La Digital Personal Data Protection Act de India cambia la forma en que cualquier empresa que trate con usuarios indios gestiona los datos personales. Si recoges nombres, correos electrónicos, números de teléfono o identificadores de dispositivo de personas en India, la DPDPA te afecta. Aquí tienes una lista de verificación clara para ir cubriendo, escrita para equipos que quieren hacerlo bien sin ahogarse en lenguaje jurídico.
Empieza por el aviso y el consentimiento
La DPDPA se construye en torno al consentimiento informado. Antes de recoger datos personales, tienes que explicar a las personas qué recoges y para qué, en términos sencillos.
- Publica un aviso de privacidad claro que enumere los datos que recoges y la finalidad de cada uso.
- Ofrece el aviso en inglés y, cuando sea relevante para tus usuarios, en su idioma indio preferido.
- Haz que el consentimiento sea específico. Agrupar finalidades no relacionadas bajo un único Acepto no es válido.
- Haz que retirar el consentimiento sea tan fácil como darlo. Una solicitud por correo escondida en algún rincón no cuenta.
El principio que conviene recordar es que el consentimiento debe ser libre, específico, informado e inequívoco. Si una persona razonable no entendería a qué ha accedido, no tienes un consentimiento válido.
Mapea tus datos y tus encargados
No puedes proteger datos que no has mapeado. Antes que nada, anota qué recoges, dónde reside y quién más lo toca.
- Enumera cada formulario, rastreador e integración que recopile datos personales.
- Identifica a cada tercero con el que compartes datos y confirma que está vinculado por contrato.
- Anota dónde se almacenan los datos y cuánto tiempo los conservas.
- Fija un plazo de conservación para cada categoría y borra los datos una vez cumplida la finalidad.
Respeta los derechos del titular de los datos
Bajo la DPDPA, la persona cuyos datos posees es el titular de los datos, y tiene derechos reales. Tu sitio necesita una vía operativa para atenderlos.
- Ofrece un camino para solicitar acceso a sus datos.
- Permite corregir y actualizar datos inexactos.
- Admite la supresión cuando los datos ya no sean necesarios.
- Habilita un canal de reclamaciones y responde en un plazo razonable.
Constrúyelos como un flujo de trabajo, no como un favor puntual. Cuando lleguen las solicitudes, querrás un proceso con seguimiento y plazos, no una carrera contrarreloj en la bandeja de entrada.
Trata los datos de menores con cuidado
La DPDPA fija un listón más alto para cualquier persona menor de dieciocho años. Si tu servicio puede ser usado por menores, no puedes ignorarlo.
- Obtén un consentimiento parental verificable antes de tratar los datos de un menor.
- No hagas seguimiento ni publicidad conductual dirigida a menores.
- Añade una señal o una barrera de edad para que las cuentas de menores reciban el trato más estricto por defecto.
La postura más segura es asumir que algunos de tus usuarios son menores y diseñar tu flujo de consentimiento para que sus datos nunca se traten con fines publicitarios sin la autorización expresa de un progenitor.
Conserva pruebas que puedas mostrar
Un consentimiento que no puedes demostrar es un consentimiento que no tienes. Los reguladores y los auditores te preguntarán cómo sabes que una persona dio su conformidad.
- Registra cada consentimiento con marca de tiempo y la versión del aviso mostrado.
- Mantén un registro a prueba de manipulaciones para que nadie pueda editarlo discretamente después.
- Haz que las pruebas sean exportables para poder responder rápido a una consulta.
Todo junto
Aviso, consentimiento específico, retirada sencilla, datos mapeados, derechos operativos, tratamiento cuidadoso de los datos de menores y pruebas demostrables. Esa es la columna vertebral de la preparación para la DPDPA. Nada de esto es exótico, pero sí tiene que ser deliberado y estar integrado en tu producto en lugar de añadido a última hora.
Si quieres una capa de consentimiento que cubra de serie el aviso, la retirada, los flujos de DSAR y las pruebas a prueba de manipulaciones, empieza gratis con ConsentX y mapea tu huella en una tarde.