Qué pasa si tu proveedor SaaS sufre una brecha de seguridad: guía de qué exigir contractualmente

No es cuestión de "si", es cuestión de "cuándo"

Cuantos más proveedores SaaS usa tu empresa, mayor es la superficie de riesgo que no controlas directamente. Antes de que ocurra, lo único que de verdad te protege es lo que hayas exigido por contrato — después del incidente ya es tarde para negociar condiciones.

Qué debe garantizar el contrato antes de que pase algo

• Plazo máximo de notificación. El RGPD exige notificar a la autoridad de control en un plazo de 72 horas desde que el proveedor tiene constancia de la brecha — tu contrato debe obligar al proveedor a avisarte a ti mucho antes de que se agote ese plazo, no al límite.
• Plan de respuesta a incidentes documentado. Pide ver, antes de firmar, cómo actúa el proveedor ante una brecha — no aceptes una respuesta genérica sin protocolo escrito.
• Seguro de ciberresponsabilidad (cyber liability insurance). Confirma que el proveedor tiene una póliza que cubra los costes de una brecha, y en qué cuantía — sin esto, cualquier compensación depende de su solvencia en el momento del incidente.
• Derecho de auditoría. Para contratos de volumen relevante, exige el derecho a auditar (directamente o vía un tercero) las medidas de seguridad del proveedor, no solo confiar en su palabra.

Qué hacer en los primeros días tras el aviso

Confirma exactamente qué datos se vieron afectados y de qué clientes o empleados — sin esta información no puedes evaluar tu propia obligación de notificación. Revisa tu contrato para confirmar quién asume qué responsabilidad frente a terceros afectados. Y comunica internamente antes de que la noticia llegue por otro canal, incluyendo a las personas cuyos datos gestionaba el proveedor si el RGPD te obliga a ello.

Tu responsabilidad legal no desaparece porque la brecha fue del proveedor

Bajo el RGPD, si el proveedor actúa como encargado del tratamiento de tus datos, tú sigues siendo el responsable frente a tus propios clientes — el incidente del proveedor no te exime de tu obligación de notificar si les afecta a ellos. Revisa estas garantías junto con el resto de cláusulas que hay que mirar antes de firmar cualquier contrato SaaS, y ten siempre presente la checklist de ciberseguridad para tus propias herramientas internas.