1) Tipos de contratos cloud y su impacto legal

La etiqueta “nube” abarca distintos modelos con efectos jurídicos distintos:

2) RGPD en la nube: quién es quién y base jurídica

Antes de escribir una sola cláusula, define el rol de cada parte:

• Responsable del tratamiento (Controller): la entidad que decide fines y medios del tratamiento. Normalmente, tu organización.
• Encargado del tratamiento (Processor): el proveedor cloud que trata datos por cuenta del responsable.
• Subencargados (Sub‑processors): terceros del proveedor; requieren autorización previa y contrato equivalente.

El contrato debe reflejar una base jurídica válida (art. 6 RGPD), finalidades determinadas y limitación del tratamiento. Y, si hay categorías especiales (art. 9), añadir salvaguardas reforzadas.

3) Cláusulas imprescindibles de un Cloud Agreement

3.1 Alcance del servicio, niveles (SLA) y métricas

El SLA traduce expectativas técnicas en compromisos verificables. Define:

• 📊Disponibilidad: % mensual, ventanas de mantenimiento, exclusiones objetivas y método de cálculo.
• ⚡Rendimiento: tiempos de respuesta, escalabilidad, colas, límites de rate.
• 🧰Soporte: horarios, tiempos de respuesta/ resolución por severidad (S1‑S4), idioma, canales.
• 💸Remedios: créditos de servicio automáticos, tope por mes, exclusión de renuncias a indemnizar que vacíen el SLA.

3.2 Seguridad de la información y privacidad por diseño

Exige un anexo de seguridad con controles concretos (no meras referencias genéricas):

• Certificaciones y auditorías (ISO 27001/2, SOC 2, ISO 27701) con acceso a resúmenes ejecutivos.
• Cifrado en tránsito y en reposo; gestión de claves (KMS), rotación y segregación por cliente.
• Gestión de identidades y accesos (MFA, RBAC/ABAC), registros y retención de logs.
• Gestión de vulnerabilidades y parches con SLA de seguridad.
• Plan de continuidad/DRP con RTO/RPO acordados y pruebas anuales documentadas.

3.3 Transferencias internacionales y localización de datos

Si hay accesos desde fuera del EEE, incorpora Cláusulas Contractuales Tipo (SCC), evaluación de impacto de transferencia (TIA) y medidas suplementarias (cifrado con claves bajo control del cliente, seudonimización). Establece regiones/zonas permitidas y notificación previa a cambios de localización.

3.4 Subencargados y cadena de suministro

Lista actualizada de subencargados, mecanismo de notificación previa y derecho de objeción motivada. Exige “flujo descendente” de obligaciones equivalentes, con responsabilidad del proveedor frente al cliente por actos de subencargados.

3.5 Auditorías y evidencias

Derecho a auditoría proporcional: primero revisiones de informes de terceros; si no son suficientes, auditoría in situ con preaviso razonable, límites de confidencialidad y sin interrumpir la seguridad. Prevé tableros de cumplimiento y acceso a evidencias bajo NDA.

3.6 Propiedad intelectual y licencias

El proveedor retiene propiedad del servicio; el cliente, de sus datos. Autoriza una licencia limitada para operar el servicio. Evita cesiones implícitas de IP. Si desarrollas personalizaciones, aclara titularidad y derechos de uso futuros.

3.7 Portabilidad, reversibilidad y salida (Exit Plan)

Define cómo recuperar datos y configuraciones al terminar: formatos abiertos (por ejemplo, CSV/JSON/Parquet), exportación con soporte del proveedor, plazos, costes y borrado certificado conforme a estándares (NIST 800‑88 o equivalentes).

3.8 Responsabilidad, limitaciones e indemnizaciones

3.9 Confidencialidad y secreto profesional

Refuerza el NDA con obligaciones postcontractuales, canales de divulgación segura, controles de acceso basados en necesidad de saber y cifrado de repositorios de documentación legal.

3.10 Cambios unilaterales y click‑wrap

Mantén un orden de prelación: MSA/EULA firmado > DPA > SLA > Términos online. Limita cambios unilaterales a aspectos no esenciales y exige notificación previa con derecho de terminación sin penalidad si el cambio degrada garantías.

4) El Anexo de Protección de Datos (DPA) que funciona

El DPA es el corazón GDPR del contrato. Debe incluir como mínimo:

1. Instrucciones documentadas y uso exclusivo para las finalidades definidas.
2. Medidas técnicas y organizativas (TOMs) descritas con especificidad.
3. Notificación de brechas sin dilación indebida (p.ej., < 24 h desde detección) y cooperación para cumplir plazos regulatorios (72 h).
4. Asistencia en el ejercicio de derechos (acceso, rectificación, supresión, oposición, portabilidad y limitación).
5. Registros de actividades, soporte en DPIA y consulta previa a autoridades cuando corresponda.
6. Destino de los datos al finalizar: devolución segura y borrado verificable.

5) Estrategia de negociación: cómo ganar garantías sin frenar la adopción

Usa un Matriz de Posturas para cada proveedor: posición ideal, aceptable y línea roja. Documenta concesiones y su vigencia (p.ej., hasta completar certificación x).

6) Checklist para tu próximo contrato cloud

7) Casos habituales y cómo resolverlos

7.1 El proveedor no acepta auditorías in situ

Propón escalado: (1) informes SOC/ISO completos; (2) Q&A técnico con CISO; (3) visita en caso de incidente grave o datos especialmente sensibles, limitada a áreas relevantes y bajo NDA.

7.2 Transferencias a EE. UU. por soporte

Exige SCC, TIA y cifrado con claves bajo control del cliente. Cierra ventanas de soporte fuera del EEE salvo emergencia, registrando accesos.

7.3 SLA “de escaparate”

Convierte objetivos en compromisos: añade créditos automáticos, umbrales por severidad y exclusiones definidas con precisión (no “causas fuera de control” sin concreción).

7.4 Salida compleja por integraciones

Incluye un Exit Assistance con horas de soporte incluidas y tarifas preacordadas para migración. Exige documentación técnica y scripts de exportación.

8) Recomendaciones de gobernanza y cumplimiento continuo

• Catálogo de servicios cloud aprobado por Legal, Seguridad y Compras; evita la “TI en la sombra”.
• Renovaciones calendarizadas con revisión de SLA, subencargados y certificaciones.
• Evaluaciones DPIA para tratamientos de alto riesgo y revisión anual de TOMs.
• Programa de formación para equipos de compras y TI en contratos cloud y RGPD práctico.
• Métricas de incidentes, disponibilidad y tiempos de resolución con reporte trimestral a dirección.

9) Plantilla de puntos de negociación (resumen)

10) Preguntas frecuentes