Cumplimiento RGPD en software empresarial: qué exige la ley a tu proveedor

Contratar un software empresarial no transfiere automáticamente la responsabilidad legal sobre los datos personales. El RGPD distingue con claridad entre el responsable del tratamiento —tu empresa— y el encargado del tratamiento —tu proveedor de software—, y la normativa obliga a formalizar esa relación por escrito antes de que el sistema procese un solo dato. Este artículo explica qué cláusulas debes exigir, qué medidas técnicas son obligatorias y por qué la ubicación física de los servidores sigue importando.

Tabla de contenidos

• Responsable vs. encargado del tratamiento: la distinción que más se ignora
• El contrato de encargo: cláusulas que no pueden faltar
• Medidas técnicas mínimas que debe garantizar el software
• Ubicación de los datos: dentro y fuera de la UE
• Qué pasa cuando el proveedor usa subencargados
• Registro de actividades de tratamiento y software empresarial
• Cómo verificar que tu proveedor cumple de verdad
• TL;DR
• Lecturas recomendadas

Responsable vs. encargado del tratamiento: la distinción que más se ignora

El artículo 4 del RGPD define al responsable del tratamiento como quien determina los fines y medios del tratamiento de datos. Eso eres tú, la empresa que usa el software. El proveedor que desarrolla o aloja ese software actúa como encargado del tratamiento: procesa datos en tu nombre, siguiendo tus instrucciones, pero sin decidir para qué se usan.

Esta distinción tiene consecuencias prácticas inmediatas:

• Si hay una brecha de seguridad en el software de tu proveedor, la AEPD puede sancionar a tu empresa por no haber firmado un contrato de encargo adecuado.
• Si el proveedor usa los datos de tus clientes para sus propios fines sin tu autorización, pasa a ser responsable por cuenta propia, con responsabilidad solidaria en ciertos escenarios.
• La ausencia de contrato de encargo es una infracción grave del artículo 28 RGPD, con multas de hasta 10 millones de euros o el 2 % del volumen de negocio anual global.

Muchas pymes asumen que comprar un software certificado o con el logo “RGPD compliant” en la web equivale a cumplir. No es así. El cumplimiento depende de lo que esté firmado, configurado y auditado, no de lo que aparece en el marketing del proveedor.

El contrato de encargo: cláusulas que no pueden faltar

El artículo 28 del RGPD lista de forma exhaustiva el contenido mínimo del contrato de encargo del tratamiento (DPA, por sus siglas en inglés). Antes de implantar cualquier software empresarial que procese datos personales —empleados, clientes, proveedores—, ese contrato debe estar firmado.

Las cláusulas obligatorias son:

1. Objeto, duración, naturaleza y finalidad del tratamiento.
2. Tipo de datos personales tratados y categorías de interesados.
3. Obligación del encargado de tratar los datos solo según instrucciones documentadas del responsable.
4. Obligación de confidencialidad para todo el personal con acceso a los datos.
5. Medidas de seguridad técnicas y organizativas aplicadas (con referencia al artículo 32 RGPD).
6. Condiciones para contratar subencargados, con autorización previa del responsable.
7. Asistencia al responsable en el ejercicio de derechos por parte de los interesados (acceso, rectificación, supresión).
8. Obligación de eliminar o devolver todos los datos al finalizar el contrato.
9. Derecho del responsable a auditar al encargado o encargar auditorías independientes.

Si el contrato que te entrega el proveedor no incluye estos nueve puntos, no es un DPA válido bajo el RGPD. Un documento llamado “política de privacidad” o “términos de servicio” no sustituye al contrato de encargo.

Medidas técnicas mínimas que debe garantizar el software

El artículo 32 del RGPD exige medidas técnicas y organizativas “apropiadas al nivel de riesgo”. En software empresarial con datos de clientes, empleados o transacciones comerciales, ese nivel raramente es bajo. Las medidas que debes verificar en cualquier proveedor:

• Cifrado en tránsito y en reposo: los datos deben viajar por HTTPS/TLS 1.2 como mínimo y almacenarse cifrados en base de datos. Esto aplica tanto al ERP como al CRM, SGA o cualquier módulo que maneje datos personales.
• Control de acceso por roles: cada usuario solo debe ver los datos que necesita para su función. Un comercial no debería acceder a nóminas; un operario de almacén no debería ver datos bancarios de clientes.
• Registro de auditoría (logs): el sistema debe guardar quién accedió a qué dato, cuándo y desde qué IP. Estos logs deben ser inalterables y conservarse al menos 12 meses.
• Gestión de copias de seguridad: backups automáticos diarios, con pruebas periódicas de restauración. La frecuencia y retención deben estar documentadas.
• Procedimiento de notificación de brechas: el proveedor está obligado a notificarte cualquier brecha de seguridad en un plazo máximo de 72 horas desde que la detecte, para que puedas notificar a la AEPD si procede.
• Pseudonimización cuando sea viable: en entornos de test o analítica, los datos personales reales deben sustituirse por datos ficticios o seudonimizados.

Solicita siempre documentación técnica de estas medidas. Un cuestionario de seguridad o un informe de auditoría reciente (ISO 27001, SOC 2, ENS) son referencias válidas; una respuesta verbal no lo es.

