Documento de Seguridad de Datos Personales para Pymes

DOCUMENTO DE SEGURIDAD Y POLÍTICA INTERNA DE DATOS PERSONALES
[CIUDAD], [FECHA]
Organización [RAZON_SOCIAL], RUC [RUC]
Versión [VERSION]. Responsable de elaboración [RESPONSABLE].
Aprobado por [AUTORIDAD_QUE_APRUEBA], mediante [ACTO_DE_APROBACION].
Medio que otorga fecha cierta [SUSTENTO_DE_FECHA_CIERTA].

1. ALCANCE Y RESPONSABILIDADES
Se aplica a [AREAS_PERSONAL_Y_PROVEEDORES] que tratan datos en [PROCESOS_COMPRENDIDOS]. La dirección asigna recursos y aprueba cambios. [RESPONSABLE_TECNICO] administra controles, [RESPONSABLE_DE_PROCESO] autoriza accesos según funciones y [CONTACTO_DE_INCIDENTES] recibe alertas. La designación de estas tareas no sustituye la evaluación de si corresponde contar con un oficial de datos personales.

2. INVENTARIO Y CICLO DE VIDA
El inventario anexo identifica para cada tratamiento: finalidad, categorías de titulares y datos, existencia de datos sensibles, fuente, sistema o archivo, ubicación, responsable, destinatarios, proveedores, base que permite el tratamiento, conservación y forma de supresión. Los tratamientos y sistemas iniciales son [INVENTARIO_INICIAL]. Cada área comunica cambios a [RESPONSABLE_DEL_INVENTARIO] antes de incorporar nuevos usos o herramientas.

3. ALTAS, CAMBIOS Y BAJAS DE ACCESO
La solicitud de acceso se registra en [REGISTRO_DE_SOLICITUDES], indicando persona, función, sistema, privilegios y duración. [AUTORIZADOR] aprueba lo necesario para la tarea y [ADMINISTRADOR] ejecuta el alta con una cuenta identificable. Se registra la fecha y evidencia de autorización. Los cambios de puesto, ausencias y desvinculaciones se comunican por [CANAL_INTERNO] para modificar, suspender o retirar permisos según [PROCEDIMIENTO_Y_RESPONSABLES]. Se prohíbe compartir credenciales personales.

4. PRIVILEGIOS Y TRAZABILIDAD
[RESPONSABLE_DE_REVISION] contrasta permisos activos con funciones vigentes según [CALENDARIO_DE_REVISION], conservando hallazgos, decisiones y bajas. La periodicidad se ajustará a las exigencias aplicables. Los accesos privilegiados requieren [CONTROL_ADICIONAL]. Se mantienen registros de interacción y acciones sobre datos en [SISTEMA_DE_REGISTROS], con acceso restringido, conservación [REGLA_DE_CONSERVACION] y verificación [PROCEDIMIENTO_DE_VERIFICACION]. No se incluirán contraseñas en estos registros.

5. EQUIPOS, ARCHIVOS Y RESPALDO
Los equipos se protegen mediante [CONTROLES_DE_EQUIPOS] y los documentos físicos mediante [CONTROLES_DE_ARCHIVO]. El retiro de información o equipos requiere autorización registrada. Los respaldos se realizan en [UBICACION_DE_RESPALDO], con frecuencia [FRECUENCIA], protección [PROTECCION] y pruebas de recuperación [PLAN_DE_PRUEBAS]. Antes de reutilizar o disponer de soportes se verifica la eliminación segura correspondiente y se registra el resultado.

6. USO Y TRANSFERENCIA
Solo se emplean los canales aprobados [CANALES_AUTORIZADOS]. El uso de cuentas personales, mensajería o redes no institucionales requiere evaluación y aprobación formal previa. Los proveedores con acceso se identifican en [REGISTRO_DE_ENCARGADOS], con alcance, obligaciones, controles y cierre de accesos documentados. Las solicitudes de titulares se remiten a [CONTACTO_DE_DERECHOS].

7. INCIDENTES
Toda sospecha se comunica de inmediato a [CANAL_DE_ALERTA]. El responsable registra hora de conocimiento, hechos, sistemas, datos y personas posiblemente afectadas, conserva evidencia y coordina contención y recuperación. Debe documentarse cualquier incidente de seguridad, sus efectos y las medidas adoptadas. [RESPONSABLE_DE_EVALUACION] evalúa sin demora las notificaciones exigibles a autoridades y titulares conforme a los supuestos y plazos legales, sin esperar al cierre interno para decidirlas.

8. CAPACITACIÓN Y ACTUALIZACIÓN
El personal recibe [CAPACITACION_POR_ROLES] y constancia de las obligaciones aplicables. Se revisa este documento ante cambios de sistemas, riesgos, incidentes o normativa, y según [FECHA_DE_REVISION]. El documento de seguridad debe aprobarse formalmente, contar con fecha cierta y mantenerse actualizado. Los controles pendientes constan en [PLAN_DE_IMPLEMENTACION], con responsables y fechas, sin declararlos implementados antes de comprobarlos.
[FIRMA_DE_APROBACION]
Anexos existentes y aprobados: [INVENTARIO_MATRIZ_Y_PROCEDIMIENTOS]