Una gestoría guarda en un mismo servidor las nóminas, las declaraciones, los DNI y las cuentas bancarias de decenas o cientos de clientes. Para un atacante, es un botín mucho más jugoso que el de una empresa cualquiera. Y para la propia gestoría, un fallo informático no solo supone un mal día: puede significar plazos fiscales incumplidos y un problema legal con todos sus clientes a la vez. En esta guía repasamos qué necesita la informática de una gestoría o asesoría para trabajar con seguridad y cumplir el RGPD.

¿Por qué las gestorías son un objetivo especial?

Por tres razones. Concentran datos personales y financieros de muchas empresas, trabajan con plazos que no admiten retrasos y manejan certificados digitales que, en manos de un atacante, permiten actuar en nombre de una empresa ante la Administración. Por eso la ciberseguridad es uno de los grandes desafíos de las asesorías, sobre todo cuando trabajan con pymes.

¿Qué dice el RGPD sobre una gestoría?

Una gestoría tiene dos papeles distintos a la vez. Respecto a los datos de sus clientes, actúa como encargada del tratamiento. Respecto a los datos de sus propios empleados, es responsable. Cada papel tiene sus obligaciones.

Como encargada del tratamiento, la gestoría debe:

• Seguir las instrucciones del cliente, que es quien decide para qué se usan los datos.
• Respetar el deber de confidencialidad.
• Aplicar medidas de seguridad adecuadas.
• Pactar el régimen de subcontratación.
• Ayudar al cliente a atender los derechos de las personas.
• Devolver o destruir los datos cuando termine el servicio, según lo pactado.

Todo esto debe constar en un contrato de encargado del tratamiento firmado con cada cliente, y no basta un modelo genérico. Es la exigencia del artículo 28 del RGPD, y su ausencia es una infracción en sí misma. Además, los contratos firmados antes de mayo de 2018 deben haberse adaptado a ese artículo.

¿Y con los proveedores de la propia gestoría?

La obligación se repite hacia arriba. Si la gestoría contrata a un proveedor externo que accede a datos personales de sus clientes, ese proveedor también debe firmar un contrato de encargado del tratamiento. Esto incluye al servicio informático que da soporte a los equipos, a la nube donde se guardan los archivos y al software de gestión. Por eso, cuando elijas un proveedor de mantenimiento, pregunta qué garantías ofrece, cómo trata el acceso a los datos y si firma ese contrato.

Los seis puntos informáticos que no pueden fallar

1. Certificados digitales bajo control. Un certificado caducado impide presentar impuestos en plazo, y la gestoría suele asumir los recargos. Un archivo de certificado enviado por correo o guardado en una carpeta de red sin contraseña es un riesgo grave. Conviene llevar un inventario con fechas de caducidad, restringir quién los usa y guardarlos con protección.
2. Copias de seguridad probadas. Una gestoría sin copia no puede reconstruir la contabilidad de sus clientes. Hacen falta copias automáticas, separadas del servidor principal y con pruebas de restauración periódicas.
3. Doble factor en los accesos. Correo, programas de contabilidad, acceso remoto y portales de la Administración deben protegerse con un segundo factor.
4. Correo y phishing. Los correos que simulan ser de la Agencia Tributaria, de un banco o de un cliente son la puerta de entrada más habitual. La formación del equipo y los filtros de correo reducen el riesgo.
5. Red y servidor ordenados. Un firewall bien configurado, equipos actualizados y accesos con permisos por perfil evitan que un fallo en un puesto afecte a todo el despacho.
6. Control de accesos del personal. Cada persona debe acceder solo a los clientes que gestiona, y los accesos se cierran el mismo día que alguien deja la empresa.

¿Y las dudas de tus clientes sobre Verifactu?

Tus clientes te preguntarán por Verifactu y por la factura electrónica. Como el calendario sigue en movimiento, lo tratamos en un artículo específico: consulta nuestro artículo sobre el aplazamiento de Verifactu. Desde el punto de vista informático, lo que conviene hacer ya es un inventario de qué programa de facturación usa cada cliente.

Plan de 30 días para ordenar la informática de una gestoría

1. Semana 1: inventario de equipos, programas, certificados digitales y accesos.
2. Semana 2: revisión de contratos de encargado del tratamiento con clientes y proveedores.
3. Semana 3: comprobación de copias de seguridad con una prueba real de restauración y activación del doble factor.
4. Semana 4: formación breve del equipo sobre phishing y plan de actuación ante incidentes.

¿Cómo puede ayudar Epic Solutions?

Epic Solutions es una empresa informática de Reus que presta servicio a pymes del Camp de Tarragona. Su servicio de mantenimiento incluye monitorización 24/7 de servidores y redes, análisis de vulnerabilidades, medidas para el cumplimiento del RGPD, copias de seguridad automatizadas, doble factor de autenticación y soporte técnico remoto y presencial. Antes de proponer nada, el equipo realiza un Diagnóstico IT Básico que revisa la infraestructura, la seguridad, la gestión de la información y las posibilidades de mejora.

Si tienes una gestoría o asesoría en Reus, Tarragona o alrededores y quieres revisar cómo está tu informática, llama al 977 756 775 o escribe a comercial@epic.es. Atendemos de lunes a viernes, de 8:00 a 17:00. Puedes ampliar información en nuestra guía de mantenimiento informático para empresas.

Preguntas frecuentes

¿Es una gestoría responsable o encargada del tratamiento?

Ambas cosas. Es encargada del tratamiento respecto a los datos de sus clientes y responsable respecto a los de sus propios empleados.

¿Hace falta un contrato con cada cliente?

Sí. El artículo 28 del RGPD exige un contrato de encargado del tratamiento por escrito con cada cliente, y no basta un modelo genérico.

¿Mi proveedor informático también debe firmar un contrato de encargado?

Si accede a datos personales de tus clientes, sí. Conviene pedirlo antes de contratar.

¿Cómo se protegen los certificados digitales de los clientes?

Con un inventario de caducidades, acceso restringido, almacenamiento protegido con contraseña y sin enviarlos nunca por correo.

¿Qué copias de seguridad necesita una gestoría?

Copias automáticas, separadas del servidor principal y con pruebas de restauración periódicas.

¿Qué hago con las dudas de mis clientes sobre Verifactu?

Empieza por saber qué programa de facturación usa cada cliente y consulta nuestro artículo actualizado sobre el calendario.