RGPD para startups en Chipre: lista práctica para la sociedad

Comience por los flujos de datos reales de la sociedad

Enumere las actividades que involucran personas identificables: consultas, cuentas de clientes, facturación, contratación, nóminas, asistencia, mercadotecnia y medición del sitio web. Incluya información sobre contactos empresariales aunque los clientes sean sociedades. Un correo nominal de un empleado o el historial de asistencia de un usuario identificable pueden ser datos personales. Vender a otras empresas no elimina la necesidad de examinar las personas presentes en los registros.

Siga una operación de muestra desde la recogida hasta el borrado. En una consulta, identifique formulario web, entrega por correo, CRM, acceso del asesor y archivo final. Para nóminas, identifique expedientes del empleado, proveedor de nóminas, proceso de pago y registros obligatorios. Incluya hojas de cálculo y unidades compartidas ajenas al sistema principal. Este mapa práctico suele revelar copias y permisos que una política genérica pasaría por alto.

Utilice la guía del EDPB para pequeñas empresas como punto de partida oficial. El marco jurídico es el Reglamento General de Protección de Datos. Este artículo organiza un ejercicio de implementación para fundadores; no certifica el cumplimiento ni sustituye un análisis del tratamiento, sector y acuerdos transfronterizos específicos de la sociedad.

Identifique responsable y encargado en cada actividad

Una sociedad que decide por qué y cómo se tratan datos personales actúa como responsable de ese tratamiento. Un proveedor que trata datos por cuenta de otra organización siguiendo instrucciones puede actuar como encargado. La guía del EDPB sobre funciones explica estas distinciones, incluidos corresponsables y subencargados. Aplíquelas a los hechos en vez de elegir una etiqueta porque figure en una plantilla contractual.

Una startup de software puede ser responsable de los datos de su personal y contactos de facturación mientras trata parte de la información cargada por clientes por cuenta de esos clientes. La respuesta puede variar según las funciones del producto. Si decide reutilizar datos del cliente para una finalidad independiente, esa decisión necesita evaluación propia. No suponga que una sola etiqueta aplicada a la sociedad resuelve todos los flujos del producto.

Documente el razonamiento y responsabilidades asociadas. Si trata datos por cuenta de un cliente, examine instrucciones, obligaciones de ayuda, subencargados y compromisos de seguridad. Si la sociedad es responsable, debe poder explicar finalidades, bases jurídicas e información pertinente. La guía para sociedades de software y SaaS cubre la estructura comercial general; el análisis de funciones en datos sigue siendo específico del servicio y su operación.

Elija bases jurídicas y recoja solo lo necesario

Para cada finalidad, evalúe la base jurídica adecuada del artículo 6. Necesidad contractual, obligaciones legales, intereses legítimos y consentimiento son bases distintas con requisitos propios. No pida «consentimiento al RGPD» como sustituto de identificar finalidad y fundamento. El consentimiento no es una solución universal para expedientes laborales, contabilidad obligatoria o toda acción necesaria para prestar un servicio.

Cuando considere el interés legítimo, evalúe y documente finalidad, necesidad y equilibrio frente a los derechos e intereses de las personas. Si utiliza consentimiento, diseñe una elección auténtica y un proceso funcional de retirada. Las categorías especiales y los datos de infracciones penales requieren análisis adicional más allá de seleccionar una base del artículo 6. Evite recoger información sensible solo porque una plantilla contiene un campo cómodo.

Compare cada campo del formulario con la finalidad declarada. Si para una consulta inicial basta nombre y correo, pregunte si realmente es necesario escanear un pasaporte en esa fase. La posterior incorporación regulada puede imponer otras obligaciones y un procedimiento seguro separado. La guía de origen de fondos y KYC trata la preparación de pruebas; no justifica pedir todos los documentos posibles a cada visitante de la web.

Redacte avisos que reflejen lo que hace la empresa

Los artículos 13 y 14 del RGPD establecen requisitos informativos; los detalles aplicables dependen de cómo se obtuvieron los datos. Prepare los avisos a partir del inventario en lugar de copiar el sitio de otra empresa. Identifique sociedad correcta, finalidades, bases, destinatarios, transferencias relevantes, conservación y derechos, junto con el resto de detalles exigidos. Ofrezca la información de forma accesible en la fase de recogida adecuada.

