{"id":37712,"date":"2026-04-26T21:10:27","date_gmt":"2026-04-26T18:10:27","guid":{"rendered":"https:\/\/tet.lt\/?page_id=37712"},"modified":"2026-10-09T15:54:21","modified_gmt":"2026-10-09T12:54:21","slug":"gdpr","status":"publish","type":"page","link":"https:\/\/tet.lt\/es\/industries\/saas\/gdpr\/","title":{"rendered":"Protecci\u00f3n de Datos y Cumplimiento del RGPD para Empresas SaaS"},"content":{"rendered":"

Protecci\u00f3n de Datos y Cumplimiento del RGPD para Empresas SaaS<\/h1>\n
\n

DE UN VISTAZO<\/h2>\n
    \n
  1. El RGPD se aplica a las empresas SaaS establecidas en la UE cuando procesan datos personales en el contexto de las actividades de su establecimiento en la UE, independientemente de la ubicaci\u00f3n de sus usuarios. Tambi\u00e9n puede aplicarse a empresas establecidas fuera de la UE cuando ofrecen bienes o servicios a personas ubicadas en la UE o monitorizan su comportamiento dentro de la UE. Las obligaciones aplicables dependen del rol de la empresa como responsable o encargado del tratamiento y de las actividades de procesamiento espec\u00edficas. Las infracciones graves pueden conllevar multas administrativas de hasta 20 millones de euros o el 4 % de la facturaci\u00f3n anual total mundial de la empresa, la que sea mayor, con sujeci\u00f3n a los requisitos del RGPD y las excepciones aplicables.<\/li>\n
  2. Las empresas SaaS tienen una doble obligaci\u00f3n bajo el RGPD: como responsables del tratamiento de sus propios datos de usuarios, y como encargadas del tratamiento al gestionar los datos de los usuarios de sus clientes. Cada rol conlleva obligaciones distintas que deben gestionarse simult\u00e1neamente.<\/li>\n
  3. Un acuerdo de tratamiento de datos conforme al RGPD con cada cliente B2B es un requisito legal en virtud del Art\u00edculo 28, y un requisito comercial en cualquier proceso de ventas enterprise en el que el cliente cuente con asesor\u00eda jur\u00eddica que revise los contratos.<\/li>\n
  4. Ofrecemos un programa completo de cumplimiento del RGPD para SaaS: desde la evaluaci\u00f3n inicial de carencias hasta la funci\u00f3n continua de DPD, la gesti\u00f3n de subencargados y la respuesta a brechas de seguridad.<\/li>\n
  5. Toda la documentaci\u00f3n de RGPD es espec\u00edfica para el contexto SaaS. El aviso de privacidad, la plantilla de ATD, la lista de subencargados y la pol\u00edtica de conservaci\u00f3n de datos reflejan c\u00f3mo trata datos realmente una plataforma SaaS, no un negocio gen\u00e9rico con un sitio web.<\/li>\n<\/ol>\n<\/div>\n
    \n

    El cumplimiento del RGPD para una empresa SaaS abarca dos obligaciones simult\u00e1neas: gestionar los datos personales que pertenecen a los propios usuarios de la empresa (como responsable del tratamiento) y gestionar los datos personales que pertenecen a los usuarios de los clientes y que se tratan a trav\u00e9s de la plataforma SaaS (como encargada del tratamiento). El programa de cumplimiento cubre ambos roles: un aviso de privacidad y una pol\u00edtica de cookies para la obligaci\u00f3n como responsable, y acuerdos de tratamiento de datos, gesti\u00f3n de subencargados y medidas t\u00e9cnicas y organizativas para la obligaci\u00f3n como encargada. Dise\u00f1amos, implementamos y mantenemos este programa para empresas SaaS lituanas, y prestamos la funci\u00f3n de DPD externalizado cuando la empresa necesita un experto designado para gestionar las obligaciones continuas del RGPD.<\/p>\n<\/div>\n

    La Doble Obligaci\u00f3n RGPD del SaaS: Responsable y Encargado<\/h2>\n

    El concepto m\u00e1s importante del RGPD que los fundadores de SaaS deben comprender es que una empresa SaaS es casi siempre, simult\u00e1neamente, responsable del tratamiento y encargada del tratamiento, y que estos roles conllevan obligaciones diferentes que deben gestionarse en paralelo.<\/p>\n

    Como responsable del tratamiento — sus propios usuarios<\/h3>\n

    Cuando una empresa SaaS recopila datos personales directamente de los usuarios (informaci\u00f3n de registro de cuenta, datos de inicio de sesi\u00f3n, an\u00e1lisis de uso, datos de facturaci\u00f3n, comunicaciones de soporte), determina la finalidad y los medios de dicho tratamiento. Es responsable del tratamiento de datos. Como responsable del tratamiento, la empresa debe identificar una base jur\u00eddica adecuada para cada actividad de tratamiento, proporcionar la informaci\u00f3n de privacidad requerida, facilitar los derechos aplicables de los interesados, mantener registros de las actividades de tratamiento cuando sea necesario e implementar medidas de seguridad t\u00e9cnicas y organizativas apropiadas. Conforme al art\u00edculo 33 del RGPD, una violaci\u00f3n de datos personales debe notificarse a la autoridad de control competente sin dilaci\u00f3n indebida y, cuando sea factible, dentro de las 72 horas posteriores a que el responsable del tratamiento tenga conocimiento de ella, a menos que sea improbable que la violaci\u00f3n suponga un riesgo para los derechos y libertades de las personas. Cuando sea probable que la violaci\u00f3n suponga un alto riesgo, el responsable del tratamiento debe, por lo general, informar a las personas afectadas sin dilaci\u00f3n indebida, con sujeci\u00f3n a las excepciones previstas en el art\u00edculo 34. La autoridad de control competente no es necesariamente la Inspecci\u00f3n Estatal de Protecci\u00f3n de Datos de Lituania en todos los casos transfronterizos.<\/p>\n

