La Digital Personal Data Protection Act, 2023 (DPDPA) y el Reglamento General de Protección de Datos (GDPR) son marcos integrales de protección de datos que regulan el tratamiento de los datos personales. Aunque la DPDPA de India se inspira en varios conceptos habituales en la regulación global de la privacidad, tiene su propio enfoque sobre el consentimiento, los usos legítimos, los derechos individuales, los datos de menores, las transferencias transfronterizas, las obligaciones de los fiduciarios de datos y la aplicación. Para las organizaciones que operan en India y en la Unión Europea, comprender las diferencias entre la DPDPA y el GDPR es esencial para construir un programa de cumplimiento en materia de privacidad eficaz y escalable. Esta guía compara ambos marcos y destaca dónde pueden las organizaciones utilizar controles comunes manteniendo los requisitos específicos de cada jurisdicción.
Comparativa: DPDPA frente a GDPR
| Dimensión | 🇮🇳 DPDPA | 🇪🇺 GDPR |
|---|---|---|
| Jurisdicción | India | UE/EEE y tratamientos extraterritoriales que cumplan los criterios |
| Ley principal | Digital Personal Data Protection Act, 2023 | Reglamento (UE) 2016/679 |
| Normas de desarrollo | DPDP Rules, 2025 | Directrices de aplicación del GDPR y leyes nacionales |
| Autoridad regulatoria | Data Protection Board of India | Autoridades de control de la UE/EEE y EDPB |
| Ámbito de aplicación | Datos personales digitales comprendidos en las disposiciones territoriales de la ley | Tratamiento de datos personales dentro del ámbito territorial del GDPR |
| Principal entidad regulada | Fiduciario de datos (Data Fiduciary) | Responsable del tratamiento |
| Equivalente al encargado | Encargado de datos (Data Processor) | Encargado del tratamiento |
| Persona física | Titular de los datos (Data Principal) | Interesado |
| Base jurídica | Consentimiento y usos legítimos especificados | Seis bases jurídicas del artículo 6 |
| Consentimiento | Libre, específico, informado e inequívoco, con los requisitos de aviso aplicables | Libre, específico, informado e inequívoco |
| Intereses legítimos | Sin un equivalente amplio a los intereses legítimos del GDPR | Disponible en virtud del artículo 6, apartado 1, letra f), con sujeción a condiciones |
| DPO | Obligatorio para los fiduciarios de datos significativos | Obligatorio en circunstancias definidas |
| Datos de menores | Se aplican requisitos reforzados a los menores; el marco legal utiliza una definición de menor de 18 años | Protecciones especiales; el GDPR establece una edad de referencia de 16 años para determinados servicios de la sociedad de la información basados en el consentimiento, con variaciones según el Estado miembro |
| Portabilidad de los datos | Sin un derecho general en la DPDPA equivalente al artículo 20 del GDPR | Sí |
| Derecho relativo a las decisiones automatizadas | Sin equivalente directo al artículo 22 del GDPR | Protecciones específicas en virtud del artículo 22 |
| Transferencias transfronterizas | Permitidas con sujeción a las restricciones notificadas por el Gobierno central | Se aplican los mecanismos de transferencia del capítulo V |
| Datos de categorías especiales | Sin una clasificación de categorías especiales al estilo del GDPR | Categorías especiales del artículo 9 |
| Equivalente a la DPIA | Los fiduciarios de datos significativos tienen obligaciones adicionales de evaluación de impacto | DPIA obligatoria cuando sea probable que el tratamiento entrañe un alto riesgo |
| Notificación de brechas | Requisitos previstos en la DPDPA y en las Rules aplicables | Notificación a la autoridad de control, por lo general en un plazo de 72 horas, cuando proceda |
| Sanción administrativa máxima | Hasta ₹250 crore por determinados incumplimientos | Hasta 20 millones de euros o el 4 % del volumen de negocio anual mundial por determinadas infracciones |
| Representante en la UE | Sin equivalente directo en la DPDPA | El artículo 27 puede exigir un representante en la UE a determinadas organizaciones de fuera de la UE |
Las fechas de implementación del marco de la DPDPA de India deben comprobarse en las notificaciones de entrada en vigor y las Rules vigentes del Gobierno. Las Rules se notificaron el 14 de noviembre de 2025 y prevén una implementación por fases.
