En resumen
- Reglamentación: RGPD.
- Todo editor que trate datos personales por cuenta de sus clientes es subencargado del tratamiento, sin umbral.
- Firmar un DPA conforme.
- Tratar bajo instrucción.
- Asegurar (artículo 32).
- Las multas pueden alcanzar los 20 M€ o el 4 % del volumen de negocio mundial.
Plazos normativos
Las fechas clave de esta normativa.
Mayo de 2018
Entrada en aplicación
En vigor¿De qué trata el RGPD?
El RGPD distingue al responsable del tratamiento, que decide las finalidades, del encargado del tratamiento, que actúa por su cuenta. El editor SaaS es el arquetipo del encargado del tratamiento: aloja y trata datos cuya finalidad define su cliente.
El artículo 28 impone un contrato escrito que regula estrictamente lo que el encargado del tratamiento puede hacer, cómo asegura los datos y qué ocurre con ellos al finalizar la relación.
¿El sector «Editores de software» está afectado?
Todo editor que trate datos personales por cuenta de sus clientes es encargado del tratamiento, sin umbral alguno. La calificación no depende ni del tamaño ni del sector, sino de la realidad del tratamiento.
El editor se convierte, en cambio, en responsable del tratamiento en cuanto define sus propias finalidades: medición de audiencia del producto, prospección comercial o entrenamiento de modelos de IA con los datos de sus clientes. Acumula entonces ambas condiciones y las obligaciones correspondientes.
Obligaciones detalladas
Firmar un DPA conforme
Poner a disposición de cada cliente un contrato de subcontratación conforme al artículo 28: objeto, duración, naturaleza y finalidad del tratamiento, categorías de datos y de personas, obligaciones y derechos del responsable.
Tratar bajo instrucción
Tratar los datos únicamente siguiendo instrucciones documentadas del cliente, y alertarle si una instrucción parece contraria al RGPD.
Asegurar (artículo 32)
Implementar medidas técnicas y organizativas adecuadas: cifrado, gestión de accesos y habilitaciones, autenticación reforzada, registro de actividad, copias de seguridad y pruebas de restauración.
Supervisar a los subencargados ulteriores.
Mantener una lista actualizada de los subencargados del tratamiento (proveedor de alojamiento, servicios de terceros), someterlos a las mismas obligaciones e informar al cliente de cualquier cambio.
Encuadrar las transferencias fuera de la UE
Garantizar la seguridad jurídica de las transferencias de datos fuera de la Unión Europea mediante cláusulas contractuales tipo y medidas complementarias si fuera necesario.
Asistir al cliente
Ayudar al responsable a atender las solicitudes de derechos, realizar sus análisis de impacto y notificar las violaciones, y notificar sin demora al cliente cualquier violación detectada.
Sanciones y riesgos
Las multas pueden alcanzar los 20 M€ o el 4 % del volumen de negocio mundial. Un proveedor de software negligente expone en cascada a la totalidad de sus clientes, lo que lo convierte en un punto de fallo contractual mayor y en un asunto recurrente en los procesos de due diligence.
Al riesgo administrativo se añade un riesgo contractual: los clientes exigen ahora garantías (DPA, certificaciones, pruebas) y pueden exigir responsabilidad al editor en caso de incumplimiento.
Errores frecuentes en el sector
- 1Sin DPA estandarizado. Negociar caso por caso a falta de contrato tipo, lo que ralentiza las ventas y deja lagunas.
- 2Subcontratistas ulteriores ocultos. No declarar el alojador ni los servicios de terceros, en infracción de la obligación de información.
- 3Transferencias fuera de la UE sin marco. Utilizar servicios fuera de la UE sin cláusulas ni medidas complementarias.
- 4Notificación deficiente. No saber alertar al cliente sin demora en caso de violación.
Caso práctico
Un editor de RR. HH. aloja datos de candidatos para sus clientes a través de un subencargado cloud fuera de la UE no declarado. Durante una auditoría de seguridad realizada por una gran cuenta, la ausencia de mención del subencargado y de cláusulas de transferencia bloquea la firma. El editor regulariza la situación declarando al subencargado, activando las cláusulas contractuales tipo y publicando un DPA estándar — condición que desde entonces aplica sistemáticamente en sus ventas a grandes cuentas.
Hoja de ruta de cumplimiento
- 1
Cartografiar los flujos. Inventariar los datos tratados, su localización, los subencargados del tratamiento y las transferencias fuera de la UE.
- 2
Publicar un DPA estándar. Poner a disposición un DPA tipo y una documentación de seguridad accesibles para los clientes.
- 3
Mantener la lista de subcontratistas. Mantener actualizada la lista de subencargados del tratamiento y el mecanismo de información a los clientes.
- 4
Documentar la seguridad. Formalizar las medidas del artículo 32 en un registro y mantenerlas actualizadas.
- 5
Instrumentar la notificación. Establecer un procedimiento de detección y notificación de violaciones al cliente sin demora.
Preguntas frecuentes
Sí, para sus propias finalidades: analítica de producto, marketing, entrenamiento de modelos. Acumula entonces los roles de responsable y encargado del tratamiento.
Pase a la acción en RGPD
Diagnóstico gratuito o una charla con un experto dedicado a editores de software.
Ya confían en nosotros
Descubra cómo organizaciones del sector editores de software aseguraron su cumplimiento con DCO.