Contratos de proveedores en Houston - Proteger datos de residentes
En Houston, Texas, los departamentos de la ciudad deben incluir términos de protección de datos al contratar proveedores que manejen información de residentes. Esta guía explica cláusulas contractuales prácticas, los departamentos que hacen cumplir los requisitos, cómo denunciar brechas y los pasos que los equipos de adquisiciones y los proveedores deben seguir para reducir el riesgo de privacidad. Use los procedimientos a continuación para redactar acuerdos de uso de datos, confidencialidad y seguridad, confirmar seguros y derechos de auditoría requeridos, y prepararse para la respuesta a incidentes y las obligaciones de notificación según las normas de adquisiciones y el código municipal de Houston.[1]
Términos contractuales requeridos y buenas prácticas
Cuando un proveedor vaya a acceder, almacenar, transmitir o procesar datos personales de residentes, los contratos deben abordar estándares mínimos de seguridad, usos permitidos, límites de localización o transferencia de datos, plazos de notificación de brechas, derechos de auditoría y aprobación de subcontratistas, y disposición de datos al finalizar el contrato. Las cláusulas centrales recomendadas incluyen alcance de los datos, controles de seguridad (cifrado, controles de acceso), notificaciones de brechas, indemnización por incidentes de datos y derechos de auditoría o evaluación por terceros.
- Incluya una definición clara de "datos personales de residentes" y los fines permitidos de tratamiento.
- Exija a los proveedores seguir controles de seguridad documentados y aportar evidencia de cumplimiento cuando se solicite.
- Especifique plazos de notificación de brechas y el contenido requerido de los avisos dirigidos a la ciudad.
- Incluya indemnización o asignación de responsabilidad por incidentes de datos, además de mínimos de seguro cuando proceda.
- Exija aprobación por escrito para subcontratistas que manejarán datos de residentes.
Sanciones y aplicación
Las sanciones civiles, los remedios contractuales y las sanciones administrativas por no proteger los datos de residentes se rigen por las normas de adquisiciones y las cláusulas contractuales exigibles. Las multas monetarias específicas vinculadas a fallas de protección de datos no están especificadas en las páginas de adquisiciones o el código municipal citadas; los remedios suelen derivarse del incumplimiento contractual, derechos de terminación, cláusulas de indemnización y posibles acciones civiles. Para las normas de adquisiciones y los términos de gobierno, consulte la orientación de adquisiciones de la Ciudad de Houston y el Código Municipal.[1][2]
- Cantidad de multas: no especificado en la página citada.
- Escalamiento: el código municipal y las normas de adquisiciones abordan incumplimiento contractual, terminación por causa y daños liquidados cuando se especifica; los calendarios de escalamiento específicos para incidentes de datos no están especificados en la página citada.
- Sanciones no monetarias: suspensión o terminación del contrato, planes de acción correctiva, mandatos de auditoría y remediación, y remisión al asesor legal de la ciudad para acciones civiles.
- Ente aplicador: Procurement and Supply Chain Management (o el departamento que emite el contrato) implementa los remedios contractuales; las quejas y consultas se canalizan a través de la oficina de adquisiciones.
- Inspección y queja: los proveedores y residentes pueden informar problemas al departamento contratante y a la oficina de adquisiciones; consulte los canales oficiales de contacto de adquisiciones.
- Apelaciones/revisión: los procedimientos contractuales de apelación o protesta se aplican a disputas de adquisiciones; los plazos se establecen en las normas de adquisiciones o en el código municipal y deben comprobarse en las páginas oficiales de adquisiciones.
- Defensas/discreción: los departamentos pueden considerar los esfuerzos razonables documentados, la acción correctiva y las certificaciones existentes como factores mitigantes; las defensas estatutarias específicas no están especificadas en las páginas citadas de adquisiciones.
Solicitudes y formularios
La mayoría de las obligaciones de protección de datos se implementan mediante el lenguaje contractual en lugar de formularios separados para ciudadanos. La inscripción de proveedores y los formularios de respuesta a licitaciones son publicados por la oficina de adquisiciones; las declaraciones de protección de datos o anexos de privacidad específicos pueden ser requeridos según la licitación o la política departamental. Consulte los recursos para proveedores de adquisiciones para cualquier declaración o cuestionario de seguridad obligatorio.[1]
Cómo integrar cumplimiento en adquisiciones
- Integre requisitos de protección de datos en plantillas de licitación y criterios de evaluación.
- Exija autoevaluaciones de seguridad o acreditaciones por terceros antes de la adjudicación.
- Incluya derechos de auditoría y reportes periódicos en los contratos.
- Planifique cláusulas de devolución de datos o eliminación segura al término del contrato.
Preguntas frecuentes
- ¿Quién hace cumplir las protecciones de datos en los contratos del proveedor para la Ciudad de Houston?
- El departamento contratante y Procurement and Supply Chain Management hacen cumplir los términos contractuales; la revisión legal y los remedios los maneja la Oficina del Abogado de la Ciudad cuando sea necesario.[1]
- ¿Existen multas establecidas por no proteger los datos de residentes?
- Las multas monetarias específicas por protección de datos no están especificadas en las páginas citadas de adquisiciones o en el código; la aplicación suele usar remedios contractuales y cláusulas de indemnización.[2]
- ¿Qué debe hacer un proveedor después de descubrir una brecha de datos?
- Siga la respuesta a incidentes del contrato: notifique de inmediato al departamento contratante, preserve las pruebas, implemente contención y proporcione los avisos requeridos según el contrato y la ley aplicable.
Cómo hacer
- Identifique si la contratación implica datos personales de residentes y liste las categorías de datos a proteger.
- Inserte cláusulas explícitas de protección de datos en la licitación y el contrato (alcance, controles, notificación de brechas, derechos de auditoría).
- Exija a los proveedores declaraciones, documentación de seguridad y seguros antes de la adjudicación.
- Incluya seguimiento post-adjudicación: auditorías, reportes y plazos de acción correctiva.
- En caso de incidente, siga las reglas contractuales de notificación y coordine con los equipos legales y de seguridad informática de la ciudad para la remediación.
Puntos clave
- Incluya términos claros sobre uso de datos y notificación de brechas en todos los contratos de proveedores que traten datos de residentes.
- Use declaraciones y derechos de auditoría para verificar prácticas de seguridad del proveedor antes de adjudicar.
- Informe sospechas de brechas de inmediato al departamento contratante y siga los procedimientos contractuales.
Ayuda y soporte / Recursos
- City of Houston Purchasing and Procurement
- City of Houston Code of Ordinances (Municode)
- City of Houston Information Technology Services