¿Qué es la DPDPA?
La Digital Personal Data Protection Act, 2023 es la principal ley de India que regula el tratamiento de los datos personales digitales.
La ley busca equilibrar el derecho de las personas a proteger sus datos personales con la necesidad de las organizaciones de tratar datos personales con fines lícitos. Establece obligaciones para los fiduciarios de datos, derechos y deberes de los titulares de los datos, requisitos para los encargados de datos y un marco de aplicación en el que interviene la Data Protection Board of India.
Las DPDP Rules, 2025 establecen requisitos de implementación adicionales y detalles operativos en el marco de la ley. Las Rules fueron notificadas oficialmente por el Ministry of Electronics and Information Technology el 14 de noviembre de 2025.
¿Qué es el GDPR?
El Reglamento General de Protección de Datos (GDPR) es el marco integral de protección de datos de la Unión Europea.
Regula el tratamiento de datos personales por parte de las organizaciones que actúan como responsables y encargados del tratamiento, y establece requisitos que abarcan:
- Tratamiento lícito
- Transparencia
- Limitación de la finalidad
- Minimización de datos
- Exactitud
- Limitación del plazo de conservación
- Seguridad
- Responsabilidad proactiva
- Derechos individuales
- Transferencias internacionales de datos
El GDPR también puede aplicarse a organizaciones de fuera de la UE cuando se cumplan las condiciones de sus disposiciones sobre el ámbito territorial.
DPDPA frente a GDPR: diferencias clave
1. Ámbito territorial
DPDPA
La DPDPA se aplica al tratamiento de datos personales digitales dentro de India y también puede aplicarse al tratamiento fuera de India en relación con la oferta de bienes o servicios a titulares de los datos en India, con sujeción al ámbito de aplicación legal de la ley.
Por tanto, las organizaciones deben evaluar sus operaciones en India, sus servicios digitales, su base de clientes y sus actividades de tratamiento, en lugar de dar por sentado que la ubicación física determina por sí sola la aplicabilidad.
GDPR
El GDPR se aplica al tratamiento dentro de la UE/EEE conforme a sus disposiciones territoriales y puede aplicarse a organizaciones de fuera de la UE cuando se cumplan las condiciones del artículo 3.
Diferencia clave: Ambos marcos pueden tener alcance extraterritorial, pero sus criterios legales y su terminología son diferentes.
2. Fiduciario de datos frente a responsable del tratamiento
DPDPA
La DPDPA utiliza el término fiduciario de datos (Data Fiduciary) para la entidad que determina la finalidad y los medios del tratamiento de datos personales.
GDPR
El GDPR utiliza el término responsable del tratamiento para la entidad que determina los fines y los medios del tratamiento de datos personales.
Aunque los conceptos son comparables, no son jurídicamente idénticos. Por tanto, las organizaciones deben mapear sus responsabilidades por separado al implementar un programa de privacidad multijurisdiccional.
3. Consentimiento y bases jurídicas
Una de las diferencias más importantes entre la DPDPA y el GDPR es el tratamiento de la licitud del tratamiento.
DPDPA
La DPDPA se centra en gran medida en el consentimiento y en los usos legítimos especificados.
Cuando se recurre al consentimiento, el fiduciario de datos debe facilitar un aviso adecuado y obtener un consentimiento que cumpla los requisitos de la ley.
La DPDPA no reproduce la estructura de seis bases jurídicas del GDPR.
GDPR
El GDPR reconoce seis bases jurídicas en su artículo 6:
- Consentimiento
- Contrato
- Obligación legal
- Intereses vitales
- Misión de interés público
- Intereses legítimos
Cuando se tratan categorías especiales de datos personales se aplican requisitos adicionales.
Diferencia clave: El GDPR ofrece un marco de bases jurídicas más amplio, mientras que la DPDPA utiliza el consentimiento y los usos legítimos previstos en la ley como principales vías para el tratamiento.
4. Requisitos del consentimiento
DPDPA
El consentimiento debe cumplir los requisitos legales y poder retirarse.
Las organizaciones deben asegurarse de que los mecanismos de consentimiento sean:
- Claros
- Específicos
- Informados
- Inequívocos
- Fáciles de retirar
GDPR
El consentimiento conforme al GDPR también debe ser libre, específico, informado e inequívoco.
