el caso, podrán tratarse las siguientes categorías de datos:

• Datos identificativos: nombre, apellidos, DNI/NIF cuando sea necesario, firma y datos de representación.
• Datos de contacto: correo electrónico, teléfono, dirección profesional, empresa u organización.
• Datos profesionales: cargo, área, funciones, relación con la organización, información de contacto corporativo.
• Datos contractuales, administrativos y económicos: propuestas, contratos, facturación, pagos, datos bancarios cuando proceda y documentación asociada.
• Datos vinculados a proyectos: información aportada por clientes o usuarios en el marco de servicios de consultoría, sistemas de gestión, seguridad de la información, ENS, ISO, auditorías, evidencias, planes de acción y documentación asociada.
• Datos de usuarios de plataformas: credenciales, roles, permisos, registros de acceso, actividad, incidencias, tickets, comentarios, documentos cargados y trazabilidad de operaciones.
• Datos técnicos y de navegación: dirección IP, identificadores de dispositivo, navegador, sistema operativo, fecha y hora de acceso, logs, cookies o tecnologías similares, conforme a la Política de Cookies aplicable.
• Datos de candidatos o colaboradores: información curricular, experiencia profesional, formación y datos de contacto, cuando sean facilitados voluntariamente.

Con carácter general, no se solicitan ni tratan categorías especiales de datos personales a través de los sitios web o formularios ordinarios. Si excepcionalmente se recibiera información de esta naturaleza, será tratada únicamente cuando exista una base jurídica válida y resulte estrictamente necesario.

5. Origen de los datos

Los datos personales podrán proceder de:

• La propia persona interesada, cuando contacta, solicita información, contrata servicios, accede a plataformas o participa en comunicaciones con la organización.
• La empresa, entidad u organización a la que pertenece la persona interesada, cuando facilita datos de contacto profesional para la gestión de una relación comercial, contractual o de prestación de servicios.
• Clientes, proveedores, partners, certificadoras, asesores, colaboradores o terceros autorizados, cuando resulte necesario para la correcta ejecución de los servicios contratados.
• Herramientas tecnológicas, sistemas de acceso, registros de actividad, formularios, CRM, correo electrónico, plataformas SaaS y otros canales autorizados por RACSO PARTNERS CONSULTING.

6. Destinatarios y encargados del tratamiento

No se venderán datos personales a terceros. Los datos podrán ser comunicados o puestos a disposición de terceros únicamente cuando exista una base jurídica que lo permita o sea necesario para la prestación del servicio, el cumplimiento de obligaciones legales o la gestión ordinaria de la actividad.

En particular, podrán acceder a los datos:

• Administraciones públicas, juzgados, tribunales, autoridades de control u organismos competentes, cuando exista obligación legal.
• Entidades financieras, asesorías, gestorías, servicios contables, fiscales, laborales o jurídicos, cuando sea necesario para la gestión administrativa o contractual.
• Proveedores tecnológicos, servicios cloud, alojamiento, correo electrónico, CRM, herramientas colaborativas, plataformas SaaS, soporte técnico y seguridad de la información.
• Certificadoras, auditores, partners técnicos o colaboradores profesionales, cuando su intervención sea necesaria en el marco de los servicios contratados por el cliente.
• Empresas u organizaciones cliente, cuando el tratamiento esté vinculado a usuarios, representantes, trabajadores o colaboradores incluidos en un proyecto contratado.

Cuando dichos terceros actúen como encargados del tratamiento, RACSO PARTNERS CONSULTING formalizará los acuerdos correspondientes conforme al artículo 28 del RGPD, exigiendo garantías adecuadas de confidencialidad, seguridad y protección de datos.

7. Tratamientos realizados por cuenta de clientes

En determinados servicios, RACSO PARTNERS CONSULTING podrá tratar datos personales por cuenta de sus clientes, por ejemplo, al acceder a documentación, evidencias, registros, plataformas, cuestionarios, informes, contactos internos o información asociada a procesos de consultoría, auditoría interna, sistemas de gestión, seguridad de la información, ENS o certificación.

En estos casos, el cliente actuará como responsable del tratamiento y RACSO PARTNERS CONSULTING actuará como encargado del tratamiento, de acuerdo con el contrato, encargo de tratamiento, acuerdo de confidencialidad o documentación contractual aplicable. Esta Política no sustituye a los acuerdos específicos que regulen dichos tratamientos por cuenta de terceros.

8. Transferencias internacionales de datos

RACSO PARTNERS CONSULTING priorizará el uso de proveedores y servicios que traten los datos dentro del Espacio Económico Europeo o en países que cuenten con un nivel adecuado de protección conforme a la normativa aplicable.

No obstante, algunos proveedores tecnológicos, servicios cloud, herramientas colaborativas, CRM, correo electrónico, analítica, soporte o plataformas SaaS pueden implicar transferencias internacionales de datos. Cuando estas se produzcan, se adoptarán las garantías adecuadas previstas en el RGPD, tales como decisiones de adecuación, cláusulas contractuales tipo, normas corporativas vinculantes u otros mecanismos legalmente válidos.

9. Plazos de conservación

Los datos personales se conservarán durante el tiempo necesario para cumplir con la finalidad para la que fueron recabados y, posteriormente, durante los plazos de prescripción legal, contractual o de responsabilidad que resulten aplicables. En particular:

10. Derechos de las personas interesadas

Las personas interesadas pueden ejercer, en los términos previstos por la normativa aplicable, los siguientes derechos:

• Derecho de acceso: conocer si se están tratando sus datos personales y obtener información sobre dicho tratamiento.
• Derecho de rectificación: solicitar la corrección de datos inexactos o incompletos.
• Derecho de supresión: solicitar la eliminación de sus datos cuando ya no sean necesarios o concurra otra causa legal.
• Derecho de oposición: oponerse a determinados tratamientos basados en interés legítimo o fines comerciales.
• Derecho de limitación del tratamiento: solicitar que los datos queden sujetos a restricciones de tratamiento en determinados supuestos.
• Derecho de portabilidad: recibir sus datos en un formato estructurado, de uso común y lectura mecánica, cuando proceda.
• Derecho a retirar el consentimiento: retirar el consentimiento otorgado sin que ello afecte a la licitud del tratamiento realizado con anterioridad.
• Derecho a no ser objeto de decisiones individuales automatizadas, incluida la elaboración de perfiles, cuando produzcan efectos jurídicos o afecten significativamente al interesado.

Para ejercer estos derechos, el interesado podrá enviar una comunicación escrita a administracion@ ciclosgroup.com, indicando el derecho que desea ejercer y acompañando, cuando sea necesario, información suficiente para acreditar su identidad.