    Como encargada del tratamiento — los usuarios de sus clientes<\/h3>\n

    Cuando la plataforma de una empresa SaaS B2B trata datos personales que pertenecen a los clientes de sus clientes (registros de usuarios introducidos por el cliente, datos de transacciones, registros de comunicaciones, historiales cl\u00ednicos o cualquier otro dato personal que los usuarios del cliente env\u00eden a la plataforma) la empresa SaaS trata datos en nombre del cliente. El cliente es el responsable del tratamiento; la empresa SaaS es la encargada del tratamiento. Como encargada, la empresa debe suscribir un acuerdo de tratamiento de datos (ATD) con cada cliente responsable; tratar los datos \u00fanicamente conforme a las instrucciones documentadas del cliente; implementar las medidas de seguridad t\u00e9cnicas adecuadas; notificar al cliente sin demora indebida cualquier brecha que afecte a sus datos; garantizar que los subencargados asuman obligaciones equivalentes; y suprimir o devolver todos los datos al vencimiento del contrato.<\/p>\n

    Por qu\u00e9 ambos roles importan simult\u00e1neamente<\/h3>\n

    La mayor\u00eda de las gu\u00edas sobre el RGPD escritas para empresas se centran en el rol de responsable o en el de encargado, pero raramente en ambos. Las empresas SaaS deben gestionar los dos simult\u00e1neamente, y las obligaciones no siempre se alinean con facilidad. El aviso de privacidad cubre el rol de responsable; el ATD cubre el rol de encargado. La obligaci\u00f3n de notificaci\u00f3n de brechas de seguridad se aplica en ambas direcciones: 72 horas a la INSPD como responsable, y notificaci\u00f3n a cada cliente afectado como encargada. Los plazos de conservaci\u00f3n de datos pueden diferir entre los datos del responsable (an\u00e1lisis de uso conservado con fines empresariales) y los datos del encargado (datos de usuarios del cliente que deben devolverse o suprimirse al vencimiento del contrato). El programa de cumplimiento debe cubrir ambas dimensiones y garantizar su coherencia interna.<\/p>\n

    Escala de multas del RGPD — las cifras reales
    \n<\/strong>El RGPD establece dos niveles de sanciones administrativas. Por infracciones de obligaciones b\u00e1sicas (como no contar con un ATD con un encargado) las multas pueden alcanzar \u20ac10.000.000 o el 2% de la facturaci\u00f3n anual mundial total, si esta cifra es superior. Por infracciones de principios fundamentales (como tratar datos sin base jur\u00eddica o no respetar los derechos de los interesados) las multas pueden alcanzar \u20ac20.000.000 o el 4% de la facturaci\u00f3n anual mundial total, si esta cifra es superior. Las autoridades de protecci\u00f3n de datos de la UE han sancionado activamente a empresas de todos los tama\u00f1os desde 2018. El techo del 4% de los ingresos globales convierte al RGPD en el r\u00e9gimen regulatorio con mayores consecuencias financieras para la mayor\u00eda de las empresas SaaS.<\/div>\n<\/div><\/div>\n\t
    \n\t\t
    \n\t\t\t

    Nuestros Servicios de Cumplimiento del RGPD para Empresas SaaS<\/h2>\n

    Ofrecemos un programa estructurado de cumplimiento del RGPD que cubre tanto la dimensi\u00f3n de responsable como la de encargada del tratamiento de las obligaciones de protecci\u00f3n de datos de una empresa SaaS. Cada \u00e1rea de servicio corresponde a un componente espec\u00edfico del programa de cumplimiento.<\/p>\n\n

    \n
    \n <\/i>\n <\/div>\n
    \n Dise\u00f1o e Implementaci\u00f3n del Programa de Cumplimiento del RGPD<\/strong>\n

    Un programa de cumplimiento del RGPD no es un \u00fanico documento: es un conjunto coordinado de pol\u00edticas, procedimientos, documentaci\u00f3n y medidas t\u00e9cnicas que demuestran colectivamente el cumplimiento de los principios del RGPD. Para una empresa SaaS, el programa debe cubrir tanto la dimensi\u00f3n de responsable como la de encargada y debe evolucionar a medida que crecen el producto, el equipo y la base de clientes. Dise\u00f1amos e implementamos el programa de cumplimiento inicial y lo mantenemos a medida que la empresa se desarrolla.<\/p>\n

