Delegado de Protección de Datos (DPO)

1. ¿Qué es un Delegado de Protección de Datos (DPO)?

El Delegado de Protección de Datos, conocido en la normativa como “DPO” (por sus siglas en inglés, Data Protection Officer), es un profesional independiente designado por Credi Solución S.L. cuya misión principal es velar por el cumplimiento de la legislación en materia de protección de datos personales. Entre sus responsabilidades:

• Garantizar que el tratamiento de datos se efectúe conforme al RGPD y la LOPDGDD.

• Servir de punto de contacto con la Agencia Española de Protección de Datos (AEPD) y con los propios interesados (clientes, solicitantes, proveedores) para cuestiones relacionadas con la privacidad.

• Informar y asesorar a la organización y a los empleados sobre sus obligaciones en materia de protección de datos.

• Supervisar las auditorías internas o externas que se realicen para comprobar el cumplimiento de la normativa.

• Colaborar en la elaboración y revisión de políticas internas, procedimientos y cláusulas informativas de tratamiento.

En Credi Solución, el DPO actúa con independencia funcional, es decir, nadie en la organización puede indicarle qué decisiones tomar ni influir en su criterio técnico-jurídico. Su designación se ha comunicado a la AEPD, y está registrado en el Registro de Delegados que mantiene la Agencia.

2. Quién es nuestro DPO

• Nombre: Lic. María Alonso García

• Formación:

  • Licenciatura en Derecho (especialidad Derecho de la Unión Europea).

  • Máster en Protección de Datos y Seguridad de la Información.

  • Certificación Oficial de Delegado de Protección de Datos (DPO certificada por acreditación europea).

• Experiencia profesional:

  • Más de 6 años trabajando en departamentos jurídicos de fintech y entidades financieras.

  • Ha participado en la implementación de procedimientos RGPD en empresas del sector bancario y asegurador.

  • Actualmente asesora proyectos de transformación digital para garantizar el cumplimiento normativo en materia de protección de datos y privacidad.

María lidera nuestro equipo de privacidad y se encarga de supervisar todos los procesos de tratamiento de datos de clientes, solicitantes de crédito, empleados y proveedores.

3. Funciones y responsabilidades del DPO

A continuación se detallan las tareas concretas que desempeña el DPO en Credi Solución:

1. Asesoramiento continuo

   • Brindar orientación legal a la Dirección y al personal en materia de protección de datos y privacidad.

   • Informar de las novedades normativas (RGPD, LOPDGDD, normativa de la AEPD y reglamentos sectoriales) y coordinar la adaptación de políticas y procedimientos internos.

2. Supervisión del cumplimiento normativo

   • Revisar y aprobar las cláusulas informativas y textos de consentimiento que se muestran en formularios web y contratos.

   • Verificar que las prácticas de captación, almacenamiento, conservación y eliminación de datos sigan los principios de licitud, lealtad y transparencia.

   • Controlar los plazos de conservación establecidos (por ejemplo, 5 años tras la cancelación de un préstamo para la prevención de blanqueo, 6 años para fines fiscales).

3. Gestión de derechos de los interesados

   • Recepcionar, tramitar y dar respuesta a solicitudes de ejercicio de derechos ARCO (Acceso, Rectificación, Cancelación, Oposición) y derechos ampliados por el RGPD (Limitación del tratamiento, Portabilidad, Supresión, Oposición a decisiones automatizadas).

   • Asesorar a los usuarios sobre cómo presentar su solicitud para ejercer cualquiera de estos derechos y verificar la legitimidad de la petición.

   • Emitir la resolución correspondiente en los plazos marcados por la normativa (1 mes desde la recepción de la solicitud, con posible prórroga de 2 meses si es necesario, informando al interesado en el primer mes).

4. Revisión de evaluaciones de impacto (DPIA)

   • Analizar proyectos o sistemas nuevos que impliquen tratamientos de alto riesgo (por ejemplo, la integración de nuevas fuentes de datos fiscales o herramientas de scoring avanzadas).

   • Elaborar o revisar las Evaluaciones de Impacto en la Protección de Datos (DPIA) cuando corresponda, proponiendo medidas de mitigación y garantías adicionales para reducir riesgos.

5. Cooperación con autoridades de control

   • Ser el interlocutor con la Agencia Española de Protección de Datos (AEPD) en caso de inspecciones, requerimientos o notificaciones de brechas de seguridad.