Asimismo, el interesado tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos si considera que el tratamiento de sus datos no se ajusta a la normativa vigente: www.aepd.es.

11. Seguridad de los datos

RACSO PARTNERS CONSULTING aplica medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta la naturaleza de los datos tratados, el contexto, los fines del tratamiento, el estado de la técnica, los costes de aplicación y los riesgos para los derechos y libertades de las personas.

Entre otras medidas, podrán aplicarse controles de acceso, autenticación robusta, gestión de permisos, cifrado de comunicaciones, copias de seguridad, trazabilidad, registro de actividad, control de proveedores, medidas de confidencialidad, procedimientos internos, formación y concienciación, gestión de incidentes y revisiones periódicas de seguridad.

Cuando el tratamiento se realice en el marco de servicios relacionados con seguridad de la información o Esquema Nacional de Seguridad, las medidas aplicables se alinearán con los requisitos de seguridad correspondientes y con la Política de Seguridad de RACSO PARTNERS CONSULTING.

12. Confidencialidad

Todas las personas que intervienen en el tratamiento de datos personales bajo el control de RACSO PARTNERS CONSULTING están sujetas al deber de confidencialidad y al cumplimiento de las políticas, procedimientos e instrucciones internas aplicables.

Dicho deber subsistirá incluso después de finalizar la relación laboral, profesional, contractual o de colaboración que hubiera permitido el acceso a la información.

13. Veracidad y actualización de los datos

La persona interesada garantiza que los datos personales facilitados son veraces, exactos, completos y actualizados. Será responsable de comunicar cualquier modificación para que RACSO PARTNERS CONSULTING pueda mantener la información correctamente actualizada.

Cuando los datos sean facilitados por una empresa, entidad o tercero autorizado, este deberá garantizar que cuenta con una base jurídica válida para comunicar dichos datos y que ha informado adecuadamente a las personas afectadas cuando resulte exigible.

14. Menores de edad

Los sitios web, formularios, plataformas y servicios de RACSO PARTNERS CONSULTING no están dirigidos a menores de edad. Si la organización detecta que ha recibido datos personales de un menor sin la autorización correspondiente, adoptará las medidas oportunas para su supresión o regularización.

15. Cookies y tecnologías similares

Los sitios web de RACSO PARTNERS CONSULTING pueden utilizar cookies o tecnologías similares para garantizar su funcionamiento, mejorar la experiencia de usuario, analizar el uso del sitio o gestionar preferencias, de acuerdo con la Política de Cookies aplicable en cada sitio web.

Cuando el uso de cookies requiera consentimiento, se solicitará de forma previa y separada a través del mecanismo habilitado en el sitio web correspondiente.

16. Comunicaciones comerciales

RACSO PARTNERS CONSULTING podrá enviar comunicaciones comerciales o informativas relacionadas con sus servicios cuando exista consentimiento del interesado o una base jurídica que lo permita, especialmente en el contexto de relaciones profesionales o comerciales previas.

El interesado podrá oponerse o darse de baja de dichas comunicaciones en cualquier momento a través de los medios indicados en cada comunicación o escribiendo a administracion@ciclosgroup.com.

17. Decisiones automatizadas y elaboración de perfiles

RACSO PARTNERS CONSULTING no adopta decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre las personas interesadas o les afecten significativamente de modo similar.

Si en el futuro se llevaran a cabo tratamientos de esta naturaleza, se informará previamente al interesado conforme a la normativa aplicable.

18. Modificaciones de la Política de Privacidad

RACSO PARTNERS CONSULTING podrá modificar esta Política de Privacidad para adaptarla a cambios normativos, criterios de autoridades de control, cambios organizativos, nuevos tratamientos, evolución de los servicios, modificaciones tecnológicas o prácticas internas.

La versión vigente será la publicada en cada momento en los sitios web, plataformas o canales oficiales de la organización, indicando la fecha de actualización correspondiente.

19. Aprobación y entrada en vigor

La presente Política de Privacidad ha sido aprobada por la Dirección de RACSO PARTNERS CONSULTING, S.L.U. y entra en vigor desde el momento de su publicación.

Aprobada por la Dirección el 2 de octubre de 2026.

Política de cookies

RACSO PARTNERS CONSULTING, S.L.U. · CICLOS Group

Aplicable a las marcas comerciales CICLOS Group, Consultora ISO y Consultora ENS

Última actualización: 2 de octubre de 2026

En RACSO PARTNERS CONSULTING, S.L.U. queremos ofrecer una experiencia transparente, segura y clara sobre el uso de cookies y tecnologías similares en nuestros sitios web, formularios, páginas de captación, áreas privadas o plataformas vinculadas a nuestras marcas comerciales CICLOS Group, Consultora ISO y Consultora ENS.

Esta Política explica qué son las cookies, qué tipos pueden utilizarse, con qué finalidades, durante cuánto tiempo se conservan, quién puede gestionarlas y cómo puede el usuario aceptar, rechazar, configurar o revocar su consentimiento.

1. Identificación del responsable

El responsable del tratamiento de los datos personales que, en su caso, puedan tratarse mediante cookies es:

2. Qué son las cookies y tecnologías similares

Las cookies son pequeños archivos que se almacenan en el dispositivo del usuario cuando accede a un sitio web. Permiten, entre otras funciones, recordar determinadas preferencias, mantener la seguridad de la navegación, facilitar la autenticación, medir el uso del sitio o personalizar determinados contenidos.

También pueden utilizarse tecnologías similares, como píxeles, etiquetas, identificadores de dispositivo, almacenamiento local, scripts o herramientas de medición integradas en la web. A efectos de esta Política, todas estas tecnologías se denominan de forma conjunta "cookies".

3. Marco legal aplicable

El uso de cookies se rige principalmente por la normativa sobre servicios de la sociedad de la información y comercio electrónico, así como por la normativa de protección de datos personales cuando las cookies permitan identificar o hacer identificable a una persona física.

• • Las cookies técnicas o necesarias pueden instalarse sin consentimiento cuando sean imprescindibles para prestar el servicio solicitado por el usuario o para permitir el funcionamiento básico del sitio.
• • Las cookies de análisis, personalización, publicidad comportamental u otras finalidades no necesarias requieren el consentimiento previo, libre, específico, informado e inequívoco del usuario.
• • El usuario debe poder aceptar, rechazar o configurar las cookies no necesarias de forma clara y sencilla, así como retirar el consentimiento posteriormente.

