Manual del Programa de Certificación Privacy+

Transcripción

1 Manual del Programa de Certificación Privacy+ PRISM International 8735 W. Higgins Road, Suite 300 Chicago, IL United States (U.S. residents only),

2 Prefacio El Manual del Programa de Certificación Privacy+ fue preparado para ser usado en conexión con, y como parte de, el Programa de Certificación Privacy+ de PRISM International. PRISM International, como titular del logotipo y de las normas de Privacy+, se reserva el derecho a cuestionar en cualquier momento las reclamaciones de conformidad con el mismo, así como de revisar los procedimientos de cualquier empresa que haga dicha reclamación. También se entiende que los no participantes en el programa Privacy+ no tendrán derecho a utilizar la marca Privacy+, o cualquier facsímil o reproducción de la misma, o en relación con alguno de sus procedimientos o literatura relacionados con dichos procedimientos. Todo el contenido de PRISM International Todos los derechos reservados. El contenido de este manual no puede ser reproducido, copiado, o difundido, todo o en parte, sin el permiso expreso de PRISM International. Este manual contiene instrucciones e información para ser usadas por empresas de registro y gestión de la información que deseen obtener la certificación a través de PRISM International. 2

3 Contenido Sección I. Información Básica de Privacy+...4 Descripción y Objetivo...4 Historia...4 Disponibilidad...4 Cómo Solicitarla...4 Renovación de la Certificación...5 Política Antimonopolio...5 El Ámbito de la Auditoría...5 Normas de la Auditoría: Estados Unidos...6 Normas de la Auditoría: Internacionales...6 Marketing y Uso del Logotipo de Privacy+...6 Confidencialidad...6 Tarifas de Privacy+...7 Sección II. Objetivos de Control y Controles Internos...8 Sección III. Formularios Formulario de Aprobación y Compromiso del Auditor...11 Formulario de Solicitud Privacy Formulario A de Informe de Auditoría Privacy Formulario B de Informe de Auditoría Privacy Contrato de Licencia

4 Sección I. Información Básica de Privacy+ Descripción y Objetivo Privacy+ es un programa de certificación internacional disponible para todas las empresas que proporcionan servicios de almacenamiento externalizado, protección de registros en papel y soportes informáticos removibles fuera de línea. La participación en Privacy+ es voluntaria y permite a las empresas demostrar públicamente su compromiso de proteger la privacidad de la información que sus clientes les confían. La Certificación Privacy+ es propiedad de, y está administrada por, PRISM International (Professional Records & Information Services Managemen), también denominada aquí como Asociación comercial sin fines de lucro para la industria de la gestión de la información comercial. La Certificación Privacy+ aplica sólo al almacenamiento físico y al manejo de registros en papel y soportes informáticos removibles fuera de línea de las empresas participantes. Sin limitación alguna, Privacy+ no aplica para servicios relacionados como imágenes de documentos, servicios de trituración, o cualquier otra forma de almacenamiento en la nube. Los propósitos del programa Privacy+ son proporcionar a los participantes un medio para demostrar públicamente su compromiso de garantizar la privacidad de la información bajo su custodia compartir recursos y mejores prácticas para ayudar a los participantes a reducir los riesgos en sus negocios reducir el número de incidentes de violación de privacidad causados por miembros de nuestra industria, con lo que se preserva la reputación y la confianza de nuestra industria se reduce la probabilidad y severidad de la legislación impuesta por el gobierno a nuestra industria. Historia El programa de Certificación Privacy+ fue lanzado por PRISM International en Inicialmente, Privacy+ incluía un componente de educación obligatoria, además del requisito de que los participantes auto-certificaran su implementación en una lista específica de las mejores prácticas de la industria. En 2013, se agregaron al programa las auditorías independientes, lo cual reemplazó tanto al componente educativo obligatorio como a la lista de auto-certificación. Para completar el proceso de la auditoría independiente y obtener el estatus de Certificación Privacy+, las empresas deberán de establecer controles internos diseñados para cumplir con una serie de objetivos de control, éstos habían sido diseñados por PRISM International con el objetivo de promover la privacidad de la información. Los participantes tienen la obligación de someter sus operaciones a una auditoria, la cual debe ser llevada a cabo por un auditor independiente de acuerdo con el Statement on Standards for Attestation Engagements (SSAE) Número 16 (American Institute of Certified Public Accountants [AICPA]) en los Estados Unidos, o el International Standard on Assurance Engagements (ISAE) 3402 (International Auditing and Assurance Standards Board [IAASB]) usado internacionalmente. Las empresas que obtuvieron la Certificación Privacy+ en 2012 o principios de 2013 mediante el proceso de autocertificación, continuarán teniendo la Certificación Privacy+ hasta el 31 de diciembre de Disponibilidad PRISM International ofrece la Certificación Privacy+ que se encuentra a disposición de todas las empresas que prestan servicios de almacenamiento externalizado, de protección de registros en papel y de medios informáticos removibles fuera de línea. Los miembros de PRISM International no están obligados a participar en Privacy+, sin embargo, recibirán un descuento en los precios si lo hacen. Aprovechando el poder adquisitivo de la membresía completa de PRISM International, se han negociado tasas preferenciales con la empresa de contabilidad Kirkpatrick Price para los servicios de auditoría relacionados con Privacy+. Kirkpatrick Price tiene conocimientos especializados dentro de la industria de gestión de registros e información y también tiene acceso a la red internacional de auditores de ISACA ( y a auditores certificados CISA, lo que le permite realizar o gestionar las auditorías de Privacy+ en todo el mundo. Las auditorías de Privacy+ pueden ser llevadas a cabo por empresas que no sean Kirkpatrick Price siempre y cuando sean aprobadas previamente por PRISM International. PRISM International puede solicitar un permiso por escrito por medio del Formulario de Aprobación y compromiso del auditor de Privacy+. Antes de contratar una empresa de auditoría que no sea Kirkpatrick Price, los posibles solicitantes deberán compartir con su futuro auditor los formularios A y B de Informe de auditoría de Privacy+ para asegurar la disposición del auditor a completar y presentar los formularios. Cómo Solicitarla Los pasos para solicitar la Certificación Privacy+ son los siguientes: 1. Revisar minuciosamente este Manual de Privacy+ para asegurarse de que comprende tanto el programa como los objetivos de control de Privacy+, así como el proceso necesario para establecer y mantener la Certificación Privacy+. 2. Asegurar que su auditor complete el formulario de aprobación y compromiso. Tenga en cuenta que si va a utilizar un auditor distinto a Kirkpatrick Price, éste debe ser aprobado por PRISM International por escrito. Aunque no es necesario, le sugerimos que espere hasta que PRISM International apruebe su auditor antes de continuar con la auditoría ya que 4

