Protección de datos para
empresas tecnológicas

Depende del modelo de negocio y del tratamiento concreto. Cuando el SaaS procesa datos de los clientes de su cliente exclusivamente por instrucción de este, puede actuar como encargado del tratamiento (art. 28 RGPD). Cuando recoge y usa datos para sus propios fines (analítica de uso, mejora del producto), actúa como responsable. Muchas empresas tecnológicas son ambas cosas según el tratamiento, y algunas relaciones pueden configurarse como corresponsabilidad. La naturaleza jurídica exacta debe analizarse en cada caso.

Los subprocesadores son proveedores a los que el encargado del tratamiento subcontrata parte del procesamiento de datos de sus clientes. Por ejemplo, una empresa SaaS que usa AWS o Google Cloud para alojar datos de sus clientes debe notificar a sus clientes estos subprocesadores y tener un DPA con cada uno. La lista de subprocesadores debe ser pública o accesible para los clientes y mantenerse actualizada.

Las transferencias internacionales de datos a EEUU requieren garantías adecuadas. Desde julio 2023 existe el Marco de Privacidad de Datos UE-EEUU (Data Privacy Framework), pero su aplicabilidad depende de si la empresa destinataria está certificada. Para las no certificadas, las Cláusulas Contractuales Estándar (SCCs) de la Comisión Europea son una de las vías previstas. En cualquier caso, cada transferencia debe analizarse individualmente con asesoramiento especializado.

El art. 25 del RGPD establece el principio de privacidad desde el diseño (privacy by design) y privacidad por defecto (privacy by default), que aplica a quienes desarrollan productos o servicios digitales. En la práctica, supone integrar la protección de datos en las decisiones técnicas desde el inicio y configurar los productos con opciones restrictivas por defecto. La AEPD ha publicado guías específicas sobre cómo aplicar este principio que conviene consultar.

Sí. Si la empresa actúa como encargada del tratamiento y sufre una brecha de seguridad que afecta a datos de sus clientes, debe notificarlo al responsable del tratamiento (el cliente) sin dilación indebida y, según el DPA, en el plazo acordado (habitualmente 24-72 horas). El responsable es quien debe notificar a la AEPD en 72 horas si procede.

Sí. Las cookies utilizadas para analizar el comportamiento de los usuarios dentro de la plataforma (session recording, heatmaps, funnel analytics) con herramientas como Hotjar, FullStory o Mixpanel requieren el consentimiento previo del usuario. Aunque el propósito sea mejorar el producto, el tratamiento de datos de navegación con estas herramientas no es técnicamente necesario para prestar el servicio.