En este artículo
En un contrato de servicios IT gestionados, las cláusulas que más protegen a la empresa son las de salida: quién tiene las cuentas de administrador, quién se queda con la documentación de la red y qué ocurre con los datos cuando termina la relación. Son pocas, fáciles de comprobar y deben leerse antes de firmar. DataRoad escribe esta guía desde el lado del MSP, tras 11 años viendo repetirse los mismos problemas en los cambios de proveedor.
Los cuatro puntos esenciales
- Accesos Todas las cuentas de administrador pertenecen a la empresa cliente, nunca solo al proveedor.
- Documentación Inventario, esquema de red, firewall y copias de seguridad, actualizados y entregados a la salida.
- Datos Si el proveedor accede a datos personales, el artículo 28 del RGPD exige un contrato escrito, que incluya la devolución o eliminación al final.
- Preaviso Un plazo razonable, sin permanencia ni penalizaciones por salida.
Lo que sale mal cuando nadie ha pensado en la salida
Mientras el servicio funciona, nadie pregunta dónde están las credenciales. La sorpresa llega cuando la empresa decide cambiar —por precio, calidad o crecimiento— y descubre situaciones como estas:
- Microsoft 365 La cuenta de administrador está asociada al correo de un técnico del proveedor anterior.
- Dominio El dominio del sitio web se registró a nombre del proveedor.
- Firewall Nadie conoce la contraseña y la única salida es restablecer el equipo de fábrica.
- Copias de seguridad Las copias viven en una cuenta en la nube que no pertenece a la empresa.
No hace falta mala fe para llegar aquí; basta con un proveedor que, por comodidad, lo registró todo a su nombre. El efecto es siempre el mismo: la empresa queda dependiente. Para preparar la transición, lea cómo cambiar de proveedor de IT sin riesgos.
Accesos de administrador: siempre de la empresa
La regla no tiene excepciones: los accesos son de la empresa cliente. El MSP trabaja con cuentas nominativas propias, asignadas por la empresa, que pueden desactivarse el último día del contrato.
En términos sencillos: una cuenta de administrador es la llave maestra de un sistema. La empresa debe guardar siempre una copia de cada llave maestra en un lugar que controle, como un gestor de contraseñas empresarial.
El contrato debe prever:
- Cuenta de emergencia A nombre de la empresa, para cada sistema crítico: Microsoft 365, firewall, servidores, Wi-Fi y copias de seguridad.
- Titularidad Dominios, licencias y suscripciones registrados a nombre de la empresa.
- Bóveda compartida Con acceso directo de la dirección. Explicamos su funcionamiento en gestor de contraseñas para empresas.
La documentación de la infraestructura de red es suya
Sin documentación, el siguiente proveedor pasa semanas descubriendo lo que existe, y ese tiempo se paga. El contrato debe obligar al MSP a mantener y entregar un dossier con:
- Inventario Ordenadores, servidores, switches, puntos de acceso, firewall y SAI.
- Arquitectura Esquema de la red, direccionamiento y VLAN para el equipo, los invitados y las cámaras.
- Seguridad Reglas del firewall y accesos remotos por VPN.
- Copias La política de copias de seguridad: qué se copia, adónde, con qué frecuencia y cuándo fue la última prueba de recuperación.
- Software Licencias, contratos y fechas de renovación.
RGPD: lo que obliga a poner por escrito el artículo 28
Quien gestiona sus sistemas accede también a datos personales de clientes, empleados, pacientes o huéspedes. En el RGPD, su empresa es la responsable del tratamiento y el MSP es un encargado del tratamiento. El artículo 28 exige un contrato escrito que prevea, entre otros puntos, que el encargado:
- trata los datos únicamente siguiendo instrucciones documentadas de la empresa;
- garantiza que quienes acceden a los datos están sujetos a confidencialidad;
- aplica las medidas de seguridad del artículo 32;
- solo recurre a otro encargado con autorización de la empresa;
- ayuda a responder a los interesados y a cumplir las obligaciones de seguridad y notificación;
- al final del servicio, suprime o devuelve todos los datos personales, a elección de la empresa, salvo obligación legal de conservación;
- pone a disposición la información necesaria para demostrar el cumplimiento y acepta auditorías.