      \n
    • Evaluaci\u00f3n de carencias del RGPD --- revisi\u00f3n de las pr\u00e1cticas y la documentaci\u00f3n actuales frente al conjunto completo de obligaciones del RGPD<\/li>\n
    • Ejercicio de mapeo de datos --- identificaci\u00f3n de todos los datos personales tratados, con qu\u00e9 finalidad, sobre qu\u00e9 base jur\u00eddica y durante cu\u00e1nto tiempo<\/li>\n
    • An\u00e1lisis de base jur\u00eddica --- confirmaci\u00f3n de la base jur\u00eddica aplicable a cada actividad de tratamiento (consentimiento, inter\u00e9s leg\u00edtimo, contrato, obligaci\u00f3n legal)<\/li>\n
    • Registro de actividades de tratamiento (ROPA) --- el registro interno del Art. 30 de todas las operaciones de tratamiento<\/li>\n
    • Revisi\u00f3n de privacidad desde el dise\u00f1o (privacy-by-design) --- asesoramiento sobre nuevas funcionalidades del producto desde la perspectiva de la protecci\u00f3n de datos antes del desarrollo<\/li>\n
    • Calendario de cumplimiento del RGPD --- programaci\u00f3n de todas las obligaciones continuas (revisi\u00f3n anual, formaci\u00f3n, verificaciones de conservaci\u00f3n) para el a\u00f1o<\/li>\n
    • Documentaci\u00f3n de responsabilidad proactiva --- las evidencias internas del cumplimiento del RGPD que deben estar disponibles para la auditor\u00eda de la INSPD<\/li>\n
    • Revisi\u00f3n anual del programa --- actualizaci\u00f3n de toda la documentaci\u00f3n y las evaluaciones para reflejar las directrices regulatorias y los cambios del producto<\/li>\n <\/ul>\n <\/div>\n<\/div>\n\n
      \n
      \n <\/i>\n <\/div>\n
      \n Acuerdos de Tratamiento de Datos para Clientes B2B<\/strong>\n

      Se requiere un Acuerdo de Procesamiento de Datos (APD) que cumpla con los requisitos del Art\u00edculo 28 del RGPD cuando un proveedor de SaaS procesa datos personales en nombre de un cliente que act\u00faa como responsable del tratamiento. Sin embargo, la relaci\u00f3n contractual por s\u00ed sola no determina las funciones de las partes seg\u00fan el RGPD. Dependiendo de la actividad de procesamiento, las partes pueden actuar como responsables independientes, corresponsables del tratamiento o responsable y encargado del tratamiento. Algunos proveedores de SaaS tambi\u00e9n act\u00faan como responsables del tratamiento para categor\u00edas espec\u00edficas de datos, como la administraci\u00f3n de cuentas, la facturaci\u00f3n o los an\u00e1lisis determinados de forma independiente. Por lo tanto, la documentaci\u00f3n contractual adecuada debe basarse en los fines de procesamiento reales y las responsabilidades de cada parte. Los clientes empresariales requieren APD como requisito comercial est\u00e1ndar, que a menudo se proporciona como parte de su propia plantilla para que la empresa de SaaS la firme. Preparamos la plantilla est\u00e1ndar de APD para su uso externo y revisamos y negociamos los APD propuestos por el cliente.<\/p>\n

        \n
      • Plantilla de ATD SaaS --- conforme al Art. 28; que cubre objeto, duraci\u00f3n, naturaleza y finalidad del tratamiento, categor\u00edas de datos y todas las obligaciones obligatorias del encargado<\/li>\n
      • Anexo de seguridad (Medidas T\u00e9cnicas y Organizativas) --- que detalla el marco de seguridad que la empresa SaaS aplica a los datos del cliente<\/li>\n
      • Cl\u00e1usula de subencargados --- que enumera los subencargados actuales; procedimiento de notificaci\u00f3n para incorporaciones; derechos de oposici\u00f3n del cliente<\/li>\n
      • Disposiciones sobre transferencias internacionales de datos --- Cl\u00e1usulas Contractuales Tipo para transferencias de datos del cliente fuera del EEE<\/li>\n
      • Disposiciones de devoluci\u00f3n y supresi\u00f3n de datos --- la obligaci\u00f3n de devolver o suprimir los datos del cliente al vencimiento del contrato; plazo y formato<\/li>\n
      • Cl\u00e1usula de derechos de auditor\u00eda --- derecho del cliente a auditar el cumplimiento de la empresa SaaS; alcance proporcionado para las operaciones pr\u00e1cticas<\/li>\n
      • Revisi\u00f3n de ATD enterprise --- revisi\u00f3n y respuesta a t\u00e9rminos de ATD no est\u00e1ndar propuestos por el cliente; comentario escrito y estrategia de negociaci\u00f3n<\/li>\n
      • Auditor\u00eda de cartera de ATDs --- revisi\u00f3n de todas las relaciones de clientes existentes para confirmar la cobertura de ATDs<\/li>\n <\/ul>\n <\/div>\n<\/div>\n\n
        \n El ATD como requisito del proceso de ventas enterprise<\/strong>\n

        Los equipos de compras enterprise exigen sistem\u00e1ticamente un ATD firmado antes de aprobar un nuevo proveedor SaaS. Un ATD claramente estructurado, con lenguaje RGPD est\u00e1ndar que aborde las preocupaciones enterprise habituales (marco de seguridad, lista de subencargados, plazo de notificaci\u00f3n de brechas, supresi\u00f3n de datos al vencimiento) se aprueba en d\u00edas. Un ATD al que le falten las disposiciones obligatorias del Art. 28, que use terminolog\u00eda no est\u00e1ndar o que tenga disposiciones de seguridad inadecuadas se escala al DPD y al equipo jur\u00eddico del cliente, a\u00f1adiendo semanas al ciclo de ventas. Redactamos ATDs pensando en las compras enterprise, no solo en el cumplimiento regulatorio m\u00ednimo.<\/p>\n<\/div>\n\n

        \n
        \n <\/i>\n <\/div>\n
        \n Gesti\u00f3n de Subencargados<\/strong>\n