Ubicación de los datos: dentro y fuera de la UE

El RGPD permite libre circulación de datos personales dentro del Espacio Económico Europeo (EEE). Las transferencias fuera del EEE requieren garantías adicionales: decisión de adecuación de la Comisión Europea, cláusulas contractuales tipo (SCC) o normas corporativas vinculantes.

Esto afecta directamente al software empresarial en varios escenarios habituales:

• Software SaaS con servidores en EE.UU.: si tu proveedor usa AWS us-east-1, Google Cloud us-central1 o Azure East US sin SCC firmadas, esa transferencia puede ser ilegal bajo el RGPD.
• Herramientas de analítica o monitorización integradas: muchos ERPs y CRMs envían telemetría o datos de uso a servidores fuera de la UE sin que el cliente lo sepa.
• Subcontratación de soporte técnico: si el equipo de soporte accede remotamente a tu base de datos desde un país no adecuado, eso también es una transferencia internacional.

Los datos personales de ciudadanos europeos alojados en servidores ubicados en España o en la UE no requieren garantías adicionales de transferencia, siempre que el proveedor tampoco los replique fuera del EEE sin autorización.

Pedir al proveedor que confirme por escrito el país de alojamiento de los datos —y que se comprometa a no moverlos sin notificación— es una cláusula razonable y exigible en el DPA.

Qué pasa cuando el proveedor usa subencargados

La mayoría del software empresarial no funciona de forma completamente autónoma: utiliza servicios de terceros para envío de emails transaccionales, almacenamiento en la nube, pasarelas de pago, firma electrónica o infraestructura cloud. Cada uno de esos terceros es un subencargado del tratamiento.

El artículo 28.2 del RGPD establece que el encargado principal no puede contratar subencargados sin tu autorización previa, que puede ser específica (nombre a nombre) o general (con derecho de objeción). Lo que debes exigir:

1. Lista de subencargados actuales con nombre, país y finalidad del tratamiento.
2. Compromiso del proveedor de notificarte con antelación cualquier cambio en esa lista.
3. Garantía de que cada subencargado ha firmado un contrato con las mismas obligaciones que el DPA principal.

Si el proveedor no puede entregarte esta lista, trata esa opacidad como una señal de alerta.

Registro de actividades de tratamiento y software empresarial

El artículo 30 del RGPD obliga a la mayoría de empresas —cualquiera que trate datos de forma no ocasional o que trate categorías especiales— a mantener un registro de actividades de tratamiento (RAT). Ese registro debe incluir cada actividad de tratamiento, y el software empresarial que usas genera varias.

Lo que el proveedor puede y debe aportarte:

• Descripción técnica de los tratamientos que realiza en tu nombre.
• Categorías de datos que el software maneja por defecto.
• Plazos de retención configurados o recomendados.
• Medidas de seguridad aplicadas (referenciadas para tu RAT).

Un proveedor que nunca ha documentado qué datos toca su software tampoco puede ayudarte a mantener tu RAT. Eso es un problema tuyo ante la AEPD, no del proveedor.

Cómo verificar que tu proveedor cumple de verdad

El cumplimiento RGPD no se verifica leyendo la web del proveedor. Estas son las comprobaciones mínimas antes de firmar:

• Solicita el DPA antes de la firma del contrato comercial, no después. Si el proveedor no lo tiene listo, es un indicador relevante.
• Revisa si el proveedor ha sufrido brechas de seguridad consultando bases de datos públicas (Have I Been Pwned para dominios corporativos, registros de la AEPD).
• Pide la política de retención de datos: cuánto tiempo conservan tus datos y en qué formato te los devuelven si cambias de proveedor.
• Comprueba si el software permite exportar datos completos en formato legible (CSV, JSON, XML). El derecho a la portabilidad del artículo 20 RGPD aplica también a los datos que tienes en tu ERP o CRM.
• Pregunta por el delegado de protección de datos (DPD): no todas las empresas están obligadas a tenerlo, pero un proveedor de software empresarial que trata datos de miles de interesados debería haberlo nombrado.

En Rowan Tech desarrollamos software a medida donde el cumplimiento normativo —RGPD incluido— forma parte del diseño desde el inicio, no de un módulo que se añade después. Los datos de tus clientes y empleados se alojan en servidores dentro de España, el DPA está preparado antes de la firma del contrato y el equipo de desarrollo es el mismo que da soporte: sin intermediarios, sin subencargados opacos. Si quieres ver cómo aplica esto a tu operativa concreta, cuéntanos tu caso.

TL;DR

• El proveedor de software que procesa datos de tu empresa es un encargado del tratamiento: necesitas un contrato DPA firmado antes de que el sistema arranque.
• Sin las nueve cláusulas del artículo 28 RGPD en ese contrato, la responsabilidad legal recae sobre tu empresa, no sobre el proveedor.
• Exige cifrado en tránsito y en reposo, control de acceso por roles, logs de auditoría y procedimiento de notificación de brechas en 72 horas.
• Los datos alojados fuera de la UE sin cláusulas contractuales tipo firmadas suponen una transferencia internacional ilegal bajo el RGPD.
• La lista de subencargados debe ser visible y actualizada: si el proveedor no la tiene, tienes un problema de cumplimiento.

Lecturas recomendadas

• Rowan ERP: software de gestión a medida con cumplimiento normativo incluido
• RowanSign: firma digital de albaranes con validez legal y datos en España
• Rowan CRM: gestión comercial con datos alojados en servidores españoles