Protección de datos
para startups

Sí. El RGPD no tiene umbrales mínimos de facturación, número de empleados ni antigüedad. En el momento en que una startup recoge datos de usuarios, leads o empleados, pasa a ser responsable del tratamiento con todas las obligaciones que ello implica: informar, documentar y proteger. Empezar a construir sobre bases sólidas desde el inicio es más eficiente que remediar después.

El privacy by design (art. 25 RGPD) es la obligación de incorporar la protección de datos en el diseño del producto desde el principio, no como añadido posterior. Implica recoger solo los datos necesarios, usar los mínimos permisos posibles, permitir a los usuarios controlar sus datos y configurar las opciones más restrictivas por defecto. En una startup, incorporar estos principios desde el MVP evita costosas revisiones de arquitectura en fases posteriores.

Sí. Las listas de espera recopilan emails de personas interesadas. Aunque aún no haya producto, la startup ya está tratando datos personales y debe informar a los inscritos de cómo se usarán sus datos, con qué finalidad se conservan y cuánto tiempo. El envío posterior de comunicaciones a esa lista también requiere base jurídica válida (habitualmente el consentimiento dado al apuntarse).

Solo de forma anonimizada o agregada. Durante el proceso de due diligence, los inversores pueden necesitar acceder a métricas de usuarios, pero no deben acceder a datos personales identificables sin una base jurídica adecuada y sin informar a los usuarios. Los acuerdos de NDA durante el due diligence deben incluir cláusulas específicas de protección de datos.

Sí, con todos los proveedores que traten datos personales de los usuarios o empleados de la startup en su nombre: email marketing, CRM, herramientas de analytics, plataformas de soporte, cloud hosting, etc. La mayoría de los grandes proveedores (Google, AWS, HubSpot, etc.) tienen sus propios DPA que se aceptan online, pero la startup debe asegurarse de haberlos formalizado. El uso de proveedores estadounidenses puede implicar transferencias internacionales de datos; la legalidad de estas transferencias se ampara habitualmente en la adhesión del proveedor al Data Privacy Framework (DPF) UE-EE.UU. o en las garantías adecuadas del art. 46 RGPD.

La EIPD es obligatoria cuando el tratamiento puede suponer un alto riesgo para los derechos y libertades de las personas (art. 35 RGPD). Los supuestos más comunes en startups son: perfilado a gran escala, tratamiento de datos de categoría especial (salud, biometría), monitorización sistemática de personas o tratamiento de datos de menores. Una startup de healthtech, fintech o adtech debe valorar si su modelo de datos requiere una EIPD.