Contrato de outsourcing con transferencias internacionales: qué revisar

¿Tienes razón?

Que exista una transferencia internacional no prohíbe per se el outsourcing, pero determina lo que debes exigir. Lo que importa para valorar tu posición es: primero, el destino de los datos y la legislación aplicable en ese país; segundo, las garantías técnicas y organizativas que ofrece el proveedor y sus subcontratistas; tercero, las cláusulas contractuales que regulan la transferencia, subcontratación y responsabilidades; y cuarto, los derechos de los titulares y la necesidad de notificación o consentimiento cuando corresponda. Si el proveedor no puede ofrecer garantías adecuadas o si la legislación del país receptor impide mantener niveles de protección equivalentes, tu riesgo aumenta y debes exigir medidas adicionales o evitar la transferencia.

Cómo se soluciona

1. Identifica los flujos de datos: mapa qué datos van fuera del país, por qué finalidad, y quién los tratará. Incluye subcontratistas y servicios de terceros.

1. Comprueba la legislación del país receptor: valora si exige accesos de autoridades, retención obligatoria o estándares menores de protección. Esta revisión técnica-interna te ayuda a negociar garantías.

1. Exige cláusulas contractuales específicas: pide que el contrato incluya obligaciones sobre medidas de seguridad, cifrado en tránsito y en reposo, gestión de incidentes, y responsabilidad por incumplimiento. Define obligaciones de notificación y cooperación en caso de brecha.

1. Subcontratación y encadenamiento contractual: obliga al proveedor principal a obtener compromisos equivalentes de sus subcontratistas y a conservar la trazabilidad de transferencias. Pide la lista de subcontratistas y control de cambios.

1. Derechos de auditoría: negocia derecho a auditorías o recepción periódica de informes de auditoría externa/acreditaciones (certificaciones) del proveedor y de sus subcontratistas.

1. Medidas técnicas: exige cifrado, controles de acceso basados en principio de menor privilegio, gestión de claves y registros de accesos. Define niveles mínimos de seguridad que se acrediten con evidencia.

1. Cláusulas de salida y retorno de datos: asegura procedimientos y formatos para la devolución o eliminación segura de datos al término del contrato, y obligaciones de certificación de borrado.

1. Seguros y garantías financieras: solicita evidencias de pólizas que cubran incidentes y pérdidas derivadas del tratamiento en el extranjero.

Qué puedes hacer sin abogado: mapear flujos de datos y documentar subcontratistas. Necesitas abogado para redactar cláusulas jurídicas de transferencia, indemnizaciones y cláusulas de salida.

Qué puede pasar

1) Transferencia con garantías: el proveedor acepta cláusulas de seguridad, permite auditorías y entrega evidencia; la operación sigue con riesgo controlado.

2) Acordar mitigaciones y controles adicionales: si el país receptor tiene riesgos legales, se pactan medidas como cifrado end-to-end, almacenamiento en ubicaciones específicas o segregación de datos. Esto reduce la exposición.

3) Imposibilidad de transferencia sin riesgos: si no se puede asegurar protección adecuada, puede ser necesario mantener datos en Chile o cambiar el diseño del servicio. Si se produce una brecha y el proveedor es responsable, la acción puede derivar en demandas; cobrar dependerá de cláusulas e instrumentos financieros.

Y si ganas, ¿cobras? La ejecución dependerá de garantías contractuales, seguros y de la jurisdicción aplicable; por eso las cláusulas de elección de ley y la posibilidad de ejecución en la jurisdicción del proveedor son aspectos críticos.

Errores que arruinan el caso

• No auditar ni conocer a los subcontratistas: subcontratistas sin controles adecuados son fuente habitual de brechas.
• Firmar cláusulas de jurisdicción sin evaluar ejecución: elegir una ley extranjera puede dificultar el cobro.
• No definir protocolos de devolución o borrado seguro: quedarte con datos en manos del tercero tras el término del contrato complica el cumplimiento.
• No exigir certificaciones o evidencia técnica: confiar en afirmaciones verbales sobre seguridad es arriesgado.
• No acordar medidas específicas para datos sensibles: estos requieren protecciones adicionales.