¿Para qué me sirve esta actividad? 📚
Esta actividad te ayudará a establecer las acciones formales que aseguren la adecuada contratación y gestión de los proveedores de servicio que participan dentro del alcance del Sistema de Gestión de Privacidad de la Información (SGPI) de la empresa.
Este documento es de vital importancia porque tu seguridad es tan fuerte como tu proveedor más débil. Si un tercero sufre una brecha y expone los datos personales de tus clientes, tu empresa podría seguir siendo la responsable legal ante los titulares y las autoridades regulatorias. Tener este procedimiento demuestra que actúas con la debida diligencia al elegir a tus proveedores.
¿Qué tengo que hacer? 🚀
💡Este documento debe reflejar la realidad operativa de tu empresa al momento de contratar terceros.
Al trabajar en el template, te recomendamos primero leerlo en su totalidad para así comprender la información que deberás documentar posteriormente. Y para completarlo de forma adecuada, te recomendamos considerar lo siguiente:
Objetivo y alcance del procedimiento.
Verifica que el objetivo establezca las acciones para asegurar la gestión y contratación de proveedores dentro del SGPI.
El alcance debe aplicar a todas las etapas y tareas relacionadas a contratar y revisar proveedores, especialmente aquellos que manejen información que impacte en la privacidad o los datos personales tratados por la empresa.
Identificación y generación de la matriz.
El área responsable debe identificar qué proveedores están en el alcance del SGPI y si tienen o tendrán acceso a datos personales para clasificar su nivel de criticidad.
Toda esta información debe centralizarse en la Matriz de Evaluación de Proveedores, o en tu documento o herramienta de preferencia. Solo asegúrate de que cuente con toda la información pertinente para el cumplimiento normativo.
Se recomienda que el Oficial de Protección de Datos Personales y/o el Comité de Privacidad apoyen y/o supervisen desde la creación de la matriz, hasta el registro de resultados de la evaluación.
Revisión de los acuerdos contractuales actuales.
Verifica que los proveedores cuenten con un acuerdo que defina sus responsabilidades en seguridad y privacidad, ya sea por medio de un contrato personalizado entre ambas partes, o la aceptación consciente de los términos y condiciones del servicio.
Es altamente recomendable que estos acuerdos incluyan obligaciones sobre notificaciones de incidentes, medidas técnicas de seguridad, procedimientos de respuesta y la devolución o eliminación de la información al finalizar el servicio.
⚖️ Recomendación legal: Un simple Acuerdo de Confidencialidad (NDA) no es suficiente si el proveedor va a tratar datos personales. Si tu organización funge o fungirá como Responsable, necesitas asegurarte de que el contrato establezca claramente que el tercero tratará los datos únicamente según las instrucciones de la empresa y cumpliendo la normativa vigente. Esto se conoce habitualmente como un Acuerdo de Tratamiento de Datos (DPA) y es tu principal escudo legal.
Evaluación de proveedores.
Este procedimiento debe explicar cuál será la metodología que usas o usarás para evaluar a tus proveedores, la cual pueda demostrar que es un ejercicio objetivo y con criterios bien establecidos.
Nuestro template propone lo siguiente, pero si esto no se adapta a la realidad operativa de tu empresa o deseas ajustarlo, deberás hacerlo dentro de este procedimiento:
Utilizar tres rubros: nivel de privacidad, nivel de capacidad (SLAs) y nivel de cumplimiento normativo / regulatorio.
Dichos rubros se miden con un rango numérico del 1 al 3, y con un valor cualitativo que incluye "Bajo", "Medio" y "Alto".
Para evaluar a cada proveedor correctamente, se debería consultar a otras áreas o responsables que usen o manejen los sistemas, productos o servicios ofrecidos por dicho proveedor. Y al Oficial de Protección de Datos Personales o Comité de Privacidad para los criterios propios de seguridad y privacidad, o aquellos derivados del SGPI.
Búsqueda y validación de nuevos proveedores.
Cuando busques un reemplazo o desees cubrir una nueva necesidad, el proveedor candidato debe garantizar calidad, rendimiento y compromiso con la seguridad y privacidad de la información.
Realiza una validación exhaustiva para garantizar que cumplen con los criterios de privacidad antes de firmar o aceptar términos y condiciones.
⚖️ Recomendación legal: Cuando el nuevo proveedor vaya a tratar datos personales, es esencial evaluar la necesidad de firmar cláusulas específicas de protección de datos o un DPA (Data Processing Agreement). No compartas ni una sola base de datos real durante las pruebas de concepto si estas obligaciones contractuales no están firmadas.
Contrato / Términos y condiciones + actualización de la información.
Formaliza la contratación asegurando que se incluyan en los contratos o en los términos y condiciones correspondientes, las cláusulas de confidencialidad, protección de datos y el reporte de violaciones de seguridad.
Posteriormente, actualiza la Matriz de Evaluación de Proveedores con la información del nuevo aliado.
Completa el versionado del documento.
Al finalizar, completa la tabla de versionado indicando quién elaboró el procedimiento, quién lo aprobó, la fecha de aprobación y la clasificación de la información.
Nuestro template está estructurado para guiarte en el ciclo completo de identificación, revisión, evaluación y contratación de proveedores, pero recuerda que debe ajustarse a las herramientas y prácticas reales de tu empresa.
💡Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable).
Posteriormente, debes subir la evidencia de su aprobación.
Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.
Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.
O también puedes utilizar la funcionalidad de aprobación que tiene la plataforma Hackmetrix.
Y por último, debes subir la evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
O también puedes utilizar la funcionalidad de comunicación que tiene la plataforma Hackmetrix.
Recomendaciones ✅
Este procedimiento no es una tarea de una sola vez. Debes ejecutarlo por lo menos anualmente o cuando un proveedor cambie de manera significativa los servicios que te presta.
Al evaluar el nivel de cumplimiento normativo de un proveedor para darle una calificación "Alta", no te conformes con su material de marketing; solicítales evidencia de sus certificados, sus auditorías o revisiones independientes.
Presta especial atención al momento de finalizar un contrato con un proveedor. Es común que las empresas olviden ejecutar la obligación que exige al tercero devolver o eliminar la información y los datos personales que se le entregaron.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.