Software contable y ERP en una gestoría como encargado del tratamiento: obligaciones del proveedor según el RGPD

Detrás de cada gestoría moderna hay, casi siempre, varias piezas tecnológicas: un ERP contable o de gestión empresarial, un software específico de nóminas, una plataforma de facturación electrónica y un gestor documental en la nube donde se intercambia documentación con cada empresa-cliente. Todas ellas tratan datos personales de las empresas-cliente, de su plantilla y de sus proveedores. Y todas ellas, por la naturaleza funcional del servicio que prestan, son encargadas del tratamiento en los términos del art. 28 del RGPD.

Esta guía repasa qué contrato debe firmar la gestoría con esos proveedores, qué garantías técnicas y organizativas exigirles, cómo se cubren las transferencias internacionales habituales del sector y qué reglas aplican cuando se cambia de plataforma y hay que recuperar el histórico fiscal y laboral.

Por qué el ERP, el software contable y la plataforma de facturación son encargados

El art. 4.8 RGPD define al encargado del tratamiento como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable. En el sector de las gestorías hay una cadena de tres niveles que conviene mantener clara:

• La empresa-cliente es la responsable del tratamiento de los datos de su plantilla, sus proveedores y sus propios clientes. Decide finalidades y medios.
• La gestoría es la encargada del tratamiento respecto de la empresa-cliente: procesa nóminas, presenta seguros sociales, calcula impuestos y lleva la contabilidad por cuenta de la empresa, siguiendo sus instrucciones.
• El proveedor del ERP, del software contable o de la plataforma de facturación es, a su vez, subencargado del tratamiento respecto de la empresa-cliente: trata esos mismos datos por cuenta de la gestoría, que ejerce como encargada principal. La autorización del subencargado debe constar en el contrato del art. 28 entre la gestoría y cada cliente-empresa (arts. 28.2 y 28.4 RGPD).

Esa es la cadena estándar. Aunque algunos contratos de proveedores se presenten con otras denominaciones comerciales, lo determinante es el rol funcional respecto a los datos.

Diferencia con las plataformas oficiales: TGSS, AEAT, Sistema RED y SILTRA

Una confusión frecuente del sector es asumir que cualquier sistema al que la gestoría se conecta es un encargado del tratamiento. No es así. Las administraciones públicas receptoras tienen un régimen distinto:

• La Tesorería General de la Seguridad Social (a través del Sistema RED), la Agencia Tributaria (sede electrónica, modelos tributarios) y las mutuas colaboradoras son responsables independientes en el ámbito de sus competencias. Reciben los datos en cumplimiento de obligaciones legales (art. 6.1.c RGPD) de la empresa-cliente, no por cuenta de la gestoría.
• Con esas administraciones no se firman contratos del art. 28: están diseñados para la relación responsable–encargado, no para la cesión legal entre responsables independientes.
• Lo que sí puede ser encargado o subencargado del tratamiento es el software cliente que la gestoría usa para comunicarse con esas administraciones (sistemas de transmisión, herramientas de presentación telemática, plataformas de firma electrónica). Esos proveedores tecnológicos tratan los datos por cuenta de la gestoría —y, en última instancia, del cliente-empresa— y entran bajo el art. 28 RGPD.

Las plataformas oficiales de firma electrónica y servicios de confianza cualificados (FNMT, prestadores cualificados) suelen actuar como responsables independientes en su parte de emisión y validación de certificados, conforme al Reglamento (UE) 910/2014 (eIDAS).

El contrato del art. 28: contenido mínimo

El contrato de encargado del tratamiento con el ERP, el software contable o la plataforma de facturación debe cumplir el contenido mínimo del art. 28.3 RGPD. No es una cláusula breve en las condiciones generales del servicio: es un documento o anexo específico.

Subencargados: cómo se cubre que el ERP use AWS, Azure o GCP

La práctica totalidad de los ERP y softwares contables actuales se apoya en un hiperescalador cloud (AWS, Microsoft Azure, Google Cloud) para alojar la infraestructura. Ese proveedor de infraestructura no es un proveedor cualquiera: trata datos personales de las empresas-cliente, por cuenta del ERP, lo que lo convierte en subencargado del tratamiento.

