Las preguntas que conviene hacer a cualquier proveedor de software o servicios antes de que los datos de su organización vayan a algún lado: dónde se guardan, quién puede verlos, qué pasa cuando algo sale mal y cómo los recupera.
Gratis para imprimir y adaptarÚltima revisión octubre de 2026Traducción de la guía en inglés
Anote lo que necesita antes de ver una demostración
Una demostración enseña lo que el producto hace bien. Su lista le dice si hace lo que usted necesita.
Describa la tarea en un párrafo: quién lo va a usar, qué registros va a contener y qué va a reemplazar.
Anote la información sensible que va a contener: datos de salud, financieros, migratorios, penales o de menores. Eso define con cuánta insistencia debe hacer cada una de las preguntas de abajo.
Nombre a la persona que lo administrará en el día a día y a la que puede firmar el contrato. Si nadie puede hacerse cargo, todavía no lo compre.
Haga las mismas preguntas, por escrito, a por lo menos dos proveedores. La tabla comparativa al final de esta guía es un punto de partida.
Dónde se guardan sus datos
A algunas leyes, financiadores y socios les importa en qué país se guardan sus datos. Muchos contratos son vagos al respecto.
¿En qué países se guardan nuestros datos, incluidas las copias de seguridad y las copias que use el equipo de soporte?Lo que debería escuchar: Países o regiones concretos, por contrato, y aviso previo antes de que cambien.
¿Qué subencargados (otras empresas) tratan nuestros datos, y cómo nos avisarán cuando cambie esa lista?Lo que debería escuchar: Una lista publicada, y aviso previo de los cambios con la posibilidad de oponerse o de irse.
Un subencargado es cualquier otra empresa de la que depende su proveedor para guardar o tratar sus datos, como su proveedor de alojamiento o de correo electrónico. Cada uno es otro lugar por donde pueden filtrarse sus datos. No hace falta que los evalúe a todos, pero sí debería saber quiénes son.
Quién puede verlos
Puede que las personas con más acceso a sus datos sean las del propio proveedor.
¿Qué personas de su empresa pueden ver nuestros datos, en qué casos, y queda registro de ese acceso?Lo que debería escuchar: Acceso solo para funciones determinadas, solo cuando hace falta, registrado y visible para usted si lo pide.
¿El plan que vamos a contratar incluye inicio de sesión único y autenticación multifactor?Lo que debería escuchar: Sí, en su nivel de plan. Las funciones de seguridad no deberían costar aparte.
Compruebe si el proveedor cobra más por el inicio de sesión único o por la autenticación multifactor. Si es así, inclúyalo en el precio, porque va a necesitar las dos cosas. Nuestra guía de seguridad explica por qué.
Cuando algo sale mal
Puede que la ley le dé un plazo para reportar una violación de datos. Su proveedor tiene que avisarle a tiempo para que usted pueda cumplirlo.
¿Con qué rapidez nos avisarán de un incidente de seguridad que afecte a nuestros datos, y quién nos avisará?Lo que debería escuchar: Un plazo fijo en horas o días escrito en el contrato, y una persona de contacto con nombre.
En algunos países el plazo para avisar a la autoridad es corto: en el Reino Unido, por ejemplo, una violación de datos personales que deba notificarse tiene que reportarse a la ICO lo antes posible y, cuando sea factible, dentro de las 72 horas. Un proveedor que le avisa una semana después no le deja tiempo. Consulte las obligaciones de privacidad por país.
Cómo salir
El mejor momento para acordar cómo se va es antes de llegar.
Si nos vamos, ¿cómo recuperamos todos nuestros datos, en qué formato y a qué costo?Lo que debería escuchar: Una exportación completa en un formato abierto y documentado (como CSV o JSON), sin cargo adicional.
¿Cuánto tiempo conservan nuestros datos después de que nos vayamos, y nos confirmarán por escrito que los borraron?Lo que debería escuchar: Un plazo corto y declarado, luego el borrado, confirmado por escrito.
Pruebe una exportación durante el periodo de prueba, no cuando ya se esté yendo. Abra el archivo y compruebe que está todo lo que necesita, incluidos los adjuntos y el historial.
Asegúrese de que el contrato le permita irse si el proveedor se vende, cambia sus condiciones o traslada sus datos a un lugar que usted no aceptó.
Pruebas de seguridad: qué demuestran y qué no
Los certificados y los informes son útiles. No son una garantía.
¿Qué pruebas independientes de seguridad pueden compartir: informe SOC 2, certificado ISO/IEC 27001, resumen de una prueba de penetración reciente?Lo que debería escuchar: Un informe o certificado vigente cuyo alcance cubra el producto que usted va a comprar.
Informes SOC 2
Un informe SOC 2 es el informe de un auditor independiente, según un marco del AICPA, sobre los controles de una organización de servicios relacionados con la seguridad, la disponibilidad, la integridad del procesamiento, la confidencialidad o la privacidad. Antes de fiarse de uno, lea tres cosas:
El alcance. Qué sistemas y cuáles de esas cinco áreas se examinaron. El producto que usted va a comprar debería estar incluido.
El tipo y el periodo. Un informe de tipo 1 describe los controles en una fecha determinada; uno de tipo 2 también comprueba si funcionaron durante un periodo, normalmente de varios meses. El de tipo 2 dice más. Compruebe que el periodo sea reciente.
