Prompts
Prompts de IA jurídica para Privacidad y Protección de Datos
16 prompts you can paste straight into HAQQ or any other assistant. Every one is written out in full. Open it, copy it, change the bracketed parts.
SaaS transfronterizo: alojamiento, usuarios y reguladorMemorandoEmpresarialCumplimiento / Diligencia
Una empresa de software en [país] vende un contrato SaaS a un [banco / entidad regulada] en [país]. Los datos se alojarán en [ubicación], con usuarios finales en [países]. Dictamina para la empresa de software: 1. Qué regímenes de protección de datos se aplican realmente y por qué punto de conexión: establecimiento, targeting, ubicación de los datos, u obligaciones regulatorias del cliente que se trasladan. 2. Mecanismo de transferencia necesario para cada flujo transfronterizo, y si alojar en un tercer país lo altera. 3. Qué exigirá el supervisor financiero del cliente al proveedor externalizado: derechos de auditoría, aprobación de subencargados, asistencia a la salida, conservación de registros, plazos de notificación de incidentes y el propio derecho de acceso del supervisor. 4. Reglas de localización o residencia de datos que tumben de plano la ubicación de alojamiento propuesta: es la pregunta que mata operaciones, respóndela pronto. 5. Paquete contractual: qué va en el MSA, en el DPA y en el anexo de seguridad, y nuestra posición de repliegue en los tres puntos que el banco no cederá. 6. Lista de acciones fechada hasta la firma. Reglas obligatorias: nombra cada ley y artículo. Si la regla procede de un supervisor y no de una ley, di qué supervisor y qué circular. Si no te consta la vigencia de un requisito, márcalo para verificación en vez de afirmarlo.
Política de PrivacidadPolíticaAvanzadoRedactar / Generar
Redacta una política de privacidad para [Empresa], que opera [describir negocio] en [jurisdicciones]. Estoy asesorando a [Empresa] como responsable del tratamiento. Datos: categorías de datos personales recopilados [detalles], finalidades del tratamiento [detalles], existencia de categorías especiales o datos de menores [sí/no, detalles], datos compartidos con terceros o encargados [detalles], transferencias internacionales implicadas [sí/no, destinos]. Elabora: 1. La sección de recopilación y uso de datos: qué se recopila, de quién y por qué, vinculado a una base legal específica para cada finalidad conforme a la ley de cada jurisdicción listada, no una única base para todo. 2. Conservación: un plazo o un criterio para cada categoría de datos, no un plazo único general. 3. Derechos individuales disponibles en cada jurisdicción, cómo ejercerlos, y el plazo de respuesta. 4. Transferencias internacionales: el mecanismo utilizado para cada destino, y qué ocurre si ese mecanismo deja de estar disponible. 5. Cookies y tecnologías de seguimiento, coherentes con lo que el sitio o producto de [Empresa] realmente despliega. 6. Datos de contacto para consultas de privacidad y, cuando la ley lo exija, la identidad del delegado de protección de datos o representante. Reglas obligatorias: no afirmes una base legal o un plazo de conservación que no esté vinculado a un precepto concreto o a una razón de negocio documentada. Cuando el requisito de una jurisdicción difiera de los demás listados, señala la diferencia en vez de redactar una sola cláusula para todas, y marca todo lo que necesite confirmación de [Empresa] antes de su publicación.
Acuerdo de Procesamiento de DatosAcuerdoAvanzadoRedactar / Generar
Estás redactando un acuerdo de tratamiento de datos en virtud del cual [Procesador] tratará datos personales en nombre de [Controlador] para [describir actividades de procesamiento]. Marco normativo: artículo 28 del RGPD, y la ley local equivalente cuando las partes operen fuera de la UE. Hechos: procesador [Procesador], controlador [Controlador], actividades de procesamiento [describir actividades de procesamiento]. Entregables: 1. Los términos obligatorios del artículo 28: objeto, duración, naturaleza y finalidad del tratamiento, tipos de datos personales, categorías de interesados. 2. Las medidas de seguridad que el procesador debe implementar, proporcionadas al riesgo del tratamiento descrito. 3. El proceso de aprobación de subencargados, incluido el plazo de preaviso y el derecho del controlador a oponerse. 4. Los derechos de auditoría e inspección, incluida su frecuencia y la asignación de costos. 5. Las obligaciones de notificación de brechas de datos, incluido el plazo para notificar al controlador. 6. Las disposiciones sobre transferencias internacionales si el tratamiento se realiza fuera de la jurisdicción del controlador. Reglas obligatorias: cita el requisito del artículo 28 que estás implementando en lugar de parafrasearlo. No indiques un plazo de notificación o una cifra de sanción específicos a menos que consten en los hechos o en la disposición citada; en su lugar, señálalo para confirmación.