• El art. 28.2 RGPD exige autorización previa —general o específica— del responsable para que el encargado contrate subencargados. La autorización general debe permitir al responsable conocer la lista y oponerse motivadamente a los cambios.
• El art. 28.4 RGPD obliga a que el subencargado quede sometido a las mismas obligaciones de protección de datos que el encargado principal, mediante contrato o acto jurídico equivalente.
• Si el subencargado está fuera del Espacio Económico Europeo, aplican además las reglas de transferencia internacional del Capítulo V del RGPD.

El contrato del art. 28 con el ERP debe contener una lista de subencargados —o un enlace a una página actualizada con esa lista— y un mecanismo claro para notificar nuevas incorporaciones, con un plazo razonable para que la gestoría —y, a través de ella, la empresa-cliente— pueda oponerse si así lo entiende.

Transferencias internacionales: Data Privacy Framework y CCT

Es muy habitual que el ERP, el software contable o sus subencargados de infraestructura tengan servidores en EE.UU. o en regiones cloud distribuidas. La normativa de transferencias se articula en torno a unas pocas piezas:

• Decisiones de adecuación de la Comisión Europea (art. 45 RGPD): permiten la transferencia sin garantías adicionales cuando la Comisión ha reconocido un nivel adecuado de protección.
• Data Privacy Framework (DPF): para EE.UU., la garantía operativa habitual es la adhesión del proveedor —y, en su caso, del subencargado de infraestructura— al DPF, que opera como decisión de adecuación parcial. Es responsabilidad de la gestoría verificar que la adhesión está activa en el listado oficial.
• Cláusulas Contractuales Tipo (CCT): aprobadas por la Comisión, complementadas en su caso por medidas suplementarias tras un análisis de impacto de la transferencia (Transfer Impact Assessment).
• Excepciones del art. 49 RGPD: aplicables solo en supuestos puntuales y no para flujos sistemáticos como los del ERP.

El contrato del art. 28 debe identificar las regiones de almacenamiento, las garantías aplicables a las transferencias internacionales y los compromisos del proveedor en caso de cambios. Una práctica recomendable es, cuando el proveedor lo permita, elegir región de almacenamiento dentro de la UE para reducir la exposición a transferencias.

Seguridad y perfiles: roles diferenciados y logs por gestor

El ERP, el software contable y la plataforma de facturación deben permitir, como medida del art. 32 RGPD, una gestión granular de los accesos del equipo de la gestoría:

• Perfiles diferenciados por función: gestor laboral, gestor fiscal, gestor contable, administrativo, recepción, supervisor, administración. Cada uno con acceso solo a lo necesario para su rol.
• Cuenta individual por gestor, sin credenciales compartidas. Segundo factor de autenticación cuando esté disponible —y, para perfiles con acceso a datos masivos de plantilla, debería ser exigible al proveedor—.
• Registro de accesos (logs): qué gestor consultó qué expediente, qué cliente-empresa, qué nómina y cuándo. Esa trazabilidad es la base para investigar incidencias, atender derechos de los interesados y demostrar el cumplimiento.
• Revocación inmediata cuando un gestor deja la gestoría. El proveedor debe permitir desactivar usuarios con efecto inmediato.
• Revisión periódica trimestral de los usuarios activos por parte del despacho.
• Cifrado en reposo y en tránsito, copias de seguridad regulares y plan de recuperación documentado.

Al terminar el contrato: exportación íntegra del histórico fiscal y laboral

El cambio de ERP, software contable o plataforma de facturación es uno de los momentos más delicados de la relación con el proveedor. La regla del art. 28.3.g RGPD es nítida: al finalizar la prestación del servicio, el encargado debe devolver o suprimir los datos personales a elección del responsable. La elección operativa correcta para una gestoría es:

