Qué proporciona Realizer y de qué es responsable su organización al usar AccessPoint — contenido de jurisdicción y resultados calculados, AccessPoint para Microsoft 365, Hosted AccessPoint y el AccessPoint Training Lab
Last updated: November 10, 2026 by Steve
Responsabilidades del cliente
Esta página establece qué proporciona Realizer y de qué sigue siendo responsable su organización al usar AccessPoint: el contenido de jurisdicción y las cifras que AccessPoint calcula a partir de él, AccessPoint para Microsoft 365 en ejecución en su propio tenant, Hosted AccessPoint operado por Realizer en Canadá y el AccessPoint Training Lab para proveedores de formación. Complementa la Arquitectura técnica, la Referencia de controles de seguridad del GC y la Evaluación de impacto en la privacidad del GC. Los términos vinculantes figuran en su acuerdo con Realizer — para el servicio alojado, los términos de Hosted AccessPoint.
Qué proporciona Realizer
- Paquetes de jurisdicción. Tipos de solicitud, plazos y bases de días, calendarios y días festivos, tarifas y exenciones de pago, catálogos de excepciones y exclusiones, motivos de prórroga, reglas de notificación de brechas, tipos de queja y de apelación, plantillas de cartas, manuales, plantillas de evaluación, obligaciones de preparación, plantillas de informes estadísticos y contenido de formación para cada jurisdicción. Cada paquete es un punto de partida elaborado a partir de información pública sobre la legislación — legislación, boletines oficiales y orientaciones del regulador — a la versión indicada en Configuración > Paquetes de jurisdicción, con sus cambios enumerados en las notas de cambios del paquete. No constituye asesoramiento jurídico.
- Resultados calculados. Fechas de vencimiento, cifras de informes legales, plazos de notificación de brechas y estados de preparación y de posición del programa, que AccessPoint calcula a partir de sus registros con las reglas de los paquetes que haya aplicado.
- Borradores de Asistencia con IA. Sugerencias y borradores, siempre para que una persona decida. En AccessPoint para Microsoft 365 provienen de su propio recurso de Azure OpenAI; en Hosted AccessPoint, de modelos de Azure OpenAI que Realizer aprovisiona en Canadá, una vez que su Administrador lo permite.
- El software y sus versiones. Un ciclo de vida de desarrollo seguro; versiones firmadas con sumas de comprobación y listas de materiales de software; avisos de seguridad y correcciones de vulnerabilidades; y los servicios del editor que utiliza una implementación de Microsoft 365 (validación de licencias, paquetes de jurisdicción, el relé de Teams, páginas de configuración y archivos de versión).
- Hosted AccessPoint (2.6.0). El mismo software operado por Realizer en Canadá, que conserva los datos de su organización como su proveedor de servicios.
- El AccessPoint Training Lab. La simulación y el espacio de trabajo en el que un proveedor de formación imparte sus clases, con Realizer como encargado del tratamiento del proveedor.
De qué es responsable su organización
Cualquiera que sea la edición que utilice, su organización es responsable de:
- Confirmar el contenido de los paquetes que aplica frente a la legislación vigente, las instrucciones actuales del regulador y sus propias obligaciones, y ajustarlo en Configuración cuando no coincida. Todos los elementos de un paquete son editables, y volver a aplicar un paquete nunca sobrescribe un elemento que usted haya cambiado (salvo que elija y confirme una sobrescritura completa). Su asesoría jurídica valida y ajusta el contenido.
- Verificar cada resultado calculado — fechas de vencimiento, informes legales, plazos de notificación, preparación — frente a sus propios registros y a las instrucciones del regulador antes de presentarlo o de basarse en él.
- Decidir sobre cada sugerencia de IA. El resultado de la IA nunca es una determinación jurídica: es una sugerencia, un borrador editable o una respuesta de solo lectura para que una persona la revise.
- Su propio cumplimiento. AccessPoint es una herramienta de gestión de casos, no asesoramiento jurídico, y usarla no hace que una organización cumpla la normativa.
