Genera tu Registro de Actividades de Tratamiento — el documento que piden primero en una inspección
RopaFlow es un generador self-service que crea y mantiene al día tu Registro de Actividades de Tratamiento (RAT), exigido por el artículo 30 del RGPD, en 5 idiomas de la UE — sin DPD, sin abogado, sin hojas de cálculo.
Art. 30 RGPD: el documento que casi ninguna pyme tiene bien hecho
El Registro de Actividades de Tratamiento no es un documento de marketing ni un extra opcional: es una obligación específica y escrita dentro del RGPD, distinta de tu política de privacidad, que los reguladores comprueban primero.
La norma: el artículo 30 del Reglamento General de Protección de Datos (UE) 2016/679 exige que todo responsable del tratamiento — y, en una versión más breve, todo encargado del tratamiento — mantenga un registro escrito de las actividades de tratamiento bajo su responsabilidad, disponible para la autoridad de control cuando lo solicite.
La exención es más estrecha de lo que la mayoría de dueños de negocio cree: el artículo 30(5) solo exime a organizaciones de menos de 250 empleados, y solo cuando el tratamiento es ocasional, poco probable que suponga un riesgo para los derechos y libertades de las personas, y no incluye categorías especiales de datos (salud, datos biométricos, afiliación sindical — Art. 9) ni datos de condenas o infracciones penales (Art. 10). Llevar la nómina de tu propio personal, mantener una base de clientes o enviar una newsletter son actividades regulares, no ocasionales — así que, en la práctica, casi cualquier negocio con empleados o clientes recurrentes queda fuera de la exención, sea cual sea su tamaño.
Por qué se comprueba primero: el Registro de Actividades de Tratamiento es el documento que las autoridades de protección de datos — la AEPD en España, la CNIL en Francia, la DPC en Irlanda y sus equivalentes en otros países — solicitan de forma sistemática al inicio de una inspección. No tenerlo, o tenerlo incompleto, se trata como una infracción autónoma, independientemente de si ha habido o no una brecha de seguridad.
- 1. Identidad del responsableNombre y datos de contacto del responsable del tratamiento (y del Delegado de Protección de Datos, si lo tienes).
- 2. FinalidadesPara qué tratas los datos en cada actividad — nómina, marketing, atención al cliente, videovigilancia, etc.
- 3. CategoríasCategorías de interesados (empleados, clientes, visitantes...) y categorías de datos personales tratados.
- 4. DestinatariosQuién recibe los datos — departamentos internos y destinatarios externos, incluidos los encargados del tratamiento.
- 5. Transferencias internacionalesCualquier transferencia fuera del EEE, y la garantía utilizada (decisión de adecuación, cláusulas contractuales tipo, etc.).
- 6. Plazos de conservaciónLos plazos previstos para la supresión de cada categoría de datos.
- 7. Medidas de seguridadUna descripción general de las medidas técnicas y organizativas de seguridad aplicadas.
La exposición económica es real y tiene dos capas. En España, no disponer de un Registro de Actividades de Tratamiento se clasifica como infracción grave según el artículo 73 de la LOPDGDD, sancionable con multas de hasta 300.000€. Según el techo sancionador general del RGPD (artículo 83), las infracciones combinadas más graves pueden llegar hasta 20 millones de euros o el 4% de la facturación global anual, lo que sea mayor — y la falta de RAT suele ser lo que abre una inspección más amplia.
Fuentes: Artículo 30 RGPD, texto oficial vía gdpr-info.eu · Artículo 83 RGPD (sanciones), gdpr-info.eu · Registro de Actividades de Tratamiento, AEPD (oficial) · RAT: preguntas frecuentes 2025, Actecil · Guía sobre el artículo 30, Data Protection Commission de Irlanda. RopaFlow no es un despacho de abogados ni un DPD — consulta nuestro aviso legal.
A quién afecta el Registro de Actividades de Tratamiento
Negocios con empleados
La nómina, los expedientes de RRHH y los contratos laborales son un tratamiento regular de datos de empleados — no "ocasional" — así que la exención de pequeño negocio no aplica.
E-commerce y negocios online
Las cuentas de cliente, el historial de pedidos, los datos de envío y las listas de marketing son todas actividades regulares de tratamiento que deben documentarse.
