Cuestionario Privacidad Evaluación de Proveedores

0. Tamaño de la empresa.

0.1 Tamaño(Obligatorio)

Micro-empresa

Empresa Pequeña

Empresa Mediana

Empresa Grande

1. Cuestiones generales.

1.1 ¿La empresa/empresario sabe cuando y cómo tiene que aplicar la protección de datos?(Obligatorio)

Respuesta Si

Dispone del registro de actividades, pero no está actualizado.

Dispone del registro de actividades actualizado y completado.

Respuesta: No

No dispone del registro de actividades.

1.2 ¿Ha nombrado a alguien como el encargado de cuidar los datos de los clientes (DPO)? Si ¿quién es? NO, ¿por qué no has nombrado a nadie?(Obligatorio)

Respuesta: Si

Dispone de DPO siendo obligatorio/voluntario.

Respuesta: No

No dispone de DPO siendo obligatorio.

No dispone de DPO siendo voluntario.

1.3 ¿La empresa/empresario compromete a seguir las reglas establecidas en el contrato de encargado del tratamiento de Naturgy/Nedgia?(Obligatorio)

Respuesta: Si

Se compromete a firmar el contrato para garantizar el cumplimiento de los dispuesto en el artículo 28 del RGPD.

Respuesta: No

No se compromete a firmar el contrato.

2. Medidas de seguridad.

2.1 ¿Tiene un método para hacer una evaluación de riesgos? Cuéntanos cómo es.(Obligatorio)

Respuesta: Si

Dispone de metodología de análisis de riesgos pero no está plenamente implantada.

Dispone de una metodología de análisis de riesgos implantada.

Respuesta: No

No dispone de una metodología de análisis de riesgos implantada.

2.2 ¿Tiene establecido un método para informar al responsable del tratamiento sobre posibles brechas de seguridad de datos, de manera que se cumpla con el plazo legal establecido en el RGPD?(Obligatorio)

Respuesta Si

Dispone de un procedimiento de notificación de violaciones de datos al responsable.

Respuesta: No

No dispone de un procedimiento de notificación de violaciones de datos al responsable.

2.3 ¿Usa algún tipo de reglas o estándares para mantener seguros los datos? Si es así, ¿cuáles?(Obligatorio)

Respuesta: Si

Utiliza un estándar de medidas de seguridad ampliamente reconocido como solvente para mitigar el nivel de riesgo.

Respuesta: No

No utiliza ningún estándar de referencia.

2.4 ¿Ha puesto en práctica las medidas necesarias para asegurar que los datos estén bien protegidos y disponibles, según lo que establece el artículo 32 del RGPD?(Obligatorio)

Respuesta: Si

Tiene implantadas las medidas de seguridad apropiadas según las exigencias del RGPD.

Respuesta: No

No tiene implantadas las medidas de seguridad apropiadas según las exigencias del RGPD.

3. Confidencialidad.

3.1 ¿La empresa cuenta con empleados?(Obligatorio)

3.1.1 ¿Han firmado algún compromiso de mantener la confidencialidad al trabajar con los datos?

Respuesta: Si

Han firmado los empleados que van a prestar el servicio un compromiso de confidencialidad.

Respuesta: No

No han firmado los empleados que van a prestar el servicio un compromiso de confidencialidad.

Respuesta: No

No hay empleados en la empresa

3.2 ¿Está de acuerdo en no usar ni compartir los datos proporcionados para ningún otro propósito que no sea el acordado previamente?(Obligatorio)

Respuesta: Si

Se garantiza el compromiso de no utilización de los datos para otras finalidades diferentes a las acordadas.

Respuesta: No

No puede comprometerse mediante contrato u otro acuerdo a garantizar la no utilización de los datos para otras finalidades.

4. Accountability y auditoría.

4.1 ¿Se han realizado auditorías de privacidad en los últimos dos años?(Obligatorio)

Respuesta: Si

Ha realizado auditoría de privacidad en los últimos dos años a nivel interno.

Ha realizado auditoría de privacidad en los últimos dos años por empresa externa de reconocido prestigio.

Respuesta: No

No ha realizado ninguna auditoría de privacidad en los últimos dos años.

4.2 ¿Se han implementado las correcciones sugeridas después de la auditoría?(Obligatorio)

Respuesta: Si

Se están implantando las medidas correctoras derivadas de la auditoría.

Se han implantado las medidas correctoras derivadas de la auditoría.

