RGPD desde el día 1 en una startup: documentación mínima antes de lanzar producto

Q: ¿Qué documentación mínima de RGPD necesita una startup para lanzar producto?

Una startup que lanza producto, aunque tenga dos personas en la fundación y trate datos solo de los primeros usuarios beta, debe disponer desde el día uno de: Registro de Actividades del Tratamiento (RAT) del art. 30 RGPD con los tratamientos reales identificados (usuarios de producto, leads de marketing, contactos comerciales, plantilla y candidatos), política de privacidad pública en la web y en el producto que cumpla los arts. 13 y 14 RGPD, contratos del art. 28 RGPD con todos los proveedores SaaS críticos (hosting, base de datos, autenticación, email transaccional, analítica, CRM), valoración inicial de transferencias internacionales con verificación del Data Privacy Framework para los proveedores estadounidenses, protocolo de brechas con plantilla de notificación a la AEPD en 72 horas, política de cookies en la web con banner conforme a la LSSICE y a la guía AEPD vigente, y evaluación rápida sobre si el tratamiento desencadena la obligación de Evaluación de Impacto del art. 35 RGPD.

Q: ¿Hace falta hacer EIPD desde el principio en una startup tecnológica?

Depende de la naturaleza del tratamiento, no del tamaño de la empresa. El art. 35 RGPD obliga a realizar Evaluación de Impacto cuando un tratamiento pueda entrañar alto riesgo para los derechos y libertades de las personas. La AEPD publica una lista no exhaustiva de tipos que activan la obligación: tratamientos a gran escala de datos sensibles, observación sistemática del comportamiento, decisiones automatizadas con efectos jurídicos relevantes, combinaciones de fuentes que permitan elaboración de perfiles, uso intensivo de identificadores únicos, tratamientos en menores u otros colectivos vulnerables. Una startup que construye un producto SaaS B2B convencional sin ninguno de estos elementos generalmente no necesita EIPD inicial. Una startup que entrena modelos de IA sobre datos personales, ofrece scoring crediticio, gestiona salud o trabaja con menores casi con seguridad sí. La EIPD no es burocracia: es la herramienta de diseño que evita rediseñar el producto cuando ya hay diez mil usuarios.

Q: ¿Cómo se gestionan las transferencias internacionales con proveedores estadounidenses?

Desde julio de 2023 está vigente el Data Privacy Framework (DPF) entre la UE y Estados Unidos, que sustituye a Privacy Shield tras la sentencia Schrems II. Un proveedor estadounidense adherido al DPF e inscrito en la lista pública del Departamento de Comercio de EE.UU. permite la transferencia internacional sin necesidad de Cláusulas Contractuales Tipo adicionales para los flujos cubiertos por su autocertificación. La startup debe: verificar en la lista oficial que el proveedor concreto está activo (no basta con que la empresa matriz lo esté si se contrata una filial distinta), conservar evidencia documental de esa verificación, revisar periódicamente que la inscripción se mantiene y, en caso contrario, retornar a CCT con análisis de riesgo del país receptor. Para proveedores que no se han adherido al DPF, siguen siendo necesarias las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea en 2021 y, cuando proceda, medidas suplementarias técnicas.

Q: ¿Cada cuánto hay que revisar la documentación RGPD en una startup en crecimiento?

El RGPD no fija una periodicidad concreta, pero el principio de responsabilidad proactiva del art. 5.2 RGPD exige mantener la documentación al día y poder demostrarlo. En una startup, donde el producto y los flujos de datos cambian cada pocas semanas, el ciclo realista es: revisión ligera trimestral del RAT y de los proveedores nuevos, revisión completa anual de toda la documentación, revisión obligatoria cada vez que se lanza una funcionalidad nueva que afecta a datos personales, se incorpora un proveedor crítico, se inicia una ronda de financiación con due diligence, se entra en un mercado nuevo, se sufre una brecha o se modifica significativamente la base de usuarios. No es una auditoría formal anual; es un ciclo continuo de evaluación basado en el riesgo y el cambio, que es justamente lo que la AEPD valora como evidencia de responsabilidad proactiva.

