Manifiesto de Seguridad de la Información

Última actualización: Julio 20, 2026

La Dirección de Trak, en el marco de su competencia general e indelegable de determinar las políticas y estrategias generales de la organización, y siguiendo las directrices definidas en la Política de Seguridad de la Información, aprueba el siguiente Manifiesto de Seguridad de la Información.

El objetivo de este Manifiesto es definir y establecer los principios, criterios y objetivos de mejora que rigen las actuaciones en materia de seguridad de la información de los sistemas de Trak que se encuentran sujetos al Sistema de Gestión de Seguridad de la información (en adelante, SGSI) y al alcance del Esquema Nacional de Seguridad (ENS).

1. Aprobación

Texto aprobado el día 16 de julio de 2026 por el CEO, quien es el responsable de promover una cultura corporativa de seguridad y concienciación frente a los riesgos cibernéticos en todos los niveles de la organización, además de garantizar la disponibilidad de los recursos financieros, técnicos, humanos y formativos necesarios para el correcto funcionamiento del SGSI y el cumplimiento de las medidas del ENS.

Este Manifiesto de Seguridad de la Información está vigente desde la fecha de aprobación y hasta que sea reemplazada por una nueva versión.

2. Objetivo

Establecer las directrices y principios que regirán el modo en que Trak gestionará y protegerá su información y sus servicios, cumpliendo con los objetivos y directrices de la Política de Seguridad de la Información corporativa, a través de la implantación, mantenimiento y mejora de un SGSI y aplicando los requisitos y medidas de seguridad dentro del marco regulatorio legal y vigente como el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, que exige el establecimiento de los principios básicos y requisitos mínimos en la utilización de medios electrónicos que permita la adecuada protección de la información y los servicios.

3. Alcance

El alcance del presente manifiesto ha sido definido teniendo en cuenta el contexto en el cual se determinan las cuestiones internas y externas de la organización, las partes interesadas que son relevantes y sus requisitos para la seguridad de la información, así como las interfaces y dependencias entre las actividades realizadas por la entidad y las que se llevan a cabo por otras organizaciones en el cumplimiento.

Este manifiesto se circunscribe a los servicios y sistemas de Trak incluidos en el alcance del SGSI que da cobertura al cumplimiento de los requisitos y medidas de seguridad establecidas en el Esquema Nacional de Seguridad.

Estos servicios incluidos dentro del ENS son los siguientes:

Alcance: Sistema de Gestión de Seguridad de la Información que da soporte a las actividades de diseño, desarrollo, mantenimiento y soporte del software sanitario para la rehabilitación de lesiones musculoesqueléticas, así como la prestación de servicios SaaS de rehabilitación digital.
Dirección: Edificio Lanzadera, La Marina de, Carrer del Moll de la Duana, s/n, 46024 València.

4. Misión

Trak tiene como misión, devolver el movimiento a las personas, inspirándolas a moverse, a sentir y a vivir plenamente.

5. Objetivos

Mediante este Manifiesto, Trak asume y promueve los siguientes principios generales que deben guiar todas sus actividades:

Garantizar el cumplimiento con los objetivos y principios generales detallados en la Política de Seguridad de la Información aprobada y promovida por la Dirección de Trak.
Asegurar el establecimiento y cumplimiento del presente manifiesto y los objetivos de la seguridad de la información, y que estos sean compatibles con la estrategia de Trak.
Asegurar la integración y el cumplimiento de los requisitos aplicables del SGSI/ENS en los servicios y procesos de la sociedad.
Asegurar que los recursos necesarios para el SGSI/ENS estén disponibles.
Comunicar la importancia de una gestión de la seguridad eficaz y conforme con los requisitos del SGSI/ENS.
Asegurar que el SGSI/ENS consigue los resultados previstos.
Dirigir y apoyar a las personas para contribuir a la eficacia del SGSI/ENS.
Promover la mejora continua.
Asegurar la vigilancia continua.
Realización de reevaluaciones periódicas.
Apoyar otros roles pertinentes de la Dirección, liderando a sus áreas de responsabilidad en seguridad de la información.

