Operar, demostrar y defender — cada semana

La ley exige un registro de actividades: qué datos se usan, con qué finalidad, de quién son, en qué sistemas viven y si salen de Chile. Ese mapa es la base para responder con fundamento ante una persona, un cliente o la Agencia.

• Inventario de fuentes con registro exportable y semáforo de completitud.
• Versiones y aprobación del responsable de privacidad cuando el tratamiento cambia.
• Destinos internacionales y mecanismos de resguardo documentados por tratamiento.

En Verifier. Cada fuente lleva su ficha de registro con historial de versiones. El semáforo marca los faltantes y el PDF del inventario de la organización sale listo para revisión.

Cada finalidad necesita una base de licitud. La política que se publica debe reflejar lo que la organización hace en la práctica. Cuando el tratamiento se apoya en consentimiento, el retiro también debe quedar registrado.

• Bases por finalidad, con análisis de ponderación cuando corresponde.
• Políticas con versión vigente, publicación externa y constancia del equipo.
• Revocaciones con fecha, canal y prueba para dejar de tratar con respaldo.

En Verifier. La política externa vigente se publica con URL propia y se enlaza desde el canal de derechos. Una revocación actualiza el estado de la finalidad en el inventario.

Si un tercero opera datos por cuenta del responsable, el encargo debe quedar documentado, con garantías verificables y revisiones periódicas. El contrato firmado es el punto de partida; el seguimiento es lo que sostiene el cumplimiento.

• Portal del encargado con evaluaciones, evidencias y expediente auditables.
• Contratos de tratamiento y pedidos de cooperación cuando alguien ejerce un derecho.
• Calendario de revisiones según el riesgo de cada proveedor.

En Verifier. Invitas al contacto por correo, el encargado entra con su cuenta y el expediente queda en la ficha. Las evaluaciones por vencer suben a la cola del día.

Cualquier persona puede pedir acceso, rectificación, supresión, oposición, portabilidad o bloqueo. El responsable tiene plazos para pronunciarse y debe ofrecer un canal accesible, con trazabilidad de punta a punta.

• Formulario en el sitio de la organización y bandeja interna con plazos visibles.
• Expediente por solicitud: identidad, alcance, respuesta y cierre documentado.
• Encargados que colaboran en la gestión sin ver los datos personales del titular.

En Verifier. Publicas el formulario en tu sitio o con el widget: cada ticket lleva su reloj y su expediente. Desde ahí pides ayuda al encargado sin compartir los datos de la persona.

Las medidas de seguridad deben ser acordes al riesgo del tratamiento. Cuando ese riesgo es alto, conviene un análisis previo. Si ocurre una vulneración, hay que documentar, evaluar el impacto y avisar sin dilación indebida cuando corresponda.

• Medidas técnicas y organizativas ligadas a cada fuente, con revisión de eficacia.
• Evaluaciones de impacto guiadas en tratamientos sensibles o de alto riesgo.
• Registro de brechas con reloj operativo, vínculo a fuentes y plantillas de aviso.

En Verifier. Los controles se amarran a las fuentes del inventario. La EIPD arrastra titulares y categorías del registro; una brecha vincula fuentes y encargados del incidente.

La ley exige responsabilidad demostrada: mostrar qué se hizo, quién lo hizo y con qué evidencia. Eso incluye capacitar al equipo y conservar rastro de las decisiones relevantes del programa.

• Tablero de madurez y cola del día con pendientes accionables.
• Pack de evidencia descargable y bitácora de acciones.
• Capacitación del equipo con constancia de quién fue instruido.

En Verifier. El inicio concentra lo urgente y el índice de madurez. Con un clic descargas el pack de evidencia con el mismo criterio que ves en el tablero.