Blog Landwell

La FTC investiga el cloud computing como potencial amenaza para la seguridad

El boletín diario de seguridad de Inteco - Cert se hace eco de una noticia publicada en CSO (IDG) referida al inicio de una investigación sobre las potenciales amenazas que los servicios de cloud computing pueden representar para la privacidad y la seguridad de los datos de los consumidores.

La investigación es una iniciativa de la Federal Trade Commission (FTC) norteamericana y se extenderá al modo en que las empresas realizan la gestión de identidades en sus sistemas y aplicaciones. En este aspecto, el análisis se centrará en los medios que permitan a las empresas reforzar sus prácticas en materia de gestión de identidades.

La seguridad de los datos y la gestión de identidades son puntos clave a tener en cuenta en el momento de externalizar funciones relacionadas con el tratamiento de datos personales y al redactar las cláusulas de un contrato de cloud computing.

Cláusulas críticas en el contrato de cloud computing

El objetivo de ahorrar costes ha provocado un incremento del nivel de externalización de las empresas. La externalización de procesos y aplicaciones ha comportado también el desplazamiento de datos, información y servicios críticos al exterior de la empresa, convirtiendo a algunos proveedores en una extensión de los recursos corporativos.

Un claro exponente de este proceso en la actualidad es el cloud computing, por lo que el contrato que lo regula deberá tener en cuenta todas las cautelas que una empresa incluiría en sus procesos de control interno.

A continuación se enumeran algunas de ellas:

- Propiedad intelectual.

- Propiedad de la información.

- Confidencialidad de la información.

- Ubicación de los datos.

- Posibles transferencias internacionales de datos.

- Medidas de seguridad proporcionales al tipo de datos.

- Control de acceso y gestión de identidades.

- Copias de seguridad de los datos.

- Estándares e indicadores de calidad del servicio.

- Auditorías periódicas.

- Niveles de respuesta.

- Continuidad del servicio.

- Régimen de responsabilidades.

- Inclusión del proveedor en el plan de continuidad del negocio.

- Arbitraje tecnológico.

- Legislación y jurisdicción aplicables en el caso de proveedores extranjeros.

- Garantías postcontractuales: retorno ordenado de la información.

Las fronteras siguen siendo clave

En 1995, en una mesa redonda sobre el fenómeno Internet, comenté que la red y la globalización podían llegar a generar un proceso de ósmosis cultural y tecnológica, consciente de lo ingenuo y utópico que era el comentario. A pesar de que se han visto tímidos impulsos para ese intercambio transfronterizo, todavía existen obstáculos que parecen insalvables. Pero éstos no residen tanto en las fronteras idiomáticas o étnicas que favorecen la diversidad, sino en la compartimentación territorial que generan los acuerdos de propiedad intelectual y de transferencia de tecnología. Los titulares de derechos de autor y de patentes siguen viendo el mundo a través de sus fronteras, potenciando el poder disociador de las líneas más que imaginarias que lo seccionan. Los Estados son reacios a transferir e incluso a recibir tecnología. Esta semana, sin ir más lejos, RIM ha conseguido la autorización para vender BlackBerrys en China, tras ocho años de negociaciones. También parecen eternizarse los acuerdos de Apple para distribuir el iPhone en Europa. Las plataformas de streaming de cine a través de Internet respetan las mismas zonas territoriales que la distribución de películas en DVD... Al final, hay más oportunidades de ósmosis cultural en un chat entre quiceañeros de distintos países que en cien macrocontratos de distribución de propiedad intelectual.

Precios de transferencia y tecnología

Las transferencias de tecnología entre empresas vinculadas con sede en distintos países generan unos pagos que pueden encubrir supuestos de expatriación de capitales y de elusión de impuestos. Ello hace que los gobiernos exijan unas condiciones de ajuste a los precios del mercado y de documentación de dichos pagos. Según la enciclopedia Wikipedia, "las normas sobre precios de transferencia buscan evitar que empresas vinculadas o relacionadas (casa matriz y filiales, por ejemplo) manipulen los precios bajo los cuales intercambian bienes o servicios, de forma tal que aumenten sus costes o disminuyan sus ingresos gravables. Este concepto se conoce internacionalmente como Principio Arm’s Length, y ha sido adoptado por la mayoría de las economías del mundo y, en particular, por los países que integran la OCDE." Esta regulación se aplica especialmente a los pagos relacionados con activos inmateriales, debido a la dificultad para valorarlos a precios de mercado. Entre ellos cabe destacar los pagos realizados en concepto de:

• Transferencia de tecnología
• Derechos de propiedad intelectual
• Derechos de propiedad industrial
• Transferencia de know-how

El pasado mes de mayo el despacho Landwell - PwC fue designado por la International Tax Review como la mejor firma española y europea especializada en precios de transferencia. 

