SPET: Certificación de Servicios
Prestados por un Encargado de Tratamiento
ISMS Forum
¡Certifica tu servicio de encargo de tratamiento!
ISMS Forum, Entidad de Certificación para la certificación oficial SPET
ISMS Forum, en su compromiso con la comunidad de expertos en protección de datos, se constituye como Entidad de Certificación en virtud del Esquema de Certificación de Servicios Prestados por un Encargado de Tratamiento de datos de carácter personal (Esquema SPET), siguiendo el procedimiento de acreditación de ENAC, ISO/IEC 17065/2012.
El Esquema SPET es un marco de referencia oficial para la certificación de servicios de encargo de tratamiento, proporcionando a los Encargados de Tratamiento una ventaja competitiva en su servicio ofertado, y a los Responsables de Tratamiento, una garantía y seguridad en la calidad y conformidad de dichos servicios.
La conformidad con los requisitos de la certificación SPET determina el reconocimiento de un tratamiento adecuado de la información personal. Esto implica elevados niveles de confianza en las relaciones con terceros.
¿Cómo puedes certificar tu servicio de encargo de tratamiento?
Para obtener la certificación SPET es necesario iniciar el proceso de solicitud y presentar los formularios correspondientes. Una vez completada la revisión, será necesario superar la auditoría de certificación del servicio candidato.
- Cumplimentación de formularios:
- Formulario SPF01: Inicial de precertificación, para iniciar el proceso de solicitud de certificación.
- Formulario SPF02: Solicitud de certificación, tras la confirmación inicial.
- Revisión inicial (30 días hábiles):
- Verificación de la correctitud de la información presentada.
- Se determinará si el servicio es certificable, y en caso positivo, la categoría de certificación del servicio, notificándolo al solicitante.
- Verificación de la documentación:
- Comprobación de que la documentación cumple los requisitos exigidos.
- Si los documentos no son suficientes, se habilita un plazo de 10 días hábiles para la subsanación de deficiencias.
- Evaluación:
- Si la solicitud es aceptada, se remitirá la documentación al auditor para determinar los controles y llevar a cabo la auditoría del servicio.
- Si la solicitud es aceptada, se remitirá la documentación al auditor para determinar los controles y llevar a cabo la auditoría del servicio.
A través de la solicitud, el candidato a la certificación del servicio declara conocer el proceso de certificación descrito en el documento DC01: Información al candidato, y acepta someter el servicio candidato a la auditoría de certificación.
Toda la documentación deberá ser enviada en formato digital a la dirección spet@ismsforum.es
El proceso de evaluación de los servicios para la certificación SPET requiere de una auditoría del servicio candidato.
- Dominios de control:
El proceso de auditoría se lleva a cabo siguiendo los dominios de control aplicables. Cada servicio puede estar compuesto por uno o varios de estos dominios de control, dependiendo del alcance del servicio.
Los dominios de control determinan la legislación a cumplir, y, por lo tanto, los controles específicos que se evaluarán durante la auditoría. Estos controles aseguran que el servicio cumpla con los requisitos establecidos por el RGPD y la LOPDGDD, según el tipo de tratamiento de datos que se realiza.
Los dominios de control establecidos en el esquema SPET son los siguientes:
- Registro de Actividades de Tratamiento de Encargado (Art. 30 RGPD y Art. 31 LOPDGDD).
- Delegado de Protección de Datos (Art. 37 RGPD y Art. 34 LOPDGDD).
- Responsable en la Unión Europea para entidades fuera de la UE/EEE sujetas al RGPD (Art. 27 RGPD y Art. 30 LOPDGDD).
- (Sub)Encargo del Tratamiento (Art. 5.2 RGPD).
- Transferencias Internacionales de Datos (Art. 44-49 RGPD).
- Medidas de Seguridad (Art. 32 RGPD).
- Notificación de Brechas de Seguridad de Datos (Art. 33-34 RGPD).
- Obligaciones Contractuales (Art. 28 RGPD y Art. 33 LOPDGDD).
- Decisión de certificación:
Una vez realizada la auditoría, ISMS Forum comprobará los resultados para tomar la decisión sobre la certificación.
Para que el servicio candidato sea certificado, no debe presentar ninguna No Conformidad. Si se detecta algún motivo para denegar la certificación, se notificará al candidato por escrito con las razones detalladas.
Si el servicio no supera la auditoría, se informará por escrito al ET para la subsanación de las No Conformidades.