        Un subencargado del tratamiento es un tercero contratado por un encargado del tratamiento para llevar a cabo actividades espec\u00edficas de tratamiento de datos personales en nombre del responsable original. La clasificaci\u00f3n depende del rol real del proveedor y de los fines para los que trata los datos personales. Los proveedores de alojamiento en la nube, an\u00e1lisis, comunicaciones y soporte pueden actuar como subencargados del tratamiento cuando tratan los datos personales de los clientes siguiendo las instrucciones de la empresa SaaS. Sin embargo, ciertos proveedores, incluidos los proveedores de servicios de pago, pueden actuar como responsables independientes del tratamiento para algunas actividades. Cuando un proveedor califica como subencargado del tratamiento, la empresa SaaS debe obtener la autorizaci\u00f3n previa, espec\u00edfica o general, por escrito del responsable del tratamiento e imponer obligaciones contractuales de protecci\u00f3n de datos que cumplan con el art\u00edculo 28(4) del RGPD. La lista de subencargados del tratamiento debe divulgarse a los clientes y actualizarse cuando se agreguen nuevos subencargados, brind\u00e1ndoles la oportunidad de oponerse.<\/p>\n

          \n
        • Identificaci\u00f3n de subencargados --- mapeo de todos los servicios en la pila tecnol\u00f3gica que reciban o accedan a datos personales de clientes<\/li>\n
        • Confirmaci\u00f3n del ATD del subencargado --- verificaci\u00f3n de que cada subencargado tiene un ATD adecuado en vigor (la mayor\u00eda de los principales proveedores cloud s\u00ed lo tienen)<\/li>\n
        • Redacci\u00f3n de la lista de subencargados --- una lista publicada apta para su inclusi\u00f3n en la documentaci\u00f3n de privacidad de la empresa SaaS y en los ATDs de clientes<\/li>\n
        • Procedimiento de notificaci\u00f3n de cambios en subencargados --- el proceso para notificar a los clientes cuando se a\u00f1aden nuevos subencargados<\/li>\n
        • Gesti\u00f3n de objeciones del cliente: manejo de objeciones del cliente a subprocesadores espec\u00edficos; documentaci\u00f3n de la resoluci\u00f3n.<\/li>\n
        • Evaluaci\u00f3n de la transferencia internacional: confirmaci\u00f3n del mecanismo de transferencia para subencargados del tratamiento con sede fuera del EEE (Condiciones contractuales tipo, decisi\u00f3n de adecuaci\u00f3n, Normas corporativas vinculantes).<\/li>\n
        • Revisi\u00f3n anual de subprocesadores: confirmaci\u00f3n de que la lista sigue siendo precisa y que todos los acuerdos de procesamiento de datos (DPA) de los subprocesadores siguen vigentes.<\/li>\n <\/ul>\n <\/div>\n<\/div>\n\n
          \n
          \n <\/i>\n <\/div>\n
          \n Procedimientos para los derechos de los interesados<\/strong>\n

          Los interesados en la UE tienen un conjunto definido de derechos en virtud del RGPD: el derecho de acceso a sus datos personales, el derecho de supresi\u00f3n, el derecho a la portabilidad de los datos, el derecho de oposici\u00f3n al tratamiento, entre otros. Una empresa SaaS debe poder responder a cualquier solicitud de los interesados en el plazo de un mes. Esta obligaci\u00f3n se aplica tanto al responsable del tratamiento (solicitudes de los usuarios de la propia empresa SaaS) como al encargado del tratamiento (solicitudes de los usuarios de un cliente, a las que la empresa SaaS debe ayudar al cliente a responder). Sin procedimientos documentados, las respuestas son inconsistentes, lentas y es probable que no se cumpla el plazo obligatorio.<\/p>\n

            \n
          • Procedimiento de derechos del interesado: proceso paso a paso para recibir, validar y responder a cada tipo de solicitud de derechos del interesado.<\/li>\n
          • Procedimiento de verificaci\u00f3n de identidad: confirmaci\u00f3n de la identidad del solicitante antes de revelar o eliminar datos personales.<\/li>\n
          • Procedimiento de derecho de acceso: proporciona confirmaci\u00f3n de si se est\u00e1n tratando datos personales, acceso a los datos personales pertinentes y la informaci\u00f3n complementaria requerida en virtud del art\u00edculo 15 del RGPD. Un formato estructurado, de uso com\u00fan y legible por m\u00e1quina est\u00e1 espec\u00edficamente asociado al derecho a la portabilidad de los datos en virtud del art\u00edculo 20, en lugar de ser un requisito universal para todas las solicitudes de acceso.<\/li>\n
          • Procedimiento de supresi\u00f3n: evaluaci\u00f3n de las solicitudes conforme al art\u00edculo 17 del RGPD y supresi\u00f3n de datos personales cuando se cumplen las condiciones legales. La supresi\u00f3n no es un derecho incondicional: los datos personales pueden conservarse para el cumplimiento de obligaciones legales, el ejercicio o la defensa de reclamaciones legales, u otras excepciones aplicables. En caso necesario, el responsable del tratamiento deber\u00e1 adoptar las medidas pertinentes con respecto a los destinatarios y encargados del tratamiento.<\/li>\n
          • Procedimiento de derecho a la portabilidad: exportaci\u00f3n de datos personales en un formato legible por m\u00e1quina (JSON, CSV) para el interesado.<\/li>\n
          • Gesti\u00f3n de objeciones de clientes --- tramitaci\u00f3n de las objeciones de clientes a subencargados espec\u00edficos; documentaci\u00f3n de la resoluci\u00f3n<\/li>\n
          • Registro de solicitudes DSR: mantenimiento del registro interno de todas las solicitudes recibidas y su estado de resoluci\u00f3n.<\/li>\n
          • Escalada del procesador al controlador: procedimiento para enrutar las solicitudes DSR de los usuarios del cliente al controlador del cliente correspondiente.<\/li>\n <\/ul>\n <\/div>\n<\/div>\n\n
            \n
            \n <\/i>\n <\/div>\n
            \n Respuesta y notificaci\u00f3n ante violaciones de datos<\/strong>\n