Una startup que va a lanzar producto entra en el ámbito del RGPD en el momento exacto en que captura el primer dato personal: la dirección de correo electrónico del primer suscriptor a la waitlist, el alta del primer usuario en el entorno de pruebas o el registro del primer cliente que paga. El tamaño del equipo, la fase de financiación o la cifra de ingresos son irrelevantes para la aplicación de la norma. Lo que sí cambia con el tamaño es la extensión documental: una startup que recién arranca puede cumplir con un cuerpo documental ligero y proporcional, pero los bloques esenciales son los mismos.

Esta guía recoge la documentación mínima que cualquier startup B2B o B2C debería tener disponible antes de la primera campaña real, conforme al RGPD (Reglamento UE 2016/679), la LOPDGDD (Ley Orgánica 3/2018) y la LSSICE (Ley 34/2002) cuando hay presencia digital. El objetivo no es burocracia preventiva: es disponer de una base ordenada que aguante el primer cliente enterprise serio, el primer auditor externo, la primera ronda y la primera reclamación.

Los tratamientos típicos en una startup en fase temprana

Casi cualquier startup, sea B2B o B2C, se resume en cinco o seis tratamientos detectables desde el primer día:

Tratamiento	Datos típicos	Base jurídica
Usuarios de producto	Identificativos, contacto, datos de uso, logs.	Ejecución de contrato (6.1.b)
Leads y marketing	Suscriptores, prospectos, lectores de newsletter.	Consentimiento o interés legítimo (6.1.a/6.1.f) + art. 21 LSSICE
Facturación y obligaciones fiscales	Datos de facturación, IBAN, retenciones.	Obligación legal (6.1.c)
Plantilla y candidatos	Datos laborales, CV recibidos, evaluaciones.	Contrato laboral + obligación legal (6.1.b + 6.1.c)
Soporte y atención al cliente	Tickets, conversaciones, registros de incidencias.	Ejecución de contrato (6.1.b)
Analítica y mejora del producto	Telemetría, eventos, métricas de uso.	Interés legítimo (6.1.f) o consentimiento según el caso

Documentación mínima proporcional

Una startup en fase temprana cubre razonablemente sus obligaciones con estos bloques, sin sobredimensionar:

Registro de Actividades del Tratamiento (RAT): una página, cinco o seis entradas, con la información del art. 30.1 RGPD (responsable, finalidades, categorías de interesados y datos, destinatarios, transferencias, plazos, medidas técnicas y organizativas).
Política de privacidad pública: una versión completa en la web y una versión de producto entregada en el alta del usuario, cumpliendo los arts. 13 y 14 RGPD.
Política de cookies y banner: configuración del consentimiento conforme a la LSSICE y a la guía AEPD vigente, sin cookies no esenciales antes de la aceptación.
Contratos del art. 28 RGPD (DPA) firmados y archivados con todos los proveedores SaaS que tratan datos personales en nombre de la startup: hosting, base de datos, autenticación, email transaccional, soporte, CRM, analítica, almacenamiento, observabilidad.
Cláusulas contractuales con clientes B2B: cuando la startup actúa como encargada por cuenta de un cliente que es responsable (caso típico de SaaS B2B), el contrato comercial debe incluir el contenido del art. 28.3 RGPD o un DPA anexo.
Mapa de transferencias internacionales: lista de proveedores fuera del EEE con verificación de Data Privacy Framework o Cláusulas Contractuales Tipo y, si aplica, medidas suplementarias.
Política de seguridad operativa: una o dos páginas con las medidas reales (gestión de accesos, autenticación multifactor, cifrado en tránsito y en reposo, backups, gestión de altas y bajas de personal con acceso a sistemas, registro de acciones).
Protocolo de brechas: dos párrafos con quién evalúa el incidente, cuándo notificar a la AEPD en menos de 72 horas y plantilla de comunicación a afectados cuando proceda.
Cláusulas para empleados y candidatos: información del art. 13 RGPD entregada al alta y en la recepción de CV.
Evaluación inicial de EIPD: análisis previo sobre si alguno de los tratamientos desencadena la obligación del art. 35 RGPD; si no la activa, documentar la conclusión para soportar el principio de responsabilidad proactiva.