Los objetivos de seguridad de la información se establecerán en las funciones y niveles pertinentes, enfocados a la mejora y utilizando como marco de referencia:

Cambios en las necesidades de las partes interesadas que lleven a una mejora del alcance del sistema.
Requisitos de seguridad de la información aplicables y los resultados de la apreciación y del tratamiento de los riesgos para garantizar la confidencialidad, integridad, disponibilidad, trazabilidad y autenticidad de la información, así como la protección de los datos personales.
Factores internos como la aplicación de técnicas organizativas que mejoren el seguimiento de la tramitación y resolución de incidentes de seguridad.
Factores externos como los avances tecnológicos, cuya aplicación mejore la eficacia del tratamiento de los riesgos.
La mejora de la eficacia de la formación y concienciación del personal que trabaja en la entidad y afecta a su desempeño en seguridad de la información.

Asimismo, la planificación para la consecución de los objetivos de seguridad de la información establecidos se realizará tomando en cuenta lo que se va a hacer, los recursos necesarios, el responsable y el plazo de consecución.

6. Marco legal y regulatorio en el que se desarrollan las actividades

Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.
Resolución de 13 de octubre de 2016, de la Secretaría de Estado de Administraciones Públicas, por la que se aprueba la Instrucción Técnica de Seguridad de conformidad con el Esquema Nacional de Seguridad.
Resolución de 27 de marzo de 2018, de la Secretaría de Estado de Función Pública, por la que se aprueba la Instrucción Técnica de Seguridad de Auditoría de la Seguridad de los Sistemas de Información.
Resolución de 13 de abril de 2018, de la Secretaría de Estado de Función Pública, por la que se aprueba la Instrucción Técnica de Seguridad de Notificación de Incidentes de Seguridad.
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos).
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
Reglamento (UE) No 910/2014 del Parlamento Europeo y del Consejo de 23 de julio de 2014 relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por la que se deroga la Directiva 1999/93/CE.
Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza.
Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.
Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público.
Real Decreto Legislativo 1/1996, de 12 de abril, por el que se aprueba el texto refundido de la Ley de Propiedad Intelectual, regularizando, aclarando y armonizando las disposiciones legales vigentes sobre la materia.
El SGSI de Trak se mantendrá cumpliendo y respetando la Ley de Propiedad Intelectual en lo que se refiere al uso del software, obteniendo las licencias correspondientes y llevando un registro y control de estas para el empleo adecuado de éstas en el desarrollo de las actividades.

Adicionalmente, Trak cuenta con un registro pormenorizado de toda la legislación que es aplicable a los servicios del Sistema de Gestión y del ENS.

7. Organización de seguridad

La Dirección de cada una de las empresas incluidas dentro del alcance del ENS tiene como responsabilidad fundamental la de liderar y comprometerse con respecto al mismo.

7.1. Mecanismos de coordinación y Comités

Se designa como órgano responsable del sistema al Comité de Seguridad de la Información que dispone de las siguientes funciones:

Asegurarse de que se establecen, implementan y mantienen los procesos necesarios para el SGSI y el cumplimiento del ENS.
Asegurarse de que se promueva la toma de conciencia de los requisitos del cliente y resto de Partes Interesadas en todos los niveles de la organización.

La composición del Comité de Seguridad de la Información (CSI) y su relación con otros elementos de la organización está recogida en el Manual del Sistema de Gestión de Seguridad de la Información.

7.2. Funciones y responsabilidades de seguridad

7.2.1. Responsable de la información

Determina los requisitos de la información tratada.
Tiene la responsabilidad última del uso que se haga de la información y, por tanto, de su protección.

El Responsable de la Información es el responsable último de cualquier error o negligencia que conlleve un incidente de confidencialidad o de integridad (en materia de protección de datos) y de disponibilidad (en materia de seguridad de la información). El ENS asigna al Responsable de la Información la potestad de establecer los requisitos y los niveles de seguridad necesarios para la información en materia de seguridad.