Las excepciones y sus responsabilidades. El auditor enumera los controles que fallaron, y el informe enumera los controles que se espera que aplique el cliente, como gestionar sus propios usuarios. Esos le corresponden a usted, no al proveedor.
Certificados ISO/IEC 27001
Un certificado ISO/IEC 27001 indica que un organismo de certificación acreditado comprobó que el proveedor tiene un sistema de gestión de seguridad de la información que cumple la norma. Pida el certificado en sí, compruebe que la declaración de alcance cubre el servicio que va a comprar, revise la fecha de vencimiento y fíjese en quién lo emitió.
Lo que ninguno de los dos demuestra
Que el producto sea seguro tal como usted lo va a configurar y usar. Según el modelo de responsabilidad compartida de los servicios en la nube, una parte de la seguridad siempre le corresponde a usted.
Que no pueda ocurrir una violación de datos. Un informe sin observaciones es una prueba de buenas prácticas durante un periodo, no una promesa sobre el futuro.
Nada sobre el cumplimiento de las leyes de privacidad, la accesibilidad o la salud financiera del proveedor.
Accesibilidad
Si lo van a usar su personal, sus voluntarios o el público, también lo van a usar personas con discapacidad.
¿Tienen un Informe de Conformidad de Accesibilidad (ACR), y qué versión y nivel de WCAG cubre?Lo que debería escuchar: Un informe reciente sobre este producto, honesto sobre las carencias conocidas y sobre cuándo se corregirán.
Un Informe de Conformidad de Accesibilidad, que a menudo se elabora con una plantilla llamada VPAT, explica cómo cumple un producto las normas de accesibilidad. Tómelo como lo que afirma el propio proveedor: durante el periodo de prueba, use el producto solo con el teclado y con un lector de pantalla. Nuestra guía de accesibilidad explica cómo hacerlo en menos de una hora.
Trampas de precio
El precio del primer año casi nunca es el que termina pagando.
¿El contrato se renueva automáticamente, con cuánta anticipación hay que avisar para cancelar y cuánto puede subir el precio al renovar?Lo que debería escuchar: Recordatorios de renovación, un plazo de aviso corto y un tope a los aumentos escrito en el contrato.
Si tenemos un descuento para organizaciones sin fines de lucro o del sector público, ¿cuánto dura y qué pasa cuando termina?Lo que debería escuchar: Un plazo declarado, y el precio completo que pagará después.
¿Hay un mínimo de usuarios, cuotas de implementación, cuotas de soporte o cargos por exportar los datos?Lo que debería escuchar: Todos los costos únicos y recurrentes enumerados en la orden de compra.
Renovación automática. El mismo día que firme, anote la fecha límite para cancelar en un calendario compartido, con un recordatorio un mes antes.
Aumentos de precio. Pida por escrito un tope a los aumentos al renovar, o un precio fijo durante todo el contrato.
Descuentos que se acaban. Un descuento generoso para organizaciones sin fines de lucro en el primer año puede convertirse en un precio completo que no podrá pagar. Presupueste el precio del segundo año antes de empezar.
La seguridad como extra. El inicio de sesión único, los registros de auditoría y la conservación de datos por más tiempo a veces solo vienen en los planes más caros.
Cargos por salir. Los cargos por exportar sus propios datos, o por ayudarle a irse, deberían figurar en la orden de compra o quedar descartados.
Una tabla comparativa para copiar
Haga a todos los proveedores las mismas preguntas por escrito y luego compare las respuestas lado a lado.
Descargue la tabla como hoja de cálculo o cópiela en su propio documento. Deje la celda vacía hasta tener la respuesta por escrito.
¿En qué países se guardan nuestros datos, incluidas las copias de seguridad y las copias que use el equipo de soporte?
¿Qué subencargados (otras empresas) tratan nuestros datos, y cómo nos avisarán cuando cambie esa lista?
¿Qué personas de su empresa pueden ver nuestros datos, en qué casos, y queda registro de ese acceso?
¿El plan que vamos a contratar incluye inicio de sesión único y autenticación multifactor?
¿Con qué rapidez nos avisarán de un incidente de seguridad que afecte a nuestros datos, y quién nos avisará?
Si nos vamos, ¿cómo recuperamos todos nuestros datos, en qué formato y a qué costo?
¿Cuánto tiempo conservan nuestros datos después de que nos vayamos, y nos confirmarán por escrito que los borraron?
¿Qué pruebas independientes de seguridad pueden compartir: informe SOC 2, certificado ISO/IEC 27001, resumen de una prueba de penetración reciente?
¿Tienen un Informe de Conformidad de Accesibilidad (ACR), y qué versión y nivel de WCAG cubre?
¿El contrato se renueva automáticamente, con cuánta anticipación hay que avisar para cancelar y cuánto puede subir el precio al renovar?
Si tenemos un descuento para organizaciones sin fines de lucro o del sector público, ¿cuánto dura y qué pasa cuando termina?
¿Hay un mínimo de usuarios, cuotas de implementación, cuotas de soporte o cargos por exportar los datos?
Fuentes
De dónde sale esto.
Solo fuentes primarias: gobiernos, organismos reguladores, organismos de normalización y los propios proveedores, casi todas en inglés. Cada una se abrió y se verificó el 18 de octubre de 2026. Si algo de lo que dice esta página ya no coincide con la fuente, vale la fuente; avísenos a hello@moraph.org.