Aquí, «kit digital requisitos» significa un paquete integrado (web inteligente, SaaS, CRM y SEO) y las tres exigencias mínimas que debe pedir una pyme a su proveedor: un SLA claro, cumplimiento del RGPD mediante contrato de encargado del tratamiento y garantías documentadas de seguridad y portabilidad de datos. Esta guía detalla cada requisito para que puedas negociarlo antes de firmar.
En resumen:
- El acuerdo de nivel de servicio debe fijar disponibilidad, plazos distintos para incidencias críticas y leves, informes periódicos, penalizaciones y salida anticipada ante incumplimientos repetidos.
- La empresa sigue siendo responsable del tratamiento aunque el proveedor gestione datos personales y debe firmar con él un contrato conforme al artículo 28 del RGPD.
- Antes de cerrar el proyecto, exige pruebas de integración en preproducción para comprobar que la web alimenta el CRM y activa las automatizaciones previstas.
- El contrato debe garantizar la devolución o el borrado certificado de los datos, la portabilidad en formato reutilizable y la revocación de accesos al terminar.
- Exige cifrado de datos, control de accesos según funciones y copias de seguridad con pruebas de restauración, no solo copias automáticas.
Tabla de contenidos
- Qué incluye el kit digital: componentes y entregables del proveedor
- Requisitos contractuales: SLA, monitorización e informes que debes exigir
- Protección de datos y RGPD: cláusulas del artículo 28 que debe aportar el proveedor
- Requisitos técnicos y de ciberseguridad: medidas, certificaciones y continuidad
- Checklist y preguntas clave para evaluar y negociar con el proveedor
- Por qué un kit digital integrado cambia el resultado, no solo el proceso
- Cómo implementamos tu kit digital con garantías documentadas
- Preguntas frecuentes
- Fuentes
Qué incluye el kit digital: componentes y entregables del proveedor
Un kit digital bien diseñado combina cuatro piezas que deben funcionar como un único sistema, no como servicios sueltos facturados por separado. El proveedor tiene que especificar, por escrito, qué entrega en cada bloque y con qué nivel de detalle técnico.
- Web inteligente: integración nativa con el CRM, formularios avanzados de captación, seguimiento de visitantes (tracking) y documentación técnica de la arquitectura entregada.
- SaaS personalizado: acceso a APIs documentadas, condiciones de alojamiento (hosting), niveles de servicio definidos y un plan de mantenimiento continuo.
- Automatización de CRM: captura automática de contactos potenciales, flujos de trabajo configurados, informes periódicos y formación para el equipo que lo va a usar.
- SEO: auditoría técnica inicial, optimización de contenidos y estructura (on-page), seguimiento de posiciones y reporting recurrente.
La interoperabilidad entre estos cuatro módulos es, en la práctica, lo que distingue un kit digital real de una suma de contratos inconexos. Antes de aceptar el proyecto como terminado, conviene exigir pruebas de integración que demuestren que la web alimenta el CRM, que el CRM dispara las automatizaciones previstas y que el SEO se apoya en datos reales de comportamiento capturados por el propio sistema.
Requisitos contractuales: SLA, monitorización e informes que debes exigir
Un acuerdo de nivel de servicio (SLA) no es una cláusula decorativa: es el documento que fija qué pasa cuando algo falla. INCIBE ofrece un modelo práctico de SLA que incluye tablas de disponibilidad, tiempos de respuesta y resolución, mecanismos de seguimiento y penalizaciones por incumplimiento.
- Disponibilidad garantizada: el contrato debe fijar un porcentaje de tiempo en funcionamiento y qué se considera una caída computable.
- Tiempos de respuesta y resolución: conviene diferenciar incidencias críticas de las leves, con plazos distintos para cada tipo.
- Escalado: debe quedar claro quién interviene si el primer nivel de soporte no resuelve el problema a tiempo.
- Informes periódicos: el proveedor debe entregar reportes de rendimiento con una cadencia fija, no bajo petición.
- Penalizaciones: el contrato debe prever descuentos o créditos de servicio si se incumplen los plazos pactados.
Como referencia práctica, un análisis sobre SLA en contratos TIC recoge ejemplos operativos habituales: plazos operativos realistas para respuesta y resolución en incidencias críticas, con informes periódicos entregados mensualmente en una fecha fija. Son cifras de referencia del sector, no un mínimo legal, pero sirven como punto de partida realista para negociar.