La política de privacidad: lo que de verdad debe contener

La política de privacidad de una startup no es una página decorativa. Es el documento por el que se cumple el deber de transparencia de los arts. 13 y 14 RGPD frente al usuario y, en la práctica, una de las primeras piezas que cualquier cliente B2B serio, inversor o auditor revisa. Contenido mínimo:

Identidad del responsable (denominación social completa, CIF, dirección postal) y datos de contacto del Delegado de Protección de Datos si se ha designado.
Finalidades concretas, distinguiendo las imprescindibles para el servicio de las opcionales (analítica, mejora del producto, marketing).
Bases jurídicas por finalidad: ejecución del contrato, obligación legal, consentimiento o interés legítimo con su correspondiente test.
Destinatarios y categorías de encargados (hosting, soporte, email transaccional, analítica) sin necesidad de listar cada herramienta concreta si se mantiene una lista de subencargados accesible.
Transferencias internacionales con identificación del mecanismo de garantía (Data Privacy Framework, Cláusulas Contractuales Tipo).
Plazos de conservación diferenciados por bloque (uso del servicio, facturación, marketing, logs de seguridad).
Derechos del interesado (acceso, rectificación, supresión, oposición, limitación, portabilidad) y vía concreta para ejercerlos: correo dedicado, formulario, panel del usuario.
Mención al derecho a reclamar ante la AEPD.
Versión y fecha de actualización.

Proveedores SaaS y contratos del art. 28 RGPD

Una startup convencional acumula entre quince y treinta proveedores SaaS antes incluso de tener cien usuarios reales: alojamiento en la nube, base de datos gestionada, autenticación, email transaccional, soporte, CRM, observabilidad, almacenamiento, IA, pagos. Cada proveedor que trata datos personales por cuenta de la startup es encargado del tratamiento y necesita contrato del art. 28 RGPD.

Aspectos críticos al contratar:

Versión DPA firmada y archivada como evidencia disponible (la mayoría de SaaS B2B proporcionan DPA estándar al darse de alta o en la sección legal del panel).
Verificación de transferencias internacionales: comprobar la adhesión al Data Privacy Framework para proveedores estadounidenses; si no aplica, Cláusulas Contractuales Tipo y, cuando sea relevante, medidas suplementarias.
Lista de subencargados del proveedor accesible y procedimiento de notificación de cambios.
Plazos y mecanismos de devolución o exportación de los datos al finalizar el servicio, antes de la destrucción.
Compromiso de notificación de brechas al responsable sin demora indebida.
Localización geográfica de los servidores y posibilidad de elegir región europea cuando esté disponible.

"La startup que ordena el RGPD desde el día uno no lo hace por miedo a la AEPD. Lo hace porque el primer enterprise pide un cuestionario de proveedor, el primer inversor pide due diligence, el primer auditor externo pide el RAT y el primer cliente serio pide un DPA firmado. Llegar con esa carpeta cerrada es producto, no carga."

Mario P. Talamillo · Socio director, Certix®

Evaluación de Impacto: cuándo entra en juego

El art. 35 RGPD obliga a realizar Evaluación de Impacto relativa a la Protección de Datos (EIPD) cuando un tratamiento pueda entrañar alto riesgo para los derechos y libertades de las personas. La AEPD ha publicado una lista no exhaustiva de tipos de tratamiento que activan la obligación, entre los que figuran:

Tratamientos a gran escala de datos de categoría especial (salud, ideología, orientación sexual).
Observación sistemática de actividad y comportamiento.
Decisiones automatizadas con efectos jurídicos significativos sobre las personas.
Combinaciones de fuentes y conjuntos de datos que permitan elaboración avanzada de perfiles.
Uso de tecnologías innovadoras cuando la valoración de riesgos no es todavía consolidada.
Tratamientos en menores de edad u otros colectivos en situación de vulnerabilidad a gran escala.