4. Cookies que podemos utilizar

En función de la configuración de cada sitio web, campaña, formulario o plataforma, RACSO PARTNERS CONSULTING puede utilizar las siguientes categorías de cookies:

4.1. Cookies técnicas o necesarias

Permiten la navegación, el funcionamiento de la web, la seguridad, la gestión del consentimiento, el acceso a áreas privadas, la autenticación, el mantenimiento de sesión o la prevención de fraudes. No requieren consentimiento cuando son estrictamente necesarias.

4.2. Cookies de preferencias o personalización

Permiten recordar preferencias del usuario, como idioma, región, configuración de visualización o ajustes seleccionados. Cuando no sean estrictamente necesarias para prestar el servicio solicitado, requerirán consentimiento.

4.3. Cookies de análisis o medición

Permiten medir la actividad del sitio web, analizar el comportamiento agregado de navegación, conocer páginas visitadas, tiempo de permanencia, origen del tráfico o interacción con contenidos. Requieren consentimiento salvo que se configuren de forma estrictamente exenta conforme a la normativa aplicable.

4.4. Cookies publicitarias y de publicidad comportamental

Permiten gestionar espacios publicitarios, medir campañas, limitar impactos, crear perfiles de navegación o mostrar publicidad personalizada en función de hábitos o intereses. Requieren consentimiento previo del usuario.

4.5. Cookies de terceros y contenidos integrados

Pueden instalarse por proveedores externos cuando se integran servicios como analítica, mapas, vídeos, formularios, automatización comercial, publicidad, redes sociales, chat o herramientas de seguridad. Estos terceros pueden tratar datos conforme a sus propias políticas, sin perjuicio de los acuerdos y garantías exigibles.

5. Cookies propias y de terceros

• • Cookies propias: son gestionadas por RACSO PARTNERS CONSULTING, S.L.U. o por herramientas bajo su control directo.
• • Cookies de terceros: son gestionadas por proveedores externos que prestan servicios tecnológicos, de analítica, publicidad, formularios, automatización, contenidos o seguridad.

RACSO PARTNERS CONSULTING seleccionará proveedores que ofrezcan garantías adecuadas en materia de privacidad, seguridad, confidencialidad y cumplimiento normativo. Cuando resulte necesario, se formalizarán los correspondientes contratos de encargado del tratamiento o mecanismos equivalentes.

6. Relación orientativa de cookies utilizadas

La relación concreta de cookies puede variar en función de la configuración técnica de cada sitio web, subdominio, formulario, campaña, plugin, plataforma o herramienta integrada. La siguiente tabla recoge las cookies que pueden utilizarse o estar presentes en los entornos web de CICLOS Group, Consultora ISO y Consultora ENS. La organización deberá mantener este inventario actualizado cuando se incorporen, retiren o modifiquen cookies.

Nota: si una cookie incluida en la tabla no se encuentra activa en un sitio concreto, deberá eliminarse del inventario publicado. Si se detectan nuevas cookies mediante herramientas de auditoría o cambios técnicos, deberán incorporarse antes de su uso cuando proceda.

7. Consentimiento y configuración

Al acceder por primera vez a los sitios web de Consultora ISO o Consultora ENS, el usuario podrá visualizar un banner o panel de configuración de cookies que le permitirá:

• • Aceptar todas las cookies no necesarias.
• • Rechazar todas las cookies no necesarias.
• • Configurar las cookies por categorías o finalidades.
• • Obtener información adicional sobre esta Política de Cookies.

Las cookies no necesarias no se instalarán hasta que el usuario haya otorgado su consentimiento. La retirada del consentimiento será tan sencilla como su otorgamiento y podrá realizarse desde el enlace o apartado de "Configuración de cookies" habilitado en cada sitio web, cuando esté disponible.

8. Cómo gestionar o desactivar cookies desde el navegador

Además del panel de configuración del sitio web, el usuario puede permitir, bloquear o eliminar cookies desde la configuración del navegador que utilice. La desactivación de cookies técnicas puede afectar al funcionamiento normal de determinados servicios.

9. Conservación de cookies y consentimiento

Las cookies de sesión se eliminan al cerrar el navegador. Las cookies persistentes permanecen en el dispositivo durante el plazo definido para cada una o hasta que el usuario las elimine manualmente.

El consentimiento del usuario podrá conservarse durante el plazo previsto en la herramienta de gestión de consentimiento utilizada, sin perjuicio de que el usuario pueda modificar o retirar sus preferencias en cualquier momento.

10. Transferencias internacionales

Algunas cookies de terceros pueden implicar el tratamiento de datos por proveedores ubicados fuera del Espacio Económico Europeo o que utilicen infraestructuras internacionales. En tales casos, RACSO PARTNERS CONSULTING exigirá la aplicación de garantías adecuadas conforme a la normativa de protección de datos, como decisiones de adecuación, cláusulas contractuales tipo, medidas suplementarias u otros mecanismos válidos.

El usuario puede consultar información adicional sobre el tratamiento realizado por terceros en sus respectivas políticas de privacidad y cookies.

11. Relación con la Política de Privacidad

Cuando el uso de cookies implique el tratamiento de datos personales, dicho tratamiento se realizará conforme a la Política de Privacidad de RACSO PARTNERS CONSULTING, en la que se informa sobre finalidades, bases jurídicas, destinatarios, conservación, derechos de los interesados y medidas de seguridad aplicables.

12. Actualización de esta Política

RACSO PARTNERS CONSULTING podrá modificar esta Política de Cookies cuando se produzcan cambios legales, técnicos, funcionales, organizativos o de proveedores que afecten al uso de cookies o tecnologías similares.

Se recomienda revisar esta Política periódicamente. Cuando los cambios sean relevantes, se informará al usuario mediante los mecanismos disponibles en el sitio web o, en su caso, se solicitará nuevamente el consentimiento cuando resulte necesario.

Aprobada por la Dirección de RACSO PARTNERS CONSULTING, S.L.U. el 2 de octubre de 2026.

Política de Seguridad

RACSO PARTNERS CONSULTING, S.L.U. · CICLOS Group

1. Objetivo y fundamentos de la política: principios de seguridad

La información debe ser protegida durante todo su ciclo de vida, desde su recepción o creación, durante su procesamiento, comunicación, transporte, difusión y hasta su eventual borrado o destrucción. Por ello, RACSO PARTNERS CONSULTING establece los siguientes principios mínimos de seguridad:

1. Seguridad como proceso integral (art. 6)

La seguridad se entiende como un proceso integral constituido por todos los elementos humanos, materiales, técnicos, jurídicos y organizativos relacionados con el sistema de información. El tratamiento de la información estará presidido por este principio, que excluye cualquier actuación puntual o tratamiento coyuntural. Se prestará especial atención a la concienciación de las personas que intervienen en el proceso y de los responsables jerárquicos, para evitar que la ignorancia, la falta de organización, la ausencia de coordinación o las instrucciones inadecuadas constituyan fuentes de riesgo para la seguridad.

