Proyecto: tu inventario de datos y política que sí aplica

De cuatro módulos a un solo expediente

Mesa de trabajo con un mapa de flujos de datos, una tabla de niveles y dos documentos firmados: aviso y política — El cumplimiento no es un documento suelto: es un mapa, una matriz y dos textos que se contradicen entre sí lo menos posible.

Aquí se cobra lo que viste módulo a módulo. La diferencia entre una empresa que «tiene papeles» y una que cumple está en que sus piezas cuadren: el aviso promete lo que el inventario recoge, el inventario justifica el nivel de la matriz, y la política describe cómo se atiende un ARCO sobre esas mismas bases. Este proyecto se entrega en cuatro artefactos y una revisión de coherencia, y se hace sobre datos reales de tu operación, no sobre un caso hipotético. Trabajarlo con el responsable de tu empresa (o con quien lleve sistemas y RH) es parte del método: nadie arma un inventario de flujos desde afuera.

El inventario de flujos es la columna vertebral. Por cada base anota: nombre de la base (CRM, nómina, cámaras, formulario web), datos que contiene y su categoría (identificación, financiero, sensible), fuente (de quién y cómo entra), finalidad ligada a cada campo —si un campo no responde a un fin del aviso, sobra (proporcionalidad)—, área y personas con acceso real, encargados externos (nube, gestoría, paquetería, agencia) con su contrato, transferencias y, si las hay, su consentimiento reforzado, y retención con fecha o criterio de baja. La matriz de medidas toma ese inventario y le pone candado: nivel, medidas que ya cumples y brecha por cerrar, con dueño y plazo. Con esos dos cuadernos, el aviso integral y la política interna salen casi solos: la política define quién atiende el ARCO, por dónde entra la solicitud y qué se hace ante un incidente; el aviso publica esas mismas reglas hacia afuera. Deja el expediente con fechas y versiones —un documento sin fecha es inexistente en una revisión.

Los cuatro artefactos y qué prueba cada uno
Artefacto	Qué contiene	Qué demuestra
Inventario de flujos	Base, dato, fuente, fin, acceso, encargado, retención	Sabes qué tratas y por qué (alcance y proporcionalidad)
Matriz de medidas	Nivel por base y controles técnicos, físicos, administrativos	Graduaste el candado según el riesgo del dato
Aviso de privacidad	Fines, transferencias y medio para ejercer derechos	Informaste y publicaste dónde ejercer el ARCO
Política interna	Dueño del caso, flujo ARCO y respuesta a incidentes	Tienes procedimiento documentado, no improvisación

Al cruzar tus artefactos en la revisión de coherencia, tu aviso dice que tratas datos de salud «para beneficios de bienestar», pero el inventario no tiene ninguna base con dato sensible y la matriz no marca nivel III. ¿Qué acción es la correcta?

Clasifica cada producto según el artefacto del proyecto donde vive:

Arrastra cada ficha a su categoría (o tócala y luego toca la categoría). También puedes usar el teclado.

«Como mi empresa es chica, me basta descargar una política y un aviso genéricos de internet✦ y firmarles el nombre: con eso cumplo.»

Un programa de datos no se mide por el documento más bonito, sino porque el aviso, el inventario y la política cuentan la misma historia.
— Lumbre · Empresa

Arma el expediente en una sentada con estas cuatro entregables y una pasada de coherencia final: (1) inventario de tus 5 bases más importantes con fuente, fin, acceso, encargado y retención; (2) matriz con el nivel (I/II/III) de cada base y las medidas que ya cumples frente a las que faltan, con dueño y plazo; (3) borrador de aviso integral verificado contra los fines del inventario, y (4) política interna de una cuartilla con el medio del ARCO, su dueño y la ruta ante un incidente. Al cerrar, haz la prueba cruzada: cada fin del aviso debe tener su base, cada base su nivel, cada nivel sus medidas. Marca las brechas que no puedes cerrar hoy y fecha tu próximo paso.

Deja el expediente con versión y fecha: la trazabilidad de cuándo lo armaste es parte del cumplimiento.

Tu texto se guarda sólo en este dispositivo.

Para dominar este tema

Lo esencial que debes saber

El expediente son cuatro piezas que deben contar la misma historia.
Mapa antes que texto: se parte del inventario, no del aviso.
La matriz liga cada base con su nivel y sus medidas, con dueño y plazo.
La revisión de coherencia es donde el cumplimiento se vuelve defendible.
Documento sin fecha ni versión no acredita nada ante una revisión.

Preguntas clave del tema

¿Qué bases tengo y qué dato delicado guarda cada una?
¿Cada campo que recogemos responde a un fin publicado?
¿Qué nivel y qué medidas corresponden a cada base?
¿Dónde entra un ARCO y quién lo atiende?
¿Mis cuatro documentos dicen lo mismo entre sí?

Lo que debes poder hacer

Producir un inventario de flujos de datos completo de tu empresa.
Construir la matriz nivel-medidas con brechas, dueños y plazos.
Redactar aviso y política coherentes con el inventario y la matriz.
Ejecutar una revisión de coherencia y dejar el expediente fechado.

Chequeo: expediente de protección de datos

Aquí se mira lo que ya fuiste acertando. Pulsa «Comprobar» para saber si puedes seguir.

Fin del curso. Protección de datos personales para tu empresa te deja un mapa de datos, una matriz de medidas, un aviso y una política que puedes aplicar desde mañana. Lo que sigue en tu operación no es redactar más: es cumplir lo que ya escribiste y revisar el expediente al menos una vez al año, o cada vez que cambie un flujo de datos.