1. Solicitar por escrito la exportación íntegra del histórico contable, laboral y fiscal de cada cliente-empresa, en un formato estructurado y útil: contabilidad en formato estándar (libros diario, mayor, balances), nóminas y TC en CSV o Excel, modelos tributarios presentados en el formato oficial de la AEAT (.csb, XML), documentación asociada y metadatos.
2. Verificar la exportación: comprobar que el volumen exportado coincide con el histórico real, que abre correctamente en el sistema nuevo y que conserva la integridad de los expedientes (relaciones cliente–trabajador, periodos fiscales, vinculaciones documentales).
3. Conservar plazos legales: la exportación debe cubrir, como mínimo, los cuatro años fiscales de la prescripción tributaria y los seis años mercantiles del Código de Comercio. Si algún cliente tiene plazos contractuales más extensos, se respetan.
4. Solo después, autorizar por escrito al proveedor saliente la supresión definitiva en sus sistemas (incluidos los subencargados y las copias de seguridad, conforme a los plazos técnicos del proveedor).
5. Conservar evidencia documental de todo el proceso: solicitud, recibo de exportación, autorización de supresión, certificado de destrucción.

Esta operativa no es un capricho legal: protege a la gestoría —y, en última instancia, a cada cliente-empresa— para seguir cumpliendo sus plazos legales de conservación sin quedar atrapados en un proveedor que ya no presta servicio. Cualquier cláusula contractual que pretenda imponer una destrucción automática sin posibilidad de exportación previa es contraria al art. 28.3.g RGPD.

Migración de proveedor: cómo proteger los datos durante la transición

La migración entre ERPs o softwares contables suele ser un proceso de varias semanas en el que los datos viven simultáneamente en el sistema saliente y en el entrante. Las rutinas operativas:

• Plan documentado de migración: alcance, fechas, responsables por la parte de la gestoría y del proveedor, canales de comunicación.
• Información a los clientes-empresa: comunicación previa explicando que sus datos serán migrados a un nuevo proveedor subencargado, identidad del nuevo subencargado y, en su caso, posibilidad de oposición motivada conforme al contrato del art. 28.
• Canal cifrado de transferencia entre proveedores. Nunca por email en abierto ni por carpeta compartida pública.
• Doble verificación de la integridad de los datos en el nuevo sistema antes de cualquier supresión en el sistema antiguo.
• Periodo de coexistencia mínimo: el sistema antiguo permanece operativo —al menos en modo solo lectura— durante el tiempo necesario para detectar incidencias.
• Logs de la migración conservados como evidencia ante una eventual incidencia futura.

Checklist para elegir un ERP responsable

Antes de contratar un ERP, un software contable o una plataforma de facturación nuevos —o al renegociar un contrato existente—, este es un guion mínimo que conviene cubrir:

• El proveedor firma contrato del art. 28 RGPD con el contenido mínimo del art. 28.3.
• Identifica con claridad subencargados y proporciona un mecanismo para conocerlos y oponerse a los cambios.
• Indica las regiones de almacenamiento y, cuando son fuera de la UE, las garantías aplicables (DPF, CCT, decisión de adecuación).
• Permite perfiles de acceso diferenciados, cuentas individuales por gestor y segundo factor de autenticación.
• Mantiene logs de acceso consultables por la gestoría para trazabilidad e investigación de incidencias.
• Dispone de certificaciones de seguridad reconocidas (ISO/IEC 27001, ISO/IEC 27701, SOC 2) y comparte los informes correspondientes.
• Garantiza la exportación íntegra del histórico contable, laboral y fiscal en formato estructurado antes de cualquier supresión.
• Cuenta con un procedimiento de notificación de brechas al encargado principal sin dilación indebida.
• No incluye cláusulas que reutilicen los datos de las empresas-cliente para finalidades propias del proveedor (analítica comercial, machine learning sobre datos reales, marketing).
• Dispone de un plan de continuidad de negocio y de recuperación ante incidentes, con plazos comprometidos.

Si gestionas una gestoría o asesoría y quieres revisar tu documentación de protección de datos, en Certix trabajamos específicamente con gestorías y asesorías. Sin comerciales: desde el primer contacto, hablarás con un especialista.

Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La normativa autonómica sectorial puede ampliar o modificar los plazos y requisitos de la norma estatal. La aplicación de la normativa a cada caso concreto requiere análisis individualizado.