Plantilla de expediente RGPD de proveedor
Úsala para modelar el proceso antes de configurarlo en una hoja, sistema interno o plataforma; adapta los campos al caso y la fuente oficial.
Identidad y alcance
proveedor · servicio · tratamiento · finalidad · datos · interesados · rol · DPA · instrucción · medida · región · subencargado · país · transferencia · incidente · retención · borrado · revisión. Añade jurisdicción, norma y versión, fecha aplicable, responsable, estado y próxima revisión.
Fuentes y evidencias
Para cada dato: emisor · fuente · enlace o archivo · fecha · periodo · unidad · objeto cubierto · versión · vigencia · nivel de confianza · permiso.
Controles
Regla · campo afectado · resultado · método · fuente regulatoria · fecha · ejecutor · revisor · evidencia · conclusión. Controles recomendados: rol; alcance; artículo 28; garantías; TOMs; subencargados; autorización; países; mecanismo de transferencia; brechas; derechos; auditoría; devolución o borrado.
Excepciones
ID · descripción · severidad · objeto · regla · asignado · tercero · fecha límite · respuesta · nueva versión · decisión · aprobador · cierre.
Salida y mantenimiento
Destino · formato · referencia oficial · versión entregada · usuario · fecha · acuse · cambios posteriores · retención · próxima revisión · lección aprendida.
Mapa operativo específico de RGPD y proveedores
Para esta decisión sobre plantilla operativa, el modelo debe relacionar proveedor · servicio · tratamiento · finalidad · datos · interesados · rol · DPA · instrucción · medida · región · subencargado · país · transferencia · incidente · retención · borrado · revisión. Los participantes reales son responsable, encargado, corresponsable, subencargado, DPO, seguridad, compras, legal, propietario del tratamiento y autoridad. La salida verificable es registro de tratamientos y proveedores, DPA vinculados, evidencias, cadena de subencargados, decisiones de transferencia, revisiones, incidentes y cierre probado.
Prueba de estrés antes de aprobar
Reproduce este escenario: una empresa contrata un SaaS europeo con infraestructura, soporte y analítica prestados por tres subencargados. Introduce deliberadamente la excepción “el proveedor añade un subencargado fuera del EEE y una función de IA sin actualizar ubicación, finalidad ni contrato”. Comprueba qué sistema la detecta, quién recibe la tarea, qué fuente resuelve la duda y cómo queda registrada la aprobación.
La herramienta organiza; el responsable decide
El expediente debe conservar dato, fuente, versión, control, excepción y aprobación. Code Contract puede coordinar la operación, pero no sustituye la evaluación técnica, la declaración oficial ni al supervisor.