Proteger los datos personales que tiene su ONG.
Evaluaciones, políticas, revisiones de seguridad y formación del personal para organizaciones que tienen datos personales, conforme al RGPD.
Evaluaciones, normas y formación para los datos personales.
Evaluaciones de protección de datos
Talleres de autoevaluación y su análisis, una revisión de sus políticas actuales y una evaluación de riesgos.
Empezamos con talleres de autoevaluación en los que sus equipos describen cómo recogen, almacenan y comparten datos personales. Analizamos lo que muestran, revisamos las políticas que tienen y evaluamos los riesgos, para que sepan dónde actuar primero.
Lo que obtiene
- Talleres de autoevaluación con sus equipos
- Un informe de hallazgos
- Una revisión de sus políticas actuales
- Una evaluación de riesgos, priorizada
- Herramientas y métodos
- GDPR, LPD suiza, POPIA
Dónde lo hemos hecho
- Diakonie Katastrophenhilfe: Talleres de autoevaluación analizados y documentados, y luego directrices de protección de datos redactadas para toda la organización.
- Cáritas Switzerland: Recomendaciones sobre la seguridad y la protección de los datos, conformes al RGPD, junto con asesoramiento sobre herramientas de información.
Políticas y procedimientos
Políticas de protección de datos y procedimientos paso a paso, alineados con el RGPD, con margen para adaptarse a la ley de cada país.
Una política solo funciona si el personal puede aplicarla. Convertimos sus principios en procedimientos paso a paso con roles claros, lo bastante breves para leerse, alineados con el RGPD y con margen para la legislación de cada país.
Lo que obtiene
- Políticas alineadas con el RGPD
- Procedimientos paso a paso, roles y obligaciones
- Una directiva lo bastante breve para aplicarse, más anexos
- Un resumen breve para el personal
- Herramientas y métodos
- GDPR, LPD suiza, Protocolos interinstitucionales
Dónde lo hemos hecho
- Terre des hommes: Una directiva de diez páginas como máximo para la gestión de casos de protección infantil, adaptable a las leyes de más de 30 países.
- Diakonie Katastrophenhilfe: Directrices de protección de datos para toda la organización, con próximos pasos para cada nivel y para los socios locales.
Planificación ante riesgos y brechas
Evaluaciones de riesgos, planes de mitigación, respuestas ante brechas de datos y políticas de contraseñas.
Enumeramos las formas en que los datos personales podrían perderse, quedar expuestos o usarse indebidamente, clasificamos cada riesgo y redactamos el plan para reducirlo. Un plan de respuesta ante brechas establece quién hace qué en las primeras horas, y se redacta antes de que haga falta.
Lo que obtiene
- Evaluaciones de riesgos
- Planes de mitigación
- Respuestas ante brechas de datos
- Una política de contraseñas más sólida
- Herramientas y métodos
- GDPR, POPIA
Dónde lo hemos hecho
- ITPC: Una guía con evaluaciones de riesgos, planes de mitigación, respuestas ante brechas y políticas de contraseñas mejoradas, para una red mundial.
Revisiones de seguridad
Derechos de acceso, cuentas y copias de seguridad revisados, clasificados por riesgo y corregidos con su equipo de TI.
Comprobamos quién puede abrir qué: cuentas, derechos de acceso, roles, copias de seguridad y dónde se alojan los datos. Los hallazgos se clasifican por riesgo y los corregimos con su equipo de TI o con nuestros desarrolladores.
Lo que obtiene
- Una revisión de cuentas, derechos y roles
- Copias de seguridad y alojamiento verificados
- Hallazgos clasificados por riesgo
- Correcciones, con su equipo de TI o el nuestro
Dónde lo hemos hecho
- UNICEF Mexico: Una herramienta de administración en la que el acceso se define por rol y por acción: crear, actualizar o eliminar.
- Reporters Without Borders: Periodistas en zonas de guerra que conservan el anonimato, con transacciones realizadas mediante tokens únicos.
