Protecció de dades per a
empreses tecnològiques

Depèn del model de negoci i del tractament concret. Quan el SaaS processa dades dels clients del seu client exclusivament per instrucció d'aquest, pot actuar com a encarregat del tractament (art. 28 RGPD). Quan recull i utilitza dades per als seus propis fins (analítica d'ús, millora del producte), actua com a responsable. Moltes empreses tecnològiques són totes dues coses segons el tractament, i algunes relacions poden configurar-se com a corresponsabilitat. La naturalesa jurídica exacta s'ha d'analitzar en cada cas.

Els subprocessadors són proveïdors als quals l'encarregat del tractament subcontracta part del processament de dades dels seus clients. Per exemple, una empresa SaaS que utilitza AWS o Google Cloud per allotjar dades dels seus clients ha de notificar als seus clients aquests subprocessadors i tenir un DPA amb cadascun. La llista de subprocessadors ha de ser pública o accessible per als clients i mantenir-se actualitzada.

Les transferències internacionals de dades als EUA requereixen garanties adequades. Des del juliol de 2023 existeix el Marc de Privadesa de Dades UE-EUA (Data Privacy Framework), però la seva aplicabilitat depèn de si l'empresa destinatària està certificada. Per a les no certificades, les Clàusules Contractuals Estàndard (SCCs) de la Comissió Europea són una de les vies previstes. En qualsevol cas, cada transferència s'ha d'analitzar individualment amb assessorament especialitzat.

L'art. 25 del RGPD estableix el principi de privacitat des del disseny (privacy by design) i privacitat per defecte (privacy by default), que s'aplica a qui desenvolupa productes o serveis digitals. A la pràctica, suposa integrar la protecció de dades en les decisions tècniques des de l'inici i configurar els productes amb opcions restrictives per defecte. L'AEPD ha publicat guies específiques sobre com aplicar aquest principi que convé consultar.

Sí. Si l'empresa actua com a encarregada del tractament i pateix una bretxa de seguretat que afecta dades dels seus clients, ha de notificar-ho al responsable del tractament (el client) sense dilació indeguda i, segons el DPA, en el termini acordat (habitualment 24-72 hores). El responsable és qui ha de notificar a l'AEPD en 72 hores si escau.

Sí. Les cookies utilitzades per analitzar el comportament dels usuaris dins de la plataforma (session recording, heatmaps, funnel analytics) amb eines com Hotjar, FullStory o Mixpanel requereixen el consentiment previ de l'usuari. Tot i que el propòsit sigui millorar el producte, el tractament de dades de navegació amb aquestes eines no és tècnicament necessari per prestar el servei.