Un sitio web corporativo simple con solo un formulario de contacto suele estar listo en un día: una declaración de privacidad, un banner de cookies y una breve comprobación del proveedor de alojamiento. Una tienda online con un proveedor de pagos, herramienta de envíos, sistema de boletín y píxeles publicitarios fácilmente requiere de dos a cuatro semanas, especialmente porque para cada herramienta debe verificarse si es necesario un contrato de encargo de tratamiento y si ya existe.
El factor retardador más importante rara vez es la redacción de la declaración de privacidad en sí. Eso puede hacerse en una hora. El tiempo se consume en identificar qué herramientas funcionan en segundo plano, quién gestiona el contrato de encargo de tratamiento de cada una, y esperar a que un proveedor responda una pregunta al respecto.
Dónde se invierte realmente el tiempo
Para un sitio web nuevo, comienza con un inventario: qué servicios de terceros tratan datos de visitantes o clientes. Piense en el proveedor de alojamiento, una herramienta de análisis, un widget de chat, un proveedor de pagos, un socio de envíos y posiblemente una red publicitaria. Para cada una de esas partes se plantea la pregunta de si se ha celebrado un contrato de encargo de tratamiento y si se ajusta a lo que la herramienta realmente hace.
A continuación viene el inventario de cookies: qué cookies se establecen, quién las establece, y si se requiere consentimiento para ello. Solo cuando esa imagen está completa, la declaración de privacidad puede ser correcta en contenido y el banner de cookies puede mostrar las categorías correctas. Quien se salta estos pasos y redacta la declaración de privacidad primero, a menudo debe modificarla después. En la base de conocimientos por tema para cada herramienta de uso frecuente aparece la respuesta breve a la pregunta de si es necesario un contrato de encargo de tratamiento, con la ubicación en el texto de la Reglamentación.
Qué extiende el plazo en la práctica
El mayor retraso suele no estar en usted mismo, sino en el proveedor. Los grandes proveedores de SaaS conocidos suelen tener un acuerdo de procesamiento listo para descargar o aceptar digitalmente. Con proveedores más pequeños o especializados, a veces debe pedirlo activamente, y pueden pasar días o semanas antes de recibir respuesta.
Un segundo retraso surge cuando el departamento de marketing, IT y el propietario de la empresa no se sientan a la mesa al mismo tiempo. El departamento de marketing elige una nueva herramienta, IT no sabe que se ha añadido, y nadie comprueba si viene con un acuerdo de procesamiento. Para cuando se descubre, la herramienta suele llevar meses en funcionamiento.
Un tercer factor es la incertidumbre sobre la distribución de funciones: ¿es un tercero un encargado del tratamiento, se trata de responsabilidad compartida, o el tercero trata los datos para sus propios fines? Esa pregunta no siempre se puede responder en cinco minutos, y en caso de duda es recomendable preguntarle al proveedor cómo ve su función, o consultar la cuestión a un abogado.
Lo que usted puede acelerar
La ruta más rápida es hacer el trabajo en el orden correcto: primero identificar las herramientas, luego solicitar o verificar los acuerdos de procesamiento, y solo después adaptar la declaración de privacidad y el banner de cookies a lo que realmente ocurre. Un registro que se completa automáticamente a partir de una biblioteca de herramientas conocidas ahorra tiempo, porque gran parte del trabajo de investigación ya está hecho para los servicios SaaS más utilizados. Cuando se añade una nueva herramienta, es recomendable documentarla de inmediato en el registro de tratamiento de datos en lugar de dejarlo para un momento de revisión posterior.
También ayuda determinar de antemano quién dentro de la empresa es responsable de solicitar los acuerdos de procesamiento que falten. Sin un propietario claro de ese proceso, una solicitud pendiente a un proveedor suele quedarse en el camino.
Cuando se prolonga más de lo esperado
En una tienda web con muchos componentes separados —un portal de devoluciones aparte, un sistema de reseñas independiente, una herramienta externa de servicio al cliente— cada componente se cuenta por separado. Además, un nuevo chatbot de IA en el sitio web plantea su propia pregunta sobre dónde van los datos introducidos por los visitantes y quién los procesa. En caso de duda sobre si una nueva funcionalidad requiere una evaluación de riesgos más amplia, es prudente someterla a evaluación por separado; eso queda fuera del alcance de este artículo.
El aspecto de seguridad de un nuevo sitio web también requiere tiempo: una evaluación adecuada de qué medidas técnicas son apropiadas depende de lo que el sitio web o la tienda web procese exactamente. Un resumen de lo que se trata está en la página sobre seguridad de la privacidad y los datos.
El tiempo de ejecución no es, por lo tanto, un número fijo, sino el resultado de cuántos componentes separados tiene un sitio web o una tienda web y qué tan rápido responden los proveedores. Quien lo estima de antemano evita que un lanzamiento se retrase porque falta un acuerdo de tratamiento de datos en el último momento.
¿Desea ver rápidamente dónde se encuentra actualmente su propio sitio web o tienda web? El análisis rápido gratuito proporciona una indicación inicial en un par de preguntas, y el preguntas frecuentes responden una gran parte de las preguntas individuales que surgen durante este proceso.