Una gestoria guarda en un mateix servidor les nòmines, les declaracions, els DNI i els comptes bancaris de desenes o centenars de clients. Per a un atacant, és un botí molt més saborós que el d’una empresa qualsevol. I per a la mateixa gestoria, una fallada informàtica no només suposa un mal dia: pot significar terminis fiscals incomplerts i un problema legal amb tots els seus clients alhora. En aquesta guia repassem què necessita la informàtica d’una gestoria o assessoria per treballar amb seguretat i complir el RGPD.

Per què les gestories són un objectiu especial?

Per tres raons. Concentren dades personals i financeres de moltes empreses, treballen amb terminis que no admeten retards i manegen certificats digitals que, en mans d’un atacant, permeten actuar en nom d’una empresa davant l’Administració. Per això la ciberseguretat és un dels grans reptes de les assessories, sobretot quan treballen amb pimes.

Què diu el RGPD sobre una gestoria?

Una gestoria té dos papers diferents alhora. Pel que fa a les dades dels seus clients, actua com a encarregada del tractament. Pel que fa a les dades dels seus propis empleats, és responsable. Cada paper té les seves obligacions.

Com a encarregada del tractament, la gestoria ha de:

• Seguir les instruccions del client, que és qui decideix per a què s’usen les dades.
• Respectar el deure de confidencialitat.
• Aplicar mesures de seguretat adequades.
• Pactar el règim de subcontractació.
• Ajudar el client a atendre els drets de les persones.
• Tornar o destruir les dades quan acabi el servei, segons el que s’hagi pactat.

Tot això ha de constar en un contracte d’encarregat del tractament signat amb cada client, i no n’hi ha prou amb un model genèric. És l’exigència de l’article 28 del RGPD, i la seva absència és una infracció en si mateixa. A més, els contractes signats abans de maig del 2018 s’haurien d’haver adaptat a aquest article.

I amb els proveïdors de la pròpia gestoria?

L’obligació es repeteix cap amunt. Si la gestoria contracta un proveïdor extern que accedeix a dades personals dels seus clients, aquest proveïdor també ha de signar un contracte d’encarregat del tractament. Això inclou el servei informàtic que dona suport als equips, el núvol on es guarden els arxius i el programari de gestió. Per això, quan triïs un proveïdor de manteniment, pregunta quines garanties ofereix, com tracta l’accés a les dades i si signa aquest contracte.

Els sis punts informàtics que no poden fallar

1. Certificats digitals sota control. Un certificat caducat impedeix presentar impostos dins de termini, i la gestoria sol assumir els recàrrecs. Un arxiu de certificat enviat per correu o guardat en una carpeta de xarxa sense contrasenya és un risc greu. Convé portar un inventari amb dates de caducitat, restringir qui els fa servir i guardar-los amb protecció.
2. Còpies de seguretat provades. Una gestoria sense còpia no pot reconstruir la comptabilitat dels seus clients. Calen còpies automàtiques, separades del servidor principal i amb proves de restauració periòdiques.
3. Doble factor als accessos. Correu, programes de comptabilitat, accés remot i portals de l’Administració s’han de protegir amb un segon factor.
4. Correu i phishing. Els correus que simulen ser de l’Agència Tributària, d’un banc o d’un client són la porta d’entrada més habitual. La formació de l’equip i els filtres de correu redueixen el risc.
5. Xarxa i servidor ordenats. Un tallafoc ben configurat, equips actualitzats i accessos amb permisos per perfil eviten que una fallada en un lloc de treball afecti tot el despatx.
6. Control d’accessos del personal. Cada persona ha d’accedir només als clients que gestiona, i els accessos es tanquen el mateix dia que algú deixa l’empresa.

I els dubtes dels teus clients sobre Verifactu?

Els teus clients et preguntaran per Verifactu i per la factura electrònica. Com que el calendari continua en moviment, el tractem en un article específic: consulta el nostre article sobre l’ajornament de Verifactu. Des del punt de vista informàtic, el que convé fer ja és un inventari de quin programa de facturació fa servir cada client.

Pla de 30 dies per ordenar la informàtica d’una gestoria

1. Setmana 1: inventari d’equips, programes, certificats digitals i accessos.
2. Setmana 2: revisió de contractes d’encarregat del tractament amb clients i proveïdors.
3. Setmana 3: comprovació de còpies de seguretat amb una prova real de restauració i activació del doble factor.
4. Setmana 4: formació breu de l’equip sobre phishing i pla d’actuació davant d’incidents.

Com pot ajudar Epic Solutions?

Epic Solutions és una empresa informàtica de Reus que presta servei a pimes del Camp de Tarragona. El seu servei de manteniment inclou monitorització 24/7 de servidors i xarxes, anàlisi de vulnerabilitats, mesures per al compliment del RGPD, còpies de seguretat automatitzades, doble factor d’autenticació i suport tècnic remot i presencial. Abans de proposar res, l’equip fa un Diagnòstic IT Bàsic que revisa la infraestructura, la seguretat, la gestió de la informació i les possibilitats de millora.

Si tens una gestoria o assessoria a Reus, Tarragona o voltants i vols revisar com està la teva informàtica, truca al 977 756 775 o escriu a comercial@epic.es. Atenem de dilluns a divendres, de 8:00 a 17:00. Pots ampliar informació a la nostra guia de manteniment informàtic per a empreses.

Preguntes freqüents

Una gestoria és responsable o encarregada del tractament?

Totes dues coses. És encarregada del tractament pel que fa a les dades dels seus clients i responsable pel que fa a les dels seus propis empleats.

Cal un contracte amb cada client?

Sí. L’article 28 del RGPD exigeix un contracte d’encarregat del tractament per escrit amb cada client, i no n’hi ha prou amb un model genèric.

El meu proveïdor informàtic també ha de signar un contracte d’encarregat?

Si accedeix a dades personals dels teus clients, sí. Convé demanar-ho abans de contractar.

Com es protegeixen els certificats digitals dels clients?

Amb un inventari de caducitats, accés restringit, emmagatzematge protegit amb contrasenya i sense enviar-los mai per correu.

Quines còpies de seguretat necessita una gestoria?

Còpies automàtiques, separades del servidor principal i amb proves de restauració periòdiques.

Què faig amb els dubtes dels meus clients sobre Verifactu?

Comença per saber quin programa de facturació fa servir cada client i consulta el nostre article actualitzat sobre el calendari.