2. Gestión de la seguridad basada en los riesgos (art. 7)

El análisis y la gestión de los riesgos forman parte esencial del proceso de seguridad y constituyen una actividad continua y permanentemente actualizada. La gestión de riesgos permitirá mantener un entorno controlado, reduciendo los riesgos a niveles aceptables mediante la aplicación equilibrada y proporcionada de medidas de seguridad, atendiendo a la naturaleza de la información tratada, de los servicios prestados y de las amenazas existentes.

3. Prevención, detección, respuesta y conservación (art. 8)

La seguridad del sistema debe contemplar actuaciones de prevención, detección, respuesta y conservación, con el objetivo de minimizar vulnerabilidades y evitar que las amenazas se materialicen o, en caso de hacerlo, reducir su impacto sobre la información y los servicios. Las medidas de respuesta estarán orientadas a la restauración de la información y de los servicios afectados por incidentes de seguridad, garantizando la conservación de los datos e información en soporte electrónico durante todo su ciclo de vida.

4. Existencia de líneas de defensa (art. 9)

El sistema de información deberá disponer de una estrategia de protección constituida por múltiples capas de seguridad. Cuando una capa sea comprometida, las restantes deberán permitir una reacción adecuada frente al incidente, reducir la probabilidad de compromiso global del sistema y minimizar el impacto final. Las líneas de defensa estarán constituidas por medidas organizativas, físicas, lógicas y contractuales.

5. Vigilancia continua y reevaluación periódica (art. 10)

La vigilancia continua permitirá la detección de actividades o comportamientos anómalos y una respuesta oportuna. La evaluación periódica del estado de seguridad de los activos permitirá medir su evolución, detectar vulnerabilidades e identificar deficiencias de configuración. Las medidas de seguridad se reevaluarán y actualizarán periódicamente para adecuar su eficacia a la evolución de los riesgos, de los servicios y de los sistemas de protección.

6. Diferenciación de responsabilidades (art. 11)

En los sistemas de información se diferenciarán las responsabilidades asociadas a la información, los servicios, los sistemas, la seguridad y, cuando proceda, el tratamiento de datos personales. Esta diferenciación tiene como finalidad asegurar una adecuada segregación de funciones y evitar conflictos de interés en la toma de decisiones relacionadas con la seguridad.

2. Misión de la organización

RACSO PARTNERS CONSULTING desarrolla servicios de consultoría, implantación, adecuación, mantenimiento, soporte y acompañamiento en sistemas de gestión, seguridad de la información, cumplimiento normativo, Esquema Nacional de Seguridad, normas ISO y procesos de certificación.

Para alcanzar sus objetivos, RACSO PARTNERS CONSULTING asume su compromiso con la seguridad de la información y con la adecuada gestión de los sistemas de información utilizados en la prestación de sus servicios, con el fin de ofrecer a clientes, proveedores, partners, certificadoras, colaboradores y demás grupos de interés las mayores garantías en torno a la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información tratada.

Los sistemas de información deben ser administrados con diligencia, aplicando las medidas técnicas, organizativas y jurídicas adecuadas para protegerlos frente a daños accidentales o deliberados que puedan afectar a la información gestionada, a los servicios prestados o a la continuidad de la actividad.

El objetivo de la seguridad de la información es garantizar la calidad de la información y la prestación continuada de los servicios, actuando preventivamente, supervisando la actividad diaria y reaccionando con presteza ante incidentes de seguridad.

Los sistemas TIC utilizados por RACSO PARTNERS CONSULTING deberán estar protegidos frente a amenazas de rápida evolución que puedan incidir en la información, en los servicios prestados, en las plataformas utilizadas, en los repositorios documentales o en las comunicaciones con clientes, proveedores y demás partes interesadas.

Para defenderse de estas amenazas, la organización adopta una estrategia de seguridad basada en la gestión de riesgos, la mejora continua, la vigilancia periódica, la protección de los activos de información y el cumplimiento de los requisitos establecidos por el Esquema Nacional de Seguridad, así como de aquellos otros requisitos legales, contractuales, normativos o internos que resulten aplicables.

La organización es consciente de que la seguridad TIC forma parte integral de cada etapa del ciclo de vida de los sistemas, desde su concepción, selección y contratación, hasta su uso, mantenimiento, revisión y eventual retirada de servicio. Las personas que forman parte de RACSO PARTNERS CONSULTING deberán estar preparadas para prevenir, detectar, reaccionar y recuperarse frente a incidentes, conforme a los principios establecidos en el Esquema Nacional de Seguridad.

3. Alcance

Esta Política de Seguridad es de aplicación a todos los usuarios internos, colaboradores, prestadores de servicio, terceros autorizados y demás personas que accedan o participen en el tratamiento de información vinculada a la actividad de RACSO PARTNERS CONSULTING.

El alcance comprende los sistemas de información, aplicaciones, plataformas, herramientas, infraestructuras tecnológicas, servicios cloud, repositorios documentales, canales de comunicación y demás recursos utilizados para la prestación de los servicios de consultoría, implantación, adecuación, mantenimiento, soporte y acompañamiento en sistemas de gestión, seguridad de la información, cumplimiento normativo, Esquema Nacional de Seguridad, normas ISO, auditorías internas, análisis de riesgos, gestión documental, seguimiento de evidencias, planes de acción y procesos de certificación.

Esta Política se aplica a toda la información creada, recibida, tratada, almacenada, transmitida, compartida o gestionada por RACSO PARTNERS CONSULTING en el desarrollo de sus actividades, incluyendo información propia de la organización, información de clientes, proveedores, partners, certificadoras, colaboradores, personal interno y demás partes interesadas.

La aplicación de esta Política es independiente del soporte, formato, ubicación o sistema utilizado para el tratamiento de la información, incluyendo información en soporte electrónico, documental, plataformas SaaS, entornos cloud, herramientas colaborativas, comunicaciones electrónicas y cualquier otro medio autorizado por la organización.

Esta Política se aplica conforme a los requisitos establecidos en el Esquema Nacional de Seguridad, considerando la categorización de nivel Medio, y de forma alineada con los principios aplicables a la gestión de la seguridad de la información y a los sistemas de gestión implantados por la organización.