Sanidad, abogacía y RRHH
Clínicas, abogados, psicólogos y consultoras de RRHH tratan datos de categoría especial (Art. 9) — automáticamente fuera de la exención, sea cual sea su tamaño.
Agencias de marketing y digitales
Las agencias tratan los datos de clientes de sus propios clientes (a menudo también como encargadas), lo que necesita sus propias entradas y un contrato de encargo del tratamiento firmado.
Autónomos con clientes recurrentes
Facturación, registros de CRM y email marketing a una lista de clientes son actividades regulares — un negocio de una sola persona no está automáticamente exento.
La rara excepción real
Un negocio con tratamiento genuinamente ocasional, sin datos de categoría especial ni penales, y menos de 250 empleados — lo bastante estrecho como para que casi ningún negocio real quede dentro.
De la página en blanco a un registro defendible en cuatro pasos
Añade una actividad de tratamiento
Responde preguntas guiadas: finalidad, base legal, categorías de datos, destinatarios, conservación y transferencias — sin jerga legal.
RopaFlow estructura tu registro
Cada actividad se formatea según los siete elementos exigidos por el artículo 30(1), lista para mostrar a un inspector o a tu DPD.
Añade todas las actividades de tu negocio
Nómina, clientes, marketing, videovigilancia, proveedores, selección de personal — añade tantas entradas como tenga realmente tu negocio.
Exporta y mantenlo al día
Descarga tu registro en HTML, CSV o JSON, y recibe un aviso cuando un cambio normativo relevante afecte a tus entradas.
Genera tu Registro de Actividades de Tratamiento
Añade una entrada por cada actividad de tratamiento de tu negocio. Todo funciona en tu navegador — nada se sube a ningún servidor salvo que decidas exportarlo. Esto es una vista previa educativa, no asesoramiento jurídico; consulta nuestro aviso legal.
Tu Registro de Actividades de Tratamiento
- Todavía no has añadido ninguna actividad — rellena el formulario de arriba y pulsa "Añadir actividad al registro".
Las exportaciones se generan enteramente en tu navegador y son una vista previa educativa de un Registro de Actividades de Tratamiento, no un documento legal certificado. Revísalo con un profesional cualificado antes de confiar en él. Consulta nuestro aviso legal.
Planes simples, sin facturas de consultora
Precio según número de actividades de tratamiento, no por horas facturadas. Cancela cuando quieras.
Herramienta gratis
0€/siempre
- Hasta 2 actividades
- Exportación HTML / CSV / JSON
- Solo inglés o español
- Sin cuenta guardada
Para: probar el formato antes de comprometerte.
Usar el generador gratisStarter
19€/mes
- Hasta 5 actividades
- Exportación HTML / CSV / JSON
- 1 idioma a elegir
- Soporte por email
Para: autónomos y microempresas.
Empezar con StarterGrowth
29€/mes
- Hasta 15 actividades
- Los 5 idiomas de la UE
- Alertas automáticas de cambios normativos
- Cuenta guardada e historial de versiones
Para: pymes en crecimiento con varios departamentos.
Empezar con GrowthPro
39€/mes
- Actividades ilimitadas
- Espacio multi-entidad
- Alertas normativas prioritarias
- Exportación de marca blanca para asesorías
Para: gestorías y asesorías que gestionan varios clientes.
Empezar con ProPara quién sí: autónomos, e-commerce, agencias, clínicas y cualquier pyme con empleados o clientes recurrentes que necesite un RAT defendible sin contratar a una consultora. Para quién no: grandes empresas con tratamientos complejos multi-jurisdicción que necesitan una plataforma DPD/GRC dedicada (OneTrust, Wired Relations, DataGrail) integrada en flujos legales y de IT, u organizaciones que ya tienen herramientas de DPD internas. Por qué funciona así: mantener la herramienta self-service y basada en plantillas es lo que nos permite quedarnos por debajo de 40€/mes en vez de facturar horas de consultoría.
