Cuando una pyme pasa su ERP a la nube, sus datos (clientes, facturas, inventario, nómina) quedan en servidores de un proveedor, pero la responsabilidad legal sobre esos datos sigue siendo de la empresa. En Colombia, la Ley 1581 de 2012 trata al negocio como responsable del tratamiento y al proveedor como encargado; por eso lo que importa no es solo «dónde están los datos», sino qué contrato los cubre, quién puede verlos y cómo los recuperas si cambias de sistema.
Esta guía resume qué dice la norma, qué riesgos reales existen y qué preguntas hacerle a cualquier proveedor antes de firmar. Si estás evaluando la nube por primera vez, empieza por nuestra guía de ERP en la nube para pymes.
¿De quién son los datos cuando el ERP está en la nube?
Son de tu empresa. El proveedor los aloja y los procesa por cuenta tuya, pero no se vuelve dueño de ellos. En términos de la Ley 1581 de 2012:
- Responsable del tratamiento: tu negocio. Decide para qué se usan los datos personales de clientes, empleados y proveedores.
- Encargado del tratamiento: el proveedor del ERP en la nube. Trata los datos siguiendo tus instrucciones.
La consecuencia práctica: si hay una fuga o un uso indebido, la Superintendencia de Industria y Comercio (SIC) mira primero al responsable. Según el concepto SIC 23-394496 de diciembre de 2023, el responsable debe garantizar la seguridad y legalidad de la transmisión de datos hacia la nube, mantener informados a los titulares y firmar con el proveedor un contrato que recoja las obligaciones de los artículos 17 y 18 de la ley.
¿Qué debe decir el contrato con el proveedor?
El mismo concepto de la SIC señala que el contrato de transmisión debe incluir, como mínimo:
- El alcance del tratamiento: qué datos y para qué.
- Las actividades que el proveedor realiza por cuenta de tu empresa.
- Las obligaciones del proveedor frente a los titulares de los datos y frente a ti.
A eso conviene sumar, por sentido operativo, cláusulas sobre respaldo, plazo de devolución de los datos al terminar el servicio y borrado certificado. No son exigencias literales de la norma, pero son las que evitan problemas el día que decidas cambiar de sistema.
¿Importa en qué país están los servidores?
Sí. El artículo 26 de la Ley 1581 solo permite enviar datos personales a países con un nivel adecuado de protección, salvo las excepciones que la propia ley prevé. Cuando el servidor del ERP está fuera de Colombia, puede haber una transmisión internacional (el proveedor sigue actuando por cuenta tuya) o una transferencia internacional (el receptor pasa a ser responsable). Son figuras distintas con exigencias distintas.
La SIC ha dado instrucciones sobre cláusulas contractuales modelo para estos casos. Su uso es facultativo, pero recomendable cuando el país de destino no figura entre los que la SIC reconoce con nivel adecuado. Antes de firmar, pregunta al proveedor en qué país están los servidores y qué mecanismo contractual usa.
¿La nube es más o menos segura que un servidor en la oficina?
Depende de la comparación real. Un servidor en la oficina suele depender de una sola persona, de respaldos manuales que nadie verifica y de un equipo expuesto a robos, cortes de luz o daños. Un proveedor de nube serio opera con controles de acceso, cifrado y copias automáticas que una pyme difícilmente sostiene por su cuenta.
Pero la nube traslada el riesgo, no lo elimina. Los puntos débiles más comunes no están en el centro de datos, sino en la empresa:
| Riesgo | Dónde suele estar el fallo | Qué hacer |
|---|---|---|
| Accesos indebidos | Usuarios compartidos, contraseñas reutilizadas | Un usuario por persona y permisos por rol |
| Exempleados con acceso | Nadie desactiva la cuenta al salir | Baja de usuarios el mismo día del retiro |
| Pérdida de información | Se confía solo en la copia del proveedor | Exportación periódica que controle la empresa |
| Dependencia del proveedor | Contrato sin cláusula de salida | Formato y plazo de devolución por escrito |
Si vienes de un sistema instalado, en ERP en la nube vs. software instalado comparamos los costos reales de cada modelo, incluido el mantenimiento del servidor propio.
¿Qué pasa con mis datos si cancelo el servicio?
Es la pregunta que casi nadie hace antes de firmar. Si el proveedor deja de prestar el servicio, el ERP deja de funcionar; la capacidad de recuperar tus datos y llevarlos a otro sistema se conoce como repatriación. La mayoría de los ERP en la nube permite exportar información, pero la calidad de esa exportación varía mucho.