4. Objetivos

Por todo lo anteriormente expuesto, la Dirección establece los siguientes objetivos de seguridad de la información:

• Proporcionar un marco de actuación para proteger la información y los sistemas utilizados por RACSO PARTNERS CONSULTING.
• Aumentar la capacidad de resistencia y resiliencia de la organización frente a incidentes de seguridad.
• Asegurar la recuperación rápida y eficiente de los servicios frente a cualquier contingencia que pudiera poner en riesgo la continuidad de las operaciones.
• Prevenir incidentes de seguridad de la información en la medida en que sea técnica, organizativa y económicamente viable.
• Mitigar los riesgos de seguridad derivados de las actividades desarrolladas por la organización.
• Garantizar la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información.
• Asegurar el cumplimiento de los requisitos legales, normativos, contractuales y técnicos aplicables.
• Promover una cultura interna de seguridad, responsabilidad y mejora continua.
• Proteger la información de clientes, proveedores, partners, certificadoras y demás partes interesadas.
• Mantener los sistemas de gestión y seguridad de la información alineados con la evolución de los riesgos, los servicios y la actividad de la organización.

5. Marco normativo

Uno de los objetivos de RACSO PARTNERS CONSULTING es cumplir con los requisitos legales aplicables, con los requisitos normativos asumidos, con las obligaciones contractuales suscritas con clientes, proveedores y partners, y con los compromisos derivados de los servicios prestados.

El marco legal, regulatorio y normativo aplicable a la actividad de la organización incluye, entre otros:

• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.
• Reglamento (UE) 2016/679, General de Protección de Datos.
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
• Normativa nacional y europea aplicable en materia de protección de datos personales, seguridad de la información, servicios digitales y contratación de servicios tecnológicos.
• Requisitos contractuales asumidos con clientes, proveedores, partners, certificadoras y demás partes interesadas.
• Requisitos aplicables derivados de normas ISO, sistemas de gestión, seguridad de la información, continuidad, calidad, medio ambiente, seguridad y salud en el trabajo, inteligencia artificial u otras normas que formen parte de los servicios prestados o del sistema de gestión de la organización.
• Políticas, procedimientos, instrucciones internas y controles definidos por RACSO PARTNERS CONSULTING en el marco de su sistema de gestión y seguridad de la información.

Cuando una actividad concreta de RACSO PARTNERS CONSULTING esté sujeta a normativa sectorial adicional, dicha normativa será identificada, evaluada y mantenida actualizada dentro del sistema de gestión correspondiente.

6. Estructura y desarrollo de la política de seguridad

La estructura jerárquica de la documentación de seguridad es la siguiente:

• Política: define las metas y expectativas de seguridad, el tipo de gestión de la seguridad que se pretende lograr y los objetivos perseguidos.
• Normativa: tiene carácter obligatorio y establece lo que se debe hacer, uniformizando el uso de aspectos concretos del sistema.
• Procedimientos: determinan las acciones o tareas a realizar en el desempeño de un proceso relacionado con la seguridad y las personas o grupos responsables de su ejecución.
• Instrucciones técnicas y guías: determinan las acciones o tareas necesarias para completar una actividad o proceso concreto sobre una parte específica del sistema de información.
• Registros: constituyen las evidencias resultantes de la aplicación de la política, normativa, procedimientos, instrucciones y controles definidos.

7. Organización de la seguridad

Los diferentes roles, funciones y responsabilidades en materia de seguridad de la información están definidos en la documentación del sistema de gestión de RACSO PARTNERS CONSULTING, incluyendo el organigrama, la descripción de puestos de trabajo, las responsabilidades asignadas y los nombramientos correspondientes.

La organización garantiza la adecuada separación de funciones entre los roles vinculados a la información, los servicios, los sistemas, la seguridad y, cuando proceda, el tratamiento de datos personales.

8. Comité de Seguridad

El Comité de Seguridad es el órgano encargado de la gestión, coordinación, supervisión y mejora continua de la seguridad de la información dentro de RACSO PARTNERS CONSULTING.

Los miembros del Comité de Seguridad serán designados por la Dirección o por el propio Comité, de acuerdo con la estructura organizativa y la documentación interna aplicable.

El Comité de Seguridad estará integrado, al menos, por los siguientes roles, pudiendo coincidir varios de ellos en una misma persona cuando la dimensión de la organización así lo justifique y siempre que no se comprometa la adecuada segregación de funciones:

• Responsable del Servicio.
• Responsable de la Información.
• Responsable de Seguridad.
• Responsable del Sistema.
• Dirección.
• Responsable del Tratamiento, cuando afecte a datos personales.

El Comité de Seguridad se reunirá con carácter ordinario al menos una vez cada seis meses, y con carácter extraordinario cuando lo solicite alguno de sus miembros, cuando se produzcan cambios relevantes en los sistemas o servicios, o cuando se notifique un incidente de seguridad significativo.

Entre otras funciones, el Comité de Seguridad deberá:

1. Atender las necesidades, dudas e inquietudes que en materia de seguridad se planteen desde la Dirección y las diferentes áreas.
2. Informar y ser informado regularmente del estado de la seguridad de la información.
3. Promover la mejora continua del sistema de gestión de la seguridad de la información.
4. Elaborar la estrategia de evolución de la seguridad de la información.
5. Coordinar los esfuerzos internos para asegurar la coherencia de las actuaciones en materia de seguridad.
6. Analizar los resultados de auditorías, revisiones, evaluaciones de seguridad e incidentes.
7. Adoptar o proponer medidas correctivas y de mejora.
8. Revisar la Política de Seguridad para su aprobación por la Dirección.
9. Promover auditorías periódicas y revisiones de cumplimiento.
10. Priorizar actuaciones en materia de seguridad cuando existan limitaciones de recursos.
11. Resolver conflictos de responsabilidad entre los diferentes responsables y áreas.
12. Velar por la protección de la información y de los sistemas de información incluidos en el alcance.

9. Gestión de riesgos

Todos los sistemas sujetos a esta Política deberán contar con un análisis de riesgos proporcional a su naturaleza, criticidad, información tratada y servicios prestados.

El análisis de riesgos será revisado regularmente:

• Al menos una vez al año.
• Cuando cambie la información tratada.
• Cuando cambien los servicios prestados.
• Cuando se incorporen nuevas plataformas, herramientas o proveedores relevantes.
• Cuando se produzca un incidente grave de seguridad.
• Cuando se identifiquen vulnerabilidades relevantes.
• Cuando se produzcan cambios normativos, técnicos u organizativos que puedan afectar al nivel de riesgo.

Para la armonización de los análisis de riesgos relacionados con el ENS y con la seguridad de la información, el Comité de Seguridad establecerá criterios de valoración de referencia para los diferentes tipos de información, servicios, activos y sistemas incluidos en el alcance.

La organización aplicará medidas de seguridad proporcionadas a los riesgos identificados, buscando mantener el riesgo residual en niveles aceptables y alineados con los requisitos del Esquema Nacional de Seguridad y del sistema de gestión aplicable.

