Cuando contratas un software estándar (un CRM comercial, una herramienta de facturación de catálogo), buena parte de la responsabilidad sobre el RGPD la asume el fabricante. Cuando contratas un software a medida, esa responsabilidad recae mucho más sobre ti como empresa — y sobre las decisiones técnicas que tome quien te lo construya. Aquí tienes qué debe garantizarte cualquier proveedor de software a medida en materia de protección de datos, y qué preguntas hacerle antes de firmar.

Por qué el RGPD es distinto cuando el software es a medida

Con un software de catálogo, el fabricante ya ha tomado las decisiones de seguridad por ti: cómo se cifran los datos, quién puede acceder a qué, cómo se registran los accesos. Tú solo lo configuras.

Con un software a medida, esas decisiones las toma el equipo que te lo desarrolla, proyecto a proyecto. Si tu proveedor no incorpora la protección de datos desde el diseño, el resultado es una aplicación que funciona bien pero que puede tener agujeros serios en cómo trata la información de tus clientes, empleados o usuarios — y la responsabilidad legal de eso, ante una inspección o una brecha, es tuya como empresa, no solo de quien programó.

Esto no es un matiz legal menor. Si tu aplicación gestiona nombres, emails, teléfonos, nóminas, horarios de fichaje, historiales de pedidos o cualquier dato que identifique a una persona, el RGPD se aplica igual que si fuera un hospital gestionando historiales clínicos — cambia el nivel de riesgo, no la obligación.

Qué debe garantizarte tu proveedor de software

Estos son los puntos que cualquier desarrollo a medida serio debe cubrir. Si tu proveedor no puede darte una respuesta clara en alguno de ellos, es una señal de alerta:

• Cifrado de datos, en reposo y en tránsito. La información debe estar protegida tanto cuando viaja (por ejemplo, entre tu app y el servidor) como cuando está guardada en la base de datos.
• Control de accesos por roles. No todo el mundo dentro de tu empresa debería poder ver todos los datos. Un comercial no necesita ver las nóminas; un administrativo de RRHH no necesita ver el histórico de ventas de cada cliente.
• Registro de actividad (quién hizo qué y cuándo). Si algo sale mal, tienes que poder reconstruir qué pasó. Sin registro de actividad, es imposible.
• Protección de datos desde el diseño («privacy by design»). No es algo que se añade al final del proyecto — se decide desde la primera línea de código: qué datos se piden, cuánto tiempo se guardan, quién los ve.
• Procedimiento claro ante una brecha de seguridad. La ley obliga a notificar a la autoridad en un máximo de 72 horas desde que se detecta un incidente. Tu proveedor debe tener un protocolo real para eso, no una promesa vaga.
• Facilidad para ejercer los derechos de las personas. Si alguien pide que se le muestre, corrija o elimine su información (los llamados derechos ARCO), tu sistema tiene que permitir hacerlo sin una intervención técnica de emergencia.
• Un contrato de encargado de tratamiento. Si tu proveedor va a tener acceso a datos personales durante el desarrollo o el mantenimiento, tiene que existir un documento legal que regule esa relación. Si no te lo ofrecen, pregúntalo tú.

Preguntas que hacer antes de firmar el contrato

Más allá del checklist técnico, estas son las preguntas concretas que te recomendamos hacer a cualquier proveedor antes de empezar un proyecto de software a medida:

• ¿Dónde se van a alojar los datos? (España, Unión Europea, fuera de la UE)
• ¿Quién del equipo de desarrollo tendrá acceso a datos reales durante el proyecto, y por qué?
• ¿Cómo se gestionan los entornos de pruebas? (Un error habitual es usar datos reales de clientes para probar la aplicación, sin anonimizarlos)
• ¿Qué pasa con los datos si en el futuro cambiamos de proveedor de mantenimiento?
• ¿Tienen alguna certificación de seguridad de la información que puedan mostrar?
• ¿Cómo se comportaría el sistema si alguien ejerce su derecho a ser olvidado?

Un proveedor con experiencia real en esto responde a estas preguntas sin titubear, con ejemplos concretos de cómo lo ha resuelto en otros proyectos. Si las respuestas son vagas o genéricas, es una señal de que la protección de datos no ha sido una prioridad real en su forma de trabajar.

Cómo lo garantizamos en App&Web

En App&Web incorporamos la protección de datos como parte del diseño técnico desde el primer día de cada proyecto, no como una revisión de última hora antes de entregar. Esto no es una promesa comercial: está respaldado por certificaciones externas que auditan cómo trabajamos.

Contamos con la certificación ENS Nivel Medio (el Esquema Nacional de Seguridad, el marco de ciberseguridad que exige la Administración Pública española a sus proveedores tecnológicos) y con ISO 9001 de gestión de calidad. Ambas implican auditorías periódicas por parte de organismos externos — no es una autoevaluación interna.

En la práctica, esto se traduce en decisiones concretas dentro de cada proyecto: cifrado por defecto, control de accesos granular desde el primer despliegue, registro de actividad en todos los sistemas que gestionan datos personales, y protocolos de respuesta ante incidentes que no improvisamos cuando ocurre algo, porque ya están definidos de antemano.

Preguntas frecuentes

¿El RGPD aplica igual a una pequeña empresa que a una grande?

Sí. El tamaño de la empresa no cambia la obligación legal, aunque sí puede influir en el nivel de riesgo y en las medidas concretas que tengan sentido. Una pyme con una base de datos de 200 clientes tiene la misma obligación legal que una gran corporación, aunque las medidas técnicas puedan ser proporcionalmente distintas.

Si mi proveedor de software desaparece o cierra, ¿qué pasa con mis datos?

Debería estar recogido en el contrato de encargado de tratamiento: qué pasa con los datos y con los accesos si la relación termina, sea porque cambias de proveedor o porque el proveedor deja de operar. Si ese documento no existe o no lo cubre, es un riesgo que conviene resolver antes de firmar, no después.

¿Es suficiente con que el software esté alojado en un servidor en España?

Ayuda, pero no es suficiente por sí solo. La ubicación del servidor es un factor, pero el cumplimiento real depende de cómo está construido el sistema: cifrado, control de accesos, registro de actividad y todos los puntos que hemos visto en el checklist. Un servidor en España con una aplicación mal diseñada sigue siendo un riesgo.

¿Cuánto tiempo se tarda en adaptar un proyecto de software a medida para cumplir con el RGPD?

Si se incorpora desde el diseño inicial, no añade tiempo significativo al proyecto — forma parte del desarrollo normal. El problema de tiempo y coste aparece cuando se intenta añadir la protección de datos al final, sobre un sistema ya construido sin tenerlo en cuenta. Por eso conviene preguntarlo antes de empezar, no revisarlo cuando el proyecto ya está avanzado.

¿Necesito un delegado de protección de datos (DPO) además de un buen proveedor de software?

Son roles distintos y complementarios. El DPO (obligatorio en ciertos casos según el volumen y tipo de datos que trates) supervisa el cumplimiento legal de tu empresa en general. Tu proveedor de software es responsable de que la herramienta que construye cumpla con las medidas técnicas necesarias. Uno no sustituye al otro.

App&Web es la división de desarrollo de software del grupo Winecta, fundada en 2013 en Granada. Construimos software a medida con la protección de datos incorporada desde el diseño, respaldada por nuestras certificaciones ISO 9001 (AENOR) y ENS Nivel Medio. Cuéntanos tu proyecto →