Cuánto ahorras frente a contratar un consultor o DPD
DPD / consultor autónomo
800–3.000€ inicial + 100–400€/mes
Rango habitual reportado por consultoras de protección de datos y directorios de DPD freelance para construir y mantener un RAT para una pyme — a lo que se suman plataformas GRC enterprise (p. ej. OneTrust) que empiezan en torno a 10.000$/año, pensadas para equipos de DPD corporativos, no para pymes.
RopaFlow
desde 228€/año
Planes self-service desde 19€/mes, construidos específicamente para pymes y autónomos — sin proyecto de implementación, sin permanencia, tu primera actividad añadida en minutos.
Preguntas frecuentes
¿Qué es el RAT y por qué lo necesito?
El Registro de Actividades de Tratamiento (RAT en español, RoPA en inglés) es el registro interno exigido por el artículo 30 del RGPD que enumera todas las formas en que tu negocio trata datos personales: quién, para qué, qué datos, durante cuánto tiempo y con quién se comparten. Es un documento distinto y obligatorio, separado de tu política de privacidad o de cookies, y suele ser lo primero que pide una autoridad de protección de datos en una inspección.
¿Mi negocio está exento por tener menos de 250 empleados?
Casi nunca, en la práctica. El artículo 30(5) del RGPD solo exime a organizaciones de menos de 250 empleados si el tratamiento es ocasional, poco probable que suponga un riesgo para los derechos y libertades de las personas, y no incluye categorías especiales de datos (Art. 9) ni datos penales (Art. 10). Actividades habituales como la nómina, una base de clientes o una lista de email marketing no son "ocasionales", así que la mayoría de negocios reales quedan fuera de la exención, sea cual sea su tamaño.
¿Qué debe incluir exactamente el RAT?
Según el artículo 30(1) del RGPD, como mínimo: el nombre y los datos de contacto del responsable, la finalidad de cada tratamiento, las categorías de interesados y de datos personales, las categorías de destinatarios, cualquier transferencia a terceros países y la garantía utilizada, el plazo de conservación de cada categoría, y una descripción general de las medidas técnicas y organizativas de seguridad aplicadas.
¿No es lo mismo que mi política de privacidad o el aviso de cookies?
No. La política de privacidad es un documento público dirigido a las personas, que explica cómo tratas sus datos; la política de cookies cubre las tecnologías de rastreo. El RAT es un registro interno, normalmente no publicado, que documenta tu tratamiento con detalle estructurado — herramientas como Iubenda, Termly o CookieYes cubren las dos primeras, pero no este documento.
¿Qué pasa si me inspeccionan y no lo tengo?
En España, por ejemplo, no disponer de un Registro de Actividades de Tratamiento está clasificado como infracción grave según el artículo 73 de la LOPDGDD, con multas de hasta 300.000€. Según el marco sancionador general del RGPD (artículo 83), las infracciones más graves pueden alcanzar hasta 20 millones de euros o el 4% de la facturación global anual, lo que sea mayor.
¿RopaFlow es un DPD, un despacho de abogados o una entidad certificadora?
No. RopaFlow es una herramienta de software self-service que te ayuda a estructurar y mantener tu propio Registro de Actividades de Tratamiento. No presta asesoramiento jurídico, no actúa como tu Delegado de Protección de Datos y no certifica ni garantiza el cumplimiento. Para asesoramiento legal o el nombramiento formal de un DPD, consulta con un profesional cualificado.
¿Puedo exportar y compartir mi RAT con un inspector o mi DPD?
Sí. El generador gratuito exporta tu registro como HTML, CSV o JSON directamente en tu navegador — nada se sube salvo que tú lo decidas. Los planes de pago añaden cuenta guardada, los 5 idiomas de la UE y alertas automáticas cuando cambie una norma relevante.
¿Tengo que seguir actualizándolo?
Sí — el RAT debe reflejar la realidad. Cada vez que empieces una nueva actividad de tratamiento, cambies de proveedor o encargado, o cambie la normativa aplicable, actualiza tu registro. Los planes de pago de RopaFlow siguen los cambios normativos y te avisan de qué actividades revisar.
¿Quieres la versión completa multi-idioma con actualizaciones automáticas?
Déjanos tus datos y te ayudamos a ver qué plan encaja según tu número de actividades de tratamiento — sin compromiso.