Soluciones a medida para empresas B2C
Quien vende a consumidores trata muchos datos personales: pedidos, cuentas, pagos, boletines. Las preguntas de clientes, autoridades y prensa llegan a menudo sin aviso. Sightadel ayuda a acreditar las obligaciones del RGPD, cumplir los plazos y mostrar abiertamente en el Trust Center cómo trata los datos.
Punto de partida
En el negocio con consumidores, la confianza decide la compra. Los clientes facilitan su dirección, sus datos de pago y a veces información muy personal. Esperan que la empresa la trate con cuidado, y tienen derechos que usan cada vez más: acceso, supresión, oposición a la publicidad.
Detrás de una tienda o una app suele haber toda una serie de proveedores. Alojamiento, proveedor de pagos, envío, boletín, analítica, atención al cliente. Cada uno trata datos por su cuenta y necesita un contrato y una evaluación. Un incidente en uno de esos proveedores es, jurídicamente, también su incidente.
Una violación de datos golpea especialmente a las empresas B2C. Además de la notificación a la autoridad, puede hacer falta informar a muchos clientes, y el tema llega rápido a los medios. Quien ha practicado antes quién decide qué y cómo se notifica no pierde tiempo en ese momento.
Por qué ahora
Para el acceso rige en principio un plazo de un mes. Sin un procedimiento fijo, cada solicitud se convierte en una búsqueda en varios sistemas.
Las violaciones sujetas a notificación se comunican a la autoridad, a ser posible, en 72 horas. Si el riesgo es alto, también hay que informar a los interesados.
Una nueva herramienta de boletines, un chat en atención al cliente, un servicio de IA. Cada uno necesita un contrato de encargo del tratamiento y una revisión de dónde están los datos.
Tras una reclamación, la autoridad de protección de datos pide documentación, por ejemplo el registro de actividades de tratamiento o la prueba de un consentimiento.
Proveedores de pago, marketplaces y grandes socios comerciales preguntan por medidas de seguridad y certificados antes de colaborar.
Con nuevos mercados llegan más proveedores, idiomas y a veces transferencias de datos a terceros países. La documentación debe crecer a la par.
Frameworks relevantes
Resumido con nuestras propias palabras, sin constituir asesoramiento jurídico. Prevalece el texto original en su versión vigente.
En el negocio con consumidores es el marco más importante. Incluye la información del art. 13 del RGPD, una base jurídica para cada tratamiento, contratos con encargados del tratamiento, plazos para los derechos de los interesados y la notificación de violaciones de datos. Para las cookies y técnicas similares rige además el § 25 de la TDDDG alemana.
Ver el framework →Da a las medidas técnicas y organizativas del art. 32 del RGPD una estructura auditada. Un certificado muestra a socios y clientes que un organismo independiente ha revisado las medidas.
Ver el framework →Los mercados en línea figuran en el anexo 2 de la BSIG como proveedores de servicios digitales, igual que, por ejemplo, los servicios postales y de mensajería. A partir de un tamaño mediano se aplican entonces el registro, la gestión de riesgos y las obligaciones de notificación. Una tienda en línea clásica no es un mercado en línea en el sentido de la ley.
Ver el framework →Si usa IA en el contacto con clientes, por ejemplo un chatbot, rigen obligaciones de transparencia: las personas deben poder reconocer que hablan con un sistema de IA. Las obligaciones dependen del rol y del uso.
Ver el framework →Orden recomendado
¿Qué datos recoge, dónde, para qué y con qué base jurídica? El registro de actividades de tratamiento es la base de todo lo demás.
Para cada proveedor que trata datos de clientes: contrato conforme al art. 28 del RGPD, ubicación de los datos, subencargados y una evaluación del riesgo.
¿Quién recibe las solicitudes de acceso y supresión y quién decide sobre una notificación a la autoridad? Los plazos y responsabilidades están fijados antes de que pase algo.
Los accesos, el cifrado, las copias de seguridad y las formaciones reciben evidencias con fecha. Con ISO 27001 como estructura, de ahí surge un sistema auditable.
En el Trust Center, clientes y socios ven qué medidas ha tomado y qué proveedores participan. La política de privacidad sigue siendo obligatoria; el Trust Center la complementa.