Política de CookiesPolíticaAvanzadoRedactar / Generar
Estás redactando una política de cookies para el sitio web de [Empresa], que se publicará como un documento de cumplimiento de cara al público. Hechos: operador del sitio web [Empresa], jurisdicción cuyas normas sobre cookies aplican [jurisdicción]. Entregables: 1. Explicación en lenguaje sencillo de qué son las cookies y por qué el sitio las utiliza. 2. Una tabla de las categorías de cookies utilizadas (esenciales, analíticas, de marketing), con el propósito y la duración típica de cada una. 3. Cookies de terceros: qué terceros las instalan y para qué se utilizan. 4. Cómo puede el usuario ver, aceptar, rechazar o retirar el consentimiento para cada categoría, y cómo se aplica técnicamente esa elección. 5. Datos de contacto para consultas relacionadas con cookies y una fecha de última actualización. Reglas obligatorias: no afirmes que la política cumple con los requisitos de [jurisdicción] como una simple afirmación; identifica el requisito específico de consentimiento o divulgación que satisface, y señala todo lo que dependa de hechos no proporcionados, como las cookies realmente activadas en el sitio, para que el cliente lo confirme antes de la publicación.
Procedimiento de Solicitud de Acceso del TitularPolíticaAvanzadoRedactar / Generar
Redacta un procedimiento interno para [Empresa] para tramitar las solicitudes de acceso de los titulares de datos conforme al RGPD/[ley aplicable]. Estoy asesorando a [Empresa] como responsable del tratamiento. Datos: sistemas y repositorios de datos que contienen datos personales [lista], el equipo actualmente responsable de la recepción [detalles], el plazo legal de respuesta y cualquier prórroga disponible conforme a [ley aplicable]. Elabora: 1. Recepción y verificación de identidad: cómo se registra una solicitud, y los pasos de verificación proporcionados a la sensibilidad de los datos que se conservan, sin exigir más identificación de la que la solicitud justifica. 2. El protocolo de búsqueda: qué sistemas deben buscarse, en qué orden, y quién da el visto bueno a que la búsqueda fue completa. 3. El plazo de respuesta, contado desde la fecha de inicio correcta, con el punto de escalamiento si un plazo corre riesgo. 4. La evaluación de exenciones: los motivos disponibles bajo [ley aplicable] para denegar o redactar material, aplicados punto por punto y no a la solicitud en su conjunto. 5. El formato de la respuesta, y cómo se tratan los datos personales de terceros mezclados en los mismos registros. 6. Escalamiento y aprobación: quién aprueba la respuesta final, y el registro que debe conservarse de la decisión. Reglas obligatorias: cita el artículo de [ley aplicable] que respalda cada paso de verificación, cada plazo y cada exención. No deniegues ni redactes nada sin registrar el motivo concreto invocado, y remite a revisión legal cualquier solicitud que plantee una exención novedosa o controvertida.
Plan de Respuesta a Violación de DatosPolíticaAvanzadoRedactar / Generar
Redacta un plan de respuesta a violaciones de datos para [Empresa], sujeto a [ley aplicable]. Estoy asesorando a [Empresa] como responsable del tratamiento. Datos: los sistemas y categorías de datos personales comprendidos [detalles], el equipo de respuesta a incidentes ya establecido [detalles], el regulador competente y su canal de notificación publicado [detalles]. Elabora: 1. Detección e informe interno: cómo se detecta un incidente por primera vez y a quién se informa, y el plazo que empieza a correr desde ese momento. 2. Evaluación inicial: cómo clasificar la gravedad y decidir, sobre una base documentada, si el incidente alcanza el umbral de notificación al regulador o a los afectados. 3. Medidas de contención y remediación, y quién tiene autoridad para adoptar cada una sin aprobación adicional. 4. Notificación al regulador: el plazo bajo [ley aplicable], la información que debe contener la notificación, y qué hacer si no se dispone de la información completa antes del plazo. 5. Notificación a los afectados: el detonante, el contenido y el canal. 6. Documentación y revisión posterior al incidente: qué debe registrarse independientemente de si se exigía notificación, y quién revisa la respuesta después. 7. Responsabilidades asignadas: un cargo con nombre, no un departamento, para cada acción anterior. Reglas obligatorias: cita el artículo o precepto de [ley aplicable] que respalda cada plazo y cada umbral de notificación. No afirmes un plazo de notificación que no puedas vincular a un precepto concreto, y señala cualquier paso en el que la práctica real del regulador pueda diferir del texto legal.
