Empresas, asociaciones, centros y administraciones públicas: le ayudamos a aplicar el RGPD y el AI ACT con un asesoramiento claro, documentos concretos y un acompañamiento cercano.
Nuestro enfoque
Partimos de su funcionamiento real, fijamos prioridades realistas y elaboramos documentos que sus equipos utilizan a diario.
Una organización de diez personas no tiene los medios de un gran grupo. Nuestras recomendaciones se adaptan a su tamaño.
Un equipo de dos que conoce su organización y está disponible, también en situaciones urgentes.
Equipo
AUREACT es el encuentro de dos expertas en derecho, protección de datos y retos digitales, unidas por una misma visión: hacer que el cumplimiento sea más sencillo, más concreto y realmente útil para las organizaciones. Intervenimos en derecho francés y en derecho español de protección de datos.
Jurista · DPD certificada · Formadora
Jurista especializada en derecho digital, Pauline acompaña desde hace años a organismos públicos y privados en su adecuación normativa. Su enfoque combina conocimiento jurídico, dominio operativo del RGPD y acompañamiento en los nuevos retos de la inteligencia artificial.
Jurista · DPD certificada · Trilingüe
Abogada de formación, Laura trabaja desde hace años en el ámbito de la protección de datos y cuenta con competencias en derecho digital español, en particular en la LOPDGDD. Su trayectoria jurídica e internacional le permite acompañar a las organizaciones en sus cuestiones de cumplimiento, también en contextos internacionales.
AUREACT nace del encuentro de nuestras dos trayectorias, nuestras experiencias y nuestras miradas. Trabajamos juntas en cada expediente: contrastamos nuestros análisis y construimos soluciones adaptadas a la realidad de nuestros clientes.
Nuestra fuerza
Un sólido conocimiento jurídico, un enfoque muy operativo y, sobre todo, dos cabezas dedicadas a sus proyectos.
Nuestra elección
Hablar de cumplimiento con sencillez. Sin tecnicismos innecesarios ni soluciones estandarizadas, sino con consejos claros, herramientas concretas y un acompañamiento cercano.
Dos expertas. Dos trayectorias.
Una misma exigencia.
Lo esencial
Seis obligaciones que afectan a todas las organizaciones, sea cual sea su tamaño.
El registro de actividades de tratamiento recoge lo que hace con los datos personales. Es el primer documento que solicita la autoridad de control (la CNIL en Francia, la AEPD en España) en una inspección.
Clientes, empleados, candidatos, usuarios: cada persona debe saber qué ocurre con sus datos y obtener respuesta a sus solicitudes en el plazo de un mes.
Editores de software, proveedores de alojamiento, servicios informáticos: todo proveedor que acceda a sus datos debe estar vinculado por un contrato conforme al RGPD, también cuando los datos son accesibles fuera de la Unión Europea.
Un dato no se guarda «por si acaso». Cada categoría tiene su plazo, que hay que fijar y después aplicar en sus herramientas.
Accesos, contraseñas, copias de seguridad: las medidas deben ser proporcionales al riesgo. Una brecha de datos que suponga un riesgo debe notificarse a la autoridad de control en 72 horas.
El AI ACT prohíbe determinadas prácticas, regula estrictamente los usos de alto riesgo, como la selección de candidaturas, y exige acompañar a los equipos que utilizan estas herramientas.
Nuestros servicios
Cada servicio puede contratarse por separado o encadenarse con los siguientes. La mayoría de nuestros clientes empieza por un diagnóstico.
Saber dónde se encuentra.
Entrevistas con la dirección y los equipos, revisión de su software, sus contratos y sus usos de la IA. Identificamos lo que ya está implantado y lo que realmente falta.
Lo que recibe
Documentos a su medida.
Cada documento se elabora a partir de sus prácticas, nunca copiado de un modelo, y se presenta a los equipos que lo utilizarán. Usted conserva su propiedad.
Lo que recibe
Un delegado a su lado, sin necesidad de contratar.
El DPD asesora, supervisa y actúa como punto de contacto para los interesados y para la autoridad de control. Confiar la función a una firma externa garantiza la independencia que exige el reglamento.