El código fuente como ventaja competitiva

En los proyectos de desarrollo de software, la entrega del código fuente sigue siendo un punto en la negociación del contrato. Algunos proveedores tecnológicos han decidido diferenciarse de la competencia y ofrecerlo en todos los casos. Otros se resisten a ello, especialmente cuando el usuario solicita todo el código fuente, incluyendo las bases de datos y librerías que el proveedor utiliza como base de todos su proyectos. La no regulación de este aspecto en el contrato de desarrollo implica la no entrega del código fuente, de acuerdo con el artículo 43 de la Ley de Propiedad Intelectual. En el caso de las aplicaciones estándar no basadas en código abierto, es difícil encontrar una empresa que ofrezca una garantía de acceso al código fuente en el caso de que el usuario lo necesite en el futuro y el proveedor haya desaparecido (escrow). En caso de duda entre varias aplicaciones, esta opción podría suponer una ventaja para la empresa que ha desarrollado la aplicación.

Acceso al código fuente por parte del usuario

A pesar de que en algunos países las leyes concursales obligan a las empresas a depositar ante terceros el código fuente de las aplicaciones que comercializan, en España sigue sin apenas utilizarse el contrato de depósito del código fuente como garantía de acceso del usuario corporativo frente a supuestos de quiebra o suspensión del proveedor. Lo que en los países anglosajones se denomina contrato de escrow, en España es casi un desconocido. Es evidente que el software abierto (salvo en algunos casos) no precisa este tipo de acuerdos, pero los paquetes estándar y los proyectos de desarrollo en los que no se entrega el código fuente dejan al usuario en una situación precaria si el proveedor desaparece. A finales de los 80, desde la antigua SEDISI empezamos a ofrecer un servicio de depósito de fuentes que tuvo poco recorrido, a causa de la falta de demanda de este servicio. La conclusión fue que el usuario corporativo español vivía en la más absoluta felicidad. Años después, la implantación del euro hizo que muchas de esas aplicaciones cerradas sin proveedor localizable fueran sustituidas por nuevos programas, incapaces de aprovechar todos los datos que el usuario había ido generando con los años.

Modelo de contrato de escrow
Checklist

Contrato de crowdsourcing

El crowdsourcing es un modelo de colaboración en el que una empresa plantea un problema a resolver o un trabajo a realizar a un colectivo de profesionales externos y ofrece recompensas a los que lo solucionen. Se trata de un contrato similar al de outsourcing en el que hay una multitud (crowd) de colaboradores externos.

Los principales puntos atener en cuenta en este contrato son los siguientes:

1. La posibilidad de que el colaborador externo no obtenga una contrapartida a su trabajo si su aportación no es útil para la empresa.
2. La definición del trabajo a realizar y la descripción exacta del resultado que se espera obtener.
3. El plazo de entrega.
4. El precio a pagar en el caso de que se cumplan los requisitos establecidos para que surja la obligación de pago.
5. La titularidad de los derechos de propiedad intelectual sobre las aportaciones y el resultado final. En la mayoría de los casos podrá aplicarse el régimen de la obra colectiva.
6. La responsabilidad civil por los daños y perjuicios producidos por las aportaciones al integrarse en la obra principal. En la mayoría de los casos el riesgo lo asumirá la empresa, salvo en el caso de que los perjuicios se produzcan a causa de una infracción de derecho de propiedad intelectual de terceros por parte del colaborador.
7. La sumisión de las posibles controversias que surjan a un arbitraje tecnológico como el de Arbitec. Ello será especialmente útil en este tipo de contratos, ya que es posible que surjan discrepancias en la interpretación de los criterios que aplica la empresa para determinar si paga la recompensa o no.
8. En el caso de que el arbitraje no llegue a realizarse, deberá haberse pactado la jurisdicción aplicable, ya que es probable que los colaboradores estén en localidades e incluso países distintos.