   • Colaborar en auditorías externas solicitadas por la AEPD o en el marco de obligaciones sectoriales.

6. Gestión de brechas de seguridad

   • Investigar y coordinar la respuesta ante posibles incidentes de seguridad que afecten la confidencialidad, integridad o disponibilidad de los datos (por ejemplo, hackeos, fugas, accesos no autorizados).

   • Notificar a la AEPD en un plazo máximo de 72 horas desde que se detecta la brecha de datos personales, describiendo la naturaleza del incidente, los datos afectados, las posibles consecuencias y las medidas adoptadas.

   • Comunicar a los usuarios afectados cuando la brecha suponga un “alto riesgo” a sus derechos y libertades (por ejemplo, exposición de cuentas bancarias, datos fiscales, información sensible).

7. Formación y concienciación interna

   • Impartir sesiones de formación periódicas a todo el personal sobre buenas prácticas en protección de datos, ciberseguridad básica, y protocolos internos (uso de redes, gestión de contraseñas, tratamiento de solicitudes de clientes).

   • Realizar campañas de concienciación sobre riesgos de phishing, suplantación de identidad y uso adecuado de sistemas profesionales.

8. Actualización de políticas y procedimientos

   • Redactar y actualizar las Políticas internas de Protección de Datos, los protocolos de Gestión de Incidencias y Brechas de Seguridad, y los procedimientos de custodio y eliminación de soportes.

   • Revisar periódicamente la Política de Privacidad, Política de Cookies y los Términos y Condiciones para incorporar cambios legislativos o jurisprudenciales.

4. Cómo puede ayudarte el DPO

El DPO es tu punto de referencia para cualquier duda o consulta relativa a la protección de tus datos personales. Puedes dirigirte a él en los siguientes casos, entre otros:

1. Ejerciendo tus derechos ARCO y los derechos ampliados por el RGPD

   • Si deseas acceder a la información que tenemos sobre ti, rectificar datos inexactos, solicitar la supresión cuando proceda, limitar el tratamiento o ejercer tu derecho de portabilidad.

   • Si quieres oponerte al tratamiento de tus datos para fines de marketing, perfilado o decisiones automatizadas (por ejemplo, si deseas que la IA de scoring crediticio no tome decisiones sin intervención humana).

2. Solicitar información sobre cómo se usan tus datos

   • Para conocer con detalle la finalidad del tratamiento (gestión de solicitudes de crédito, envío de comunicaciones, gestión de cobros).

   • Para consultar la legitimación que Credi Solución emplea (ejecución de contrato, cumplimiento de obligaciones legales, consentimiento).

   • Para saber los plazos de conservación de cada tipo de dato (documentación de solicitud, datos fiscales, historial de pagos).

3. Denunciar una posible brecha de seguridad o actividad sospechosa

   • Si detectas movimientos no autorizados en tu perfil, cambios de datos que no solicitaste o recibes comunicaciones fraudulentas suplantando a Credi Solución.

   • Si encuentras un enlace malicioso en nuestra web, un comportamiento anómalo al navegar o recibes correos “phishing” que aparentan ser de la entidad.

4. Obtener asesoramiento sobre protocolos de confidencialidad

   • Si necesitas adaptar tus procesos como autónomo o pyme para compartir documentos con Credi Solución (evitar filtrar datos sensibles, usar canales seguros, cifrar documentos).

   • Si quieres conocer las medidas de seguridad que implementamos para proteger tus datos (cifrado, controles de acceso, auditorías de pentesting).

5. Resolver dudas sobre consentimiento y usos específicos

   • Si no entiendes el texto de alguna cláusula informativa o de alguna casilla de consentimiento al completar un formulario.

   • Si ya diste tu consentimiento para comunicaciones comerciales y deseas revocarlo o modificarlo.

6. Informarte sobre auditorías y evaluaciones de impacto

   • Si deseas saber si tu caso particular (por ejemplo, un préstamo de importe elevado) ha sido sometido a una Evaluación de Impacto en la Protección de Datos (DPIA), y qué medidas fueron implementadas para mitigar riesgos.