5 la aprobación de su auditor por parte de PRISM International no está garantizada. 3. Presentar los siguientes formularios a PRISM International: a. Formulario de solicitud b. Contrato de licencia c. Formulario de aprobación y compromiso del auditor. 4. Recibir una factura de PRISM International por las cuotas de la solicitud, de los derechos de licencia del primer año, y, si está utilizando los servicios de Kirkpatrick Price, por los honorarios de la auditoría. Si usted está usando los servicios de una empresa de auditoría que no sea Kirkpatrick Price, se requiere una factura de PRISM International indicando que su auditor ha sido aprobado. Si su auditor no es aprobado, el personal de PRISM International lo contactará directamente. 5. Pagar la factura de PRISM dentro de los primeros 30 días de su recepción. 6. Programar la auditoría. Preferiríamos que su auditoría de Privacy+ se realizara dentro de los 6 meses posteriores a la presentación de su solicitud a Privacy+. Si su auditoría no se ha realizado pasado un año de la presentación de su solicitud, usted tendrá que presentar una nueva solicitud y pagar la cuota correspondiente. 7. Cuando su auditoría esté completa, su auditor enviará a PRISM International el formulario B del informe de auditoría de Privacy+ y los formularios A y B del informe de auditoría de Privacy+ a usted. 8. PRISM International otorgará la Certificación Privacy+ dentro de los primeros 30 días de haber recibido el formulario B del informe de auditoría llenado de manera satisfactoria. Renovación de la Certificación 1. Para mantener la Certificación Privacy+, las empresas deben realizar una auditoría Privacy+ cada 2 años. 2. Para renovar la certificación, las empresas solicitantes deberán repetir los pasos 2-7 (enumerados en Cómo solicitarla ) antes del segundo aniversario de la certificación inicial y posteriormente cada 2 años. Teniendo en cuenta el tiempo de espera necesario para completar una auditoría, se aconseja a los participantes que comiencen el proceso de renovación al menos 6 meses antes del segundo aniversario. 3. Si PRISM International no recibe un nuevo formulario B del informe de auditoría a los 2 años de la fecha inicial de la certificación, la empresa dejará de contar con la Certificación Privacy+ y deberá dejar de utilizar el nombre y las etiquetas de Privacy+ en todos los materiales de mercadotecnia. Política Antimonopolio Todos los aspectos del programa Privacy+ deberán acatar la política antimonopolio de PRISM International. 1. PRISM International no permitirá ninguna discusión entre miembros y no miembros que intenten llegar a un acuerdo con respecto a los precios, términos o condiciones de venta, volumen, territorios o clientes. 2. PRISM International no permitirá ninguna actividad o comunicación que incluya una discusión sobre precios, métodos de fijación de precios, cuotas de venta, u otras limitaciones ya sea de tiempo, de volumen de ventas, o de asignación de territorios o clientes. 3. PRISM International no permitirá ninguna actividad de un comité de la asociación, sin consultar previamente con el asesor legal, ese implica el intercambio de información en cuanto a precios, método de fijación de precios o ventas. 4. PRISM International no participará en actividades o comunicaciones que pudieran ser interpretadas como un intento de evitar que cualquier persona o entidad tenga acceso a algún mercado o cliente de bienes o servicios, o que cualquier negocio obtenga un servicio o un suministro de bienes. 5. PRISM International no establecerá estándares para ningún producto o servicio de la industria a menos que sea voluntario y que haya llegado por consenso de la industria. 6. PRISM International no participará en ninguna actividad o comunicación que pudiera interpretarse como un acuerdo para abstenerse de comprar o usar materiales, equipos, servicios o suministros de algún proveedor. 7. PRISM International no participará en ninguna actividad que pudiera ser interpretada como una acción para impedir o limitar la investigación básica o el desarrollo de cualquier producto, proceso o servicio. El Ámbito de la Auditoría La Certificación Privacy+ se concede sobre una base de país a país; las instalaciones individuales y específicas dentro de un país no podrán ser excluidas del ámbito de la auditoría. El número y el tipo del sitio visitado dependen del auditor y de la capacidad del participante para demostrar la uniformidad del control. Durante una auditoría de Privacy+, el auditor deberá obtener suficiente evidencia mediante procedimientos de auditoría con el fin de establecer una base razonable para fundamentar una opinión sobre los controles internos que están siendo auditados. En general, los participantes con tres o menos instalaciones dentro de un país deben esperar que todas sus instalaciones sean inspeccionadas físicamente. Si el auditor determina que se puede aplicar un método de muestreo adecuado, los participantes con más de tres instalaciones dentro de un país pueden cumplir con los requisitos de la auditoría aun cuando menos del 100 % de sus instalaciones sea inspeccionado físicamente. En estos casos, el auditor debe determinar que la población de la cual se extrae la muestra es apropiada para el objetivo específico de la auditoría. Generalmente el factor determinante será la capacidad del participante para demostrar la uniformidad y la actividad de control. El tamaño necesario de la muestra para obtener evidencia suficiente dependerá tanto de los objetivos como de 5

6 la eficiencia de la muestra. Para un objetivo dado, la eficiencia de la muestra tendrá que ver con su diseño; una muestra será más eficiente que otra si logra los mismos objetivos con una muestra de menor tamaño. El número exacto, o el porcentaje, de instalaciones que requieren inspección física lo determinará el auditor del participante, basándose en los lineamientos del AICPA o de la International Federation of Accountants (IFAC) para el muestreo de auditoría. Los participantes con más de tres instalaciones deben consultar con su auditor antes de presentar una solicitud a PRISM International para saber cuántas instalaciones tendrán que ser auditadas para obtener la certificación Privacy+. Normas de Auditoría: Estados Unidos En los Estados Unidos, las auditorias de Privacy+ deben realizarse de acuerdo con la SSAE No. 16, (Reporting on Controls at a Service Organization). La SSAE 16 fue diseñada para reemplazar a la norma de auditoría SAS No. 70 (Statement on Auditing Standards). Utilizando varias disposiciones establecidas por la SAS 70, la auditoría SSAE 16 añade aspectos importantes para poder ser más viables en el mercado global y ampliar el uso del servicio de informes de auditoría. Estos cambios ayudan a que la SSAE 16 sea un espejo estadounidense de la internacionalmente utilizada ISAE La SSAE 16 entra en vigor el 15 de junio de El objetivo del informe del auditor del servicio SSAE 16, también conocido como SOC 1, es ofrecer la opinión de un auditor sobre la presentación que hace una empresa de sus controles actuales en cuanto a la protección de la información de sus clientes que podrían afectar la información financiera; proporcionar una evaluación de la descripción de sus controles, y establecer si están diseñados de manera adecuada para alcanzar los objetivos de control establecidos por la organización de servicios. El informe es entregado a las organizaciones de usuarios para ayudarlos en sus auditorías independientes. Los participantes de Privacy+ pueden cubrir el requisito de auditoría ya sea con una auditoría SSAE 16 Tipo 1, o con la auditoría SSAE 16 Tipo 2 que es más completa (véase Tarifas de Privacy+ para más detalles). Normas de Auditoría: Internacionales Fuera de los Estados Unidos, las auditorías de Privacy+ deben realizarse de acuerdo con la norma ISAE No. 3402, (Assurance Reports on Controls at a Service Organization). La norma ISAE 3402 se introdujo en 2009, y proporciona una norma global que le da a los contadores públicos la capacidad de emitir informes para ser usados por las organizaciones y sus auditores. La ISAE 3042 es un reflejo internacional de la norma estadounidense SSAE 16. Los participantes de Privacy+ pueden cubrir el requisito de auditoría ya sea con una auditoría ISAE 3402 Tipo 1, o con la auditoría ISAE 3402 Tipo 2 que es más completa (véase Tarifas de Privacy+ para más detalles). Marketing y Uso del Logotipo de Privacy+ El nombre Privacy+ y su logotipo son marcas comerciales de PRISM International. Las empresas con certificación Privacy+ están autorizadas a utilizar el nombre y el logotipo de Privacy+ en sus materiales de marketing, mientras que su certificación se mantenga activa. Las empresas que permitan que su certificación caduque están obligadas a retirar de inmediato el nombre y el logotipo de Privacy+ de todos sus materiales de marketing. Las empresas que operan en más de un país, pero que no tienen la certificación Privacy+ en todos los países en los que operan, no podrán usar el nombre o el logotipo de Privacy+ en ventas, marketing, u otras comunicaciones que puedan llegar a países donde no estén certificadas, a menos que las referencias a Privacy+ en esas comunicaciones atraigan específicamente la atención hacia los países en los que la empresa está operando pero que no está certificada (estas comunicaciones podrían incluir, pero no están limitados a, sitios web, correos electrónicos masivos, comunicaciones de redes sociales, etc.) Las empresas que no muestran adecuadamente el nombre o el logotipo de Privacy+ estarán obligadas a retirar de inmediato el nombre y el logotipo la Privacy+ de todos los materiales de marketing tras la resolución de PRISM International. Mientras su certificación se mantenga activa, las empresas con Certificación Privacy+ aparecerán por país en el sitio web de PRISM International. Confidencialidad En el proceso de tener sus operaciones auditadas, los participantes de Privacy+ estarán obligados a compartir información sobre sus operaciones con sus auditores. Se aconseja a los participantes pedir a sus auditores que firmen un acuerdo de confidencialidad para asegurar que la información compartida permanecerá confidencial. PRISM International no se hará responsable de ninguna violación de confidencialidad por parte un auditor del participante. PRISM International no pedirá a los auditores que compartan información detallada sobre los participantes de Privacy+. Sin embargo, para emitir un certificado de Privacy+ a un participante, PRISM International debe tener un poco de información básica sobre las operaciones de los participantes y también debe saber que todos los objetivos de control se cumplieron sin excepción. Como resultado, los participantes deben hacer que sus auditores completen el Formulario de Informe de Auditoría B de Privacy+. Los auditores son responsables de presentar el Formulario de informe de auditoría B de Privacy+ directamente a PRISM International. Además, cuando se considere necesario, PRISM International podrá solicitar que los participantes compartan cierta información con PRISM International, como el número de sus instalaciones dentro de un país. 6

