Seguridad y protección de datos en Sphera

Información para clientes sobre el uso del reconocimiento facial en el control de acceso

En resumen

• Sphera usa el reconocimiento facial solo para identificar a las personas autorizadas a ingresar a su centro deportivo.
• Cada persona acepta y firma un consentimiento informado la primera vez que se registra en la aplicación, antes de que se capture cualquier dato.
• El reconocimiento facial es opcional: quien prefiera no usarlo puede ingresar con la asistencia del personal del centro.
• Se registra una imagen inicial por persona. A partir de ella, el sistema genera una representación biométrica (plantilla) que sirve para el reconocimiento.
• No guardamos fotografías de cada ingreso ni un historial fotográfico de los accesos.
• La información de identificación se almacena en los equipos de acceso instalados y en servidores privados de MNT ubicados en Costa Rica.
• Las comunicaciones y los servicios de la solución están protegidos con Cloudflare, un proveedor que cuenta con certificación ISO/IEC 27001.
• Solo el personal de Tecnologías de Información de MNT tiene acceso a la infraestructura, bajo acuerdos de confidencialidad y procedimientos internos.
• MNT no comercializa datos personales por ningún motivo.
• Los datos pertenecen a cada persona; el centro deportivo los administra y MNT presta la plataforma tecnológica.
• El centro deportivo puede eliminar de inmediato la información de identificación de una persona desde Sphera.

1. Nuestro compromiso

En MNT sabemos que confiarnos el control de acceso de su centro deportivo significa confiarnos también información de sus clientes. Por eso Sphera está diseñada para utilizar los datos que la función de acceso necesita, únicamente con ese fin y bajo controles definidos.

Esta ficha explica, en un lenguaje claro, qué información se utiliza, para qué, dónde se guarda, cómo se protege y qué ocurre cuando una persona deja de tener acceso. Puede usarla para responder las consultas de sus clientes y de su equipo.

2. ¿Qué es Sphera?

Sphera es el software de gestión para centros deportivos desarrollado por MNT. Reúne en una misma plataforma la administración del centro (clientes, membresías, cobros y operación diaria) y el control de acceso mediante reconocimiento facial.

El reconocimiento facial permite que cada persona ingrese de forma ágil, sin tarjetas, llaveros ni códigos que puedan perderse, prestarse o duplicarse. Así, el acceso queda vinculado a la persona autorizada y el centro sabe que quien entra es quien tiene derecho a hacerlo.

3. Consentimiento informado y libertad de elección

Antes de capturar cualquier información de identificación, Sphera presenta a cada persona, la primera vez que ingresa a la aplicación, el documento de consentimiento informado. Ahí se explica el uso que se dará a su información.

La persona lee el documento y, si está de acuerdo, lo firma digitalmente. Sin esa firma, el registro facial no continúa y no se captura ningún dato de identificación facial.

El reconocimiento facial es una opción de identificación rápida y eficiente, no una obligación. Quien prefiera no compartir su información para este fin puede acercarse a la recepción del centro deportivo, donde el personal le facilitará el ingreso o le indicará los mecanismos alternativos que el centro tenga disponibles.

Así, nadie queda registrado en el sistema de reconocimiento facial sin haber sido informado y sin haber dado su aceptación expresa, y nadie pierde el acceso al centro por decidir no hacerlo.

4. ¿Qué información utiliza el reconocimiento facial?

Al registrar a una persona en Sphera, se toma una imagen inicial de su rostro. Esta imagen es la referencia que permite identificarla en sus siguientes ingresos.

A partir de esa imagen, el sistema genera una representación o plantilla biométrica: un conjunto de datos que describe rasgos del rostro y que el equipo de acceso utiliza para comparar y confirmar la identidad en el momento del ingreso.

La imagen inicial y la plantilla se conservan solo mientras la persona tenga un acceso activo en el centro deportivo.

En cada ingreso, el equipo compara el rostro de la persona con la información registrada y decide si autoriza o no el paso. Este proceso sirve exclusivamente para verificar la identidad con fines de acceso.

5. Lo que no almacenamos

Este punto genera muchas consultas, así que lo explicamos con claridad: Sphera no guarda una fotografía cada vez que una persona ingresa. No se crea un álbum de fotos de los accesos ni un historial fotográfico de entradas y salidas.

