Mapear las actividades de tratamiento de datos personales

Levantar, por área (ventas, RR.HH., marketing, etc.), qué datos se tratan, con qué finalidad, base de licitud, destinatarios/encargados y plazo de conservación — insumo directo del RAT. Esfuerzo con confianza media (R8): estimación inicial a calibrar con los primeros proyectos reales.

Definir responsable interno y canal de reporte de brechas

Designar quién recibe y escala internamente el reporte de una vulneración de seguridad, y el canal por el que el personal debe reportarla (correo/formulario) — precondición del procedimiento de brechas y del playbook del war-room. Esfuerzo con confianza media (R8): estimación inicial a calibrar con los primeros proyectos reales.

Designar Delegado de Protección de Datos (DPO)

Designar formalmente a la persona (interna o provista por Thinkbox) responsable de coordinar el cumplimiento de la 21.719 en la empresa; habilita el Modelo de Prevención de Infracciones (atenuante). Esfuerzo con confianza media (R8): estimación inicial a calibrar con los primeros proyectos reales.

Generar y aprobar la Evaluación de Impacto (EIPD)

Producir la EIPD cuando el perfil de la empresa activa alguno de los cuatro supuestos del art. 15 ter (perfilamiento con efectos significativos, tratamiento masivo, monitoreo de zona pública o datos sensibles bajo excepción de consentimiento). Esfuerzo con confianza media (R8): estimación inicial a calibrar con los primeros proyectos reales.

Evaluar y documentar las transferencias internacionales de datos

Revisar cada proveedor/destinatario en el extranjero (incluye SaaS extranjero), determinar si el país ofrece nivel adecuado de protección y, si no, qué garantías aplican (cláusulas contractuales, certificaciones). Esfuerzo con confianza media (R8): estimación inicial a calibrar con los primeros proyectos reales.

Generar y aprobar el Registro de Actividades de Tratamiento (RAT)

Producir el RAT con el motor de documentos a partir del mapeo de tratamientos, y que el DPO lo revise con el abogado antes de aprobarlo. Esfuerzo con confianza media (R8): estimación inicial a calibrar con los primeros proyectos reales.

Generar el Contrato de Encargo de Tratamiento (DPA) modelo

Producir el modelo de contrato de encargo a partir del RAT (para identificar a los encargados), y que el abogado lo revise antes de usarlo con los proveedores. Esfuerzo con confianza media (R8): estimación inicial a calibrar con los primeros proyectos reales.

Generar y aprobar la Política de Privacidad

Producir la política de privacidad (deber de información y transparencia) a partir del RAT ya aprobado, y que el abogado la revise antes de publicarla. Esfuerzo con confianza media (R8): estimación inicial a calibrar con los primeros proyectos reales.

Habilitar canal y procedimiento de atención de derechos ARCO+P

Dejar operativo el canal (formulario/correo) y el procedimiento interno para recibir y responder solicitudes de acceso, rectificación, supresión, oposición y portabilidad, con archivo de respaldo de cada respuesta. Esfuerzo con confianza media (R8): estimación inicial a calibrar con los primeros proyectos reales.

Generar y aprobar el Procedimiento de Gestión y Notificación de Vulneraciones

Producir el procedimiento de brechas con el responsable/canal interno ya definidos, y que el abogado lo revise antes de aprobarlo. Esfuerzo con confianza media (R8): estimación inicial a calibrar con los primeros proyectos reales.

Implementar privacidad desde el diseño en sistemas nuevos

Establecer una revisión de privacidad (checklist corta) antes de contratar o desarrollar cualquier sistema nuevo que trate datos personales, con configuración menos invasiva por defecto. Esfuerzo con confianza media (R8): estimación inicial a calibrar con los primeros proyectos reales.

Implementar respaldos y plan de recuperación

Programar respaldos periódicos de los sistemas con datos personales y probar al menos una vez la restauración. Esfuerzo con confianza media (R8): estimación inicial a calibrar con los primeros proyectos reales.

Implementar seudonimización y minimización de datos

Revisar formularios/sistemas y eliminar campos innecesarios; seudonimizar identificadores en entornos de prueba y analítica. Esfuerzo con confianza media (R8): estimación inicial a calibrar con los primeros proyectos reales.

Implementar políticas de retención y eliminación

Definir plazos de conservación por tipo de dato y automatizar (o agendar) la eliminación/anonimización de datos vencidos. Esfuerzo con confianza media (R8): estimación inicial a calibrar con los primeros proyectos reales.

Implementar registro de auditoría (logs)

Activar y centralizar el registro de accesos/actividad sobre datos personales, con retención mínima de 6 meses y acceso restringido para borrarlos. Esfuerzo con confianza media (R8): estimación inicial a calibrar con los primeros proyectos reales.

Formalizar y firmar los DPA con cada encargado

Enviar, negociar y firmar el contrato de encargo (DPA) con cada proveedor que trate datos personales por cuenta de la empresa, a partir del modelo ya generado. Esfuerzo con confianza media (R8): estimación inicial a calibrar con los primeros proyectos reales.

Implementar control de acceso por rol (RBAC)

Configurar perfiles de acceso por rol en los sistemas que tratan datos personales, con principio de menor privilegio, y dejar evidencia del estado en org_medida_estado. Esfuerzo con confianza media (R8): estimación inicial a calibrar con los primeros proyectos reales.