Dónde lo indica AccessPoint
| Dónde | Qué muestra |
|---|---|
| Configuración > Paquetes de jurisdicción | Un aviso en cada vista de que los paquetes son información general, no asesoramiento jurídico |
| Aplicar un paquete | Una confirmación obligatoria, cada vez, de que el paquete es información general elaborada a partir de fuentes públicas y de que su organización debe confirmar su contenido antes de basarse en él; Aplicar permanece deshabilitado hasta que se marque. El registro de paquetes aplicados conserva quién aplicó qué versión y cuándo |
| Informes > Informes estadísticos | Un aviso sobre el resultado de cada plantilla de que se elaboró automáticamente a partir de sus registros con las reglas de sus paquetes. Los archivos en el formato propio del regulador no se modifican, de modo que una presentación nunca incluye texto que el regulador no haya pedido |
| Programa de privacidad (Resumen, Posición, Año, Descubrimiento) | El mismo aviso, contraído a su primera línea, y una línea en las exportaciones a Excel y PDF |
| Asistencia con IA | Etiquetas como Generado por IA — revisar antes de usar y una confirmación única de IA responsable por parte de un Administrador |
| Informe de conformidad de accesibilidad | Un descargo de responsabilidad de que es una autoevaluación, no una certificación |
El texto aparece en los once idiomas del producto.
AccessPoint para Microsoft 365
AccessPoint para Microsoft 365 se ejecuta en su propia suscripción de Azure y en su tenant de Microsoft 365, y Realizer no tiene acceso en tiempo de ejecución. La responsabilidad se reparte entre cuatro partes:
| Parte | Qué asume |
|---|---|
| Microsoft | Centros de datos, hardware y redes de la plataforma; las plataformas App Service, SQL, Storage, Key Vault, Container Apps, Front Door e IA; Entra ID y Microsoft 365 |
| Su organización | Su decisión de autorización, categorización y aceptación de riesgos; políticas, personal, formación y sus propias sedes y dispositivos; Entra ID (MFA, acceso condicional, ciclo de vida de las cuentas, roles con privilegios); las decisiones de implementación (región, aislamiento de red, análisis de malware, alertas, retención de registros, claves, copias de seguridad); el diseño y la asignación de roles dentro de AccessPoint; los calendarios de conservación; la supervisión y la respuesta a incidentes de su implementación; la aplicación de las versiones |
| El producto (AccessPoint tal como se implementa) | Autenticación y autorización de la aplicación, aislamiento entre tenants, minimización de datos personales, el registro de auditoría y el libro de registro a prueba de manipulaciones, la configuración de cifrado, una plantilla segura por defecto, el motor de conservación y la eliminación, las barreras contra malware y de versiones, la validación de entradas |
| Realizer, como editor | El ciclo de vida de desarrollo seguro y la integridad de las versiones; la gestión de vulnerabilidades y los avisos de seguridad; la operación segura de sus servicios de editor; informar a los clientes de los incidentes en esos servicios |
La Guía de implementación y la Referencia de controles de seguridad del GC enumeran las decisiones de implementación que le corresponden. Para recibir los avisos de seguridad de Realizer, registre y confirme sus contactos de seguridad en Contactos de notificación y mantenga actualizado el contacto de su cuenta.
Hosted AccessPoint
En Hosted AccessPoint, Realizer opera el servicio y conserva los datos de su organización en su suscripción de Azure en Canada Central, como su proveedor de servicios. Lo que su organización asumiría en su propia implementación — las decisiones de implementación, la red, el registro y las alertas, la copia de seguridad y la recuperación, la aplicación de versiones, la gestión de claves y la respuesta a incidentes del entorno — corresponde a Realizer. Consulte Hosted AccessPoint para saber cómo funciona el servicio.
Su organización sigue siendo responsable de su programa y de sus datos:
- Qué recopila y por qué. Sus propios avisos de recopilación a solicitantes y otras personas (formularios, cartas, su sitio web), sus respuestas a las solicitudes sobre la información personal que conserva y su propia autoridad legal para cada caso que registra.
- Su propia evaluación del uso del servicio. Una evaluación de impacto en la privacidad del uso de un servicio alojado (consulte la Evaluación de impacto en la privacidad del GC) y confirmar que el almacenamiento en Canada Central, el servicio global de inicio de sesión y de borde de Microsoft, la facturación de Stripe y — si permite Asistencia con IA — el procesamiento de IA que puede realizarse fuera de Canadá cumplen sus propias normas de residencia y contratación.
- Quién es miembro. Invitar solo a las personas que deban trabajar en AccessPoint, darles únicamente los roles que necesitan y retirar a quienes se marchan — el servicio alojado no tiene vínculo con su directorio, por lo que no detecta una baja por sí mismo. Elegir Quién puede unirse (solo cuentas profesionales o educativas de sus propios tenants de Microsoft) y los tiempos de cierre de sesión en Cierre de sesión. Las cuentas de Microsoft de los miembros están protegidas por la configuración de su propia organización o, en el caso de una cuenta personal, por la de la propia persona.
- Mantener un Administrador que lea el correo de AccessPoint. Los recordatorios de la prueba, el paso al plan Gratuito y los avisos de purga van únicamente a los Administradores activos de la organización.
