¿Qué marcos de cumplimiento se aplican a tu empresa?
Responde unas preguntas sobre lo que vendes, dónde están tus clientes y los datos que manejas. Descubre qué marcos de seguridad te pedirán los clientes y qué leyes de privacidad probablemente se aplican: SOC 2, ISO 27001, HIPAA, PCI DSS, RGPD, CCPA, PIPEDA y más.
Marcos, leyes y lo que piden los clientes
Tres cosas distintas deciden lo que necesitas. Las leyes de privacidad y seguridad se aplican por dónde están las personas y qué datos manejas. Los contratos y programas del sector, como PCI DSS para datos de tarjeta o CMMC para la defensa de EE. UU., se aplican por con quién trabajas. Y los marcos de seguridad como SOC 2 e ISO 27001 rara vez los exige la ley, pero los clientes los piden antes de firmar.
¿SOC 2 o ISO 27001?
Ambos muestran a los clientes que tu seguridad se gestiona y se verifica de forma independiente. SOC 2 es un informe de auditor y es lo que suelen pedir los clientes de EE. UU. ISO 27001 es un certificado, más habitual en Europa, el Reino Unido y Asia. Sus controles se solapan mucho, así que muchas empresas empiezan por el que piden sus clientes y añaden el otro después.
¿Las leyes de privacidad se aplican a empresas B2B?
Sí. El RGPD, el UK GDPR y la PIPEDA protegen cualquier dato personal, incluidos los contactos comerciales y empleados de tus clientes. La CCPA cubre datos de empleados y contactos comerciales desde 2023. Cuando tratas datos personales por cuenta de clientes, normalmente eres su encargado o service provider, y te pedirán un acuerdo de tratamiento de datos.
Preguntas frecuentes
¿Es asesoramiento legal?
No. Te indica los marcos y leyes que sugieren tus respuestas, con el motivo de cada uno, para que sepas qué revisar. Las leyes tienen excepciones y umbrales; confírmalo con un asesor cualificado.
¿Se aplica HIPAA si solo alojamos datos para clínicas?
Normalmente sí. Una empresa que crea, recibe, guarda o envía información de salud para un proveedor de salud o una aseguradora médica es business associate: debe firmar un business associate agreement y cumplir la HIPAA Security Rule.
¿Necesitamos PCI DSS si usamos un proveedor de pagos?
Si los datos de tarjeta van directamente a la página o el formulario alojado del proveedor y nunca tocan tus sistemas, tu alcance es mucho menor, a menudo un breve cuestionario de autoevaluación. Aun así, debes confirmarlo con tu banco adquirente.
¿Esta herramienta es gratuita?
Sí. No necesitas cuenta. Si añades tus datos de contacto y descargas el PDF, Sourceably los guarda para que nuestro equipo pueda ayudarte, salvo que marques «No contactarme».