Para el reconocimiento se utiliza la información de identificación registrada al inicio. Los ingresos posteriores no acumulan nuevas imágenes del cliente en el sistema.

6. ¿Para qué se usan los datos?

La información de identificación facial se usa con un solo fin: identificar a las personas autorizadas y gestionar su acceso a las instalaciones del centro deportivo. En concreto, sirve para:

• Confirmar que quien intenta ingresar es una persona registrada en el centro.
• Permitir o denegar el paso según el estado de su acceso en Sphera.
• Evitar el uso indebido de credenciales físicas que puedan prestarse o extraviarse.

MNT no comercializa datos personales por ningún motivo. La información no se vende, no se cede a terceros con fines comerciales y no se utiliza para publicidad.

7. ¿A quién pertenece la información?

Los datos personales pertenecen a cada persona. El centro deportivo es quien administra la información de sus clientes y decide sobre ella: registra a las personas, gestiona sus accesos, atiende sus solicitudes y conserva los registros que su operación y la ley le exigen.

El centro puede descargar y exportar su información desde Sphera en cualquier momento. La información que el centro exporta y conserva fuera de la plataforma queda bajo su administración y responsabilidad, conforme a sus propios procedimientos y a la legislación de su país.

MNT actúa como proveedor tecnológico. Facilita la plataforma y la infraestructura para que la información se gestione de forma segura dentro de Sphera, y la utiliza únicamente para prestar el servicio.

8. Información biométrica e información administrativa: dos cosas distintas

Para gestionar un centro deportivo se necesita información administrativa: datos de contacto, tipo de membresía, vigencia, pagos y registro de asistencia, entre otros. Estos registros son propios de la operación del centro.

La información biométrica (la imagen de registro y la plantilla derivada de ella) cumple otra función: identificar a la persona en el punto de acceso. Ambos tipos de información se tratan como conceptos distintos dentro de la solución y tienen reglas de conservación diferentes:

• La información biométrica se conserva solo mientras el acceso de la persona esté activo.
• Los registros administrativos e históricos corresponden al centro deportivo, que los conserva según las obligaciones legales de su país y sus propios procedimientos.

9. ¿Dónde se almacena la información de identificación?

La información de identificación facial se almacena en dos lugares:

• En los equipos de acceso instalados en el centro deportivo, que la necesitan para reconocer a la persona en el momento del ingreso.
• En servidores privados de MNT ubicados en Costa Rica, desde los que se administra y sincroniza la información de la solución Sphera.

Como la información reside en infraestructura propia y no en servicios de almacenamiento compartidos, MNT mantiene la administración directa del entorno donde se guarda.

Por razones de seguridad no publicamos detalles técnicos de la infraestructura, como direcciones, configuraciones o la arquitectura interna. Esta reserva es una práctica habitual de protección: cuanta menos información técnica se expone, menor es la superficie de riesgo.

10. ¿Cómo se protege la información?

La protección de Sphera combina varias capas:

Infraestructura propia en Costa Rica. La información de identificación se aloja en servidores privados administrados por MNT.

Acceso restringido. Solo el personal de Tecnologías de Información de MNT tiene acceso a la infraestructura. Este personal trabaja bajo acuerdos de confidencialidad y privacidad de la información y sigue procedimientos internos definidos para el tratamiento de los datos.

Protección de comunicaciones y servicios con Cloudflare. MNT utiliza los servicios de Cloudflare para proteger las comunicaciones y los servicios de la solución. Cloudflare es un proveedor de seguridad y red de alcance mundial que cuenta con la certificación ISO/IEC 27001, la norma internacional de referencia para los sistemas de gestión de seguridad de la información. Esta certificación corresponde a Cloudflare como proveedor.

Información limitada a su finalidad. No guardar fotografías de cada ingreso y conservar la información biométrica solo mientras el acceso esté activo reduce la cantidad de información sensible que existe en el sistema. Menos información almacenada significa menos información expuesta.

Respaldos con plazo definido. Para garantizar la continuidad del servicio, la infraestructura de MNT mantiene respaldos que se renuevan en ciclos de hasta 90 días. Cumplido ese ciclo, los respaldos anteriores se reemplazan, por lo que la información eliminada no permanece en ellos de forma indefinida.

Control en manos del centro deportivo. Las altas, modificaciones y bajas de acceso se gestionan desde Sphera, de modo que el centro decide quién tiene acceso y cuándo deja de tenerlo.