DataRoad implanta las medidas técnicas, pero no presta asesoramiento jurídico. La redacción final de las cláusulas debe validarla su asesor jurídico o su delegado de protección de datos.
Preaviso, renovación y permanencia
Las permanencias largas, las penalizaciones por salida anticipada y los preavisos imposibles de cumplir son señales de alarma. Un cliente debe quedarse por la calidad del servicio, no por una cláusula.
El contrato IT Unlimited de DataRoad es anual, con renovación automática, 60 días de preaviso y sin permanencia. Sesenta días bastan para un relevo tranquilo, sin dejar a la empresa al descubierto. La razón por la que trabajamos siempre bajo contrato se explica en por qué DataRoad no hace intervenciones puntuales.
Cómo debe desarrollarse el relevo
- Dossier — entrega de la documentación actualizada.
- Credenciales — entrega o confirmación de todos los accesos de administrador.
- Reunión técnica — con el nuevo proveedor.
- Desactivación — las cuentas del MSP saliente se desactivan solo después de confirmar los accesos del nuevo.
- Datos — devolución o eliminación, confirmada por escrito.
Para los tiempos de respuesta y las penalizaciones durante la vigencia, consulte la guía qué exigir en un SLA de IT.
Checklist de 10 cláusulas
| # | Cláusula | Qué confirmar |
|---|---|---|
| 1 | Titularidad de los accesos | Cuentas de administrador de la empresa; el proveedor usa cuentas nominativas propias. |
| 2 | Dominios y licencias | A nombre de la empresa. |
| 3 | Bóveda de contraseñas | Acceso directo y permanente de la dirección. |
| 4 | Documentación | Inventario, red, firewall y copias actualizados y entregados a la salida. |
| 5 | Copias de seguridad | Cuentas a nombre de la empresa y pruebas de recuperación registradas. |
| 6 | Contrato de encargo del tratamiento (RGPD) | Contrato escrito con los elementos del art. 28.3. |
| 7 | Destino de los datos | Devolución o eliminación al final, a elección de la empresa, confirmada por escrito. |
| 8 | Preaviso y permanencia | Plazo razonable, sin permanencia ni penalizaciones. |
| 9 | Relevo | Procedimiento descrito: reunión, credenciales y desactivación de cuentas. |
| 10 | Niveles de servicio | Tiempos de respuesta y horarios de cobertura por escrito, sin ambigüedades. |
Ejemplo real: la auditoría al grupo France Affiches
El grupo France Affiches, impresor de gran formato con sede en la región de París y plantas en Francia, España y Portugal, encargó a DataRoad una auditoría de IT completa, realizada in situ. Se analizaron la topología real de la red, el estado de soporte de los equipos, las reglas del firewall, las cuentas privilegiadas, la protección de los equipos y las copias de seguridad, con pruebas de recuperación.
El informe clasificó cada punto como riesgo inmediato, deuda técnica que planificar o aceptable. Este es el levantamiento que debe existir, y quedar en manos de la empresa, cuando se cambia de proveedor. Lea el caso de la auditoría de France Affiches.
Preguntas frecuentes
¿Puede el MSP ser el único que tenga las contraseñas?
No. Puede usarlas durante el contrato, pero todas las cuentas de administrador deben ser de la empresa, con copia en una bóveda a la que la dirección accede directamente.
¿Es obligatorio un acuerdo RGPD con el proveedor de IT?
Sí, siempre que tenga acceso a datos personales. El artículo 28 del RGPD exige un contrato escrito con el encargado del tratamiento, que incluya la devolución o eliminación de los datos al final del servicio.
¿Qué preaviso tiene el contrato de DataRoad?
IT Unlimited es anual, se renueva automáticamente, tiene 60 días de preaviso y no tiene permanencia.
¿Qué debo recibir cuando termina el contrato?
Documentación actualizada de la red y los sistemas, todas las credenciales de administrador, confirmación de que dominios, licencias y copias están a nombre de la empresa y la devolución o eliminación de los datos, por escrito.
Verificación de accesos y contrato en 5 días laborables
DataRoad comprueba quién tiene los accesos de administrador, los dominios, las licencias y las copias de seguridad de su empresa y le entrega la lista de lo que falta para no depender de nadie.
Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico. Solicite una propuesta sin compromiso.
