El cumplimiento de protección de datos de un software o una app empieza por saber qué información utiliza el producto y quién decide sobre ella. Una startup no trata automáticamente datos a gran escala por ser tecnológica. Sin embargo, puede tener obligaciones sectoriales desde el inicio, incluso con pocos usuarios.
Revise DPD y gran escala por separado
El artículo 10.13 de la Resolución SPDP-SPD-2025-0028-R incluye en designación obligatoria de DPD a personas jurídicas privadas que ofrecen o prestan tecnologías de la información, entre las actividades allí descritas. No espere a crecer para comprobar si su operación está comprendida.
La escala requiere otro análisis. La Resolución 2026-0005-R establece calificaciones directas y un Modelo Técnico de Gran Escala cuando corresponde. Geolocalización, monitoreo sistemático o ciertas categorías de datos pueden activar obligaciones específicas. No basta contar descargas o afirmar que todas las apps tienen idéntico riesgo.
¿Responsable o encargado? Depende de la operación
En un servicio de software por suscripción —SaaS—, el proveedor puede procesar datos de los clientes de otra empresa siguiendo sus instrucciones y actuar como encargado. Para gestionar sus propias cuentas, facturación o campañas, puede actuar como responsable. El producto debe distinguir esos flujos.
Lo mismo ocurre con nube, pagos y analítica. No todos los terceros son encargados. Revise si deciden finalidades propias antes de aplicar un contrato escrito de encargo o regular otra relación.
Utilizar una nube extranjera no es automáticamente una transferencia internacional. El artículo 23 de la Resolución 2026-0004-R distingue encargo y transferencia. Mantenga contrato, instrucciones y garantías del encargado; si un destinatario usa datos como responsable independiente, analice el régimen de transferencias aplicable.
Lista de revisión antes del lanzamiento
- Cuentas y formularios: limite campos a finalidades necesarias y presente información comprensible.
- Permisos: justifique cámara, ubicación, contactos y otros accesos; no active opciones innecesarias por defecto.
- Herramientas integradas: identifique SDK —componentes de terceros incorporados al producto—, analítica y rastreadores, con datos y roles.
- Documentación: determine bases, proveedores, conservación y RAT. El uso habitual de datos de usuarios suele activar el supuesto de tratamiento no ocasional del Reglamento General.
- Derechos: pruebe solicitudes, exportación cuando proceda, rectificación y eliminación, incluyendo sistemas del proveedor.
- Seguridad: limite accesos, registre acciones relevantes y compruebe recuperación y eliminación.
Por ejemplo, una app de entregas que registra ubicación necesita justificar cuándo la consulta y por cuánto tiempo. Guardar trayectos completos permanentemente requiere un análisis distinto de mostrar una dirección para completar un envío.
Prepare el protocolo de incidentes
Los artículos 43 y 46 de la LOPDP fijan deberes para encargado, responsable y comunicación al titular según el riesgo. No importe un plazo europeo de 72 horas. Registre cuándo se conoce el evento, su alcance y la decisión de notificación.
La norma técnica 2026-0040-R establece el uso del SISPDP para notificar a la SPDP, con otros canales oficiales únicamente en el supuesto excepcional de indisponibilidad previsto. El contrato debe permitir al encargado avisar oportunamente al responsable.
La documentación también puede ser útil en una revisión de inversión, sin afirmar que todos los fondos la exigen. TempoLegal recomienda conectar el producto con la clasificación de proveedores y la atención de derechos para verificar lo que realmente funciona.
Contenido revisado al 12 de octubre de 2026.