Cuestionario para el diagnóstico de cumplimiento de RGPD y LOPDGDD

Cuestionario 1. General

1. Nombre empresa (nombre comercial en caso de grupo de empresas):

2. ¿Eres un grupo de empresas?
SíNo

3. ¿En caso de ser un grupo, ¿cuántas empresas componen el grupo?

4. Describa brevemente su actividad general:

5. Su negocio es:
B2B (destinado a otras empresas)B2C (destinado a cliente final)Ambos

6. ¿Capta información de clientes vía herramientas on-line como Web o App? En caso afirmativo, describa brevemente el sistema.

7. Indique la dirección URL de su/s página/s Web:

8. ¿Realiza algún tipo de comercio electrónico? Entiéndase como cualquier tipo de contratación/venta online con pago incluido.
SíNo

9. En caso afirmativo en la pregunta anterior, indique URL y describa brevemente en qué consiste:

10. Número de empleados a cargo de la empresa/grupo de empresas:

11. Marque los distintos tipos de centro de trabajo que dispone:
OficinaAlmacénPuntos de venta físicosOtros

12. ¿Realiza algún tipo de actividad fuera de la UE?
SíNo

13. Marque qué tipología de datos trata:
ClientesProveedoresEmpleadosSelección de personalVideo-vigilanciaUsuarios App / WebDatos financieros / prevención de blanqueo de capitalesCategorías especiales (Origen étnico o racial; Opiniones políticas.; Convicciones religiosas o filosóficas; Afiliación sindical; Datos genéticos; Datos biométricos; Datos relativos a la salud; Datos relativos a la vida o la orientación sexual.)

14. Delegado de Protección de Datos (DPD)
—Por favor, elige una opción—Dispongo de DPD debidamente registrado en la AEPD.No dispongo de DPD porque no estoy obligado legalmente.No sé si necesito tener DPD.

15. ¿Realiza controles periódicos de cumplimiento del RGPD y la LOPDGDD?
—Por favor, elige una opción—No los realizo.Realizo una auditoría periódica a nivel interno.Realizo una auditoría periódica con un externo.Dispongo de certificación anual.

16. Si tiene contratado algún tipo de seguro relacionado con la protección de datos o la Ciberseguridad, indique aquí cuál:

Antes de enviar indícanos tus datos:

(*) Campos obligatorios

Aceptación de la política de privacidad.

Enviar

Δ

Cuestionario 2. Legal

17. ¿Dispone de Registros de Actividades de Tratamiento (RAT’s)?
SíNo

18. En el momento de recoger datos personales, ¿tiene implantados medios de información de primera capa?
NOTA: La primera capa debe contener la información básica en materia de Protección de Datos y debe proporcionarse en el mismo medio en el que se recojan los datos. Por ejemplo, una cláusula informativa en un formulario donde se indica el nombre del responsable, la finalidad de la captación o los derechos del que proporciona los datos.
SíNo

19. En el momento de recoger datos personales, ¿tiene implantados medios de información de segunda capa?
NOTA: La segunda capa debe completar la información de la primera capa permitiéndose una mayor extensión de texto y muchos más detalles. Por ejemplo, en lugar de limitarse a dar el nombre del responsable de tratamiento añade también la dirección física y los datos de contacto del Delegado de Protección de Datos (DPD), en su caso.
SíNo

20. Si tiene esta información disponible on-line, indica la URL:

21. Una vez solicitada la información: ¿Dispone de prueba de que ha informado o que ha solicitado el consentimiento al afectado (esto último sólo cuando sea necesario)?
SíNo

22. ¿Firman sus empleados una cláusula específica en materia de protección de datos?
SíNo

23. ¿Firman sus empleados alguna cláusula de confidencialidad?
SíNo

24. ¿Entrega a sus empleados algún tipo de guía o normativa interna relativa al uso de los datos, sistemas o tratamiento de la información confidencial?
SíNo

25. ¿Imparte formación sobre Protección de Datos a sus empleados?
SíNo

26. Cuando subcontrata a empresas externas algún tipo de actividad que implique acceso a datos, ¿Les obliga a firmar de forma previa un contrato de Encargado de Tratamiento?
SíNoFirman contrato, pero desconozco si incluye lo necesario en materia de protección de datos

27. Al margen de situaciones de subcontratación, ¿Se produce alguna cesión de datos personales de los que es responsable a terceros?
SíNo

28. En caso afirmativo en el punto anterior, indique cómo se legitima esta cesión:
—Por favor, elige una opción—Puedo ceder los datos porque previamente pido consentimiento a los afectados.Cedo datos porque me lo impone una Ley (Por ejemplo, a la Administración Pública).Lo desconozco.Ninguno de los anteriores.

29. Indique si realiza alguna de las siguientes acciones de marketing:
Envío comunicaciones comerciales por email, Whatsapp, SMS o similarPublicidad que incluye formularios para la captación de leadsDispongo de una BBDD de clientes potenciales para comunicaciones, llamadas o visitasInteractúo con usuarios en redes socialesOrganizo eventosAsisto a eventos como ferias y/o congresos y capto información de contactosPublico en Redes Sociales o medios propios imágenes de los eventos, ferias o congresos en los que participamos

30. ¿Ha realizado alguna vez una Evaluación de Impacto relativa a la Protección de Datos (EIPD)?
SíNoNo sé lo que es una EIPD

Antes de enviar indícanos tus datos:

(*) Campos obligatorios

Aceptación de la política de privacidad.

