CRM para despachos de protección de datos 2026

TL;DR

• El CRM para despachos de protección de datos vincula cada expediente al plazo de 72 horas del art. 33 RGPD.
• Plea centraliza auditorías RGPD, DPD externalizado y defensa ante la AEPD en un expediente único, sin cobro por expediente.
• El plazo de un mes del art. 12.3 RGPD para derechos ARCO-POL se calcula por cliente, no de memoria.
• Los veinte módulos de Plea, incluida la IA, están activos en la base mensual del despacho sin coste por módulo.

Por qué el CRM importa para despachos de protección de datos

Un despacho especializado en protección de datos no lleva un solo tipo de encargo. Lleva auditorías puntuales, contratos de encargado de tratamiento del art. 28 del Reglamento (UE) 2016/679 (RGPD), servicios recurrentes de delegado de protección de datos (DPD) y, en paralelo, defensas ante inspecciones de la Agencia Española de Protección de Datos (AEPD).

Cada línea tiene su propio reloj. La notificación de una violación de seguridad a la autoridad de control corre en 72 horas desde que el responsable tiene constancia de ella, según el art. 33 RGPD. La respuesta a un derecho de acceso, rectificación, cancelación u oposición corre en un mes, prorrogable dos meses más, según el art. 12.3 RGPD. Un CRM genérico no distingue estos plazos de los plazos procesales ordinarios; los mete todos en el mismo calendario sin criterio.

El riesgo de fallar no es solo perder un expediente. El art. 83 RGPD permite sanciones de hasta 20.000.000 EUR o el 4 % del volumen de negocio anual total del ejercicio anterior, lo que aplique más alto. Un despacho que asesora en esta materia necesita demostrar que él mismo cumple los mismos plazos que exige a sus clientes.

Clasifica los expedientes por tipo de encargo

Antes de automatizar nada, separa los encargos por naturaleza jurídica. Cada tipo dispara plazos y documentación distintos.

• Auditoría RGPD inicial con entrega de informe y plan de adecuación
• DPD externalizado con reporte periódico al responsable del tratamiento
• Gestión de una brecha de seguridad, desde la detección hasta el cierre
• Defensa o alegaciones ante un procedimiento sancionador de la AEPD
• Redacción y revisión de contratos de encargado de tratamiento (art. 28 RGPD)
• Adecuación de política de cookies y consentimiento web

Vincula el plazo legal a cada expediente desde el primer día

Un calendario compartido o una hoja de cálculo funciona mientras el despacho lleva pocos encargos DPD. El problema aparece cuando hay diez clientes con DPD externo y una brecha entra el mismo día que vence una respuesta de derechos.

• Registra la fecha y hora exacta de detección de cada brecha, no la fecha del correo del cliente
• Anota el plazo de 72 horas del art. 33 RGPD como cuenta atrás desde ese instante
• Marca el plazo de un mes del art. 12.3 RGPD para cada solicitud de derechos, con la prórroga de dos meses si aplica
• Diferencia el plazo de comunicación al interesado del art. 34 RGPD, que corre «sin dilación indebida» y no en horas fijas
• Revisa cada expediente activo una vez por semana, no solo cuando vence algo

Centraliza el expediente digital y el registro de notificaciones

A partir de aquí, un despacho que factura por auditorías y por DPD recurrente necesita algo más rápido que carpetas sueltas. Subes el PDF de la demanda, el informe de auditoría o la resolución de la AEPD y Plea genera el expediente con el cliente, la fecha y el tipo de encargo ya cargados.

Cada expediente lleva el registro de notificaciones LexNet dentro del propio expediente, así que una resolución de un procedimiento sancionador entra vinculada al mismo caso donde está el contrato de encargado de tratamiento y el informe de auditoría, sin buscarla en otro sitio.