            Una violaci\u00f3n de datos personales \u2014cualquier incidente que implique la destrucci\u00f3n, p\u00e9rdida, alteraci\u00f3n, divulgaci\u00f3n no autorizada o acceso il\u00edcito a datos personales\u2014 genera obligaciones espec\u00edficas en virtud del RGPD. Como responsable del tratamiento, la empresa SaaS debe notificar a la Inspecci\u00f3n Estatal de Protecci\u00f3n de Datos en un plazo de 72 horas si es probable que la violaci\u00f3n suponga un riesgo para las personas. Como encargado del tratamiento, debe notificar a cada cliente afectado sin demora indebida. Contar con un procedimiento documentado de respuesta ante violaciones de datos determina si la empresa gestiona la violaci\u00f3n de forma que se minimicen los da\u00f1os regulatorios y comerciales, o si descubre sus obligaciones una vez transcurrido el plazo.<\/p>\n

              \n
            • Procedimiento de derechos de los interesados --- proceso paso a paso para recibir, validar y responder a cada tipo de solicitud<\/li>\n
            • Marco de evaluaci\u00f3n de gravedad de la brecha --- criterios para clasificar la gravedad de la brecha y determinar las obligaciones de notificaci\u00f3n<\/li>\n
            • Plantilla de notificaci\u00f3n a la INSPD --- formulario de notificaci\u00f3n preparado con antelaci\u00f3n que contiene toda la informaci\u00f3n exigida por el Art. 33 del RGPD<\/li>\n
            • Plantilla de notificaci\u00f3n al cliente --- notificaci\u00f3n del encargado al responsable conforme al Art. 33(2); con plazo para que el cliente pueda cumplir su propio plazo ante la INSPD<\/li>\n
            • Plantilla de notificaci\u00f3n a los interesados --- para brechas de alto riesgo que requieran notificaci\u00f3n directa a los individuos afectados<\/li>\n
            • Registro interno de brechas --- el registro interno del Art. 33(5) de todas las brechas, incluidas las que no alcanzan el umbral de notificaci\u00f3n a la INSPD<\/li>\n
            • Ejercicio de simulaci\u00f3n de brecha de seguridad --- ejercicio de mesa que pone a prueba el procedimiento de respuesta ante un escenario realista<\/li>\n
            • Procedimiento de revisi\u00f3n post-brecha --- documentaci\u00f3n de las lecciones aprendidas e implementaci\u00f3n de mejoras t\u00e9cnicas o procedimentales<\/li>\n <\/ul>\n <\/div>\n<\/div>\n\n
              \n
              \n <\/i>\n <\/div>\n
              \n Delegado de Protecci\u00f3n de Datos (DPD) Externalizado<\/strong>\n

              El Delegado de Protecci\u00f3n de Datos es el experto designado por el RGPD responsable de supervisar el cumplimiento, asesorar sobre las obligaciones de protecci\u00f3n de datos, formar al personal y actuar como punto de contacto para los interesados y la INSPD. El RGPD permite expresamente que el rol de DPD sea desempe\u00f1ado por un proveedor de servicios externo. Para las empresas SaaS en fase de crecimiento, un DPD externalizado proporciona la experiencia requerida y la responsabilidad designada sin la contrataci\u00f3n a tiempo completo que el volumen de actividad RGPD puede no justificar todav\u00eda.<\/p>\n

                \n
              • Designaci\u00f3n del DPD --- notificaci\u00f3n formal del DPD externalizado a la INSPD cuando sea necesario<\/li>\n
              • Supervisi\u00f3n del programa de cumplimiento del RGPD --- seguimiento del cumplimiento continuo e identificaci\u00f3n de problemas emergentes<\/li>\n
              • Gesti\u00f3n de los derechos de los interesados --- gesti\u00f3n de las respuestas a solicitudes dentro de los plazos del RGPD<\/li>\n
              • Gesti\u00f3n de brechas de seguridad --- liderazgo en la evaluaci\u00f3n de brechas, las decisiones de notificaci\u00f3n y la correspondencia con la INSPD<\/li>\n
              • Supervisi\u00f3n de EIPDs --- revisi\u00f3n de las Evaluaciones de Impacto relativas a la Protecci\u00f3n de Datos para actividades de tratamiento de alto riesgo<\/li>\n
              • Consultas de ATD de clientes --- respuesta a preguntas RGPD de clientes sobre el tratamiento de datos de la plataforma<\/li>\n
              • Formaci\u00f3n del personal --- impartici\u00f3n de formaci\u00f3n anual en RGPD con registros de asistencia<\/li>\n
              • Interlocuci\u00f3n con la INSPD --- respuesta a consultas de la INSPD y cooperaci\u00f3n con las actividades de supervisi\u00f3n<\/li>\n
              • Informe mensual del DPD --- resumen de la actividad RGPD, incidentes y cuestiones abiertas para el equipo directivo<\/li>\n <\/ul>\n <\/div>\n<\/div>\n\t\t<\/div>\n\t<\/div>\n

