Evaluación de Impacto en la Privacidad de GC

Esta página es un resumen público de la Evaluación de Impacto en la Privacidad (PIA) preparada por el editor del software (Realizer Services Inc.) para AccessPoint, alineada con la Directiva sobre la Evaluación de Impacto en la Privacidad de la Secretaría del Consejo del Tesoro de Canadá (TBS). Documenta los conjuntos de información personal, los flujos de información, los riesgos de privacidad y las salvaguardas incorporadas en el producto.

La PIA del editor cubre las secciones técnicas y de arquitectura, y está pensada para ayudar a las instituciones federales canadienses a completar su propia PIA. La institución que realiza la implementación completa los detalles institucionales (descripción general institucional, calendarios de retención, acuerdos de intercambio de información y aprobación final) y presenta la PIA completa al TBS y a la Oficina del Comisionado de Privacidad (OPC). La PIA completa está disponible para los clientes que la soliciten; consulte la nota final.

Para conocer la arquitectura técnica completa, consulte la página Arquitectura técnica. Para la asignación de controles de seguridad ITSG-33, consulte la página Referencia de controles de seguridad de GC.

Propósito y alcance

AccessPoint es una plataforma de gestión de acceso a la información y privacidad que ayuda a las instituciones gubernamentales a administrar programas de acceso y privacidad en cumplimiento con la Access to Information Act (ATIA), la Privacy Act y regímenes provinciales/internacionales equivalentes. Su función principal es la gestión de solicitudes de acceso del interesado / acceso a la información: el ciclo de vida completo, desde la recepción hasta la asignación, la recopilación de documentos, la revisión, la redacción y el empaquetado de la respuesta.

Más allá de la gestión de solicitudes, AccessPoint también respalda el programa de privacidad en su conjunto: Evaluaciones de Impacto en la Privacidad (evaluaciones PIA/AIA/de seguridad), gestión de incidentes y vulneraciones de privacidad (incluidos los flujos de trabajo de notificación de vulneraciones), quejas y apelaciones, un registro de riesgos de privacidad y un registro de compromisos, y registros de actividades de tratamiento (ROPA). Estos módulos procesan categorías adicionales de información personal y están cubiertos por las mismas salvaguardas, roles, libro mayor de auditoría y garantías de residencia de datos que el núcleo de gestión de solicitudes.

Proceso operativo: recepción (un SAO crea la solicitud) → asignación (los custodios reciben instrucciones depuradas sin información personal del solicitante) → recopilación de documentos → revisión y redacción → empaquetado de la respuesta → cierre (comienza el plazo de retención).

Personas afectadas: solicitantes; empleados de la institución (SAO, administradores) cuyas acciones quedan registradas en el registro de auditoría; custodios y colaboradores (que no tienen acceso a la información personal del solicitante); terceros cuya información personal pueda aparecer en los documentos en revisión; interesados descritos a nivel de categoría en el ROPA y en las evaluaciones; personas afectadas por un incidente de privacidad; reclamantes y partes de la queja; y contactos de consulta.

Fundamento jurídico: la recopilación y el uso se basan principalmente en la ATIA (arts. 4, 6, 9, 19) y en la Privacy Act (arts. 4, 5, 7, 8(2)(m), y el derecho de acceso del individuo).

Inventario de información personal

Información personal recopilada y procesada

Información personal NO recopilada

AccessPoint no recopila ni procesa: números de seguro social; información financiera (cuentas bancarias, tarjetas de crédito); registros de salud o médicos como datos estructurados (pueden aparecer en documentos en revisión); datos biométricos; información de antecedentes penales; datos de ubicación; ni cookies o identificadores de seguimiento.

Nota: las direcciones IP y las cadenas de user agent se capturan únicamente en contextos limitados (firma de certificaciones y registro de acceso a documentos) con fines de auditoría forense, como se indica arriba. No se recopila el comportamiento general de navegación ni la huella digital del dispositivo.

Información personal sensible en documentos

Los documentos recopilados durante el proceso de la ATIA pueden contener cualquier categoría de información personal, incluida información personal sensible sobre terceros. AccessPoint almacena los documentos, permite obtener una vista previa, facilita su redacción y — para respaldar las herramientas de revisión — extrae el texto sin formato de cada documento hacia la base de datos (con OCR opcional de escaneos solo con imagen mediante un recurso de Azure AI Document Intelligence dentro de la propia suscripción). Ese texto extraído impulsa la búsqueda de contenido (indexada opcionalmente en el propio recurso de Azure AI Search de la institución), la detección de duplicados, las sugerencias de tachado basadas en patrones/reglas y, cuando se implementa el componente opcional de Asistencia con IA, sugerencias y resúmenes generados por máquina. Todo este procesamiento ocurre dentro de la propia suscripción de Azure de la institución, y cada tachado o sugerencia producido por máquina es una propuesta: la clasificación y la exención de la información personal dentro de los documentos las decide personal del SAO capacitado mediante las herramientas de revisión integradas.