Cuando el consentimiento es la base jurídica, las organizaciones deben poder demostrar que se obtuvo un consentimiento válido y ofrecer un mecanismo eficaz para retirarlo.
Implicación práctica: un sistema de gestión del consentimiento bien diseñado puede servir para ambos marcos, pero el análisis jurídico subyacente debe seguir siendo específico para cada jurisdicción.
5. Intereses legítimos
Esta es una diferencia importante.
DPDPA
La DPDPA no contiene un equivalente amplio a la base jurídica de los intereses legítimos del GDPR.
En su lugar, la ley identifica usos legítimos específicos dentro de su marco legal.
GDPR
El GDPR reconoce expresamente los intereses legítimos en el artículo 6, apartado 1, letra f), siempre que se cumplan las condiciones necesarias y que sobre dichos intereses no prevalezcan los derechos y libertades de las personas.
Las organizaciones suelen documentarlo mediante una evaluación de intereses legítimos cuando procede.
Resultado: las organizaciones no pueden limitarse a copiar una evaluación de intereses legítimos del GDPR y tratarla como un análisis de uso lícito conforme a la DPDPA.
6. Derechos individuales
Derechos de los titulares de los datos en la DPDPA
La DPDPA establece, entre otros, los siguientes derechos:
- Acceso a la información sobre los datos personales
- Corrección y actualización
- Supresión
- Resolución de reclamaciones
- Retirada del consentimiento
- Designación de otra persona en determinadas circunstancias
Derechos de los interesados en el GDPR
El GDPR establece un conjunto de derechos más amplio, que incluye:
- Acceso
- Rectificación
- Supresión
- Limitación del tratamiento
- Portabilidad de los datos
- Oposición
- Retirada del consentimiento
- Derechos relativos a determinadas decisiones automatizadas y a la elaboración de perfiles
La DPDPA no reproduce todos los derechos del GDPR. Por ejemplo, no existe en la DPDPA un equivalente general al derecho a la portabilidad de los datos del artículo 20 del GDPR ni al marco específico del artículo 22 que regula determinadas decisiones basadas únicamente en el tratamiento automatizado.
7. Datos de menores
DPDPA
La DPDPA define al menor como la persona que no ha cumplido 18 años.
La ley establece obligaciones adicionales en relación con los datos personales de menores, incluidos requisitos sobre el consentimiento parental verificable y restricciones a determinadas actividades de tratamiento que afectan a menores, con sujeción a las excepciones legales y a las disposiciones notificadas por el Gobierno.
GDPR
El GDPR no establece una regla universal de consentimiento para menores de 18 años equivalente a la de la DPDPA.
Para determinados servicios de la sociedad de la información ofrecidos directamente a menores, el artículo 8 establece una edad de referencia de 16 años para el tratamiento basado en el consentimiento, que los Estados miembros pueden reducir sin que sea inferior a 13 años.
El GDPR también exige a las organizaciones tener en cuenta las vulnerabilidades y los intereses específicos de los menores.
Diferencia clave: El marco legal de India adopta una definición de «menor» considerablemente más amplia, que abarca a los menores de 18 años, mientras que el artículo 8 del GDPR se centra en un contexto específico de consentimiento.
8. DPO
DPDPA
La DPDPA exige que un fiduciario de datos significativo (Significant Data Fiduciary, SDF) designe a un DPO establecido en India que actúe como punto de contacto para las responsabilidades de la organización en materia de protección de datos.
No todos los fiduciarios de datos están automáticamente obligados a designar un DPO legal en virtud de la DPDPA.
GDPR
El DPO del GDPR solo es obligatorio en las circunstancias especificadas en el artículo 37.
Entre ellas figuran determinadas actividades de observación habitual y sistemática a gran escala y determinados tratamientos a gran escala de categorías especiales de datos personales.
Diferencia clave: Ambos marcos reconocen la figura del DPO, pero los supuestos que la activan y las responsabilidades legales difieren.
9. Representante de privacidad / presencia local
DPDPA
La DPDPA no crea un equivalente directo al representante en la UE del artículo 27 del GDPR.
No obstante, las organizaciones sujetas a la DPDPA deben mantener mecanismos adecuados de gobernanza, responsabilidad proactiva y contacto con el regulador.
GDPR
Determinadas organizaciones de fuera de la UE pueden estar obligadas a designar un representante en la UE en virtud del artículo 27.