Para la realización del análisis de riesgos se tendrá en cuenta la metodología definida en la documentación interna del sistema de gestión de RACSO PARTNERS CONSULTING.

10. Gestión de personal

Todos los miembros de RACSO PARTNERS CONSULTING tienen la obligación de conocer y cumplir esta Política de Seguridad, siendo responsabilidad del Comité de Seguridad disponer los medios necesarios para que la información llegue a las personas afectadas.

Todas las personas de la organización deberán recibir acciones de concienciación en materia de seguridad al menos una vez al año. Se establecerán acciones de concienciación continua para atender a todas las personas de la organización, en particular a las de nueva incorporación.

Las personas con responsabilidad en el uso, operación, administración, gestión o supervisión de información bajo el alcance de esta Política recibirán formación para el manejo seguro de la información y los sistemas en la medida en que la necesiten para realizar su trabajo. La formación será obligatoria antes de asumir una responsabilidad, tanto si se trata de una primera asignación como si se produce un cambio de puesto o de responsabilidades.

11. Profesionalidad y seguridad de las personas

La seguridad de los sistemas es gestionada y revisada por el Comité de Seguridad, con el apoyo de personal interno y, cuando sea necesario, de personal externo especializado.

RACSO PARTNERS CONSULTING garantizará que las personas que intervienen en la gestión, uso, operación, administración o supervisión de los sistemas de información reciben la formación, información y concienciación necesarias para desempeñar sus funciones de forma segura.

La organización establecerá requisitos de cualificación, experiencia, formación y competencia adecuados a las responsabilidades asignadas, especialmente en aquellos roles vinculados a seguridad de la información, sistemas de gestión, ENS, protección de datos, administración de plataformas, gestión documental, auditorías internas y soporte a clientes.

12. Autorización y control de acceso

Se han definido estándares en materia de acceso a la información, redes, plataformas, servicios y repositorios documentales. El control de acceso a los sistemas y a la información se basa en los principios de necesidad de conocer y mínimo privilegio.

El acceso de las personas a la información estará vinculado a sus responsabilidades laborales, profesionales o contractuales y se revisará regularmente para detectar cualquier cambio y garantizar que los accesos estén alineados con las funciones asignadas.

Los accesos deberán ser autorizados, registrados, revisados y revocados cuando dejen de ser necesarios. La organización promoverá el uso de autenticación robusta, control de permisos, segregación de funciones y trazabilidad de accesos en los sistemas incluidos en el alcance.

13. Protección de las instalaciones

RACSO PARTNERS CONSULTING desarrolla su actividad principalmente en modalidad remota y mediante el uso de servicios cloud, plataformas SaaS, herramientas colaborativas y repositorios documentales autorizados.

La organización no dispone de instalaciones propias críticas en las que se alojen físicamente los sistemas de información incluidos en el alcance. En consecuencia, las medidas de seguridad física, ambiental, redundancia, disponibilidad y continuidad asociadas a la infraestructura tecnológica son gestionadas por los proveedores de servicios cloud y SaaS contratados.

No obstante, RACSO PARTNERS CONSULTING mantiene la responsabilidad sobre la selección, evaluación, autorización, uso seguro y seguimiento de dichos proveedores, asegurando que ofrecen garantías adecuadas en materia de seguridad, disponibilidad, continuidad, protección de la información y cumplimiento normativo.

Las personas de la organización deberán aplicar las medidas de seguridad establecidas para el trabajo remoto, incluyendo protección de equipos, control de acceso, confidencialidad de la información, uso de canales autorizados, bloqueo de sesión, custodia de credenciales y prevención frente a accesos no autorizados.

14. Adquisición de productos de seguridad y contratación de servicios de seguridad

Para la adquisición de productos, herramientas, plataformas o servicios tecnológicos, RACSO PARTNERS CONSULTING tendrá en cuenta criterios de seguridad, proporcionalidad, adecuación al riesgo, cumplimiento normativo, garantías contractuales, ubicación de la información, trazabilidad, control de acceso, continuidad, soporte y capacidad de integración con los sistemas existentes.

Cuando resulte aplicable, se valorará que los productos o servicios cuenten con certificaciones, acreditaciones, declaraciones de conformidad o garantías equivalentes relacionadas con la seguridad de la información, el Esquema Nacional de Seguridad, normas ISO u otros marcos reconocidos.

Para la contratación de servicios de seguridad, servicios cloud, plataformas SaaS o servicios tecnológicos relevantes, se aplicarán criterios de evaluación y control de proveedores, de acuerdo con la categoría del sistema, la criticidad del servicio y el nivel de riesgo asociado.

15. Mínimo privilegio

En RACSO PARTNERS CONSULTING los sistemas se diseñan, configuran y utilizan conforme al principio de seguridad por defecto. El sistema proporcionará la mínima funcionalidad requerida para que las funciones de operación, administración y registro de actividad sean las necesarias y únicamente accesibles por personas, ubicaciones, dispositivos o equipos autorizados.

Se eliminarán o desactivarán, mediante el control de la configuración, las funciones que sean innecesarias o inadecuadas para el fin perseguido. El uso ordinario del sistema deberá ser sencillo y seguro, de forma que una utilización insegura requiera de un acto consciente por parte del usuario.

Para ello, se aplicarán guías de configuración, bastionado o seguridad para las diferentes tecnologías, adaptadas a la categoría del sistema y al nivel de riesgo identificado.

16. Integridad y actualización del sistema

El sistema se evaluará de manera periódica para conocer en todo momento su estado de seguridad, tomando en consideración las especificaciones de los fabricantes, las vulnerabilidades, las deficiencias de configuración, las actualizaciones procedentes y la detección temprana de incidentes.

Todos los elementos relevantes del sistema requerirán autorización previa a su instalación, activación o uso. Las actualizaciones, cambios de configuración, incorporaciones de herramientas y modificaciones significativas deberán gestionarse de forma controlada, documentada y proporcionada al nivel de riesgo.

17. Protección de la información almacenada y en tránsito

RACSO PARTNERS CONSULTING prohíbe el uso, almacenamiento, transmisión o tratamiento de información incluida en el alcance fuera de los sistemas, plataformas, herramientas y canales autorizados por la organización.

Dado que la actividad se realiza principalmente mediante herramientas cloud y plataformas SaaS autorizadas, el acceso a la información se realizará mediante mecanismos seguros, autenticación robusta, control de usuarios, cifrado de comunicaciones y permisos ajustados a las responsabilidades asignadas.

