Antes de contratar un ERP o un CRM en la nube, pide al proveedor respuestas por escrito sobre el uso de los datos, los accesos, los incidentes y la salida del servicio. Contrasta las respuestas críticas con documentos o demostraciones y deja las condiciones acordadas en el contrato. Una promesa de «cumplimos la ley» no permite evaluar cómo funcionará el servicio.
Un ERP o CRM puede reunir datos de trabajadores, clientes y contactos de proveedores. Estas preguntas también sirven para otros servicios de software de gestión en la nube (SaaS) que traten datos personales. Al 25 de octubre de 2026 rige la Ley 19.628 (abre en una pestaña nueva): su artículo 8 exige mandato escrito cuando el tratamiento se realiza por encargo; el artículo 11 establece debida diligencia. La reforma de la Ley 21.719 (abre en una pestaña nueva) entra en vigor el 1 de diciembre de 2026. Conviene preparar los contratos que seguirán operando entonces.
Estas preguntas son una herramienta editorial de evaluación. Las evidencias propuestas deben ajustarse al riesgo y al servicio contratado; responderlas no acredita cumplimiento completo.
1. ¿Qué harán con nuestros datos y bajo qué instrucciones?
Pide un anexo que identifique datos, personas afectadas, finalidades, duración y obligaciones de cada parte. Pregunta si las funciones de IA o analítica utilizan información para fines propios del proveedor. El nuevo artículo 15 bis regula el encargo y sus instrucciones. Revisa los roles según cada uso: el nombre del contrato no resuelve por sí solo quién decide sobre los datos.
2. ¿Qué terceros intervienen y desde qué países?
Solicita la lista de empresas que alojan el sistema, prestan soporte o reciben datos, con sus ubicaciones y el procedimiento para incorporar otras. La reforma exige autorización específica y escrita para delegar el encargo y regula las transferencias internacionales en sus artículos 27 y 28. Identifica el mecanismo aplicable; alojar el servidor en Chile no aclara desde dónde accede el soporte.
3. ¿Quién puede entrar, exportar información o cambiar permisos?
Pide una demostración con datos ficticios: roles por función, autenticación adicional, baja de usuarios, accesos del soporte y registros de acciones críticas. Pregunta cómo separan la información de distintos clientes. Son ejemplos para evaluar seguridad según el riesgo, no una lista técnica obligatoria para cualquier servicio. El nuevo artículo 14 quinquies exige medidas apropiadas y contempla acreditar su funcionamiento. Que el sistema permita restringir permisos no demuestra que tu empresa los haya configurado correctamente.
4. ¿Cómo recuperaremos la operación si algo falla?
Pregunta qué incluyen las copias, cada cuánto se realizan y quién configura la recuperación. Solicita un resumen de la última prueba de restauración y tiempos comprometidos: cuánto podría durar la interrupción y qué información reciente podría perderse. Comprueba si esas prestaciones están en tu plan o tienen un coste adicional. Deja asignadas las tareas que conservará tu empresa.
5. ¿Cómo nos avisarán de una filtración o un acceso indebido?
Acuerda contacto, aviso inicial, actualizaciones y entrega de antecedentes para evaluar el alcance y responder. Desde diciembre, el artículo 15 bis exige al encargado reportar vulneraciones de seguridad al responsable. El aviso contractual debe permitir que tu empresa atienda sus propios deberes.
6. ¿Podremos atender solicitudes de las personas?
Pide demostrar cómo localizar los datos de alguien y facilitar su acceso, corrección o eliminación cuando corresponda. El artículo 12 de la ley actual ya reconoce derechos. Identifica limitaciones, asistencia del soporte y plazos operativos. También debe distinguirse qué información requiere conservación legal: borrar indiscriminadamente puede crear otro problema.
7. ¿Qué recibiremos y qué se eliminará al terminar?
Solicita una muestra del formato de exportación y acuerda plazo, coste, devolución o supresión, tratamiento de copias y evidencia del cierre. El nuevo artículo 15 bis contempla devolución o supresión al concluir el servicio. Resuelve la salida antes de depender del sistema.
¿También aplica la Ley Marco de Ciberseguridad?
La Ley 21.663 (abre en una pestaña nueva) establece deberes para las instituciones de su artículo 4 y obligaciones adicionales para operadores de importancia vital. Revisa la actividad y calificación del cliente y del proveedor: contratar un ERP o CRM no determina por sí solo ese encuadre. Si aplica, incorpora la coordinación necesaria para prevenir, gestionar y reportar incidentes.
El contrato necesita respaldo en la operación
Un contrato firmado o una política escrita no demuestran, por sí solos, que los controles funcionan. Pide evidencia pertinente: una prueba de recuperación, una revisión de permisos o un registro de atención de incidentes.
Tu empresa debe identificar qué decisiones y tareas conserva: para qué utiliza los datos, quién accede, cuánto tiempo los mantiene y cómo atiende a las personas. El proveedor tiene sus propias obligaciones. Deja claro quién ejecuta cada tarea, quién comprueba el resultado y qué evidencia conserva cada parte.