# Registro de Actividades de Tratamiento (RAT)

**Empresa:** [RAZÓN SOCIAL] · **RUT:** [RUT] · **Domicilio:** [DOMICILIO]
**Responsable de datos / Delegado (DPO si aplica):** [NOMBRE / CARGO] · **Contacto:** [CORREO]
**Fecha:** [FECHA] · **Versión:** 1.0

> Documento interno que materializa la **responsabilidad proactiva** (Decreto 64/020 art. 5). No reemplaza la
> **inscripción de las bases en la URCDP** (Art. 29 Ley 18.331), que es un trámite aparte. Mantener actualizado.

| # | Actividad / finalidad | Rol (responsable / encargado) | Categorías de datos | Categorías de titulares | Base de licitud (Art. 9) | Encargados / proveedores | Transferencia internacional (país + mecanismo Art. 23) | Retención | Medidas de seguridad |
|---|---|---|---|---|---|---|---|---|---|
| 1 | [ej. Gestión de cuentas de usuario] | [responsable] | [nombre, correo, CI] | [clientes] | [consentimiento / relación contractual] | [AWS, Resend] | [EE.UU. — autorización URCDP / cláusulas contractuales] | [N meses] | [TLS, MFA, logs] |
| 2 | | | | | | | | | |

## Notas
- Distinguir cada flujo: propio (responsable) vs procesado para un cliente (encargado).
- Si tratás **datos sensibles** (Art. 4 lit. E) o **+35.000 personas**, probablemente debas designar **DPO**
  (Decreto 64/020 art. 10) y realizar **DPIA** (art. 6).
- Revisar al menos cada 12 meses o ante cambios de infraestructura.

---
*Borrador generado con compliance-uy (pack ley-18331). No constituye asesoría legal; revisar con un abogado.*