- Mantener actualizado el contacto de la cuenta. Es la dirección de la persona que creó la organización, salvo que usted pida a Realizer (
support@realizer.io) que la cambie, y es adonde Realizer envía los avisos de seguridad y de cuenta. - Su correo electrónico. La dirección de respuesta (Reply-To) que confirma, las cartas y avisos que envía desde la dirección compartida
accesspoint@notices.realizer.ioy mantenerse dentro del presupuesto de correo electrónico del servicio. - Asistencia con IA. Decidir si permite Asistencia con IA, tras leer la declaración en Configuración, y retirar ese permiso si cambia su posición.
- Su calendario de conservación. Establecer los periodos de conservación y ejecutar la Revisión de conservación como lo haría en su propia implementación, y aplicar una retención de preservación a cualquier caso que deba conservar mientras un asunto esté abierto.
- Su propia copia. Descargar sus datos (Descargar todos los datos de su organización, Configuración > Suscripción) antes de marcharse, cuando se le advierta de que una organización Gratuita inactiva será eliminada o siempre que sus propias normas requieran una copia. Realizer elimina una organización que se marcha una vez registrada una exportación completa, y elimina una organización Gratuita inactiva tras los avisos; no conserva una copia para la organización después. Las copias de seguridad de Realizer existen para recuperar el servicio tras un incidente, no para restaurar registros que una organización haya eliminado.
- Su plan. Una suscripción vencida deja la organización en modo de solo lectura: debe renovarla o elegir un plan para volver a trabajar sus casos.
- La formación. Indicar a su personal que nunca escriba información personal real en los casos de formación del modo Laboratorio.
Si Realizer confirma un incidente de seguridad que ha afectado, o probablemente haya afectado, a los datos de su organización, lo comunica por correo electrónico a sus Administradores y al contacto de la cuenta, tal como establecen los términos de Hosted AccessPoint.
El AccessPoint Training Lab
En el AccessPoint Training Lab (learn.realizer.io), Realizer opera la simulación y el espacio de trabajo del proveedor de formación como encargado del tratamiento del proveedor. Nada pasa entre el Lab y el AccessPoint de ninguna organización. El proveedor de formación es responsable de:
- Su material de curso. Es suyo, conserva su fuente y debe contar con los derechos sobre todo lo que carga. Realizer conserva el material en el almacenamiento privado del Lab, nunca en su código fuente, registros ni telemetría, y su personal accede a él únicamente mediante una vista de soporte auditada.
- Solo contenido ficticio. Los escenarios, registros y grabaciones deben ser ficticios, sin información de ninguna persona real. El Lab revisa los escenarios y los borradores de IA en busca de direcciones e identificadores de apariencia real, pero el proveedor decide qué publica.
- Sus alumnos. Informar a los alumnos de quién imparte la clase y cómo contactar con el proveedor; elegir para cada clase si se solicita una dirección de correo electrónico (un código de clase y un nombre, la opción predeterminada, es lo que menos datos conserva); mantener la lista de la clase; responder a las solicitudes de los alumnos; elegir cuánto tiempo se conservan los datos de los alumnos tras cerrarse una clase (de 7 a 90 días, 30 por defecto) y exportar lo que necesite antes de ese plazo.
- Los certificados. Emitir un certificado de finalización solo con el acuerdo del alumno: cualquier persona que tenga su enlace puede verificarlo y se conserva hasta que el proveedor lo elimine.
- Sus miembros. Invitar solo a su propio personal y a instructores contratados, retirar a quienes se marchan y mantener un administrador activo del espacio de trabajo. Un instructor entrega un nuevo código de reanudación a un alumno solo a petición de este: el código permite al instructor continuar como el alumno, por lo que su uso se audita y se informa al alumno.
- La redacción con IA. Activarla solo mediante acuerdo con Realizer y revisar cada borrador antes de que llegue a un alumno.
- El acuerdo del proveedor, que recoge los términos de encargado del tratamiento de Realizer y lo que el proveedor ha acordado.
Páginas relacionadas
- Arquitectura técnica — cómo se construyen ambas ediciones, incluido Hosted AccessPoint.
- Referencia de controles de seguridad del GC — correspondencia con los controles de ITSG-33 y las opciones de configuración PBMM.
- Evaluación de impacto en la privacidad del GC — flujos de información personal y controles de privacidad en ambas ediciones.
- Paquetes de jurisdicción — importación, reaplicación y ajuste del contenido de los paquetes.
- Términos de Hosted AccessPoint — los términos del servicio alojado.