Ley 25.326 para empresas SaaS: 5 obligaciones que tus clientes ya te preguntan
Si tenés un SaaS en Argentina, la Ley 25.326 de Protección de los Datos Personales te alcanza aunque nunca lo hayas pensado: alcanza a cualquier empresa que guarde o procese datos de personas. Y si le vendés a bancos o a grandes empresas, sus áreas de compliance ya la incluyen en los cuestionarios de proveedores.
Estas son las cinco obligaciones que más aparecen en esos cuestionarios, y lo mínimo que tenés que poder mostrar en cada una.
1. Registrar tus bases de datos
La ley exige inscribir las bases de datos en el Registro Nacional de Bases de Datos, que hoy administra la Agencia de Acceso a la Información Pública (AAIP). Tu cliente puede pedirte el comprobante, sobre todo si tratás datos de sus usuarios.
Qué mostrar: la constancia de inscripción y un inventario simple de qué datos tratás, para qué y dónde están alojados.
2. Tener una base legal para cada tratamiento
La regla general es el consentimiento libre, expreso e informado del titular, con excepciones previstas en la ley, por ejemplo cuando el dato es necesario para cumplir un contrato.
Qué mostrar: tu política de privacidad, los textos de consentimiento de tu producto y el contrato con tu cliente que define quién es responsable y quién trata datos por cuenta de otro.
3. Medidas de seguridad y confidencialidad
El responsable y el usuario de los datos tienen que adoptar medidas técnicas y organizativas que garanticen su seguridad y confidencialidad. La AAIP publicó medidas de seguridad recomendadas que sirven de guía práctica.
Qué mostrar: control de accesos, cifrado, backups probados, registro de eventos y un procedimiento de respuesta a incidentes. Si ya trabajás con ISO 27001, buena parte de esto ya lo tenés.
4. Cuidado con las transferencias internacionales
La ley restringe transferir datos personales a países que no ofrecen un nivel de protección adecuado, salvo excepciones. Si usás infraestructura cloud fuera de Argentina, tu cliente va a preguntar dónde están los datos y con qué garantías.
Qué mostrar: la región donde alojás los datos, la lista de subencargados y las cláusulas contractuales que aplicás a esas transferencias.
5. Responder los derechos de los titulares a tiempo
Las personas pueden pedir acceso, rectificación, actualización o supresión de sus datos, y la ley fija plazos cortos para responder: 10 días corridos para el acceso y 5 días hábiles para rectificar o suprimir.
Qué mostrar: un canal para recibir pedidos, quién los atiende y cómo los documentás.
Por dónde empezar
Hacé un inventario de los datos personales que tratás y dónde viven.
Revisá tu política de privacidad y tus contratos con clientes y proveedores.
Ordená las evidencias de seguridad en un solo lugar, listas para entregar.
Definí el procedimiento para responder pedidos de los titulares.
Si querés saber en 10 minutos dónde estás, hacé el autodiagnóstico gratuito de GoverniFY Compass. Y si tu cliente es un banco, en seguridad para proveedores de bancos y fintech te contamos cómo te ayudamos a responder sus cuestionarios.
Preguntas frecuentes
¿La Ley 25.326 aplica si mi empresa es chica?
Sí. La ley no distingue por tamaño: aplica a cualquier persona o empresa que trate datos personales en Argentina.
¿Cumplir el GDPR alcanza para la Ley 25.326?
Ayuda mucho, porque los principios son parecidos, pero no reemplaza obligaciones locales como el registro de bases de datos.
¿ISO 27001 cubre la Ley 25.326?
Cubre gran parte de las medidas de seguridad, pero no los aspectos legales como el consentimiento, las transferencias o los derechos de los titulares.
Comentarios