Un producto SaaS trata datos de cuenta y de uso de sus propios usuarios, pero frente a clientes empresariales suele actuar además como encargado del tratamiento de los datos que esos clientes introducen. Este doble papel es lo que hace más compleja la política de privacidad de una aplicación web.
Dos papeles, dos responsabilidades
Para los datos de registro, inicio de sesión y facturación de tus propios usuarios, tu empresa es la responsable del tratamiento. Pero si un cliente empresarial usa tu aplicación para gestionar los datos de sus propios clientes o empleados, tú actúas como encargado del tratamiento respecto a esos datos, y esa relación debe regularse mediante un contrato de encargo conforme al artículo 28 del RGPD.
Registro y datos de uso
Para crear una cuenta se recopilan habitualmente el nombre, el correo electrónico, la empresa y una contraseña cifrada. Durante el uso del producto, es habitual registrar eventos técnicos como horarios de acceso, funciones utilizadas o mensajes de error, con el fin de mantener el servicio funcionando y detectar problemas.
Subencargados del tratamiento
La mayoría de productos SaaS dependen de proveedores de hosting, correo transaccional o analítica, que a su vez tratan datos por tu encargo. Estos son subencargados del tratamiento y conviene mantener una relación actualizada, disponible bajo petición o publicada en tu propia política.
Qué preguntan los clientes empresariales
Los clientes B2B suelen preguntar dónde se alojan los datos, si existen transferencias internacionales fuera del Espacio Económico Europeo, y qué medidas de seguridad aplicas. Anticipar estas preguntas en tu política de privacidad, o en un documento técnico aparte, agiliza mucho los procesos de compra empresarial.
Planes gratuitos y exportación de datos
Un usuario de un plan gratuito sigue siendo una persona cuyos datos hay que proteger igual que los de un usuario de pago. Además, permitir exportar los propios datos antes de cerrar una cuenta, en línea con el derecho de portabilidad, es una buena práctica que transmite seriedad.
Integraciones y entornos de prueba
Muchas aplicaciones SaaS permiten conectar herramientas de terceros mediante integraciones o una API, y cada una puede implicar el envío de datos a un servicio adicional. Si además ofreces un entorno de demostración, asegúrate de que los datos de ejemplo son ficticios y nunca datos reales de otros clientes, un error de diseño más habitual de lo que parece.
Este ejemplo, paso a paso
El ejemplo completo más abajo separa con claridad los datos de tus propios usuarios de los datos que tratas por encargo de tus clientes, e incluye una sección dedicada a los subencargados del tratamiento. Es un buen punto de partida tanto si vendes a particulares como si vendes a empresas.
Crear tu propia versión con el generador →
Cómo adaptar este ejemplo para una aplicación SaaS
En pocos pasos conviertes el ejemplo de arriba en una versión con tus propios datos:
- Elige el ejemplo adecuado. Busca arriba el ejemplo que corresponda a tu tipo de sitio web, o empieza con el ejemplo general de esta página.
- Indica el responsable. Sustituye en la primera sección los datos de muestra por tu nombre o razón social, tu dirección y un correo electrónico de contacto.
- Elimina las secciones que no apliquen. Quita las secciones que no se den en tu sitio web, como el procesamiento de pagos si no tienes tienda propia, o los comentarios si no los permites.
- Añade tus propios servicios. Indica los nombres concretos de las herramientas que usas realmente, como tu proveedor de alojamiento, tu empresa de transporte o el servicio de envío de tu newsletter.
- Publica y mantenla actualizada. Enlaza la página terminada desde el pie de tu sitio web y actualízala en cuanto cambie algo en tu tratamiento de datos.