HU012

Identificador	HU012
Nombre	Seguridad y privacidad de datos
Descripción	Como trabajador usuario del sistema, quiero que mis datos personales, laborales y fisiológicos sean protegidos mediante mecanismos de seguridad, cifrado y controles de acceso, para garantizar la confidencialidad de mi información, evitar su consulta o divulgación por personas no autorizadas y asegurar que su tratamiento se realice de acuerdo con las políticas de privacidad y la normativa vigente sobre protección de datos personales.
Criterios de aceptación	* El sistema debe proteger los datos personales, laborales, fisiológicos y las respuestas de los cuestionarios mediante mecanismos de seguridad que impidan el acceso no autorizado
	*El sistema debe autenticar a los usuarios antes de permitir el acceso a la información y restringir las funcionalidades y los datos disponibles de acuerdo con el rol asignado, conforme a la HU020.
	* La información individual de cada trabajador solo debe estar disponible para el propio trabajador y para los procesos estrictamente autorizados que requiera el funcionamiento del sistema. El personal de SST o Talento Humano solo podrá consultar información agregada y anónima, conforme a la HU010.
	* Los datos transmitidos entre la aplicación móvil, el servicio de procesamiento y los mecanismos de almacenamiento deben utilizar canales de comunicación seguros y mecanismos de cifrado adecuados.
	* Las contraseñas y demás credenciales de autenticación no deben almacenarse en texto plano; deben utilizar mecanismos seguros de almacenamiento y verificación.
	* El sistema debe solicitar y registrar el consentimiento del usuario para el tratamiento de sus datos personales, informando de manera clara la finalidad de la recolección, el uso de la información y los destinatarios autorizados, conforme a la HU001.
	* El sistema debe registrar los eventos relevantes de acceso y las acciones administrativas sobre información protegida, sin incluir contraseñas, credenciales ni datos sensibles innecesarios en los registros.
	* El sistema debe impedir que usuarios sin los permisos correspondientes consulten, modifiquen, descarguen o eliminen información protegida.
	* La información exportada o incluida en reportes organizacionales debe conservar las medidas de anonimización establecidas, evitando la identificación directa o indirecta de los trabajadores.
	* El sistema debe contar con procedimientos de respaldo y recuperación que permitan proteger la integridad y disponibilidad de la información ante fallos, pérdida de datos o incidentes de seguridad.
	* El tratamiento, almacenamiento y eliminación de los datos deben respetar las políticas de conservación y los derechos de los titulares, de acuerdo con la normativa colombiana aplicable sobre protección de datos personales.
Mockups
Autor	Fabián Daniel Hernández Prieto

Validación INVEST

Revisor(a): Sandra Carolina Bohórquez Díaz (@sbohorquezd) · Fecha de revisión: dd/mm/aaaa · Resultado: Pendiente

Criterio	¿Cumple?	Justificación	Acción correctiva	Solucionado
I — Independiente	Sí / No			Sí / No / N. A.
N — Negociable	Sí / No			Sí / No / N. A.
V — Valiosa	Sí / No			Sí / No / N. A.
E — Estimable	Sí / No			Sí / No / N. A.
S — Pequeña	Sí / No			Sí / No / N. A.
T — Comprobable	Sí / No			Sí / No / N. A.

Relacionada: RNF02