El Responsable de la Información aprueba el documento de Valoración del Sistema.
El Responsable de la Información aprueba, como parte del análisis de riesgos, los riesgos residuales.
Debe aceptar su perfil de puesto y funciones.

7.2.2. Responsable del servicio

Determina los requisitos de los servicios prestados, incluyendo las especificaciones de seguridad en el ciclo de vida de los servicios y sistemas.
El ENS asigna al Responsable del Servicio la potestad de establecer los requisitos del servicio en materia de seguridad. O, en terminología del ENS, la potestad de determinar los niveles de seguridad de los servicios, pudiendo ser una persona física concreta o un órgano colegiado.
El Responsable del Servicio también aprueba el documento de Valoración del Sistema.
El Responsable del Servicio aprueba, como parte del análisis de riesgos, los riesgos residuales.
Debe aceptar su perfil de puesto y funciones.

7.2.3. Responsable del Sistema

Desarrollar, operar y mantener el sistema de información durante todo su ciclo de vida, incluyendo sus especificaciones, instalación y verificación de su correcto funcionamiento.
Definir la topología y la gestión del sistema de información, estableciendo los criterios de uso y los servicios disponibles en el mismo.
Cerciorarse de que las medidas de seguridad se integren adecuadamente en el marco general de seguridad.
Propone la valoración del sistema.
Debe adoptar las medidas correctoras derivadas de las auditorías (PAC).
Debe aceptar su perfil de puesto y funciones.

7.2.4. Responsable de Seguridad

Determinará las decisiones para satisfacer los requisitos de seguridad de la información y de los servicios, supervisará la implantación de las medidas necesarias para garantizar que se satisfacen los requisitos y reportará sobre estas cuestiones.
Velar por el cumplimiento de las políticas de seguridad.
Gestionar y desarrollar los análisis de riesgos de seguridad de la información.
Desarrollar, impulsar, coordinar e implementar la Política de Seguridad de la Información.
Elaborar e implementar los procedimientos e instrucciones técnicas en materia de seguridad de la información.
Recomendar los controles de seguridad aplicables a los sistemas de información para reducir el riesgo.
Recomendar las actividades de diseño, evaluación, selección e implementación de soluciones de Seguridad de la Información.
Promover la formación y concienciación en materia de seguridad de los sistemas de información y las redes de comunicaciones que los soportan, tanto en aspectos lógicos, físicos y organizativos.
Investigar los incidentes de seguridad de la información.
Notificar al CSI incidentes de seguridad que tengan impacto en la prestación de los servicios.
Dirigir la actividad de Seguridad de la Información, que dispondrá de los medios técnicos y humanos necesarios para asumir todas las funciones que tiene asignadas, tanto organizativas como técnicas. Cualesquiera otras funciones que se recojan en la legislación vigente en la materia.
Propone la valoración del sistema.
Determinación de la categoría del sistema.
Aprobación de la Declaración de Aplicabilidad (SoA).
Aprobación del Análisis de Riesgos.
Debe aceptar su perfil de puesto y funciones.

7.2.5. POC (Punto o Persona de Contacto)

Cuenta con el apoyo de los órganos de dirección, y canaliza y supervisa, tanto el cumplimiento de los requisitos de seguridad del servicio que presta o solución que provea, como las comunicaciones relativas a la seguridad de la información y la gestión de los incidentes para el ámbito de dicho servicio. Todo ello sin perjuicio de que la responsabilidad última resida en la entidad del sector público destinataria de los citados servicios.
Debe aceptar su perfil de puesto y funciones.

7.2.6. Responsable del SGSI (RSGSI)

Velar por el cumplimiento de las políticas de seguridad.

7.2.7. Administrador del sistema

Cumplimiento de los procedimientos técnicos de seguridad de la información.