5. Cómo contactar al DPO

Para cualquier cuestión relacionada con la protección de datos y la privacidad, puedes ponerte en contacto directamente con nuestro Delegado de Protección de Datos a través de los siguientes canales:

• Correo electrónico:

  dpo@credisolucion.es

• Utiliza este buzón para:

  • Ejercer cualquiera de tus derechos (acceso, rectificación, supresión, portabilidad, limitación, oposición).

  • Notificar brechas de seguridad o incidentes sospechosos.

  • Consultar sobre finalidades, plazos de conservación y cesiones de datos.

• Formulario web de privacidad:

  • Ubicación: Sección “Delegado de Protección de Datos” en la página de Credi Solución.

  • Campos principales:

    1. Nombre completo y DNI/NIE (u otro documento que acredite tu identidad).

    2. Correo electrónico y teléfono de contacto.

    3. Motivo de la consulta o solicitud (derechos ARCO, incidencia de seguridad, duda sobre consentimiento, etc.).

    4. Descripción detallada y, en su caso, documentación adjunta (PDF, JPG, máximo 5 MB).

• Dirección postal:

• Credi Solución S.L.
  Atención: Delegado de Protección de Datos (DPO)
  Plaza de la Lealtad, 2
  28014 Madrid (España)
• Si envías tu petición por correo postal, asegúrate de firmar la solicitud y adjuntar copia de tu DNI/NIE para verificar tu identidad. Se recomienda el envío mediante certificado con acuse de recibo para garantizar la trazabilidad.

• WhatsApp (seguimiento de solicitudes)

  • Número: 660 666 348

  • Uso exclusivo: Para consultas de seguimiento de solicitudes ya registradas. No se generan solicitudes nuevas por WhatsApp.

Procedimiento para ejercer tus derechos de protección de datos

A continuación se explica de forma paso a paso cómo puedes ejercer tus derechos ante el DPO de Credi Solución:

6.1. Derecho de acceso

1. Envía una solicitud a dpo@credisolucion.es indicando “Solicito acceso a mis datos personales según art. 15 RGPD”.

2. Incluye: Nombre completo, DNI/NIE (o documento equivalente), dirección de correo electrónico y, si es posible, descripción de los datos específicos que deseas consultar (por ejemplo, “Datos relacionados con mi solicitud del préstamo CS2025‐000345”).

3. En un plazo máximo de 1 mes, recibirás un informe detallado con:

   • Las categorías de datos que tratamos.

   • Las finalidades concretas (gestión de solicitud, envío de comunicaciones, análisis de riesgo).

   • Periodos de conservación.

   • Destinatarios de cesiones (Hacienda, ASNEF u otros, si aplica).

   • Origen de los datos (cuando no te los hayas facilitado directamente).

   • Información sobre si se realiza perfilado o decisiones automatizadas.

6.2. Derecho de rectificación

1. Envía un correo a dpo@credisolucion.es con asunto “Solicitud de rectificación de datos”.

2. Especifica claramente qué datos consideras inexactos o incompletos (por ejemplo, “Mi dirección aparece como Calle Mayor 10 cuando resido en Calle Nueva 15”).

3. Adjunta documento que acredite el dato correcto (certificado de empadronamiento, factura de suministro).

4. En un mes, Credi Solución corregirá la información y te confirmará por escrito la rectificación, indicando la fecha en que se realizó la modificación.

6.3. Derecho de supresión (“derecho al olvido”)

1. Envía un email a dpo@credisolucion.es con asunto “Solicitud de supresión de datos personales”.

2. Argumenta por qué consideras que tus datos ya no son necesarios para la finalidad original (por ejemplo, “Mi contrato de crédito ya está totalmente amortizado y han transcurrido los 5 años de conservación mínima de la documentación”).

3. Comprende que no todos los datos pueden suprimirse si existen obligaciones legales que exijan su conservación (fiscal, prevención de blanqueo, reclamaciones en curso).

4. En un plazo de 1 mes, recibirás confirmación sobre los datos que pueden eliminarse y los que deben conservarse por motivos legales, así como el plazo estimado de supresión (en caso de que proceda).

6.4. Derecho a la limitación del tratamiento

1. Dirígete al DPO vía dpo@credisolucion.es con asunto “Solicitud de limitación del tratamiento”.

2. Explica las razones:

   • P. ej., “Estoy en proceso de impago y quiero limitar el tratamiento de mis datos hasta que regularice mi situación”.

