Ingeniería GDPR y LGPD: construimos las medidas técnicas, tu asesoría legal lee la ley

GDPR artículo 25(1) y (2): medidas apropiadas al determinar los medios de tratamiento y durante el tratamiento, y por defecto solo los datos personales necesarios para cada fin, en la cantidad recogida, la extensión del tratamiento, el plazo de conservación y quién puede acceder. LGPD artículo 46 §2: las medidas de seguridad rigen desde la concepción del producto o servicio hasta su ejecución.

GDPR artículo 32(1): seudonimización y cifrado, capacidad de garantizar confidencialidad, integridad, disponibilidad y resiliencia, restablecimiento oportuno tras un incidente y pruebas periódicas. LGPD artículos 46 y 47: medidas técnicas y administrativas contra el acceso no autorizado y contra la destrucción, pérdida, alteración o comunicación accidental o ilícita, que siguen aplicándose después de terminado el tratamiento. Artículo 49: sistemas estructurados para cumplir los requisitos de seguridad.

GDPR artículo 33: el responsable notifica a la autoridad de control sin dilación indebida y, cuando sea viable, en 72 horas; el encargado avisa al responsable sin dilación indebida; toda brecha se documenta. LGPD artículo 48: el responsable comunica a la autoridad nacional y al titular un incidente que pueda causar riesgo o daño relevante, en un plazo razonable que define la autoridad, describiendo los datos afectados, las personas involucradas, las medidas técnicas usadas, los riesgos y las medidas adoptadas. Al juzgar la gravedad se considera si medidas técnicas dejaron los datos ininteligibles para terceros no autorizados (§3).

El artículo 30 del GDPR exige registros de las actividades de tratamiento y el artículo 35 una evaluación de impacto relativa a la protección de datos cuando el tratamiento puede entrañar un alto riesgo. El artículo 37 de la LGPD exige que el controlador y el operador mantengan un registro de sus operaciones de tratamiento, y el artículo 38 permite que la autoridad nacional exija un informe de impacto.

La ingeniería: un inventario de datos por funcionalidad, retención que borra según un calendario en vez de conservar datos para siempre, enmascaramiento de los campos que la mayoría no necesita ver y valores por defecto que no exponen nada a un público indeterminado (GDPR artículo 25(2)). La base jurídica de cada fin es decisión de tu asesoría legal.

Ningún paquete fijo construye el borrado y la retención por sí solos. Los definimos en Discovery o con ingenieros por hora.

El artículo 32(1)(a) del GDPR nombra la seudonimización y el cifrado, y los artículos 46, 47 y 49 de la LGPD piden medidas técnicas contra el acceso no autorizado. La ingeniería: TLS en tránsito, claves gestionadas y cifrado en reposo, rutas de red privadas hacia los almacenes de datos, acceso a través de tu SSO con MFA y mínimo privilegio, y secretos en un almacén gestionado.

Ningún paquete fijo cubre el cifrado y el control de acceso por sí solos. Los definimos en Discovery o con ingenieros por hora.

El artículo 32(1)(b) y (c) del GDPR piden resiliencia permanente de los sistemas de tratamiento y la capacidad de restablecer la disponibilidad y el acceso de forma oportuna. La ingeniería: backups cifrados y programados, ensayos de restauración y una reversión ensayada.

Ningún paquete fijo cubre backups y recuperación por sí solos. Los definimos en Discovery o con ingenieros por hora.

El artículo 32(1)(d) del GDPR pide un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas. La ingeniería: escaneos de dependencias, secretos y contenedores en cada cambio con excepciones que vencen, pruebas automatizadas en el pipeline y controles que frenan una versión.

El artículo 33(3) del GDPR y el artículo 48 §1 de la LGPD listan lo que debe describir un aviso: los datos afectados, las personas involucradas, las consecuencias probables y las medidas adoptadas. Eso depende de registros que sobrevivan a un incidente. La ingeniería: logs y alertas que muestran quién tocó qué, diseñados para que los datos personales no terminen en las líneas de log, y un runbook que sigue el contenido que necesita el aviso.

El artículo 30 del GDPR y el artículo 37 de la LGPD esperan un registro de tratamiento. La ingeniería: un mapa de flujo de datos guardado junto al código y generado a partir de las definiciones de infraestructura, para que el registro coincida con lo que realmente corre. Los fines, la base jurídica y el juicio de la evaluación de impacto son tuyos.

Una construcción o rediseño de 2 semanas de tus pipelines de CI/CD y de tu infraestructura como código. Los controles que entran al pipeline, como un escaneo de vulnerabilidades, se acuerdan en el SOW.

Métricas, logs y trazas conectados, 3 SLOs definidos, alertas probadas hasta que disparan y un runbook.

Una suite de Playwright para tus 5 flujos críticos, corriendo en tu CI, con verificaciones de accesibilidad.

Discovery entiende tu producto y su configuración de punta a punta y entrega un roadmap con backlog, roles, cambios críticos y necesidades. Trae tu registro de tratamiento, la lista de tu asesoría legal o el cuestionario de privacidad de un cliente y los convertimos en trabajo de ingeniería.

Para el trabajo que sigue después de un paquete: Senior USD 45–⁠50 la hora, Lead o Arquitecto USD 55–⁠60, con mínimo de 6 meses, facturado por hora trabajada. Tú entrevistas al ingeniero que hará el trabajo.

• Cómo funciona el staff augmentation
• Seguridad y compras