Cómo garantizar la confidencialidad al tercerizar la liquidación de nómina
Un proveedor de nómina no recibe “algunos datos de sueldos”. Recibe el mapa completo de la relación laboral de cada persona en tu organización, y eso cambia por completo la escala de riesgo que tenés que gestionar.
Pensá en lo que fluye hacia el tercero cada mes: datos de identidad, remuneraciones brutas y netas, CBU y datos bancarios, registros de jornada, legajos con contratos y evaluaciones.
Cada categoría por separado ya califica como dato sensible bajo la normativa argentina. Juntas, configuran un perfil que permite reconstruir la vida económica y laboral de cualquier colaborador.
El problema no está en que esos datos existan. El problema es que muchas empresas los entregan sin haber definido quién puede acceder a qué, durante cuánto tiempo y bajo qué condiciones. Cerrar esa brecha empieza mucho antes de la primera liquidación.
¿Estás evaluando tercerizar la liquidación de nómina y querés asegurarte de que los datos de tus colaboradores estén protegidos?
Con Gestión de nómina de Mandü operás sobre una plataforma con trazabilidad completa y estándares de seguridad enterprise. Solicitá una demo acá.
¿Qué debe incluir el contrato para proteger la información?
La mayoría de los acuerdos con proveedores de nómina incluyen una cláusula genérica de confidencialidad que no define alcance, no establece consecuencias y no contempla escenarios reales de falla. Esa frase no protege nada.
Un contrato que funcione necesita al menos cinco bloques específicos:
- Acuerdo de tratamiento de datos que detalle qué categorías de información se comparten, con qué finalidad exclusiva se usan y qué pasa con ellas al terminar la relación comercial: destrucción certificada o devolución con acta
- SLA de acceso y retención que defina roles con permisos diferenciados, períodos máximos de almacenamiento por tipo de dato y tiempos de respuesta ante solicitudes de eliminación
- Obligaciones de notificación de incidentes con plazos concretos: notificación inicial en pocas horas e informe detallado en días, que incluya datos afectados, causa raíz y medidas de contención
- Regulación de subcontratistas con cláusula que exija autorización previa por escrito para cualquier subcontratación que implique acceso a datos de nómina
- Penalidades graduales vinculadas a incumplimientos verificables, desde multas económicas hasta rescisión anticipada
El flujo de autorización también necesita estar documentado.
Cada solicitud de acceso a datos fuera del proceso habitual de liquidación debería pasar por una cadena clara: solicitud formal del proveedor, validación del responsable de RR. HH., aprobación del área de seguridad y registro con marca de tiempo en un registro auditable.
Sin ese circuito, cualquier acceso anómalo se diluye entre los procesos normales y nadie lo detecta.
Con Gestión de nómina, Mandü te permite operar con trazabilidad completa y estándares de seguridad enterprise en cada ciclo de liquidación.
¿Cómo auditar sin que se convierta en una formalidad?
Las cláusulas contractuales establecen las reglas. La auditoría verifica que se cumplan, y la diferencia entre una auditoría útil y una formalidad burocrática está en los mecanismos concretos que usés.
Los registros de acceso son la base: cada consulta, modificación o descarga de datos de nómina debería quedar registrada con usuario, fecha, hora y tipo de operación. Esos registros permiten detectar patrones anómalos.
Sobre esa base, pedile al proveedor informes periódicos que crucen volúmenes de acceso con usuarios habilitados, y ejecutá pruebas de acceso controladas donde intentés ingresar con credenciales vencidas para verificar que los controles funcionan.
Las certificaciones como ISO/IEC 27001 agregan una capa de validación independiente.
Un proveedor certificado bajo esa norma opera con controles de cifrado en tránsito y en reposo, autenticación multifactor y gestión documentada de incidentes. Eso no reemplaza tu propia supervisión, pero reduce significativamente la superficie de riesgo.
Para medir si la confidencialidad se sostiene en el tiempo, estas métricas son las más útiles:
|
Métrica |
Qué mide |
Qué te dice |
|---|---|---|
|
Tiempo de detección de accesos no autorizados |
Horas entre un acceso anómalo y su identificación |
Qué tan reactivo es el sistema de control |
|
Trazabilidad de cambios en datos remunerativos |
Porcentaje de modificaciones con usuario, timestamp y motivo registrado |
Qué tan gobernable es el proceso |
|
Tasa de incidentes resueltos dentro del SLA |
Proporción de casos cerrados en los tiempos contractuales |
Si las cláusulas tienen fuerza operativa real |
Un caso concreto ilustra la diferencia. Un operador del proveedor modifica por error el CBU de varios colaboradores durante la precarga de novedades.
Sin trazabilidad, el error se detecta recién cuando los colaboradores no reciben su depósito, generando reclamos masivos.
Con un sistema que registra cada cambio con usuario y marca de tiempo, el error se detecta en la validación previa al cierre y se revierte antes de que llegue al recibo. Antes de habilitar a cualquier proveedor, aplicá un checklist de onboarding que cubra:
- Verificación de certificaciones de seguridad vigentes
- Designación formal de un responsable de seguridad por cada parte
- Prueba documentada de los controles de acceso
- Simulacro de notificación de incidentes con tiempos medidos
- Confirmación escrita de que no existen subcontratistas no declarados con acceso a datos
Con Gestión de nómina de Mandü y Administración de personas, cada cambio en datos remunerativos queda registrado con trazabilidad completa.
También podés integrar el proceso con Firma de documentos y Onboarding y legajos para que la documentación del colaborador esté centralizada y protegida desde el primer día.
Preguntas frecuentes sobre cómo garantizar la confidencialidad al tercerizar la liquidación de nómina
¿Qué normativa argentina regula el tratamiento de datos personales en nómina tercerizada?
La Ley 25.326 de Protección de Datos Personales establece las obligaciones para quienes tratan datos sensibles y personales, categorías en las que cae la información de nómina. Quien cede esos datos a un tercero sigue siendo responsable de garantizar que se traten conforme a la norma.
¿Con qué frecuencia conviene auditar al proveedor de nómina?
Los informes de acceso conviene revisarlos mensualmente para detectar anomalías en ciclos cortos. Las auditorías más completas, que incluyen pruebas de acceso controladas y revisión de registros históricos, pueden ejecutarse de forma trimestral o semestral según el volumen de datos involucrado.
¿Qué ocurre con los datos de los colaboradores si se cambia de proveedor?
El contrato debe prever este escenario con un bloque específico de finalización de la relación comercial, que establezca la devolución de todos los datos con acta firmada o su destrucción certificada. Sin esa cláusula, el proveedor saliente puede retener información sin mecanismo legal claro para exigir su eliminación.
¿Una certificación ISO/IEC 27001 del proveedor me exime de auditar por mi cuenta?
La certificación valida que el proveedor opera con controles formales, lo que reduce el riesgo base. Sin embargo, no reemplaza la supervisión propia porque no cubre la configuración específica de tu cuenta ni los accesos particulares de los operadores que gestionan tu nómina.
¿Qué pasa si el proveedor subcontrata tareas sin informarlo?
Si el contrato incluye la cláusula de autorización previa para subcontratistas, esa práctica constituye un incumplimiento contractual que habilita las penalidades definidas. Sin esa cláusula, los datos de los colaboradores pueden estar en manos de un tercero que nunca validaste.
