[{"data":1,"prerenderedAt":14},["ShallowReactive",2],{"article:es:la-solicitud-de-un-interesado-del-rgpd-para-una-empresa-de-software-el-mes-del-articulo-12-apartado-3-los-ocho-contenidos-de-una-respuesta-de-acceso-los-dos-meses-adicionales-y-una-pagina-que-calcula-el-plazo":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"answer":9,"body":13},"es","la-solicitud-de-un-interesado-del-rgpd-para-una-empresa-de-software-el-mes-del-articulo-12-apartado-3-los-ocho-contenidos-de-una-respuesta-de-acceso-los-dos-meses-adicionales-y-una-pagina-que-calcula-el-plazo","La solicitud de un interesado del RGPD para una empresa de software: el mes del artículo 12, apartado 3, los ocho contenidos de una respuesta de acceso, los dos meses adicionales y una página que calcula el plazo","Una solicitud conforme a los artículos 15 a 22 se responde sin dilación indebida y en todo caso en el plazo de un mes desde la recepción (artículo 12, apartado 3); el plazo termina en la misma fecha del mes siguiente o en su último día; hay dos meses adicionales cuando las solicitudes son complejas o numerosas, informando al interesado dentro del primer mes; una negativa lleva sus motivos y las vías de recurso dentro del mismo mes (12, apartado 4); la respuesta es gratuita salvo solicitud manifiestamente infundada o excesiva, y la empresa soporta la carga de probarlo (12, apartado 5). Una solicitud de acceso se responde con una copia de los datos y los ocho contenidos del artículo 15, apartado 1, letras a) a h), de los fines a las decisiones automatizadas. Leída contra el catálogo, con una página gratuita que calcula el plazo y redacta la respuesta en seis idiomas.","2026-09-12",{"who":10,"when":11,"do":12},"Una empresa de software como responsable de sus propios datos de clientes, usuarios y empleados, que recibe la solicitud; y como encargada de los datos de sus clientes, que asiste al responsable conforme al artículo 28, apartado 3, letra e), y nunca responde al interesado en su lugar.","El plazo empieza el día en que se recibe la solicitud, por cualquier canal que la empresa ofrezca, y termina en un mes, o en tres cuando se toma la prórroga y se comunica dentro del primero; la obligación se aplica desde el 25 de mayo de 2018 y no tiene umbral de tamaño.","Anote el día de recepción y calcule el plazo; compruebe la identidad solo cuando haya dudas razonables; responda a partir del registro de actividades de tratamiento, que ya contiene los fines, las categorías, los destinatarios y los plazos de conservación; la página gratuita calcula la fecha y redacta la respuesta de acceso según el artículo 15, apartado 1.","\nCada derecho del capítulo III del Reglamento llega a una empresa de software como un mensaje: un usuario pregunta qué tiene la empresa sobre él, un antiguo empleado pide una copia, el usuario final de un cliente pide ser suprimido. El artículo 12 fija el procedimiento para todos, y su apartado 3 fija el plazo: la información sobre las actuaciones tras una solicitud conforme a los artículos 15 a 22 se facilita sin dilación indebida y en todo caso en el plazo de un mes desde la recepción. Este artículo lee el artículo 12 y el artículo 15 contra el [catálogo](\u002Fgdpr\u002Fduties) que StandardOS mantiene del Reglamento, donde la fila del artículo 12, apartado 3, lleva el mes como plazo, y contra la [página gratuita](\u002Fgdpr\u002Frequest-clock) que calcula el plazo y redacta la respuesta.\n\n## El mes: desde la recepción, según la regla de los plazos\n\nEl plazo corre desde la recepción, que es el día en que la solicitud llegó a la empresa por cualquiera de los canales que ofrece, no el día en que alguien la leyó. Un plazo expresado en meses termina al expirar el día del último mes que lleva la misma fecha que el día en que empezó, o el último día de ese mes si no existe: la regla del Reglamento (CEE, Euratom) n.º 1182\u002F71, que el Comité Europeo de Protección de Datos aplica al artículo 12, apartado 3, en sus directrices sobre el derecho de acceso. Una solicitud recibida el 31 de enero se responde, por tanto, a más tardar el 28 de febrero, o el 29 en año bisiesto; una recibida el 13 de cualquier mes, a más tardar el 13 del siguiente. La página calcula la fecha según esa regla y no desplaza un plazo que cae en fin de semana, porque la lectura segura es responder antes, no después. El artículo 12, apartado 1, añade la forma: por escrito o por otros medios, incluidos los electrónicos, y verbalmente solo si el interesado lo pide y su identidad queda acreditada; el artículo 15, apartado 3, añade que una solicitud presentada por medios electrónicos se responde en un formato electrónico de uso común, salvo que el interesado pida otra cosa.\n\n## Los dos meses adicionales, y la comunicación dentro del primero\n\nEl artículo 12, apartado 3, segunda frase, permite prorrogar el plazo dos meses más en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. La prórroga no es un segundo mes ganado por silencio: el responsable informa al interesado de la prórroga y de sus motivos dentro del mes desde la recepción, así que el primer plazo sobrevive como el día de esa comunicación y solo el fondo pasa al tercer mes. Una empresa que recibe una única solicitud de acceso de un usuario no puede llamarla honestamente compleja; la prórroga es para la empresa que recibe cientos tras una violación, o para una solicitud que abarca años de registros en varios sistemas. La página mantiene separadas las dos fechas: el día en que se debía la comunicación y el día en que se debe la respuesta.