El representante actúa como punto de contacto para las personas y las autoridades de control en relación con las actividades de tratamiento de la organización.
Importante: un servicio comercial de «representante en India» no debe describirse como un equivalente legal, conforme a la DPDPA, al representante en la UE del artículo 27.
10. Notificación de brechas de datos
DPDPA
La DPDPA y las DPDP Rules establecen obligaciones relacionadas con las brechas para los fiduciarios de datos.
Las organizaciones deben mantener procedimientos para:
- Detectar las violaciones de seguridad de los datos personales
- Evaluar el impacto
- Contener los incidentes
- Documentar las decisiones
- Notificar a la autoridad competente cuando proceda
- Comunicarse con los titulares de los datos afectados cuando proceda
Los plazos concretos de notificación y los requisitos de implementación deben presentarse de acuerdo con las Rules aplicables y las disposiciones de entrada en vigor.
GDPR
En virtud del artículo 33, el responsable del tratamiento debe, por lo general, notificar a la autoridad de control competente toda violación de seguridad de los datos personales que cumpla los criterios sin dilación indebida y, de ser posible, en un plazo de 72 horas desde que tenga constancia de ella.
Cuando sea probable que una brecha entrañe un alto riesgo para las personas, el artículo 34 puede exigir su comunicación a los interesados afectados.
Diferencia clave: No presente ambos regímenes como si tuvieran procedimientos de notificación de brechas idénticos por el mero hecho de que ambos contengan obligaciones en esta materia.
11. Transferencias transfronterizas de datos
DPDPA
La DPDPA permite las transferencias transfronterizas con sujeción a las restricciones que el Gobierno central pueda imponer respecto de determinados países o territorios.
Esto significa que la DPDPA no establece un mecanismo integral de transferencia al estilo del GDPR basado en decisiones de adecuación, SCCs y BCRs.
GDPR
Las transferencias internacionales conforme al capítulo V del GDPR requieren un mecanismo de transferencia adecuado, como:
- Decisiones de adecuación
- Cláusulas contractuales tipo
- Normas corporativas vinculantes
- Excepciones aplicables
Las organizaciones también pueden tener que considerar garantías complementarias y evaluaciones del riesgo de la transferencia, en función del mecanismo de transferencia y de las circunstancias.
12. Datos sensibles / categorías especiales de datos
DPDPA
La DPDPA no reproduce la categoría separada de datos personales de categorías especiales del GDPR.
En su lugar, el marco establece obligaciones basadas en factores como la naturaleza del tratamiento, la designación del fiduciario de datos y requisitos legales específicos.
GDPR
El artículo 9 ofrece una protección reforzada a las categorías especiales de datos personales, incluida la información relativa a:
- La salud
- Los datos biométricos utilizados para la identificación
- Los datos genéticos
- Las opiniones políticas
- Las convicciones religiosas o filosóficas
- La afiliación sindical
- El origen racial o étnico
- La vida sexual o la orientación sexual
El tratamiento requiere tanto una base jurídica del artículo 6 como una condición aplicable del artículo 9.
13. DPIA y evaluaciones de impacto
DPDPA
Los fiduciarios de datos significativos están sujetos a obligaciones adicionales de gobernanza y evaluación en virtud de la ley y de las Rules.
Estas pueden incluir requisitos relativos a evaluaciones de impacto, auditorías y otras medidas prescritas para los SDF.
GDPR
Se requiere una evaluación de impacto relativa a la protección de datos (DPIA) cuando sea probable que el tratamiento entrañe un alto riesgo para los derechos y libertades de las personas.
La DPIA es especialmente pertinente para las actividades que implican datos sensibles a gran escala, observación sistemática u otros tratamientos de alto riesgo.
Diferencia clave: Los requisitos de evaluación de impacto de la DPDPA están estrechamente vinculados al marco de los fiduciarios de datos significativos, mientras que las DPIA del GDPR se basan en el riesgo.
14. Localización de datos
No debe describirse ninguno de los dos marcos como si impusiera una exigencia general de que todos los datos personales permanezcan dentro del país o la región.
DPDPA
La DPDPA permite las transferencias transfronterizas con sujeción a las restricciones gubernamentales.
Pueden aplicarse requisitos sectoriales independientes a determinadas categorías de datos; por ejemplo, los requisitos del sector financiero.