7 Cuotas pata los miembros de PRISM Solicitud y derechos de licencia durante 2 años 1ª instalación $560 cuota por licencia $100 cuota por solicitud Tarifas de Privacy+ Cuotas de auditoría (auditorías válidas por 2 años desde la fecha de emisión) $2,600** por auditorías internas $2,000 por renovación de auditorías Honorarios totales a pagar cada dos años $3,260 por auditorías iniciales $2,660 por auditorías renovadas 2 a y 3 a instalaciones $560 cuota por licencia de instalación $2,000 por instalación $2,560 por instalación 4 a 25 a instalaciones $280 cuota por licencia de instalación $2,000 por instalación auditada* $2,280 por instalación auditada* 26 a + instalaciones $140 cuota por licencia de instalación $2,000 por instalación auditada* $2,140 por instalación auditada* *Muestreo de la auditoría Las organizaciones con más de tres instalaciones, podrán auditar menos del 100% de sus instalaciones siempre y cuando se pueda establece la uniformidad de los controles en todas las instalaciones (véase la sección sobre el Ámbito de la Auditoría). Sólo se les pedirá a los solicitantes que paguen las cuotas de las auditorías de las instalaciones realmente auditadas. Sin embargo, las cuotas por derecho de licencia se aplicarán a todas las instalaciones, aun cuando no se haya auditado el 100% de las instalaciones. Si el número de instalaciones cambia en el transcurso de la auditoría, PRISM International se reserva el derecho de ajustar las tarifas relacionadas con Privacy+ para que coincidan con el número real de instalaciones. **Taller de preparación La cuota inicial de la auditoría de la primera instalación incluye $600 para cubrir la asistencia obligatoria de un participante a un taller de preparación de Kirkpatrick Price (los gastos de viaje y el alojamiento son responsabilidad del solicitante). Se ofrecerán talleres en la Web para las empresas que están fuera de los Estados Unidos o para aquellos que no desean viajar a este país (los talleres se imparten en inglés). Cada asistente adicional pagará $600. Cuotas para una nueva auditoría Kirkpatrick Price determina que se aplicará una cuota de $750 por cada instalación que requiera ser auditada nuevamente por incumplimiento. El uso de auditores que no sean Kirkpatrick Price Los aspirantes que opten por utilizar auditores que no sean Kirkpatrick Price serán responsables de negociar y pagar las cuotas de auditoría directamente a sus auditores. Sin embargo, las cuotas de la solicitud y de los derechos de licencia se deberán pagar a PRISM International antes de comenzar el trabajo de auditoría. Los auditores externos deben ser aprobados por PRISM International a través del formulario de Aprobación y Compromiso del Auditor. Auditoría Tipo 1 versus auditoría Tipo 2 Las cuotas de la auditoría mencionadas anteriormente, se basan en las auditorías Tipo 1 (véase la sección sobre Normas de la auditoría). Kirkpatrick Price puede realizar una auditoría Tipo 2 que es más amplia con un costo adicional de $1,250 por instalación, con una cuota para una nueva auditoría de $ 1,500 si fuera necesario en caso de incumplimiento. Ambos tipos de auditorías, la 1 y la 2, son válidos para Privacy+. Cuotas por servicios fuera del territorio continental de los Estados Unidos Kirkpatrick Price sólo puede llevar a cabo auditorías fuera de los Estados Unidos continentales si todo el proceso se lleva a cabo en el idioma inglés. De lo contrario, los solicitantes con instalaciones fuera del territorio continental de los Estados Unidos pueden elegir otro auditor que no sea Kirkpatrick Price. Precio para los no miembros de PRISM International Las tasas anteriores son extensivas a todas las empresas miembro de PRISM International que estén en regla. Aquellas que no socias deben pagar una cuota adicional por derechos de licencia de $ 1,000 por cada instalación. Definición de instalación Una instalación se define como un edificio en el que se almacenan los registros en papel o soportes informáticos removibles fuera de línea. Los edificios de almacenamiento múltiple dentro de la misma área general que no compartan una pared común con los edificios adyacentes se considerarán instalaciones independientes. Cuotas Las cuotas se pagarán por adelantado por 2 años de Certificación Privacy+. Una cuota de procesamiento de 3% se aplicará a todos los pagos con tarjeta de crédito mayores o iguales a $ 5,000. Ejemplo de Escenarios de Precios Escenario La empresa tiene tres locales en los Estados Unidos. La empresa quiere obtener la Certificación Privacy+ en los Estados Unidos La empresa tiene 10 instalaciones siete en los Estados Unidos y tres en Brasil. La empresa quiere obtener la Certificación Privacy+ en los Estados Unidos y en Brasil Miembros de PRISM International que usan Kirkpatrick Price El costo será de $4,190 por año para PRISM: Costos de 2 años: $100 de cuota de solicitud, $1,680 de derechos de licencia ($ 560 x 3), $6,600 cuotas de auditoría ($2, x $2,000) El costo será de $9,170 por año para PRISM: Costos de 2 años: $100 de cuota de solicitud, $3,640 de derechos de licencia ($560 x x 7), $14,600 cuotas de auditoría* ($2, x $2,000) Miembros de PRISM International que usan otro auditor El costo será de $890 por año: Cuotas de solicitud y derechos de licencia para PRISM, más el costo que haya acordado con el auditor aprobado. Costo de 2 años para PRISM: $100 cuota de solicitud, $1,680 cuota de derecho de licencia ($560 x 3) El costo será de $1,870 por año: Cuotas de solicitud y derechos de licencia para PRISM, más el costo que haya acordado con el auditor aprobado. Costo de 2 años para PRISM: $100 cuota de solicitud, $3,640 cuota de derecho de licencia ($560 x x 7) No miembros de PRISM International El costo será el mismo que el de la izquierda, más $1,500 por año. El costo será el mismo que el de la izquierda, más $5,000 por año. Enviar esta página a la oficina de PRISM International PRISM International 8735 W. Higgins Road Suite 300 Chicago, IL United States Tel: Fax: [email protected] 7

