Contrato con un MSP: las cláusulas de salida, accesos y datos

• Propiedad de los accesos Cada cuenta de administrador es del cliente; el proveedor nunca es su único titular.
• Dossier técnico Inventario, mapa de red, configuración del firewall y de las copias, siempre al día y entregado al cierre.
• Datos personales Si hay acceso a ellos, el RGPD (artículo 28) impone un acuerdo escrito que incluye la devolución o destrucción de los datos al final.
• Salida Preaviso viable, sin periodo de permanencia y sin penalizaciones por rescisión.

Cuesta semanas de dependencia. Nadie pregunta por las credenciales mientras todo va bien; la pregunta surge el día en que la empresa quiere cambiar, por precio, por calidad o porque ha crecido. Es entonces cuando aparecen casos como estos:

• Microsoft 365 El administrador global es la dirección personal de un técnico del proveedor anterior.
• Dominio La dirección de la web figura registrada con el proveedor como titular.
• Firewall Nadie conoce la contraseña, y la única vía es borrarlo todo y reconfigurar desde cero.
• Copias de seguridad Guardadas en una suscripción en la nube de un tercero.

No hace falta mala fe. Basta un proveedor que, por comodidad, lo puso todo a su nombre. El resultado se repite: el cliente queda atrapado. Antes de avanzar, lea nuestra guía para cambiar de proveedor de IT con seguridad.

Siempre al cliente. El MSP entra con cuentas individuales, creadas por la empresa y que la empresa desactiva el último día de servicio.

En la práctica: el acceso de administrador abre todas las puertas de un sistema. Una copia de cada uno de esos accesos tiene que estar guardada en un lugar que controle la dirección, por ejemplo una bóveda de credenciales corporativa.

Exija por escrito:

• Acceso de emergencia Una cuenta de la empresa en cada sistema vital: Microsoft 365, firewall, servidores, red inalámbrica y copias.
• Titular correcto Dominios, suscripciones y licencias registrados con la empresa como propietaria.
• Bóveda común Con acceso directo de la dirección. Vea cómo montar un gestor de contraseñas empresarial.

La que permite a otro técnico asumir al día siguiente. Sin ella, el nuevo proveedor pasa semanas reconstruyendo el mapa de la instalación, y es el cliente quien paga esas horas. El contrato debe exigir un dossier vivo con:

• Equipos Puestos, servidores, switches, access points, firewall y SAI, todos inventariados.
• Diseño de la red Topología, plan de direcciones IP y VLAN separadas para equipo, visitantes y videovigilancia.
• Protección Políticas del firewall y conexiones VPN autorizadas.
• Backups La estrategia de copias de seguridad: qué, adónde, cada cuánto y la fecha de la última restauración verificada.
• Licencias Software, contratos asociados y fechas de renovación.

Que el proveedor es encargado del tratamiento y necesita un acuerdo escrito. Al gestionar sus servidores y puestos, el MSP accede a datos personales de clientes, empleados, pacientes o huéspedes. La empresa es la responsable del tratamiento; el proveedor trata por cuenta de ella. El artículo 28 obliga a que el acuerdo garantice, entre otros puntos, que el proveedor:

1. solo trata los datos siguiendo instrucciones escritas del cliente;
2. tiene a su personal sujeto a deber de confidencialidad;
3. cumple las medidas de seguridad previstas en el artículo 32;
4. no recurre a otro encargado sin autorización previa;
5. ayuda al cliente con las solicitudes de los interesados y con las obligaciones de seguridad y notificación de brechas;
6. cuando termina el servicio, devuelve o destruye los datos personales, a elección del cliente, salvo obligación legal de conservarlos;
7. facilita la información que demuestra el cumplimiento y permite auditorías.

DataRoad aplica las medidas técnicas; no presta asesoramiento jurídico. El texto final del acuerdo debe revisarlo el jurista de la empresa o su DPO.

Uno que permita una transición ordenada sin atar al cliente. Permanencias de varios años, penalizaciones por salida anticipada y plazos de rescisión impracticables son señales de alarma. Un MSP serio retiene a sus clientes con servicio, no con letra pequeña.

El contrato IT Unlimited es anual, se renueva automáticamente, exige no tiene permanencia. Dos meses permiten traspasar la operación con calma y sin dejar la empresa desprotegida. También explicamos por qué solo trabajamos con contrato, nunca con intervenciones puntuales.

1. Entrega del dossier: documentación revisada y actualizada.
2. Accesos: todas las credenciales de administrador transferidas o validadas.
3. Sesión de traspaso: los dos proveedores se sientan a la misma mesa.
4. Corte: el proveedor saliente solo pierde el acceso después de que el nuevo confirme que entra en todo.
5. Datos: devueltos o destruidos, con declaración escrita.

Para los compromisos durante el contrato (tiempos y penalizaciones), consulte las cláusulas de SLA que marcan la diferencia.

El grupo France Affiches (impresión de gran formato, sede cerca de París y operaciones en Francia, España y Portugal) encargó a DataRoad una auditoría completa de IT, presencial. El equipo analizó la red tal como existía de verdad, el ciclo de vida y el soporte de cada equipo, el firewall, las cuentas con privilegios, la protección de los puestos y las copias, incluidas pruebas de restauración.

Cada punto quedó clasificado en tres niveles: riesgo que tratar ya, deuda técnica que planificar o situación aceptable. Este diagnóstico es exactamente lo que la empresa debe tener en la mano antes de cambiar de MSP. Conozca la auditoría realizada para France Affiches.

Comprobamos quién es titular de las cuentas de administrador, los dominios, las licencias y las copias de su empresa, y le entregamos la lista de lo que hay que corregir para no depender de ningún proveedor. Pida una propuesta sin compromiso.

Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico. Llame al +351 211 459 950 * o escriba a sales@dataroad.pt.

*Llamada a la red fija portuguesa.

• Texto oficial del RGPD en EUR-Lex (artículos 28 y 32)