∞Respuesta directa
Respuesta directa
No envíes una carpeta abierta a cada inversor. Empieza con una sala pequeña. Da a cada persona identificada solo las carpetas que necesita. Fija una fecha de fin. Guarda un registro de accesos y cambios importantes. Retira el acceso cuando termine la necesidad. Los datos personales necesitan una finalidad clara, menos datos, manejo seguro y un plazo de conservación. [4] Consulta a un asesor cualificado sobre tu operación, personas y leyes.
Define primero el límite de la sala
Un data room es un lugar para archivos de una operación. No es el mismo conjunto para cada lector.
Crea etapas antes de invitar a alguien. Una primera conversación puede requerir una presentación, una nota breve de métricas y una tabla de capital simple. Una revisión posterior puede requerir contratos firmados o cuentas detalladas.
Escribe por qué cada carpeta está abierta. Vincula la carpeta con una pregunta de la operación. Si no puedes nombrar la pregunta, deja fuera el archivo.
La ICO indica que los datos personales deben usarse con una finalidad definida y limitarse a lo necesario. [4]
- Primera conversación: presentación, plan breve y hechos clave.
- Revisión activa: archivos de prueba para preguntas concretas.
- Revisión restringida: archivos con necesidad clara y pocos lectores.
- No compartir: código fuente, contraseñas, listas completas de clientes y archivos sin necesidad para la operación.
Da acceso a personas, no a empresas
Nombra a cada persona que entra. No uses una cuenta compartida para un equipo inversor. Añade empresa, función, carpetas, motivo, fecha inicial y fecha final.
Da el acceso mínimo que permita responder la pregunta. Un asesor fiscal puede necesitar cuentas. Puede no necesitar contactos de clientes.
La ICO dice que la seguridad debe permitir acceso, cambio, difusión o borrado solo a personas autorizadas y dentro de su alcance. [1]
Pregunta a tu proveedor cómo gestiona cuentas nominativas, comprobaciones de inicio, sesiones, descargas y registros de acceso. NIST considera autenticación y gestión de cuentas como trabajo central de identidad digital. [3]
- Persona y empresa.
- Función en la operación y motivo.
- Lista de carpetas y tipo de acceso.
- Fecha inicial, fecha final y responsable de la sala.
Protege a las personas presentes en los archivos
Algunos archivos de la operación nombran a personas reales. Pueden incluir sueldo del equipo, contactos de clientes, documentos de identidad, datos bancarios o información sanitaria.
Usa un resumen si responde a la pregunta. Elimina contactos directos o documentos de identidad si no ayudan. Coloca una página contractual clave en una carpeta restringida si un resumen más amplio basta.
La ICO dice que un plan de intercambio debe nombrar datos, finalidad, personas autorizadas, seguridad, conservación y borrado. [2]
No trates un NDA como un plan completo de privacidad. Puede fijar términos de la operación. No decide qué datos puedes compartir ni cuánto tiempo puede guardarlos otra parte. Busca asesoramiento legal o de privacidad para tu caso.
- Usa un resumen antes de un registro completo.
- Oculta contactos, identificadores y datos bancarios innecesarios.
- Marca carpetas sensibles y nombra a sus lectores.
- Guarda la fuente sin ocultar en el grupo más pequeño.
Revisa, cierra y conserva un registro
Revisa la lista de accesos en fechas definidas. Revísala también si la operación se pausa, una persona sale o llega un nuevo asesor.
Mantén un registro sencillo. Anota quién recibió acceso, qué cambió, por qué cambió y cuándo terminó el acceso. Guarda el registro aparte de los archivos para inversores.
La ICO indica que las medidas de seguridad deben revisarse y mejorarse cuando sea necesario. También pide reglas de conservación, borrado, revisión y cierre en los planes de intercambio. [1] [2]
Retira el acceso al acabar la revisión. Pregunta a tu asesor qué registros debes conservar. No prometas borrado si tus herramientas o términos no lo permiten.
- Fecha de revisión y responsable de sala.
- Accesos nuevos, cambiados y eliminados.
- Cambio de archivo que afecta una afirmación de la operación.
- Acción final y registro conservado.
FAQ
Preguntas frecuentes
¿Debe cada inversor recibir el data room completo?
No. Empieza con archivos que respondan a la pregunta actual. Da más solo cuando exista una razón clara. La ICO dice que los datos personales deben limitarse a lo necesario para la finalidad. [4]
¿Podemos usar una sola cuenta para el equipo inversor?
Es mejor evitarlo. Una cuenta nominativa facilita revisar y retirar el acceso. Pregunta al proveedor qué controles ofrece para cuentas, inicio, sesión y registros. La guía NIST cubre autenticación y gestión de cuentas. [3]
¿Debemos poner datos de clientes en la sala?
Comparte solo lo necesario para una pregunta definida. Un resumen o registro oculto puede bastar. La ICO pide que un plan de intercambio indique datos, finalidad, personas autorizadas, seguridad, conservación y borrado. [2]
¿Qué pasa cuando un inversor deja de revisar?
Retira su acceso. Registra la fecha final y las reglas de archivo que sigan vigentes. Comprueba qué debes conservar y qué puede conservar la otra parte. La ICO pide pasos de conservación, borrado, revisión y cierre. [2]
REF
Fuentes
- 1
Information Commissioner's Office
A guide to data security ↗ - 2
Information Commissioner's Office
Data sharing agreements ↗ - 3
National Institute of Standards and Technology
Digital Identity Guidelines (SP 800-63-4) ↗ - 4
Information Commissioner's Office
A guide to the data protection principles ↗