GDPR
El GDPR no impone una localización general de los datos dentro de la UE.
En su lugar, las transferencias internacionales deben cumplir los requisitos del capítulo V.
15. Sanciones
DPDPA
La DPDPA prevé sanciones económicas considerables; la sanción máxima por determinados incumplimientos especificados alcanza los ₹250 crore.
La sanción aplicable depende de la naturaleza y las circunstancias de la infracción.
GDPR
Para determinadas infracciones graves, las multas administrativas del GDPR pueden alcanzar los 20 millones de euros o el 4 % del volumen de negocio anual mundial del ejercicio financiero anterior, si esta cifra es superior.
Importante: las estructuras sancionadoras de la DPDPA y del GDPR no deben compararse directamente mediante una simple conversión de divisas. Sus marcos legales, sus metodologías de cálculo de las sanciones y sus estructuras de aplicación difieren.
16. Autoridades regulatorias
India
La Data Protection Board of India se crea en el marco de la DPDPA para desempeñar las funciones que le asigna la ley.
Las organizaciones deben distinguir entre la función legal de la Board y la entrada en vigor por fases de las obligaciones sustantivas previstas en la DPDPA y en las Rules.
Unión Europea
La aplicación del GDPR corresponde a las autoridades nacionales de control de protección de datos de las jurisdicciones de la UE/EEE, y el Comité Europeo de Protección de Datos (EDPB) aporta mecanismos de coordinación y coherencia.
DPDPA frente a GDPR: ¿cuál es más estricto?
No hay una respuesta sencilla.
El GDPR es, por lo general, más detallado en ámbitos como:
- Bases jurídicas
- Derechos de los interesados
- Portabilidad de los datos
- Decisiones automatizadas
- Datos de categorías especiales
- Transferencias internacionales
- DPIA
- Responsabilidad proactiva de responsables y encargados
La DPDPA tiene una arquitectura regulatoria diferente, muy centrada en:
- El consentimiento
- La responsabilidad proactiva del fiduciario de datos
- Los fiduciarios de datos significativos
- Los datos de menores
- Los derechos de los titulares de los datos
- Los usos legítimos especificados
- Las transferencias transfronterizas reguladas por el Gobierno
Por tanto, las organizaciones deben evitar tratar cualquiera de los dos marcos como una «referencia» universal para el otro.
¿Puede un único programa de privacidad cubrir la DPDPA y el GDPR?
Sí.
Un marco común de gestión de la privacidad puede servir de base, al que pueden añadirse controles específicos para India y para la UE.
1. Mapeo de datos
Mantenga un inventario central que abarque:
- Datos personales recogidos
- Finalidades del tratamiento
- Interesados / titulares de los datos
- Fiduciarios de datos / responsables del tratamiento
- Encargados del tratamiento
- Destinatarios
- Ubicaciones de almacenamiento
- Transferencias internacionales
- Plazos de conservación
2. Gestión del consentimiento
Construya un marco de consentimiento que dé soporte a:
- El consentimiento conforme al GDPR
- El consentimiento conforme a la DPDPA
- La retirada del consentimiento
- Los registros de consentimiento
- Los avisos de privacidad
- La gestión de preferencias
3. Gestión de los derechos de privacidad
Utilice un flujo de trabajo central para gestionar:
- Las solicitudes de los interesados conforme al GDPR
- Las solicitudes de los titulares de los datos conforme a la DPDPA
- La verificación de la identidad
- El seguimiento de las solicitudes
- Los plazos de respuesta
- Las evidencias y las pistas de auditoría
4. Gestión de proveedores y encargados
Evalúe:
- Encargados del tratamiento
- Subencargados del tratamiento
- Proveedores de servicios
- Proveedores de servicios en la nube
- Plataformas de analítica
- Tecnología publicitaria
- Proveedores internacionales
5. Respuesta ante brechas
Cree un proceso unificado de respuesta ante incidentes con puntos de decisión específicos para cada jurisdicción en materia de:
- Clasificación de incidentes
- Notificación al regulador
- Notificación a las personas
- Conservación de pruebas
- Documentación
- Corrección
6. Monitorización regulatoria
Los programas de privacidad deben seguir de forma continua los cambios en los requisitos tanto indios como europeos.
