/html
¿Necesitas consultoría de protección de datos (RGPD y LOPDGDD) sin frenar tu negocio?
La mayoría de empresas no fallan por “no querer cumplir”, sino por lo mismo: no tener un sistema. Tratan datos en web, CRM, email, RR. HH. y proveedores… pero sin mapa, sin criterios y sin procedimientos.
En Bastelia convertimos el cumplimiento en algo utilizable: documentación coherente + medidas + circuitos operativos. Trabajamos online para ser ágiles y competitivos en precio, y usamos IA para reducir trabajo repetitivo sin perder control: lo importante se revisa con criterio.
RAT, cláusulas, contratos con encargados, riesgos/EIPD si aplica, cookies, derechos y plan de brechas.
Improvisación, inconsistencias, proveedores “sin papel”, y el caos cuando llega un derecho o un incidente.
Menos reuniones, más entregables. Menos coste operativo. Más foco en lo que reduce riesgo.
Acelera borradores y consistencia documental. No decide por ti: se revisa lo que impacta en tu caso.
¿Qué cambia cuando la protección de datos se convierte en un sistema (y no en “papeles”)?
Cambia lo importante: la empresa deja de reaccionar y empieza a operar con criterios. Eso significa que, cuando aparece un nuevo proveedor, una nueva campaña de marketing o una incidencia, ya existe un marco para decidir (y para demostrarlo si alguien lo pide).
¿Cómo reduce riesgo de sanción y reclamaciones?
No por “tener un PDF”, sino por aplicar lo que suele fallar: bases legales claras, información consistente, proveedores bien encajados, retención definida, derechos con circuito y seguridad alineada al riesgo real.
¿Qué obtienes de forma tangible?
Entregables utilizables (RAT, cláusulas, contratos, riesgos/EIPD si procede, cookies, derechos, brechas) y una guía de “cómo se usa” para que no se quede en el cajón.
¿Por qué somos más ágiles y económicos?
Porque el trabajo es online, guiado, con checklist y automatizaciones internas. Evitamos tiempos muertos y usamos IA para acelerar consistencia y borradores. El precio baja por eficiencia, no por recortar entregables.
Si vienes de una mala experiencia: es habitual ver “adaptaciones RGPD” que solo son textos genéricos. El problema no es el texto en sí: el problema es que no coincide con la realidad (herramientas, procesos, retención, accesos). Cuando no coincide, no sirve.
¿Qué encontrarás en esta página para tomar una decisión sin perder tiempo?
Si estás comparando opciones, aquí tienes un mapa rápido. Todo está explicado en formato pregunta-respuesta para que puedas identificar exactamente lo que te falta y lo que deberías pedir a cualquier proveedor.
¿Qué es una consultoría de protección de datos y qué NO debería venderte nadie?
Una consultoría de protección de datos es un servicio que aterriza el RGPD y la LOPDGDD en tu operativa real: identifica tratamientos, define bases legales, organiza roles y procedimientos y deja evidencias coherentes.
Lo que NO debería venderte nadie como “consultoría RGPD” es:
- Textos genéricos que no reflejan tus herramientas (CRM, email, analítica, soporte) ni tus flujos de datos.
- Documentación sin implementación: si no hay circuito de derechos y brechas, “cumples en teoría”.
- Cumplimiento sin retención: si no defines cuánto conservas y por qué, el sistema se rompe.
- Proveedores sin encaje: si no hay contratos y controles, es donde aparecen los agujeros.
¿Por qué “tenerlo escrito” no es suficiente?
Porque el RGPD exige coherencia entre lo que dices y lo que haces. Si tu política de privacidad dice una cosa, pero tu web dispara otras cookies, o tu CRM guarda datos sin retención, o un proveedor accede sin contrato, el riesgo es operativo. El cumplimiento real se nota cuando puedes responder a preguntas básicas sin improvisar:
- ¿Qué datos tratamos y en qué sistemas?
- ¿Con qué base legal y qué información damos al usuario?
- ¿Quién accede, con qué permisos y por cuánto tiempo conservamos?
- ¿Qué hacemos si alguien ejerce un derecho o hay un incidente?
Idea clave: la consultoría no es “comprar documentos”, sino diseñar un sistema que puedas mantener cuando cambien tus herramientas, tu equipo o tus campañas.
¿Cuándo se vuelve urgente la consultoría RGPD (aunque “nunca haya pasado nada”)?
Es urgente cuando tu empresa ya está tratando datos de forma habitual y no tienes un mecanismo para demostrar control. Estas son señales típicas (y muy comunes) que justifican actuar:
¿Qué señales suelen aparecer antes del problema?
- Tienes web con formularios, agenda, chat, analítica, píxeles, lead magnets o automatizaciones de email.
