RGPD y requisitos de software empresarial para pymes: qué debe cumplir cada herramienta antes de implantarla

Resumen: El RGPD no solo afecta a tu empresa como responsable del tratamiento de datos; también condiciona qué software puedes implantar y bajo qué condiciones. Esta guía recorre los requisitos técnicos y contractuales que debes verificar antes de contratar o desplegar cualquier herramienta que gestione datos de clientes o empleados.

Tabla de contenidos

• Qué exige el RGPD a las pymes como responsables del tratamiento
• Requisitos contractuales: el contrato de encargado del tratamiento
• Requisitos técnicos mínimos del software
• Dónde se alojan los datos: servidores y transferencias internacionales
• Qué pasa con los datos de empleados
• Lista de comprobación antes de implantar una nueva herramienta
• TL;DR
• Lecturas recomendadas

Qué exige el RGPD a las pymes como responsables del tratamiento

El Reglamento General de Protección de Datos (RGPD, Reglamento UE 2016/679) lleva en vigor desde mayo de 2018. La Agencia Española de Protección de Datos (AEPD) puede sancionar con hasta 20 millones de euros o el 4 % de la facturación global anual, la cifra que sea mayor.

La pyme actúa como responsable del tratamiento: decide para qué se usan los datos y responde de ellos. Cuando contrata un software externo —un ERP, un CRM, una herramienta de nóminas—, ese proveedor pasa a ser encargado del tratamiento y queda dentro del perímetro legal.

Tres principios que el RGPD te exige cumplir desde el primer día:

• Minimización de datos: el software solo debe recoger los datos estrictamente necesarios para la finalidad declarada.
• Limitación de la finalidad: los datos recogidos para facturación no pueden usarse con fines de marketing sin base legal propia.
• Integridad y confidencialidad: medidas técnicas y organizativas que garanticen la seguridad de los datos frente a accesos no autorizados, pérdida o destrucción.

Si tu empresa tiene más de 250 empleados o trata datos a gran escala o categorías especiales, también estás obligado a mantener un Registro de Actividades de Tratamiento documentado.

Requisitos contractuales: el contrato de encargado del tratamiento

Cualquier proveedor de software que acceda a datos personales de tus clientes o empleados debe firmar contigo un Contrato de Encargado del Tratamiento (CET), también llamado DPA (Data Processing Agreement). Sin este contrato, la relación incumple el artículo 28 del RGPD.

El CET debe recoger, como mínimo:

1. El objeto y la duración del tratamiento.
2. La naturaleza y la finalidad del tratamiento.
3. El tipo de datos personales y las categorías de interesados.
4. Las obligaciones y los derechos del responsable.
5. La prohibición expresa de que el encargado use los datos para fines propios.
6. Las condiciones bajo las cuales puede subcontratar (subencargados) y quién responde si lo hace.
7. La obligación de devolver o destruir los datos al finalizar el contrato.
8. Las medidas de seguridad aplicadas (cifrado, control de accesos, copias de seguridad).

Si el proveedor de software no tiene preparado este contrato o lo presenta como un trámite opcional, es una señal de alerta. El proveedor que trata datos en tu nombre sin CET te deja en situación de incumplimiento, no a él.

Consulta también qué ocurre con los datos cuando decides cambiar de proveedor: debes poder exportarlos en un formato legible y el proveedor debe borrarlos de sus sistemas en un plazo definido. Esto se denomina derecho de portabilidad y supresión y debe estar garantizado contractualmente, no solo de palabra.

Requisitos técnicos mínimos del software

El RGPD no especifica tecnologías concretas, pero sí exige medidas “apropiadas” al riesgo. La AEPD y el European Data Protection Board han publicado guías que permiten traducir eso en requisitos verificables.

Antes de implantar cualquier herramienta, comprueba que cumple:

• Control de acceso por roles: cada usuario accede solo a los datos que necesita para su función. Un comercial no debe ver las nóminas; un operario de almacén no debe ver datos de tarjeta de crédito.
• Trazabilidad de accesos (logs de auditoría): el sistema registra quién accedió a qué dato y cuándo. Los logs deben ser inalterables y estar disponibles durante al menos 12 meses.
• Cifrado en tránsito y en reposo: los datos deben viajar siempre por conexiones cifradas (TLS 1.2 o superior) y almacenarse cifrados si contienen datos sensibles o categorías especiales.
• Seudonimización cuando sea posible: separar identificadores directos del resto del registro reduce el riesgo en caso de brecha.
• Gestión de brechas de seguridad: el software o el proveedor deben tener un procedimiento documentado para notificarte una brecha en menos de 72 horas, que es el plazo que tienes para comunicarla a la AEPD si afecta a derechos y libertades.
• Copias de seguridad verificadas: no basta con que el proveedor diga que hace backups; debes poder comprobar que se restauran correctamente y conocer la frecuencia (RPO) y el tiempo de recuperación (RTO).
• Actualizaciones de seguridad garantizadas: el software debe recibir parches de seguridad durante toda la vida del contrato. Un proveedor que abandona versiones sin soporte te expone a vulnerabilidades conocidas.

Dónde se alojan los datos: servidores y transferencias internacionales

La ubicación física de los servidores importa. Si el proveedor aloja tus datos fuera del Espacio Económico Europeo (EEE) —por ejemplo, en servidores de Estados Unidos sin marco de adecuación vigente— necesita garantías adicionales: Cláusulas Contractuales Tipo aprobadas por la Comisión Europea o que el país destino tenga decisión de adecuación.