Pide por escrito:
- Qué sale: terceros, productos, movimientos contables, inventario, documentos adjuntos e histórico.
- En qué formato: CSV, Excel, XML o copia de la base de datos. Un PDF no sirve para migrar.
- En qué plazo: cuántos días tienes para descargar todo después de cancelar.
- Si tiene costo y si el proveedor certifica el borrado posterior.
Haz una exportación de prueba antes de necesitarla. Es la forma más rápida de saber si el proveedor cumple lo que promete. Si estás en plena migración, la guía para migrar de Excel a un ERP sin detener la operación explica cómo depurar los datos antes de moverlos.
¿Y las facturas electrónicas y la contabilidad?
La obligación de conservarlas no desaparece porque estén en la nube. La DIAN ha señalado (Oficio 900983 de 2022) que para la factura electrónica aplica la regla general de conservación del artículo 632 del Estatuto Tributario, en concordancia con el artículo 46 de la Ley 962 de 2005. Confirma con tu contador el plazo exacto que aplica a tu empresa y asegúrate de que la exportación del ERP incluya los XML de las facturas, no solo un reporte.
¿Mi pyme debe registrar sus bases de datos ante la SIC?
No todas. El Decreto 090 de 2018 limitó la inscripción en el Registro Nacional de Bases de Datos (RNBD) a las sociedades y entidades sin ánimo de lucro con activos superiores a 100.000 UVT y a las personas jurídicas de naturaleza pública. Las demás pymes no están obligadas a inscribirlas, pero sí deben cumplir el resto de la Ley 1581: política de tratamiento, autorización de los titulares y medidas de seguridad. Verifica la vigencia de estas reglas en el sitio de la SIC.
Cómo lo maneja DonPedro
DonPedro es un ERP en la nube construido sobre una base de código abierto y personalizado para cada cliente con agentes de IA propios. Eso tiene una ventaja concreta en el tema de los datos: la información vive en una base de datos estándar (PostgreSQL), no en un formato cerrado, y los datos se pueden exportar a Excel o CSV desde el propio sistema. Antes de arrancar, el equipo de DonPedro revisa con cada cliente qué usuarios necesitan acceso, con qué permisos y cómo se hará el respaldo. Si quieres ver qué decisiones conviene tomar desde el primer día, revisa los errores que hacen fracasar una implementación de ERP.
Preguntas frecuentes
¿El proveedor del ERP en la nube puede usar mis datos?
Solo para lo que tu empresa le encargue. Bajo la Ley 1581 de 2012 actúa como encargado del tratamiento y debe seguir las instrucciones del responsable, que es tu negocio. Ese alcance tiene que quedar por escrito en el contrato.
¿Es legal tener los datos de mis clientes en servidores fuera de Colombia?
Puede serlo, pero el artículo 26 de la Ley 1581 solo permite enviar datos a países con nivel adecuado de protección, salvo excepciones. Si el destino no tiene ese reconocimiento, la SIC recomienda usar cláusulas contractuales modelo.
¿Basta con el respaldo que hace el proveedor?
No conviene depender solo de él. Una exportación periódica guardada en un lugar que controle tu empresa permite reconstruir la información si el servicio falla o si cambias de proveedor.
¿Qué formato debo pedir para exportar mis datos?
Uno que otro sistema pueda leer: CSV, Excel, XML o una copia de la base de datos. Un PDF sirve para consultar, no para migrar. Para facturas electrónicas, pide también los archivos XML.
¿Toda pyme debe inscribir sus bases de datos en el RNBD?
No. Según el Decreto 090 de 2018, deben inscribirse las sociedades y entidades sin ánimo de lucro con activos superiores a 100.000 UVT y las personas jurídicas públicas. Las demás igual deben cumplir el resto de la Ley 1581.
Fuentes
- GyD Consulting — Cómo gestionar datos en la nube: concepto SIC N° 23-394496
- Cerlatam — SIC: cláusulas contractuales modelo para transferencia internacional de datos
- Decreto 090 de 2018 — Registro Nacional de Bases de Datos
- Oficio DIAN 900983 de 2022 — conservación de la factura electrónica
- MRPeasy — ERP en la nube: dependencia del proveedor y repatriación de datos
Este artículo es informativo y no constituye asesoría legal. Verifica la vigencia de las normas citadas en las fuentes oficiales de la SIC y la DIAN.
Artículo generado con asistencia de IA a partir de las fuentes citadas.
Deja una respuesta