- Compartes datos con proveedores (gestoría, hosting, CRM, soporte, pasarela de pago, herramientas de marketing).
- Gestionas RR. HH.: CVs, nóminas, control horario, bajas, evaluaciones, accesos internos.
- No tienes un procedimiento para derechos (acceso, supresión, oposición, etc.) y “ya responderemos cuando pase”.
- Usas herramientas cloud sin inventario real (quién accede, qué se guarda, cuánto tiempo, qué se exporta).
- Tu sector trata datos sensibles o de mayor riesgo (salud, menores, biometría, videovigilancia, perfilado).
¿Cuál es el error que más cuesta?
No es “un texto mal”, es la falta de trazabilidad. Cuando llega una solicitud, una incidencia o una pregunta interna, no hay respuesta rápida porque no existe inventario ni criterios. Eso obliga a improvisar, y la improvisación en cumplimiento sale cara (en tiempo, reputación y riesgo).
¿Quieres una regla rápida para decidir?
Si respondes “sí” a 2 o más de estas frases, la consultoría deja de ser opcional y pasa a ser una prioridad operativa.
- “No estoy seguro de todas las herramientas que almacenan datos personales.”
- “No sé qué proveedores son encargados de tratamiento y si hay contratos.”
- “No tenemos un registro de tratamientos actualizado.”
- “No hay un procedimiento claro para derechos o brechas.”
- “Marketing y legal van por separado y nadie tiene el mapa completo.”
¿Qué incluye una consultoría de protección de datos bien hecha (entregables concretos)?
En esta parte conviene ser directo: si no te detallan entregables, te están vendiendo “tiempo” en lugar de resultados. Una consultoría útil debe cubrir lo documental, lo operativo y lo técnico-organizativo.
¿Incluye un mapa de tratamientos y un RAT real?
Sí: inventario de tratamientos (clientes, leads, RR. HH., proveedores), sistemas implicados y un Registro de Actividades de Tratamiento (RAT) utilizable y mantenible.
¿Incluye análisis de riesgos (y EIPD si aplica)?
Sí: se identifican riesgos por tratamiento y se proponen medidas. Si tu caso requiere Evaluación de Impacto (EIPD/DPIA), se prepara con enfoque práctico, no académico.
¿Incluye cláusulas y contratos con encargados?
Sí: cláusulas por canal (web, contratación, RR. HH.) y contratos/anexos con encargados de tratamiento, alineados con tu realidad de proveedores.
¿Incluye derechos ARSOPL con procedimiento?
Sí: plantillas + circuito de respuesta + registro. Cuando entra una solicitud, no improvisas: ejecutas.
¿Incluye cookies y captación digital?
Sí: revisión de formularios, transparencia, consentimiento cuando proceda y coherencia entre lo que la web hace y lo que declara.
¿Incluye plan de brechas (72h) y evidencias?
Sí: checklist de actuación, registro interno, y criterios para decidir si se notifica o no. Un incidente sin plan se convierte en crisis.
Si quieres comparar proveedores con criterio: pide siempre una lista de entregables (no “servicios”), y pregunta cómo gestionan tu stack real (CRM, analytics, soporte, email, hosting, backups, RR. HH.). El RGPD vive ahí.
¿Cómo trabajamos 100% online con IA (y por qué eso te permite pagar menos sin perder calidad)?
Trabajar online no es “hacerlo por videollamada”: es un método. Si el proceso está bien diseñado, se reduce fricción y se gana control. Nuestro enfoque combina:
- Recogida guiada (checklists claros, sin reuniones innecesarias).
- Automatización/IA para acelerar consistencia documental y borradores.
- Revisión humana en decisiones de base legal, riesgos, medidas y coherencia operativa.
- Entrega utilizable: documentación + “cómo se aplica” (no solo “qué dice”).
¿Qué significa “IA en el proceso” en términos prácticos?
Significa menos tiempo en tareas repetitivas (formato, consistencia, versiones, borradores estructurados) y más tiempo en decisiones que requieren criterio (riesgos reales, medidas proporcionadas, encaje de proveedores, retención y procedimientos). El objetivo es claro: más rapidez, más coherencia y mejor precio.
¿Cómo es el paso a paso típico (para que sepas qué esperar)?
Esto te sirve también para auditar cualquier proveedor: si no puede describir el proceso, probablemente improvisa.
- Diagnóstico inicial: actividad, canales, herramientas, tipos de datos y riesgos.
- Mapa de tratamientos: inventario + flujos + bases legales + terceros.
- Documentación base: RAT, cláusulas, contratos, retención y seguridad mínima.
- Parte web/marketing: formularios, transparencia, cookies y coherencia.