                Obligaciones RGPD del SaaS: Responsable vs. Encargado<\/h2>\n

                La siguiente tabla mapea las obligaciones clave del RGPD en funci\u00f3n de si se aplican en el rol de responsable (sus propios usuarios), el de encargado (los usuarios de sus clientes) o en ambos. Ambas dimensiones deben cubrirse para el cumplimiento completo.<\/p>\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
                Obligaci\u00f3n RGPD<\/th>\nRol de responsable (usuarios propios)<\/th>\nRol de encargado (usuarios de clientes)<\/th>\n<\/tr>\n<\/thead>\n
                Aviso de privacidad \/ transparencia<\/strong><\/td>\nObligatorio — pol\u00edtica de privacidad publicada<\/td>\nNo directamente (el cliente publica su propia pol\u00edtica)<\/td>\n<\/tr>\n
                Base jur\u00eddica del tratamiento<\/strong><\/td>\nObligatoria — documentada por actividad<\/td>\nNo requerida — el cliente es responsable de la base jur\u00eddica<\/td>\n<\/tr>\n
                Registro de actividades de tratamiento (ROPA)<\/strong><\/td>\nObligatorio — Art. 30(1)<\/td>\nObligatorio — Art. 30(2) (registro de encargado separado)<\/td>\n<\/tr>\n
                Acuerdo de Tratamiento de Datos (ATD)<\/strong><\/td>\nNo requerido (usted es el responsable)<\/td>\nObligatorio con cada cliente antes de que comience el tratamiento<\/td>\n<\/tr>\n
                ATDs de subencargados<\/strong><\/td>\nN \/ A<\/td>\nObligatorios — deben vincular a todos los subencargados a las obligaciones del RGPD<\/td>\n<\/tr>\n
                Respuesta a derechos de los interesados<\/strong><\/td>\nObligatoria — solicitudes de los propios usuarios<\/td>\nAsistir al cliente en la respuesta a las solicitudes de sus usuarios<\/td>\n<\/tr>\n
                Notificaci\u00f3n a la INSPD en 72 horas por brecha<\/strong><\/td>\nObligatoria — si hay riesgo para los individuos<\/td>\nNo directamente (pero debe notificar al cliente sin demora indebida)<\/td>\n<\/tr>\n
                Notificaci\u00f3n de brecha al cliente<\/strong><\/td>\nN \/ A<\/td>\nObligatoria — sin demora indebida tras tener conocimiento<\/td>\n<\/tr>\n
                Medidas de seguridad de los datos<\/strong><\/td>\nObligatorias — apropiadas al riesgo<\/td>\nObligatorias — seg\u00fan lo especificado en el ATD y el anexo de seguridad<\/td>\n<\/tr>\n
                L\u00edmites de conservaci\u00f3n de datos<\/strong><\/td>\nAplicar el principio de minimizaci\u00f3n del RGPD<\/td>\nDevolver o suprimir a instrucci\u00f3n o resoluci\u00f3n del contrato<\/td>\n<\/tr>\n
                Mecanismo de transferencia internacional<\/strong><\/td>\nObligatorio para transferencias fuera del EEE<\/td>\nObligatorio para transferencias de subencargados fuera del EEE<\/td>\n<\/tr>\n
                EIPD (tratamiento de alto riesgo)<\/strong><\/td>\nObligatoria cuando proceda<\/td>\nApoyar la EIPD del cliente cuando el tratamiento involucre sus datos<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

                El Cumplimiento del RGPD como Facilitador de Ventas<\/h2>\n

                El cumplimiento del RGPD suele plantearse como un coste y una carga regulatoria. Para las empresas SaaS B2B, es tambi\u00e9n un diferenciador comercial, especialmente en ventas enterprise donde los equipos de compras eval\u00faan la madurez en protecci\u00f3n de datos como criterio de selecci\u00f3n de proveedores.<\/p>\n

                Qu\u00e9 verifican los clientes enterprise<\/h3>\n

                Los equipos de compras enterprise (en particular los de servicios financieros, sanidad, sector jur\u00eddico y administraci\u00f3n p\u00fablica) realizan una due diligence estructurada en materia de RGPD sobre los nuevos proveedores SaaS. Las preguntas est\u00e1ndar abarcan: si la empresa tiene un DPD o un contacto de protecci\u00f3n de datos designado; si hay disponible un ATD conforme al RGPD; qu\u00e9 subencargados se utilizan y si tienen mecanismos adecuados de transferencia de datos; qu\u00e9 medidas de seguridad est\u00e1n implantadas (cifrado en reposo y en tr\u00e1nsito, controles de acceso, pruebas de penetraci\u00f3n); cu\u00e1l es el procedimiento de notificaci\u00f3n de brechas; y si los datos se almacenan en la UE o en pa\u00edses con decisi\u00f3n de adecuaci\u00f3n reconocida. Una empresa SaaS que puede responder a todas estas preguntas con documentaci\u00f3n (no solo con garant\u00edas verbales) cierra contratos enterprise m\u00e1s r\u00e1pidamente.<\/p>\n

                Cuestionarios de seguridad<\/h3>\n

                Los grandes clientes enterprise env\u00edan con frecuencia cuestionarios de seguridad junto al ATD, solicitando detalles t\u00e9cnicos sobre la arquitectura de seguridad de la plataforma, las pr\u00e1cticas de gesti\u00f3n de datos y las certificaciones de cumplimiento. El cuestionario suele cubrir: est\u00e1ndares de cifrado, pol\u00edticas de control de acceso, procedimientos de copia de seguridad y recuperaci\u00f3n, frecuencia de las pruebas de penetraci\u00f3n, procedimientos de respuesta a incidentes y ubicaciones de los subencargados. Contar con medidas t\u00e9cnicas y organizativas (MTO) documentadas (que el anexo de seguridad del ATD debe referenciar) permite completar estos cuestionarios de forma precisa y consistente. Sin documentaci\u00f3n, cada cuestionario se responde de memoria, produciendo respuestas inconsistentes y a veces inexactas que levantan se\u00f1ales de alerta en la revisi\u00f3n de seguridad del cliente.<\/p>\n