No se permite la extracción, copia, descarga, almacenamiento local, envío por canales no autorizados o tratamiento externo de información protegida salvo autorización expresa y conforme a los procedimientos internos aplicables.

RACSO PARTNERS CONSULTING concienciará al personal y colaboradores sobre el cumplimiento de esta cláusula, que será aceptada y asumida por todas las personas con acceso a la información o a los sistemas incluidos en el alcance.

18. Prevención ante otros sistemas de información interconectados

RACSO PARTNERS CONSULTING protegerá el perímetro lógico de sus sistemas de información, especialmente en conexiones a internet, accesos remotos, integraciones con terceros, plataformas cloud, herramientas colaborativas y servicios SaaS.

La organización analizará y controlará los riesgos derivados de la interconexión con otros sistemas, clientes, proveedores, certificadoras, partners o servicios tecnológicos externos, con el fin de garantizar un nivel de seguridad adecuado.

Todos los accesos remotos deberán realizarse mediante canales seguros, cifrado de comunicaciones, autenticación robusta y mecanismos de control de acceso que limiten el uso a personas autorizadas.

Para la adecuada interconexión entre sistemas se estará a lo dispuesto en la normativa interna, en los procedimientos aplicables y, cuando corresponda, en las instrucciones técnicas de seguridad vigentes.

19. Registro de la actividad y prevención de código dañino

RACSO PARTNERS CONSULTING establecerá medidas para registrar, supervisar y revisar la actividad relevante en los sistemas incluidos en el alcance, de forma proporcionada a la naturaleza de los servicios, la criticidad de la información tratada y las capacidades ofrecidas por las plataformas utilizadas.

Cuando los sistemas estén soportados por proveedores cloud o SaaS, la organización tendrá en cuenta las capacidades de registro, trazabilidad, monitorización, detección y prevención ofrecidas por dichos proveedores, sin perjuicio de las responsabilidades internas de control, revisión y gestión de incidentes.

Al objeto de preservar la seguridad de los sistemas de información, se podrán analizar, en la medida estrictamente necesaria y proporcionada, las comunicaciones, accesos, eventos o actividades relevantes para impedir accesos no autorizados, detectar usos indebidos, prevenir ataques, identificar código dañino, investigar incidentes y exigir las responsabilidades que correspondan.

Cada usuario que acceda a los sistemas de información deberá estar identificado de forma única, de modo que pueda conocerse quién recibe derechos de acceso, qué tipo de permisos tiene asignados y qué actividades relevantes ha realizado.

20. Incidentes de seguridad

Cualquier evento que pueda comprometer la confidencialidad, integridad, disponibilidad, autenticidad o trazabilidad de la información será considerado un incidente de seguridad.

RACSO PARTNERS CONSULTING dispone de un procedimiento de gestión de incidentes de seguridad que permite identificar, registrar, clasificar, analizar, contener, resolver, documentar y revisar los incidentes que puedan afectar a la información o a los sistemas incluidos en el alcance.

Cuando el incidente afecte a servicios prestados por proveedores cloud, SaaS o terceros, se activarán los canales de comunicación y coordinación correspondientes para asegurar una respuesta eficaz.

Los incidentes de seguridad serán gestionados hasta su resolución, recopilando las evidencias necesarias para su análisis posterior, comunicación, aprendizaje y mejora continua.

Cuando proceda, se realizarán las comunicaciones oportunas a clientes, proveedores, autoridades competentes, responsables del tratamiento, encargados del tratamiento o demás partes interesadas, de acuerdo con los requisitos legales, contractuales y normativos aplicables.

21. Continuidad de la actividad

RACSO PARTNERS CONSULTING establecerá medidas orientadas a garantizar la continuidad de sus actividades y la recuperación de los servicios ante situaciones de contingencia, indisponibilidad, pérdida de información, fallo de proveedores, incidentes de seguridad o cualquier otra circunstancia que pudiera afectar al normal desarrollo de la actividad.

La organización asegurará que los sistemas, plataformas y servicios utilizados cuentan con mecanismos adecuados de copia de seguridad, recuperación, disponibilidad, redundancia o continuidad, ya sea mediante medidas propias o mediante garantías ofrecidas por proveedores autorizados.

La continuidad de la actividad será revisada periódicamente y, cuando sea necesario, se realizarán pruebas, revisiones o simulaciones para verificar la eficacia de las medidas establecidas.

22. Mejora continua del proceso de seguridad

RACSO PARTNERS CONSULTING tiene establecido un proceso de mejora continua de la seguridad de la información, aplicando los criterios y metodología establecidos en el Esquema Nacional de Seguridad y en su sistema de gestión interno.

La mejora continua se apoyará en la revisión de riesgos, incidentes, auditorías, evaluaciones internas, cambios normativos, resultados de controles, necesidades de clientes y evolución de los servicios prestados.

23. Terceras partes

Cuando RACSO PARTNERS CONSULTING preste servicios a clientes, organismos, entidades públicas, empresas privadas, partners o cualquier otra organización, y para ello maneje información de dichas partes, se les hará partícipes de los criterios de seguridad aplicables cuando proceda, estableciendo los canales adecuados para la comunicación, coordinación y gestión de incidentes.

Cuando la organización utilice servicios de terceros o comparta información con proveedores, plataformas, certificadoras, partners o colaboradores, dichas terceras partes deberán ofrecer garantías adecuadas de seguridad, confidencialidad, protección de datos, continuidad y cumplimiento normativo, de acuerdo con la naturaleza del servicio prestado y el nivel de riesgo asociado.

Las terceras partes quedarán sujetas a las obligaciones contractuales, normativas y operativas que les resulten aplicables, pudiendo desarrollar sus propios procedimientos operativos siempre que satisfagan los requisitos exigidos por RACSO PARTNERS CONSULTING.

Se garantizará que el personal de terceros que acceda a información o sistemas incluidos en el alcance está adecuadamente informado y concienciado en materia de seguridad, al menos en el nivel necesario para el servicio prestado.

Cuando algún aspecto de la Política no pueda ser satisfecho por una tercera parte conforme a lo requerido, se analizarán los riesgos asociados y se establecerán las medidas de tratamiento necesarias antes de continuar con la contratación, prestación del servicio o cesión de información.

24. Aprobación y entrada en vigor

La presente Política de Seguridad ha sido aprobada por la Dirección de RACSO PARTNERS CONSULTING y entra en vigor desde el momento de su aprobación y publicación interna.

La Política será revisada, al menos, una vez al año o cuando se produzcan cambios relevantes en la organización, en los sistemas de información, en los servicios prestados, en los requisitos normativos aplicables o en el nivel de riesgo identificado.

Aprobada por la Dirección el 16 de febrero de 2026.

