Estos procedimientos complementan el Aviso de privacidad: explican cómo se atienden los derechos de las personas, cuánto tiempo se guarda cada dato, qué se hace ante un incidente de seguridad y qué se compromete con cada institución usuaria, conforme a la Ley 8968 de Costa Rica y su reglamento.
A. Cómo ejercer tus derechos
| Derecho | Cómo se ejerce | Quién lo atiende | Plazo |
|---|---|---|---|
| Acceso | «Descargar mis datos», en Mis datos y privacidad de tu perfil: un archivo con tu cuenta, tu perfil, lo que escribiste o subiste, tu actividad, tus conversaciones con el asistente, tus avisos y tus inicios de sesión | La propia persona, en el momento | Inmediato |
| Rectificación | Tu perfil, para tus datos de cuenta; la persona Gestora de tu institución, para unidades, puestos y comités | La persona o la Gestora | Inmediato |
| Supresión (cancelación) | Un correo a info@aim-he.com desde el correo de tu cuenta | El equipo de AIM-HE, en coordinación con tu institución | 5 días hábiles |
| Oposición y retiro del consentimiento | Un correo a info@aim-he.com | El equipo de AIM-HE | 5 días hábiles |
Los plazos se cuentan en días hábiles, desde el día siguiente a recibir la solicitud. Si hace falta información adicional, se pide una sola vez dentro de esos cinco días, y el plazo vuelve a correr desde el día siguiente a recibirla (Reglamento de la Ley 8968, arts. 18 y 19). Al retirar el consentimiento, dentro del mismo plazo se avisa a quienes hayan recibido los datos, como los subencargados (art. 8).
Procedimiento de supresión:
- Recepción. La solicitud llega a info@aim-he.com. Si llega de otro correo, se pide confirmarla desde el correo de la cuenta.
- Verificación. Se confirma la identidad y se informa a la persona Gestora de la institución.
- Ejecución.
- Se desactiva la cuenta.
- Se eliminan la foto, el correo adicional, las conversaciones con el asistente, los avisos y el registro de inicios de sesión.
- En el registro de auditoría de la institución, el nombre y el correo se reemplazan por un identificador anónimo («Persona eliminada n.º …»). El registro de quién cambió qué es la auditoría de la institución y se conserva, pero deja de identificar a la persona.
- Los comentarios y el contenido de trabajo pertenecen a la institución y se conservan sin el nombre de la persona.
- Respuesta. Se confirma por correo lo que se hizo, dentro del plazo.
- Constancia. Se registra la atención de la solicitud, sin datos personales adicionales.
Las copias de respaldo que contengan los datos se eliminan solas al cumplir 30 días.
B. Plazos de conservación
| Dato | Plazo | Cómo se aplica |
|---|---|---|
| Cuenta y contenido de trabajo | Mientras la institución mantenga el servicio, más 6 meses para exportarlo | Al terminar, se elimina la institución completa |
| Registro de actividad (trazabilidad) | Mientras exista la institución | Es su auditoría institucional |
| Inicios de sesión e intentos fallidos | 12 meses | Eliminación automática diaria |
| Sesiones vencidas | Al vencer | Eliminación automática diaria |
| Conversaciones con el asistente de IA | 12 meses desde el último mensaje | Eliminación automática diaria |
| Solicitudes de acceso rechazadas | 6 meses | Eliminación automática diaria |
| Respaldos de la base de datos y de los archivos | 30 días | Eliminación automática diaria, con acceso restringido |
C. Respuesta ante un incidente de seguridad
- Contener, en las primeras 24 horas.
- Revocar las credenciales comprometidas.
- Cerrar todas las sesiones.
- Rotar las claves de la aplicación y del proveedor de IA si quedaron expuestas.
- Aislar el servicio si hace falta.
- Evaluar qué datos se vieron afectados, de qué instituciones y de cuántas personas. El registro de auditoría y los registros del servidor permiten reconstruirlo. Esta revisión exhaustiva se inicia dentro del mismo plazo de cinco días hábiles (art. 38).
-
Notificar:
- a cada institución afectada, sin demora;
- a las personas afectadas y a la Agencia de Protección de Datos de los Habitantes (PRODHAB), dentro de los cinco días hábiles siguientes a que ocurrió la vulneración (Reglamento de la Ley 8968, art. 38); si se descubre después de ese plazo, de inmediato.
La notificación incluye, como mínimo, la naturaleza del incidente, los datos personales comprometidos, las acciones correctivas tomadas de inmediato y dónde obtener más información (art. 39), además de lo que la persona puede hacer.
-
Corregir y documentar la causa, la corrección y la verificación de que no se repite.
D. Compromisos con cada institución usuaria
- Roles. La institución es la responsable de sus datos; AIM-HE actúa como encargado.
- Finalidad limitada. Los datos se usan solo para prestar el servicio AIM-HE y, en forma agregada o anonimizada, para la investigación doctoral que le da origen.
- Subencargados. Microsoft Azure (alojamiento), Anthropic (asistente de IA), Google (correo y tipografías) y Cloudflare (verificación anti-robots). Cualquier cambio se avisa con anticipación.
- Seguridad. Separación estricta entre instituciones, cifrado en tránsito, control de acceso por rol y por unidad, auditoría de cada cambio y respaldos diarios (ver el Aviso de privacidad, sección 9).
- Al terminar el servicio. La institución puede exportar su información (CSV y PDF por módulo). Pasados 6 meses, se elimina por completo y se confirma por escrito.
- Apoyo para atender los derechos de las personas (sección A) y para notificar incidentes (sección C).
- Confidencialidad de quienes operan la plataforma.
Contacto: info@aim-he.com.
Última actualización: 15 de octubre de 2026.