El RGPD no es solo una política de privacidad en la web. Es una forma de organizar el uso de datos personales dentro del negocio. La AEPD recuerda que pymes y autónomos son responsables del tratamiento cuando deciden para qué y cómo usan datos de clientes, empleados o proveedores.
Qué debe tener claro una pyme
- Qué datos trata: nombres, emails, teléfonos, direcciones, facturación, historial de compra, IP, formularios o datos laborales.
- Para qué los usa: prestar servicios, facturar, responder consultas, enviar comunicaciones, medir visitas o gestionar empleados.
- Base legal: contrato, obligación legal, consentimiento, interés legítimo u otra base aplicable.
- Quién accede: hosting, gestoría, CRM, email marketing, herramientas de analítica, proveedores de soporte o plataformas SaaS.
- Cuánto tiempo conserva: no todo debe guardarse indefinidamente.
Documentación mínima
Para tratamientos sencillos y de bajo riesgo, la AEPD ofrece herramientas de apoyo como Facilita RGPD. Aun así, los documentos generados deben adaptarse a la realidad de la empresa. Una pyme debería tener al menos política de privacidad, cláusulas informativas para formularios, registro de actividades, contratos con encargados y medidas básicas de seguridad.
Proveedores y encargados
Muchas pymes cumplen peor por los proveedores que por sus propios formularios. Si usas hosting, gestoría, CRM, email marketing, almacenamiento cloud o software de atención al cliente, revisa si actúan como encargados del tratamiento, dónde alojan datos y qué contrato ofrecen.
Derechos de los usuarios
Los usuarios pueden ejercer derechos como acceso, rectificación, supresión, oposición, limitación y portabilidad. La empresa debe tener un canal para recibir solicitudes y un procedimiento interno para responder en plazo.
Errores frecuentes
- Copiar una política de privacidad que no coincide con los proveedores reales.
- Enviar newsletters sin poder probar el consentimiento o una base adecuada.
- No firmar contratos de encargo con proveedores que tratan datos.
- Guardar datos de antiguos clientes sin criterio de conservación.
- No documentar medidas de seguridad básicas.
Una política de privacidad útil no enumera frases bonitas: explica el tratamiento real de datos del negocio.