- Operativa: derechos, brechas, registros internos y evidencias.
- Cierre + mantenimiento: checklist de control y revisiones para cambios.
¿Qué pasa con cookies, analítica y marketing (la zona donde más empresas se equivocan)?
En digital, el riesgo rara vez está en “tener un CRM”; el riesgo está en lo que se activa sin control: scripts, píxeles, automatizaciones, audiencias, integraciones y proveedores.
¿Qué revisamos para que tu captación sea compatible con el RGPD?
- Formularios: información clara, finalidades reales, casillas coherentes, minimización.
- Email/CRM: origen del dato, segmentación, retención, bajas y trazabilidad.
- Cookies: qué se carga realmente, cuándo y bajo qué consentimiento.
- Terceros: quién recibe datos, qué contratos aplican y qué medidas se exigen.
¿Cuál es el error más típico?
Tener textos “correctos” pero una web que ejecuta otra realidad (por ejemplo, disparar cookies/trackers antes del consentimiento). Eso crea una incoherencia fácil de detectar y difícil de justificar.
¿Qué entregable deberías exigir aquí?
Un listado de scripts/cookies (o guía) + recomendaciones de implementación, y una validación de coherencia: “lo que dice tu política” = “lo que hace tu web”.
¿Quieres una microguía para decidir rápido?
Úsala como checklist interno cuando lances campañas o instales herramientas nuevas.
- ¿La herramienta aporta algo real o solo “otra métrica”?
- ¿Necesita datos personales o puede funcionar con datos agregados/minimizados?
- ¿Quién es el proveedor y dónde trata los datos?
- ¿Hay contrato como encargado y se controla el acceso?
- ¿Hay retención definida y salida limpia (exportar/borrar)?
- ¿Es coherente con tu política y tu banner de cookies?
¿Cómo se gestionan derechos y brechas sin improvisar (y por qué esto marca la diferencia)?
La protección de datos se “prueba” cuando ocurre algo: una solicitud de acceso/supresión, una queja, un incidente, un error humano, un phishing o una pérdida de credenciales. Si no hay proceso, todo se convierte en urgencia.
¿Qué incluye el circuito de derechos (ARSOPL) para que funcione?
- Identificación de solicitudes válidas (y cómo verificar identidad cuando hace falta).
- Plantillas de respuesta por tipo de derecho (sin respuestas “genéricas” peligrosas).
- Registro interno con fecha, acción y evidencia (lo que te protege si hay reclamación).
- Reglas para coordinar sistemas: web, CRM, email, soporte, backups y proveedores.
¿Qué incluye un plan de brechas útil (no teórico)?
- Checklist de primera hora: contención, evidencias, accesos, cambios de credenciales.
- Criterios para decidir si notificar a autoridad y/o afectados.
- Registro interno de incidentes (qué ocurrió, impacto, medidas, prevención).
- Lecciones aprendidas: convertir un susto en mejora real.
Dato importante: en ciertos casos, el RGPD exige notificar brechas a la autoridad sin dilación indebida y, cuando sea posible, en un plazo máximo de 72 horas desde que se tenga constancia. Si tienes plan, 72 horas es gestión. Si no lo tienes, 72 horas es caos.
Por eso, además de la documentación, el objetivo es que tengas un circuito y una lista de comprobación que puedas ejecutar.
¿Qué herramientas rápidas puedes usar ahora para estimar tu exposición RGPD (sin enviar datos a nadie)?
Estas herramientas funcionan en tu navegador. No guardan ni envían información. Te sirven para aclarar prioridades y para saber qué deberías pedir a una consultoría de protección de datos.
¿Autoevaluación en 2 minutos: qué nivel de prioridad tienes?
Marca lo que aplica a tu empresa. El resultado no es asesoramiento jurídico: es una guía de priorización operativa.
Marca las casillas para ver una recomendación de prioridades y entregables.
Diagnóstico + inventario de tratamientos + coherencia web/proveedores.
RAT + contratos con encargados + procedimiento de derechos + plan de brechas.
¿Generador de checklist: qué documentación y procesos deberías tener?
Selecciona tu tipo de actividad y genera una lista orientativa. No sustituye asesoramiento: te ayuda a ordenar trabajo y exigir entregables.
Pulsa “Generar checklist” para ver una lista recomendada.
¿Calculadora 72h: cuándo vencería el plazo máximo tras detectar un incidente?
Útil para simulacros internos. No decide si debes notificar: solo calcula una fecha/hora estimada. Ajusta siempre al caso real.
Selecciona una fecha/hora para ver el vencimiento estimado.
¿Qué plan de consultoría de protección de datos encaja contigo?
No todo el mundo necesita lo mismo. La clave es ajustar el alcance a tu realidad: tratamientos, sector, herramientas y nivel de riesgo. Estos marcos te ayudan a ubicarte.
