Lista de verificación de evaluación de impacto de privacidad de Boston para organizaciones sin fines de lucro
Esta lista de verificación ayuda a las organizaciones sin fines de lucro que operan en Boston, Massachusetts a planificar, documentar y mitigar los riesgos de privacidad al recopilar, almacenar o compartir datos personales. Explica quién en el gobierno de la ciudad revisa normalmente las prácticas de datos, dónde encontrar orientación oficial y pasos prácticos para completar una Evaluación de Impacto de Privacidad (EIP) antes de lanzar programas o firmar contratos que impliquen información personal. Úsela como complemento de los recursos oficiales de la Ciudad de Boston y de los requisitos de contratación para que su organización cumpla las expectativas locales y proteja a las personas atendidas.
Ámbito y cuándo usar una EIP
Applique una EIP cuando una organización sin fines de lucro: recopile nuevas categorías de datos personales, combine conjuntos de datos, utilice herramientas de decisión automatizadas, contrate procesadores externos o reciba fondos/condiciones contractuales de la Ciudad que requieran revisión de privacidad. Documente los flujos de datos, bases legales, retención y controles de acceso.
Lista de verificación: elementos principales de la EIP
- Nombre del proyecto, responsable y persona de contacto.
- Mapeo de datos: categorías, orígenes, destinatarios, transferencias y plazos de retención.
- Evaluación de riesgos: identificar daños a la privacidad, probabilidad y medidas de mitigación.
- Controles técnicos: cifrado, controles de acceso, registros y minimización de datos.
- Acuerdos con terceros: procesadores, subprocesadores y cláusulas requeridas.
- Plan de retención y eliminación, incluidos los desencadenantes para la eliminación segura.
- Aviso de privacidad y plan de derechos de los interesados: cómo se informará a las personas y cómo pueden solicitar acceso o correcciones.
Sanciones y aplicación
La Ciudad de Boston enfatiza la gobernanza de datos y las responsabilidades de los proveedores a través de su orientación tecnológica y de adquisiciones; las multas monetarias específicas para organizaciones sin fines de lucro que no completen una EIP no se especifican en las páginas citadas.[1] La aplicación suele ser administrativa y contractual: la ciudad puede exigir acciones correctivas en la gestión del contrato, suspender pagos o rescindir acuerdos por incumplimiento.[2]
- Multas monetarias: no especificadas en la página citada.
- Escalada: aviso inicial, plan de acción correctiva, posible suspensión o terminación de contrato; los plazos exactos no se especifican en las páginas citadas.
- Sanciones no monetarias: órdenes de corrección, recursos contractuales, suspensión de acceso a sistemas de la ciudad o terminación.
- Agente aplicador: Oficina de Innovación y Tecnología de la Ciudad de Boston y oficinas de adquisiciones/contratos; las quejas y la supervisión de proveedores se canalizan a través de contactos de adquisiciones.[2]
- Apelaciones/revisiones: se aplican las vías de disputa contractual y de contratación; los límites de tiempo específicos para apelaciones no se especifican en las páginas citadas.
Solicitudes y formularios
No existe un formulario único publicado para EIP exigido a las organizaciones sin fines de lucro en las páginas de la Ciudad de Boston citadas; las organizaciones deben seguir la orientación de la ciudad y la documentación de contratación o usar plantillas internas que capturen los elementos de la lista de verificación anterior.[1]
Cómo completar una EIP
- Iniciar: reunir a las partes interesadas y asignar un responsable del proyecto.
- Documentar: mapear tipos de datos y flujos.
- Evaluar riesgos: puntuar riesgos y seleccionar mitigaciones.
- Actualizar: ajustar contratos y avisos de privacidad.
- Implementar: definir retención y capacitar al personal.
- Revisar: auditar periódicamente y antes de cambios importantes.
Preguntas frecuentes
- ¿Deben las organizaciones sin fines de lucro en Boston presentar una EIP a la ciudad?
- No de forma universal; los requisitos de presentación dependen del lenguaje del contrato y la financiación del programa. Verifique el lenguaje del contrato y las instrucciones de adquisición para cualquier condición de EIP o protección de datos.[2]
- ¿Dónde encuentro la orientación oficial de Boston sobre prácticas de datos?
- Consulte la guía de privacidad y tecnología de la Ciudad de Boston y las páginas de adquisiciones para los requisitos de proveedores y las políticas de datos.[1]
- ¿Qué hago si mi organización descubre una brecha de datos?
- Siga su plan de respuesta a incidentes, notifique a las personas afectadas según lo exija la ley e informe al contacto de la ciudad que figura en su contrato; los procedimientos de notificación específicos pueden estar en los documentos contractuales o en la orientación de la ciudad.[2]
Recursos de ayuda y apoyo
- City of Boston - Privacy and Data Governance
- City of Boston - Procurement & Contracts
- Data.Boston - Privacy Policy