Cómo elegir un programa de gestión de fincas que cumpla el RGPD

Un comercial le enseña un programa de gestión de comunidades muy completo: recibos, juntas, incidencias, portal para propietarios. Todo funciona y el precio es razonable. Lo que no le enseña es dónde se guardan los datos, quién puede verlos ni qué pasa con ellos si usted se da de baja.

Esas preguntas importan tanto como las funciones. El programa de gestión suele ser el proveedor que más datos de las comunidades maneja. Se puede elegir bien con una lista de comprobación.

Por qué es una decisión de protección de datos

Si el programa funciona en la nube o el fabricante puede acceder a los datos, el proveedor trata datos personales por cuenta del despacho. Es un encargado, o un subencargado respecto de las comunidades. Esto significa que:

• Necesita contrato de encargado conforme al artículo 28 del RGPD (se abre en una ventana nueva).
• Usted debe elegir proveedores que ofrezcan garantías suficientes para aplicar medidas técnicas y organizativas adecuadas (art. 28.1).
• La protección de datos desde el diseño y por defecto (art. 25) obliga al responsable a usar herramientas que la permitan: un programa que no la facilita se la pone difícil.
• Si algo falla, usted responde ante las comunidades. Lo explicamos en subencargados: quién firma con quién.

Diez preguntas antes de contratar

Sobre el contrato

• ¿Hay contrato de encargado del tratamiento incluido? Si el proveedor no sabe de qué le habla, es mala señal. Debe recoger lo exigido en el artículo 28.3.
• ¿Quiénes son sus subencargados? Un programa en la nube suele apoyarse en un proveedor de alojamiento. Debe darle la lista y avisarle de los cambios con tiempo para poder oponerse.
• ¿Qué ocurre al terminar el servicio? El contrato debe prever la devolución o supresión de los datos (art. 28.3.g). Pida el formato en que los entregan.

Sobre dónde están los datos

• ¿En qué países se guardan y se acceden? Preferible, servidores en la Unión Europea. Si hay transferencias fuera del Espacio Económico Europeo, debe haber una base jurídica válida (decisión de adecuación o garantías adecuadas, capítulo V del RGPD). Compruebe que está vigente cuando firme.
• ¿Quién del lado del proveedor puede acceder a mis datos y cuándo? El soporte técnico que «entra a mirar» debe quedar registrado.

Sobre la seguridad

• Control de accesos: usuarios individuales, perfiles por función y por comunidad, doble factor de autenticación.
• Cifrado: de los datos en tránsito y, preferiblemente, también en reposo (art. 32.1.a).
• Registro de actividad: ¿quién ha consultado o modificado qué y cuándo? Es clave para investigar una brecha y para responder a un propietario que ejerce su derecho de acceso.
• Copias de seguridad: frecuencia, dónde se guardan y cada cuánto se prueba su restauración.
• Notificación de incidentes: compromiso de avisarle sin dilación para que usted pueda cumplir sus plazos (art. 33).

Funciones que ayudan a cumplir

Más allá de la seguridad, hay herramientas que facilitan el cumplimiento del día a día:

• Separación de datos por comunidad, para que un error de selección no mezcle información.
• Exportación de los datos de un propietario para atender un derecho de acceso o de portabilidad. Aquí repasamos los derechos en materia de protección de datos.
• Plazos de conservación configurables y borrado o bloqueo de lo caducado, sobre lo que hablamos en cuánto tiempo guardar los documentos de una comunidad.
• Gestión de consentimientos, si el programa envía comunicaciones o tiene portal de propietarios.
• Exportación completa de la cartera de una comunidad, necesaria si algún día cambia de administrador (cómo se traspasa la documentación).

Señales de alarma

• No quiere firmar un contrato de encargado o dice que «no hace falta».
• No sabe indicar dónde se alojan los datos.
• Un único usuario y contraseña compartidos para toda la oficina.
• No hay forma de sacar los datos si se da de baja.
• Promete «cumplimiento total del RGPD». Ningún software cumple por sí solo: lo que cumple es el uso que usted hace de él.

Esta última es la más importante. El programa puede darle herramientas, pero la responsabilidad sigue siendo suya. Un buen proveedor se lo dirá con claridad.

Si ya tiene programa

No hace falta cambiar de herramienta para ponerse en orden. Haga lo siguiente:

1. Pida al proveedor su contrato de encargado y la lista de subencargados.
2. Revise los perfiles de usuario: ¿quién ve qué?
3. Active el doble factor si existe.
4. Apunte en el registro de actividades que el programa es un encargado y dónde se alojan los datos.
5. Haga una prueba de exportación para saber qué le devolverían.

Si la respuesta del proveedor no le convence, hay margen para renegociar en la renovación.

Cómo comparar dos programas

Si duda entre dos opciones, pida a ambas las mismas respuestas por escrito y compárelas en una tabla sencilla, con las diez preguntas en las filas. Verá enseguida cuál le da más información y cuál esquiva las preguntas. No puntúe solo por las funciones: un programa algo menos vistoso pero con contrato claro, accesos bien separados y una salida ordenada del servicio le dará menos disgustos que uno que lo hace todo y no explica dónde guarda nada.

En resumen

• Un programa de gestión en la nube es un encargado del tratamiento y requiere contrato conforme al artículo 28 del RGPD.
• Pregunte por subencargados, ubicación de los datos, control de accesos, cifrado, copias y registro de actividad.
• Exija una salida ordenada: devolución o supresión de los datos al terminar.
• Ningún software garantiza el cumplimiento; lo que importa es cómo lo usa el despacho.
• Un programa ya contratado puede ponerse en orden pidiendo documentación y revisando perfiles.

Antes de su próxima renovación o cambio de programa, haga estas diez preguntas y guarde las respuestas por escrito.