Seguridad de sistemas y alojamiento
Alojamos sus sistemas de forma segura, o protegemos sus propios servidores con su equipo de TI.
Alojamos sus sistemas bajo nuestra política de seguridad de la información, o protegemos sus propios servidores con su equipo de TI. Eso significa inicio de sesión multifactor, acceso por roles, cifrado en tránsito y en reposo, y copias de prueba que nunca contienen nombres reales.
Lo que obtiene
- Datos almacenados prioritariamente en el EEE
- Inicio de sesión multifactor y acceso por roles
- Cifrado en tránsito y en reposo
- Pruebas de restauración cada año
- Herramientas y métodos
- Alineado con ISO/IEC 27001:2022, RGPD, artículo 28
Dónde lo hemos hecho
- GIZ: Una plataforma trasladada a un alojamiento europeo conforme al RGPD, con copias de seguridad automatizadas separadas de la base de datos y de los archivos.
- ILO: Acceso por roles e inicio de sesión con Azure AD, con permisos definidos para cada país.
Formación del personal
Talleres sobre el manejo seguro de datos y la prevención de incidentes de seguridad, para RR. HH. y oficinas regionales.
El personal es la primera línea de protección. Nuestros talleres enseñan a los equipos de RR. HH., de programas y regionales a tratar los datos personales de forma segura cada día y a prevenir incidentes de seguridad, a partir de sus propias directrices.
Lo que obtiene
- Talleres para equipos de RR. HH., de programas y regionales
- Herramientas prácticas para aplicar las directrices
- Próximos pasos para cada nivel y para los socios locales
Dónde lo hemos hecho
- ITPC: Formaciones para el personal de toda la red sobre el tratamiento seguro de los datos y la prevención de problemas de seguridad.
- Diakonie Katastrophenhilfe: Directrices implantadas en talleres con RR. HH. y las oficinas regionales, con próximos pasos para los socios locales.
Data protection for social impact organisations.
Trabajos de protección de datos que hemos realizado.
- Terre des hommes: Una directiva de 10 páginas como máximo, con un resumen en inglés y francés.
- ITPC: Una guía con evaluaciones de riesgos, planes de mitigación y respuestas ante brechas de datos.
- Diakonie Katastrophenhilfe: Directrices de protección de datos, implantadas mediante talleres en RR. HH. y oficinas regionales.
En sus palabras
Ha sido un paso muy importante para nosotros como organización hacia la protección de datos en todos los niveles, y los resultados ofrecieron al personal directrices y herramientas concretas para llevar la teoría a la práctica sobre el terreno.
Normas lo bastante breves para aplicarse, estén donde estén sus equipos.
Cada dibujo proviene de un proyecto de nuestro portafolio. Señálelo o tóquelo para ver cómo las normas llegan al terreno.
Políticas: Una directiva, adaptable a más de 30 países.
Para Terre des hommes: una directiva de datos de protección infantil de diez páginas como máximo, más anexos, que cada país puede adaptar a su propia legislación.
- Alineado con el RGPD y la LPD suiza
- Procedimientos paso a paso, roles y responsabilidades
- Lo bastante breve para que los equipos de protección la apliquen
Riesgos: Cada riesgo clasificado y luego reducido.
Evaluaciones de riesgos y planes de mitigación, con los hallazgos clasificados por riesgo y corregidos con su equipo de TI.
Respuesta a violaciones: Un plan para las primeras 72 horas.
Respuestas a violaciones redactadas antes de necesitarlas. Según el RGPD, una violación que pone en riesgo a las personas se notifica a la autoridad en un plazo de 72 horas.
Varias leyes: Redactada para el RGPD y la POPIA.
Una guía de protección de datos para ITPC, conforme a las exigencias de ambas leyes.
Implantación: De la sede a los socios locales.
Las directrices de Diakonie se implantaron mediante talleres a nivel de RR. HH. y de oficinas regionales, con próximos pasos para los socios locales.
Acceso: Acceso por rol y por acción.