8 Sección II. Objetivos de Control y Controles Internos Para la Certificación Privacy+, las empresas deberán establecer y realizar una auditoría por parte de un tercero. Esta auditoría valorará los controles internos diseñados para satisfacer un conjunto específico de objetivos de control destinados a preservar la privacidad de la información. Los objetivos de control han sido establecidos por PRISM International y todos los participantes de Privacy+ deben de cumplidos. Los objetivos de control son los siguientes: Objetivo de Control 1 Control de Organización y de Gestión Los controles proporcionan una garantía razonable de que la administración supervisa, separa las funciones, y guía el comportamiento de los empleados a través de un programa formal. Objetivo de Control 2 Política de Seguridad de la Información Los controles proporcionan una garantía razonable de que la administración ha implementado un programa de seguridad de la información que rige las prácticas de seguridad. Objetivo de Control 3 Evaluación de Riesgos Los controles proporcionan una garantía razonable de que la administración ha implementado una función de evaluación de riesgos para identificar nuevos riesgos o cambios en el entorno que requerirían modificar los controles. Objetivo de Control 4 Control de Recursos Humanos Los controles proporcionan una garantía razonable de que los empleados y los contratistas comprenden sus responsabilidades de seguridad y que son aptos para las funciones para las que han sido considerados. Objetivo de Control 5 Gestión del Vendedor Los controles proporcionan una garantía razonable de que las terceras personas comprenden sus responsabilidades de seguridad y que son capaces de cumplir con los requisitos de seguridad de la organización. Objetivo de Control 6 Control de Acceso Físico Los controles proporcionan una garantía razonable de que se impide el acceso no autorizado a las zonas seguras de los lugares de almacenamiento tanto administrativos como de información. Objetivo de Control 7 Controles Ambientales Los controles proporcionan una garantía razonable de que los efectos negativos de los factores ambientales se mitigan eficazmente. Objetivo de Control 8 Controles Lógicos de Acceso Los controles proporcionan una garantía razonable de que los mecanismos lógicos de acceso están en su lugar para restringir adecuadamente el acceso a las aplicaciones, datos, recursos de red y sistemas operativos. Objetivo de Control 9 Seguridad de la Red Los controles proporcionan una garantía razonable de que se han implementado las mejores prácticas para restringir el acceso no autorizado a los recursos de la red interna. Objetivo de Control 10 Acceso Electrónico a los Clientes Los controles de información proporcionan una seguridad razonable de que se han implementado las mejores prácticas para proteger la información del cliente que se almacena o se transmite a través de medios electrónicos. Todas las empresas participantes en Privacy+ tendrán un conjunto exclusivo de controles internos que apoyen los objetivos de control descritos anteriormente. Los controles internos deben ser, a juicio del auditor del participante, suficientes para apoyar los objetivos de control. Para ayudar a los participantes a comprender los tipos de control internos necesarios para apoyar los objetivos de control, PRISM International proporciona una muestra de controles internos para apoyar cada objetivo de control. Estos son sólo ejemplos, los participantes pueden reemplazar o agregar controles internos individuales sobre la base de su propia evaluación interna de los riesgos de operaciones específicas. Objetivo de Control 1 Control de Organización y de Gestión Los controles proporcionan una garantía razonable de que la administración supervisa, separa las funciones, y guía el comportamiento de los empleados a través de un programa formal. La organización cuenta con un organigrama actualizado. La organización cuenta con un manual formal escrito para el empleado. La organización cuenta con descripciones escritas de puestos formales. Objetivo de Control 2 Política de Seguridad de la Información Los controles proporcionan una garantía razonable de que la administración ha implementado un programa de seguridad de la información que rige las prácticas de seguridad. La organización cuenta con una política formal escrita de seguridad de la información. La organización cuenta con una declaración de política escrita formal que comunica cómo se accede y utilizan los datos del consumidor. La política de seguridad de la información nombra a un administrador o responsable para supervisar el programa. La política de seguridad de la información identifica las leyes o reglamentos que la organización debe seguir. La política de seguridad de la información específica los procedimientos operativos para el acceso físico y el manejo 8

9 de la información del cliente almacenada físicamente o electrónicamente en el sitio de la organización. La política de seguridad de la información especifica el procedimiento para respuestas ante incidentes que cumple con el Requisito de la norma Payment Card Industry Data Security Standard (PCI DSS). La política de seguridad de la información especifica los métodos para la capacitación de los empleados para ser llevada a cabo por lo menos una vez al año. La política de seguridad de la información especifica los procedimientos disciplinarios para los empleados que violen la política. Objetivo de Control 3 Evaluación de Riesgos Los controles proporcionan una garantía razonable de que la administración ha implementado una función de evaluación de riesgos para identificar nuevos riesgos o cambios en el entorno que requerirían modificar los controles. La organización cuenta con un plan formal escrito de evaluación de riesgos. La organización lleva a cabo una evaluación de riesgos, al menos anualmente, lo que da como resultado la documentación de amenazas y planes de mitigación. Objetivo de Control 4 Control de Recursos Humanos Los controles proporcionan una garantía razonable de que los empleados y los contratistas comprenden sus responsabilidades de seguridad y que son aptos para las funciones para las que han sido considerados. La organización lleva a cabo verificaciones de los antecedentes de los potenciales empleados, incluyendo antecedentes penales, de crédito, de empleos anteriores y controles de referencias. Todos los empleados y contratistas firma un acuerdo de confidencialidad. La organización ha documentado los procedimientos de contratación y terminación de contrato para proporcionar o retirar el acceso a la información de los clientes. Objetivo de Control 5 Gestión del Vendedor Los controles proporcionan una garantía razonable de que las terceras personas comprenden sus responsabilidades de seguridad y que son capaces de cumplir con los requisitos de seguridad de la organización. La organización cuenta con un proceso de selección formal para evaluar las capacidades de terceros y la prestación de servicios. Todos los vendedores firman un acuerdo de confidencialidad. La organización comunica a cada proveedor las responsabilidades contractuales de seguridad. Objetivo de Control 6 Control de Acceso Físico Los controles proporcionan una garantía razonable de que se impide el acceso no autorizado a las zonas seguras de los lugares de almacenamiento tanto administrativos como de información. Todos los puntos de acceso a la instalación están bloqueados o tienen un mecanismo electrónico de acceso. La instalación está equipada con una alarma antirrobo y vigilada las 24 horas durante los 7 días de la semana. Todos los puntos de entrada están monitoreados en todo momento. Todos los visitantes proporcionan una identificación válida y firman un registro para poder entrar. Todos los visitantes llevan un distintivo que los identifica claramente como visitantes. Todos los visitantes son acompañados en todo momento por un empleado autorizado, a no ser que estén previamente autorizados como visitantes conocidos, como vendedor habitual por ejemplo. Los vehículos desatendidos que contienen la información del cliente son cerrados con llave. Se inscriben las entradas a los sitios donde se encuentran los registros de los clientes, ya sea manual o electrónicamente. Se mantiene un estricto control de la distribución interna o externa de cualquiera de los medios, incluyendo los siguientes controles: Clasificar los materiales para que la sensibilidad de los datos pueda ser determinada. Enviar los materiales por correo seguro u otro método de entrega que se pueda controlar con precisión. Objetivo de Control 7 Controles de Ambientales Los controles proporcionan una garantía razonable de que los efectos negativos de los factores ambientales se mitigan eficazmente. La instalación está equipada con un sistema de extinción de incendios. La instalación está equipada con un sistema de detección de incendios y vigilada las 24 horas durante los 7 días de la semana. Los servidores de operación crítica, incluyendo aquellos que contienen información propiedad del cliente, están equipados con sistemas de respaldo de batería. Los servidores de operación crítica se enfrían adecuadamente dentro de una sala de de cómputo cerrada. Objetivo de Control 8 Controles Lógicos de Acceso Los controles proporcionan una garantía razonable de que los mecanismos lógicos de acceso están en su lugar para restringir adecuadamente el acceso a las aplicaciones, datos, recursos de red y sistemas operativos. Cada cuenta de usuario es autorizada de acuerdo con las necesidades del negocio. Todos los privilegios se asignan sobre la base de la clasificación del puesto y la función. Existe un procedimiento formal de registro y cancelación de registro de usuarios para otorgar y revocar el acceso a todos los sistemas de información y servicios. 9

