Protegemos tus Datos Personales

Objetivo

Determinar el nivel de cumplimiento de la organización respecto a la Ley Orgánica de Protección de Datos Personales del Ecuador, mediante la identificación de brechas legales, técnicas y organizativas en el tratamiento de datos personales.

Alcance

• Área comercial y ventas
• Talento humano
• Marketing y atención al cliente
• Tecnología de la información
• Gestión administrativa

Metodología

• Revisión documental de políticas internas y contratos
• Entrevistas con responsables de áreas
• Evaluación de sistemas de información
• Análisis de bases de datos
• Aplicación de checklist de cumplimiento legal

Controles del DPO

• Gobernanza: Política de protección de datos, RAT, designación DPO
• Legalidad: Base legal, consentimientos, cláusulas informativas
• Clasificación: Datos personales, datos sensibles, nivel de riesgo
• Derechos ARCO: Procedimiento, canales, tiempos de respuesta
• Seguridad: Controles de acceso, medidas técnicas, políticas
• Transferencias: Identificación, contratos, confidencialidad

Entregables

Nivel de Madurez

Objetivo

Identificar, documentar y estructurar de manera integral todas las actividades de tratamiento de datos personales realizadas por la organización, con el fin de garantizar el cumplimiento normativo y la trazabilidad de la información.

Alcance

• Datos de clientes
• Datos de empleados
• Datos de proveedores
• Datos de prospectos y usuarios digitales

Metodología

• Levantamiento de información por áreas
• Entrevistas con responsables de procesos
• Identificación de flujos de datos
• Revisión de sistemas tecnológicos (CRM, ERP, correo)
• Validación de finalidades del tratamiento

Controles del DPO

• Identificación de fuentes de datos (formularios, sistemas, correos)
• Clasificación de titulares (clientes, empleados, proveedores)
• Identificación de tipos de datos (básicos, financieros, sensibles)
• Finalidad del tratamiento (comercial, contractual, legal)
• Sistemas de almacenamiento (BD, archivos, nube)
• Flujo de datos (recolección, uso, transferencia, eliminación)

Entregables

Nivel de Madurez

Objetivo

Comparar el estado actual de la organización frente a las exigencias legales aplicables en materia de protección de datos personales, con el fin de identificar incumplimientos, evaluar riesgos y definir acciones correctivas.

Alcance

• Procesos identificados en el RAT
• Documentación legal existente
• Prácticas reales de tratamiento de datos
• Relación con terceros (encargados de tratamiento)

Metodología

• Revisión del RAT
• Validación documental
• Comparación con obligaciones legales
• Identificación de incumplimientos
• Evaluación de impacto y riesgo

Controles del DPO

• Base legal: Justificación documentada para cada actividad
• Avisos de privacidad: Implementados, accesibles, completos
• Contratos con encargados: Confidencialidad, seguridad
• Transferencias: Identificadas, base legal, garantías

Entregables

Nivel de Madurez

Objetivo

Identificar, analizar y mitigar los riesgos asociados al tratamiento de datos personales, especialmente aquellos relacionados con datos sensibles o procesos críticos, garantizando el cumplimiento normativo y la protección de los derechos de los titulares.

Alcance

• Datos sensibles
• Procesos de alto riesgo
• Transferencias de datos
• Sistemas tecnológicos críticos

Metodología

• Identificación de procesos (RAT)
• Identificación de riesgos por actividad
• Evaluación de probabilidad e impacto
• Determinación del nivel de riesgo
• Definición de medidas de mitigación
• Aplicación de EIPD en casos de alto riesgo

Controles del DPO

• Identificación de riesgos por proceso
• Evaluación de impacto realizada
• Plan de mitigación documentado
• EIPD ejecutada en casos de alto riesgo

Entregables

Nivel de Madurez

Objetivo

Formalizar el cumplimiento de la normativa de protección de datos personales mediante la elaboración, aprobación e implementación de documentación legal, técnica y organizativa que regule el tratamiento de datos personales en la organización.

