Ejemplo de evaluación de un proveedor SaaS
El escenario muestra el flujo y los controles sin presentarse como caso de cliente ni inventar métricas de ahorro.
Escenario
una empresa contrata un SaaS europeo con infraestructura, soporte y analítica prestados por tres subencargados. Intervienen responsable, encargado, corresponsable, subencargado, DPO, seguridad, compras, legal, propietario del tratamiento y autoridad. El equipo fija identificadores, alcance, fecha límite y responsable antes de pedir información.
Información reunida
El expediente solicita y relaciona tratamiento, finalidad, datos, interesados, rol, instrucciones, DPA, medidas, ubicación, acceso, subencargado, transferencia, incidente, retención y salida. Cada respuesta conserva emisor, fecha, versión y objeto cubierto.
Control aplicado
Se revisan rol; alcance; artículo 28; garantías; TOMs; subencargados; autorización; países; mecanismo de transferencia; brechas; derechos; auditoría; devolución o borrado. Los datos técnicamente válidos no se aceptan si pertenecen a otra versión, periodo, instalación, lote o servicio.
Excepción
Durante la revisión ocurre lo siguiente: el proveedor añade un subencargado fuera del EEE y una función de IA sin actualizar ubicación, finalidad ni contrato. El proceso bloquea solo la parte afectada y solicita la aclaración al actor capaz de resolverla.
Resolución
Se conserva la respuesta y el documento o dato corregido, se repiten los controles afectados y una persona competente aprueba o rechaza con motivo.
Resultado
El resultado es registro de tratamientos y proveedores, DPA vinculados, evidencias, cadena de subencargados, decisiones de transferencia, revisiones, incidentes y cierre probado. La auditoría puede reconstruir qué cambió, quién lo aportó, qué regla se aplicó y quién tomó la decisión.
Mapa operativo específico de RGPD y proveedores
Para esta decisión sobre caso práctico, el modelo debe relacionar proveedor · servicio · tratamiento · finalidad · datos · interesados · rol · DPA · instrucción · medida · región · subencargado · país · transferencia · incidente · retención · borrado · revisión. Los participantes reales son responsable, encargado, corresponsable, subencargado, DPO, seguridad, compras, legal, propietario del tratamiento y autoridad. La salida verificable es registro de tratamientos y proveedores, DPA vinculados, evidencias, cadena de subencargados, decisiones de transferencia, revisiones, incidentes y cierre probado.
Prueba de estrés antes de aprobar
Reproduce este escenario: una empresa contrata un SaaS europeo con infraestructura, soporte y analítica prestados por tres subencargados. Introduce deliberadamente la excepción “el proveedor añade un subencargado fuera del EEE y una función de IA sin actualizar ubicación, finalidad ni contrato”. Comprueba qué sistema la detecta, quién recibe la tarea, qué fuente resuelve la duda y cómo queda registrada la aprobación.
La herramienta organiza; el responsable decide
El expediente debe conservar dato, fuente, versión, control, excepción y aprobación. Code Contract puede coordinar la operación, pero no sustituye la evaluación técnica, la declaración oficial ni al supervisor.