¿Para quién es?
Autónomos y microempresas con operativa sencilla y pocos tratamientos.
¿Qué cubre?
- Diagnóstico + mapa de tratamientos.
- RAT y documentación base.
- Cláusulas por canal (web/contratación).
- Procedimiento de derechos (mínimo viable operativo).
¿Para quién es?
Pymes con web activa, marketing, varios proveedores y RR. HH.
¿Qué cubre?
- Todo lo del Base.
- Contratos con encargados + anexos.
- Análisis de riesgos + plan de medidas.
- Cookies/analítica/marketing (coherencia + guía de implementación).
- Brechas: playbook + registro interno.
¿Para quién es?
Casos de mayor riesgo: datos sensibles, perfilado, videovigilancia o sector regulado.
¿Qué cubre?
- Todo lo del Pro.
- EIPD/DPIA cuando proceda.
- Medidas reforzadas y evidencias.
- Acompañamiento extendido para cambios y revisiones.
Si quieres ir a lo práctico: escribe a info@bastelia.com con 4 datos (actividad, web, herramientas, RR. HH.) y te respondemos con el alcance recomendado y los entregables.
Nota: la información de esta página es general y no constituye asesoramiento jurídico. Cada caso requiere validación según tratamientos, sector y herramientas utilizadas.
¿Preguntas frecuentes sobre consultoría de protección de datos (FAQ)?
Si estás a punto de contratar, estas respuestas te ayudan a distinguir entre “cumplimiento de escaparate” y un sistema que se sostiene en el tiempo.
¿Mi empresa está obligada a cumplir el RGPD y la LOPDGDD?
En la práctica, sí si tratas datos personales de personas físicas (clientes, leads, empleados, candidatos, proveedores autónomos, usuarios). “Tratar datos” incluye recopilar, almacenar, consultar, segmentar, compartir con proveedores o simplemente tenerlos en un sistema.
¿Cuánto se tarda en hacer una consultoría de protección de datos?
Depende de complejidad: número de tratamientos, herramientas y proveedores, si hay RR. HH., y si existen datos sensibles o tratamientos de riesgo. Lo que acelera de verdad es tener un proceso guiado (online) y aportar la información mínima necesaria con orden.
¿Qué entregables debería recibir sí o sí?
Como mínimo: mapa de tratamientos + RAT, cláusulas por canal, contratos con encargados (si hay proveedores que tratan datos), procedimiento de derechos y un mínimo de medidas y evidencias. Si hay web/marketing, la parte de cookies y coherencia es crítica. Si hay alto riesgo, análisis de riesgos y, cuando proceda, EIPD/DPIA.
¿Necesito un Delegado de Protección de Datos (DPD/DPO)?
Depende del sector y del tipo de tratamientos. Hay supuestos en los que es obligatorio y otros en los que es recomendable. En consultoría analizamos tu caso para decidirlo con criterio, sin sobredimensionar (ni infradimensionar) la solución.
¿La consultoría incluye cookies, analítica y marketing?
En Bastelia, sí cuando hay web/captación. Es una zona donde se generan incoherencias: lo que se declara en textos y lo que realmente se ejecuta. Revisamos formularios, transparencia, proveedores y coherencia, y dejamos guía de implementación.
¿Qué ocurre si hay una brecha de seguridad o un phishing?
Lo importante es actuar con método: contención, evidencias, análisis de impacto y decisiones documentadas. Un plan de brechas reduce errores de comunicación y acelera la recuperación. Además, te obliga a mejorar controles (MFA, accesos, backups, etc.).
¿Puedo contratar solo un diagnóstico o auditoría inicial?
Sí. A veces lo más inteligente es empezar por una hoja de ruta priorizada: quick wins (lo que más reduce riesgo con menos esfuerzo) y plan de implementación por fases.
¿La consultoría incluye implementación técnica en mi web?
No incluimos formularios ni captación en esta página, pero sí podemos coordinar la implementación con tu equipo (o el nuestro) cuando el alcance lo requiera. La clave es que “lo que se instala” sea coherente con “lo que se declara” y con tu circuito de tratamiento de datos.
¿Cómo empiezo para que el proceso sea rápido y eficiente?
Envíanos un email con actividad, si tienes web/captación, qué herramientas usas (CRM, email, ads, hosting, soporte) y si hay RR. HH. Con eso podemos proponerte el alcance y los entregables. Es la forma más rápida de evitar reuniones innecesarias.
Si quieres que esta página conviva con un “hub” de cumplimiento, es buena práctica mantener una página general de cumplimiento/legal tech y enlazar aquí como landing específica de consultoría de protección de datos.