Plantilla gratuita de cuestionario para proveedores de la CCPA (edición 2023)

A menudo considerada como la versión californiana del Reglamento General de Protección de Datos (GDPR), la Ley de Privacidad del Consumidor de California (CCPA) tiene como objetivo proteger los derechos de información personal de los empleados, contratistas, clientes y proveedores con sede en California. La inclusión de proveedores externos significa que su programa de gestión de riesgos de proveedores debe actualizarse para incluir el seguimiento del cumplimiento de la CCPA, no solo durante la diligencia debida, sino a través de todo el proceso de gestión de la postura de seguridad del proveedor.

Si bien, idealmente, se debe utilizar un cuestionario de seguridad específico de la CCPA para evaluar el cumplimiento de la CCPA de manera integral, esta plantilla gratuita lo ayudará a lograr una comprensión de alto nivel del grado de alineación de cada proveedor con los estándares de la CCPA. Dado que esta evaluación de seguridad examina cómo los proveedores protegen los datos de sus clientes, solo se incluyen en esta plantilla los estándares de la CCPA relacionados con la gestión de riesgos de terceros.

Descubra cómo UpGuard optimiza la gestión de riesgos de los proveedores >

Plantilla de lista de verificación de cumplimiento de terceros de CCPA

1798.100

Una empresa que recopile información personal de un consumidor deberá implementar procedimientos y prácticas de seguridad razonables y apropiados a la naturaleza de la información personal para proteger la información personal del acceso, destrucción, uso, modificación o divulgación no autorizados o ilegales de acuerdo con la Sección 1798.81.5.

1. ¿Puede proporcionar documentación que describa sus prácticas de recopilación de datos?
2. ¿Cuál es su política para informar a los consumidores sobre estas prácticas de recolección en el punto de recogida?
3. ¿Qué categorías de información personal recopila (números de teléfono, tarjetas de crédito, datos biométricos, etc.)?
4. ¿Qué medidas se han adoptado para garantizar que sus consumidores conozcan los datos personales que recopila?
5. ¿Qué prácticas de seguridad de la información sigue para garantizar que los datos personales recopilados estén protegidos?
6. Describa los controles de seguridad que ha implementado para evitar el acceso ilegal a los datos personales recopilados.
7. Describa cómo se asegura de que la información personal de los consumidores esté protegida contra modificaciones, usos o divulgaciones no autorizados.
8. ¿Puede proporcionar evidencia de que sus prácticas de recopilación de datos se alinean con los estándares de la Sección 1798.81.5?
9. ¿Puede demostrar la eficacia de sus medidas de seguridad para prevenir violaciones de datos?
10. ¿Qué medidas toma para garantizar que sus medidas y políticas de seguridad se mantengan actualizadas con el panorama cambiante de las amenazas cibernéticas?
11. ¿Cuál es su protocolo para notificar a los consumidores afectados en caso de una violación de seguridad?
12. ¿Con qué frecuencia se revisan y actualizan sus prácticas de seguridad y planes de respuesta a incidentes?
13. ¿Cuenta con un equipo dedicado a la seguridad de los datos y al cumplimiento de la CCPA?
14. ¿Cuál es su protocolo para mantener al personal consciente de sus responsabilidades en materia de protección de datos para garantizar el cumplimiento de la CCPA?
15. ¿Puede proporcionar pruebas de su compromiso de garantizar que las prácticas de seguridad de datos de sus proveedores externos cumplan con la CCPA?

Vea este vídeo para saber cómo UpGuard agiliza los flujos de trabajo de evaluación de riesgos.

1798.81.5

(b)Una empresa que posea, otorgue licencias o mantenga información personal sobre un residente de California deberá implementar y mantener procedimientos y prácticas de seguridad razonables y apropiados a la naturaleza de la información, para proteger la información personal contra el acceso, la destrucción, el uso, la modificación o la divulgación no autorizados.

1. ¿Tiene la propiedad, la licencia o el almacenamiento (en aplicaciones, etc.) de información personal sobre los residentes de California?
2. Una vez que su empresa recopile datos personales, describa su protocolo para garantizar su protección durante el ciclo de vida del almacenamiento de datos.
3. Explique cómo estos protocolos de seguridad se adaptan a cada categoría de datos confidenciales.
4. ¿Qué procesos y controles de seguridad existen para proteger los datos personales contra el acceso, la destrucción, el uso, la modificación y la divulgación no autorizados?
5. Explique cómo se mantienen estas medidas de seguridad para garantizar que permanezcan actualizadas.
6. ¿Puede proporcionar ejemplos de cómo estas medidas de seguridad han evitado o reducido el impacto de los eventos de violación de datos?
7. Describa cómo se asegura de que sus prácticas de seguridad mejoren continuamente.
8. ¿Cuál es el plazo estimado para notificar a los consumidores afectados por una infracción?
9. ¿Cómo se asegura de que sus proveedores externos se adhieran continuamente a los estándares de la CCPA?
10. Explique cómo los procedimientos de seguridad que respaldan el cumplimiento de la CCPA se integran en su estrategia empresarial y de gestión de datos.
11. ¿Cómo ajusta sus medidas de seguridad a los cambios en el volumen de información personal?

