Página traduzida e verificada automaticamente. Prevalece a versão em inglês. Algumas partes ainda estão em inglês enquanto a tradução é verificada. Ver em inglês · Informar um erro de tradução
DAT-02 · Dados e Privacidade
Tratamento lícito e minimizado
Os dados pessoais são tratados com base em uma hipótese declarada, limitados ao necessário e mantidos apenas pelo tempo necessário.
3frameworks o tratam integralmente
5parcialmente
0o deixam de fora
SOC 2 ISO 27001 NIST CSF PCI DSS HIPAA GDPR Lei de IA da UE NIST AI RMF
1Onde cada framework o exige
- SOC 2ParcialP4.0 Somente quando os critérios de privacidade estão no escopo.
- ISO 27001ParcialA.5.34 A privacidade de PII é exigida; a base legal, não.
- NIST CSFParcialGV.OC-03 Por meio de requisitos legais.
- PCI DSSCompleto3.2.1
- HIPAACompleto164.502(b)
- GDPRCompletoArt. 5, 6
- Lei de IA da UEParcialArt. 10(5) Tratamento de categorias especiais para detecção de vieses.
- NIST AI RMFParcialMAP 4.1 Mapeamento de riscos de privacidade.
Construa o controle uma vez em relação a este objetivo e cite a cláusula sobre a qual cada auditor perguntar. Um mapeamento parcial diz o que o framework deixa de fora; uma ausência é uma constatação sobre o framework, não uma lacuna no seu programa.
2O que normalmente o comprova
Registros das operações de tratamento, cronograma de retenção, evidências de exclusão.
?Por que existe
A minimização é o controle mais barato que existe.
Para uma organização menorUma linha de retenção por tipo de dado, aplicada segundo um calendário.