Si gestionas un producto SaaS, tu política de privacidad tiene una complejidad añadida que no existe en un blog o una landing page: sueles ser responsable de unos datos y encargado del tratamiento de otros, al mismo tiempo.
Dos papeles distintos, dos secciones distintas
Para los datos de tus propios usuarios (nombre, correo electrónico, contraseña, facturación de la cuenta), tu empresa es la responsable del tratamiento. Pero si un cliente empresarial usa tu aplicación para gestionar datos de sus propios clientes o empleados, tú actúas como encargado del tratamiento respecto a esos datos.
Por qué importa distinguirlo
Confundir ambos papeles en la política de privacidad genera ambigüedad legal. Como responsable, tienes que informar directamente a tus usuarios y garantizar sus derechos. Como encargado, tu obligación es tratar los datos siguiendo las instrucciones de tu cliente empresarial, documentadas en un contrato de encargo conforme al artículo 28 del RGPD.
Subencargados: mantén la lista actualizada
Casi ningún SaaS funciona sin apoyarse en otros proveedores: hosting en la nube, correo transaccional, procesamiento de pagos, herramientas de soporte. Cada uno de ellos es un subencargado del tratamiento, y tus clientes empresariales tienen derecho a saber quiénes son.
Transferencias internacionales, un punto habitual de fricción
Muchas herramientas de infraestructura alojan datos fuera del Espacio Económico Europeo. Si es tu caso, tu política de privacidad debe explicar qué garantías aplican a esa transferencia, normalmente cláusulas contractuales tipo.
Lo que preguntan los clientes empresariales antes de firmar
En ventas B2B es habitual que el equipo de compras pregunte por tu enfoque de seguridad, dónde alojas los datos y si ofreces un contrato de encargo del tratamiento. Tener esta información clara en tu política de privacidad, o en un documento técnico enlazado desde ella, agiliza mucho el proceso.
Un punto de partida ya estructurado
Nuestro ejemplo de política de privacidad para SaaS separa exactamente estos dos papeles, y es un buen punto de partida tanto si vendes a particulares como a empresas.
Planes gratuitos y datos de prueba
Si ofreces un plan gratuito o una prueba sin coste, ten en cuenta que también estás tratando datos personales de esos usuarios, aunque nunca lleguen a pagar. La política de privacidad no debe distinguir entre usuarios de pago y gratuitos: las mismas garantías se aplican a todos.
Baja de cuenta y exportación de datos
Un producto SaaS maduro permite exportar los propios datos antes de cerrar una cuenta, en línea con el derecho de portabilidad del artículo 20 del RGPD. Explicar este proceso en la política de privacidad, aunque sea brevemente, transmite seriedad y facilita el cumplimiento cuando alguien ejerce este derecho formalmente.
Integraciones con otras herramientas
Muchos productos SaaS permiten conectar herramientas de terceros (calendarios, CRMs, plataformas de pago) mediante integraciones o una API. Cada integración que un usuario activa puede implicar el envío de sus datos a un servicio adicional, así que conviene explicar en la política que las integraciones opcionales están sujetas a las condiciones del proveedor correspondiente.
Entornos de prueba y datos de ejemplo
Si ofreces un entorno de pruebas o una demo con datos de ejemplo, asegúrate de que esos datos son ficticios y no datos reales de otros clientes. Reutilizar datos reales, aunque sea anonimizados de forma incompleta, como ejemplo en una demo pública es un error habitual que conviene evitar desde el diseño del producto.
Sigue explorando
Términos relacionados: Responsable del tratamiento, Encargado del tratamiento, Transferencia internacional de datos.
Más artículos: Política de privacidad para una tienda online: guía práctica, RGPD para sitios web: guía completa con ejemplos prácticos.
Fuente oficial: Agencia Española de Protección de Datos (AEPD).