La solución de monitoreo de la superficie de ataque de UpGuard puede ayudarlo a identificar riesgos de seguridad internos y de terceros que podrían afectar el cumplimiento de la CCPA y otras regulaciones.

Obtenga más información sobre la solución de monitoreo de superficie de ataque de UpGuard >

1798.140

(c) Permite, sujeto a un acuerdo con el contratista, que la empresa monitoree el cumplimiento del contrato por parte del contratista a través de medidas, que incluyen, entre otras, revisiones manuales continuas y escaneos automatizados y evaluaciones periódicas, auditorías u otras pruebas técnicas y operativas al menos una vez cada 12 meses.

1. ¿Sus contratos comerciales definen claramente cómo administra la información personal del consumidor?
2. ¿Sus contratos de proveedores externos estipulan cómo sus proveedores deben administrar la información personal del consumidor?
3. ¿Cómo supervisa y garantiza el cumplimiento de estas estipulaciones contractuales?
4. ¿Incorpora algún proceso de revisión de sus estándares de seguridad de datos como parte de las comprobaciones de cumplimiento de los contratos (es decir, evaluaciones de riesgos, auditorías, escaneos automatizados, etc.)?
5. ¿Estas comprobaciones de cumplimiento se realizan durante cada período de 12 meses?
6. ¿Puede proporcionar pruebas de estas comprobaciones de cumplimiento?
7. ¿Cuáles son sus procesos para responder a las brechas de cumplimiento descubiertas durante estas verificaciones?
8. ¿Puede proporcionar ejemplos de cuándo ajustó sus prácticas de seguridad en función de los comentarios de las comprobaciones de cumplimiento?
9. ¿Cómo se garantiza la protección ininterrumpida de los datos personales durante las comprobaciones de cumplimiento?
10. ¿Tiene una persona o equipo específico responsable de gestionar las comprobaciones de cumplimiento?
11. ¿Esta parte responsable también es responsable de implementar cambios basados en los hallazgos de la verificación de cumplimiento?
12. ¿Puede proporcionar informes de auditoría de terceros que confirmen el cumplimiento de los estándares de la CCPA por parte de los proveedores?
13. ¿Qué medidas proactivas toma entre las comprobaciones de cumplimiento para garantizar la alineación continua con los términos del contrato?
14. ¿Cómo se asegura de que los cambios en los requisitos del contrato no infrinjan el cumplimiento de la CCPA?
15. ¿Cómo aborda su contrato los posibles cambios legales o normativos que afectan a la privacidad de los datos y al cumplimiento de la CCPA?
16. ¿Cómo se comunican los resultados de estas comprobaciones a los socios comerciales y a las partes interesadas?
17. ¿Cómo comunica sus planes para abordar los problemas detectados en las comprobaciones de cumplimiento con los socios comerciales y las partes interesadas?

Con la función de informes de UpGuard, puede generar informes al instante que describen los esfuerzos de cumplimiento y las pruebas de mejora de la postura de seguridad para las partes interesadas y los socios comerciales.

Aprenda a elegir el software de automatización de cuestionarios de seguridad >

Mire este video para obtener más información sobre las funciones de informes de cumplimiento de UpGuard.

Más información sobre la función de informes de UpGuard >

1798.185

(15) Emitir regulaciones que exijan a las empresas cuyo procesamiento de la información personal de los consumidores presente un riesgo significativo para la privacidad o la seguridad de los consumidores, que:

(A) Realizar una auditoría de ciberseguridad anual, incluida la definición del alcance de la auditoría y el establecimiento de un proceso para garantizar que las auditorías sean exhaustivas e independientes. Los factores que deben tenerse en cuenta para determinar cuándo el tratamiento puede dar lugar a un riesgo significativo para la seguridad de la información personal incluirán el tamaño y la complejidad del negocio y la naturaleza y el alcance de las actividades de tratamiento.

