Un cliente nos pide cumplir con el RGPD para firmar un contrato — ¿qué deberíamos poder mostrarle?

Como primer paso, descarga la plantilla de registro básica (modèle de registre) publicada por la CNIL. En ese archivo indica los campos que recopila tu software del cliente (nombre, email, teléfono, etc.) y sus plazos de conservación. Como los equipos de cumplimiento de las grandes empresas suelen revisar plantillas estándar, este formato oficial transmite bastante confianza.

La carpeta que le entregues al cliente debería contener estos 4 documentos: 1) El anexo contractual DPA que define los derechos y obligaciones de ambas partes. 2) Una lista de medidas técnicas que explique la arquitectura de tu software y los métodos de cifrado. 3) Un compromiso del servidor que demuestre en qué centros de datos europeos se alojan los datos. 4) Un procedimiento de crisis prometiendo notificar al cliente en menos de 48 horas ante una posible filtración.

Una empresa de logística en París nos pidió algo parecido. Sin contratar consultoría externa, adjuntamos un formulario de medidas técnicas de 5 páginas explicando nuestra arquitectura de seguridad y un DPA estándar. Su departamento jurídico lo aprobó en 4 días y firmaron el contrato principal por 65.000 euros. No buscan un certificado oficial, buscan disciplina documental.

Las grandes empresas ya suelen tener sus propios borradores de DPA y cuestionarios de seguridad estándar. No pierdas tiempo redactando un contrato desde cero; diles "Si tenéis un cuestionario de seguridad para proveedores y un borrador de DPA estándar, pasádnoslo y lo rellenamos y firmamos de inmediato con el equipo técnico". Casi siempre te mandan sus propios formularios directamente.

a nosotros tb nos lo pidio una cadena y nos asustamos pero al final lo q quieren es poder pasarle la pelota al subcontratista si la cnil les mete una multa luego diles q los servidores estan en europa q los datos van cifrados firmas un dpa y tema cerrado.

¿Entre los datos de fidelización que procesará tu software hay usuarios menores de 18 años o datos sensibles de categoría especial? Si solo vais a guardar contactos básicos e historial de compras el proceso se resuelve rápido, pero si pasan tarjetas de pago o datos sensibles, las preguntas de auditoría del cliente van a ser mucho más duras.

No te dejes sacar miles de euros por supuestos consultores que cobran a pequeñas empresas prometiendo "un certificado oficial de cumplimiento RGPD". En la Unión Europea no existe aún una certificación general de RGPD acreditada para empresas. Lo que piden son procesos internos totalmente documentados y compromisos contractuales.

Sí, la situación con cumplimiento rgpd es exactamente así. La gente no defiende el proceso, defiende la costumbre. La resistencia viene de ahí.

Hay que ir paso a paso. Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Comprobado por experiencia.

Gracias esa era la respuesta que buscaba.

Gracias, esa era la respuesta que buscaba. Que todo el mundo haga algo no significa que sea lo correcto.

Corrijanme si me equivoco.

Guardado.

Os explico cómo se hace en la práctica. La respuesta varía mucho según el sector, no hay una regla general.

Por supuesto, cambia si tu situación es diferente.

El año pasado nos pasó casi exactamente lo mismo. Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

También me gustaría saber si alguien lo hace de otra manera.

Estoy siguiendo esto.

Este hilo es para archivar.

Creo que es difícil hablar con tanta claridad sobre cumplimiento rgpd. La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

Yo seguiría por ese camino.

tema muy oportuno.