En resumen
- En un contrato de informática, las cláusulas más importantes son las de salida: quién se queda con las contraseñas, la documentación y los datos cuando la relación termina.
- Todos los accesos de administrador deben realizarse en nombre de la empresa cliente — nunca solo del proveedor.
- Si el proveedor accede a datos personales, el RGPD (art. 28º) obliga a celebrar un contrato escrito que, entre otras cosas, prevea la devolución o eliminación de los datos al final del servicio.
- Al final del artículo hay una lista de verificación de 10 cláusulas que puede incluir en su contrato.
En este artículo
- ¿Por qué la salida es la parte más importante del contrato?
- Contraseñas y acceso administrativo: ¿de quiénes son?
- Documentación de la red: el mapa que debe llevar consigo
- Datos y RGPD: ¿Qué dice el artículo 28.º?
- Preaviso, renovación y fidelización
- Testimonio de paso: cómo debe transcurrir la salida
- Lista de verificación: 10 cláusulas que debe incluir en su contrato de informática
- Un caso real: auditoría de TI en Francia Affiches
- Preguntas frecuentes
- Revisión técnica de su contrato y acceso en 5 días hábiles
Un contrato de informática La calidad no se evalúa el día en que se firma el contrato. Se evalúa el día en que finaliza. Es en ese momento cuando se descubre si la empresa tiene las contraseñas de sus propios sistemas, si existe documentación de la red y si los datos se recuperan en su totalidad. Las cláusulas que debe exigir son pocas, simples y fáciles de verificar — siempre y cuando las lea antes de firmar.
Hemos escrito este guía desde el punto de vista del proveedor de servicios. Durante 11 años en el mercado hemos visto que los mismos problemas se repetían con los cambios de proveedor — y casi todos se evitaban con una docena de líneas en el contrato.
¿Por qué la salida es la parte más importante del contrato?
Mientras todo va bien, nadie pregunta dónde están las contraseñas. El problema surge cuando la empresa decide cambiar de proveedor —por precio, calidad o porque ha crecido— y se da cuenta de que:
- La cuenta de administrador de Microsoft 365 está registrada en el correo electrónico del antiguo técnico;
- el dominio del sitio web fue registrado en nombre del proveedor;
- Nadie sabe la contraseña de la firewall, y la única forma de entrar es restablecer el equipo al estado de fábrica;
- Los backups están en una cuenta de cloud que no pertenece a la empresa.
Ninguna de estas situaciones requiere mala fe. Basta que un proveedor, por comodidad, haya tratado todo en su nombre. El resultado es el mismo: la empresa queda en manos de un tercero. Si estás en esta situación, ¡sigue leyendo para ver cómo preparar la transición! Cambiar de empresa informática sin riesgos.
Contraseñas y acceso administrativo: ¿de quiénes son?
La regla es sencilla: todos los accesos pertenecen a la empresa cliente. El proveedor trabaja con cuentas propias, nominales, que le son asignadas —y que pueden ser desactivadas el día en que finaliza el contrato—.
En la práctica, esto significa que el contrato debe prever:
- una cuenta de administrador de emergencia, en nombre de la empresa, para cada sistema crítico (Microsoft 365, firewall, servidores, red Wi-Fi, backups);
- registro de dominios, licencias y suscripciones en nombre de la empresa;
- un cajón de contraseñas compartidos al que la administración tiene acceso directo. Explica cómo funciona en el artículo sobre gestor de contraseñas en la empresa.
Documentación de la red: el mapa que debe llevar consigo
Sin documentación, el nuevo proveedor tarda semanas en descubrir qué hay —y se paga ese tiempo. El contrato debe obligar al proveedor a mantener actualizado y entregar al final un dossier que contenga:
- inventario de equipos (computadoras, servidores, switches, puntos de acceso, firewall, UPS);
- esquema de la red, direccionamiento y VLANs (redes separadas para equipo, invitados y cámaras);
- reglas de firewall y acceso remoto (VPN);
- Política de backups: ¿qué se copió, a dónde, con qué frecuencia y cuándo fue el último ensayo de recuperación;
- lista de licencias, contratos de software y fechas de renovación.
Datos y RGPD: ¿Qué dice el artículo 28.º?
Cuando un proveedor de informática accede a sus sistemas, también accede a datos personales —de clientes, colaboradores, pacientes o huéspedes—. Para el Reglamento General de Protección de Datos (RGPD), su empresa es el “responsable del tratamiento” y el proveedor es un “contratista”.
El artículo 28 del RGPD exige que esta relación esté regulada por un contrato escrito. Entre otros puntos, el contrato debe prever que el subcontratante:
- trata los datos únicamente de acuerdo con las instrucciones documentadas de su empresa;
- garantiza que el que accede a los datos ha asumido un compromiso de confidencialidad;
- aplica las medidas de seguridad exigidas en el artículo 32.º;
- solo recurre a otro subcontratista con la autorización de su empresa;
- ayuda a responder a los pedidos de los titulares de datos y a cumplir con las obligaciones de seguridad y notificación;
- Al final del servicio, borra o devuelve todos los datos personales, Según la elección de su empresa, salvo que la ley exija su conservación;
- dispone de la información necesaria para demostrar el cumplimiento y permite auditorías.
