Necesitas preparar el cumplimiento normativo para un proceso de due diligence tecnológica

¿Tienes razón?

Que le pidan cumplimiento normativo en una due diligence no es una obligación abstracta: es una comprobación del estado real de su empresa frente a obligaciones legales y prácticas de mercado. Tres cosas determinan si su posición es sólida.

1) Documentación: contratos con desarrolladores, licencias de software, acuerdos de prestación de servicios en la nube, convenios de confidencialidad y contratos laborales que regulen la propiedad intelectual. Si esos documentos existen y están firmes, su posición es fuerte.

2) Tratamiento de datos personales: registros de las finalidades del tratamiento, bases legales o el consentimiento donde proceda, políticas de privacidad publicadas y evidencia de medidas de seguridad técnicas y organizativas. Si hay lagunas —políticas no publicadas, consentimientos incompletos, ausencia de registros— eso genera preguntas que pueden frenar o rebajar una operación.

3) Seguridad operativa e incidentes: si tiene inventario de activos (aplicaciones, servidores, proveedores), comprobantes de auditorías o pruebas de incidentes y su gestión, su perfil mejora. La falta de respuesta a un incidente de seguridad o un proveedor sin contrato claro es un riesgo grave.

Estos tres puntos son el checklist que verá un comprador. Si falla uno o varios, su valor y las condiciones de la operación se verán afectadas.

Cómo se soluciona

1. Reúna la documentación básica. Busque: contratos de desarrollo y licencias, diagramas de arquitectura de sistemas, inventario de activos, listas de proveedores con su documentación contractual, políticas internas (seguridad, respaldo, continuidad), políticas públicas (privacidad en la web), y registros de incidentes de seguridad. Si algo está sólo en la cabeza de un empleado, extraiga esa información por escrito y ponga fecha.

1. Exporte conversaciones clave. Exporte y archive chats de trabajo, correos con acuerdos, y comprobantes de pago relacionados con desarrollos o licencias. No dependa de capturas: descargue los hilos y guárdelos en formato legible.

1. Mapée los datos personales. Haga un inventario sencillo: qué datos se recaban, para qué se usan, dónde se almacenan, quién tiene acceso y qué terceros los procesan. Identifique las bases que legitiman cada tratamiento (consentimiento, contrato, interés legítimo) y adjunte el soporte.

1. Revise propiedad intelectual. Reúna pruebas de autoría del software (repositorios con historial, commits, acuerdos de cesión de derechos con desarrolladores, facturas que prueben desarrollo a medida). Si algo es software de terceros, obtenga licencias y condiciones de uso.

1. Documente proveedores de nube y subcontratistas. Extraiga contratos con cláusulas sobre seguridad, copias de respaldo y ubicaciones de servidores; si no hay, obtenga comprobantes por escrito de las condiciones técnicas y operativas.

1. Prepare respuestas estándares. Elabore plantillas para preguntas frecuentes: por ejemplo, sobre licencias, incidentes anteriores, políticas de privacidad. Incluya anexos con evidencias para cada respuesta.

1. Corrija lo esencial que pueda: publica una política de privacidad clara en su web, remedia accesos innecesarios, formalice contratos con proveedores clave. Para cambios contractuales relevantes, considere un profesional.

Qué puede hacer usted solo: inventario de datos y documentos, exportación de conversaciones, recogida de contratos y facturas, publicación básica de políticas públicas. Qué necesita un abogado o un experto: redactar o revisar cesiones de derechos, negociar cláusulas con proveedores y preparar respuestas legales a demandas del comprador.

Qué puede pasar

1) Se arregla con documentación: lo más frecuente es que la due diligence detecte cuestiones menores que se corrigen con documentación adicional o con una carta de responsabilidades. Si puede aportar contratos firmados y pruebas, la operación sigue con pequeñas condiciones.

2) Acuerdo con covenants o indemnizaciones: a veces el comprador pide garantías o una modificación en el precio mediante fijación de reservas o acuerdos de indemnización por riesgos específicos. Un acuerdo de este tipo puede ser preferible al bloqueo total de la operación, porque reduce el conflicto y permite cerrar.

3) Bloqueo o retirada de la oferta y litigio: si aparecen incumplimientos graves (uso indebido de datos, falta de derechos sobre software crítico, vulnerabilidades no gestionadas) el comprador puede retirar la oferta o abrir reclamaciones. Si usted pierde en un eventual litigio o reclamación contractual, el comprador puede exigir indemnizaciones. Y si la contraparte es insolvable, una decisión favorable puede quedar sin efecto práctico: una sentencia o una cláusula de indemnización requieren de una contraparte capaz de pagar.

Y si gana, ¿cobra? Una resolución favorable frente a incumplimientos contractuales solo se ejecuta efectivamente si la contraparte tiene capacidad de pago. Por eso, en la due diligence el comprador también valora solvencia y garantías reales.

Errores que arruinan el caso

• Dejar pruebas solo en manos de un empleado: si esa persona sale, se pierde información crítica. Centralice y archive.

• No exportar comunicaciones ni versiones del código: confiar en que «queda en el repo» sin historial claro complica demostrar autoría.

• Ignorar contratos con proveedores de nube: ausencia de cláusulas de seguridad y copias de respaldo es un riesgo que suele parar operaciones.

• Entregar respuestas verbales sin soporte documental: una promesa en reunión no sustituye a un contrato firmado.

• Retrasar la corrección de incidentes de seguridad: reconocer un incidente sin evidencia de mitigación hace crecer la desconfianza.