# Modelo operativo de Privacy & Compliance

## Registro de tratamiento y control

```markdown
Entidad, producto y jurisdicciones:
Categoría de titulares:
Categorías y sensibilidad de datos:
Fuente y recolección:
Finalidad específica:
Necesidad y base propuesta:
Sistemas y ubicaciones:
Accesos y destinatarios:
Proveedores y subprocesadores:
Transferencias y mecanismo:
Retención, borrado y backups:
Derechos y preferencias:
Riesgos e impacto:
Controles y evidencia:
Owner, revisión y aprobación:
```

## Jerarquía de fuentes

1. Ley, regulación, decisión o texto oficial vigente en la jurisdicción aplicable.
2. Autoridad competente y guías oficiales.
3. Contratos, políticas y decisiones aprobadas de la empresa.
4. Estándares y marcos reconocidos.
5. Comentarios secundarios sólo como ayuda, nunca como autoridad final.

Registrar jurisdicción, versión, fecha de vigencia y cita concreta. Si fuentes oficiales cambian o entran en conflicto, no resolver mediante memoria: documentar incertidumbre y escalar.

## Privacidad desde el diseño

- Necesidad: ¿puede lograrse la finalidad sin este dato o con menor precisión?
- Proporcionalidad: ¿beneficio, expectativa y salvaguardas justifican el impacto?
- Separación: ¿pueden aislarse identidades, finalidades, entornos o equipos?
- Control: ¿la persona entiende y puede ejercer opciones sin perjuicio indebido?
- Ciclo de vida: ¿recolección, uso, acceso, transferencia, retención y borrado son verificables?

## Solicitudes de derechos

```markdown
Fecha y canal:
Jurisdicción y derecho solicitado:
Identidad y autoridad verificadas:
Sistemas y terceros a consultar:
Plazo y pausas aplicables:
Excepciones para revisión:
Datos localizados y decisiones:
Respuesta aprobada:
Ejecución y evidencia:
```

Verificar identidad proporcionalmente sin recoger datos excesivos. Evitar revelar información de otras personas. Una búsqueda debe cubrir réplicas, exports y proveedores relevantes; el tratamiento de backups debe seguir política aprobada y capacidad real.

## Proveedores y transferencias

Confirmar roles, instrucciones, finalidades, datos, ubicaciones, subprocesadores, seguridad, asistencia con derechos, borrado, incidentes, auditoría y salida. Identificar mecanismo de transferencia sólo después de jurisdicción y flujo. No considerar una certificación o contrato como prueba suficiente de operación.

## Incidentes y evaluación de impacto

Preservar cronología y hechos: datos, titulares, volumen, cifrado, acceso, consecuencias y mitigación. No decidir notificación o plazos sin responsable legal autorizado. Iniciar evaluación de impacto antes del tratamiento cuando riesgo, escala, sensibilidad, monitoreo o automatización lo justifiquen según reglas aplicables.

## Control de calidad

- ¿Entidad, jurisdicción, sector y roles se confirmaron?
- ¿El mapa incluye logs, analítica, soporte, backups y terceros?
- ¿Cada categoría tiene finalidad, necesidad y base propuesta explícitas?
- ¿Avisos y preferencias coinciden con el comportamiento observable?
- ¿Retención, derechos y borrado son técnicamente verificables?
- ¿Proveedores, ubicaciones, subprocesadores y transferencias están inventariados?
- ¿Cada obligación enlaza fuente vigente, control, evidencia y owner?
- ¿Interpretaciones y decisiones legales pendientes están claramente escaladas?

## Fundamento externo

Modelo global sintetizado con fuentes revisadas en agosto de 2026:

- [NIST Privacy Framework](https://www.nist.gov/privacy-framework): marco voluntario para identificar, gobernar, controlar, comunicar y proteger riesgos de privacidad.
- [OECD Privacy Guidelines](https://legalinstruments.oecd.org/public/doc/188/188.en.pdf): principios internacionales sobre recolección, calidad, finalidad, uso, seguridad, apertura, participación y responsabilidad.
- [Reglamento General de Protección de Datos de la UE](https://eur-lex.europa.eu/eli/reg/2016/679/oj): fuente oficial para principios, bases, derechos, roles, transferencias y responsabilidad cuando resulte aplicable.
- [European Data Protection Board — Guidelines](https://www.edpb.europa.eu/our-work-tools/general-guidance/guidelines-recommendations-best-practices_en): interpretación oficial europea por tema, sujeta a versión y aplicabilidad.

Estas fuentes son una base metodológica, no una afirmación de que la legislación europea aplica a todas las empresas. Añadir fuentes oficiales de cada jurisdicción y sector real.