Qué pedir a un proveedor SaaS antes de conectarlo al correo de tu empresa

Un software que se conecta al correo de la empresa ve quién escribe a quién, cuándo y con qué asunto, y en algunos casos puede leer la vista previa de los mensajes. Es un tratamiento de datos personales con un alcance que pocas compras miden de entrada. Antes de firmar, quien decide (dirección, TI o el DPO) necesita respuestas por escrito.

Esta guía recorre lo que conviene pedir: el contrato de encargo del artículo 28 del RGPD, los subencargados, la ubicación de los datos, las medidas de seguridad, los permisos, la IA, el borrado y la evaluación de impacto. Al final hay una lista para llevar a la reunión.

El proveedor como encargado del tratamiento

Según el RGPD, el responsable decide los fines y los medios del tratamiento, y el encargado trata los datos por cuenta de otro (artículo 4, apartados 7 y 8). Las directrices 07/2020 del Comité Europeo de Protección de Datos insisten en que la calificación depende de los hechos y no del nombre que el contrato le dé.

En el correo, la empresa suele ser la responsable: decide que la herramienta lea su correo y para qué. Si el proveedor fija sus propios fines, por ejemplo entrenar un modelo con los mensajes de sus clientes, el artículo 28, apartado 10, lo trata como responsable de ese uso. Por eso el contrato debe limitar los usos del proveedor a lo que la empresa decide.

Qué debe llevar el contrato

El artículo 28, apartado 3, fija el contenido mínimo del contrato de encargo, que debe constar por escrito, también en formato electrónico (apartado 9). Como lista de control, el contrato debe recoger:

• El objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos y las personas afectadas.
• Las instrucciones documentadas del responsable, también sobre las transferencias fuera del Espacio Económico Europeo.
• El compromiso de confidencialidad de las personas autorizadas para tratar los datos.
• Las medidas de seguridad del artículo 32 y las condiciones para recurrir a subencargados.
• La ayuda para atender los derechos de las personas y para cumplir los artículos 32 a 36.
• La supresión o devolución de los datos al terminar, a elección del responsable, con borrado de las copias.
• La información necesaria para demostrar el cumplimiento y la posibilidad de auditorías.

Si el proveedor tiene un anexo de tratamiento de datos, revísalo contra esta lista. La Comisión Europea aprobó cláusulas tipo para este contrato en la Decisión de Ejecución (UE) 2021/915, de 4 de junio de 2021, que pueden completarse con otras garantías siempre que no contradigan las cláusulas.

Dos puntos suelen quedar vagos. El primero es el aviso de brechas: el artículo 33, apartado 2, exige que el encargado lo haga «sin dilación indebida», pero no fija horas. El segundo es el procedimiento para cambiar de subencargado. Conviene concretar ambos.

Subencargados: quién más trata los datos

El proveedor puede apoyarse en otras empresas para alojar datos, dar soporte o llamar a un modelo de IA. Cada una es un subencargado. El artículo 28, apartado 2, exige la autorización previa y por escrito del responsable, específica o general. Con autorización general, el encargado debe avisar de cualquier cambio previsto y dar al responsable la oportunidad de oponerse. El apartado 4 impone al subencargado las mismas obligaciones, y el encargado inicial sigue respondiendo ante el responsable si el subencargado incumple. Pide la lista con la función de cada uno, el lugar donde trata los datos y el procedimiento de aviso.

Ubicación de los datos y transferencias

Almacenar datos en la Unión Europea y permitir accesos desde otros países son cosas distintas, y ambas deben figurar en la documentación. Como referencia de lo que conviene leer, Microsoft describe en su documentación sobre la EU Data Boundary qué datos de Microsoft 365 se almacenan y procesan dentro de la UE, y en qué circunstancias limitadas salen de ella. Esa misma documentación indica que los clientes con Multi-Geo no entran en ese compromiso, aunque su inquilino figure en un país de la UE.