Aviso de Privacidad para EmpleadosPolíticaAvanzadoRedactar / Generar
Redacta un aviso de privacidad para empleados de [Empresa], sujeto a [ley aplicable]. Estoy asesorando a [Empresa] como empleador. Datos: categorías de datos de empleados recopilados [detalles], cualquier monitoreo vigente (correo electrónico, ubicación, CCTV, herramientas de productividad) [detalles], entidades del grupo que reciben datos de empleados y sus ubicaciones [detalles]. Elabora: 1. Qué se recopila y de quién (el empleado, los mandos, proveedores externos como nómina o beneficios), por categoría. 2. La finalidad y la base legal de cada categoría, distinguiendo lo que se apoya en el consentimiento, el contrato, la obligación legal o el interés legítimo, ya que la relación laboral hace del consentimiento una base débil para la mayoría de estos casos. 3. Períodos de conservación por categoría, vinculados a un plazo de prescripción, a un deber legal de conservación de registros, o a una razón de negocio expresa. 4. Prácticas de monitoreo: qué se monitorea, la base legal, y cómo se informa a los empleados, ya que el monitoreo no revelado suele ser ilícito incluso cuando la finalidad subyacente es legítima. 5. Derechos de los empleados y cómo ejercerlos internamente. 6. Transferencias internacionales dentro del grupo corporativo: los destinos y el mecanismo utilizado para cada uno. Reglas obligatorias: cita el artículo o precepto de [ley aplicable] que respalda cada base legal y cada período de conservación. No describas una práctica de monitoreo como lícita sin nombrar su base, y señala cualquier transferencia cuyo mecanismo no haya sido confirmado por el equipo de protección de datos de [Empresa].
Anexo de Protección de Datos del ProveedorAcuerdoAvanzadoRedactar / Generar
Estás redactando un anexo de protección de datos para adjuntar a los acuerdos con proveedores en los que [Proveedor] pueda acceder o tratar datos personales controlados por [Empresa]. Hechos: proveedor [Proveedor], controlador [Empresa], naturaleza del acceso o tratamiento del proveedor según se describe en el acuerdo subyacente. Entregables: 1. Obligaciones del encargado del tratamiento: procesar solo conforme a instrucciones documentadas, confidencialidad del personal, asistencia con las solicitudes de los interesados. 2. Requisitos de seguridad, proporcionados a la sensibilidad de los datos a los que accederá el proveedor. 3. Restricciones de subencargo, incluidos los derechos de notificación y objeción de [Empresa]. 4. Derechos de auditoría: alcance, frecuencia y quién asume el costo. 5. Mecanismo de transferencia transfronteriza, nombrando la salvaguarda utilizada, como las cláusulas contractuales tipo, en lugar de asumir que aplica una. 6. Consecuencias de un incidente de seguridad, incluido el plazo de notificación. Reglas obligatorias: cita los términos definidos del acuerdo subyacente en lugar de inventar otros nuevos. No afirmes que un mecanismo de transferencia específico es válido para la ubicación de [Proveedor] a menos que esa ubicación esté dada; en caso contrario, señálalo para confirmación.
Política de Retención de DatosPolíticaAvanzadoRedactar / Generar
Estás redactando una política de retención de datos para [Empresa], que cubre todas las categorías de datos personales y comerciales que conserva. Hechos: empresa [Empresa], las categorías de datos y los sistemas comprendidos según los describe el cliente. Entregables: 1. Un calendario de retención por categoría de datos, con el período de retención y la razón legal o comercial detrás de cada uno. 2. Procedimientos de eliminación segura y anonimización al final de cada período de retención. 3. El protocolo de retención por litigio: cómo se activa, se comunica y se levanta. 4. Roles y responsabilidades para el cumplimiento de la política, incluido quién aprueba las excepciones. 5. Ciclo de revisión de la propia política. Reglas obligatorias: no inventes un período de retención legal específico; indica un período solo cuando conste en los hechos o pueda atribuirse a una ley identificada, y señala cualquier otro período como uno que debe confirmar el equipo legal o de cumplimiento del cliente.