Alcance

• Relaciones con clientes
• Gestión de empleados
• Relaciones con proveedores
• Interacciones con terceros

Metodología

• Levantamiento de necesidades documentales
• Redacción de políticas y procedimientos
• Aprobación por dirección
• Implementación y difusión
• Capacitación al personal

Controles del DPO

• Política de protección de datos documentada
• Consentimientos informados por finalidad
• Procedimiento de derechos ARCO
• Procedimiento de gestión de incidentes
• Cláusulas contractuales con encargados

Entregables

Nivel de Madurez

Objetivo

Establecer e implementar medidas técnicas y organizativas que garanticen la protección efectiva de los datos personales frente a accesos no autorizados, pérdida, alteración o divulgación indebida.

Alcance

• Sistemas de información
• Archivos físicos y digitales
• Procesos operativos
• Personal con acceso a datos personales

Metodología

• Diagnóstico de seguridad actual
• Identificación de activos de información
• Evaluación de vulnerabilidades
• Implementación de controles
• Monitoreo y mejora continua

Controles del DPO

• Control de accesos por perfiles y roles
• Gestión de contraseñas seguras
• Copias de seguridad (backups) periódicas
• Protección física de archivos
• Registro y monitoreo de accesos
• Cifrado de información sensible

Entregables

Nivel de Madurez

Objetivo

Garantizar el ejercicio efectivo, oportuno y gratuito de los derechos de los titulares de datos personales —Acceso, Rectificación, Cancelación (Eliminación) y Oposición (ARCO)— mediante la implementación de mecanismos formales, trazables y verificables.

Alcance

• Clientes
• Empleados
• Proveedores
• Usuarios digitales

Metodología

• Recepción de la solicitud
• Validación de identidad del titular
• Registro y asignación de caso
• Análisis de procedencia legal
• Respuesta al titular (clara, motivada, completa)
• Ejecución y cierre del caso

Controles del DPO

• Canal de recepción habilitado (correo, formulario web)
• Validación de identidad documentada
• Respuesta en plazos legales
• Registro de solicitudes implementado

Entregables

Nivel de Madurez

Objetivo

Establecer un procedimiento formal para la detección, gestión, respuesta y notificación de incidentes de seguridad que comprometan datos personales, con el fin de minimizar impactos legales, técnicos y reputacionales.

Alcance

• Sistemas informáticos
• Archivos físicos
• Plataformas digitales
• Interacciones con terceros

Metodología

• Detección del incidente
• Notificación interna (TI y DPO)
• Contención del incidente
• Evaluación de impacto
• Notificación externa (autoridades y titulares)
• Remediación y cierre documentado

Controles del DPO

• Procedimiento formal documentado
• Registro de incidentes implementado
• Notificación a autoridades cuando aplique
• Plan de acción definido

Entregables

Nivel de Madurez

Objetivo

Establecer un programa estructurado de capacitación que permita reducir los riesgos derivados del factor humano en el tratamiento de datos personales, garantizando que el personal conozca y aplique correctamente las políticas, procedimientos y obligaciones legales.

Alcance

• Directivos
• Personal administrativo
• Área comercial
• Talento humano
• Área de tecnología
• Proveedores con acceso a datos

Metodología

• Capacitación inicial para todo el personal
• Capacitación anual de actualización
• Capacitación especializada por áreas críticas
• Talleres prácticos y casos reales
• Evaluaciones de conocimiento

Controles del DPO

• Programa de capacitación inicial implementado
• Capacitación periódica (anual)
• Registro de asistencia y evaluación

Entregables

Nivel de Madurez

Objetivo

Establecer un sistema continuo de auditoría y seguimiento que permita verificar el cumplimiento de la normativa de protección de datos personales, identificar desviaciones y garantizar la mejora continua de los procesos implementados.

Alcance

• Todos los procesos de tratamiento de datos
• Todas las áreas de la organización
• Sistemas de información
• Todas las fases del sistema de protección de datos

Metodología

• Auditoría interna periódica (anual mínimo, semestral recomendado)
• Revisión de políticas y procedimientos
• Validación del RAT
• Evaluación de gestión de incidentes
• Reporte formal a la alta dirección

Controles del DPO

• Auditoría interna periódica
• Definición de indicadores de cumplimiento
• Plan de mejora continua
• Reporte formal a la alta dirección

Entregables

Nivel de Madurez