   • O: “He impugnado la exactitud de mis datos fiscales en Hacienda y pido limitar su uso hasta que se resuelva”.

3. Credi Solución suspenderá el tratamiento de los datos en los casos permitidos por la normativa y te informará en el plazo de un mes.

6.5. Derecho a la portabilidad

1. Envía tu solicitud a dpo@credisolucion.es con asunto “Solicitud de portabilidad” e indica a qué destino quieres que enviemos tus datos (p. ej., “Solicito traslado de mis datos a [Nombre de otra entidad financiera]”).

2. Identifica claramente los datos que deseas portar (contrato de préstamo, historial de pagos, datos de solicitud).

3. Credi Solución te proporcionará un archivo estructurado, en formato CSV o XML, con los datos solicitados en un plazo de 1 mes, lista para transmitirlos al nuevo responsable.

6.6. Derecho de oposición

1. Envía un e-mail a dpo@credisolucion.es con asunto “Solicitud de oposición al tratamiento”.

2. Indica si te opones a:

   • El envío de comunicaciones comerciales (p. ej., “No deseo recibir ofertas de productos financieros ni boletines de novedades”).

   • La toma de decisiones totalmente automatizadas que te afecten (p. ej., “Me opongo a que la IA de scoring decida automáticamente si recibo un crédito sin intervención humana”).

3. En un mes, Credi Solución evaluará tu solicitud. Si procede, suspenderá el tratamiento para la finalidad indicada (por ejemplo, dejar de recibir boletines) o pondrá a disposición un canal de revisión manual de la decisión.

6.7. Derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado

1. Si consideras que una decisión (rechazo de préstamo, modificación de condiciones) se ha tomado sin intervención humana, envía correo a dpo@credisolucion.es con asunto “Solicitud de revisión de decisión automatizada”.

2. Describe el caso y adjunta la notificación que recibiste.

3. Credi Solución te informará cómo solicitar la intervención humana, explicará la lógica del algoritmo y te indicará el procedimiento para presentar tus argumentos.

4. En 1 mes, recibirás respuesta indicando las conclusiones de la revisión manual y, en su caso, la nueva resolución.

7. Marco legal que ampara las funciones del DPO

El DPO ejerce su función en base a los artículos y disposiciones del RGPD y la LOPDGDD, entre los que destacan:

1. Artículo 37 del RGPD (“Designación del delegado de protección de datos”)

   • Obliga a designar un DPO cuando el tratamiento lo realiza una autoridad pública o cuando el núcleo de la actividad consiste en operaciones de tratamiento que, por su naturaleza, ámbito y/o finalidades, requieran una observación sistemática y periódica de interesados a gran escala (como ocurre con la consulta a ficheros de morosidad o con el perfilado de solicitudes crediticias).

2. Artículo 38 del RGPD (“Posición del delegado de protección de datos”)

   • Detalla los principios de independencia, no injerencia y protección frente a sanciones o despidos por ejercer sus funciones.

   • Establece la obligación de que el DPO HTML no reciba instrucciones sobre cómo desempeñar sus tareas y que informe directamente al más alto nivel de la organización.

3. Artículo 39 del RGPD (“Misiones del delegado de protección de datos”)

   • Enumera las tareas específicas del DPO: informar y asesorar al responsable y al personal, supervisar el cumplimiento, cooperar con la autoridad de control (AEPD), actuar como punto de contacto.

4. Artículo 30 del RGPD (“Registro de actividades de tratamiento”)

   • El DPO supervisa que se mantengan los registros actualizados de las actividades de tratamiento (por ejemplo, registro de consultas a ASNEF, registro de remesas de datos a otras entidades).

5. Artículo 33 y 34 del RGPD (“Notificación de violaciones de la seguridad de datos personales” y “Comunicación de la violación”)

   • El DPO coordina las notificaciones a la AEPD en un plazo máximo de 72 horas desde que se detecta la brecha, y, en caso de alto riesgo, comunica a los interesados afectados.

6. Artículos 12–23 del RGPD

   • Establecen los derechos de los interesados y los plazos para atender sus solicitudes (1 mes para respuesta, prórrogas justificadas hasta 2 meses más).

7. Capítulos II y III de la LOPDGDD

   • Recogen las bases específicas de tratamiento y los derechos ARCO/ARPD adaptados a la realidad española.

8. Resumen de contactos y plazos