Cuando hay transferencia, aplica el capítulo V del RGPD, que parte del artículo 44. Las vías principales son estas:

• Una decisión de adecuación (artículo 45). Para Estados Unidos, la Decisión de Ejecución (UE) 2023/1795, de 10 de julio de 2023 reconoce el Marco de Privacidad de Datos para las entidades de su lista, que publica el Departamento de Comercio de Estados Unidos. Hay que comprobar que el proveedor figura en ella.
• Garantías adecuadas (artículo 46), como las cláusulas tipo de la Decisión de Ejecución (UE) 2021/914, de 4 de junio de 2021.
• Excepciones para situaciones específicas (artículo 49). El propio RGPD las presenta como excepciones, no como vía general para un flujo continuo de datos.

La política de privacidad de EmailDelDia indica que, con carácter general, su infraestructura opera dentro del Espacio Económico Europeo o con las garantías del capítulo V, que la relación de encargados y subencargados se facilita a quien la pida, y que las transferencias fuera del EEE se amparan en el Marco de Privacidad cuando el proveedor esté adherido, o en cláusulas tipo. Es una declaración que conviene pedir por escrito, igual que con cualquier otro proveedor.

Medidas de seguridad del artículo 32

El artículo 32 pide medidas adecuadas al riesgo: seudonimización y cifrado, capacidad de garantizar la confidencialidad, la integridad, la disponibilidad y la resiliencia de los sistemas, y un proceso para verificar la eficacia de esas medidas. No dice qué medida concreta usar, así que la prueba está en la documentación. Para un software que lee correo, pide por escrito:

• Cifrado en tránsito y en reposo, con la gestión de claves explicada.
• Autenticación reforzada para administradores y para cualquier persona con acceso a datos de clientes.
• Separación entre clientes, y cómo se evita que una consulta devuelva datos de otro.
• Registro de los accesos del personal del proveedor a datos de clientes.
• Copias de seguridad con pruebas de restauración.

EmailDelDia describe en su página de seguridad algunos de estos controles: cada organización es un tenant separado con su identificador en todas las consultas, la autenticación reforzada es obligatoria para administradores y auditores, y las credenciales se guardan cifradas. Son afirmaciones del proveedor que conviene contrastar con la documentación técnica.

Permisos mínimos y credenciales propias

Pide la lista exacta de permisos y ámbitos, no una descripción general. En Microsoft 365, la diferencia entre propiedades básicas y contenido completo es la que más pesa. En Gmail, el ámbito de metadatos no da acceso al cuerpo del mensaje. La guía sobre permisos mínimos recoge cada permiso y su uso.

La credencial también importa. Algunos proveedores usan una única aplicación que cada cliente consiente. El administrador del cliente da el consentimiento, pero la aplicación, su secreto y su rotación quedan en manos del proveedor. Lo más sólido es que la aplicación viva en el inquilino del propio cliente: una aplicación registrada en su Entra ID o una cuenta de servicio de su proyecto de Google Cloud. Así la organización ve el consentimiento y lo revoca sin depender de nadie. En cualquier caso, retirar el consentimiento corta el acceso, y conviene saber quién puede usar la cuenta de servicio y con qué roles.

La IA y sus proveedores

Si el proveedor ofrece IA, el contrato debe decir qué datos salen de la plataforma, hacia qué modelo y con qué fin:

• Si los modelos reciben solo metadatos o también asuntos y fragmentos de contenido, y en qué casos.
• Si los nombres de las personas se seudonimizan antes de enviarlos.
• Si los datos sirven para entrenar modelos, propios o de terceros.
• Quién contrata al proveedor del modelo. Con una clave que contrata la propia empresa, la relación es directa. Si la llamada la hace el proveedor de la plataforma, lo habitual es que ese proveedor sea un subencargado.
• Dónde se procesan las llamadas y cuánto tiempo conserva el proveedor del modelo cada solicitud.

