Antes de firmar: cómo saldrán tus datos del proveedor

Antes de firmar con un proveedor, yo pediría una muestra de lo que recibirás cuando termine el servicio. ¿Una tabla de contactos? ¿Los pedidos con sus identificadores? ¿También los adjuntos y la relación entre cada pedido y su cliente? «Los datos son tuyos» expresa una intención, pero no responde a esas preguntas.

En un escenario hipotético, cambias de herramienta y recibes un CSV con nombres y totales. Los documentos siguen en el sistema anterior y no hay una clave para relacionarlos. Tienes un archivo, aunque todavía no puedas continuar el trabajo. El problema se puede detectar antes: probando una exportación y comprobando qué permite reconstruir.

Definir qué se entrega y cómo se comprueba

Separaría tres cosas en el acuerdo: acceso durante el servicio, entrega al finalizar y uso posterior de la herramienta. Para la entrega concretaría los conjuntos de datos, los formatos, los adjuntos, la documentación de campos y las relaciones necesarias. También el plazo, el coste si lo hay y quién confirma que la entrega está completa.

En mi contrato, los datos de negocio del cliente que residen en sus propios sistemas permanecen allí y no se ven afectados por la terminación. Cuando la solución requiere almacenar datos del cliente en mi infraestructura, se mantienen en un contenedor aislado y exclusivo de ese cliente, separado de la capa de procesamiento, con acceso propio durante toda la vigencia del contrato.

Al terminar el contrato, por la causa que sea, entrego la totalidad de los datos del cliente alojados en ese contenedor en un máximo de 15 días naturales y en formato CSV o JSON. Esta entrega no incluye los flujos, el código, los prompts ni la arquitectura; su licencia de uso se extingue con el contrato.

CSV o JSON pueden ser formatos útiles. Su nombre no garantiza que incluyan el histórico o que el siguiente programa los importe sin ajustes. Pediría una prueba con datos ficticios: abrir la exportación, localizar un pedido y recuperar su cliente y sus documentos. Si falta una pieza, debe aparecer como exclusión antes de contratar.

Revisaría además quién administra el dominio, el correo y las cuentas de infraestructura. Preferiría cuentas controladas por tu negocio, con permisos delegados al proveedor cuando sea posible. Guardar todas las contraseñas en un documento compartido no sustituye a definir accesos, recuperación y revocación.

El RGPD tiene un alcance concreto

Para una empresa en España, si el proveedor trata datos personales por tu cuenta como encargado, el artículo 28 del RGPD exige regular ese tratamiento. Su apartado 3.g prevé devolver o suprimir los datos personales al terminar, a elección del responsable, y suprimir las copias, salvo conservación exigida por la normativa aplicable.

Eso no convierte el RGPD en una norma general de propiedad de todos los datos del negocio. Tampoco sustituye el acuerdo de salida. La portabilidad del artículo 20 es un derecho de la persona sobre determinados datos personales, sujeto a sus condiciones; no es un derecho de la empresa a recibir toda la aplicación o cualquier archivo.

Yo concretaría cómo se gestionan las copias de seguridad y las obligaciones de conservación, en lugar de prometer que todo desaparecerá inmediatamente. El acceso a datos personales debe seguir limitado a personas autorizadas durante la transición.

Llevarte los datos no te da todos los derechos sobre el código

La licencia de uso, una posible cesión de derechos y la entrega del código son cuestiones que conviene distinguir. La Ley de Propiedad Intelectual española, en sus artículos 43 y 45, delimita la cesión de derechos de explotación y exige formalizarla por escrito. No permite concluir que todo mecanismo pertenece siempre al proveedor ni que pagar un desarrollo transfiere automáticamente todos sus derechos.

Pediría que el contrato identifique lo que podrás seguir usando al terminar y las dependencias de terceros. Puedes conservar tus datos y necesitar otra herramienta para operarlos. Esa transición requiere tiempo y una persona responsable.

Estas son preguntas para preparar la revisión de un contrato tecnológico, no una valoración jurídica de tu caso. Antes de firmar, merece la pena comprobar la salida con quien implemente la migración y con un profesional que revise las condiciones aplicables.