Proveedores y cadena de subcontratación

Se llama encargado del tratamiento al proveedor que procesa datos por cuenta de la entidad, y subencargado al que el encargado contrata a su vez. Los marcos de protección de datos más conocidos exigen que el encargado no subcontrate sin autorización del responsable y que las obligaciones pasen a cada subcontratista. Lo que importa operativamente es una lista: quién toca datos, desde qué país y con qué permiso.

Lee clausulas-del-contrato-marco.txt: la cláusula sobre subcontratación fija qué debe pasar en toda la cadena.

En el registro, la columna «contratado por» permite reconstruir la cadena: la Gobernación contrata al proveedor principal; este, a su vez, a otros; y alguno de ellos puede haber contratado a un cuarto. Los eslabones lejanos son los que más se olvidan en las revisiones.

Abre registro-de-subencargados.csv.

La cláusula 5 limita el acceso del personal de soporte a datos R o C: solo desde el país y por caso. Un proveedor puede tener los datos en el país y el soporte en otro, y esa situación importa: quien administra desde fuera accede a los datos desde fuera. En el registro, «país de los datos» y «país del soporte» son columnas distintas por esa razón.

La cláusula 4 permite a la entidad auditar o recibir un informe independiente vigente. Un informe de controles (de los que emiten firmas auditoras) o una certificación de gestión de seguridad dicen algo sobre un periodo y un alcance. Vencido, deja de ser evidencia: no demuestra nada sobre el estado actual. La fecha de referencia del inventario es el 2 de octubre de 2026.

Abre informes-de-control.csv.

Para decidir si el hallazgo es un descuido o un patrón hay que contar. Una fila entra en la cuenta si el subencargado accede a datos y no tiene autorización escrita. Un subencargado sin acceso a datos, como uno que solo envía telemetría, no entra: sigue siendo un tema de contrato, pero no de acceso.