Mapa de controles · Reglamento (UE) 2016/679

GDPR

Reserve un piloto de auditoría Ver un informe de muestra

3 de 3 controles de GDPR que el código puede evidenciar, con v1.4.0, más 2 de apoyo

Evidencia de código para los principios del tratamiento, la protección de datos desde el diseño y la seguridad del tratamiento.

Activo3
Próximamente en v1.4.00
De apoyo2
Planificado0
Su organización35

3 con evidencia de código hoyEvidencia parcial, comprobada en cada pull request.
2 con evidencia de apoyoToevan registra evidencia relacionada; la obligación sigue siendo organizativa.
35 quedan en su organizaciónEnumerados completos más abajo, para que nada quede implícito.

Una parte del GDPR vive en el código: por dónde fluyen los datos personales, cómo se acotan y cómo se protegen.

El blueprint de GDPR aporta evidencia de código para los artículos 5, 25 y 32 en cada pull request, con evidencia de apoyo para la supresión y la notificación de brechas. La base jurídica, los registros de tratamiento y los derechos de los interesados quedan en su programa de privacidad.

Toevan aporta evidencia para controles; nunca los certifica ni afirma que un marco esté cubierto. Si la evidencia es suficiente lo juzga su auditor.

Activo3

Evidencia de código hoy, sellada en cada pull request. Siempre parcial: el control también exige cosas fuera del código. Evidencia de código hoy: las reglas del blueprint GDPR comprueban parte de esto en cada pull request.

Art.5
Principios relativos al tratamiento de datos personales
Principios básicos
Art.25
Protección de datos desde el diseño y por defecto
Requisitos de diseño
Art.32
Seguridad del tratamiento
Seguridad

De apoyo2

Toevan registra evidencia relacionada, hoy o en v1.4.0, pero la obligación es organizativa, así que nunca cuenta como cubierta.

Art.17
Derecho de supresión (“derecho al olvido”)
Derechos de los interesados
Evidencia de apoyo hoy: una regla registra evidencia relacionada con esta obligación. La obligación en sí es un proceso operativo.
Art.33
Notificación de una violación de seguridad a la autoridad de control
Respuesta a incidentes
Evidencia de apoyo hoy: una regla registra evidencia relacionada con esta obligación. La obligación en sí es un trámite regulatorio.

Su organización35

Política, personas, seguridad física, contratos, trámites regulatorios, operaciones o auditoría externa. Su organización aporta la evidencia.

Mostrar los 35 controles

Principios básicos

Art.6Licitud del tratamientouna política de la organización
Art.7Condiciones para el consentimientouna política de la organización
Art.8Condiciones aplicables al consentimiento del niño en relación con los servicios de la sociedad de la informaciónuna política de la organización
Art.9Tratamiento de categorías especiales de datos personalesuna política de la organización
Art.10Tratamiento de datos personales relativos a condenas e infracciones penalesuna política de la organización
Art.11Tratamiento que no requiere identificaciónuna política de la organización

Derechos de los interesados

Art.12Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesadoun proceso operativo
Art.13Información que debe facilitarse cuando los datos personales se obtienen del interesadoun proceso operativo
Art.14Información que debe facilitarse cuando los datos personales no se han obtenido del interesadoun proceso operativo
Art.15Derecho de acceso del interesadoun proceso operativo
Art.16Derecho de rectificaciónun proceso operativo
Art.18Derecho a la limitación del tratamientoun proceso operativo
Art.19Obligación de notificación relativa a la rectificación o supresión de datos personales o la limitación del tratamientoun proceso operativo
Art.20Derecho a la portabilidad de los datosun proceso operativo
Art.21Derecho de oposiciónun proceso operativo
Art.22Decisiones individuales automatizadas, incluida la elaboración de perfilesun proceso operativo

Responsable y encargado del tratamiento

Art.24Responsabilidad del responsable del tratamientouna política de la organización
Art.26Corresponsables del tratamientouna política de la organización
Art.27Representantes de responsables o encargados no establecidos en la Uniónuna política de la organización
Art.28Encargado del tratamientocontratos y proveedores
Art.29Tratamiento bajo la autoridad del responsable o del encargadouna política de la organización
Art.30Registro de las actividades de tratamientouna política de la organización
Art.31Cooperación con la autoridad de controluna política de la organización
Art.34Comunicación de una violación de seguridad al interesadoun trámite regulatorio
Art.36Consulta previauna política de la organización
Art.37Designación del delegado de protección de datosuna política de la organización
Art.38Posición del delegado de protección de datosuna política de la organización
Art.39Funciones del delegado de protección de datosuna política de la organización

Evaluación de riesgos

Art.35Evaluación de impacto relativa a la protección de datosuna política de la organización

Transferencias internacionales

Art.44Principio general de las transferenciasun trámite regulatorio
Art.45Transferencias basadas en una decisión de adecuaciónun trámite regulatorio
Art.46Transferencias mediante garantías adecuadasun trámite regulatorio
Art.47Normas corporativas vinculantesun trámite regulatorio
Art.48Transferencias o comunicaciones no autorizadas por el Derecho de la Uniónun trámite regulatorio
Art.49Excepciones para situaciones específicasun trámite regulatorio

Cómo usarlo en una auditoría

Lea la evidencia de código del periodo
Cada pull request lleva resultados de código sellados frente a las reglas del blueprint, fijados al commit y a la versión del conjunto de reglas vigente.
Pruebe una muestra
Para cada registro muestreado, compruebe sus resultados y luego verifique su firma y su lugar en la cadena sin conexión.
$ toevan audit verify --path evidence-clone --pub-key toevan.pub

Cómo se obtuvo cada dato

Cada dato de un registro y de un informe lleva una de seis etiquetas, para que su auditor sepa hasta qué punto puede fiarse.

Recalculado: Toevan lo calculó a partir del propio código o del historial de git.; Repítalo con las mismas entradas y obtenga el mismo resultado.
Informado + sellado: GitHub lo informó; Toevan lo capturó en el evento y lo firmó.; Fíese de ello tanto como se fía de GitHub. Cualquier cambio posterior es detectable.
Declarado + sellado: La organización lo declaró, como un cambio en lo que se comprueba; Toevan firmó la declaración y su historial.; Vea quién declaró qué, cuándo, y cada cambio posterior.
Registro de Toevan, sin sellar: Guardado en la base de datos de Toevan pero no sellado en el libro, como una exención hoy. Ninguna firma lo protege.; Trátelo como una declaración de Toevan y pida a la organización la aprobación que hay detrás.
Consumido: Tomado del registro firmado de otro sistema, como la procedencia de una compilación, y enlazado por commit o digest. Planificado.; Compruebe el registro original de forma independiente.
No capturado: No había una fuente fiable. Toevan no lo infiere.; Obténgalo de la organización por otros medios.

Véalo en un informe

El informe de muestra de evidencia de cambios muestra la evidencia tal como la recibe su auditor, con cada dato rotulado.

Abrir el informe de muestra

Ponga a prueba el mapeo en una auditoría real.

Traiga un repositorio y una auditoría próxima. Configuraremos el blueprint y guiaremos a su auditor por la verificación.