Tu agencia está en México, Colombia o Argentina, pero tu cliente está en EE. UU., y te traslada sus obligaciones legales por contrato. No necesitas ser experto en derecho estadounidense. Necesitas reconocer cinco temas que aparecen en casi todos los MSA y cuestionarios de seguridad:
| Tema | Qué te va a pedir el cliente |
|---|---|
| Privacidad de datos (la CCPA de California y leyes estatales parecidas) | Una cláusula o un anexo de protección de datos |
| Información de salud (HIPAA) | Un Business Associate Agreement firmado |
| Controles de exportación y sanciones | Una declaración en el MSA |
| Seguros | Un certificado |
| Verificación de antecedentes | Evidencia de la verificación |
Para cada uno, el cliente te va a pedir una cláusula, un documento firmado o una evidencia. Prepararlos una vez te ahorra semanas en cada venta.
Privacidad de datos: CCPA y leyes estatales
La CCPA (California Consumer Privacy Act, Código Civil de California, sección 1798.100 y siguientes) se aplica a empresas que hacen negocio en California y cumplen alguno de sus umbrales. Uno de ellos: ingresos brutos anuales de más de USD 26,625,000.
Tu agencia casi nunca entra directamente. Tu cliente, muchas veces sí.
Cuando procesas datos personales por cuenta del cliente (usuarios de su app, clientes en su CRM, datos en su base de producción), la CCPA le exige tener un contrato contigo como proveedor de servicios. Ese contrato te obliga a:
- Usar los datos solo para prestar el servicio contratado.
- No venderlos ni compartirlos.
- Ayudar al cliente a responder solicitudes de los consumidores (acceso, borrado).
- Avisar si ya no puedes cumplir.
- Aplicar el mismo nivel de protección que exige la ley.
Salud: HIPAA y el Business Associate Agreement
Si desarrollas para un hospital, una aseguradora, una clínica o una startup de salud, y tu equipo puede ver información de salud protegida de pacientes, la regla de privacidad de HIPAA (45 CFR 164.502(e) y 164.504(e)) obliga a tu cliente a firmar contigo un Business Associate Agreement (BAA).
El BAA te obliga a:
- proteger esa información;
- reportar incidentes;
- exigir lo mismo a tus subcontratistas.
Antes de firmarlo, confirma que de verdad necesitas acceso a datos reales. Muchas veces se puede trabajar con datos sintéticos y evitar el problema.
Controles de exportación y sanciones
Las Export Administration Regulations (15 CFR partes 730 a 774) regulan la exportación de tecnología estadounidense, incluido software con cifrado. Las sanciones de OFAC (Office of Foreign Assets Control) prohíben hacer negocio con ciertos países, entidades y personas.
Para una agencia esto aparece en dos lugares:
- El MSA incluye una declaración de que cumples las leyes de exportación y sanciones, y que no vas a dar acceso a la tecnología del cliente a personas de países sancionados.
- El onboarding puede incluir preguntas sobre la nacionalidad o residencia de quienes trabajan en el proyecto.
Seguros
Clientes medianos y grandes piden que tengas seguros con montos mínimos y que los acredites con un certificado. Los más comunes:
- Responsabilidad profesional (errores y omisiones). Cubre reclamos por fallas en tu trabajo.
- Ciber. Cubre incidentes de seguridad y filtraciones de datos.
- Responsabilidad general. Daños a terceros.
Los montos los fija el cliente. Antes de firmar, cotiza la póliza con una aseguradora que emita certificados en inglés y cubra reclamos en EE. UU.
Si el monto que piden es desproporcionado para el tamaño del proyecto, negócialo: muchos clientes aceptan bajarlo para proveedores pequeños.
Verificación de antecedentes (background checks)
Algunos clientes piden que la gente asignada pase una verificación de antecedentes:
- identidad;
- historial laboral;
- educación;
- a veces, antecedentes penales.
Seguridad: el cuestionario
Casi todos los clientes mandan un cuestionario de seguridad antes de firmar. Prepara una vez un documento con tus políticas y reutilízalo en cada venta:
- control de acceso;
- autenticación de dos factores;
- gestión de laptops;
- respaldo;
- respuesta a incidentes;
- baja de personal.
Si buscas clientes grandes, una certificación como SOC 2 o ISO 27001 acorta el proceso.
Lo que todo esto le hace a tu código
Cada una de estas obligaciones vive en el MSA, junto a la cláusula de propiedad intelectual. Cuando revises el contrato por cumplimiento, revisa también qué código cedes y qué conservas.