7.2.8. Administradores funcionales de aplicaciones

Altas, bajas y gestión de privilegios en las aplicaciones.

7.2.9. Responsable de Seguridad protección datos personales

Velar por el cumplimiento de los requisitos en materia de protección de datos de carácter personal.

7.3. Designación de funciones

La Dirección será la encargada de designar las funciones y roles necesarios para la gestión del SGSI/ENS; además, asegurará, con la colaboración del RSGSI, que el personal dispone de la necesaria formación teórica y práctica en materia de seguridad de la información para el desempeño eficiente de sus funciones.

Las funciones y responsabilidades inherentes a cada puesto de trabajo dentro del SGSI, así como los requisitos de formación y experiencia necesarios, están recogidas en los perfiles de puesto de trabajo.

Las modificaciones de los roles y funciones de seguridad serán aprobados por la dirección de Trak. Los nombramientos en materia del SGSI/ENS podrán ser revisados anualmente coincidiendo con el proceso de Revisión por Dirección, pudiendo realizarse antes cuando el puesto quede vacante o por un incumplimiento reiterado de sus funciones, previo apercibimiento.

En caso necesario, en las reuniones del CSI, se podrá articular un mecanismo que permita la sustitución de los responsables designados en caso de ausencias de larga duración o aquellas de menor duración pero que puedan provocar ineficiencias en las funciones de cada uno de ellos que afecten al sistema.

7.4. Resolución de conflictos

La resolución de conflictos correrá a cargo de la Dirección.

8. Concienciación y formación

Dentro de los planes de formación se incluirán acciones de concienciación orientadas al personal de forma que se realice una concienciación relativa, entre otros, a los siguientes aspectos:

Política/Manifiesto de Seguridad de la Información.
Seguridad de la información.
Riesgos, vulnerabilidades y amenazas de los sistemas de información.
Necesidad del cumplimiento de la legislación vigente.

9. Gestión de riesgos

Todos los sistemas sujetos a este Manifiesto deberán realizar un análisis de riesgos, evaluando las amenazas y los riesgos a los que están expuestos, incluyéndose los derivados de la normativa de protección de datos. Este análisis se repetirá:

regularmente, al menos una vez al año;
cuando cambie la información manejada;
cuando cambien los servicios prestados;
cuando cambien elementos relevantes del sistema;
cuando ocurra un incidente grave de seguridad;
cuando se reporten vulnerabilidades graves.

Para la armonización de los análisis de riesgos, el Comité de Seguridad de la Información establecerá una valoración de referencia para los diferentes tipos de información manejados y los diferentes servicios prestados. El Comité de Seguridad de la Información dinamizará la disponibilidad de recursos para atender a las necesidades de seguridad de los diferentes sistemas, promoviendo inversiones de carácter horizontal.

10. Datos de carácter personal

El tratamiento de datos de carácter personal se basará en la política de privacidad de Trak, en la que se fijan las directrices que se deben seguir en la Compañía para garantizar la privacidad de los datos de los clientes, pacientes, personal sanitario, proveedores, empleados y, en general, de todos los colectivos de datos implicados, identificando la base de legitimación más adecuada para los tratamientos de datos personales llevados a cabo de acuerdo con la legislación vigente.

11. Documentación

La información documentada asociada al ENS se organiza, codifica y aprueba de acuerdo con los requisitos generales del Sistema de Gestión Integral de Trak, que se recogen en el documento «TRAK_QMS_GP-001_Control de Doc y Registros».

Toda la información documentada relativa a los Sistemas de Gestión, incluido el tratamiento del ENS y el SGSI, se alojan en Google Drive.

12. Obligaciones del personal

Todos los miembros de Trak tienen la obligación de conocer y cumplir este Manifiesto de Seguridad de la Información y las normas, procedimientos o guías que la desarrollen, siendo responsabilidad de Trak, a través del Comité de Seguridad y del área de personal, el disponer los medios necesarios para que la información llegue a los afectados.