Distintos públicos pueden necesitar explicaciones diferentes. Un aviso para consultas de clientes, otro para empleados y otro para usuarios del producto pueden seguir un enfoque coherente mientras describen actividades distintas. No prometa que nunca se comparten datos si los reciben proveedores de alojamiento, nóminas o asistencia. No prometa borrar inmediatamente todos los registros cuando una obligación legal de conservación exija guardar cierta información.

Trate cookies y tecnologías semejantes como otra revisión factual y jurídica junto al RGPD. Inventaríe lo que el sitio carga realmente y examine las reglas de comunicaciones electrónicas y requisitos de consentimiento aplicables. Un aviso que dice «valoramos su privacidad» no demuestra que los scripts obedezcan la elección del usuario. Pruebe recogida y retirada, mantenga el texto exacto y elimine herramientas innecesarias.

Formalice contratos con proveedores y transferencias

El artículo 28 exige para los encargados un acuerdo vinculante apropiado que cubra materias determinadas. Examine las condiciones reales del proveedor, instrucciones de tratamiento, confidencialidad, seguridad, asistencia, supresión o devolución y subencargados. Una afirmación publicitaria de cumplimiento no equivale a un contrato adecuado a su uso. Guarde las condiciones aceptadas y fecha de versión en vez de depender de una página web que puede cambiar.

Identifique dónde se tratan y consultan los datos, incluidos asistencia y subencargados. Una dirección de facturación o etiqueta «alojamiento en la UE» no describe necesariamente todas las vías de acceso. Si hay transferencias fuera del EEE, evalúe el mecanismo aplicable del capítulo V y cualquier evaluación o garantía adicional necesaria. No suponga que una cláusula comercial ordinaria de confidencialidad resuelve por sí sola la transferencia internacional.

Establezca una revisión de proveedores proporcionada a la actividad. Un proveedor con expedientes muy sensibles de clientes requiere atención diferente de una herramienta que recibe pocos contactos empresariales. Registre decisión, protecciones contractuales y condiciones pendientes. Si cambia un proveedor o añade una integración, revise el mapa antes de habilitar el acceso de producción. Es un control práctico de compras, no un ejercicio que se completa solo cuando pregunta un cliente.

Implante seguridad, conservación y controles de acceso

El artículo 32 exige seguridad apropiada al riesgo. Traduzca la obligación en controles reales del equipo: cuentas nominativas, permisos adecuados, autenticación robusta, dispositivos administrados, actualizaciones, copias de seguridad y compartición segura. Las medidas adecuadas dependen de datos y tratamiento. Una política que proclama el cifrado no ayuda si el personal envía rutinariamente archivos sin proteger a cuentas personales fuera del proceso aprobado.

Pruebe la retirada de accesos al salir empleados y contratistas. Identifique responsables de sistemas y medios de recuperación para que la marcha de un administrador no impida gestionar los registros. Limite el acceso a producción a quienes lo necesiten y revise funciones privilegiadas. Conserve trazas apropiadas de cambios importantes sin recoger indiscriminadamente datos personales adicionales solo porque una herramienta pueda registrarlos.

Defina reglas de conservación por categoría y finalidad, teniendo en cuenta obligaciones legales pertinentes. Determine qué ocurre al terminar el periodo y cómo funciona la eliminación o archivo restringido de copias y respaldos. Evite un periodo único para todos los documentos. Nóminas, consultas no prosperadas, cuentas y registros de seguridad pueden tener finalidades y requisitos diferentes. Coordine los expedientes laborales con la guía de registros de nóminas y asesoramiento sobre plazos obligatorios.

Prepárese para solicitudes de acceso, rectificación y supresión

Asigne un canal de contacto y enseñe al equipo a reconocer una solicitud de derechos aunque no emplee términos jurídicos. Registre cuándo llegó, qué pide y qué sistemas pueden contener información pertinente. Verifique identidad de forma proporcionada; pedir documentos excesivos a toda consulta sencilla puede crear otro problema de protección de datos. Escale la ambigüedad en lugar de dejar el mensaje sin respuesta en un buzón general.

Según el artículo 12, responda sin dilación indebida y normalmente en un mes; cabe una prórroga de dos meses más si concurren las condiciones indicadas, informando a la persona dentro del primer mes de la ampliación y sus motivos. No convierta esta regla en un plazo universal de 30 días ni suponga que toda solicitud difícil permite demora. Evalúe derechos, excepciones y circunstancias reales, y guarde una decisión razonada.

