Las preguntas, en el orden en que suelen aparecer
Roles. Si usted actúa como encargado o responsable del tratamiento de los datos del cliente, y si cuenta con un delegado de protección de datos o con un contacto de privacidad designado.
El acuerdo de tratamiento de datos. Si dispone de uno, si sigue el Article 28 y si el cliente puede utilizar el suyo. Adjunte el suyo. Los revisores lo comparan con su plantilla, así que conviene saber en qué se diferencia el suyo y por qué.
Subencargados. Quiénes son, dónde están, qué hacen y cómo se informa al cliente antes de cambiarlos. Una lista publicada con un periodo de aviso responde a esta fila para todos los clientes a la vez.
Transferencias internacionales. Si los datos personales salen de la UE o del EEE, a qué países y bajo qué mecanismo: adecuación, cláusulas contractuales tipo o el marco UE-EE. UU. Indique el mecanismo para cada subencargado fuera de la UE, o indique que no hay ninguno.
Seguridad del tratamiento. Las medidas técnicas y organizativas: cifrado, control de acceso, registro, copias de seguridad, formación. Aquí se solapa con el cuestionario de seguridad, y sirven las mismas respuestas.
Retención y eliminación. Durante cuánto tiempo conserva los datos durante el contrato, qué sucede al finalizar, cómo se confirma la eliminación y cómo se gestionan las copias de seguridad. Indique los plazos.
Notificación de brecha. Con qué rapidez informa al cliente sobre una brecha de datos personales y con qué información; el cliente tiene 72 horas para informar a su autoridad, por lo que quiere que su compromiso quede bastante dentro de ese plazo.
Derechos de los interesados. Cómo ayuda al cliente a responder a solicitudes de acceso, corrección, eliminación y portabilidad: el mecanismo y el plazo.
Registros y auditorías. Si mantiene registros de tratamiento, si ha realizado una evaluación de impacto sobre la privacidad para el servicio y si el cliente puede auditar a su organización.
Responder como encargado del tratamiento
Escriba las respuestas de privacidad una vez, con su asesor legal si cuenta con uno, y manténgalas como una unidad: cambian rara vez y no deben desviarse entre clientes. Las filas que necesitan una decisión son el tiempo de notificación, el calendario de eliminación y los términos de auditoría; decídalos con quien firme su DPA para que el cuestionario y el contrato digan lo mismo.
En Responsemate
Las respuestas de privacidad están en la base de conocimiento como cualquier otra respuesta aprobada, con el DPA y la lista de subencargados adjuntos como evidencia con fechas de revisión, y las filas del cuestionario se redactan a partir de ellas con las palabras del cliente. Las propias respuestas de privacidad de Responsemate están en la página de seguridad, que también es un ejemplo de la forma que espera un revisor.
Preguntas que hacen las personas
¿Somos encargados del tratamiento o responsables del tratamiento?
Si usted trata datos personales en nombre de su cliente y siguiendo sus instrucciones, es encargado del tratamiento de esos datos. Para sus propios empleados, sus contactos de marketing y sus propios registros de cliente, es responsable del tratamiento. La mayoría de los proveedores SaaS son ambas cosas, para distintos datos, y el cuestionario pregunta sobre el rol de encargado del tratamiento.
¿Necesitamos un delegado de protección de datos?
Solo si la ley exige uno para su tipo de tratamiento. Los cuestionarios lo preguntan. "No, no es obligatorio, el contacto de privacidad designado es X" es una respuesta completa.