                El tratamiento de datos como funcionalidad del producto<\/h3>\n

                Un n\u00famero creciente de compradores SaaS (en particular en sectores regulados) considera el cumplimiento del RGPD no como un m\u00ednimo obligatorio, sino como una funcionalidad del producto. Las opciones de residencia de datos (almacenamiento exclusivo en la UE), la certificaci\u00f3n ISO 27001, el cumplimiento de SOC 2 Tipo II y la responsabilidad proactiva demostrable en RGPD figuran cada vez m\u00e1s como requisitos en las RFPs enterprise. Incorporar el cumplimiento del RGPD al producto desde el inicio (en lugar de a\u00f1adirlo a posteriori bajo la presi\u00f3n de las ventas) permite a la empresa competir en segmentos enterprise que de otro modo ser\u00edan inaccesibles.<\/p>\n

                Precios del Cumplimiento RGPD<\/h2>\n

                Los encargos de RGPD definidos tienen precios fijos. La funci\u00f3n de DPD continuo y los programas de cumplimiento complejos multi-entidad se presupuestan bajo solicitud.<\/p>\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
                Servicio<\/th>\nPrecio<\/th>\n<\/tr>\n<\/thead>\n
                Evaluaci\u00f3n de carencias RGPD — informe escrito<\/strong>
                \nEvaluaci\u00f3n completa del cumplimiento actual del RGPD frente a las obligaciones de responsable y encargado; plan de acci\u00f3n priorizado<\/em><\/td>\n                		\u20ac700<\/strong><\/td>\n<\/tr>\n
                Mapeo de datos y ROPA (registro de actividades de tratamiento)<\/strong>
                \nIdentificaci\u00f3n de todas las actividades de tratamiento; registro del Art. 30 para registros tanto de responsable como de encargado<\/em><\/td>\n                		\u20ac800<\/strong><\/td>\n<\/tr>\n
                An\u00e1lisis de base jur\u00eddica<\/strong>
                \nConfirmaci\u00f3n de la base jur\u00eddica de cada actividad de tratamiento; evaluaciones de inter\u00e9s leg\u00edtimo cuando proceda<\/em><\/td>\n                		\u20ac600<\/strong><\/td>\n<\/tr>\n
                Configuraci\u00f3n completa del programa de cumplimiento RGPD<\/strong>
                \nEvaluaci\u00f3n de carencias + mapeo de datos + an\u00e1lisis de base jur\u00eddica + aviso de privacidad + ROPA + procedimiento de brecha + procedimientos de derechos de interesados<\/em><\/td>\n                		\u20ac2,000<\/strong><\/td>\n<\/tr>\n
                Revisi\u00f3n anual del programa RGPD<\/strong>
                \nRevisi\u00f3n de toda la documentaci\u00f3n y actividades de tratamiento frente a las directrices regulatorias actuales y los cambios del producto<\/em><\/td>\n                		\u20ac800<\/strong><\/td>\n<\/tr>\n
                Plantilla de ATD — espec\u00edfica para SaaS, aut\u00f3noma<\/strong>
                \nConforme al Art. 28; anexo de seguridad; disposiciones sobre subencargados; cl\u00e1usula CCT; devoluci\u00f3n\/supresi\u00f3n de datos<\/em><\/td>\n                		\u20ac700<\/strong><\/td>\n<\/tr>\n
                Revisi\u00f3n de ATD enterprise (propuesto por el cliente)<\/strong>
                \nComentario escrito sobre desviaciones materiales; estrategia de negociaci\u00f3n<\/em><\/td>\n                		\u20ac600<\/strong><\/td>\n<\/tr>\n
                Adenda de transferencia internacional de datos (CCT)<\/strong> Preparaci\u00f3n e implementaci\u00f3n de las Cl\u00e1usulas Contractuales Tipo de la Comisi\u00f3n Europea para la transferencia de datos personales a destinatarios en terceros pa\u00edses, cuando se requiere un mecanismo de transferencia adecuado conforme al Cap\u00edtulo V del RGPD. El m\u00f3dulo de CCT apropiado depende de las funciones de las partes, incluyendo transferencias entre responsables del tratamiento, entre responsables del tratamiento y encargados del tratamiento, entre encargados del tratamiento o entre encargados del tratamiento y responsables del tratamiento. Por lo general, las CCT no son necesarias simplemente porque los datos personales se transfieran entre organizaciones ubicadas dentro del Espacio Econ\u00f3mico Europeo (EEE).<\/td>\n\u20ac600<\/strong><\/td>\n<\/tr>\n
                Auditor\u00eda de cartera de ATDs (clientes existentes)<\/strong>
                \nRevisi\u00f3n de todas las relaciones de clientes actuales; identificaci\u00f3n de carencias; emisi\u00f3n de ATDs donde falten<\/em><\/td>\n                		\u20ac800<\/strong><\/td>\n<\/tr>\n
                Mapeo de subencargados y preparaci\u00f3n de lista<\/strong>
                \nIdentificaci\u00f3n de todos los subencargados; confirmaci\u00f3n del estado del ATD; redacci\u00f3n de lista de subencargados publicada<\/em><\/td>\n                		\u20ac700<\/strong><\/td>\n<\/tr>\n
                Revisi\u00f3n y actualizaci\u00f3n anual de la lista de subencargados<\/strong>
                \nConfirmaci\u00f3n de exactitud; actualizaci\u00f3n con nuevas incorporaciones; renovaci\u00f3n de mecanismos de transferencia internacional<\/em><\/td>\n                		\u20ac500<\/strong><\/td>\n<\/tr>\n
                Procedimientos de derechos de los interesados (conjunto completo)<\/strong>
                \nProcedimientos de acceso, supresi\u00f3n, portabilidad, oposici\u00f3n y limitaci\u00f3n; plantilla de registro de solicitudes<\/em><\/td>\n                		\u20ac800<\/strong><\/td>\n<\/tr>\n
                Procedimiento de respuesta a brechas de seguridad<\/strong>
                \nFlujo de trabajo de triaje, contenci\u00f3n, evaluaci\u00f3n y notificaci\u00f3n; plantilla de notificaci\u00f3n a la INSPD; plantilla de notificaci\u00f3n al cliente; registro interno<\/em><\/td>\n                		\u20ac700<\/strong><\/td>\n<\/tr>\n
                Ejercicio de simulaci\u00f3n de brecha de seguridad<\/strong>
                \nEjercicio de mesa que pone a prueba el procedimiento de respuesta ante un escenario realista; informe de conclusiones escrito<\/em><\/td>\n                		\u20ac800<\/strong><\/td>\n<\/tr>\n
                Aviso de privacidad — espec\u00edfico para SaaS<\/strong>
                \nAviso de privacidad del responsable espec\u00edfico para el tratamiento de datos SaaS; listo para publicaci\u00f3n<\/em><\/td>\n                		\u20ac650<\/strong><\/td>\n<\/tr>\n
                Pol\u00edtica de cookies + especificaci\u00f3n del banner de consentimiento<\/strong>
                \nPol\u00edtica + especificaci\u00f3n t\u00e9cnica para la implementaci\u00f3n de consentimiento conforme al RGPD<\/em><\/td>\n                		\u20ac550<\/strong><\/td>\n<\/tr>\n
                Evaluaci\u00f3n de Impacto relativa a la Protecci\u00f3n de Datos (EIPD)<\/strong>
                \nPara actividades de tratamiento de alto riesgo; presupuesto seg\u00fan complejidad del tratamiento<\/em><\/td>\n                		Bajo solicitud<\/strong><\/td>\n<\/tr>\n
                Delegado de Protecci\u00f3n de Datos externalizado — retainer mensual<\/strong>
                \nFunci\u00f3n completa de DPD; seg\u00fan el tama\u00f1o de la base de usuarios y la frecuencia prevista de interacci\u00f3n con la INSPD y clientes<\/em><\/td>\n                		Bajo solicitud<\/strong><\/td>\n<\/tr>\n
                Consulta puntual de DPD (brecha o consulta de la INSPD)<\/strong>
                \nPor sesi\u00f3n — evaluaci\u00f3n urgente de brecha de seguridad o correspondencia con la INSPD fuera de un retainer<\/em><\/td>\n                		\u20ac500<\/strong><\/td>\n<\/tr>\n
                Paquete de cumplimiento RGPD SaaS (programa completo + plantilla ATD + lista de subencargados + procedimientos de derechos de interesados + procedimiento de brecha)<\/strong> Paquete inicial integrado de cumplimiento del RGPD que abarca los servicios especificados. La suma de los precios de los cinco servicios publicados individualmente asciende a 4900 EUR, frente a un precio de paquete de 3500 EUR, lo que supone un ahorro nominal de 1400 EUR. Sin embargo, el servicio de configuraci\u00f3n del programa, con un precio de 2000 EUR, ya incluye procedimientos para la protecci\u00f3n de los derechos de los interesados y un procedimiento de respuesta ante incidentes de seguridad. Por lo tanto, conviene aclarar el alcance del paquete y la comparaci\u00f3n de precios para evitar contabilizar dos veces los servicios que se solapan.<\/td>\n\u20ac3,500<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
                \n

