Analítica, BI y plataformas de datos

• Regulation (EU) 2016/679 — GDPR, Articles 27 and 28
• Directive 2002/58/EC — ePrivacy for device access
• Regulation (EU) 2023/2854 — Data Act for cloud switching

Quién debe designarlo

Proveedores fuera de la Unión que ofrecen servicios de análisis o plataformas de datos a clientes de la UE. Cuando la plataforma solo procesa lo que el cliente envía, el proveedor es un procesador; cuando enriquece, compara o entrena con los datos del cliente, se convierte en un controlador para esos fines.

Umbrales y exenciones

Sin umbral. La analítica de productos integrada en la aplicación de un cliente lee y escribe en los dispositivos de los usuarios finales, lo que trae el requisito de consentimiento de la ePrivacy independientemente del análisis del RGPD.

Qué debe figurar en la etiqueta

No físico. La identidad del representante en el aviso de privacidad y en los términos de procesamiento orientados al cliente, y una declaración clara de lo que el proveedor hace con los datos del cliente para sus propios fines.

Campos en los marketplaces

Los compradores empresariales de la UE requieren los términos del Artículo 28, la lista de subprocesadores, el análisis de transferencia y, desde la Ley de Datos, términos contractuales sobre cambio y portabilidad de datos. Los compradores del sector público requieren más.

Documentación que debes conservar

Registros de procesadores del Artículo 30(2), acuerdos de procesamiento con cada cliente y subprocesador, la designación del Artículo 27, cláusulas contractuales estándar con evaluaciones de impacto de transferencia, procedimientos de retención y eliminación, y los términos de cambio de la Ley de Datos.

Normas y ensayos

No aplicable, aunque los clientes ejercen derechos de auditoría y esperan certificaciones como ISO 27001 o SOC 2 como evidencia de apoyo en lugar de como cumplimiento.

Requisitos lingüísticos

Documentación para clientes en el idioma del mercado; avisos para usuarios finales en el idioma de los usuarios.

Desde cuándo se aplica

El representante antes de que comience el procesamiento. Las disposiciones de cambio de la Ley de Datos se implementarán a partir de septiembre de 2025, con cargos de salida retirados a partir de enero de 2027.

Cuánto se conservan los documentos

Datos del cliente solo por el período contratado más la ventana de eliminación acordada, con eliminación verificada al salir.

Qué ocurre si no cumples

Hasta 20 millones de € o el 4% de la facturación por procesamiento ilegal, y 10 millones de € o el 2% por la falta de representante. Usar datos del cliente para entrenar modelos sin una base es el fallo estructural recurrente en este sector.

Quién lo controla

Autoridades de protección de datos en toda la Unión, y autoridades nacionales designadas para la Ley de Datos.

Dónde está el límite

La agregación no anonimiza automáticamente: los conjuntos de datos de referencia construidos a partir de datos del cliente a menudo siguen siendo datos personales, y usarlos para los propios fines del proveedor necesita su propia base y transparencia, no meramente una cláusula contractual.

Las preguntas que nos hacen

¿Podemos usar datos del cliente para referencias?

Solo con una base legal propia y transparencia hacia las personas afectadas. Un permiso en el contrato del cliente no lo resuelve.

¿La recopilación de direcciones IP es procesamiento?

Sí. Las direcciones IP son datos personales en manos de un servicio que puede vincularlas a un usuario, lo que el Tribunal de Justicia ha confirmado.