El RGPD exige proteger los tratamientos con medidas técnicas y organizativas apropiadas (artículo 32) y pensar la protección de datos desde el diseño y por defecto (artículo 25). MyZapp lleva ambas cosas en Protección de datos › Medidas de seguridad.
Medidas comprobadas por la aplicación
En la parte superior de la página, MyZapp muestra las medidas que comprueba por sí mismo en la instancia:
| Medida | Qué se comprueba |
|---|---|
| Cifrado de la aplicación en reposo | Hay una clave de cifrado de datos |
| Registros encadenados | La integridad de los registros de auditoría es verificable |
| Registro de accesos a datos sensibles | Las consultas de datos sensibles quedan registradas |
| Anclaje de los registros fuera de la base | Los registros se anclan en un almacenamiento externo |
| Contraseñas | La longitud mínima es de al menos 12 caracteres |
| Doble autenticación | Se exige a al menos un grupo |
Cada línea indica si la medida está vigente y si ya figura en tus medidas.
Las medidas
Para cada entidad jurídica, el delegado (o un administrador) describe sus medidas: familia (control de acceso, cifrado, copia de seguridad, formación…), estado (prevista, vigente, no aplica), prueba (procedimiento, documento, enlace), responsable, tratamientos protegidos y ritmo de revisión. Una medida puede vincularse a una medida comprobada: la pantalla muestra entonces ambas juntas.
El botón Marcar como revisada fecha la revisión y calcula la siguiente. El panel señala las medidas previstas o por revisar.
Protección desde el diseño y por defecto
En la parte inferior, cada tratamiento abre su revisión del artículo 25: diez puntos, tres de los cuales se comprueban en el registro y no se marcan a mano:
- hay un plazo de conservación fijado;
- al menos una medida de seguridad vigente protege el tratamiento;
- la necesidad de evaluación de impacto está decidida.
Los demás (minimización, campos opcionales desactivables, acceso restringido por defecto, ocultación en pantalla, exportaciones seudonimizadas, información de las personas, ejercicio de los derechos) se marcan en cada revisión, con observaciones. Cada registro añade una revisión fechada; las anteriores siguen visibles. Los responsables de tratamientos también pueden llevar estas revisiones.