1. ¿Alguno de sus procesos que involucra información personal del consumidor corre el riesgo de violar las leyes de privacidad de datos o la Ley de Derechos de Privacidad de California (CPRA)?
2. ¿Cuál es su proceso para calcular los niveles de gravedad del riesgo con sus actividades de procesamiento?
3. ¿Se realizan auditorías internas de ciberseguridad anualmente?
4. ¿Puede proporcionar sus hallazgos más recientes de auditoría interna?
5. ¿Cómo se determina y define el alcance de las auditorías internas?
6. ¿Cómo se asegura de que estas auditorías sean exhaustivas, dada la complejidad de su negocio?
7. ¿Cómo se asegura de que estas auditorías sean imparciales y apeguen a estándares objetivos de ciberseguridad?
8. ¿Cuál es su proceso para ajustar las prácticas de seguridad de datos en función de los hallazgos de las auditorías?
9. ¿Puede dar un ejemplo de cuándo los resultados de las auditorías han cambiado sus prácticas de protección de datos?
10. ¿Cuál es su proceso para prepararse para las auditorías anuales de ciberseguridad?
11. ¿Cuenta con un equipo dedicado a la implementación y gestión de auditorías internas?
12. ¿Cómo se gestionan las vulnerabilidades emergentes durante el proceso de auditoría?
13. ¿Qué soluciones de supervisión existen para realizar un seguimiento del cumplimiento entre auditorías anuales?

Vea este vídeo para saber cómo UpGuard puede ayudarle a reducir su superficie de ataque para reducir el riesgo de filtraciones de datos.

(B) Presentar a la Agencia de Protección de la Privacidad de California de forma periódica una evaluación de riesgos con respecto a su procesamiento de información personal, incluido si el procesamiento involucra información personal confidencial, e identificar y sopesar los beneficios resultantes del procesamiento para la empresa, el consumidor, otras partes interesadas y el público, frente a los riesgos potenciales para los derechos del consumidor asociados con ese procesamiento, con el objetivo de restringir o prohibir el procesamiento si los riesgos para la privacidad del consumidor superan los beneficios resultantes del procesamiento para el consumidor, la empresa, otras partes interesadas y el público. Nada de lo dispuesto en esta sección obligará a una empresa a divulgar secretos comerciales.

1. ¿Envía regularmente evaluaciones de riesgos a la Agencia de Protección de la Privacidad de California para mantenerlos informados de sus prácticas de procesamiento de datos personales?
2. ¿Cómo evalúa el grado de riesgos que sus actividades de procesamiento de datos podrían representar para la privacidad o la seguridad de los consumidores?
3. ¿Puede proporcionar una muestra de una evaluación de riesgos que haya presentado (sin violar la confidencialidad de ningún secreto comercial)?
4. ¿Cómo identifica y sopesa los beneficios del procesamiento de información personal frente a los riesgos potenciales para los derechos de los consumidores?
5. ¿Puede describir un momento en el que los resultados de la evaluación de riesgos condujeron a restricciones o prohibiciones sobre ciertas actividades de procesamiento de datos?
6. ¿Cómo tienen en cuenta sus evaluaciones de riesgos los procesos que involucran datos personales?
7. ¿Qué medidas toma para garantizar que las evaluaciones de riesgos sean exhaustivas, imparciales y reflejen con precisión los posibles riesgos de privacidad para los consumidores?
8. ¿Cómo define y evalúa los beneficios del procesamiento de información personal para la empresa, el consumidor, otras partes interesadas y el público?
9. ¿Tiene un equipo o una persona dedicada responsable de realizar evaluaciones de riesgos e implementar los cambios necesarios en función de sus hallazgos?
10. ¿Cómo se comunica con las empresas sobre los resultados de estas evaluaciones de riesgos y sus planes para abordar los problemas identificados?
11. ¿Cómo encaja su proceso de evaluación de riesgos en su estrategia general de gestión de datos y cómo se adapta a los cambios en los requisitos legales o reglamentarios?

Vea este video para aprender cómo UpGuard automatiza los procesos para mejorar la colaboración con los proveedores y optimizar la gestión de riesgos de los proveedores.

La biblioteca de UpGuard de evaluaciones de riesgos de proveedores líderes en la industria incluye un cuestionario de seguridad específico de la CCPA dentro de su biblioteca de evaluaciones de riesgos líderes en la industria y cuestionarios que se asignan a regulaciones y marcos populares como ISO 27001, PCI DSS y GDPR.

Para ayudarlo a identificar áreas de incumplimiento, todas las respuestas de proveedores y proveedores de servicios se asignan automáticamente a los estándares de controles de seguridad de CCPA para resaltar los déficits de cumplimiento que requieren atención.

Con muchas funciones avanzadas que respaldan la gestión eficiente de riesgos de los proveedores, como la capacidad de incluir información adicional en las evaluaciones de riesgos, UpGuard lo ayuda a usted y a sus proveedores a proteger los datos confidenciales y la información confidencial para que no se vean comprometidos en violaciones de datos.