Hacer la evaluación de impacto (DPIA) y el registro de actividades de tratamiento

DuMonde trata datos de personas vulnerables, que pueden revelar opiniones políticas, afiliación o salud, con ubicación y un asistente de IA. El art. 35 del RGPD exige una evaluación de impacto antes de desplegar, y el art. 30 un registro de actividades. Sin ello, el despliegue público es arriesgado para las usuarias y para DuMonde Lab. Es trabajo de análisis y redacción, sin programar.

1. Inventariar cada tratamiento a partir de supabase/schema.sql, /privacidad y PROTOCOLO_ETICO.md §3.2: datos, finalidad, base jurídica, plazo, quién accede, encargados (Supabase, alojamiento, Anthropic, OpenFreeMap).
2. Escribir la DPIA con la metodología de la AEPD: necesidad y proporcionalidad, riesgos (contramovimiento, aval robado, moderadora comprometida, petición de autoridades), medidas y riesgo residual.
3. Hacer la prueba de ponderación del interés legítimo para el Observatorio y fijar el presupuesto de privacidad diferencial.
4. Proponer el texto que falta en el formulario del buzón («cuenta en los estudios agregados del Observatorio»).
5. Marcar como pendiente lo que necesite una jurista y pedir su revisión.