Registro de accesos, salida y borrado

Durante la relación, pide un registro de los accesos del proveedor a datos de clientes: quién accede, cuándo y para qué. Los registros del propio Microsoft 365 o de Google Workspace son otra fuente, con plazos que dependen de la licencia, y la guía sobre auditoría de correo los describe.

Al terminar, el artículo 28, apartado 3, deja al responsable elegir entre suprimir o devolver los datos. Pide un formato de exportación legible, un plazo de borrado de los datos activos y otro para las copias de seguridad, que es el punto que más se olvida. Cierra el acceso técnico el mismo día: revoca la credencial, retira los permisos o elimina la cuenta de servicio.

El plazo de conservación en el proveedor también debe respetar la limitación del artículo 5, apartado 1, letra e), del RGPD. La guía sobre cuánto tiempo conservar los correos de empresa separa los plazos según lo que se guarda.

Cuándo hace falta una evaluación de impacto

El artículo 35 del RGPD exige una evaluación de impacto cuando un tratamiento puede entrañar un alto riesgo, en particular si usa tecnologías nuevas. La Agencia Española de Protección de Datos publica una lista de tratamientos que la requieren (artículo 35, apartado 4). Que el proveedor tenga su propia documentación no sustituye la de la empresa, que es quien decide para qué usa el correo. El proveedor debe ayudar (artículo 28, apartado 3, letra f), así que pide por escrito la descripción de las operaciones, las medidas y su evaluación de seguridad. Si el riesgo sigue siendo alto pese a esas medidas, el artículo 36 obliga a consultar a la autoridad de control antes de empezar. La guía sobre revisar el correo corporativo de un empleado trata la proporcionalidad con más detalle.

Certificaciones: qué significan

Un certificado vale lo que dice su alcance: qué servicios cubre, qué sedes, qué periodo, quién lo emitió y si el informe de auditoría está disponible. Un certificado de una parte del producto no certifica el resto. El artículo 42, apartado 4, del RGPD precisa además que la certificación no limita la responsabilidad del responsable ni del encargado.

EmailDelDia no cuenta hoy con certificaciones ISO/IEC 27001, Esquema Nacional de Seguridad ni SOC 2. Su web dice que, si las obtiene, las publicará con su alcance y su entidad certificadora. Para la gestión de la IA toma como referencia la norma ISO/IEC 42001, sin certificación en ella. El detalle está en la página de seguridad.

Lista para la reunión con el proveedor

La tabla resume qué pedir, qué respuesta buscar y dónde debe quedar por escrito.

Qué no cubre esta guía

Esta guía no valora proveedores concretos ni cubre requisitos sectoriales, como los de las administraciones públicas o el sector financiero. Las comprobaciones deben hacerse contra el texto vigente de la norma o de la decisión, porque tanto la Comisión Europea como el Comité Europeo de Protección de Datos actualizan sus documentos.

Preguntas frecuentes

¿Hace falta contrato de encargo si el proveedor es grande y conocido?

Sí. La obligación depende del tratamiento, no del tamaño del proveedor. El artículo 28, apartado 1, exige recurrir solo a encargados que ofrezcan garantías suficientes, y eso se demuestra con documentación.

¿Puede el proveedor usar los datos para mejorar su producto?

Solo si la empresa lo autoriza y lo instruye. Si el proveedor fija sus propios fines, el artículo 28, apartado 10, lo convierte en responsable de ese uso. Conviene pedir una cláusula que lo prohíba o lo limite.

¿Qué hago si el proveedor cambia de subencargado?

Con autorización general, el proveedor debe avisar del cambio y dar la oportunidad de oponerse (artículo 28, apartado 2). Si el contrato no fija plazo ni procedimiento, pídelo por escrito antes de que ocurra.

¿Una certificación ISO 27001 evita hacer la evaluación de impacto?

No. La evaluación depende del tratamiento que hace la empresa, y la certificación no limita la responsabilidad de responsables ni de encargados (artículo 42, apartado 4). Puede servir como prueba dentro de la evaluación, pero no la sustituye.