Política de tratamiento, aviso de privacidad y autorizaciones

Antes del documento está el diagnóstico

Una política copiada de otra empresa describe una operación que no es la suya, y eso es justamente lo que se revisa cuando llega un reclamo: si lo que la compañía dice que hace coincide con lo que hace. Por eso el trabajo empieza recorriendo la operación real: qué datos se recogen en cada punto de contacto, con qué autorización entraron, en qué sistema quedan, quién los consulta dentro de la empresa, con qué terceros se comparten y cuánto tiempo se conservan.

De ese recorrido salen casi siempre los mismos hallazgos: bases heredadas de las que nadie sabe el origen, formularios que piden más información de la que el negocio necesita, herramientas contratadas por un área sin pasar por jurídica, datos sensibles recogidos sin advertirlo y hojas de vida guardadas indefinidamente. Los entregamos ordenados por exposición y por esfuerzo, para que la empresa decida qué corrige primero.

Tres documentos que no son lo mismo

• Política de tratamiento de la información. Donde la empresa declara qué datos trata, con qué finalidades, quién responde por ellos, cuáles son los derechos del titular y por qué canal se ejercen.
• Aviso de privacidad. La versión corta que se muestra en el momento mismo de la recolección, cuando no es viable poner la política completa frente al titular.
• Autorización. La prueba de que el titular aceptó. Importa tanto su texto como la forma en que queda registrada, porque demostrarla le corresponde a la empresa y no al titular.

Los tres se redactan sobre las finalidades reales del negocio. Una finalidad que no se anunció no se puede usar después, y una finalidad enunciada de forma tan amplia que abarque cualquier cosa termina leyéndose como si no existiera.

La bajada a los puntos de contacto

El problema más común no está en la política sino en la distancia entre el documento y la operación. Por eso el encargo incluye llevar ese contenido a los lugares donde efectivamente ocurre la recolección.

• Casillas y textos de los formularios de la página web, del comercio electrónico y de las campañas de mercadeo.
• Cláusula del contrato laboral y del proceso de selección, incluidas las hojas de vida de quienes no fueron contratados.
• Correo comercial, bases de prospectos y mensajes automatizados, con la ruta visible para dejar de recibirlos.
• Aviso en las zonas videovigiladas y regla escrita sobre quién ve las grabaciones y cuánto se conservan.
• Guion de atención telefónica y de los canales de mensajería instantánea.
• Formatos en papel del punto de venta, la portería y la recepción, que suelen ser los últimos en actualizarse.

Datos sensibles, de niños y biométricos

Cuando aparecen datos de salud, huella o rostro, afiliación sindical, convicciones religiosas o políticas, o datos de niños, niñas y adolescentes, el estándar sube. Hay que advertir al titular que no está obligado a entregarlos, justificar por qué el negocio los necesita y separar ese tratamiento del resto. Esos casos se redactan aparte: no se resuelven con el mismo texto de la autorización general ni conviene esconderlos dentro de una lista larga de finalidades.

Qué recibe el cliente

• El mapa del tratamiento: datos, finalidades, sistemas, terceros y tiempos de conservación, en un formato que el área responsable puede mantener sin ayuda externa.
• La política de tratamiento y el aviso de privacidad, redactados sobre la operación real y listos para publicar.
• Los textos de autorización para cada punto de recolección, con la indicación de cómo debe quedar registrada la aceptación y qué se guarda como prueba.
• Las cláusulas de datos personales para contratos laborales, comerciales y de prestación de servicios.
• Una lista priorizada de correcciones para lo que el diagnóstico encontró mal y no se arregla con un documento.

Situaciones típicas que atendemos

• Una empresa que va a lanzar tienda en línea o una aplicación y necesita los textos antes de salir al aire.
• Una compañía que nunca formalizó nada y quiere ponerse al día antes de que llegue el primer reclamo.
• Un área de talento humano que administra datos de empleados, candidatos y beneficiarios sin autorizaciones claras.
• Un negocio que abrió un canal nuevo, cambió de operación o adquirió una base de datos y necesita revisar si su política sigue siendo cierta.