Centro de recursos de administración de riesgos de terceros

Google Cloud puede contratar a terceros (subcontratistas) para realizar actividades específicas relacionadas con los servicios de Google Cloud. Estos subcontratistas se supervisan y administran a través del programa de Administración de riesgos de terceros (TPRM) de Google Cloud, que está diseñado para garantizar que los compromisos con cualquier subcontratista cumplan con los altos estándares de seguridad, cumplimiento y eficiencia operativa de Google Cloud.

El programa de TPRM de Google Cloud adopta un enfoque basado en riesgos para identificar, evaluar, administrar y supervisar a terceros de forma proporcional al nivel de riesgo que estos representan. Los terceros que proporcionan servicios importantes se tratan con una mayor administración y supervisión. En particular, el programa de TPRM distingue entre los subcontratistas que procesan datos de clientes (subprocesadores) y los que no lo hacen. El contenido que se muestra a continuación describe las actividades de administración de riesgos de terceros de Google Cloud en cada fase del ciclo de vida de un subcontratista.

El programa de TPRM de Google Cloud se rige y administra a través de la organización del director de seguridad de la información (CISO) de Cloud y cuenta con el respaldo del programa de administración de riesgos de terceros de Google, la adquisición, las organizaciones de administración de proveedores, los equipos de riesgo y cumplimiento, y los equipos legales para garantizar la administración adecuada del riesgo de terceros en toda la organización. 

Antes de contratar a un tercero, el programa de TPRM de Google Cloud requiere que se complete una evaluación para clasificar al tercero y determinar el nivel de riesgo que representa el servicio de terceros. El nivel de riesgo se usa para definir los requisitos de diligencia debida, de contratación y de incorporación, así como la supervisión continua. En esta etapa, se evalúa el riesgo de concentración general para determinar el impacto de la incorporación de un nuevo subcontratista a Google Cloud.

Los equipos de Google Cloud que incorporan subcontratistas siguen procesos definidos para ejecutar los contratos adecuados con los subcontratistas antes de que comiencen los servicios. Estos contratos abordan los requisitos sólidos de seguridad, privacidad y cumplimiento de Google Cloud, así como nuestras obligaciones con los clientes sobre los subcontratistas. 

Los ANS, los KPI y otras métricas de rendimiento se definen contractualmente, y se desarrollan estrategias de rendimiento para los subcontratistas con el objetivo de garantizar que la supervisión del rendimiento se lleve a cabo de forma continua.

Una vez que se incorporan los subcontratistas, los equipos correspondientes de Google Cloud los supervisan de forma continua en varias dimensiones relacionadas con el rendimiento y la administración de riesgos. El rendimiento se administra de forma formal trimestralmente (como mínimo) a través de indicadores clave de rendimiento (KPI) definidos y reuniones para una revisión del informe trimestral de operaciones (QBR). 

Si bien las evaluaciones de riesgos (similares a las evaluaciones de diligencia debida) se realizan de forma anual, los subcontratistas se supervisan de forma continua para detectar posibles cambios en la postura de riesgo que pueden justificar una evaluación adicional. 

Si hay un cambio en el tipo de servicio o en la ubicación de un subcontratista existente, Google Cloud informará a los clientes dentro de los plazos acordados en el contrato. 

Cualquier incidente que Google Cloud identifique durante la supervisión se registra, administra y resuelve a través de un programa central de administración de incidentes que reúne a un equipo multidisciplinario de expertos en un formato de equipo específico para garantizar la investigación, la corrección y la comunicación proactiva de manera oportuna. Puedes encontrar más información en el proceso de respuesta ante incidentes de datos de Google Cloud.

Google Cloud comprende la importancia de la continuidad del servicio para el éxito de los clientes y cuenta con controles internos integrales para protegerla.

Google Cloud realiza evaluaciones periódicas del programa de continuidad empresarial de nuestros subcontratistas para identificar posibles riesgos y desarrollar estrategias para mitigar su impacto. El rendimiento del subcontratista, en comparación con los contratos, se supervisa con regularidad para mantener la calidad del servicio dentro de los indicadores clave de rendimiento (KPI) definidos.

Los datos de cliente son de tu propiedad, no de Google. Solo procesamos los datos del cliente de acuerdo con tus instrucciones y no determinamos los fines ni los medios esenciales de ese procesamiento. Por lo tanto, somos un encargado del tratamiento de datos del cliente, no un responsable del tratamiento ni un corresponsable del tratamiento de datos.

Google usa subencargados del tratamiento de datos para realizar actividades limitadas en relación con los servicios de Google Cloud, como los servicios de asistencia técnica. Según nuestro Anexo de Tratamiento de Datos de Cloud, Google se compromete con los clientes a que sus acuerdos escritos con los subencargados del tratamiento de datos contendrán ciertas protecciones. Google garantizará a través de ese acuerdo lo siguiente:

Google realiza una auditoría de las prácticas de seguridad y privacidad del subencargado del tratamiento de datos para garantizar que este proporciona un nivel adecuado de seguridad y privacidad para el acceso a los datos y el permiso de los servicios que se comprometen a prestar. 

Una vez que Google evalúa los riesgos que presenta el subencargado del tratamiento de datos, se le exige que suscriba las condiciones contractuales adecuadas en materia de seguridad, confidencialidad y privacidad. En particular, Google garantizará a través del contrato que el subencargado del tratamiento de datos acceda a los datos del cliente solo en la medida necesaria para realizar su actividad limitada y que todo acceso se realice de conformidad con las condiciones de protección de datos de Google Cloud. 

Para obtener más información sobre las ofertas de privacidad de Google Cloud, consulta el Centro de recursos de privacidad.