El acompañamiento puede contratarse de manera integral o por etapas, según las necesidades y el nivel de avance de cada organización.

Por ejemplo, una empresa puede comenzar solamente con:

• Levantamiento de un tratamiento.
• Identificación de flujos de datos.
• Análisis de brechas y riesgos.
• Elaboración o actualización del Registro de Actividades de Tratamiento.
• Diseño de políticas y procedimientos.
• Definición de responsabilidades y controles.
• Implementación de las medidas definidas.
• Generación de evidencias.
• Verificación y seguimiento.

Una etapa puede contratarse individualmente y, posteriormente, continuar con las siguientes fases del proceso de adecuación.

Y antes del botón final agrega:

La organización puede comenzar con el levantamiento de un solo tratamiento o contratar únicamente la etapa que necesite. El alcance se adapta a sus procesos, prioridades y nivel actual de cumplimiento

Este ejemplo muestra cómo realizamos el levantamiento, análisis, adecuación e implementación de un tratamiento completo de datos personales.

La organización recopila datos personales de clientes y potenciales clientes mediante formularios web, correos electrónicos, llamadas telefónicas y otros canales.

La información es posteriormente ingresada al CRM para gestionar solicitudes, realizar seguimientos, mantener comunicaciones y registrar las actividades efectuadas.

Etapa 1: levantamiento del tratamiento

Identificamos y documentamos cómo funciona actualmente el tratamiento:

• Áreas que participan en el proceso.
• Responsable interno del tratamiento.
• Titulares cuyos datos son utilizados.
• Categorías de datos personales recopilados.
• Canales utilizados para recibir la información.
• Finalidades para las cuales se utilizan los datos.
• Sistemas, correos, formularios y planillas involucrados.
• Personas y perfiles que pueden acceder.
• Transferencias internas de información.
• Proveedores que intervienen en el tratamiento.
• Comunicaciones realizadas a los titulares.
• Plazos actuales de conservación.
• Procesos de eliminación o anonimización.
• Medidas de seguridad existentes.
• Procedimientos aplicables ante incidentes.
• Evidencias actualmente disponibles.

Etapa 2: construcción del flujo de datos

Representamos el recorrido completo de la información:

• Recopilación mediante formulario, correo o teléfono.
• Recepción inicial por el área correspondiente.
• Revisión y validación de los datos.
• Ingreso de la información al CRM.
• Asignación a una persona responsable.
• Consulta y utilización durante la gestión.
• Comunicación con el titular.
• Transferencia a otras áreas cuando sea necesario.
• Acceso de proveedores autorizados.
• Conservación durante el plazo definido.
• Bloqueo, eliminación o anonimización al finalizar la finalidad.

Etapa 3: análisis de finalidad y licitud

Revisamos por qué se utilizan los datos y qué habilita su tratamiento:

• Finalidad principal del tratamiento.
• Finalidades secundarias o adicionales.
• Datos necesarios para cada finalidad.
• Base de licitud aplicable.
• Necesidad de consentimiento.
• Información que debe entregarse al titular.
• Uso de los datos para comunicaciones comerciales.
• Tratamientos relacionados con obligaciones contractuales o legales.
• Validación de la base de licitud con el área jurídica.

Etapa 4: identificación de brechas y riesgos

Analizamos las diferencias entre la operación actual y los requerimientos aplicables:

• Datos recopilados sin una finalidad claramente definida.
• Información excesiva o innecesaria.
• Registros que permanecen solamente en correos o planillas.
• Accesos que no corresponden a las funciones asignadas.
• Ausencia de plazos de conservación.
• Duplicación de información en diferentes sistemas.
• Proveedores sin obligaciones documentadas.
• Falta de trazabilidad sobre consultas y modificaciones.
• Ausencia de procedimientos para solicitudes de titulares.
• Eliminación manual sin evidencia.
• Riesgo de pérdida, alteración o acceso no autorizado.
• Falta de procedimientos ante incidentes.

Etapa 5: diseño de la adecuación

Definimos las medidas necesarias para corregir las brechas:

• Finalidades claramente documentadas.
• Datos mínimos necesarios para cada finalidad.
• Información de privacidad para los titulares.
• Consentimiento cuando corresponda.
• Responsabilidades claramente asignadas.
• Perfiles de acceso según las funciones.
• Procedimientos para el ingreso y actualización de datos.
• Control de información recibida por correo.
• Reglas para compartir información.
• Gestión de proveedores y encargados del tratamiento.
• Plazos de conservación definidos.
• Procedimiento de eliminación o anonimización.
• Canal para ejercer derechos.
• Procedimiento de gestión de incidentes.
• Controles y evidencias de cumplimiento.

Etapa 6: documentación

Elaboramos o actualizamos los documentos asociados al tratamiento:

• Ficha de levantamiento.
• Diagrama del flujo de datos.
• Registro de Actividades de Tratamiento.
• Matriz de finalidades y bases de licitud.
• Matriz de responsabilidades.
• Matriz de accesos.
• Análisis de brechas y riesgos.
• Política o aviso de privacidad.
• Procedimientos operacionales.
• Procedimiento de conservación y eliminación.
• Procedimiento para solicitudes de titulares.
• Requisitos para proveedores.
• Plan de implementación.

Etapa 7: implementación de controles

Llevamos los documentos y definiciones a la operación:

• Configuración de perfiles y permisos.
• Ajuste de formularios y canales de recopilación.
• Incorporación de información al titular.
• Implementación del consentimiento cuando corresponda.
• Regularización de correos, planillas y archivos auxiliares.
• Configuración de plazos de conservación.
• Implementación de controles de eliminación.
• Formalización de responsabilidades.
• Actualización de contratos con proveedores.
• Capacitación de las áreas participantes.
• Implementación de registros y evidencias.
• Pruebas para verificar el funcionamiento de los controles.

Etapa 8: verificación y seguimiento

Comprobamos que la adecuación funcione correctamente:

• Revisión de los controles implementados.
• Validación de accesos y responsabilidades.
• Verificación de los plazos de conservación.
• Pruebas de eliminación o anonimización.
• Revisión de solicitudes de titulares.
• Control de proveedores.
• Registro de incidentes y excepciones.
• Recopilación de evidencias.
• Seguimiento de hallazgos pendientes.
• Actualización ante cambios en procesos o sistemas.
• Mejora continua del tratamiento.

Resultado esperado

La organización obtiene un tratamiento documentado y controlado durante todo el ciclo de vida de los datos personales, desde su recopilación hasta su eliminación.

Esto permite:

• Conocer qué datos personales utiliza la organización.
• Identificar dónde se encuentran.
• Definir para qué se utilizan.
• Asignar responsabilidades claras.
• Limitar los accesos.
• Gestionar adecuadamente a los proveedores.
• Establecer plazos de conservación.
• Atender solicitudes de los titulares.
• Reducir riesgos.
• Mantener evidencias de cumplimiento.