10 Las contraseñas de los empleados deben ser cambiadas en intervalos designados que no excedan los 90 días. Los sistemas están configurados para reforzar una construcción sólida de contraseñas (al menos 7 caracteres, caracteres alfa-numéricos con al menos un carácter especial), siempre y cuando el software actual sea compatible con esta función. Los clientes pasan por un proceso de autorización predeterminado antes de tener acceso a las herramientas de gestión de registros. Objetivo de Control 9 Seguridad de Red Los controles proporcionan una garantía razonable de que se han implementado las mejores prácticas para restringir el acceso no autorizado a los recursos de la red interna. Existe un servidor de seguridad en cada conexión a internet y entre todas las redes inalámbricas. Se llevan a cabo escaneos externos de vulnerabilidades al menos cada tres meses o después de cualquier cambio significativo en la red para validar e identificar cualquier vulnerabilidad en la configuración. Existen aplicaciones antivirus y antimalware instaladas en todos los sistemas comúnmente afectados por códigos maliciosos, configuradas con actualizaciones automáticas. La gestión de parches se realiza al menos cada tres meses, en el caso de las emisiones críticas, se realiza cada 30 días. Objetivo de Control 10 Acceso Electrónico a los Clientes Los controles de información proporcionan una seguridad razonable de que se han implementado las mejores prácticas para proteger la información del cliente que se almacena o se transmite a través de medios electrónicos. Los sitios Web o los servicios públicos basados en el navegador usan el protocolo de seguridad SSL (Secure Sockets Layer) al acceder a la información del cliente. 10

11 Formulario de Aprobación y Compromiso del Auditor Nombre de la empresa Sitio Web de la empresa Nombre de la persona que realiza la auditoría Nombre de la empresa Privacy+ solicitante que será auditada Si la auditoría va a ser realizada por un tercero, se debe de tratar de una empresa CPA calificada. La empresa CPA debe contar con experiencia previa en la realización de evaluaciones de acuerdo con la Statement on Standards for Attestation Engagements No. 16, debe estar registrada en PCAOB, con licencia obtenida directamente o a través de la equivalencia NASBA del estado en el que opere el miembro, y contar con la certificación CISA o CISSP. La empresa que va a realizar la auditoría cumple con las normas antes mencionadas? o Sí o No Si no es así, describa por favor cómo es exactamente que la empresa no cumple con los estas normas. Esta empresa de contabilidad o empresa CPA independiente está siendo contratada por la empresa que será auditada? o Sí o No En qué país(es) va a realizar la auditoría de las instalaciones del solicitante? Cuántas instalaciones* del solicitante en total operan en este país? Cuántas del total de instalaciones planea inspeccionar físicamente para la auditoría? Mi empresa y yo hemos revisado los materiales del Manual de Privacy+ y estamos de acuerdo con los procedimientos y requisitos establecidos para la realización de una Auditoría Privacy+. Afirmamos además que la información presentada en este Formulario de aprobación y compromiso del auditor es correcta y exacta. Firma de la persona que realiza la revisión Firma de la empresa CPA que supervisará la auditoría si es diferente *Una instalación se define como un edificio en el que se almacenan los registros en papel o medios informáticos removibles fuera de línea. Los edificios de almacenamiento múltiple dentro de la misma área general que no compartan una pared común con los edificios adyacentes se considerarán instalaciones independientes. Para uso exclusivo de la oficina de PRISM: El auditor es aceptado? de procesamiento Enviar esta página a la oficina de PRISM International PRISM International 8735 W. Higgins Road Suite 300 Chicago, IL United States Tel: Fax: [email protected] 11

12 Formulario de Solicitud Privacy+ Nombre de la empresa Persona de contacto para Privacy+ Dirección Ciudad Código Postal/ZIP Teléfono Correo electrónico Provincia/Estado País Fax Sitio web Es usted actualmente miembro de PRISM International? o Sí o No Va a utilizar los servicios de Kirkpatrick Price para la auditoría Privacy+? o Sí o No En qué país(es) desea tener la certificación Privacy+? Cuántos instalaciones* en total opera su empresa en estos países? Si ha optado por excluir las instalaciones, por favor, explique por qué. Nuestra empresa ha revisado el Manual de Certificación Privacy+ y tiene la intención de solicitar la Certificación Privacy+. Adjunto encontrará nuestro o Contrato de licencia firmado o Formulario de aprobación y compromiso del auditor o Entiendo que PRISM International me facturará por adelantado las cuotas de solicitud, de auditoría (si uso el servicio Kirkpatrick Price), y de derechos de licencia por 2 años. Después de que mi empresa haya pagado las cuotas por adelantado, se podrá proceder con la Auditoría Privacy+. o Entiendo que si el número o el ámbito de la auditoría cambia en el transcurso de la misma, PRISM International se reserva el derecho de ajustar las tarifas asociadas a Privacy+ para que coincidan con el número de instalaciones revisadas o con el ámbito de la auditoría. * Una instalación se define como un edificio en el que se almacenan los registros en papel o medios informáticos removibles fuera de línea. Los edificios de almacenamiento múltiple dentro de la misma área general que no compartan una pared común con los edificios adyacentes se considerarán instalaciones independientes. La instalación debe excluirse si la ubicación no incluye el almacenamiento de registros físicos y/o medios informáticos fuera de línea. Pago (debe acompañar la inscripción) o o o o o Cheque (anexar) Se cobrarán $25 por refacturar un cargo de tarjeta de crédito. Una cuota de procesamiento de 3% se aplicará a todos los pagos con tarjeta de crédito mayores o iguales a $ 5,000. En caso de un error de cálculo, autorizo a PRISM a cargar a mi tarjeta de crédito la cantidad que PRISM estime pertinente. Haga el cheque a nombre de PRISM International. Los cheques que no sean en dólares estadounidenses serán devueltos. Cheque número Se hará un cargo de $25 por cheque devuelto por falta de fondos. Número de cuenta de caducidad Firma Nombre del titular (en letra de imprenta) Enviar esta página a la oficina de PRISM International PRISM International 8735 W. Higgins Road Suite 300 Chicago, IL United States Tel: Fax: [email protected] 12

13 Formulario A de Informe de Auditoría El auditor lo entregará únicamente a la empresa que será auditada (NO ENTREGAR A PRISM INTERNATIONAL) Nombre de la empresa a ser auditada Dirección Nombre del contacto País(es) para el (los) cual (es) se está buscando la Certificación Privacy+ Teléfono Nombre del auditor (en letra de imprenta) Correo electrónico Firma del auditor Nombre de la empresa Indique si la empresa cumple con cada uno de los objetivos de control de Privacy+ que se enumeran a continuación. Áreas Cumple (X) No cumple (X) Comentarios Objetivo de Control 1 Control de Organización y de Gestión Los controles proporcionan una garantía razonable de que la administración supervisa, separa las funciones, y guía el comportamiento de los empleados a través de un programa formal. Objetivo de Control 2 Política de Seguridad de la Información Los controles proporcionan una garantía razonable de que la administración ha implementado un programa de seguridad de la información que rige las prácticas de seguridad Objetivo de Control 3 Evaluación de Riesgos Los controles proporcionan una garantía razonable de que la administración ha implementado una función de evaluación de riesgos para identificar nuevos riesgos o cambios en el entorno que requerirían modificar los controles Objetivo de Control 4 Control de Recursos Humanos Los controles proporcionan una garantía razonable de que los empleados y los contratistas comprenden sus responsabilidades de seguridad y que son aptos para las funciones para las que han sido considerados Objetivo de Control 5 Gestión del Vendedor Los controles proporcionan una garantía razonable de que las terceras personas comprenden sus responsabilidades de seguridad y que son capaces de cumplir con los requisitos de seguridad de la organización. Objetivo de Control 6 Control de Acceso Físico Los controles proporcionan una garantía razonable de que se impide el acceso no autorizado a las zonas seguras de los lugares de almacenamiento tanto administrativos como de información. Objetivo de Control 7 Controles de Ambientales Los controles proporcionan una garantía razonable de que los efectos negativos de los factores ambientales se mitigan eficazmente. Objetivo de Control 8 Controles Lógicos de Acceso Los controles proporcionan una garantía razonable de que los mecanismos lógicos de acceso están en su lugar para restringir adecuadamente el acceso a las aplicaciones, datos, recursos de red y sistemas operativos. Objetivo de Control 9 Seguridad de Red Los controles proporcionan una garantía razonable de que se han implementado las mejores prácticas para restringir el acceso no autorizado a los recursos de la red interna. Objetivo de control 10 Acceso Electrónico a los Clientes Los controles de información proporcionan una seguridad razonable de que se han implementado las mejores prácticas para proteger la información del cliente que se almacena o se transmite a través de medios electrónicos. Enviar esta página a la oficina de PRISM International PRISM International 8735 W. Higgins Road Suite 300 Chicago, IL United States Tel: Fax: [email protected] 13

