Protecció de dades
per a startups

Sí. El RGPD no té llindars mínims de facturació, nombre d'empleats ni antiguitat. En el moment en què una startup recull dades d'usuaris, leads o empleats, passa a ser responsable del tractament amb totes les obligacions que això implica: informar, documentar i protegir. Començar a construir sobre bases sòlides des de l'inici és més eficient que remediar-ho després.

El privacy by design (art. 25 RGPD) és l'obligació d'incorporar la protecció de dades en el disseny del producte des del principi, no com a afegit posterior. Implica recollir només les dades necessàries, usar els mínims permisos possibles, permetre als usuaris controlar les seves dades i configurar les opcions més restrictives per defecte. En una startup, incorporar aquests principis des del MVP evita costoses revisions d'arquitectura en fases posteriors.

Sí. Les llistes d'espera recopilen correus electrònics de persones interessades. Encara que encara no hi hagi producte, la startup ja està tractant dades personals i ha d'informar els inscrits de com s'usaran les seves dades, amb quina finalitat es conserven i durant quant de temps. L'enviament posterior de comunicacions a aquesta llista també requereix base jurídica vàlida (habitualment el consentiment donat en inscriure's).

Només de forma anonimitzada o agregada. Durant el procés de due diligence, els inversors poden necessitar accedir a mètriques d'usuaris, però no han d'accedir a dades personals identificables sense una base jurídica adequada i sense informar els usuaris. Els acords de NDA durant el due diligence han d'incloure clàusules específiques de protecció de dades.

Sí, amb tots els proveïdors que tractin dades personals dels usuaris o empleats de la startup en el seu nom: email màrqueting, CRM, eines d'anàlisi, plataformes de suport, cloud hosting, etc. La majoria dels grans proveïdors (Google, AWS, HubSpot, etc.) tenen els seus propis DPA que s'accepten en línia, però la startup ha d'assegurar-se d'haver-los formalitzat. L'ús de proveïdors americans pot implicar transferències internacionals de dades; la legalitat d'aquestes transferències s'empara habitualment en l'adhesió del proveïdor al Data Privacy Framework (DPF) UE-EUA o en les garanties adequades de l'art. 46 RGPD.

L'EIPD és obligatòria quan el tractament pot suposar un alt risc per als drets i llibertats de les persones (art. 35 RGPD). Els supòsits més comuns en startups són: perfilat a gran escala, tractament de dades de categoria especial (salut, biometria), monitoratge sistemàtic de persones o tractament de dades de menors. Una startup de healthtech, fintech o adtech ha de valorar si el seu model de dades requereix una EIPD.