Tecnología
El producto es el servicio, y el servicio se presta sobre una infraestructura que casi nunca es del todo propia. Lo que una empresa tecnológica tendrá que sostener el día de la incidencia se decidió mucho antes, en el contrato que firmó con su cliente y en el que firmó con su proveedor.
Brecha de datos, caída de servicio y penalizaciones contractuales
La póliza de una tecnológica se lee con el contrato del cliente al lado
El nivel de servicio comprometido, la cláusula de indemnidad y el papel de encargado del tratamiento fijan de antemano a cuánto asciende una incidencia. Esas tres cláusulas se negocian mientras el contrato sigue abierto, y de ellas depende qué parte de lo prometido puede trasladarse a una póliza y qué parte se sostiene con recursos propios.
Penalizaciones de nivel de servicio y lo que de ellas es asegurable
Un fallo de software perjudica al cliente sin romper nada, y esa pérdida se atiende por la responsabilidad civil profesional tecnológica. La penalización pactada en el acuerdo de nivel de servicio es otra cosa: es una obligación que asumiste por contrato, y las pólizas la excluyen salvo pacto expreso. Distinguir en el propio contrato el daño de la penalización es lo que permite asegurar la parte asegurable.
Interrupción de red y extensión al proveedor de nube
La garantía de interrupción de red empieza a devengarse una vez cumplido un periodo de espera que se negocia en tramos de horas. Cuando quien cae es el proveedor de nube, responde únicamente si la extensión a proveedores tecnológicos está contratada.
Exfiltración de datos y el deber de notificar
Una brecha pone en marcha los plazos de los artículos 33 y 34 del Reglamento (UE) 2016/679, y lo primero es saber en qué posición estás. Como encargado del tratamiento la obligación es avisar al responsable sin dilación indebida, mientras que las setenta y dos horas ante la autoridad de control corren para él. El artículo 82 acota además tu responsabilidad a lo que incumples de tus propias obligaciones o a lo que haces al margen de sus instrucciones, y esa frontera es la que se traslada al contrato y a la póliza. El panel de respuesta de la póliza de ciber ordena forense, notificación y defensa; su teléfono conviene tenerlo fuera de los sistemas.
El código entregado y la fecha de retroactividad
La cobertura profesional se contrata en base reclamación, de modo que atiende lo que se reclama durante su vigencia con independencia de cuándo se programó. Una versión entregada hace años sigue ejecutándose en casa del cliente, y la retroactividad decide qué proyectos siguen protegidos al cambiar de compañía. Inventariar qué versiones continúan en producción antes de mover la póliza es lo que fija la fecha que hay que conservar.
Las coberturas que sostienen a una empresa de este sector
Cada una se diseña sobre la exposición real de la compañía. Ninguna se contrata igual en dos empresas del mismo sector.
- Seguro de ciberriesgoRespuesta 24 h y parada de negocio
- Seguro de salud colectivo para empresasRetribución flexible y cuadro médico
- Seguro de vidaProtección para quien depende de ti
- Seguro de accidentes personalesConsecuencias económicas acotadas
- Seguro de subsidio por baja laboralIngresos mientras dura la baja
Lo que nos preguntan en tecnología
¿La póliza de ciber cubre también los errores de mi software?
Son dos contratos distintos y complementarios. La de ciber responde del incidente de seguridad —intrusión, cifrado, brecha de datos— y de la parada que provoca; el error de programación o de configuración que perjudica económicamente al cliente pertenece a la responsabilidad civil profesional tecnológica. Muchas empresas de software mantienen ambas, con límites propios y con la frontera entre las dos escrita en los dos condicionados.
¿Qué ocurre si la caída la provoca mi proveedor de nube?
La garantía de interrupción de red cubre la pérdida de margen por indisponibilidad de sistemas, y por defecto se refiere a los tuyos. Para que responda cuando quien cae es el proveedor hay que contratar expresamente la extensión a proveedores tecnológicos. La indemnización se devenga una vez superado el periodo de espera pactado, de modo que ese periodo se elige junto al compromiso de disponibilidad que ya has firmado con tus clientes.
Un cliente nos exige responsabilidad ilimitada en el contrato. ¿Qué parte de eso es asegurable?
La póliza responde del daño que causas, dentro del límite contratado y con las exclusiones que tenga; lo que asumes por encima de tu responsabilidad legal, mediante una cláusula de indemnidad o una penalización pactada, suele quedar fuera por la exclusión de obligaciones contractuales asumidas. La conversación útil llega antes de firmar: acotar la indemnidad al daño real, poner tope a la penalización y comprobar que ese tope cabe dentro del límite que ya tienes.
Lo que hemos publicado sobre estos riesgos
Anatomía de un siniestro de ransomware: las setenta y dos horas que fijan el coste
El rescate casi nunca es la partida más cara. Lo caro es la parada, la reconstrucción del entorno y las notificaciones que hay que hacer contrarreloj.
8 min de lecturaActualidad normativa
NIS2: a qué empresas afecta y qué cambia en su póliza de ciberriesgo
La directiva amplía enormemente el número de entidades obligadas e introduce responsabilidad personal de la dirección. Qué implica para el seguro.
6 min de lecturaGuía
Salud colectiva: cuadro médico, reembolso o mixta
La decisión que más condiciona la satisfacción de la plantilla no es la prima, es la modalidad. Y depende de dónde vive la gente, no de dónde está la sede.
6 min de lectura