14 Formulario B de Informe de Auditoria El auditor* lo entrega a la empresa que será auditada y a PRISM International Nombre de la empresa a ser auditada Nombre de la empresa auditora Auditor/Nombre del contacto Dirección Ciudad Provincia/Estado Código Postal/ZIP País Teléfono Correo electrónico Fax Sitio web País(es) para el (los) cual (es) se está buscando la Certificación Privacy+ Núm. total de instalaciones** en el (los) país(es) donde se busca la certificación Núm. real de instalaciones inspeccionadas físicamente por el auditor de acuerdo con la auditoría de Privacy+ Dirección(es) de la(s) instalaciones donde se busca obtener la certificación (adjuntar lista por separado si es necesario). Estado de la Auditoría: : La Empresa cumple, en todas sus instalaciones en el (los) país(es) antes mencionado(s), en todos sus aspectos significativos y sin restricción, todos los objetivos de control efectivos a la fecha de hoy, que se enumeran en el Manual de Certificación Privacy+. : La Empresa no cumple con los objetivos de control efectivos a la fecha de hoy. Certificamos que la empresa arriba mencionada, a partir de las fechas indicadas en el campo, ha sido auditada de acuerdo a las normas SSAE 16 o ISAE Certificamos que la fecha más reciente que aparece más arriba indica los resultados o la situación de nuestra auditoría. Nombre del titular (en letra de imprenta) Firma del auditor Para uso exclusivo de la oficina de PRISM de recepción: de procesamiento: *Los auditores deben cumplir con ciertos requisitos para llevar a cabo auditorías de conformidad con Privacy+. Por favor consulte el Formulario de aprobación y compromiso del auditor de Privacy+. **Una instalación se define como un edificio en el que se almacenan los registros en papel o medios informáticos removibles fuera de línea. Los edificios de almacenamiento múltiple dentro de la misma área general que no compartan una pared común con los edificios adyacentes se considerarán instalaciones independientes. Enviar esta página a la oficina de PRISM International PRISM International 8735 W. Higgins Road Suite 300 Chicago, IL United States Tel: Fax: [email protected] 14

15 Contrato de Licencia Favor de completar la información solicitada en el presente Contrato de licencia. Haga una copia y firme ambas copias. Devuelva ambas copias firmadas a PRISM International. PRISM International formalizará una copia y la otra le será devuelta para que usted la tenga en sus archivos. Empresa Dirección Ciudad Código Postal/ZIP Provincia/Estado País Persona de contacto Teléfono Fax Lista de los sitios de otras instalaciones (Adjuntar otra hoja si es necesario) La empresa anteriormente mencionada solicita a PRISM International (Asociación) una licencia para exhibir el logotipo de Privacy* en conformidad con los términos de este Contrato de licencia. Las obligaciones y acuerdos de PRISM International, según lo establecido en este documento, están condicionados expresamente al cumplimiento continuo de la empresa de conformidad con los términos y condiciones establecidos en el presente Contrato y en el Manual de Certificación de Privacy+. 1. General 1.1 Definiciones: Cuando se utilicen en el presente Contrato, los siguientes términos tendrán el siguiente significado: A. Marca Privacy+: La marca y el logotipo propiedad de PRISM International cuya licencia de uso la tendrán las empresas que hayan finalizado el proceso de certificación y protección de datos. B. Empresa: Empresas de gestión externalizada de registros e información con fines de lucro que soliciten la Certificación de Privacy+. Como ejemplo están los centros de registros comerciales y operaciones de bóveda de resguardo de medios. C. Auditor: Empresa auditora aprobada por PRISM International para que evalúe si la empresa ha cumplido con los requisitos de Privacy+. D. Certificación / Certificado: Certificación por parte de PRISM International, con base en un informe de auditoría, de que la empresa cumple con los requisitos de las normas Privacy+ establecidos en el Manual de Certificación de Privacy+. E. Auditoría: Informe emitido a la empresa por la empresa auditora. F. Comité: El grupo de trabajo de PRISM Privacy+ o su sucesor. G. de vigencia: La fecha a partir de la cual una empresa certificada, o un nuevo solicitante de la Certificación Privacy+, debe cumplir con los requisitos de Privacy+, como fue reconocido por escrito por PRISM International. 1.2 El presente Contrato se regirá por las leyes del Estado de Illinois. 1.3 Cualquier notificación requerida en virtud del presente se considerará entregada si es enviada correctamente por correo electrónico, el servicio de correos de los Estados Unidos y con porte prepagado de primera clase o, en el caso de una empresa extranjera, por el servicio de correos de su país Las facturas emitidas por PRISM International se pagarán dentro de los primeros 30 días. Las facturas que no se resuelvan dentro de los 60 días siguientes a la fecha de facturación, deberán ser revocadas de este Contrato de licencia. El restablecimiento de este Contrato se obtendrá mediante el pago de todos los cargos pendientes, más una cuota de $100 por reincorporación. Si no se obtiene la reincorporación, PRISM International podrá, después de 90 días, informar a la empresa sobre la revocación. 1.5 La Certificación Privacy+ será llevada a cabo conforme a los requisitos establecidos en el Manual de Certificación vigentes en el momento de la auditoría inicial o de cualquiera auditoría posterior. 1.6 Se anima a la empresa certificada a usar la Marca Privacy Las empresas y sus auditores son instruidos expresamente a no presentar resultados detallados de sus auditorías. Ninguna información relacionada con una auditoría o certificación podrá ser divulgada a persona o personas, salvo (a) por la empresa o (b) por PRISM International en respuesta a una citación u otro proceso legal. PRISM International no tiene el deber ni la obligación a resistirse a una citación válida u otro requisito legal. PRISM International, sin embargo, deberá notificar de inmediato a cualquier empresa de cualquier citación judicial dirigida a la empresa. Si la empresa opta por divulgar un informe de auditoría, deberá ser el informe completo, junto con cualquier limitación de responsabilidad del auditor que se incluya. PRISM International deberá acordar por escrito mantener en estricta confidencialidad toda la información confidencial proporcionada por la empresa o en relación con los procedimientos de la misma. No será una violación de la confidencialidad de PRISM International divulgar las auditorías o sus resultados si lo hace en respuesta a una citación u otro proceso legal, o requerido por ley. 1.8 Si la empresa certificada altera o modifica los procedimientos de una empresa certificada en la medida en que es razonable suponer que su certificación se ve afectada, dichas alteraciones o procedimientos modificados deberán ser aprobados por el auditor ya sea por análisis o por auditoría a fin de conservar la certificación. 1.9 La empresa certificada podrá ser cualquier empresa sin importar que sea o no miembro de PRISM International. 2. Privacy+ Licencia de Marca 2.1 Sólo con el propósito de identificar los procedimientos certificados por Privacy+, de acuerdo con los términos de esta Solicitud y Contrato, se le concede a la empresa certificada una licencia no exclusiva, intransferible y revocable ( Licencia ) para exhibir la Marca Privacy+ de PRISM International. 2.2 Sin embargo, la licencia concedida en 2.1 está expresamente condicionada al completo y continuo cumplimiento de todos los términos y condiciones establecidos en este Contrato de licencia, incluyendo los siguientes: A. La empresa certificada sigue cumpliendo con el Manual de Certificación y con los procedimientos establecidos en esta Solicitud y Contrato, y se limita a usar la Marca Privacy+ durante el período de certificación. B. La empresa certificada siempre deberá acompañar la Marca Privacy+ de PRISM International con el símbolo. 2.3 Al aceptar esta licencia, la empresa certificada reconoce por medio del presente que PRISM International posee de manera exclusiva y válida la Marca Privacy+, en todo su derecho, título e interés. La empresa certificada renuncia expresamente a cualquier derecho que pudiera tener o haya tenido a disputar dicha propiedad y se compromete a no impugnar o perjudicar de manera alguna los derechos, títulos e intereses de PRISM International. La empresa certificada reconoce y acepta que: (i) no utilizará la Marca Privacy+ de manera que pudiera disminuir el valor comercial de la Marca Privacy+, (ii) no utilizará, a sabiendas, Enviar esta página a la oficina de PRISM International PRISM International 8735 W. Higgins Road Suite 300 Chicago, IL United States Tel: Fax: [email protected] 15