Enviar

Δ

Cuestionario 3. Organizativo

31. ¿Dispone de un protocolo para atender los derechos de acceso, rectificación, oposición, supresión (“derecho al olvido”), limitación del tratamiento, portabilidad y de no ser objeto de decisiones individualizadas?
SíNo

32. ¿Dispone de una dirección de correo electrónico específica para la gestión de los derechos de los afectados por el tratamiento de datos?
SíNo

33. En caso afirmativo en la pregunta anterior, indique cuál es esa dirección y quien recibe y gestiona los mensajes que llegan a la misma.

34. En caso de disponer de cámaras de video-vigilancia, ¿dispone de los carteles informativos visibles para los afectados y contienen la información necesaria en virtud del RGPD y la LOPDGDD?
SíNoDispongo de los carteles, pero desconozco si tienen la información necesaria y/o si están ubicados correctamente.

35. Indique de qué mecanismos dispone en cuanto al control de acceso a las oficinas:
Puerta cerrada al exterior que debe abrir un empleado desde dentro.Recepción.Registro de visitas.Acceso con tarjeta.Ninguno de los anteriores.

36. El registro de Jornada de empleados se realiza…
Manualmente.Mediante una app/web.Mediante un control de entrada y salida sin utilización de datos biométricos.Mediante un control de entrada y salida con utilización de datos biométricos.Ninguno de los anteriores.

37. ¿Graban algún tipo de llamadas telefónicas?
SíNo

38. Impresoras compartidas, indique cómo se gestionan:
Están en zonas comunes y cualquiera puede imprimir desde su puesto de trabajo.Están organizadas por Departamentos o espacios y solo pueden imprimir en ellas determinados empleados.Están protegidas por un sistema de contraseña de forma que para imprimir cada empleado debe identificarse.Ninguna de las anteriores.

39. ¿Los Departamentos o personal que trata datos más sensibles están suficientemente aislados del resto de forma que se dificulta el acceso a la información por parte de terceros?
SíNo

40. En cuanto a la utilización del papel, indique si utiliza alguna de las siguientes políticas:
Política de papel 0.Se ordena a la gente que no debe quedar ningún papel confidencial encima de la mesa o visible al terminar la jornada laboral.Existen archivadores organizados por Departamentos y protegidos con llave o mecanismo similar.Los empleados que tratan información confidencial tienen cajones o equivalente protegido con llave o mecanismo similar.Ninguno de los anteriores.

41. La documentación que incluye información se destruye…
No se destruye, se tira a la papelera.Contamos con destructoras de papel.Contamos con contenedores que recoge una empresa externa para su destrucción.Ninguna de las anteriores.

42. Las pantallas de los empleados disponen de alguno de los siguientes mecanismos de protección:
Ubicación estratégica para que no sea visualizada por personas no autorizadas.Bloqueo de pantalla/sesión tras un tiempo de inactividad con contraseña.Bloqueo de pantalla/sesión tras un tiempo de inactividad sin contraseña.Ninguna de las anteriores.

Antes de enviar indícanos tus datos:

(*) Campos obligatorios

Aceptación de la política de privacidad.

Enviar

Δ

Cuestionario 4. Técnico

NOTA: EL presente cuestionario ha sido elaborado por DEISOLTEC, S.L., nuestro partner en Seguridad, y con quien podemos compartir las respuestas del cuestionario para que colaboren en la realización un diagnóstico completamente profesionalizado. Mediante el envío del formulario Vd. acepta que compartamos nuestros datos con DEISOLTEC, S.L. a los únicos efectos de la realización de dicho diagnóstico.

43. Tipo de correo utilizado (POP, SMTP, Office 365, Google, Exchange?)

44. ¿Disponen de sistema antispam?
SíNo

45. Si es así, ¿cuál?

Servidores y acceso a la información

46. ¿Tienen los servidores en la oficina o en el Cloud?
En la oficinaEn el CloudHíbridoOtros

47. ¿Se gestionan los permisos de acceso a las carpetas en función del perfil de usuario?
SíNo

48. ¿Está registrado y definido el acceso a los ficheros en función del perfil?
SíNo

49. ¿Algunos empleados hacen tele-trabajo de forma total o parcial?
SíNo

50. En caso positivo en la pregunta anterior, ¿Se han implantado desde la empresa sistemas de seguridad para tele-trabajo similares a los que tienen en la oficina?
SíNo

51. ¿Mantienen los sistemas actualizados (servidores, apps, equipos usuarios, firewall, web, …) y se lleva control de actualizaciones?
SíNo

Copias de seguridad (backups)

52. ¿Realizan copias de seguridad locales diarias de los servidores de ficheros y aplicaciones?
SíNo

53. ¿Realizan copias de seguridad remotas de los servidores de ficheros y aplicaciones?
SíNo

54. ¿Se comprueban estos backups con restauraciones recurrentes?
SíNo

55. ¿Tienen implantado un sistema DRS (Disaster and Recovery Services) o plan de recuperación ante un desastre?
SíNo

56. ¿Realizan copias de seguridad de los buzones de correo?
SíNo

Equipos de usuario

57. ¿Tienen los equipos encriptados?
SíNo

58. ¿Disponen de antivirus corporativo?
SíNo

59. Si se dispone de antivirus, ¿Cuál es?

60. ¿Se forma a los empleados regularmente en relación a seguridad?
SíNo

61. ¿Están protegidos contra el phishing o suplantación de identidad?
SíNo

Antes de enviar indícanos tus datos:

(*) Campos obligatorios

Aceptación de la política de privacidad.

Enviar

Δ