# Plan de Respuesta a Vulneraciones de Seguridad (Brechas)

**Empresa:** [RAZÓN SOCIAL] · **Responsable del plan:** [NOMBRE / CARGO] · **Contacto:** [CORREO]
**Plazo legal:** comunicar a la **URCDP en un plazo máximo de 72 horas** desde que se conoce la vulneración
(**Decreto 64/020 art. 4**; Ley 19.670 art. 38). A los **titulares** afectados, cuando haya **afectación
significativa** de sus derechos, en lenguaje claro y sencillo. Tras resolver, remitir **informe detallado** a la URCDP.

## Roles
- **Coordinador de incidente:** [NOMBRE]. **Equipo técnico:** [NOMBRES]. **Apoyo legal:** [CONTACTO].

## Fase 1 — Detección y contención (0–4h)
1. Registrar fecha/hora de detección y quién detecta.
2. Contener: aislar sistemas, revocar accesos, rotar credenciales.
3. Abrir bitácora del incidente (**el reloj de 72h corre desde que se conoce la vulneración**).

## Fase 2 — Evaluación (dentro de las primeras horas)
1. Qué datos y de cuántos titulares.
2. ¿Hay **afectación significativa** de derechos de los titulares?
3. Si hay un encargado/proveedor involucrado, exigirle la información.

## Fase 3 — Comunicación
1. **A la URCDP (≤ 72 horas):** naturaleza de la vulneración, categorías y volumen de datos, consecuencias
   probables y medidas adoptadas/propuestas. Usar el canal/formulario de la URCDP. La URCDP **coordina el
   curso de acción con el CERTuy** (Centro Nacional de Respuesta a Incidentes de Seguridad Informática —
   Ley 19.670 art. 38).
2. **A los titulares:** cuando haya afectación significativa — qué pasó, qué datos, qué pueden hacer, contacto.
3. **Informe posterior:** una vez resuelto, remitir a la URCDP un informe detallado del incidente.

## Fase 4 — Cierre y mejora
Causa raíz · medidas correctivas · actualizar RAT, este plan y el registro de vulneraciones.

## Plantilla de aviso a la URCDP (borrador)
> El [FECHA] constatamos [DESCRIPCIÓN]. Datos afectados: [CATEGORÍAS], ~[N] titulares.
> Consecuencias probables: [...]. Medidas adoptadas: [...]. Contacto: [CORREO].

---
*Borrador generado con compliance-uy (pack ley-18331). No constituye asesoría legal; revisar con un abogado.*