Consejo profesional: pide siempre acceso directo a un panel de monitorización (dashboard), no solo al informe mensual: así puedes verificar el cumplimiento del SLA sin depender de lo que te cuente el proveedor.
Si el incumplimiento se repite varias veces en un periodo corto, el contrato debería permitir la terminación anticipada sin penalización para el cliente.
Protección de datos y RGPD: cláusulas del artículo 28 que debe aportar el proveedor
Tu empresa conserva siempre la condición de responsable del tratamiento. Esta obligación no se puede delegar contractualmente, así que la pyme sigue respondiendo ante la autoridad de control aunque el proveedor gestione el CRM, el hosting o la analítica. El proveedor actúa como encargado del tratamiento en la mayoría de estos servicios, y esa relación debe formalizarse en un contrato de encargo específico.
La AEPD publica un modelo de cláusulas que ese contrato debe incluir como mínimo:
- Objeto, duración y finalidad concretos del tratamiento de datos encomendado.
- Medidas técnicas y organizativas de seguridad, conforme al artículo 32 del RGPD.
- Condiciones para subcontratar a terceros (subencargados), incluida la obligación de informar previamente.
- Obligación de documentar el tratamiento y facilitar auditorías al responsable.
- Devolución o borrado certificado de los datos al finalizar la prestación del servicio.
El contrato de encargo del tratamiento, con las cláusulas del artículo 28 del RGPD, es la pieza legal que más a menudo se omite en los contratos de servicios digitales, pese a que la AEPD lo exige expresamente como documento vinculante entre responsable y encargado.
La fase de salida merece atención especial: si el proveedor conserva copias o accesos tras la terminación del contrato, tu empresa sigue expuesta a una brecha de seguridad de la que ya no tiene control operativo. Para servicios en la nube, la guía de la AEPD sobre contratación de cloud computing añade que el proveedor debe informar con transparencia sobre dónde se almacenan los datos y facilitar mecanismos de portabilidad cuando el cliente decida cambiar de proveedor.
Requisitos técnicos y de ciberseguridad: medidas, certificaciones y continuidad
Más allá del papel contractual, el proveedor debe demostrar que aplica medidas técnicas reales. El artículo 32 del RGPD obliga a adoptar garantías proporcionales al riesgo del tratamiento, y conviene traducirlas en exigencias concretas antes de firmar.
- Cifrado de los datos tanto en tránsito como en reposo.
- Seudonimización de datos personales cuando el tratamiento lo permita.
- Control de accesos basado en roles, con registro (logging) de actividad.
- Gestión regular de parches y actualizaciones de seguridad.
- Copias de seguridad periódicas con pruebas reales de restauración, no solo generación automática.
Las certificaciones ISO 27001 e ISO 22301 son un indicador útil: la primera certifica un sistema de gestión de seguridad de la información, y la segunda, la continuidad del negocio ante incidentes. Pedirlas no garantiza que nunca vaya a ocurrir un incidente, pero sí que el proveedor ha pasado por una auditoría externa de sus procesos.
Consejo profesional: pregunta por los objetivos de tiempo de recuperación (RTO) y punto de recuperación (RPO) del proveedor: son las cifras que indican cuánto tardaría en restaurar el servicio y cuántos datos podrías perder en el peor escenario.
La salida técnica debe incluir revocación de claves de acceso, entrega de exportaciones en formato reutilizable y un certificado formal de borrado de los datos conservados.
Checklist y preguntas clave para evaluar y negociar con el proveedor
Antes de firmar, conviene repasar un listado breve de comprobaciones y lanzar las preguntas que suelen revelar si un proveedor está preparado para un encargo integrado.
- Verifica el SLA por escrito, con tiempos de respuesta, resolución y penalizaciones explícitas.
- Exige la documentación técnica completa del proyecto, incluidas las APIs y la arquitectura del sistema.
- Pide un plan de proyecto con hitos, plazos y responsables definidos en cada fase.
- Confirma quién es titular de la propiedad intelectual del código y los contenidos desarrollados.
- Pregunta dónde se almacenan los datos y si existen transferencias fuera del Espacio Económico Europeo.
