Capacidad
Controla las solicitudes de los interesados de cada cliente frente al reloj del Artículo 12(3)
Una solicitud que supera un mes en silencio es una infracción; la misma solicitud, prorrogada y comunicada con motivos, cumple. RINS.AI lleva ese reloj para cada cliente desde una sola consola — y es honesto sobre lo que no alcanza.
Marcos cubiertos
Qué exige el Artículo 12(3)
Un responsable debe responder a una solicitud de un interesado 'sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción' (Art. 12(3)). Ese mes puede prorrogarse dos meses más cuando sea necesario — pero solo si el responsable informa al interesado de la prórroga, y de sus motivos, dentro del primer mes. La prórroga no es automática ni silenciosa: una prórroga no comunicada no es una prórroga.
Esta es la distinción de la que depende el plazo. Una solicitud que llega al mes sin respuesta y sin una prórroga comunicada es una infracción. La misma solicitud, prorrogada y comunicada con motivos dentro del primer mes, cumple. La diferencia no es el tiempo transcurrido — es si se informó al interesado, a tiempo, y por qué.
- Un mes desde la recepción (Art. 12(3))
- Prorrogable dos meses — solo con motivos, comunicados dentro del primer mes
- Una prórroga silenciosa es una infracción, no una prórroga
El reloj se calcula, no se almacena
El plazo se calcula a partir de la marca temporal de recepción cada vez que se lee, no se escribe una sola vez en un campo de estado. Un plazo almacenado puede quedar obsoleto — editado, omitido por un proceso en segundo plano, o congelado al cambiar un estado. Un reloj calculado no puede: siempre refleja el tiempo real restante desde el momento de la recepción.
Una solicitud pasa por seis estados a lo largo de su vida. Fundamental: una solicitud con identidad pendiente mantiene el reloj en marcha: verificar la identidad del solicitante conforme al Artículo 12(6) es un requisito previo para actuar, no una pausa. Tratar la verificación como una prórroga es una de las formas más comunes en que se permite que una solicitud incumpla mientras parece 'en espera'.
- Plazo derivado de received_at en cada lectura — no puede quedar obsoleto
- Seis estados de la solicitud a lo largo del ciclo de vida
- identity_pending mantiene el reloj en marcha — la verificación del Art. 12(6) no es una prórroga
Rechazos y registros que una autoridad de control preguntará
Una solicitud puede rechazarse, pero no con texto libre. RINS.AI exige un fundamento jurídico estructurado — manifiestamente infundada o excesiva (Art. 12(5)(b)), una excepción a la supresión (Art. 17(3)), una limitación de derechos (Art. 23), datos no conservados, o identidad no acreditada. Ese fundamento estructurado es exactamente el campo que una autoridad de control pregunta al revisar un rechazo; 'decidimos no hacerlo' no es una respuesta.
Los registros son de solo adición. Una finalización, un rechazo o una prórroga nunca se sobrescribe — una corrección se añade, con el actor que la hizo y la marca temporal, de modo que la decisión original y su modificación sobreviven ambas. El rastro muestra qué se decidió, quién lo decidió y cuándo cambió.
- Fundamentos de rechazo estructurados: Art. 12(5)(b), Art. 17(3), Art. 23, datos no conservados, identidad no acreditada
- Modificaciones de solo adición — original conservado, corrección atribuida y fechada
- Vista de cartera — qué cliente tiene una solicitud a punto de incumplir
Qué no hace — el límite que importa
Esta es la parte que un comprador responsable comprueba primero. RINS.AI busca en los registros que la plataforma conserva — las entradas de RAT del cliente, los resultados de análisis y las evidencias almacenadas. No entra en el CRM, el correo ni el sistema de RR. HH. de un cliente, y la respuesta indica claramente qué sistemas no se buscaron. Esa divulgación forma parte del resultado, no es una nota al pie.
Y produce una lista de trabajo para el responsable — no cumple la solicitud. El responsable decide qué divulgar, redactar o rechazar. Una herramienta de DSR que parece cumplir una solicitud automáticamente es más peligrosa que ninguna: invita a una divulgación que nadie revisó. RINS.AI lleva el reloj, estructura la decisión y la registra; una persona la completa.
- Busca solo en registros de la plataforma: RAT, análisis, evidencias
- NO alcanza el CRM, el correo ni RR. HH. del cliente — y la respuesta dice qué sistemas no se buscaron
- Produce una lista de trabajo para el responsable; no cumple la solicitud
Fuentes normativas
- GDPR Art. 12 — Transparencia y modalidades (incl. el plazo de un mes del 12(3)) ↗
- GDPR Art. 15 — Derecho de acceso (qué debe facilitarse) ↗
- GDPR Art. 17 — Derecho de supresión (incl. excepciones del 17(3)) ↗
- GDPR Art. 23 — Limitaciones ↗
Los enlaces llevan al texto consolidado oficial en EUR-Lex.
Preguntas frecuentes
¿Verificar la identidad pausa el plazo?
No. La verificación de identidad del Artículo 12(6) es un requisito previo para actuar, no una prórroga del reloj del Artículo 12(3). En RINS.AI una solicitud con identidad pendiente sigue contando, de modo que el retraso en la verificación nunca consume el mes en silencio.
¿Responde la solicitud por nosotros?
No — y deliberadamente. Reúne una lista de trabajo a partir de los registros que la plataforma conserva y te dice qué sistemas no pudo buscar. El responsable revisa, redacta y completa la respuesta. El cumplimiento automático es un riesgo, no una función.
Desarrolla herramientas de cumplimiento para MSPs y consultorías de privacidad, trabajando a diario con GDPR, DORA, NIS2 y los regímenes PDPL del Golfo.
Last updated Sep 16, 2026