Nuestras funciones
Conviene saber. La designación de un DPD es obligatoria para los organismos públicos y para las entidades cuya actividad principal implique una observación habitual y sistemática de personas a gran escala, o el tratamiento a gran escala de datos sensibles (artículo 37 del RGPD). En España, el artículo 34 de la LOPDGDD enumera además una serie de entidades obligadas.
Inteligencia artificial y formación
Asistentes conversacionales, software de selección, herramientas de redacción: la IA llega a todos los oficios. El RGPD se aplica a cada dato introducido, y el AI ACT añade sus propias obligaciones, que entran en vigor por fases desde 2025.
La mayoría de los incidentes nacen de un error humano: un correo mal dirigido, un archivo compartido en exceso, una contraseña reutilizada. La formación sigue siendo la medida más eficaz.
Sectores
Adaptamos nuestro asesoramiento a su actividad, a su público y a sus herramientas.
Pymes y medianas empresas, consultoras y empresas de servicios, editores de software, empresas de selección, comités de empresa.
Asociaciones y fundaciones, centros y servicios sociales y sociosanitarios, entidades de inserción laboral.
Centros sanitarios, investigación clínica, servicios de prevención y salud laboral, mutuas.
Administraciones locales, organismos públicos, servicios de emergencias.
Preguntas
¿Tiene otra pregunta? Escríbanos y le responderemos personalmente.
EscribirnosSí, si es un organismo público, sea cual sea su tamaño. También si su actividad principal implica una observación habitual y sistemática de personas a gran escala, o el tratamiento a gran escala de datos sensibles, como los de salud. En España, la LOPDGDD añade una lista de entidades obligadas, como los centros sanitarios o los centros docentes. En los demás casos, la designación sigue siendo posible y a menudo útil. Lo analizamos con usted desde el primer contacto.
Sí, desde el momento en que trata datos personales. Aun así, las obligaciones son proporcionales a su tamaño y a los riesgos: construimos con usted un plan realista, a la medida de sus medios.
No. Sirve para ayudarle, no para juzgarle. El informe es confidencial, le pertenece y está redactado para que lo entienda cualquier persona, sin formación jurídica.
Sí. Editor de software, proveedor de alojamiento, servicios informáticos, gestoría de nóminas, agencia de marketing: en cuanto trata datos por cuenta de un cliente, usted es encargado del tratamiento y el RGPD le impone obligaciones propias. Debe actuar únicamente siguiendo las instrucciones documentadas de su cliente, garantizar la confidencialidad y la seguridad de los datos, llevar un registro de los tratamientos realizados por cuenta de sus clientes, notificarle cualquier brecha de datos sin dilación indebida, ayudarle a atender las solicitudes de los interesados, recurrir a otro encargado solo con su autorización, y suprimir o devolver los datos al final del contrato. La autoridad de control puede sancionar directamente a un encargado. Además, sus clientes están obligados a elegir proveedores que ofrezcan garantías suficientes: poder demostrar su cumplimiento es también un argumento comercial.
No, y la confusión es frecuente. Seudonimizar consiste en sustituir lo que identifica directamente a una persona, como su nombre, por un código: con información adicional, todavía se puede identificar a la persona. Los datos siguen siendo personales y el RGPD se aplica. Anonimizar, en cambio, hace imposible cualquier reidentificación, de forma irreversible y por cualquier medio razonable: solo esos datos quedan fuera del RGPD. Eliminar el nombre y los apellidos de un archivo casi nunca basta para anonimizarlo.
No necesariamente. Hace falta un contrato conforme al RGPD con el proveedor y, cuando los datos son accesibles fuera de la Unión Europea, una base jurídica para esa transferencia. Realizamos este análisis con usted, herramienta por herramienta.
No necesariamente, pero hace falta un marco: qué herramientas están autorizadas, qué datos no deben introducirse nunca, qué configuración activar. Una prohibición sin alternativa suele empujar a usos ocultos, más arriesgados.
No. Su organización, como responsable del tratamiento, sigue siendo la responsable. El DPD asesora, alerta y supervisa, pero no decide en su lugar.
Contact
Bastan unas líneas sobre su organización y su consulta. Le responderemos personalmente, sin compromiso.