Acuerdo de confidencialidad (NDA)

¿Cuándo se firma?

Antes de la primera reunión en la que nos vayas a enseñar algo sensible. Una primera conversación para entender qué necesitas no suele requerirlo, porque basta con que nos cuentes qué programas usáis y qué te cuesta saber hoy. Si tu política interna pide firmarlo incluso antes de esa charla, lo firmamos antes, una vez revisado el texto.

El texto puede partir del acuerdo que ya use tu empresa con otros proveedores o del que te proponga tu asesor. Lo que miramos nosotros es que encaje con la forma real de trabajar: qué vamos a ver, desde dónde, quién y durante cuánto tiempo. Un acuerdo que no describe bien el trabajo protege menos de lo que parece.

¿Qué información suele cubrir?

• Lo que nos cuentas en las reuniones: cómo vendéis, qué clientes pesan más, qué márgenes manejáis o qué planes tenéis para el año que viene.
• Los accesos: usuarios de lectura, direcciones de servidores, nombres de bases de datos y cualquier contraseña que se configure en la instalación.
• La documentación que nos pases: manuales internos, esquemas de cómo se guardan los datos en tu programa de gestión (ERP), hojas de cálculo de trabajo.
• Los datos que vemos durante la implantación, cuando revisamos registros reales para conectar bien tus programas y comprobar que las respuestas citan bien sus fuentes.
• Lo que vemos durante el mantenimiento: incidencias, preguntas del registro que haya que revisar o cambios en tus programas.
• Si lo quieres, el propio hecho de que trabajamos juntos.

¿Quién de nuestro equipo accede?

Solo las personas que trabajan en tu implantación o en su mantenimiento. Si lo prefieres, el acuerdo puede nombrarlas, y si cambia alguna se te avisa antes de que entre. Los accesos de administración a tu instalación quedan registrados, de modo que tu equipo de sistemas puede comprobar quién entró y cuándo.

¿Cuánto dura y qué pasa al terminar?

Lo normal es que el compromiso siga vigente un tiempo después de que termine la relación, porque lo que vimos no deja de ser delicado el día que acaba el contrato. Ese plazo se acuerda en el propio documento.

Al terminar, lo que tengamos de tu empresa en nuestro lado, como notas de las reuniones o documentos que nos hayas pasado, se devuelve o se destruye, según lo que digáis. Conviene que el acuerdo diga también qué pasa con las copias de seguridad, que no siempre se pueden borrar al momento. Lo que está dentro de tu instalación no se devuelve, porque ya es tuyo: lo que cambia es que se retiran nuestros accesos.

¿Qué no cubre?

• Lo que ya era público o lo que sabíamos antes de conocerte. Estas excepciones aparecen en casi todos los acuerdos y conviene que estén bien escritas.
• Lo que una ley o una autoridad obligue a entregar. El texto suele prever que te avisemos cuando sea posible.
• La empresa de IA. Como trabaja con tu cuenta, su relación es contigo y se rige por sus condiciones, no por el acuerdo que firmes con nosotros.
• El detalle de cómo se tratan los datos personales. Para eso existe otro documento.

¿En qué se diferencia del contrato de encargo del tratamiento?

El acuerdo de confidencialidad protege la información de tu empresa en general: precios, ofertas, estrategia o cómo trabaja tu equipo, sea o no un dato personal. El contrato de encargo del tratamiento, que regula el artículo 28 del Reglamento general de protección de datos (RGPD), trata algo más concreto: cómo tratamos los datos personales de clientes, empleados o proveedores cuando lo hacemos por cuenta de tu empresa. Fija, por ejemplo, que solo los usemos siguiendo tus instrucciones, con qué medidas de seguridad y qué ocurre con ellos al terminar.

Cuando tratamos datos personales por tu cuenta, el RGPD exige que esa relación quede regulada por escrito en un contrato de encargo del tratamiento (artículo 28.3). A veces los dos textos van en un mismo contrato y a veces por separado. Qué conviene en tu caso es algo que debe valorar quien te asesore.