Protección de datos nunha app: o que o RXPD pide ao deseñala

Se a túa aplicación trata datos de persoas (clientes, pacientes, alumnos, empregados), o Regulamento xeral de protección de datos afecta á túa app desde o deseño, non só cando redactas a política de privacidade. Esta guía resume o que convén ter en conta ao encargar unha app. Non substitúe o asesoramento legal: a responsabilidade do tratamento é da túa empresa e convén revisalo co teu asesor.

Os principios que máis afectan ao deseño

• Minimización: pide só os datos que necesitas para a finalidade. Cada campo de máis é un risco de máis.
• Finalidade: os datos úsanse para o que dixeches ao recollelos, non para outra cousa sen unha base legal.
• Conservación limitada: decide canto tempo gardas cada dato e fai que a app o borre ou o anonimice despois.
• Seguridade: medidas técnicas e organizativas axeitadas ao risco dos datos.
• Privacidade desde o deseño e por defecto: as opcións máis protectoras activadas sen que o usuario teña que buscalas.

Que decidir antes de construír

• Que datos recolles e con que base legal: contrato, consentimento, obriga legal ou interese lexítimo.
• Se tratas datos especialmente protexidos, como os de saúde, que esixen máis coidado e, a miúdo, unha avaliación de impacto.
• Que provedores interveñen (aloxamento, correo, pagamentos, IA) e onde están: cada un necesita un contrato de encargado do tratamento.
• Como atenderás os dereitos dos usuarios: acceso, rectificación, supresión, portabilidade ou oposición.

Medidas técnicas que convén pedir

• Acceso por roles: cada persoa ve só o que necesita para o seu traballo.
• Rexistro de accesos aos datos sensibles, para saber quen consultou que e cando.
• Cifrado en tránsito sempre, e en repouso para os datos delicados.
• Aloxamento na Unión Europea, ou garantías axeitadas se algún provedor está fóra.
• Exportación e borrado dos datos dunha persoa desde o panel, para atender os seus dereitos sen depender dun técnico.
• Copias de seguridade cifradas e cun prazo de conservación definido.

Erros frecuentes

• Gardar datos «por se acaso» e non borralos nunca.
• Usar ferramentas de terceiros (analítica, chat, formularios) sen revisar que datos reciben e sen o consentimento necesario.
• Compartir unha mesma conta de administración entre varias persoas.
• Deixar os datos reais en contornos de probas sen protección.

Nos nosos proxectos deseñamos con acceso por roles, rexistro de accesos e aloxamento na UE, e axudámosche a documentar as medidas técnicas para que o teu asesor poida completar a análise legal.

Como desenvolvemos a túa aplicación