Evaluación de Impacto de PrivacidadInformeAvanzadoCumplimiento / Diligencia
Estás realizando una evaluación de impacto de privacidad para el/la [proyecto/sistema/producto] propuesto de [Empresa], que procesará [describir datos personales]. Marco normativo: artículo 35 del RGPD, y el requisito local equivalente si el proyecto también opera fuera de la UE. Hechos: organización [Empresa], proyecto [proyecto/sistema/producto], datos personales involucrados [describir datos personales]. Entregables: 1. Descripción del tratamiento: propósito, alcance, contexto y flujos de datos. 2. Evaluación de necesidad y proporcionalidad respecto del propósito declarado. 3. Identificación de riesgos: probabilidad y gravedad de cada riesgo para las personas. 4. Salvaguardas existentes y planificadas, correlacionadas con cada riesgo identificado. 5. Necesidades de consulta, incluyendo si debe involucrarse el delegado de protección de datos o la autoridad de control. 6. Medidas de mitigación recomendadas, clasificadas según el riesgo que abordan. Reglas obligatorias: no afirmes que el artículo 35 exige esta evaluación sin confirmar que el tratamiento alcanza el umbral de alto riesgo; si ese umbral no queda establecido por los hechos dados, dilo expresamente y señálalo para confirmación.
Evaluación de Transferencia de Datos TransfronterizaMemorandoAvanzadoCumplimiento / Diligencia
Estás asesorando sobre si es lícito transferir datos personales de [país/región de origen] a [país de destino]. Hechos: origen [país/región de origen], destino [país de destino], las categorías de datos personales y la finalidad de la transferencia según las describe el cliente. Entregables: 1. Si una decisión de adecuación cubre el destino; si no consta ninguna en los hechos, indícalo en lugar de asumir que existe. 2. La salvaguarda apropiada disponible si no hay decisión de adecuación: cláusulas contractuales tipo, normas corporativas vinculantes, u otro mecanismo reconocido, y por qué encaja con esta transferencia. 3. Una evaluación al estilo Schrems II de las leyes de vigilancia y acceso del destino, y las medidas suplementarias necesarias para cubrir cualquier brecha. 4. El riesgo práctico si la transferencia procede sin medidas suplementarias. 5. Una recomendación sobre si proceder, pausar o reestructurar la transferencia. Reglas obligatorias: no afirmes que una decisión de adecuación o salvaguarda concreta aplica a [país de destino] a menos que puedas identificarla; en caso contrario, señálalo para confirmación frente a la lista vigente antes de que se confíe en esta evaluación. Esta evaluación es una ayuda de análisis para un profesional cualificado, no un sustituto de asesoramiento legal formal sobre esta transferencia.
Marco de Gobernanza de Datos de Sistema IAPolíticaAvanzadoRedactar / Generar
Estás redactando un marco de gobernanza de datos para los sistemas de IA y aprendizaje automático de [Empresa]. Hechos: organización [Empresa], los sistemas y su uso previsto según los describe el cliente. Entregables: 1. Requisitos de los datos de entrenamiento: procedencia, calidad y base lícita para su uso. 2. Medidas de identificación y mitigación de sesgos a lo largo del ciclo de vida de los datos. 3. Controles de minimización de datos y limitación de la finalidad, específicos para el entrenamiento y la inferencia del modelo. 4. Obligaciones de transparencia hacia las personas cuyos datos se usan o se ven afectados. 5. Derechos individuales en la toma de decisiones automatizada, incluido cómo se gestiona una solicitud de revisión humana. 6. Roles de gobernanza: quién es responsable del marco, quién aprueba las excepciones y cómo se audita. Reglas obligatorias: la regulación específica de IA sigue evolucionando en la mayoría de las jurisdicciones. No cites una ley de IA concreta como rectora de este marco a menos que el cliente la haya nombrado; de lo contrario, describe la obligación en términos generales y señala la normativa aplicable para su confirmación. Cita el artículo o la disposición en la que se base cada obligación que enuncies, y señala todo aquello que no puedas atribuir a un instrumento nombrado como necesitado de confirmación, en lugar de afirmarlo como un hecho.
Acuerdo de Compartición de Datos con TercerosAcuerdoAvanzadoRedactar / Generar
Estás redactando un acuerdo de intercambio de datos entre [Empresa A] y [Empresa B] para compartir [describir datos] con el fin de [describir propósitos]. Hechos: partes que comparten [Empresa A] y [Empresa B], datos compartidos [describir datos], propósito [describir propósitos]. Entregables: 1. Responsabilidades de controlador a controlador: de qué es responsable cada parte una vez que posee los datos. 2. La base jurídica en la que cada parte se apoya para su propio tratamiento. 3. Notificación a los interesados: qué se les informa, por quién y cuándo. 4. Estándares de seguridad que cada parte debe cumplir antes de recibir los datos. 5. Limitaciones a la compartición ulterior, incluida cualquier prohibición de venta o transferencia posterior. 6. Asignación de responsabilidad si el tratamiento de una parte causa una brecha o una reclamación regulatoria. Reglas obligatorias: no afirmes que una base jurídica específica, como el interés legítimo, aplica al tratamiento de cualquiera de las partes sin hechos que lo respalden; señálalo en su lugar para que cada parte realice su propia evaluación legal.
