Uma política de retenção de dados ISO 27001 que você consegue provar.
Uma política de retenção num documento não sobrevive a uma auditoria. ISO 27001, SOC 2, GDPR e LGPD querem evidência de que dados vencidos foram descartados no prazo, com sign-off. Este template roda a revisão, a disposição e a aprovação do DPO como uma cadeia auditável.
Para dpos, privacy officers e gestores de compliance. Sem cartão. Primeira run em menos de um minuto.
Revisão #RET-0042
Revisão Anual de Retenção · Todas as classes · Escopo ISO 27001 + LGPD
- Intake & escopo da revisão100%Privacy OfficerGate de aprovação
- Inventariar classes de dados & volumesBLOQUEADAData EngineerEvidência anexada
- Avaliar status de retenção por classeBLOQUEADAPrivacy OfficerEm paralelo
- Decisão de disposição por classeBLOQUEADAPrivacy OfficerJustificativa obrigatóriaDep. pendente
- Executar deleção / arquivamentoBLOQUEADAIT OperationsEvidência anexadaDep. pendente
- Sign-off do DPO / ComplianceBLOQUEADADPOGate de encerramentoDep. pendente
Postura
O que tiramos. E o que mantivemos.
Este template foi feito para produzir evidência de retenção, não mais uma política que ninguém executa.
Tiramos
- Um PDF de política de retenção sem registro de execução.
- Decisões de deleção feitas por e-mail sem trilha de justificativa.
- Uma "revisão" anual que é só um lembrete de calendário que ninguém aciona.
- Afirmações de disposição que o auditor não consegue verificar.
Mantivemos
- Inventário de classes de dados ligado ao cronograma de retenção e base legal.
- Decisão de disposição registrada por classe, com justificativa.
- Deleção e arquivamento executados com evidência capturada por ação.
- Sign-off do DPO como gate de encerramento em cada ciclo.
O que este template inclui
Etapas do processo
- 1Intake e escopo da revisão: o que disparou a revisão, quais sistemas e classes de dados estão no escopo, gate do Privacy Officer
- 2Inventariar classes de dados e volumes entre sistemas, com owners e locais de armazenamento
- 3Avaliar status de retenção por classe contra o cronograma de retenção e a base legal
- 4Decisão de disposição por classe: reter, deletar, arquivar ou migrar, com justificativa
- 5Executar deleção, arquivamento ou migração, com evidência capturada por ação
- 6Sign-off do DPO / Compliance sobre a revisão concluída e o registro de disposição, gate de encerramento
Por que times usam este template
Uma política de retenção de dados que vive num PDF não prova nada. ISO 27001 (o controle de retenção e descarte seguro do Annex A), SOC 2, GDPR e LGPD exigem evidência de que dados vencidos são de fato descartados, no prazo, com sign-off, não apenas um documento dizendo que deveriam ser. Quando o auditor pede "me mostre a última revisão de retenção e o que foi deletado", um documento de política não é resposta.
Este template transforma a política de retenção em uma revisão recorrente e auditável: intake com escopo, inventário de classes de dados, avaliação de status de retenção contra o cronograma, decisão de disposição por classe, execução de deleção ou arquivamento com evidência, e sign-off do DPO. Dois checkpoint gates tornam impossível fechar a revisão sem um registro documentado de disposição.
Pensado para times de privacidade e segurança que precisam provar disciplina de retenção em ISO 27001, SOC 2, GDPR e LGPD ao mesmo tempo: rode anualmente ou por gatilho, e o histórico do run vira a evidência de retenção que todo framework pede, reutilizável ciclo após ciclo.
Pronto para rodar este processo?
Abra este template no Cadenio, customize os campos e aprovações para o seu contexto, e rode a primeira vez em menos de 60 segundos.
Setor relacionado
Caso de uso: SOC 2 & ISO 27001Templates relacionados
Auditoria Interna ISO 27001
Template de auditoria interna ISO 27001, amostragem de controles Annex A, revisão de cláusulas do SGSI (Cláusulas 4–10), execução de CAPA e sign-off do CISO. Nove passos alinhados aos requisitos ISO.
ComplianceAuditoria de Conformidade GDPR/CCPA
Template de auditoria GDPR/CCPA, prontidão para DSAR, registros de consentimento, transferências internacionais, notificação de incidente e sign-off do DPO. Auditoria de 10 passos com trilha de evidência completa.
ComplianceAvaliação de Risco de Terceiros
Template de avaliação de risco de terceiros, classificação de tier, pack de due diligence, quatro dimensões de risco (operacional, reputacional, financeiro, compliance) e sign-off do CRO para terceiros críticos.