Captura de registros de Microsoft 365 (opcional, controlada por un conmutador de funciones): un custodio puede capturar sus propios registros de Microsoft 365 (correo electrónico de Outlook, calendario de Outlook, OneNote, chats de Teams, Microsoft Lists o historial de interacciones con Copilot) como registro pertinente. La captura siempre utiliza la identidad delegada propia del usuario que inició sesión y se limita a los datos propios de ese usuario (la recuperación de Copilot es solo de aplicación, ya que no existe un permiso delegado de Graph para ello, pero siempre se limita, del lado del servidor, al ID de objeto de Entra propio del usuario que inició sesión, nunca a todo el inquilino). El contenido capturado se convierte a PDF e ingresa al flujo de trabajo normal de revisión/redacción. La captura de calendario excluye, de forma predeterminada, los elementos marcados como Privado/Personal/Confidencial.

Análisis del flujo de información personal

La ruta de notificación ilustra el control de "ninguna información personal del solicitante para el editor":

Event (e.g., assignment created)
        │
        ▼
  API Notification Dispatch Service
        │
        ├── PII Filter: strips requestor PI for Custodian/Contributor templates
        │
        ├──► Email: Graph Mail.Send → Institution's shared mailbox → Recipient
        │    (via managed identity or institution's app registration)
        │
        └──► Teams: API → Realizer Platform API → Graph TeamsActivity.Send → Recipient
             (sends: user ID, activity type, actor name, request number, preview text — NO requestor PI)

Evaluación de riesgos de privacidad

Puntuaciones por área de riesgo

Según el marco estandarizado del TBS:

Nivel de riesgo general: moderado. Es el nivel estándar para un programa administrativo que procesa información personal de personas externas, mitigado por controles técnicos sólidos (cifrado, RBAC, filtrado de información personal, soberanía de datos).

Salvaguardas técnicas y administrativas

Autenticación y control de acceso

Cifrado

Seguridad de red

Monitoreo y auditoría

Salvaguardas administrativas

Los administradores asignan roles a través de Configuración; los cambios de rol surten efecto de inmediato. Una política de acceso de aplicaciones restringe Mail.Send únicamente al buzón compartido designado. Los cambios de configuración se aplican mediante paquetes de jurisdicción con versión y registro de auditoría de instalación. La capacitación del personal, la política de uso aceptable y los procedimientos de respuesta a vulneraciones los define la institución.

Servicios de terceros e intercambio de datos

Servicios opcionales de Azure AI. Los tres recursos de IA anteriores no son servicios del editor: cada uno se implementa en la propia suscripción y región de la institución, se autentica exclusivamente con la identidad administrada del App Service (el acceso por clave de API está deshabilitado) y no envía nada a Realizer Services. Cada resultado de la IA es una sugerencia, un borrador editable o una respuesta de solo lectura — el personal decide; los interruptores por función y por inquilino, junto con un presupuesto mensual de tokens (que detiene por completo todo el procesamiento de IA), proporcionan gobernanza; Microsoft no entrena modelos con los datos; y AccessPoint solo almacena los metadatos de la llamada, nunca el contenido de las indicaciones ni de las respuestas. El lugar donde se procesa la inferencia de Azure OpenAI depende del tipo de implementación elegido en el momento de la implementación (global o zona de datos de la UE/EE. UU.) — las instituciones deben confirmar esta elección frente a sus requisitos de residencia. Las exportaciones de auditoría del caso para una solicitud incluyen una divulgación de la participación de la IA (solo metadatos), y la misma información es visible en el feed de Actividad de cada registro.

Punto clave: ninguna PII del solicitante, contenido de documentos ni detalle de la solicitud se transmite a Realizer Services ni a ningún tercero externo. Todo el procesamiento de conversión y redacción de documentos ocurre dentro del propio App Service de la institución, y el procesamiento opcional de búsqueda, OCR e IA ocurre dentro de la propia suscripción de Azure de la institución.

Bancos de información personal aplicables

Las instituciones deben confirmar los BIP aplicables y si se requieren nuevos BIP para su implementación específica.

Disponibilidad de la PIA completa

La Evaluación de Impacto en la Privacidad completa (incluido el inventario completo de información personal, el análisis detallado de recopilación/uso/divulgación/retención/exactitud, los fundamentos jurídicos y los diagramas de flujo de datos) está disponible para clientes y clientes potenciales que la soliciten. Las instituciones que realizan la implementación la utilizan como base técnica y de arquitectura para su propia PIA, completando la descripción general institucional, los calendarios de retención, los acuerdos de intercambio de información y la aprobación final antes de presentarla al TBS y a la Oficina del Comisionado de Privacidad.