Una startup de SaaS B2B convencional que no incurre en ninguno de estos supuestos no necesita EIPD inicial, pero sí debe documentar el análisis que llevó a esa conclusión. Una startup que entrena modelos de IA sobre datos personales, ofrece scoring, gestiona salud, integra datos de menores o construye herramientas de identificación, casi con toda probabilidad sí. La EIPD bien hecha es la herramienta de diseño que evita rediseñar el producto cuando ya hay diez mil usuarios y un contrato firmado con un banco.

Ciclo de revisión continua

El producto de una startup cambia cada pocas semanas. La documentación RGPD que no se mantiene al día deja de ser evidencia válida en pocos meses. Un ciclo realista:

Trimestral: revisión ligera del RAT (¿hay tratamientos nuevos por funcionalidades lanzadas?), inventario de proveedores incorporados y comprobación de DPAs pendientes.
Anual: revisión completa de toda la documentación, contraste de versiones publicadas con el estado real del producto, refresco de la política de privacidad si hay cambios materiales.
Por evento: revisión obligatoria al lanzar una funcionalidad que afecta a datos personales, incorporar un proveedor crítico, iniciar una ronda con due diligence, entrar en un mercado nuevo, sufrir una brecha o modificar significativamente la base de usuarios.

No es una auditoría formal anual: es un ciclo continuo de evaluación basado en el riesgo y el cambio. Es exactamente lo que la AEPD valora como evidencia de responsabilidad proactiva del art. 5.2 RGPD.

Checklist mínimo de la startup en fase de lanzamiento

RAT con los tratamientos reales identificados.
Política de privacidad publicada en web y en producto, con versión y fecha.
Política de cookies con banner conforme a la LSSICE y a la guía AEPD.
DPAs firmados con todos los proveedores SaaS críticos.
Mapa de transferencias internacionales con verificación de Data Privacy Framework o Cláusulas Contractuales Tipo.
Política de seguridad operativa adaptada al tamaño.
Protocolo de brechas y plantilla de notificación a la AEPD.
Cláusula informativa para empleados y candidatos.
Evaluación inicial de EIPD con conclusión documentada.
Calendario de revisión trimestral, anual y por evento.

Preguntas frecuentes

¿Qué documentación mínima de RGPD necesita una startup para lanzar producto?

RAT del art. 30 RGPD, política de privacidad pública conforme a los arts. 13 y 14, DPAs firmados con los proveedores SaaS críticos, mapa de transferencias internacionales con Data Privacy Framework o CCT, política de cookies, protocolo de brechas, cláusulas para empleados y evaluación inicial de EIPD.

¿Hace falta hacer EIPD desde el principio en una startup tecnológica?

Depende del tratamiento, no del tamaño. El art. 35 RGPD la activa cuando hay alto riesgo: gran escala de datos sensibles, observación sistemática, decisiones automatizadas, perfilado avanzado, IA sobre datos personales, menores. Un SaaS B2B convencional sin esos elementos suele no necesitarla, pero conviene documentar la conclusión.

¿Cómo se gestionan las transferencias internacionales con proveedores estadounidenses?

Verificando la adhesión al Data Privacy Framework en la lista oficial del Departamento de Comercio de EE.UU. y conservando evidencia. Si el proveedor no está adherido, hacen falta las Cláusulas Contractuales Tipo de 2021 y, si aplica, medidas suplementarias técnicas. La verificación debe revisarse periódicamente.

¿Cada cuánto hay que revisar la documentación RGPD en una startup en crecimiento?

Revisión ligera trimestral del RAT y proveedores, revisión completa anual y revisión obligatoria por evento (funcionalidad nueva, proveedor crítico, ronda, brecha, entrada en mercado nuevo). El art. 5.2 RGPD exige poder demostrar que la documentación se mantiene viva.

Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. La normativa autonómica sectorial puede ampliar o modificar plazos y requisitos.

¿Quieres ordenar el RGPD de tu startup antes del próximo lanzamiento o ronda?

En Certix te asignamos un experto en cumplimiento del sector tecnológico. Sin intermediarios comerciales, sin plantillas genéricas.

Hablar con un experto