La supresión no es siempre incondicional. Puede ser necesario conservar cierta información por obligación legal u otra excepción aplicable mientras se detienen usos ajenos. Explique la decisión con precisión. Si un cliente pide borrar su cuenta, compruebe los servicios conectados y encargados en vez de ocultarla en la interfaz. Mantenga pruebas suficientes de la respuesta sin conservar copias innecesarias de todo lo eliminado.

Prepare la respuesta a brechas antes del primer incidente

Una brecha de datos personales puede afectar confidencialidad, integridad o disponibilidad; no se limita a una base de datos expuesta públicamente. Un adjunto enviado a otra persona, un dispositivo perdido o registros inaccesibles pueden necesitar evaluación. La guía del EDPB sobre brechas explica las obligaciones de aviso del responsable y el deber del encargado de informar sin dilación indebida. Establezca un canal interno operativo fuera del horario normal del fundador.

El artículo 33 exige notificar a la autoridad supervisora pertinente sin dilación indebida y, cuando sea posible, en 72 horas desde el conocimiento, salvo que la brecha sea improbable que cree riesgo para los derechos y libertades de las personas. Si se notifica tarde, deben explicarse los motivos. El artículo 34 regula por separado la comunicación a las personas afectadas cuando existe riesgo elevado, sujeto a sus condiciones y excepciones. No todos los incidentes técnicos conducen al mismo resultado de notificación.

Documente hechos, momento de conocimiento, datos afectados, posibles consecuencias, medidas de contención y evaluación de avisos. No espere un informe forense perfecto antes de considerar una obligación urgente. Conserve pruebas útiles y coordine respuestas técnica, jurídica y directiva. El registro debe recoger también el razonamiento cuando no se exige avisar. Pruebe el proceso con un ejercicio realista para que el primer incidente verdadero no sea la primera búsqueda de contactos.

Evalúe registros, delegado y tratamientos de riesgo elevado

Un equipo pequeño no crea una exención general del RGPD. La excepción de registros del artículo 30 para organizaciones con menos de 250 trabajadores tiene condiciones importantes, incluidas las relativas a tratamientos no ocasionales, riesgo y determinadas categorías de datos. No descarte el tratamiento habitual de clientes o personal solo porque la empresa sea startup. Mantenga un inventario útil y evalúe los requisitos legales concretos de documentación.

Un delegado de protección de datos no es obligatorio automáticamente para toda sociedad chipriota. El artículo 37 prevé situaciones como determinados tratamientos de organismos públicos y actividades principales de observación a gran escala o tratamiento a gran escala de datos sensibles especificados. Examine actividades reales, independencia y conflictos de interés. Nombrar «DPD» al fundador sin valorar función y conflictos no sustituye el análisis.

Cuando un tratamiento probablemente genere riesgo elevado, examine antes de implantarlo si se necesita una evaluación de impacto conforme al artículo 35. La vigilancia extensa, información sensible o tratamientos novedosos con efectos importantes para personas pueden requerir evaluación cuidadosa. No suponga que una lista corriente de riesgos equivale automáticamente a una EIPD completa. Busque asesoramiento cualificado y considere guías y listas de la autoridad competente.

Realice una revisión práctica de implantación

Imagine una startup con formulario de consultas, producto alojado, dos empleados y un contable externo. Su primera revisión traza cada flujo y separa el tratamiento dentro del producto de los datos propios de personal y ventas. Después ajusta avisos, contratos y permisos a esos flujos. Es un ejercicio de planificación ilustrativo, no una conclusión de que todas las empresas con ese perfil tienen idénticas obligaciones.

• Designe responsable del inventario de datos y de las cuestiones pendientes.
• Compruebe finalidades, bases jurídicas, campos necesarios y avisos para cada público.
• Revise encargados, transferencias, funciones de acceso y ajustes reales de seguridad.
• Establezca procesos de conservación y solicitudes de derechos que el personal pueda cumplir.
• Prepare el escalamiento de incidentes y evalúe requisitos de DPD, registros y EIPD.
• Guarde las decisiones y revise cambios antes de añadir nuevos tratamientos.

Incluya estas responsabilidades en la entrega tras la constitución, con personas encargadas y siguientes acciones. Revise la privacidad cuando contrate, cambie de proveedores o lance una función, no solo al actualizar la web. El resultado útil es un proceso operativo acorde al negocio, respaldado por documentos exactos y una vía clara de consulta especializada cuando los hechos lo requieran.