\n\n## Negativa, canon e identidad: los otros tres apartados\n\nEl artículo 12, apartado 4, se refiere a la empresa que no dará curso a la solicitud: informa al interesado sin dilación y a más tardar en el plazo de un mes desde la recepción de los motivos, y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales. El silencio no es una negativa; una negativa es una carta con motivos, en el mismo plazo. El artículo 12, apartado 5, hace gratuita la respuesta; solo una solicitud manifiestamente infundada o excesiva, en particular por su carácter repetitivo, permite a la empresa cobrar un canon razonable en función de los costes administrativos o negarse a actuar, y la empresa soporta la carga de demostrar ese carácter. Una segunda solicitud un año después no es repetitiva; la misma solicitud cada semana sí. El artículo 12, apartado 6, permite a la empresa pedir información adicional para confirmar la identidad de quien solicita cuando tenga dudas razonables, lo que ocurre con una solicitud desde una dirección desconocida sobre una cuenta con nombre y no con una solicitud enviada desde la propia cuenta; la pregunta no detiene el plazo, y una empresa que pide copia del pasaporte a todo solicitante ha creado un tratamiento propio que tendrá que justificar.\n\n## La respuesta de acceso: una copia y ocho contenidos\n\nEl artículo 15, apartado 1, da al interesado el derecho a obtener confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, acceso a los datos y ocho contenidos: a) los fines del tratamiento; b) las categorías de datos personales de que se trate; c) los destinatarios o categorías de destinatarios, en particular en terceros países u organizaciones internacionales; d) de ser posible, el plazo previsto de conservación o los criterios para determinarlo; e) la existencia de los derechos de rectificación, supresión, limitación y oposición; f) el derecho a presentar una reclamación ante una autoridad de control; g) cuando los datos no se hayan obtenido del interesado, cualquier información disponible sobre su origen; h) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, conforme al artículo 22, apartados 1 y 4, con información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas para el interesado. El artículo 15, apartado 3, añade la copia de los datos personales objeto de tratamiento, las copias adicionales por un canon razonable y el formato electrónico; el artículo 15, apartado 4, evita que la copia afecte negativamente a los derechos y libertades de otros, y por eso en la copia de un ticket de soporte se tachan las notas privadas del agente sobre una tercera persona y no sus respuestas. Para una empresa de software, siete de los ocho ya están escritos: son las columnas del [registro de actividades de tratamiento](\u002Fgdpr\u002Frecord-of-processing), y h) es o bien \"ninguna\", o bien la descripción que la propia documentación del producto da del modelo que puntúa, ordena o decide.\n\n## La parte del encargado, y la de la norma\n\nUna empresa que aloja los datos de sus clientes recibe solicitudes que no debe responder: el interesado es del cliente, y el cliente es el responsable. El artículo 28, apartado 3, letra e), hace que el encargado asista al responsable, con medidas técnicas y organizativas apropiadas y en la medida de lo posible, en la respuesta a las solicitudes de ejercicio de los derechos del interesado, que es la cláusula que redacta la página de [cláusulas de encargo](\u002Fgdpr\u002Fprocessor-terms) y las funciones de exportación, búsqueda y supresión que el producto tiene que tener. ISO\u002FIEC 27701:2025 sitúa las mismas obligaciones en la tabla A.1 como controles sobre el acceso, la corrección y la supresión, sobre la copia de la PII y sobre la gestión de solicitudes, cada uno de los cuales el catálogo lee contra el artículo 12, apartados 3 y 4, de modo que un sistema certificado lleva el mes como un procedimiento con un registro detrás, no como un recuerdo.\n\n## Qué hacer con ello\n\nRegistre cada solicitud el día en que llega, en un solo lugar, con el derecho que ejerce: ese registro es el inicio del plazo y la prueba que la autoridad pide primero. Calcule el plazo según la regla de los plazos y redacte la comunicación de prórroga o de negativa en la primera fecha, nunca después. Responda las solicitudes de acceso a partir del registro de actividades de tratamiento y añada la copia desde el producto; responda las solicitudes de supresión y rectificación y comuníquelo después a cada destinatario de los datos conforme al artículo 19. La [página del plazo de respuesta](\u002Fgdpr\u002Frequest-clock) hace el cálculo y la redacción; la [página del plazo de violación](\u002Fgdpr\u002Fbreach-clock) está al lado para la solicitud que resulta describir una violación, y la [determinación de obligaciones](\u002Fgdpr\u002Fduties) dice cuáles de las demás obligaciones lleva la misma empresa.\n",1789383972531]