Política Integrada de Calidad, Medio Ambiente y Seguridad de la Información

RACSO PARTNERS CONSULTING, S.L.U. · CICLOS Group

1. Objeto

La Dirección de RACSO PARTNERS CONSULTING establece esta Política Integrada como marco de referencia para el desarrollo de sus actividades y proyectos, asumiendo el compromiso de ofrecer servicios de alta calidad, orientados a la satisfacción del cliente, al respeto por el medio ambiente y a la protección de la información.

La presente Política forma parte del Sistema de Gestión Integrado de la organización y se fundamenta en un modelo de negocio basado en el conocimiento, la innovación, la digitalización, la eficiencia operativa, la seguridad de la información y la mejora continua.

2. Alcance

Esta Política es de aplicación a las actividades desarrolladas por RACSO PARTNERS CONSULTING en la prestación de servicios de consultoría, implantación, adecuación, mantenimiento, soporte y acompañamiento en sistemas de gestión, seguridad de la información, cumplimiento normativo, Esquema Nacional de Seguridad, normas ISO, auditorías internas, gestión documental, análisis de riesgos, seguimiento de evidencias, planes de acción y procesos de certificación.

Asimismo, aplica a las personas que trabajan bajo el control de la organización, colaboradores externos, proveedores y partners que participen en la prestación de los servicios, así como a la información propia y de terceros gestionada en el desarrollo de las actividades.

La Política integra los compromisos aplicables en materia de calidad, medio ambiente y seguridad de la información, y constituye el marco para establecer, revisar y mejorar los objetivos del Sistema de Gestión Integrado.

3. Compromisos de la Dirección

Con este propósito, RACSO PARTNERS CONSULTING se compromete a:

Satisfacción del cliente y calidad del servicio: proporcionar servicios que cumplan con los requisitos del cliente, los requisitos legales y reglamentarios aplicables, los compromisos contractuales asumidos y otros requisitos que la organización suscriba, asegurando una prestación ordenada, trazable y orientada a resultados.

Cumplimiento normativo y técnico: identificar, evaluar y cumplir los requisitos aplicables a sus actividades, incluidos aquellos relativos a sistemas de gestión, seguridad de la información, protección de datos, Esquema Nacional de Seguridad y normas ISO cuando resulten de aplicación.

Enfoque a procesos y proyectos: mantener una gestión basada en procesos y proyectos, asegurando la adecuada planificación, ejecución, seguimiento, control y validación de los servicios prestados, integrando criterios de calidad, medio ambiente y seguridad de la información en cada etapa.

Mejora continua: fomentar la mejora continua del Sistema de Gestión Integrado, de los procesos, de la calidad del servicio, del desempeño ambiental y de la seguridad de la información mediante la evaluación periódica, la gestión de riesgos, la revisión de indicadores, la auditoría interna y la adopción de acciones correctivas y de mejora.

Gestión ambiental responsable: identificar y evaluar los aspectos ambientales asociados a las actividades de la organización, estableciendo controles operacionales adecuados para prevenir, reducir o mantener bajo control los impactos ambientales significativos.

Cumplimiento ambiental: cumplir con los requisitos legales ambientales y otros compromisos ambientales aplicables, evaluando periódicamente su grado de cumplimiento y promoviendo una gestión ambiental coherente con la actividad de la organización.

Uso eficiente de recursos: promover el uso eficiente de los recursos, la digitalización de los procesos, la reducción del consumo de papel, la optimización de desplazamientos, la gestión responsable de residuos y la minimización del impacto ambiental derivado de la actividad.

Seguridad de la información: proteger la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información gestionada en el desarrollo de las actividades, mediante controles técnicos y organizativos proporcionales a los riesgos identificados.

Gestión de riesgos: gestionar los riesgos y oportunidades relacionados con la calidad, el medio ambiente y la seguridad de la información mediante metodologías adecuadas para su identificación, análisis, tratamiento, seguimiento y revisión.

Competencia y concienciación: asegurar la competencia, formación, concienciación y participación de las personas que trabajan bajo el control de la organización, así como de los colaboradores externos que participan en la prestación de los servicios.

Relación con proveedores y partners: promover relaciones responsables con proveedores, certificadoras, partners técnicos y colaboradores, integrando criterios de calidad, sostenibilidad, seguridad de la información y cumplimiento normativo en su selección, supervisión y evaluación.

Protección de la información de clientes y partes interesadas: garantizar un tratamiento diligente, seguro y confidencial de la información de clientes, proveedores, partners, certificadoras, personal interno y demás partes interesadas, con independencia del soporte, sistema o canal utilizado.

4. Seguridad de la información y ENS

La presente Política se complementa con la Política de Seguridad, documento específico que desarrolla los principios, responsabilidades, directrices y medidas aplicables a la gestión de la seguridad de la información y al cumplimiento del Esquema Nacional de Seguridad cuando proceda.

RACSO PARTNERS CONSULTING considera la seguridad de la información como un elemento transversal del Sistema de Gestión Integrado y como una condición esencial para prestar servicios fiables, proteger la información gestionada y mantener la confianza de clientes, colaboradores, proveedores y demás partes interesadas.

5. Objetivos del Sistema de Gestión Integrado

Esta Política constituye el marco de referencia para el establecimiento, revisión y seguimiento de los objetivos de calidad, ambientales y de seguridad de la información.

Los objetivos serán coherentes con el contexto de la organización, la estrategia empresarial, las necesidades de las partes interesadas, los riesgos y oportunidades identificados, los requisitos legales y normativos aplicables, y los compromisos asumidos por la Dirección.

6. Comunicación y disponibilidad

La Dirección se compromete a comunicar esta Política a todas las personas que trabajan bajo el control de RACSO PARTNERS CONSULTING y a ponerla a disposición de las partes interesadas pertinentes cuando resulte necesario.

Todas las personas que participen en la prestación de los servicios deberán conocer, asumir y aplicar los compromisos establecidos en esta Política en el desarrollo de sus funciones.

7. Revisión y mejora

La Dirección de RACSO PARTNERS CONSULTING se compromete a revisar periódicamente esta Política para asegurar su continua adecuación al contexto, a la estrategia, a la evolución de las actividades de la organización, a los requisitos aplicables y al desempeño del Sistema de Gestión Integrado.

La revisión de la Política se realizará, al menos, una vez al año o cuando se produzcan cambios significativos en la organización, en los servicios prestados, en el marco normativo aplicable o en los riesgos identificados.

8. Aprobación y entrada en vigor

La presente Política Integrada ha sido aprobada por la Dirección de RACSO PARTNERS CONSULTING y entra en vigor desde el momento de su aprobación y publicación interna.