Software para ISO 27701

ISO 27701 sem pastas nem surpresas

Tratamentos, avaliações de impacto, direitos dos titulares, violações de dados e subcontratantes num sistema de privacidade auditável e articulado com o RGPD.

O que é e em que edição está

A ISO/IEC 27701 é a norma internacional do sistema de gestão da informação de privacidade (PIMS) para responsáveis pelo tratamento e subcontratantes de dados pessoais. A segunda edição, de outubro de 2025, anula a de 2019 e torna-a uma norma de sistema de gestão autónoma: deixa de ser uma extensão da ISO/IEC 27001 e pode ser implementada e certificada sem ela, embora esteja pensada para se integrar com o sistema de segurança da informação e inclua uma tabela de correspondência com o RGPD.

Conteúdo revisto em 17 de outubro de 2026

Edição em vigor: ISO/IEC 27701:2025 Segunda edição, publicada em outubro de 2025; anula e substitui a de 2019
Principal alteração: Norma de sistema de gestão autónoma A edição de 2019 foi redigida como extensão da ISO/IEC 27001 e da ISO/IEC 27002
A quem se destina: Responsáveis pelo tratamento e subcontratantes De qualquer dimensão, públicos, privados ou sem fins lucrativos
Estrutura: Capítulos 4 a 10 e Anexos A a F Anexos A (controlos) e B (orientações) normativos; C a F, correspondências com a ISO/IEC 29100, o RGPD, a ISO/IEC 27018 e a 29151, e a edição de 2019
Relação com o RGPD: Anexo D informativo Correspondência com o Regulamento (UE) 2016/679; o certificado não substitui o cumprimento legal
Comité: ISO/IEC JTC 1/SC 27 Segurança da informação, cibersegurança e proteção da privacidade

Controlo documental

Versões, aprovações e difusão com confirmação de leitura.

Ligado à sua nuvem documental

Publique e versione documentos ligando ao OneDrive, Google Drive ou SharePoint, sem duplicar pastas.

Auditorias

Programa anual, checklists por norma e constatações associadas a ações.

Não conformidades

Causa raiz, ação, responsável, prazo e verificação da eficácia.

Indicadores

Objetivos por processo alimentados com dados reais da operação.

Requisitos legais

Registo de requisitos legais e de outro tipo, com vigência e avaliação da conformidade por norma.

Ações corretivas

Causa raiz, ação, responsável, prazo e verificação da eficácia ligados à não conformidade.

Ações de melhoria

Oportunidades de melhoria com responsável e acompanhamento, para além de corrigir o que já falhou.

Revisão pela gestão

Relatório pré-gerado com indicadores, auditorias e não conformidades, pronto para a reunião.

Tratamentos e fundamento jurídico

Cada atividade de tratamento com a sua finalidade, as categorias de dados, os destinatários e o prazo de apagamento.

Direitos dos titulares

Pedidos de acesso, apagamento ou oposição com o prazo de um mês sob vigilância e a resposta registada.

Violações de dados

Registo de cada violação com a decisão de notificar e a contagem das 72 horas sempre à vista.

Subcontratantes

Contratos, subcontratantes ulteriores autorizados e revisão periódica de cada fornecedor que trata dados por conta da empresa.

Requisitos cobertos

O que fica resolvido em ISO 27701

Registo das atividades de tratamento com o respetivo fundamento jurídico
Avaliação de riscos e de impacto na privacidade
Pedidos de exercício de direitos respondidos dentro do prazo
Registo e notificação de violações de dados pessoais
Contratos e controlo de subcontratantes e subcontratantes ulteriores
Declaração de aplicabilidade dos controlos de privacidade

Normas cobertas

Escolha a sua norma e veja o que o Kimobox resolve

HACCP Análise de perigos e pontos críticos de controlo Alimentar SQAS2022 Avaliação química e logística Qualidade · química e logística UNE 19602 Compliance tributário Compliance · fiscal ISO 13485 Dispositivos médicos Saúde ENS Esquema Nacional de Seguridad Segurança · setor público ISO 22716 Fabrico de cosméticos Qualidade · cosmética UNE 73401 Garantia da qualidade nuclear Qualidade · nuclear ISO 14064 Gases com efeito de estufa Ambiente · pegada de carbono ISO 14001 Gestão ambiental Ambiente ISO 27701 Gestão da privacidade Cibersegurança ISO 9001 Gestão da qualidade Qualidade · todos os setores Sustentabilidade Gestão da sustentabilidade ESG ISO 20000 Gestão de serviços de TI Qualidade · serviços de TI SGE 21 Gestão ética e responsável Responsabilidade social IATF 16949 Indústria automóvel Automóvel ISO 15189 Laboratórios clínicos Qualidade · saúde ISO 17025 Laboratórios de ensaio e calibração Qualidade · laboratórios BRCGS Norma global de segurança alimentar Alimentar RGPD Proteção de dados Legal · proteção de dados ISO 26000:2010 Responsabilidade social Responsabilidade social · guia IFS Food Segurança alimentar Alimentar ISO 22000 Segurança alimentar Alimentar ISO 27001 Segurança da informação Cibersegurança GMP+ Segurança dos alimentos para animais Alimentar · alimentos para animais ISO 45001 Segurança e saúde no trabalho SST FSSC 22000 Sistema de gestão da segurança alimentar Alimentar ISO 19600 Sistemas de gestão de compliance Compliance · guia ISO 37301 Sistemas de gestão de compliance Compliance

Modelos e registos

Registos para ISO 27701, explicados um a um

Para cada registo de ISO 27701: a cláusula que o exige, os campos de que precisa, um exemplo preenchido e o que o auditor costuma apontar.

