Metis

Cómo cuido los datos de tu empresa

Lo que construyo acaba formando parte de tu empresa: lee vuestros correos, vuestras tarifas y las fotos que manda tu equipo. No quiero que te fíes de mí sin más, así que debajo de cada compromiso tienes una pregunta para que lo compruebes tú, en ChatGPT o donde prefieras.

Las preguntas no mencionan a Metis: preguntan qué es lo correcto, para que compares con lo que hago. Pide que te cite la ley; puedes comprobarla en el BOE o en la web de la AEPD.

Mis compromisos

  1. Todo se monta en vuestras cuentas, no en las mías

    Las automatizaciones viven en vuestro Google o Microsoft y en vuestras hojas. Yo entro con un usuario propio que podéis desactivar en un minuto, y lo construido sigue funcionando sin mí.

    Compruébalo tú Voy a contratar a un consultor externo para automatizar procesos de mi pyme. ¿Es más seguro que lo monte en las cuentas de mi empresa (Google Workspace o Microsoft 365) con un usuario suyo que yo pueda desactivar, o en sus propias cuentas y servidores? ¿Qué riesgos tiene cada opción si un día dejo de trabajar con él?

  2. Firmo la confidencialidad antes de ver nada

    También en el diagnóstico, antes de que me enseñéis una sola tarifa. Además de protegeros frente a mí, os ayuda legalmente: un secreto empresarial solo está protegido si la empresa toma medidas para guardarlo.

    Compruébalo tú En España, ¿por qué conviene firmar un acuerdo de confidencialidad antes de enseñar mis tarifas y costes a un proveedor? ¿Qué dice la Ley 1/2019 de Secretos Empresariales sobre las "medidas razonables" para que esa información quede protegida? Cita los artículos.

  3. Contrato de encargado del tratamiento

    Si toco datos personales (de vuestros empleados o clientes), firmamos el contrato que exige el RGPD: qué hago con ellos, con qué medidas y qué pasa al terminar. No es un trámite opcional.

    Compruébalo tú Si un proveedor externo accede a datos personales de mis empleados o clientes para prestarme un servicio, ¿estoy obligado por el RGPD a firmar con él un contrato de encargado del tratamiento? ¿Qué tiene que incluir según el artículo 28 y qué pasa si no lo firmo?

  4. Se mide el trabajo, no a las personas

    Si tu equipo manda fotos o audios de los partes, la foto es de la obra, no de quien la hace. Si la ubicación no hace falta, se quita. Os preparo el texto para informar a la plantilla de qué se recoge y para qué, porque es vuestra obligación y no debe ser una sorpresa para nadie.

    Compruébalo tú Mis empleados van a enviar desde el móvil fotos de los trabajos terminados, con ubicación y hora, para generar los partes automáticamente. ¿Qué tengo que tener en cuenta según el RGPD y la LOPDGDD (artículos 87 a 90)? ¿Qué les tengo que informar y qué no debería hacer con esos datos?

  5. Inteligencia artificial solo con contrato

    Uso versiones de empresa o de pago por uso que no entrenan con vuestros datos, con contrato de tratamiento y, cuando se puede, con servidores en la Unión Europea. Os digo qué proveedores intervienen y os aviso antes de añadir uno.

    Compruébalo tú Si un proveedor usa herramientas de IA como ChatGPT, Claude o Gemini para procesar documentos de mi empresa, ¿qué diferencia hay entre las versiones gratuitas y las versiones de empresa o API en cuanto a si usan los datos para entrenar y cuánto tiempo los guardan? ¿Qué le debo exigir por escrito?

  6. Nada pasa de una empresa a otra

    Ni vuestros datos, ni vuestras tarifas, ni lo que aprenda de vuestro negocio. Si trabajo o tengo relación con alguien de vuestro sector, os lo digo antes de empezar, y si lo pedís pactamos exclusividad.

    Compruébalo tú Un consultor independiente trabaja a la vez para varias empresas, algunas de mi sector. ¿Qué garantías contractuales debería pedirle para que mi información y mis precios no lleguen a la competencia? ¿Tiene sentido una cláusula de exclusividad?

  7. Si algo falla, os aviso en menos de 24 horas

    Para que podáis cumplir vuestro propio plazo legal y tomar decisiones a tiempo.

    Compruébalo tú Según el RGPD, si hay una brecha de seguridad con datos personales de mi empresa, ¿qué plazo tengo para notificarla a la AEPD y qué obligación tiene mi proveedor de avisarme? ¿Qué plazo de aviso debería exigirle en el contrato?

  8. Al terminar, os lo devuelvo todo y borro lo mío

    Os entrego lo construido con su documentación, retiro mis accesos y firmo un certificado de borrado de lo que quede en mis manos.

    Compruébalo tú Cuando termina el contrato con un proveedor que ha tenido acceso a los datos de mi empresa, ¿qué debe hacer con ellos según el RGPD? ¿Qué es un certificado de borrado o destrucción y por qué debería pedirlo?

La pregunta que yo no te haría

Esta sirve para buscarme los fallos. Si sale algo que no cubro, escríbeme: quiero saberlo y, si tiene sentido, lo incorporo.

Compruébalo tú Voy a contratar a un consultor independiente, que trabaja solo, para automatizar procesos de mi empresa con inteligencia artificial. Tendrá acceso a mis tarifas, a mis correos y a las fotos que mandan mis empleados. ¿Qué riesgos tiene, qué preguntas debería hacerle antes de firmar y qué respuestas deberían hacerme desconfiar?

Lo que no prometo

  • Seguridad total. No existe, y desconfía de quien te la prometa.
  • Certificaciones como la ISO 27001. Hoy no tiene sentido pagarlas para una empresa de una persona.
  • Que trabajar con una sola persona no tenga riesgos. Lo tiene, y por eso todo se monta en vuestras cuentas.

¿Te queda alguna duda? Escríbeme a hola@metisia.es.