16 o permitirá el uso de cualquier marca, nombre o imagen que pueda causar confusión con la Marca Privacy, (iii) toda la clientela asociada con el uso de la Marca Privacy+ redundará en PRISM International, (iv) la Marca Privacy+ es y seguirá siendo propiedad exclusiva de PRISM International, y (v) ninguna disposición en el presente Contrato conferirá a la empresa certificada derecho alguno de propiedad de la Marca Privacy+, y la compañía certificada no hará ninguna declaración en este sentido, o utilizará la Marca Privacy+ de una manera que sugiera que tales derechos se confieren. 2.4 El alcance de esta licencia es mundial. 2.5 PRISM International se reserva expresamente su derecho a conceder licencias similares a otras entidades que cumplan con los procedimientos contemplados en los lineamientos de Privacy+ ya sea que dichos procedimientos compitan o no con los procedimientos de la empresa certificada. 2.6 A petición del abogado de la Asociación, la empresa certificada se compromete a proporcionar una muestra representativa de cualquier anuncio impreso o electrónico, literatura, o etiqueta elaborada por la empresa certificada utilizando la Marca Privacy+. A petición del abogado de la Asociación, la empresa certificada se compromete además a presentar cualquier modificación de la misma, solicitada en un plazo de 30 días. La empresa certificada se compromete a no alterar o modificar la Marca Privacy La licencia concedida en este documento a la empresa certificada no es transferible ni divisibles a menos que cuente con el consentimiento previo por escrito de PRISM International. Dicho consentimiento podrá retenerse a discreción, única y absoluta, de PRISM International. Cualquier cesión o transferencia sin dicho consentimiento será nula y carecerá de valor y podrá invalidar la certificación según lo determinado por PRISM International. Al expedir esta licencia, PRISM International no asume ninguna responsabilidad por los actos u omisiones de la empresa certificada o de sus directores, funcionarios, propietarios, socios, empleados o agentes. A excepción de las reclamaciones por infracción de marcas relacionadas con Privacy+, la empresa certificada deberá indemnizar y mantener indemne tanto a PRISM International, como a sus funcionarios, directores, miembros y agentes en relación con cualquier reclamación o acción en contra de los mismos presentada por un tercero en función de cualquier acto u omisión de la empresa, sus directores, funcionarios, propietarios, socios, empleados o agentes, incluyendo las resoluciones, transacciones, costos y honorarios de abogados asociados a tales reclamaciones o acciones en contra. 2.8 PRISM International publicará periódicamente actualizaciones de las listas y sitios web de las empresas que han sido certificadas por Privacy+, que se encuentran en regla, y que cuentan con el permiso de la Marca Privacy Se calculará y pagará una cuota de licencia que es independiente de cualquier otra comisión o pago establecido en esta Solicitud y Acuerdo de conformidad con la lista de cuotas de Privacy+. Los derechos de licencia se pagarán dentro de los primeros 30 días de la recepción de la factura. Cualquier incumplimiento de pago de la licencia dentro de los 60 días dará lugar a la revocación inmediata y automática de la licencia concedida en este documento; su restablecimiento se efectuará de conformidad con la Sección 1.4 en el presente documento La empresa no podrá utilizar u ofrecer como prueba de Certificación Privacy+ ningún informe emitido por el auditor, con excepción de los procedimientos existentes cuando dicha certificación se encontraba en vigor. La emisión, o período de vigencia, del informe deberá estar supeditado al cumplimiento de todos los aspectos relacionados con las disposiciones de la presente Solicitud y Manual de Certificación Posteriormente a la terminación de este Contrato de licencia por cualquier motivo, la empresa certificada no deberá utilizar la Marca Privacy+ de PRISM International hasta que esta última lo apruebe por escrito La empresa certificada, sus directores, funcionarios, propietarios, socios, empleados y agentes deberán en todo momento realizar sus obligaciones profesionales cumpliendo con las leyes federales, estatales y locales y no emprenderán ninguna acción u omisión que pueda desacreditar a PRISM International o a la profesión de gestión de registros e información. 3. Inspección y pruebas continuas de certificación 3.1 La empresa certificada deberá proveer para su inspección los procedimientos actuales de la empresa, ya sea en la sede de la empresa, otro punto de operación, o cualquier otro lugar, según se coordine con el auditor. La empresa deberá mantener con el auditor una lista actual de todos los lugares de operación. 3.2 La empresa deberá cooperar en todo momento con el auditor para facilitar las inspecciones. 3.3 La renovación o continuación de la Certificación Privacy+ se basará en el cumplimiento de la empresa de las disposiciones de esta Solicitud y Manual de Certificación. 4. Actualizaciones de los requisitos de Privacy+ 4.1 Una vez establecida la fecha de vigencia de los requisitos, ya sean nuevos o revisados, aplicables a cualquier Certificación Privacy+, PRISM International publicará de inmediato un Manual de Certificación revisado. 5. Procedimientos que indican de manera inapropiada una Certificación de Privacy Si PRISM International se da cuenta de que alguna empresa certificada utiliza alguna marca que pretende indicar que una empresa tiene la Certificación Privacy+, cuando en realidad dicha empresa no cumple con los requisitos, PRISM International deberá notificar el hecho a la empresa certificada. La empresa certificada debe suspender inmediatamente el uso de la marca de Certificación de Privacy+. Si la empresa certificada desea ejercer una apelación se deberá aplicar lo establecido en la Sección Si la empresa certificada no suspende y desiste, la Junta Directiva de PRISM International tendrá el derecho de iniciar acciones legales. 6. Procedimientos de la apelación 6.1 La compañía certificada tendrá derecho a apelar las acciones de PRISM International siempre y cuando dichas acciones no se relacionen con la auditoría realizada por un tercero independiente, y cualquier asunto que una empresa certificada tenga con un auditor deberá tratarla directamente con el auditor. Después de 30 días de la apelación realizada por la compañía certificada, PRISM International deberá llevar a cabo una audiencia no vinculante. Si la audiencia no tiene éxito, la empresa certificada contará con 15 días naturales para notificar a PRISM International por escrito sobre su intención de buscar arbitraje. El arbitraje y la selección del árbitro deberán seguir las reglas de la American Arbitration Association o de su sucesora. El arbitraje debe llevarse a cabo en Chicago, Illinois. Ambas partes están de acuerdo en que están obligadas por la decisión del árbitro, la cual deberá ser asentada por escrito y presentar una base objetiva para cualquier conclusión. Cualquier decisión del arbitraje por parte del jurado, se podrá presentar a un tribunal con jurisdicción apropiada para su aplicación. Todos los gastos relacionados con el proceso de arbitraje serán pagados en su totalidad por la empresa certificada. Si el fallo es a favor de la empresa certificada, PRISMA International le reembolsará el 50% de los gastos relacionados con el proceso de arbitraje. 6.2 La audiencia se programará en una fecha que le permita a la empresa certificada prepararse, por lo menos 30 días después de que la empresa certificada indique su intención de apelar. La empresa certificada tendrá derecho a asistir a la audiencia de arbitraje, a ser escuchada, y a estar representada por un abogado. La empresa certificada puede participar vía telefónica. 6.3 Ninguna de las disposiciones del presente contrato impedirá que PRISM International tome medidas legales si es necesario para evitar el uso ilegal o transgresiones en el uso de la Marca Privacy+, incluyendo el derecho a una orden judicial de restricción que impida a cualquier empresa certificada violar los derechos de PRISM International en la Marca Privacy+. 7. Cancelación y revocación de la solicitud de Certificación Privacy+ 7.1 En el caso de violación de cualquiera de las disposiciones de esta Solicitud o de los términos en este documento por la empresa certificada, y previa notificación por escrito especificando tal violación enviada por correo a la empresa certificada, PRISM International deberá, además de cualquier otro recurso que tenga conforma a derecho o equidad : (a) cancelar esta Solicitud y Acuerdo, y (b) revocar y suspender cualquiera o todas las certificaciones emitidas al solicitante, incluyendo la Licencia otorgada en la Sección 2 en el presente documento. La terminación del presente Acuerdo también dará por terminado la Certificación Privacy+ de la empresa certificada, sin embargo, siempre y cuando los artículos 1.7, 2.8, 2.9, 2.13, 6., 7., y 8 se conservaran y continuarán vigentes. 8. Limitaciones de responsabilidad 8.1 En consideración adicional con el auditor que lleva a cabo las revisiones, la compañía certificada por este medio libera a PRISM International, a sus oficiales, directores, miembros y agentes de cualquiera y todas las reclamaciones o pérdidas, daños y perjuicios de cualquier naturaleza, que provengan o estén relacionadas con tales auditorías o la negación de la Certificación como resultado de la misma, o la revocación o cancelación de la misma en las condiciones aquí expuestas. 8.2 Además de lo estipulado en 8.1, si la empresa certificada señala de manera ilícita (por medio del mal uso de la marca que indica la certificación de Privacy+ o de cualquier otra forma) que está certificada, la empresa deberá indemnizar y eximir de toda responsabilidad y gastos a PRISM International, incluyendo los honorarios razonables del abogado adjudicados a PRISM International por razones de tal acto ilícito llevado a cabo por la empresa o por razones de daños o perjuicios que resulten directa o indirectamente de dicha Certificación de Privacy Ni PRISM International ni la empresa certificada serán responsables en caso de retraso o incumplimiento de los acuerdos que deban cumplir, si la demora o incumplimiento se debe a bombardeos, invasiones, u otros actos de guerra por cualquiera de las fuerzas armadas de los Estados Unidos o cualquier otra nación o territorio; por insurrecciones, disturbios, huelgas, terremotos, incendios, inundaciones, o situaciones de fuerza mayor, o por la imposibilidad real de obtener materiales o personal para llevar a cabo los servicios, u otras condiciones más allá del control razonable del solicitante o la empresa certificada ya sea del tipo o naturaleza especificados en este documento o de cualquier otra índole. 8.4 Esta Solicitud se convertirá en un contrato entre la empresa certificada y PRISM International a partir de que ésta señale su aceptación en el espacio de más abajo. Ambas han acordado que este instrumento y sus anexos contienen todos y los únicos acuerdos entre PRISM International y la empresa certificada, y que ningún agente o representante de ninguna de las partes ha hecho ninguna declaración, representación o argumento, verbal o escrito, modificando, contradiciendo, o añadiendo algo a estos términos y condiciones. 9. Revisiones y vigencia 9.1 PRISM International se reserva el derecho de modificar el Manual de Certificación, la Solicitud y el Acuerdo y a emitir un nuevo Acuerdo que se convertirá en Contrato entre la empresa certificada y PRISM International al ser aceptado por escrito por ambas partes. Enviar esta página a la oficina de PRISM International PRISM International 8735 W. Higgins Road Suite 300 Chicago, IL United States Tel: Fax: [email protected] 16