                Paquete de cumplimiento RGPD SaaS — qu\u00e9 incluye
                \n<\/strong>El paquete de cumplimiento del RGPD para SaaS, con un precio de 3500 EUR, ofrece una soluci\u00f3n integral para el cumplimiento inicial en empresas SaaS B2B. Incluye una evaluaci\u00f3n de las deficiencias del RGPD, mapeo de datos y registros de las actividades de procesamiento, an\u00e1lisis de la base jur\u00eddica, un aviso de privacidad, un acuerdo de procesamiento de datos espec\u00edfico para SaaS con un anexo de seguridad, una lista de subencargados del tratamiento, procedimientos para los derechos de los interesados y un procedimiento de respuesta ante una violaci\u00f3n de datos personales.<\/p>\n

                Los precios individuales publicados para los cinco componentes del paquete ascienden a 4900 EUR. Sin embargo, algunos servicios ya est\u00e1n incluidos en el programa de configuraci\u00f3n de cumplimiento, cuyo precio es de 2000 EUR. Para una comparaci\u00f3n de precios transparente, conviene conciliar el alcance de cada servicio y los componentes que se solapan antes de anunciar un ahorro espec\u00edfico en un paquete determinado.<\/p>\n<\/div>\n

                Preguntas frecuentes<\/h2>\n<\/div><\/div><\/div><\/div><\/div><\/div><\/div><\/section>