Ver todos os modelos e registos para ISO 27701

Vocabulário

Os termos, com rigor

PIMS: Sistema de gestão da informação de privacidade: o conjunto de políticas, processos, controlos e registos com que uma organização governa os dados pessoais que trata e demonstra que o faz bem.
Responsável pelo tratamento: Quem determina para que fins e de que forma são tratados os dados pessoais. A norma chama-lhe PII controller e dedica-lhe um grupo próprio de controlos.
Subcontratante: Quem trata dados pessoais por conta do responsável e segundo as suas instruções, como um fornecedor de processamento salarial ou de alojamento. Na norma, PII processor.
Informação de identificação pessoal (PII): Termo usado pela norma para aquilo a que o RGPD chama dados pessoais: qualquer informação que identifica ou permite identificar uma pessoa singular.
Avaliação de impacto (AIPD): Análise prévia de um tratamento suscetível de implicar um elevado risco para as pessoas, com as medidas para o reduzir. O RGPD exige-a nesses casos no artigo 35.º.
Declaração de aplicabilidade: Documento que enumera os controlos do Anexo A, indica quais se aplicam e justifica os excluídos. É a peça que liga a avaliação de riscos àquilo que realmente se faz.

Perguntas frequentes

O que nos perguntam antes de começar

Em que edição está a norma?

A versão em vigor é ISO/IEC 27701:2025. Quando o organismo publica uma nova edição abre-se um período de transição, findo o qual os certificados emitidos segundo a anterior deixam de ser válidos.

Serve se já estivermos certificados?

Sim. Carrega-se o sistema atual —processos, documentos, registos, histórico de auditorias— e mantém-se vivo desde o primeiro dia. Não é preciso redesenhar nada nem recomeçar o ciclo de certificação.

O auditor aceita registos digitais?

Sim, desde que sejam rastreáveis, estejam controlados e se possa demonstrar quem fez o quê e quando. Nenhuma norma exige papel; o que todas exigem é evidência fiável, e um registo eletrónico bem controlado oferece-a melhor do que uma pasta.

Posso combiná-la com outras normas?

Sim, e é o recomendável. A estrutura comum do Anexo SL permite um sistema integrado que partilha mapa de processos, controlo documental, auditorias internas, não conformidades e indicadores entre ISO 27701 e as restantes normas, deixando separado apenas o que é específico de cada uma.

Quanto tempo demora a ter o sistema pronto para auditar?

Depende do ponto de partida. Uma organização que já trabalha com procedimentos escritos costuma estar em condições em dois ou três meses; uma que parte do zero precisa de mais, e o estrangulamento quase nunca é a ferramenta, mas sim a disponibilidade das pessoas que conhecem os processos.

O que acontece à documentação que já temos?

É migrada. Os procedimentos, impressos e registos existentes são carregados com a sua versão e o seu aprovador, de modo que o histórico não se perde e o sistema arranca com a memória que a organização já tinha.

O auditor pode consultar diretamente?

Sim. Recebe um acesso só de leitura com o âmbito que se decidir e uma data de expiração. É mais cómodo para ambas as partes do que preparar uma pasta com capturas de ecrã e exportações.

Que diferença há entre uma não conformidade maior e uma menor?

A maior compromete a capacidade do sistema para cumprir um requisito —ausência total de um processo exigido, incumprimento sistemático, falha com impacto no produto— e costuma impedir a certificação até ser encerrada. A menor é uma falha pontual que se corrige com um plano de ação.

Os indicadores calculam-se sozinhos?

Sim, a partir dos dados que os próprios processos geram. É a diferença entre um painel de indicadores que reflete o que se passa e uma folha de cálculo que alguém preenche na semana anterior à revisão pela gestão.

Serve para vários centros de trabalho ou sociedades?

Sim. O modelo é multiempresa e multicentro: partilha-se o que fizer sentido partilhar e separa-se o que for próprio de cada local, incluindo o âmbito do certificado se diferir entre eles.

Prepare a sua auditoria de ISO 27701

Mostramos-lhe o módulo a funcionar com dados semelhantes aos seus.

Pedir uma demonstração

Continue a explorar

Páginas relacionadas

Software para ISO 27701 — Gestão da privacidade

O Kimobox é um software para ISO 27701 que digitaliza os requisitos da norma: registo das atividades de tratamento com o respetivo fundamento jurídico, avaliação de riscos e de impacto na privacidade, pedidos de exercício de direitos respondidos dentro do prazo, registo e notificação de violações de dados pessoais, com rastreabilidade completa e evidência disponível para o auditor.

A plataforma permite manter um sistema de gestão integrado que combina ISO 27701 com outras normas ISO e protocolos setoriais, partilhando mapa de processos, controlo documental, auditorias internas, não conformidades e indicadores.