Política de Gobernanza de IAPolíticaExpertoRedactar / Generar
Actúa como asesor de [organización] en gobernanza de IA, conforme a la ley de [jurisdicción]. Redacta una política de gobernanza de IA que cubra: 1. Principios de uso responsable de la IA. 2. Un marco de evaluación de riesgos. 3. Detección y mitigación de sesgos. 4. Requisitos de transparencia. 5. Mecanismos de supervisión humana. 6. Manejo de datos para el entrenamiento de IA. 7. Criterios de evaluación de proveedores. 8. Procedimientos de respuesta a incidentes. Reglas obligatorias: no indiques que esta política satisface una regulación de IA específica, como la Ley de IA de la UE u otra ley nombrada, a menos que cites la disposición real a la que corresponde. Marca cualquier obligación que no puedas atribuir a una fuente regulatoria nombrada como pendiente de confirmación con un asesor regulatorio.
Memorando de investigación normativa (verificar antes de citar)MemorandoAvanzadoInvestigar / Fuentes
Actúa como asesor de cumplimiento. Investiga los requisitos vigentes bajo [nombra la normativa o el marco] tal como se aplican a [describe la actividad de la empresa] en [jurisdicción]. Estructura la respuesta así: la obligación específica, el artículo legal o reglamentario del que proviene, el plazo o hecho que lo activa, y la sanción por incumplimiento. Si no estás seguro de que una cita sea vigente o esté correctamente numerada, dilo explícitamente y pídeme que la confirme con el texto oficial del regulador en lugar de presentar tu mejor suposición como derecho asentado.
Calendario de Obligaciones Bajo una Ley de Protección de Datos de MENA IdentificadaLista de verificaciónExpertoCumplimiento / Diligencia
Actúa como abogado de privacidad construyendo un calendario de obligaciones para [ORGANIZACIÓN], una empresa del sector [SECTOR] que trata datos personales de personas en [PAÍS], bajo [LEY IDENTIFICADA: por ejemplo la Ley de Protección de Datos Personales de Arabia Saudí (Real Decreto M/19) y su Reglamento de Ejecución, el Decreto-Ley Federal de EAU n.º 45 de 2021, la Ley de Protección de Datos del DIFC n.º 5 de 2020, la Ley de Baréin n.º 30 de 2018, o la Ley de Catar n.º 13 de 2016]. Trabaja únicamente con esa ley identificada y sus reglamentos de desarrollo. Cita el artículo de cada obligación; cuando un plazo, umbral, tasa o periodo de conservación no conste en el texto con el que trabajas, escribe "no especificado en la fuente, confirmar" en lugar de aportar una cifra. Devuelve: (1) Aplicabilidad: si la ley alcanza a esta organización y por qué, incluido cualquier nexo extraterritorial, exclusión sectorial o régimen de zona franca que la desplace; (2) Registros y Presentaciones, cualquier registro, licencia, nombramiento o notificación al regulador, con el artículo y el hecho que lo activa; (3) Obligaciones Periódicas, un calendario de qué debe hacerse y con qué cadencia (registro de actividades de tratamiento, evaluaciones de impacto, revisiones, formación, auditorías), cada una con artículo, responsable interno y frecuencia; (4) Plazos Activados por Eventos, el cómputo que se inicia ante una brecha de datos personales, una solicitud del interesado, una transferencia internacional o un cambio de encargado, con el artículo y la regla de cómputo; (5) Condiciones de Transferencia Internacional: las bases permitidas, cualquier paso de autorización o adecuación, y cualquier exigencia de localización, todo citado; (6) Roles y Cláusulas Contractuales, si se exige delegado de protección de datos o representante local y bajo qué supuesto, el reparto responsable-encargado, y las cláusulas que la ley impone en los contratos de encargo; (7) Exposición Sancionadora, las sanciones que la propia ley prevé, citadas del texto, sin estimación de probabilidad; (8) Lista de Brechas y Evidencia, contrastada con [PRÁCTICA ACTUAL], qué falta y qué documento debe poder exhibir [ORGANIZACIÓN] para demostrar cumplimiento, más las preguntas abiertas para el abogado local. Práctica actual: [DESCRIBIR].