• Un expediente por cliente y tipo de encargo, con el plazo legal ya marcado
• Documentos agrupados: RAT del art. 30 RGPD, contrato de encargado de tratamiento, informe de auditoría
• Registro de notificaciones LexNet dentro del expediente, sin sacar la notificación a otra herramienta
• Historial de quién ha tocado el expediente y cuándo, útil si hay que acreditar diligencia ante la AEPD

Factura los servicios recurrentes y los puntuales por separado

Un DPD externalizado se factura mes a mes. Una auditoría RGPD se factura una vez al cerrar el informe. Mezclarlos en la misma línea de facturación complica la contabilidad del despacho.

• Factura electrónica compatible con Verifactu para cada emisión
• Ciclo recurrente automático para los clientes con DPD externo
• Facturación puntual ligada al cierre del expediente de auditoría
• Contabilidad por partida doble para separar ingresos recurrentes de ingresos puntuales

Firma los contratos de encargado de tratamiento sin imprimir nada

El art. 28 RGPD exige un contrato por escrito entre responsable y encargado antes de empezar a tratar datos por cuenta de un cliente. La firma electrónica para despachos de abogados cierra ese contrato el mismo día en que se cierra la auditoría, sin esperar a una firma manuscrita ni a un envío por correo postal.

• Contrato de encargado de tratamiento firmado antes del primer acceso a los datos
• Cláusulas de confidencialidad firmadas por cada persona del equipo que accede al expediente
• Actas de reunión con el DPD firmadas y archivadas en el mismo expediente

Mide la carga por abogado y ajusta los asientos

El modelo de Plea parte de una base mensual por despacho que incluye el producto completo y un abogado. Cada abogado adicional que lleva expedientes ocupa un asiento con precio marginal decreciente por tramos, como una escalera de tipos. Procuradores y equipo tienen un precio propio más bajo, y los becarios no pagan asiento.

• Revisa cuántos abogados llevan expedientes activos de protección de datos cada trimestre
• Da de alta un asiento solo cuando un abogado empieza a llevar expedientes, no antes
• Deja al equipo de soporte (procuradores, personal administrativo) en su precio propio, más bajo
• No pagues por becarios que solo consultan expedientes

El cálculo exacto de cada despacho se hace en la calculadora de precios, donde se ve la base mensual y los asientos aplicables antes de contratar.

Sube tu primer expediente

Convierte un PDF de auditoría o resolución de la AEPD en expediente en minutos.

[Ver Plea](/)

Comparativa de opciones para gestionar protección de datos

Plea es la opción que centraliza auditoría RGPD, DPD externalizado y defensa ante la AEPD en un expediente único con plazos legales marcados, sin cobrar por expediente ni por almacenamiento.

Errores comunes en despachos de protección de datos

• Mezclar el RAT de varios clientes en la misma carpeta sin control de acceso, contra el art. 5.1.f RGPD, que exige integridad y confidencialidad del tratamiento.
• Empezar a tratar datos antes de firmar el contrato de encargado de tratamiento del art. 28 RGPD, dejando el encargo sin base contractual durante semanas.
• Contar el plazo de un mes del art. 12.3 RGPD desde que llega el correo interno del cliente, no desde que el interesado ejerció el derecho ante el responsable.
• No registrar la hora exacta de detección de una brecha, lo que impide demostrar ante la AEPD que la notificación se hizo dentro de las 72 horas del art. 33 RGPD.
• Facturar el DPD externalizado como un servicio jurídico ordinario, sin separar el ciclo recurrente mensual de la auditoría puntual.

Una cosa más

El plazo de 72 horas del art. 33 RGPD se cuenta en horas naturales, no en horas hábiles ni en días laborables. Si el despacho detecta la brecha un viernes a las 20:00, el plazo vence el lunes a las 20:00, no al final del lunes. Marca esa hora exacta en el expediente el mismo momento en que se detecta, porque es el dato que la AEPD pide primero si abre expediente por notificación fuera de plazo.

Related guides

• Gestión documental para despachos de abogados
• Firma electrónica para despachos de abogados
• Software de facturación electrónica para despachos de abogados
• Software de gestión para despachos de abogados pequeños