Biblioteca de cláusulas contractuales de ciberseguridad
Cláusulas contractuales de seguridad y protección de datos en versión sólida, débil y de alerta, con notas de negociación y los términos que se añaden tras una brecha.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Cuando un proveedor pierde tus datos, el contrato que firmaste meses antes decide casi todo lo que pasa después: si te enteras a tiempo de cumplir tu propio plazo regulatorio, si el proveedor paga los costes forenses y de notificación o los pagas tú, si puedes auditar qué falló y si puedes marcharte. Esta biblioteca recoge las cláusulas de seguridad y protección de datos que deciden si una brecha de un proveedor es problema suyo o tuyo: 14 familias de cláusulas (obligaciones de seguridad, notificación de brechas, subencargados, derechos de auditoría, límites de responsabilidad, indemnización, seguros, borrado de datos, SLA de vulnerabilidades y más), cada una con una versión sólida, una débil y una de alerta. Para cada cláusula explica para qué sirve, qué quieres tú frente a lo que quiere el proveedor, notas de negociación y por qué importa cuando de verdad ocurre una brecha. Una sección específica reúne las cláusulas que los equipos añaden DESPUÉS de una brecha (notificación más rápida, controles como garantías, un supertope para brechas de datos, responsabilidad por subencargados, resolución por fallo de seguridad) para que puedas añadirlas antes. Es redacción ilustrativa con fines educativos, no asesoramiento legal. Todo funciona en tu navegador y no se sube nada. Es una herramienta Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Explora las 14 familias de cláusulas.
- Compara la versión sólida, la débil y la de alerta de cada cláusula.
- Lee qué quieres tú frente a lo que quiere el proveedor y las notas de negociación.
- Revisa la sección de cláusulas que se añaden tras una brecha y adapta el texto con tu abogado.
Preguntas frecuentes
¿Qué debe cubrir una cláusula de ciberseguridad en un contrato con un proveedor?
Como mínimo: controles de seguridad concretos y verificables (no solo «seguridad razonable»), un plazo corto de notificación de brechas que cuente desde el descubrimiento, control sobre los subencargados con traslado completo de las obligaciones, un derecho de auditoría o evaluación, un régimen de responsabilidad que no entierre las pérdidas por brechas de datos bajo un límite general bajo, una indemnización por brechas de datos, la obligación de tener un seguro cibernético que respalde esa indemnización, la devolución de los datos y su borrado certificado al final, SLA de remediación de vulnerabilidades y un derecho de resolución por fallo de seguridad. Esta biblioteca da una versión sólida, una débil y una de alerta de cada una para que veas lado a lado cómo es lo bueno, lo mediocre y lo peligroso.
¿Por qué «seguridad razonable» es una cláusula débil?
Porque es casi imposible demostrar que se ha incumplido. Si un proveedor solo promete una seguridad «comercialmente razonable» o «estándar del sector» y luego sufre una brecha, te quedas discutiendo qué significaba «razonable», una pelea que normalmente pierdes. Una cláusula sólida nombra los controles (MFA en todas partes, EDR, cifrado, retención de logs, frecuencia de pentests) o vincula la obligación a un marco auditado concreto, de modo que la falta de un control sea un incumplimiento contractual demostrable y no una cuestión de opinión.
¿Qué términos contractuales añaden las empresas tras una brecha?
Patrones que se repiten: un plazo de notificación más corto (a menudo 24 horas desde que se «tiene conocimiento», no desde que se «confirma»); convertir controles declarados como la MFA en garantías expresas; un supertope de responsabilidad separado y más alto para las pérdidas por brechas de datos, con los costes de respuesta a la brecha excluidos de la exclusión de «daños indirectos»; aprobación previa y plena responsabilidad por los subencargados; la obligación de notificar las vulnerabilidades explotadas activamente; el derecho a resolver sin penalización por un fallo de seguridad; un mínimo más alto de seguro cibernético; y un contacto de seguridad designado con una certificación anual de la dirección. La biblioteca los reúne en una sección específica de «después de una brecha».
¿Es asesoramiento legal?
No. Es una referencia educativa con redacción ilustrativa para ayudarte a entender las palancas de un contrato de ciberseguridad y tener una conversación mejor informada con tu asesoría jurídica y con tu proveedor. Cada cláusula debe adaptarla a tu operación, tus datos y tu jurisdicción un abogado cualificado. Aquí no se sube ni se guarda nada: es una referencia estática en el navegador.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.