¿Para qué me sirve esta actividad? 📚
Esta actividad te ayudará a establecer las reglas que debe seguir tu empresa cuando recopila, utiliza, almacena, comparte o divulga datos personales de clientes, usuarios, colaboradores, proveedores u otros titulares, ordenando las principales actividades que forman parte del ciclo de vida de los datos, definiendo cómo se obtienen, dónde se conservan, bajo qué condiciones pueden compartirse y cómo debe actuar la empresa frente a solicitudes de terceros o autoridades.
Este documento es importante porque conecta lo que la empresa informa en su Aviso de Privacidad con la forma en que realmente trata los datos en sus procesos internos.
¿Qué tengo que hacer? 🚀
💡Este documento debe reflejar la realidad operativa de tu empresa, incluyendo los procesos, sistemas, responsables y terceros que intervienen en el tratamiento de datos personales.
Al trabajar en el template, te recomendamos primero leerlo en su totalidad para así comprender la información que deberás documentar posteriormente. Y para completarlo de forma adecuada, te recomendamos considerar lo siguiente:
Objetivo, alcance y rol de tu empresa.
Verifica que el procedimiento cubra todas las actividades donde se traten datos personales, ya sea en productos, servicios, procesos internos o servicios prestados a terceros.
Identifica si tu empresa actúa:
Como Responsable, porque decide las finalidades y medios del tratamiento.
Como Encargado, porque trata datos por cuenta de un cliente.
Funge ambos roles, dentro de lo establecido y alcanzado por el SGPI.
Revisión de la base legal que habilita el tratamiento.
El consentimiento debe obtenerse cuando corresponda, siguiendo el Procedimiento de Gestión de Consentimiento, pero es importante saber que no todos los tratamientos lo requieren.
Según la normativa aplicable, pueden existir otras bases válidas, como la ejecución de un contrato, una obligación legal o el interés legítimo.
Cuando la empresa actúe como Encargada, debe tratar los datos conforme a las instrucciones de su cliente y a lo definido contractualmente.
⚖️ Recomendación legal: No uses el consentimiento como una solución automática para todos los tratamientos. Si los datos son necesarios para prestar un servicio o cumplir una obligación legal, la empresa debe identificar y documentar la base legal correcta.
Alineación de la recabación con el Aviso de Privacidad.
Verifica que los datos solicitados al titular sean los mismos que aparecen informados en el Aviso de Privacidad.
Evita recopilar información que no sea necesaria para cumplir la finalidad definida.
Asegúrate de que los canales de recabación, como formularios, plataformas, correos o contratos, sean coherentes con lo declarado por la empresa.
Almacenamiento de los datos y tiempos de conservación.
Documenta los medios reales donde se almacenan los datos: sistemas internos, herramientas en la nube, bases de datos, archivos físicos u otros medios aplicables.
Designa al área o perfil responsable y asegúrate de que los accesos se gestionen conforme al Procedimiento de Gestión de Accesos.
Define el plazo de conservación de la información, según las obligaciones legales, contractuales, fiscales, laborales o regulatorias que correspondan.
⚖️ Recomendación legal: Conservar datos no significa que puedan seguir utilizándose para cualquier finalidad. Cuando la relación con el titular termina, puede ser necesario restringir el acceso y uso de la información, manteniéndola únicamente para cumplir una obligación válida o atender posibles reclamos.
Regulación de las transferencias y divulgaciones.
Antes de compartir datos con terceros, verifica la finalidad, el destinatario, la base legal que habilita la comunicación y las medidas de seguridad aplicables.
Registra las transferencias y divulgaciones en el Inventario de datos personales para llevar un correcto seguimiento y evidencia.
Si se comparten datos con proveedores, revisa que existan cláusulas o acuerdos adecuados de confidencialidad, seguridad y tratamiento de datos personales.
Si existe un requerimiento de una autoridad, aplica el Procedimiento de Atención a Requerimientos de Autoridades definido por la empresa.
⚖️ Recomendación legal: No toda solicitud de información implica que la empresa deba entregar datos automáticamente. Antes de divulgar información, se debe validar la identidad, competencia, fundamento legal y alcance del requerimiento.
Completa el versionado del documento.
Al finalizar, completa la tabla de versionado indicando quién elaboró el procedimiento, quién lo aprobó, la fecha de aprobación y la clasificación de la información.
Nuestro template está estructurado para guiarte en el tratamiento de datos desde su obtención hasta su transferencia o divulgación, pero recuerda que debe ajustarse a los procesos, herramientas y responsabilidades reales de tu empresa.
💡Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable).
Posteriormente, debes subir la evidencia de su aprobación.
Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.
Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.
O también puedes utilizar la funcionalidad de aprobación que tiene la plataforma Hackmetrix.
Y por último, debes subir la evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
O también puedes utilizar la funcionalidad de comunicación que tiene la plataforma Hackmetrix.
Recomendaciones ✅
Mantén consistencia entre este procedimiento, el Inventario de datos personales, los contratos con proveedores y el Aviso de Privacidad. Las finalidades, categorías de datos, terceros y canales declarados deben coincidir.
Revisa este documento cuando la empresa incorpore un nuevo tratamiento de datos, un nuevo producto, proveedor, sistema, canal de recolección o transferencia internacional de datos.
Capacita a las áreas que tratan datos personales de forma cotidiana, especialmente Recursos Humanos, Comercial, Marketing, Soporte y Tecnología, para que conozcan los canales autorizados y no compartan información por medios no aprobados. No importa que no estén explícitamente dentro de tu alcance del SGPI, todas estas acciones ayudan a promover una cultura de privacidad y seguridad en toda la organización.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.