Cooperativa ficticia con datos de ejemplo. Lo que cambies se borra al cerrar la pestaña.
COAC Demostración

Incidentes y brechas

La ley las llama vulneraciones de seguridad. Desde que se detecta una, corren varios plazos a la vez en días hábiles: el sistema los lleva y te deja listo lo que hay que enviar.

INC-2026-007 · detectado el 30 oct 2026 · hace 2 días hábiles

Cuenta de correo de un asesor de crédito comprometida por phishing

Abierto
Relacionado: el 26 oct 2026 la delegada recomendó "Exigir doble verificación (MFA) a todo el personal con acceso a datos de crédito." La recomendación sigue sin respuesta de Gerencia. Ver recomendación

Plazos

  • Proveedor → cooperativa (2 días hábiles)
    No aplica: el buzón es de la cooperativa, no de un proveedor.
    No aplica
  • Cooperativa → SPDP (5 días hábiles)
    Se notifica solo por el sistema en línea de la SPDP (SISPDP).
    Quedan 3 días hábiles · 10 nov 2026
  • Cooperativa → socios afectados (3 días hábiles)
    Hay que avisar: el riesgo es alto por tratarse de datos financieros.
    Vence mañana · 6 nov 2026
  • Cooperativa → SEPS
    La norma de seguridad de la SEPS pide reporte inmediato. Hecho el mismo día.
    Hecho el 30 oct 2026
§ Base legal

5 días hábiles para notificar a la SPDP desde que detectas el incidente; 3 para avisar a los afectados cuando el riesgo es alto; 2 para que un proveedor te avise a ti.

LOPDP art. 43; RGLOPDP art. 27; Res. 2026-0040-R; Norma SEPS 2022-002

¿Hay que avisar a los socios?

  • SíPuede causar daño económico o fraude a los socios
  • NoInvolucra datos sensibles o de grupos vulnerables
  • SíAfecta a un número relevante de personas
  • NoLos datos estaban cifrados o no se pueden leer

Resultado: riesgo alto. Hay que avisar a los socios afectados.

§ Base legal

Si el riesgo es alto hay que avisar a los afectados, salvo que los datos estuvieran cifrados o se hayan tomado medidas que eliminen el riesgo.

RGLOPDP arts. 24 y 28; LOPDP art. 46

Historial

  • INC-2026-004 · USB extraviado con reporte de cartera (cifrado) (2 sep 2026)
    No se notificó: los datos estaban cifrados. La justificación quedó archivada.
  • INC-2026-002 · Estado de cuenta enviado al socio equivocado (28 jun 2026)
    Notificado a la SPDP en 3 días hábiles. Cerrado.

Hasta los incidentes que no se notifican quedan registrados con su justificación: es tu respaldo si la SPDP pregunta después.