Preguntas concretas que debes hacer al proveedor:

• ¿Dónde están físicamente los servidores donde se almacenan mis datos?
• ¿Usan infraestructura de terceros (AWS, Azure, Google Cloud)? ¿En qué región?
• ¿Tienen subencargados fuera del EEE? ¿Con qué garantías?

Los datos de clientes y empleados alojados en España o en la UE cumplen por defecto el requisito de transferencia, siempre que el resto de condiciones sean correctas. Cuando el software es construido a medida y alojado en infraestructura española, tienes control directo sobre la ubicación y puedes verificarlo en cualquier momento.

Qué pasa con los datos de empleados

Los datos laborales tienen una sensibilidad especial. El tratamiento de datos de empleados en software de RRHH, ERP o control horario debe apoyarse en una base legal válida: generalmente la ejecución del contrato laboral (art. 6.1.b RGPD) o el cumplimiento de una obligación legal (art. 6.1.c).

Puntos críticos en este ámbito:

• Nóminas y datos bancarios: requieren cifrado en reposo y control de acceso restringido. Solo el personal autorizado de RRHH o administración debe verlos.
• Control horario: desde la reforma laboral de 2019, el registro de jornada es obligatorio. El sistema debe conservar los registros durante cuatro años y permitir su consulta por la Inspección de Trabajo.
• Datos de salud: si el software gestiona bajas médicas o adaptaciones de puesto, estás tratando una categoría especial de datos (art. 9 RGPD). Requiere base legal reforzada y medidas técnicas adicionales.
• Acceso de representantes legales de los trabajadores: en empresas con comité de empresa, este tiene derecho a cierta información. El software debe poder restringir qué se comparte y con quién, sin exportar todo el expediente.

Informa a tus empleados antes de implantar cualquier herramienta que trate sus datos. La transparencia es un requisito legal, no una cortesía.

Lista de comprobación antes de implantar una nueva herramienta

Usa esta lista con cualquier software que gestione datos personales, ya sea un ERP, un CRM, una herramienta de firma digital o un sistema de gestión de almacén:

1. ¿El proveedor firma un Contrato de Encargado del Tratamiento antes del inicio del servicio?
2. ¿Los datos se alojan en España o en el EEE?
3. ¿El sistema tiene control de acceso por roles con permisos granulares?
4. ¿Genera logs de auditoría inalterables con retención mínima de 12 meses?
5. ¿Los datos viajan cifrados (TLS 1.2+) y se almacenan cifrados cuando contienen datos sensibles?
6. ¿El proveedor tiene un procedimiento documentado de notificación de brechas en menos de 72 horas?
7. ¿Las copias de seguridad se verifican periódicamente y se documenta su restauración?
8. ¿Puedes exportar todos tus datos en un formato legible y portátil en cualquier momento?
9. ¿El proveedor se compromete a suprimir los datos al finalizar el contrato, con plazo concreto?
10. ¿El software recibe actualizaciones de seguridad durante toda la vida del contrato?
11. ¿Si usa subencargados (por ejemplo, proveedores de nube), los tienes identificados y cubiertos contractualmente?
12. ¿Puedes realizar una auditoría o solicitar evidencias del cumplimiento técnico sin coste adicional?

Si alguna de estas preguntas no tiene respuesta documentada por escrito, no es que el proveedor no cumpla: es que no puedes demostrarlo, y en una inspección de la AEPD eso equivale a incumplir.

El artículo Cumplimiento RGPD en software empresarial: qué exige la ley a tu proveedor amplía varios de estos puntos con referencias a criterios específicos de la AEPD.

Si estás evaluando qué tipo de software se adapta mejor a tu operativa sin renunciar al cumplimiento normativo, Diferencia entre software a medida y ERP estándar puede ayudarte a ordenar esa decisión.

Y si tu empresa está en Galicia, conviene que revises si parte de la inversión en software puede financiarse a través de Subvenciones IGAPE para software empresarial en Galicia, que cubren proyectos de digitalización con cumplimiento normativo incluido.

En Rowan Tech desarrollamos software a medida con RGPD integrado desde el diseño, no añadido después. Los datos de los proyectos que construimos se alojan en España, los contratos de encargado del tratamiento se firman antes del inicio y el control de accesos se configura según la estructura real de tu empresa. Si quieres revisar si tu herramienta actual cubre estos puntos, o si estás evaluando implantar una nueva, cuéntanos qué necesitas.

TL;DR

• Todo proveedor de software que trate datos en tu nombre debe firmar un Contrato de Encargado del Tratamiento (DPA) antes de empezar.
• Los datos deben alojarse en España o en el EEE salvo que existan garantías contractuales específicas para transferencias internacionales.
• El software debe incluir control de acceso por roles, logs de auditoría, cifrado en tránsito y en reposo, y procedimiento documentado de notificación de brechas en menos de 72 horas.
• Los datos de empleados requieren base legal propia y, en categorías especiales como salud, medidas técnicas reforzadas.
• Si no puedes demostrar el cumplimiento por escrito, ante la AEPD es como si no existiera.

Lecturas recomendadas

• Cumplimiento RGPD en software empresarial: qué exige la ley a tu proveedor
• Contratar desarrollo software a medida en España: lo que debes revisar antes de firmar
• Qué es Verifactu y cómo afecta a mi empresa