Encuentra los agujeros antes de que sean una brecha de RGPD.

Los que tocan datos personales, no todo tu inventario. Entran las aplicaciones web y sus API, las apps móviles, el cloud, la red interna y los sitios donde los datos acaban de verdad: bases de datos, copias de seguridad y repositorios de ficheros.

Para acotar partimos de tu registro de actividades de tratamiento (artículo 30), que ya dice qué datos tratas, con qué fines y quién los recibe. Lo que el registro no dice es en qué sistemas viven, así que esa parte la recorremos contigo en la primera reunión, uno a uno, en vez de probarlo todo o de ir a ciegas.

Nuestra recomendación: después de redactarla y antes de poner el tratamiento en marcha. La evaluación de impacto describe las medidas de seguridad previstas para un tratamiento de alto riesgo (artículo 35.7.d); el pentest comprueba si esas medidas aguantan y deja la prueba técnica que acompaña a esa evaluación.

Aquí no hay fecha que valga, y no vamos a inventar ninguna. Lo que sí dice el RGPD es que la evaluación se revisa cuando cambia el riesgo (artículo 35.11), y ese es el momento de volver a probar: un cambio en el tratamiento, no una casilla del calendario.

No. Un hallazgo de pentest es una vulnerabilidad, no una brecha. Las 72 horas las arranca una violación de seguridad que destruya, pierda o altere datos personales, o que dé lugar a comunicación o acceso no autorizados, y se notifica salvo que sea improbable que haya riesgo para los afectados (artículos 4.12 y 33). Encontrar la vía de entrada antes que un atacante es justo lo contrario.

Hay una excepción y te avisamos en cuanto la vemos: si aparece rastro de que alguien ya entró, eso sí puede ser una brecha. Notificar o no lo decides tú con tu asesoría; nosotros ponemos la evidencia debajo.

Lo ves tú y quien tú decidas. No lo publicamos, no lo pasamos a nadie y no usamos tu nombre como referencia sin tu permiso. Ni siquiera el informe de muestra sale por correo; se enseña comentado en una llamada.

Quien suele pedírtelo no es un auditor de certificación: es tu delegado de protección de datos, un cliente que ejerce su derecho de auditoría sobre ti como encargado (artículo 28.3.h) o la autoridad de control. A los tres les enseñas lo mismo: el informe, el retest con el cierre documentado y la exportación de la plataforma, con cada hallazgo y su trazabilidad.

El que marque el riesgo, porque el RGPD no pone fecha. El artículo 32 exige medidas ajustadas al riesgo y que compruebes con regularidad que funcionan, así que lo que se defiende ante un auditor no es haber corregido rápido: es haber priorizado bien y poder demostrarlo (artículo 5.2).

El informe llega con las correcciones ordenadas por impacto real, y el retest va incluido, sin coste y sin límite de tiempo. Cuando cierres algo, lo comprobamos y queda la prueba documentada de que está cerrado. No hay ninguna ventana que se te pase.

No. No actuamos como tu delegado de protección de datos, no llevamos tu programa de privacidad ni damos asesoramiento legal, y tampoco hay ningún certificado de RGPD que podamos emitir: el RGPD es una ley, no un esquema de certificación. Hacemos el pentesting que evidencia la seguridad de los datos personales que tratas. Muchos clientes nos combinan con su delegado de protección de datos o con su asesoría jurídica, y los papeles encajan sin pisarse.

Sí. Te lo enseñamos en la llamada, comentado: ves el nivel de detalle, la claridad del informe y el formato de la evidencia, y preguntas sobre lo que te interese. No lo mandamos suelto por correo.