Si has contratado un proveedor cloud sin contrato de tratamiento adecuado

¿Tienes razón?

Usar un proveedor cloud sin un contrato que regule el tratamiento de datos crea un riesgo real. Lo que determina tu situación son: la naturaleza de los datos alojados, el control que tienes sobre ellos, las garantías técnicas ofrecidas por el proveedor y la existencia o no de términos que limiten responsabilidades. Si los datos son sensibles, la ausencia de contrato es más grave. Si son datos públicos o de bajo riesgo, la urgencia baja, pero sigue siendo recomendable regularizar.

En esencia, sin contrato claro pierdes palancas: no puedes exigir auditorías, no tienes seguridad contractual sobre subcontrataciones y tus derechos de supervisión son limitados. Sin documentación, reclamar se complica.

Cómo se soluciona

1) Identifica qué datos están en la nube. Lista bases, índices, backups y quién tiene acceso. Prioriza datos sensibles para acciones inmediatas.

2) Haz copia de seguridad y planes de migración. Exporta datos críticos a un entorno controlado o asegura copias antes de negociar cambios para no depender del proveedor.

3) Solicita un contrato de tratamiento. Pide cláusulas que regulen las obligaciones de seguridad, la subcontratación, la notificación de incidentes, la cooperación ante auditorías y el derecho a auditar o revisar pruebas de control.

4) Evalúa la respuesta del proveedor. Si acepta negociar, exige evidencias técnicas (certificaciones, políticas de seguridad) y plazos de implementación de cláusulas pendientes. Si se niega, valora migrar a un proveedor que acepte condiciones razonables.

5) Documenta todas las comunicaciones. Registra solicitudes, respuestas y propuestas; esas pruebas son vitales si hay una disputa.

6) Implementa medidas técnicas complementarias. Si no consigues cláusulas completas, fortalece controles por tu cuenta: cifrado a nivel de aplicación, gestión rígida de claves, controles de acceso y segregación de entornos.

7) Revisa políticas de subcontratación y continuidad. Asegura que existan procedimientos para la extracción de datos y la eliminación segura si finaliza la relación.

Acciones que puedes hacer solo: inventario de datos, exportación de copias y refuerzo de cifrado. Necesitas abogado si quieres reclamar incumplimientos contractuales, negociar cláusulas complejas o cuando la autoridad pide pruebas de diligencia.

Qué puede pasar

1) Se arregla con firma de contrato. Muchos proveedores aceptan firmar un contrato de tratamiento razonable y aportar evidencias técnicas; la relación continúa con mejores garantías.

2) Negociación y medidas técnicas. Si el proveedor muestra resistencia, puedes pactar medidas técnicas alternativas (cifrado por tu cuenta, gestión de claves) y acuerdos de servicio que mitiguen el riesgo.

3) Migración o reclamación. Si el proveedor no accede y los riesgos son altos, la salida práctica es migrar datos a un proveedor que cumpla. En casos extremos, puedes iniciar reclamaciones contractuales o administrativas si hubo incumplimiento grave y daño.

Y si ganas, ¿cobras? Recuperar costes por migración o daños depende de las obligaciones contractuales y de la posibilidad de probar incumplimiento. Una resolución favorable puede ordenar compensaciones, pero la efectividad práctica depende de la solvencia y garantías contractuales.

Errores que arruinan el caso

• No hacer inventario previo a la negociación. Sin saber qué hay en la nube, es imposible cuantificar riesgos y planear migración.
• Confiar solo en certificados públicos del proveedor. Los certificados ayudan, pero no sustituyen cláusulas contractuales que permitan verificación y auditoría.
• No cifrar datos sensibles por tu cuenta. Si el proveedor no ofrece garantías, el cifrado controlado por ti reduce exposición.
• Negociar verbalmente o por mensajes informales. Las condiciones clave deben constar en contrato firmado.
• Retrasar la migración por costes. Postergar puede empeorar la posición si ocurre un incidente.