Los equipos del gobierno y de las ONG alimentan un mismo sistema de protección infantil, y cada rol solo puede crear, actualizar o eliminar lo que le corresponde.
Especialistas en protección de datos que conocen las ONG.
Trabajan con sus equipos de programas, RR. HH. y TI, y con nuestros desarrolladores cuando hay que cambiar un sistema.
- Raphaël
- 16 años con agencias de la ONU y ONG. Estrategia, gobernanza y políticas de datos responsables. Executive Master en gestión de la innovación. Curso ejecutivo en IA.
- Arturo
- 20 años con la FICR, la OMS, la UNESCO, la OIT y el PMA. RGPD y privacidad desde el diseño. Certificación DPO (ECPC-HA). Certificado profesional en IA y ML sin código.
- Antoine
- 6 años con la OMS, la UNESCO, la OIT y RSF. Infraestructura, DevOps y arquitectura de seguridad. Ingeniería de software, École Centrale de Nantes.
- Hadrien
- 6 años en el sector público. RGPD, ISO 27001, NIS 2 y Ley de IA de la UE. Certificación DPO (marco de la CNIL). ISO 27001 Lead Auditor.
Cómo se lleva a cabo una revisión.
- Diagnosticar: Talleres de autoevaluación con sus equipos y, después, analizamos lo que revelan.
- Redactar las normas: Procedimientos paso a paso, roles y responsabilidades, con margen para la ley de cada país.
- Proteger los sistemas: Derechos de acceso, cuentas, alojamiento y copias de seguridad revisados con su equipo de TI o con nuestros desarrolladores.
- Formar a su personal: Talleres a nivel de RR. HH. y de oficinas regionales sobre cómo aplicar las directrices.
Antes de escribirnos.
¿Cuánto dura una revisión?
Depende de las oficinas, los sistemas y las políticas que haya que cubrir. Una directiva de diez páginas como máximo para la gestión de casos de protección de la infancia llevó un mes. Unas directrices de protección de datos, con talleres de implantación a nivel de RR. HH. y de oficinas regionales, llevaron cuatro meses. Tras una primera llamada, enviamos una propuesta escrita con las etapas, el calendario y el costo.
¿Los talleres pueden ser presenciales?
Sí, o en línea, según lo acordado en la propuesta. Las revisiones y la redacción se hacen a distancia.
¿Puede una política cubrir varios países?
Sí. Nuestras directivas dejan margen para adaptarse a la ley nacional; una de ellas cubre más de 30 países.
¿Pueden ayudarnos a cumplir el RGPD?
Sí. Evaluamos sus prácticas con respecto al RGPD y, después, redactamos las políticas y procedimientos que subsanan las carencias.
¿Tiene relación con Data Protection for Good?
Data Protection for Good (DP4G) es nuestro servicio de delegado de protección de datos externo. Su propia página explica lo que incluye.
A menudo combinado con.
Un mismo equipo trabaja en todos ellos.
- Desarrollo web y móvil, mantenimiento: Cuando una revisión detecta un sistema que hay que cambiar, nuestros desarrolladores lo corrigen con su equipo de TI.
- IA y herramientas interactivas: ¿Usa IA con datos personales? Redactamos la gobernanza y fijamos los límites antes de que nada se ponga en marcha.
- Fortalecimiento de capacidades y formación: Una política funciona cuando el personal la conoce. Impartimos los talleres y redactamos las guías que la acompañan.
Guías: ¿Necesita una ONG un DPO? / Las EIPD para ONG
Cuéntenos su proyecto.
Dónde está, qué necesita y para cuándo. Un consultor le responderá con preguntas y próximos pasos.
- Escríbanos: Tres campos son obligatorios. El resto nos ayuda a prepararnos.
- Un consultor le responde: Por correo electrónico, a la dirección que indique.
- Lo hablamos: Una primera llamada sobre sus necesidades y cómo podríamos ayudarle.
¿Prefiere el correo electrónico? contact@reliefapplications.org