13. Terceras partes

Cuando Trak preste servicios a otras entidades o maneje información de otras, se les hará partícipes de este Manifiesto de Seguridad de la Información, sin perjuicio de respetar las obligaciones de la normativa de protección de datos si actúa como encargado del tratamiento en la prestación de los citados servicios, y se establecerán canales para reporte y coordinación de los respectivos Comités de Seguridad y procedimientos de actuación para la reacción ante incidentes de seguridad.

Cuando Trak utilice servicios de terceros o ceda información a terceros, se les hará partícipes de este Manifiesto de Seguridad de la Información y de la Normativa de Seguridad complementaria que atañe a dichos servicios o información, sin perjuicio del cumplimiento de otras obligaciones en materia de protección de datos. En la contratación de prestadores de servicios o adquisición de productos se tendrá en cuenta la obligación del adjudicatario de cumplir con el ENS, en la medida que sea necesario y de acuerdo con los resultados del correspondiente análisis de riesgos realizado al tercero.

En la adquisición de derechos de uso de activos en la nube tendrá en cuenta los requisitos establecidos en las medidas de seguridad del Anexo II y las guías que las desarrollan.

Dicha tercera parte quedará sujeta a las obligaciones establecidas en dicha normativa, pudiendo desarrollar sus propios procedimientos operativos para satisfacerla, de modo que Trak pueda supervisarlos o solicitar evidencias del cumplimiento de estos, incluso auditorías de segunda o tercera parte. Se establecerán procedimientos específicos de reporte y resolución de incidencias que deberán ser canalizadas por el POC de los terceros implicados y, además, cuando se afecte a datos personales por el Delegado de Protección de Datos. Los terceros garantizarán que su personal está adecuadamente concienciado en materia de seguridad, al menos al mismo nivel que el establecido en este Manifiesto o el que específicamente se pueda exigir en el contrato.

Cuando algún aspecto del Manifiesto no pueda ser satisfecho por un tercero según se requiere en los párrafos anteriores, el Responsable de la Seguridad emitirá un informe que precise los riesgos en los que se incurren y la forma de tratarlos. Se requerirá la aprobación de este informe por los responsables de la información y los servicios afectados antes del inicio de la contratación o, en su caso, de la adjudicación. El informe se trasladará al representante de la entidad que deberá autorizar la continuación con la tramitación de contratación del tercero, asumiendo los riesgos detectados.

Cuando la entidad adquiera, desarrolle o implante un sistema de Inteligencia Artificial, además de cumplir con lo establecido en la normativa vigente en la materia, deberá contar con el informe del Responsable de la Seguridad, que consultará al Responsable de la Información y del Servicio y, cuando sea necesario, al del Sistema, debiendo también el Delegado de Protección de Datos emitir su parecer.

14. Gestión de incidentes de seguridad

Trak dispondrá de un procedimiento para la gestión ágil de los eventos e incidentes de seguridad que supongan una amenaza para la información y los servicios. Este procedimiento se integrará con otros relacionados con los incidentes de seguridad de otras normas sectoriales como la de protección de datos personales u otra que afecte al organismo para coordinar la respuesta desde los diferentes enfoques y comunicar a los diferentes organismos de control sin dilaciones indebidas y, cuando sea preciso, a las Fuerzas y Cuerpos de Seguridad del Estado o los juzgados.

15. Aprobación del Manifiesto y entrada en vigor

Las modificaciones del presente Manifiesto que supongan cambios o adaptaciones ante ineficiencias las realizará el Comité de Seguridad de la Información, que deberá revisarlo anualmente.

En caso de que los cambios supongan una modificación sustancial o de los principios o responsabilidades designadas, el Comité de Seguridad propondrá los cambios que deberán ser aprobados, en su caso, por la persona u órgano con las debidas competencias.

La sustitución del Manifiesto será instada por el Comité de Seguridad de la Información y ratificada por la persona u órgano con las debidas competencias, de lo que se informará adecuadamente a los interesados por los mismos canales usados para su difusión.