Qué exige realmente el RGPD en una política de privacidad
El Reglamento General de Protección de Datos (RGPD, en inglés GDPR) enumera en su artículo 13 (datos obtenidos del propio usuario) y en su artículo 14 (datos obtenidos de terceros) once elementos que todo aviso de privacidad debe incluir: identidad del responsable, datos de contacto del DPD si lo hay, fines y base legal, destinatarios, plazo de conservación, derechos del interesado, derecho a presentar una reclamación ante una autoridad de control, si la comunicación de datos es un requisito legal, decisiones automatizadas, origen de los datos y garantías de las transferencias internacionales. El generador crea cada uno como una sección propia y rotulada, para que un regulador que revise la página encuentre la respuesta al instante.
Bases legales (artículo 6)
Para cada finalidad del tratamiento, el generador elige una de las seis bases de licitud: consentimiento, contrato, obligación legal, intereses vitales, misión de interés público o interés legítimo. La mayoría de los flujos de analítica de producto se basan en el interés legítimo con una ponderación explicada; los datos de la cuenta, en el contrato; los correos de marketing, en el consentimiento. El resultado indica la base junto a la finalidad, que es el formato que esperan los reguladores.
Transferencias internacionales
Si usas algún servicio con sede en EE. UU. (Google, AWS, Stripe, Meta), tu política debe describir las garantías de las transferencias de la UE a EE. UU. El generador indica si cada subencargado nombrado está certificado en el Marco de Privacidad de Datos UE-EE. UU. (DPF) e incluye las Cláusulas Contractuales Tipo 2021/914 como alternativa cuando el DPF no está disponible.
Solicitudes de los interesados
Los artículos 15 a 22 otorgan ocho derechos a los usuarios de la UE: acceso, rectificación, supresión, limitación, portabilidad, oposición, retirada del consentimiento y derechos relativos a las decisiones automatizadas. El generador publica un correo de contacto para cada derecho y un plazo de respuesta de un mes, el máximo que permite el artículo 12(3).