Importante: DataRoad implementa medidas técnicas, pero no ofrece asesoramiento jurídico. Para la redacción final de estas cláusulas, consulte el texto con su abogado o responsable de protección de datos.
Preaviso, renovación y fidelización
Desconfíe de los contratos de fidelización a largo plazo, las penalizaciones por salida anticipada o los avisos difíciles de cumplir. Confíe en un proveedor por la calidad del servicio, no por una cláusula.
En DataRoad, el contrato IT Unlimited Es anual, con renovación automática, 60 días de anticipo y sin fidelización. Sesenta días es el tiempo necesario para una transición de testimonio tranquila, sin dejar a la empresa expuesta. Y si quieres entender por qué siempre trabajamos por contrato, te lo explicamos en ¿Por qué no ofrecemos asistencia informática puntual (y por qué esto protege a su empresa)?.
Testimonio de paso: cómo debe transcurrir la salida
El contrato debe describir lo que sucede en los últimos días de la relación, y no dejarlo a la discreción de nadie:
- entrega del expediente de documentación actualizada;
- entrega o confirmación de todas las credenciales de administrador;
- una reunión técnica con el nuevo proveedor;
- desactivación de las cuentas del proveedor que sale, después de confirmarse los accesos del nuevo;
- Devolución o eliminación de los datos, con confirmación por escrito.
Para los tiempos de respuesta y las penalizaciones durante el contrato, consulte nuestro guía sobre SLA en contratos de TI: qué exigir.
Lista de verificación: 10 cláusulas que debe incluir en su contrato de informática
| # | Cláusula | Lo que confirmar |
|---|---|---|
| 1 | Titularidad de los accesos | Todas las cuentas de administrador pertenecen a la empresa; el proveedor utiliza cuentas propias. |
| 2 | Dominios y licencias | Registrados a nombre de la empresa, no del proveedor. |
| 3 | Contraseña del cajón de contraseñas | La administración tiene acceso directo y permanente. |
| 4 | Documentación | Inventario, esquema de red, firewall y copias de seguridad mantenidas actualizadas y entregadas en la salida. |
| 5 | Copias de seguridad | Contas de respaldo en nombre de la empresa; registros de pruebas de recuperación. |
| 6 | Acuerdo de subcontratación RGPD | Contrato escrito con los elementos del artículo 28.º, apartado 3. |
| 7 | Devolución o eliminación de los datos | Al final del servicio, a elección de la empresa, con confirmación por escrito. |
| 8 | Preaviso y fidelización | Preaviso razonable, sin fidelización ni penalizaciones por salida. |
| 9 | Testimonio de paso | Procedimiento descrito: reunión técnica, entrega de credenciales, desactivación de cuentas. |
| 10 | Niveles de servicio | Los tiempos de respuesta y los horarios de cobertura están escritos, sin ambigüedad. |
Un caso real: auditoría de TI en Francia Affiches
El grupo France Affiches, un impresor de gran formato con sede en la región de París y unidades en Francia, España y Portugal, solicitó a DataRoad una auditoría completa de TI realizada in situ. El ámbito incluyó la topología real de la red, el estado de soporte de los equipos, las reglas de firewall, las cuentas privilegiadas, la protección de los equipos y los backups —incluyendo pruebas de recuperación—.
El resultado fue un informe escrito que clasifica cada punto como riesgo inmediato, deuda técnica que debe planificarse o aceptable. Es exactamente este tipo de información el que debe existir —y estar en poder de la empresa— cuando cambie de proveedor. Lea el artículo Caso France Affiches.
Preguntas frecuentes
¿El proveedor de informática puede quedarse con las contraseñas de mi empresa?
Puede usarlas durante el contrato, pero no debe ser el único en tenerlas. Todas las cuentas de administrador deben pertenecer a la empresa, con una copia en un cofre de contraseñas al que el equipo directivo tiene acceso directo.
¿Necesito un acuerdo RGPD con la empresa informática?
Sí, siempre que el proveedor tenga acceso a datos personales en sus sistemas. El artículo 28 del RGPD exige un contrato escrito con el subcontratista, que incluya, entre otros puntos, la devolución o eliminación de los datos al final del servicio.
¿Cuál es el plazo de preaviso del contrato de DataRoad?
El contrato IT Unlimited es anual, con renovación automática, 60 días de preaviso y sin fidelización.
¿Qué recibiré cuando termine el contrato?
La documentación actualizada de la red y de los sistemas, todas las credenciales de administrador, la confirmación de que los dominios, licencias y copias de seguridad están en nombre de la empresa y la devolución o eliminación de los datos, confirmada por escrito.
Revisión técnica de su contrato y acceso en 5 días hábiles
Verificamos quién tiene los accesos de administrador, los dominios, las licencias y los backups de su empresa, y entregamos la lista de lo que falta para no depender de nadie. Para empresas con más de 10 puestos · contrato de asistencia · soporte remoto, local y telefónico.
Revision de acceso y datos en 5 días laborables
Compruebe si su empresa controla las claves de sus propios sistemas.
![Logotipo de mun[it], agencia de marketing digital — cliente de DataRoad](https://www.dataroad.pt/wp-content/uploads/2026/09/logo-cliente-munit.png){kind=logo}