Ningún sistema conectado puede garantizar un riesgo nulo. Nuestro compromiso es aplicar medidas de protección adecuadas a la información que tratamos y revisarlas a medida que la solución evoluciona.

11. ¿Qué ocurre cuando una persona deja de tener acceso?

El centro deportivo puede eliminar de inmediato desde Sphera la información de identificación de una persona. Al hacerlo:

• La imagen de registro y la plantilla biométrica se eliminan de la base de datos operativa de Sphera, sin que quede registro de ellas en la plataforma.
• La información de identificación se elimina también de los equipos de acceso del centro.
• A partir de ese momento, el sistema deja de reconocer a esa persona.

Los registros administrativos del centro, que son distintos de la información biométrica, se manejan según los procedimientos de cada centro deportivo y las obligaciones legales aplicables.

Si un cliente del centro solicita que se elimine su información de identificación facial, el centro puede atender la solicitud desde Sphera mediante este mismo proceso.

12. ¿Qué ocurre si el centro deportivo deja de usar Sphera?

Si un centro deportivo finaliza su suscripción a Sphera, la información asociada a ese centro se conserva en la infraestructura de MNT por un plazo máximo de tres meses para un cierre ordenado del servicio. Una vez cumplido ese plazo, la información se elimina.

Como el centro puede exportar su información en cualquier momento, cada centro es responsable de conservar los registros que la legislación de su país le exija, más allá del periodo en que utiliza Sphera.

13. Preguntas frecuentes

¿Me piden autorización antes de registrar mi rostro?

Sí. La primera vez que ingresa a la aplicación, se le presenta el consentimiento informado. Sin su firma no se realiza el registro facial.

¿Estoy obligado a usar el reconocimiento facial?

No. Si prefiere no usarlo, puede acercarse a la recepción del centro, donde el personal le facilitará el ingreso.

¿Sphera toma una foto cada vez que entro?

No. No se almacena una fotografía por cada ingreso ni un historial fotográfico de accesos.

¿Para qué se usa mi rostro?

Solo para identificarle y permitirle el acceso al centro deportivo donde está registrado.

¿Dónde queda guardada mi información?

En los equipos de acceso del centro y en servidores privados de MNT ubicados en Costa Rica.

¿Quién puede ver mi información?

El acceso a la infraestructura está restringido al personal de Tecnologías de Información de MNT, que trabaja bajo acuerdos de confidencialidad y procedimientos internos.

¿Venden o comparten mis datos?

No. MNT no comercializa datos personales por ningún motivo.

¿MNT es dueña de mis datos?

No. Sus datos le pertenecen a usted. El centro deportivo los administra y MNT presta la plataforma tecnológica.

¿Cuánto tiempo se conserva mi información facial?

Mientras tenga un acceso activo en el centro deportivo.

¿Mi información biométrica está mezclada con mis pagos o mi membresía?

No. La información biométrica y los registros administrativos son conceptos distintos dentro de la solución y tienen reglas de conservación diferentes.

¿Qué pasa si dejo el centro o pido que eliminen mis datos faciales?

El centro puede eliminar de inmediato su información de identificación desde Sphera, lo que la retira de la plataforma y de los equipos de acceso.

¿Mi información queda en respaldos para siempre?

No. Los respaldos se renuevan en ciclos de hasta 90 días.

¿El centro deportivo puede descargar mi información?

Sí. El centro puede exportar su información desde Sphera en cualquier momento. La información exportada queda bajo la administración y responsabilidad del centro.

¿Qué pasa si el centro deja de usar Sphera?

La información asociada al centro se conserva en la infraestructura de MNT por un máximo de tres meses y después se elimina.

¿Por qué no publican más detalles técnicos?

Porque no exponer la configuración interna de la infraestructura es, en sí mismo, una medida de seguridad.

14. Contacto

Si tiene consultas adicionales sobre el tratamiento de la información en Sphera, puede escribirnos a soporte@mntcr.com o comunicarse con su asesor de MNT.

El contenido original de esta ficha, así como la documentación técnica de Sphera, son propiedad de MNT. Se prohíbe su reproducción o explotación comercial sin autorización. Esta reserva no se extiende a los datos personales de los usuarios, que no son propiedad de MNT.

Esta ficha tiene fines informativos y no sustituye los avisos de privacidad, consentimientos ni demás documentación legal que corresponda a cada centro deportivo.