Respuesta: No

No se han implantado las medidas correctoras derivadas de la auditoría/no se ha realizado auditoría de privacidad.

4.3 ¿Realiza revisiones periódicas internas para asegurarse de que cumple con las normas de protección de datos?(Obligatorio)

Respuesta: Si

Existen controles definidos pero no se aplican de forma sistemática.

Tiene definidos e implantados controles periódicos

Respuesta: No

No tiene implantados controles periódicos.

4.4 ¿Está de acuerdo el encargado del tratamiento en permitir que el responsable del tratamiento realice una auditoría...?(Obligatorio)

Respuesta: Si

Permite solo a través de la entrega de evidencias.

Permite la auditoría de sus procesos para verificar el cumplimiento de la normativa.

Respuesta: No

No permite la auditoría de sus procesos para verificar el cumplimiento de la normativa.

4.5 ¿Está dispuesto a proporcionar informes de auditorías externas e internas para verificar el estado de cumplimiento normativo?(Obligatorio)

Respuesta: Si

Facilita de forma parcial la entrega de los informes de aditoría.

Facilita los informes de auditoría de sus procesos para verificar el cumplimiento de la normativa.

Respuesta: No

No facilita los informes de auditoría interna/externa.

5. Subcontratación.

5.1 ¿Planea subcontratar parte del servicio? Si es así, ¿se ha regulado adecuadamente mediante un contrato de encargado del tratamiento según lo establecido en el artículo 28 del RGPD?(Obligatorio)

Respuesta: Si

El proveedor se sirve de subcontratistas con los que no suscribe un contrato

Se va a subcontratar el servicio, cumpliendo con los requisitos del art.28 RGPD.

Respuesta: No

No se va a subcontratar el servicio.

5.2 ¿Se ha planeado verificar regularmente si los subcontratistas cumplen con las reglas?(Obligatorio)

Respuesta: Si

Se revisa periódicamente el cumplimiento de la normativa de protección de datos por parte del subcontratista/no se va a subcontratar el servicio

Respuesta: No

No se revisa periódicamente el cumplimiento de la normativa de protección de datos por parte del subcontratista.

6. Transferencias internacionales.

6.1 ¿Se manejan datos fuera de la Unión Europea? En ese caso, ¿en qué país se manejan y qué garantías legales respaldan este tratamiento?(Obligatorio)

Respuesta: Si

Para prestar el servicio necesita realizar TID a un país sin nivel adecuado de protección pero sin adoptar ninguna garantía habilitante.

Para prestar el servicio necesita realizar TID a un país sin nivel adecuado de protección pero utilizando las garantías habilitantes.

Respuesta: No

No se realizan TID o las realiza dentro del Espacio Económico Europeo o a un país que cuente con una decisión de adecuación.

7. Sanciones y procedimientos inspectores

7.1 ¿La empresa/empresario ha sido sancionado en los últimos dos años por no seguir las reglas de protección de datos? Si sí, ¿por qué?(Obligatorio)

Respuesta: Si

Ha sido sancionado por infracciones de la normativa de protección de datos en los 2 últimos años y no ha implementado medidas de subsanación para evitar que pueda volver a comenterse una infracción de protección de datos.

Ha sido sancionado por infracciones de la normativa de protección de datos en los 2 últimos años pero ya ha implementado plenamente las medidas de subsanación para evitar que pueda volver a comenterse una infracción de protección de datos.

Respuesta: No

No ha sido sancionado por infracciones de la normativa de protección de datos en los 2 últimos años.

7.2 ¿Actualmente, estás siendo investigado o enfrentando algún tipo de sanción por parte de la Autoridad de control? Si es así, ¿por qué motivo?(Obligatorio)

Respuesta: Si

Tiene abierto procedimiento sancionador por tratamientos similares a los incluidos en el servicio a prestar a Naturgy.

Tiene abierto procedimiento sancionador por tratamientos distintos a los incluidos en el servicio a prestar a Naturgy.

Respuesta: No

No tiene abiertos procedimientos sancionadores por infracciones de la normativa de protección de datos.

8. Ejercicio de derechos ARCO+

8.1 ¿Tienes procedimientos internos para manejar las solicitudes de derechos ARCO+ que puedas recibir?(Obligatorio)

Respuesta: Si

Cuenta con un proceso definido para la gestión de los ejercicios de derechos ARCO+ que reciba.

Respuesta: No

No cuenta con un proceso definido para la gestión de los ejercicios de derechos ARCO+ que reciba.

Puntuación total RGPD

Observaciones: