Software para ISO 27018

ISO 27018 es el código de prácticas para proteger datos personales en la nube pública, y se certifica como extensión de ISO 27001. Su exigencia propia es el papel del encargado del tratamiento: consentimiento, minimización, límites de uso y conservación, transparencia, derechos del titular y rendición de cuentas. Vigenta la lleva como bloque del núcleo, porque aplica a cualquier cliente que trate datos personales.

Probar con ISO 27018

Publicado 09/09/2026 · Última revisión 17/09/2026

La norma, en una tabla

La norma, en una tabla · ISO 27018
Nombre completo	Protección de datos personales en la nube pública
Edición vigente	2019
Organismo que la publica	ISO · Organización Internacional de Normalización
¿Estructura de alto nivel?	No
A quién aplica	Cualquier organización que trate datos personales en servicios de nube pública, como responsable o como encargado.
Con qué normas se integra	Se certifica sobre ISO 27001 y aporta la evidencia que el deber de seguridad de la ley mexicana de datos personales exige demostrar.

Qué exige, capítulo por capítulo

Qué exige, capítulo por capítulo · ISO 27018
Capítulo	Qué exige esta norma en concreto	Dónde se opera en Vigenta
A.1 Consentimiento y elección del titular	Tratar los datos personales del cliente sólo bajo su instrucción documentada y conservarla	Documentos vigentes
A.2 Legitimidad y especificación del propósito	Declarar por escrito los propósitos del tratamiento y no usar los datos para fines propios	Cumplimiento
A.3 Minimización de datos	Limitar los datos personales tratados a los necesarios para prestar el servicio contratado	Documentos vigentes
A.4 Limitación de uso, conservación y eliminación	Aplicar y registrar la política de conservación y eliminación segura de los datos personales Registrar la devolución o la destrucción de los datos al terminar el contrato, con constancia	Registros firmados
A.5 Exactitud y calidad de los datos personales	Habilitar al cliente el mecanismo de rectificación de los datos personales que le pertenecen	Registros firmados
A.6 Apertura, transparencia y notificación	Publicar los países en los que se pueden tratar los datos y notificar sus cambios al cliente Notificar al cliente cualquier acceso de una autoridad a sus datos personales, salvo prohibición legal	Documentos vigentes
A.7 Participación del titular y acceso	Atender y registrar las solicitudes de acceso, rectificación, cancelación y oposición del titular Informar al cliente del plazo y del procedimiento con el que se atienden los derechos del titular	Registros firmados
A.8 Rendición de cuentas del encargado	Notificar al cliente toda brecha de datos personales dentro del plazo comprometido Mantener el inventario de subencargados con su ubicación y comunicar altas y bajas al cliente Someterse a auditoría o entregar el informe de auditoría independiente que el cliente pueda revisar	Registros firmados
A.9 Seguridad de los datos personales en la nube	Cifrar los datos personales en tránsito y en reposo y registrar la gestión de las claves Registrar los accesos del personal del encargado a los datos personales del cliente Formalizar el compromiso de confidencialidad del personal con acceso a datos personales Borrar de forma segura los medios de almacenamiento retirados de servicio y registrarlo Restringir la creación de copias impresas de datos personales y controlar su destrucción	Registros firmados
A.10 Cumplimiento en materia de privacidad	Revisar periódicamente el cumplimiento de las obligaciones de privacidad y registrar el resultado Mantener el registro de tratamiento de datos personales exigido por la legislación aplicable	Registros firmados

Los capítulos y sus cláusulas salen del catálogo normativo del producto. Vigenta describe qué exige cada uno; no reproduce el texto de la norma, que es del organismo que la publica.

Información documentada obligatoria

Los documentos y actas que esta norma pide mantener, cláusula por cláusula, tal como están modelados en el catálogo.

La información documentada común a todas las normas de sistema —política, alcance, objetivos, evidencia de competencia, programa de auditoría interna y acta de revisión por la dirección— tiene una sola página dueña y no se repite aquí. Ver cómo se opera

A.1 · Tratar los datos personales del cliente sólo bajo su instrucción documentada y conservarla
A.3 · Limitar los datos personales tratados a los necesarios para prestar el servicio contratado
A.6 · Publicar los países en los que se pueden tratar los datos y notificar sus cambios al cliente
A.7 · Informar al cliente del plazo y del procedimiento con el que se atienden los derechos del titular
A.8 · Mantener el inventario de subencargados con su ubicación y comunicar altas y bajas al cliente
A.10 · Mantener el registro de tratamiento de datos personales exigido por la legislación aplicable

Módulo e industria

Vigenta opera hoy para ISO 27018 el control documental, las auditorías y las acciones correctivas sobre las cláusulas que su catálogo recoge. Las herramientas específicas del sector no forman parte de la versión disponible.

Errores frecuentes en auditoría

Hallazgos redactados como los levanta un auditor, no como los describiría un vendedor.

El aviso de privacidad no coincide con las finalidades reales del tratamiento que se declaran en el contrato con el cliente.
No hay registro de las solicitudes de derechos del titular ni del plazo en que se atendieron.
La eliminación de datos al terminar el servicio se promete en el contrato y no se evidencia con constancia de borrado.
Los subencargados se contratan sin registrar la comunicación previa al responsable que el control exige.

Cumplir la norma es de la organización. Vigenta ayuda a evidenciarlo: guarda la información documentada, deja rastro de cada verificación y calcula qué parte del sistema está lista para auditoría.

Preguntas frecuentes

¿ISO 27018 se certifica sola o hace falta ISO 27001?

Se certifica como extensión de ISO 27001: el sistema de gestión es el de la 27001 y la 27018 añade los controles de protección de datos personales en nube pública. Auditar la segunda sin la primera no tiene base.

¿Qué evidencia pide el control de conservación y eliminación?

La política de retención por tipo de dato, la constancia de que se ejecutó y el registro de la eliminación al terminar el servicio, con fecha y responsable. Una política sin ejecución registrada no acredita nada.

¿Cómo se documenta la atención de un derecho de acceso o cancelación?

Con el registro de la solicitud, su verificación de identidad, la respuesta enviada y la fecha, dentro del plazo legal. Ese expediente es lo que se enseña si la autoridad pregunta.

¿Aplica a una empresa que sólo usa nube, sin ser proveedor?

Sí, en su papel de responsable: le sirve para exigir y verificar los controles de su proveedor. Los controles del encargado son la lista de lo que hay que pedirle por contrato y comprobar después.

Pruébalo con tu propio sistema

Sin tarjeta y sin hablar con nadie. Al terminar la prueba la cuenta pasa a sólo lectura y no se cobra nada.

Empieza gratis, 14 días Demo de 30 min