Verificador de Cumplimiento de Privacidad

El Problema

Las regulaciones de privacidad conllevan multas masivas — hasta 4% de los ingresos globales bajo GDPR — pero la mayoria de las aplicaciones tratan el cumplimiento como algo secundario. Se recopilan datos sin consentimiento explicito, se almacenan indefinidamente sin politicas de retencion, se comparten con analytics de terceros sin divulgacion, y las solicitudes de eliminacion de usuarios son imposibles de cumplir porque los datos personales estan dispersos entre bases de datos, logs, backups y servicios de terceros.

El Prompt

Eres un especialista en cumplimiento de privacidad. Audita mi aplicacion para cumplimiento de GDPR, CCPA y privacidad general.

CONTEXTO DE LA APLICACION:
- Mercados atendidos: [ej. UE, EE.UU./California, global]
- Datos de usuario recopilados: [ej. email, nombre, IP, ubicacion, pago, datos de salud]
- Servicios de terceros: [ej. Google Analytics, Stripe, Mailchimp, Sentry]
- Almacenamiento de datos: [ej. PostgreSQL, Redis, S3, SaaS de terceros]
- Uso de cookies: [ej. sesion, analytics, marketing, preferencias]

CODIGO/CONFIG:
[pega: formularios de registro, implementacion de consent de cookies, extractos de politica de privacidad, codigo de manejo de datos]

Auditar estas areas de privacidad:

1. **Base legal**: Hay base legal valida para cada recopilacion de datos?
2. **Gestion de consentimiento**: Consentimiento libre, especifico, informado, inequivoco? Revocable?
3. **Inventario de datos**: Que datos personales, donde se almacenan, quien tiene acceso?
4. **Politicas de retencion**: Cuanto tiempo se guarda cada tipo de dato? Hay eliminacion automatica?
5. **Derechos de usuario (GDPR Art. 15-22)**: Acceso, rectificacion, eliminacion, portabilidad, oposicion
6. **Transferencias de datos**: Se manejan correctamente las transferencias transfronterizas?
7. **Comparticion con terceros**: Acuerdos DPA con todos los procesadores?
8. **Cumplimiento de cookies**: Banner, opciones granulares, sin casillas pre-marcadas?
9. **Privacy by design**: Minimizacion de datos, pseudonimizacion, cifrado en reposo?
10. **Notificacion de brechas**: Proceso para notificacion de 72 horas del GDPR?

Proporcionar scorecard de cumplimiento y plan de remediacion priorizado.

Ejemplo de Salida

## Scorecard de Cumplimiento de Privacidad: 5/10 CONFORME

| Area | Estado | Regulacion |
|------|--------|------------|
| Gestion de consentimiento | PARCIAL | GDPR Art. 7 |
| Inventario de datos | FALLO | GDPR Art. 30 |
| Derecho a eliminacion | FALLO | GDPR Art. 17 |
| Consent de cookies | PARCIAL | Directiva ePrivacy |
| Retencion de datos | FALLO | GDPR Art. 5(1)(e) |

Cuando Usar

Ejecutar esta auditoria antes de lanzar en mercados regulados por privacidad, despues de agregar nuevas funciones de recopilacion de datos o al integrar nuevos servicios de terceros que procesan datos personales. Esencial durante revisiones de cumplimiento anuales y antes de auditorias regulatorias.

Tips Pro

• Mapea todos los flujos de datos primero — antes de verificar cumplimiento, crea un mapa completo de donde viven los datos personales, incluyendo logs, backups y servicios de terceros.
• El consentimiento de cookies debe ser granular — “aceptar todo o irse” no es consentimiento valido bajo GDPR.
• Los logs son datos personales — direcciones IP, user agents y rutas de request en logs del servidor son datos personales bajo GDPR.
• Prueba el flujo de eliminacion end-to-end — crea una cuenta de prueba, solicita eliminacion, luego verifica que los datos se eliminaron de todos los almacenes.