Enfoque
Los consumidores rara vez leen políticas. Pero notan si una empresa responde rápido y con claridad a sus preguntas.
Las solicitudes de acceso y supresión se registran con entrada, tramitación y respuesta. Las tareas con plazo se aseguran de que nada se quede parado.
¿Quién decide, quién notifica, quién informa a los clientes? Si el procedimiento está fijado y practicado de antemano, en las primeras horas queda tiempo para el asunto en sí.
Todos los encargados del tratamiento figuran en una lista con contrato, ubicación y riesgo. Los contratos que faltan y las evidencias caducadas se detectan.
El Trust Center muestra medidas, certificados y proveedores en una página propia. Socios, prensa y clientes interesados encuentran allí las respuestas.
Cómo ayuda Sightadel
Las obligaciones del RGPD están preparadas como preguntas guiadas, desde los principios hasta los derechos de los interesados y la obligación de notificar. Cada pregunta incluye explicación, respuesta y evidencia.
Más información →Alojamiento, pagos, envío, boletines y analítica figuran en una lista con país, contrato, subencargados y evidencias. De los datos tratados resulta la evaluación del riesgo.
Más información →Plantillas para el registro de tratamientos, la información sobre protección de datos, el concepto de supresión y las respuestas a solicitudes de los interesados. La IA ayuda a redactar; la valoración jurídica sigue siendo suya.
Más información →Las solicitudes abiertas, los contratos que faltan y las medidas tras una violación de datos se convierten en tareas con plazo y persona responsable.
Más información →Una página pública con medidas de seguridad, certificados, documentos aprobados y subencargados. El sello de Sightadel enlaza a su scorecard.
Más información →Sightadel comprueba cómo se ven desde fuera su tienda, su web y su servidor de correo, y muestra cada problema con instrucciones para resolverlo.
Más información →Esfuerzo y duración
Los rangos son valores de experiencia, no un compromiso. Lo que más influye es el número de proveedores, el número de países y cuántos sistemas contienen datos de clientes.
Qué licencia contrata · normalmente Professional
Una empresa B2C típica con tienda o app gestiona el RGPD en la edición Professional, porque detrás del negocio hay muchos proveedores. Incluye diez usuarios y 25 proveedores. Licencia para el RGPD: desde 200 € al mes. Si se añade ISO 27001, el RGPD tiene un descuento permanente. Con pocos proveedores suele bastar Basic.
Licencia por framework, duración mínima de un año, pago mensual o anual. Todos los precios, descuentos y una calculadora están en la página de precios. Los honorarios de un organismo de certificación o de auditoría se suman por separado.
Preguntas y respuestas
Más respuestas en las preguntas frecuentes o directamente a través de nuestro formulario de contacto.
En Alemania, según el § 38 de la ley federal alemana de protección de datos (BDSG), por regla general cuando al menos 20 personas se dedican de forma permanente al tratamiento automatizado de datos personales. Con independencia de esa cifra, la obligación puede existir, por ejemplo, cuando hace falta una evaluación de impacto. La clasificación de cada caso la aclara con su asesoría jurídica.
En principio, un mes desde la recepción. Con solicitudes complejas o numerosas, el plazo puede ampliarse dos meses más. La persona interesada debe ser informada de ello dentro del primer mes.
Las violaciones sujetas a notificación se comunican a la autoridad de control sin dilación indebida y, a ser posible, en un plazo de 72 horas. Si existe un riesgo alto para los interesados, también se les informa. Toda violación se documenta, aunque no se notifique.
No. La información del art. 13 del RGPD sigue siendo obligatoria. El Trust Center la complementa con medidas de seguridad, certificados y la lista de proveedores.
Una tienda que vende productos propios no suele ser un mercado en línea en el sentido de la BSIG. Si opera una plataforma en la que venden terceros, puede ser distinto. La clasificación la aclara con su asesoría.
Sightadel no ofrece banners de cookies. Usted registra qué técnicas usa, con qué base y con qué proveedor, y vincula la documentación como evidencia.
14 días, acceso completo, sin datos de pago. Todo lo que cree se conserva en el plan de pago.
