Protección de datos para empresas como una operación, no como un documento
RGPD · LOPDGDD · base revisada el 13 de octubre de 2026
RGPD para empresas que usan WhatsApp, CRM, formularios, automatizaciones e IA.
Convierte el RGPD en un sistema operativo: tratamientos, proveedores, solicitudes, incidentes, tareas y evidencias en un solo lugar.
Para quién es
Empresas que captan clientes con canales digitales
- Agencias, consultorías, inmobiliarias, academias y empresas de servicios que captan clientes por la web, WhatsApp y redes.
- Pequeños negocios digitales con CRM, newsletter, píxeles de publicidad, automatizaciones o funciones de IA.
- Empresas de riesgo bajo o medio que ya tienen algún documento, pero no una forma de mantenerlo al día.
Para quién no es
Casos que piden otra cosa primero
- Si tratas categorías especiales de datos de forma intensiva, datos de menores, perfiles con efectos significativos o datos a gran escala: tu caso pide una revisión profesional antes de cualquier herramienta.
- Si necesitas que alguien firme que cumples: ninguna herramienta lo hace y esta tampoco.
- Si buscas un generador de textos legales: aquí se organiza el trabajo, no se redactan políticas automáticas.
Documentos frente a operación
El problema no suele ser el documento, sino mantenerlo vivo
Muchas pymes tienen una política de privacidad y algún registro hecho hace años. Lo que falla es lo que pasa después: un formulario nuevo sin aviso, un CRM contratado sin revisar su contrato de encargo, una solicitud de supresión que nadie apunta, una herramienta de IA que trata datos fuera del EEE.
El cumplimiento del RGPD en una empresa pequeña es, sobre todo, una rutina: saber qué datos tratas, quién los trata por ti, qué se informa en cada canal, cómo respondes a tiempo y qué puedes demostrar. Para eso hace falta un sistema con responsables, fechas y evidencias, no otro PDF.
El mapa
De cada canal a su evidencia
Cada pieza de tu operación digital se puede seguir por la misma cadena. Si un eslabón falta, ahí está el trabajo.
- 01Canal o herramienta
Por dónde entran o circulan los datos: un formulario, WhatsApp, el CRM, un agente de IA.
- 02Tratamiento
Para qué se usan: atender consultas, vender, enviar la newsletter, seleccionar personal.
- 03Proveedor
Quién los trata por tu cuenta: el CRM, la plataforma de mensajería, el hosting.
- 04Control
Qué lo mantiene en orden: aviso por capas, contrato de encargo, accesos revisados, plazo de conservación.
- 05Evidencia
Qué te permite demostrarlo: el contrato localizado, la captura del aviso, el registro con fecha.
Ejemplo: WhatsApp → atención de consultas → la plataforma de mensajería y, si la hay, la automatización conectada → aviso por capas en el primer mensaje y contrato de encargo localizado → captura del aviso y referencia del contrato con su fecha de revisión.
RGPD Ops Starter
Los módulos del espacio de trabajo
Una herramienta operativa para registrar, revisar y demostrar. Sin uploads ni datos de titulares: solo lo que tu empresa necesita organizar.
- 01
Panel
Progreso, madurez por área, tareas vencidas y próximas, última revisión y alertas que piden revisión profesional.
- 02
Perfil y alcance
Tu papel (responsable, encargado o ambos), canales, personas y categorías de datos, y señales de mayor riesgo.
- 03
Mapa de tratamientos
Inventario de actividades con finalidad, datos, destinatarios, transferencias, conservación y medidas. Exporta un borrador de RAT.
- 04
Proveedores y encargados
CRM, WhatsApp, email, analítica, anuncios, hosting, automatizaciones e IA: papel, ubicación, contrato y próxima revisión.
- 05
Puntos de captación
Formularios, landings, WhatsApp, cookies, newsletter y píxeles: estado del aviso, información por capas y consentimiento.
- 06
Solicitudes de derechos
Registro por referencia interna con plazo orientativo de un mes, prórroga y fecha de respuesta. Sin datos de la persona.
- 07
Incidentes y brechas
Registro con reloj orientativo de 72 horas, valoración interna, medidas y decisión de escalar, que es siempre tuya.
- 08
Plan de acción y evidencias
Tareas con responsable por rol, prioridad y vencimiento; catálogo de evidencias por referencia; historial y revisión trimestral.
- 09
Exportaciones
CSV por módulo, copia de seguridad JSON versionada y vista imprimible del borrador de RAT.
Tres opciones que se complementan
Herramienta gratuita, RGPD Ops o revisión profesional
No compiten entre sí. Las herramientas de la AEPD son el punto de partida; RGPD Ops organiza la ejecución continua; la revisión profesional aporta el criterio jurídico que tu caso necesite.
| Criterio | Herramientas de la AEPD | RGPD Ops Starter | Revisión profesional |
|---|---|---|---|
| Para qué sirve | Punto de partida oficial: orientar, documentar el registro y analizar riesgos o brechas. | Mantener la operación al día: responsables, plazos, proveedores, revisiones y evidencias. | Analizar tu caso, sus riesgos y lo que necesita desde el punto de vista jurídico. |
| Dónde vive la información | En tu navegador o en un archivo de tu ordenador. | En tu espacio privado en el servidor: entras desde cualquier dispositivo y exportas cuando quieras. | En la documentación que te entregue el profesional. |
| Plazos y tareas | No es su objetivo. | Plazo orientativo de solicitudes, reloj de 72 horas en incidentes, tareas con vencimiento y revisión trimestral. | Según el encargo. |
| Criterio jurídico | Orientación general de la autoridad. | Ninguno: es una herramienta operativa y lo dice en cada módulo. | Sí: es su función. |
| Coste | Gratuito. | 149 € + IVA, pago único, 12 meses. | Presupuesto según el caso. |
- Facilita RGPD: Para tratamientos de escaso riesgo: ayuda a preparar el registro de actividades, cláusulas informativas, cláusulas para encargados y medidas de seguridad.
