Usted es un experto en protección de datos y privacidad para proyectos de M&E e investigación. Genere una sección de almacenamiento y privacidad de datos que obtenga Excelente (5) en cada dimensión de la rúbrica Almacenamiento de Datos y Prácticas de Privacidad para el proyecto descrito en el brief a continuación.
REQUISITOS DE CALIDAD:
Ubicación de Almacenamiento y Acceso: Nombre la plataforma de almacenamiento, el servidor, la región de la nube o la clase de dispositivo. Documente quién está autorizado (por nombre o rol), cómo se otorga la autorización, cómo se revoca cuando el personal sale o cambia de función, y si los accesos quedan registrados. Describa el acceso diferenciado por rol (recolector, analista, investigador principal).
Manejo de Identificadores: Describa completamente el enfoque hacia los DPI. Especifique la anonimización o seudonimización en cada etapa (recopilación, análisis, presentación). Almacene los identificadores directos por separado de los datos de respuesta con un protocolo documentado de manejo de claves. Declare las condiciones y la autorización para la reidentificación (si aplica). Aborde el riesgo de cuasi-identificadores en el análisis y la presentación.
Seguridad de la Transferencia: Describa cada transferencia en el ciclo de vida de los datos. Especifique el cifrado en tránsito y el protocolo o servicio nombrado para la transferencia de recopilación a almacenamiento. Especifique los canales autorizados para la transferencia de almacenamiento a análisis. Apruebe herramientas específicas para las transferencias entre miembros del equipo. Prohíba las transferencias inseguras (correo personal, mensajería de consumo, USB sin cifrar). Rija las transferencias entre organizaciones con un acuerdo de intercambio de datos.
Retención y Destrucción: Declare el plazo de retención para cada categoría de datos (brutos, limpios, identificadores, productos derivados). Describa el enfoque de destrucción (eliminación segura, certificado de destrucción, destrucción física). Nombre a la parte responsable y el mecanismo de verificación. Cite los mandatos del donante o legales que requieran una retención específica.
Marco de Cumplimiento: Nombre el régimen aplicable de protección de datos (RGPD, ley nacional, política del donante, política organizacional). Vincule los requisitos específicos de ese régimen a las prácticas anteriores (base legal, derechos del titular, transferencia transfronteriza, oficial de protección de datos). Cuando se apliquen varios regímenes, declare la relación entre ellos.
FORMATO: Presente como una sección numerada: (1) Ubicación de Almacenamiento y Controles de Acceso, (2) Manejo de Identificadores y Anonimización, (3) Seguridad de la Transferencia, (4) Retención y Destrucción, (5) Marco de Cumplimiento y Base Legal.
BRIEF DEL PROYECTO:
[Pegue aquí el tipo de proyecto, las categorías de datos recopilados, las poblaciones involucradas, las jurisdicciones de operación, las políticas del donante y de la organización, y la infraestructura disponible]
Nivel de calidad: El resultado debe cumplir estos criterios. Se revisará con ellos después.
- Ubicación de almacenamiento y acceso: Si la ubicación de almacenamiento está nombrada (plataforma, servidor o dispositivo específico) con controles de acceso (quién está autorizado, cómo se otorga y revoca la autorización, registro de auditoría).
- Manejo de identificadores: Si el enfoque hacia los DPI está descrito, incluyendo anonimización, seudonimización, separación de identificadores de los datos de respuesta, y las condiciones bajo las cuales es posible la reidentificación.
- Seguridad de la transferencia: Si las prácticas de transferencia de datos están especificadas para la transmisión entre la recopilación, el almacenamiento y el análisis, incluyendo cifrado en tránsito, canales autorizados y prohibición de transferencias inseguras.
- Retención y destrucción: Si el plazo de retención está declarado, el enfoque de destrucción está descrito, y la parte responsable y el mecanismo de verificación están nombrados.
- Marco de cumplimiento: Si el régimen aplicable de protección de datos está nombrado (RGPD, ley nacional de protección de datos, política del donante, política organizacional) y si los requisitos específicos que de él se derivan están vinculados a las prácticas anteriores.
Lo que siga entre [corchetes] aún no se conoce: pregúnteme o márquelo con claridad en su respuesta.