En resumen: los clientes hacen cada vez más preguntas sobre la seguridad de sus datos. Cinco de ellas se repiten en cada expediente sensible. Aquí tiene respuestas argumentadas, las referencias legales que debe citar y una plantilla de correo electrónico lista para enviar para transformar estas preguntas en una prueba de profesionalidad.
Antes de 2020, un cliente que le preguntaba «¿dónde están mis datos?» era una excepción. Hoy en día, es casi la norma en los casos donde hay mucho en juego: divorcios con patrimonio, due diligence M&A, denuncias penales, expedientes médicos complejos o fiscalidad internacional. La pregunta ya no es una señal de desconfianza, sino un signo de madurez del cliente. Responder correctamente se convierte en una ventaja competitiva.
He enumerado las cinco preguntas que mis usuarios de Client Vault reciben con mayor frecuencia. Para cada una, encontrará una respuesta argumentada, la referencia legal precisa que debe mencionar y un recuadro práctico. Al final, incluyo una plantilla de correo electrónico que puede reutilizar tal cual.
Pregunta 1: «¿Dónde se almacenan mis datos?»
La respuesta honesta se resume en tres elementos. Primero, la ubicación física del servidor (qué proveedor de hosting, en qué país). Segundo, la jurisdicción del editor del software, que es lo que determina la exposición al Cloud Act. Tercero, la duración y el mecanismo de conservación.
Un despacho soberano puede responder: «Sus documentos están almacenados en nuestra instalación, alojada en [OVH/Scaleway/Infomaniak], en Francia. Ningún editor externo tiene acceso a ellos. La conservación se limita a la duración del expediente más el plazo de prescripción legal, tras lo cual los datos se eliminan». Es una respuesta breve, precisa y vinculante. Referencia: RGPD artículo 5.1.b (limitación de la finalidad) y 5.1.e (limitación de la conservación).
Pregunta 2: « ¿Quién puede leer mis documentos? »
El cliente quiere saber quién, en su despacho, accede concretamente a sus documentos. La respuesta debe nombrar el principio —el acceso está limitado a los colaboradores asignados al expediente— y precisar el mecanismo: cada apertura queda registrada en un registro de auditoría del cual el cliente puede solicitar un extracto.
En un Drive compartido clásico, esta respuesta es difícil de mantener. En una caja fuerte profesional configurada por expediente, se vuelve mecánica. Referencia: RGPD artículo 32 (seguridad del tratamiento) y artículo 5.1.f (integridad y confidencialidad).
Pregunta 3: « ¿Y si son hackeados? »
El cliente no pide una garantía de cero intrusiones, sabe que eso no existe. Quiere saber tres cosas: cuánto tiempo tardan en detectar una intrusión, cómo le avisarán y cuántos datos quedarían expuestos si ocurriera.
La respuesta es triple. Uno: su instalación está supervisada, ya sea por su proveedor de WordPress o a través de un servicio de monitorización que usted especifique. Dos: en caso de violación que pueda suponer un riesgo para el cliente, notificará a la CNIL en un plazo de 72 horas y al cliente afectado sin demora. Tres: el cifrado en reposo limita la exposición de una intrusión a un subconjunto del expediente, no a la totalidad. Referencia: RGPD artículo 33 (notificación a la CNIL) y artículo 34 (notificación a la persona afectada).
Pregunta 4: « ¿Puedo recuperar todos mis datos cuando el expediente esté cerrado? »
Es el derecho a la portabilidad. El cliente puede solicitarlo en cualquier momento, no solo al finalizar el contrato. Su obligación: devolver los documentos que le ha proporcionado, en un formato estructurado, de uso común y legible por máquina. En términos concretos: un archivo ZIP con los archivos originales y un índice.
Varios SaaS hacen que esta operación sea tan lenta o degradada —formatos propietarios, capturas de pantalla, metadatos perdidos— que incumplen la normativa de facto. Un cofre instalado en sus propios servidores exporta un archivo ZIP limpio en pocos segundos. Referencia: RGPD artículo 20 (derecho a la portabilidad).
Pregunta 5: « ¿Pueden mis datos salir al extranjero? »
Es la pregunta más delicada, porque depende menos de su intención que de la arquitectura de sus herramientas. Si utiliza TaxDome, Notion, HoneyBook, Dropbox o cualquier otro SaaS estadounidense, la respuesta honesta es « sí, en cualquier momento, mediante una requisitoria del CLOUD Act y sin que yo pueda evitarlo ». Si utiliza una instalación soberana alojada en Francia, la respuesta honesta es « no, por diseño ».
Esta diferencia no es marketing. Es un hecho jurídico verificable. Para un cliente cuyo desafío es estratégico o penal, esto es a menudo lo que inclina la decisión de elegirle a usted en lugar de a un colega que no tiene el control. Referencia: decisión Schrems II (16 de julio de 2020) y CLOUD Act estadounidense (marzo de 2018).
Modelo de correo electrónico para enviar a un cliente que hace estas preguntas
« Hola [Prénom],
Me ha consultado sobre la seguridad de sus datos. Le agradezco esta pregunta; es exactamente el tipo de vigilancia que recomiendo a todos mis clientes. A continuación, presento los elementos factuales en los que puede apoyarse. Sus documentos están almacenados en mi instalación de Client Vault, alojada en [OVH], en Francia. Ningún editor externo tiene acceso a ellos. La consulta interna se limita a [Maître X] y a mí mismo, y cada apertura queda registrada. En caso de incidente, usted sería notificado sin demora y la CNIL en un plazo de 72 horas. Al cierre del expediente, le entregaré bajo petición la totalidad de los documentos en un archivo ZIP funcional. Ninguna requisición extranjera puede, por diseño, acceder a sus datos. Si desea detalles técnicos adicionales, mi puerta está abierta. Saludos cordiales, [Signature] »
Este correo se personaliza en dos minutos. Transforma una pregunta potencialmente incómoda en una demostración de su profesionalidad. Y tranquiliza exactamente a los clientes que mejor le pagan.
