Llevar el registro de tratamientos

El registro describe cada tratamiento de datos personales de tu organización: por qué se tratan los datos, con qué base jurídica, sobre quién, quién los recibe, cuánto tiempo se conservan y cómo se protegen. Es el primer documento que pide la autoridad de control (artículo 30 del RGPD).

Abarca todos tus tratamientos, no solo los de MyZapp: las nóminas, la videovigilancia o el software de gestión también tienen su lugar.

Quién hace qué

Los administradores tienen los mismos derechos que los delegados.

Crear la entidad jurídica

Cada entidad lleva su propio registro: una instancia puede tener varias (grupo de sociedades, establecimientos).

1. Abre Protección de datos › Registro de tratamientos y luego Entidades jurídicas.
2. Indica el código, la razón social y el país.
3. Indica el delegado de protección de datos y, para un responsable establecido fuera de la Unión, su representante (artículo 27).
4. Guarda.

Estos datos figuran al inicio del registro exportado.

Partir de las propuestas de los módulos

Los módulos de MyZapp declaran los datos personales que tienen, de modo que no necesitas describir estos tratamientos desde cero.

1. En el registro, pulsa Proponer los tratamientos de los módulos.
2. Cada tratamiento aún ausente llega con el estado Propuesta, con sus finalidades, sus categorías de interesados y de datos y su base jurídica propuesta.
3. Abre cada propuesta y complétala: la base jurídica propuesta es solo un punto de partida, te corresponde a ti confirmarla.
4. Pulsa Validar para incorporarla al registro, o Descartar indicando el motivo si el tratamiento no te afecta.

Una propuesta descartada no se vuelve a proponer: su motivo queda en el registro. La encontrarás en la pestaña Descartadas y archivadas, desde donde puedes restablecerla.

Añadir un tratamiento fuera de la aplicación

Pulsa Nueva actividad y elige En otro sistema en Dónde están los datos. Indica el sistema, su proveedor, su alojamiento y su propietario interno.

Indica también cómo ejercer los derechos de las personas en ese sistema: el propietario del sistema usa estas instrucciones cuando llega una solicitud.

Qué comprueba la ficha

El guardado se rechaza, con el motivo, en estos casos:

• no se indica ninguna finalidad;
• se marcan datos sensibles (artículo 9) sin una condición del artículo 9.2;
• se marcan datos penales (artículo 10) sin su fundamento;
• se declara una transferencia fuera de la Unión sin los países y la garantía;
• una actividad del registro del encargado no indica los responsables por cuenta de los cuales se realiza;
• un sistema externo no tiene nombre.

Los dos registros

• Responsable del tratamiento (artículo 30.1): los tratamientos que decide tu organización.
• Encargado del tratamiento (artículo 30.2): los que realizas por cuenta de tus clientes.

Cada uno tiene su pestaña y sus propias exportaciones.

Versiones y revisiones

Cada cambio crea una versión con fecha, con su autor y los campos modificados. El historial figura al final de la ficha.

Para planificar una revisión, indica Revisión cada (meses). Al vencimiento, los delegados reciben un recordatorio, y la casilla Revisión vencida del registro filtra las actividades afectadas. Una vez hecha la revisión, pulsa Revisión hecha: se recalcula el siguiente vencimiento.

Exportar e importar

• PDF: el registro en vigor, en tu idioma, para presentarlo en una inspección.
• CSV: las propuestas y las actividades en vigor, con columnas y códigos estables sea cual sea el idioma.
• Importar un CSV: una referencia desconocida crea una actividad, una referencia conocida la actualiza. Las filas no válidas se rechazan y las demás pasan. El archivo debe contener al menos las columnas reference y name; parte de una exportación para tener todas las columnas. Una columna ausente del archivo conserva el valor de la actividad existente.