Cuando un flujo mueve datos personales (clientes, pacientes, empleados), la automatización no sustituye las obligaciones del RGPD: las organiza si está bien hecha o las multiplica si está mal hecha.
Minimización
Solo los campos necesarios para el fin del flujo. Si el paso siguiente no necesita el DNI, no lo copiéis a tres sitios “por si acaso”.
Proveedores y encargados del tratamiento
Herramientas de automatización e IA suelen ser encargados o subencargados. Conviene tener claro quién es responsable, dónde se alojan los datos (UE vs. terceros países) y los contratos o cláusulas tipo que apliquen.
Bases legales e información
Formularios, emails automáticos y grabaciones en CRM deben ser coherentes con la base legal (interés legítimo, contrato, consentimiento…) y con la información que disteis a las personas afectadas.
Registro de actividades de tratamiento
Aunque seáis pequeños, un registro sencillo de “qué flujo toca qué datos” ayuda en auditorías y cuando entra alguien nuevo al equipo.
Nota: esto es orientación general, no asesoramiento legal. Para decisiones concretas conviene un abogado especializado.
En Kerylab diseñamos flujos con criterio de cumplimiento y os señalamos dudas para que las resolváis con asesoramiento jurídico si hace falta. Contacto para hablar de vuestro caso.