- Pregunta si subcontrata algún servicio y, si lo hace, bajo qué condiciones informa al cliente.
- Solicita pruebas de integración en un entorno de preproducción antes de aceptar el proyecto como cerrado.
Algunas señales de alerta merecen frenar la negociación: opacidad sobre subcontratación, ausencia de cláusulas de salida, falta de informes periódicos o inexistencia de copias de seguridad verificables. Y hay puntos que casi siempre conviene negociar al alza: cláusulas de portabilidad más detalladas, penalizaciones proporcionales al tamaño del contrato y una fase de pruebas en preproducción antes del lanzamiento definitivo.
Por qué un kit digital integrado cambia el resultado, no solo el proceso
La mayoría de pymes contrata la web, el CRM y el SEO por separado, y asume que coordinarlos es un problema menor. No lo es: cada proveedor fragmentado añade un punto de fallo donde los datos dejan de fluir, y eso es exactamente lo que mide el SLA del eslabón más débil, nunca el del conjunto. Un kit digital integrado, pensado desde el inicio para que la web alimente el CRM y el CRM dispare las automatizaciones de venta, convierte interés en cliente sin que nadie tenga que copiar datos manualmente entre sistemas. Esa es la diferencia real entre contratar herramientas y contratar un resultado de negocio.
— Juan
Cómo implementamos tu kit digital con garantías documentadas
Trabajamos bajo el mismo principio que defendemos en esta guía: un ecosistema digital cohesivo, no servicios fragmentados que alguien tiene que coordinar después. Integramos web inteligente, SaaS personalizado, automatización de CRM y estrategia de SEO en un único encargo, con el SLA, el contrato de encargo del tratamiento conforme al artículo 28 del RGPD y el proceso de salida documentados desde el primer día.
- Definimos contigo el SLA antes de empezar: disponibilidad, tiempos de respuesta y resolución, e informes mensuales de seguimiento.
- Formalizamos el contrato de encargo del tratamiento con las cláusulas que exige la AEPD, incluidas las condiciones de subcontratación.
- Dejamos por escrito la fase de salida: devolución o borrado certificado de datos y revocación de accesos si decides cambiar de proveedor.
Si quieres revisar cómo encajaría un kit digital integrado en tu empresa, puedes consultar nuestros sistemas, SaaS y CRM o pedirnos directamente una auditoría inicial de tu presencia digital para ver qué necesitas y qué ya tienes cubierto.
Preguntas frecuentes
¿Qué diferencia hay entre un SLA y un contrato de servicio normal?
El contrato de servicio describe qué se entrega; el SLA fija cómo se mide el cumplimiento día a día: disponibilidad, tiempos de respuesta y penalizaciones si no se cumplen. INCIBE recomienda incluir ambos documentos como piezas separadas pero vinculadas en cualquier contratación tecnológica.
¿Es obligatorio firmar un contrato de encargo del tratamiento con el proveedor?
Sí, siempre que el proveedor trate datos personales por cuenta de tu empresa, por ejemplo en el CRM o el hosting. La AEPD exige ese contrato con cláusulas mínimas sobre seguridad, subcontratación y devolución de datos al finalizar.
¿Qué debe pasar con mis datos si cambio de proveedor?
El contrato debe prever la devolución o el borrado certificado de los datos, además de la revocación de todos los accesos del proveedor saliente. La portabilidad en formato reutilizable evita que tu empresa quede dependiente de un sistema cerrado al migrar.
¿Qué certificaciones debería pedir a un proveedor de servicios digitales?
ISO 27001 acredita un sistema de gestión de seguridad de la información, e ISO 22301 certifica la continuidad del negocio ante incidentes. INCIBE recomienda solicitarlas como parte de la diligencia antes de firmar un contrato con un proveedor tecnológico.
¿Zelvex Group integra todos estos requisitos en un mismo contrato?
Sí, documentamos el SLA, el contrato de encargo del tratamiento y el proceso de salida dentro del mismo acuerdo de servicio, sin dividirlo en contratos separados por cada módulo del kit digital.
Fuentes
- Acuerdo de nivel de servicio (modelo) — INCIBE
- SLAs y penalizaciones en contratos de servicios TIC — Computing