Si has contratado un proveedor cloud sin contrato de tratamiento adecuado

¿Tienes razón?

No puede decirse a priori que esté obligado a rescindir el servicio, pero tres elementos determinan si su situación es aceptable:

1. Qué datos hay en la nube. Datos personales no sensibles (nombres, correos) son menos riesgosos que datos sensibles (salud, datos financieros) o secretos empresariales.

1. El control y acceso que el proveedor tiene: si el proveedor puede leer, indexar o exportar datos, su rol es de encargado y requiere obligaciones contractuales claras.

1. Las medidas técnicas y organizativas: cifrado, ubicaciones de almacenamiento, procedimientos de copia de seguridad, eliminación y control de subcontratistas.

Si sus datos críticos están en un servicio sin obligaciones claras, su exposición es real. Aun así, hay pasos intermedios que pueden reducir el riesgo sin abandonar la plataforma.

Cómo se soluciona

1) Liste los datos y su ubicación. Exporte un inventario que detalle qué bases de datos, ficheros y buckets contienen datos personales. Identifique dentro de la empresa quién es responsable de cada sistema.

2) Pida documentación al proveedor. Solicite el contrato estándar (T&C), información sobre cifrado en reposo y en tránsito, política de acceso de personal, y un listado de subproveedores. Solicite también la política de retención y el procedimiento para eliminación definitiva. Exija respuestas por escrito.

3) Evalúe el riesgo por tipo de dato. Clasifique si en la nube hay datos sensibles o información crítica para la continuidad del negocio. Para datos de alto riesgo, considere medidas adicionales como cifrado de aplicación (cifrar los datos antes de subirlos) o mantener esos ficheros fuera del servicio.

4) Negocie un contrato de tratamiento. Si la plataforma lo acepta, firme un contrato que establezca obligaciones de seguridad, responsabilidad, subencargados y cláusulas de auditoría. Si no acepta, coloque salvaguardas técnicas y documente la decisión.

5) Configure controles inmediatos. Revise permisos, active autenticación fuerte, registre accesos y limite la sincronización automática. Desactive integraciones que exporten datos a terceros sin control.

6) Plan de migración o compensación. Si el proveedor no ofrece garantías adecuadas y los datos lo requieren, planifique migrar a un servicio con contrato. Si migrar no es viable, documente medidas compensatorias y justifíquelas mediante un análisis de riesgo.

7) Contratar asesoría. Para revisar políticas y contratos, auditar la configuración de seguridad y negociar con el proveedor, conviene contar con asesoramiento especializado.

Lo que usted puede hacer hoy: exportar la lista de ficheros, capturar capturas de pantalla de las configuraciones de acceso y pedir por escrito información de seguridad al proveedor. Lo que necesita de un abogado: revisar o redactar un contrato de tratamiento y evaluar obligaciones frente a la autoridad.

Qué puede pasar

1) Se arregla con una carta o ajuste técnico. En muchos casos, el proveedor acepta mejorar medidas o firmar un anexo contractual que deje las cosas en orden. Un ajuste técnico (cifrado de cliente) también suele arreglar la exposición.

2) Acuerdo contractual o compensación. Si hubo un incidente, puede negociarse un acuerdo para mitigar el daño y reforzar obligaciones. Para la empresa, aceptar un acuerdo puede ser preferible a un litigio largo si con ello se recupera la seguridad necesaria.

3) Procedimiento administrativo o litigio. Si hubo un incumplimiento que afectó derechos de las personas o si la autoridad verifica fallas estructurales, puede iniciar un procedimiento que derive en sanciones y órdenes de corrección. En un litigio civil, la empresa puede sufrir reclamaciones de terceros. Y si pierde, la ejecución dependerá del patrimonio y de la estructura contractual con el proveedor.

Si gana, ¿cobra? Una sentencia favorable puede obligar a la otra parte a reparar; sin embargo, la efectiva recuperación depende de la capacidad de pago y de los bienes ejecutables: la sentencia no elimina ese riesgo.

Errores que arruinan el caso

• No documentar las configuraciones y permisos antes de realizar cambios.
• Confiar en promesas verbales del soporte técnico sin dejar constancia escrita.
• Mover datos críticos a otra plataforma sin seguir un plan de exportación y copia.
• No segmentar entornos de producción y pruebas, dejando datos reales en entornos inseguros.
• No auditar los accesos de subcontratistas cuando el proveedor subcontrata servicios.