- Gestiona RGPD: Registro de actividades, análisis y gestión del riesgo y apoyo a evaluaciones de impacto. Funciona en tu navegador y se guarda en un archivo de tu ordenador.
- Evalúa-Riesgo RGPD v2: Ayuda a analizar si un tratamiento necesita evaluación de impacto.
- Asesora Brecha y Comunica-Brecha RGPD: Apoyo para decidir si una brecha se notifica a la autoridad y si se comunica a las personas afectadas.
Cómo funciona
Tres pasos
- 01
Diagnóstico gratuito
Once preguntas, menos de tres minutos. Ves tu nivel de madurez por área sin dar el email, y si hay señales de mayor riesgo te lo decimos.
- 02
Espacio de trabajo
Si te encaja, compras RGPD Ops Starter y recibes un enlace de acceso. Empiezas por el perfil y las tareas iniciales.
- 03
Revisión trimestral
Cada trimestre repasas una lista de comprobación guiada y exportas lo que necesites. Si tu caso lo pide, revisión especializada o implantación técnica.
Fuentes
Base normativa y fecha de revisión
Las afirmaciones de esta página y del producto salen de fuentes oficiales, revisadas el 13 de octubre de 2026. El RGPD es aplicable desde el 25 de mayo de 2018 y la LOPDGDD está en vigor desde el 7 de diciembre de 2018.
- Reglamento (UE) 2016/679 (RGPD), texto publicado en el BOE · Artículos 2, 4, 9.1, 12.3, 22.1, 28.3, 30.1, 30.5, 33.1, 33.5, 34.1, 35.1, 35.3, 37.1 y 99.2 leídos en esta revisión.
- Reglamento (UE) 2016/679 en EUR-Lex · Referencia canónica. El articulado se contrastó en la versión del BOE.
- Ley Orgánica 3/2018 (LOPDGDD), texto consolidado · Artículos 11, 28.2, 31.1 y 34.1 leídos en esta revisión. Última actualización publicada: 27/12/2025.
- AEPD · Directrices de aplicación para PYMES
- AEPD · ¿Qué es el registro de actividades de tratamiento?
- AEPD · ¿Cuál es el plazo para responder cuando se ejercitan estos derechos?
- AEPD · Brechas de datos personales: notificación
- AEPD · Guías y herramientas: herramientas
- AEPD · Gestiona RGPD
- AEPD · Listado de cumplimiento normativo del RGPD (PDF) · El documento no indica fecha ni versión.
Preguntas frecuentes
Protección de datos en una pyme
¿A qué empresas se aplica el RGPD?
El RGPD se aplica a cualquier empresa que trate datos de personas físicas identificadas o identificables: clientes, contactos, empleados o usuarios de su web. En España se complementa con la LOPDGDD (BOE-A-2018-16673).
¿Necesito un registro de actividades de tratamiento si somos menos de 250 personas?
La excepción del registro para organizaciones de menos de 250 personas no se aplica si el tratamiento puede entrañar un riesgo, no es ocasional o incluye categorías especiales de datos o datos penales. Gestionar clientes o una plantilla de forma continuada no suele ser ocasional: valora tu caso con quien te asesore.
Uso WhatsApp, un CRM y herramientas de IA. ¿Qué cambia?
Cada canal es un punto de captación en el que hay que informar; cada herramienta que trata datos por tu cuenta es un proveedor con su contrato de encargo y su ubicación; y cada uso nuevo de los datos puede ser un tratamiento nuevo en tu mapa. Si la IA puntúa o decide sobre personas, conviene una revisión profesional.
¿Cuánto tiempo hay para responder a una solicitud de acceso o supresión?
Hay que responder a una solicitud de derechos en el plazo de un mes desde su recepción. Si es necesario, por su complejidad o por el número de solicitudes, puede prorrogarse otros dos meses, informando a la persona dentro del primer mes y explicando el motivo.
¿Qué hago si se pierde o se expone información personal?
Si una brecha de datos puede suponer un riesgo para las personas, se notifica a la autoridad de control sin dilación indebida y, si es posible, en un máximo de 72 horas desde que se tiene constancia de ella. Si el riesgo es alto, también se comunica a los afectados. La decisión depende de cada caso. Toda brecha se documenta, también las que no se notifican: hechos, efectos y medidas correctivas. La AEPD ofrece las herramientas Asesora Brecha y Comunica-Brecha RGPD para ayudar a decidir.
¿En qué se diferencia RGPD Ops de las herramientas gratuitas de la AEPD?
Las herramientas de la AEPD son el punto de partida oficial y conviene usarlas. RGPD Ops se ocupa de lo que viene después: mantener al día tratamientos, proveedores, avisos, solicitudes, incidentes, tareas y evidencias, con fechas, en un espacio que se guarda en el servidor.
¿Sustituye a un abogado o a un delegado de protección de datos?
No. Es una herramienta operativa y un diagnóstico orientativo. No constituye asesoramiento jurídico, no certifica el cumplimiento y, cuando detecta señales de mayor riesgo, recomienda una revisión profesional.
Empieza por el diagnóstico
Mira dónde está tu operación antes de decidir nada
Gratuito, sin email para ver el resultado. Te dice qué falta por área y si tu caso pide una revisión profesional.
Hacer el diagnósticoVer RGPD Ops Starter · Solicitar revisión especializada o implantación técnica
Herramienta operativa y diagnóstico orientativo. No constituye asesoramiento jurídico, no certifica el cumplimiento y requiere validación según el caso.