17 9.2 A menos que se rescinda antes del plazo, conforme lo estipulado en la Sección 7, o debido a que la empresa certificada decida no recertificar, esta aplicación será válida por 2 años a partir de la fecha de aceptación por parte de PRISM International. 10. Disposiciones varias 10.1 Si cualquier cláusula o disposición de este Acuerdo es inválida, ilegal o inaplicable o no puede ser aplicada por razón de cualquier norma jurídica, orden administrativa, resolución judicial o política pública, el resto de las condiciones y disposiciones del presente Acuerdo seguirán estando en pleno vigor. Las partes realizarán los cambios a este Acuerdo que sean necesarios para reparar la invalidez, en consonancia con los objetivos originales de las partes Ninguna disposición del presente Acuerdo, o de las relaciones entre las partes en el mismo, se interpretará en el sentido de constituir una asociación o empresa conjunta entre dos o más de las partes de este Acuerdo. La empresa certificada no tendrá ningún derecho o autoridad para vincular u obligar a PRISM International en forma alguna, y no incurrirá, ni expresa ni tácitamente, en ninguna responsabilidad u obligación en nombre de PRISM International Cualquier notificación o requerimiento solicitado o permitido por el presente Acuerdo se hará por escrito y se considerará entregado al ser recibido por las partes en la dirección indicada más arriba Para los efectos de este Acuerdo, un documento (o las firmas en la página correspondiente) firmado y transmitido por fax o facsímil deberá ser considerado como documento original. Para los efectos de este Acuerdo, la firma de cualquiera de las partes en este documento se considerará como firma original y el documento transmitido tendrá el mismo efecto vinculante que la firma original de un documento original. A petición de cualquiera de las partes, cualquier documento en facsímil o fax volverá a ser elaborado en forma original por las partes que ejecutaron el documento en facsímile o fax. Ninguna de las partes podrá argumentar el uso de una máquina de facsímil o fax, o el hecho de que la firma haya sido transmitida a través de una máquina de facsímil o fax, como justificación para el cumplimiento de este Acuerdo o de cualquier modificación o de cualquier otro documento ejecutado conforme a lo dispuesto en la presente sección El presente Acuerdo podrá ser ejecutado por las partes en cualquier número de ejemplares separados, y todos los ejemplares así ejecutados constituirán un acuerdo vinculante para todas las partes a pesar de que no todas las partes sean signatarias del mismo ejemplar Todos los derechos no concedidos o autorizados específicamente en este documento a una empresa certificada, quedan reservados para PRISM International Este Acuerdo contiene el acuerdo completo entre las partes y no podrá ser modificado o enmendado, excepto por medio de un acuerdo por escrito firmado por ambas partes. Para el año que comienza () Empresa solicitante Por (Firma del propietario o director) Nombre del propietario o director (Letra de imprenta) Por medio de la presente PRISM International acepta la solicitud anterior y acepta los términos de este acuerdo. PRISM International Firma Director ejecutivo Enviar esta página a la oficina de PRISM International PRISM International 8735 W. Higgins Road Suite 300 Chicago, IL United States Tel: Fax: [email protected] 17