Esto es especialmente importante en el caso de la DPDPA, porque las Rules de India se notificaron en noviembre de 2025 y el marco tiene una estructura de implementación por fases.
Preguntas frecuentes
¿Es la DPDPA lo mismo que el GDPR?
No. La DPDPA incorpora conceptos habituales en la regulación internacional de la privacidad, pero tiene una estructura jurídica, una terminología, un marco de derechos, un modelo de consentimiento y un mecanismo de aplicación propios.
¿Sustituye la DPDPA al GDPR para las empresas que operan en India?
No. Una organización puede tener que cumplir la DPDPA en sus actividades de tratamiento en India y, al mismo tiempo, cumplir el GDPR cuando se den los requisitos de su ámbito territorial.
¿Se aplica la DPDPA a empresas situadas fuera de India?
Potencialmente, sí. La DPDPA contiene disposiciones que pueden aplicarse al tratamiento fuera de India en relación con la oferta de bienes o servicios a titulares de los datos en India, con sujeción al ámbito de aplicación legal de la ley.
¿Exige la DPDPA el consentimiento para todo tratamiento?
No. El consentimiento es una base central para el tratamiento, pero la ley también identifica usos legítimos especificados y otras circunstancias dentro de su marco.
¿Tiene la DPDPA una base de interés legítimo como la del GDPR?
No. La DPDPA no contiene una base jurídica amplia de interés legítimo al estilo del artículo 6, apartado 1, letra f). En su lugar, prevé usos legítimos especificados.
¿Reconoce la DPDPA un derecho a la portabilidad de los datos?
La DPDPA no establece un derecho general equivalente a la portabilidad de los datos del artículo 20 del GDPR.
¿Exige la DPDPA un DPO?
No a todas las organizaciones. La ley exige a los fiduciarios de datos significativos designar un DPO en India.
¿Exige la DPDPA un representante en India?
No existe un equivalente legal directo a la exigencia de representante en la UE del artículo 27 del GDPR. No obstante, las organizaciones deben establecer, cuando proceda, mecanismos adecuados de gobernanza y de contacto con el regulador con base en India.
¿Tiene la DPDPA la misma regla de notificación de brechas en 72 horas que el GDPR?
No debe describirse a ambos marcos como idénticos. El artículo 33 del GDPR contiene la conocida exigencia de notificar a la autoridad de control en 72 horas las brechas que cumplan los criterios. Las obligaciones en caso de brecha de la DPDPA se rigen por la ley y las Rules, incluidos sus requisitos aplicables de entrada en vigor e implementación.
¿Está la DPDPA plenamente operativa?
El marco de la DPDPA se está implementando mediante una estructura de entrada en vigor por fases. Las DPDP Rules, 2025 se notificaron el 14 de noviembre de 2025, y las organizaciones deben comprobar la fecha de entrada en vigor aplicable a cada disposición, en lugar de considerar que todo el marco surte efecto simultáneamente.
Cumplimiento de la DPDPA y el GDPR con RegulatoryBridge
Gestionar los requisitos de privacidad de India y de la UE mediante procesos separados puede generar duplicidades de trabajo, avisos de privacidad incoherentes y flujos de trabajo de derechos sobre los datos fragmentados.
RegulatoryBridge ayuda a las organizaciones a construir programas coordinados de cumplimiento en materia de privacidad en distintas jurisdicciones.
Nuestro apoyo puede incluir:
- Evaluaciones de preparación y cumplimiento de la DPDPA
- Evaluaciones de cumplimiento del GDPR
- Mapeo e inventario de datos
- Revisión de avisos de privacidad
- Gestión del consentimiento
- Flujos de trabajo para solicitudes de titulares de los datos e interesados
- Evaluaciones de encargados del tratamiento / proveedores
- Evaluaciones de transferencias transfronterizas
- Apoyo en DPIA y evaluaciones de impacto
- Planificación de la respuesta ante brechas
- Apoyo en materia de DPO y gobernanza de la privacidad
- Monitorización regulatoria
- Apoyo en representación de privacidad en India y la UE
- Gestión continua del cumplimiento
Cubre DPDPA y GDPR con un solo programa.
Mapea los controles una vez y cumple dos veces. RegulatoryBridge te ofrece un único flujo de DSAR, un único DPO y un único manual de respuesta ante brechas, abarcando ambos marcos.