Anexo de accesos y usuarios autorizados: modelo práctico para proveedores en Colombia

Cuando un proveedor externo necesita entrar a correos, carpetas compartidas, plataformas de nómina, CRM, mesas de ayuda o archivos de cartera, muchas empresas solo firman el contrato principal y dejan los accesos “para coordinación interna”. Ese vacío luego genera discusiones sobre quién autorizó el ingreso, qué usuario debía existir, qué información podía consultarse y cómo se cerraba el acceso al terminar el servicio.

La salida práctica no siempre es un contrato más largo. En muchos casos funciona mejor un anexo de accesos y usuarios autorizados que aterrice el alcance operativo del proveedor y deje evidencia clara para gerencia, tecnología, talento humano y compras.

Ejemplo utilizable desde hoy

Suponga que su empresa contrata a un tercero para soporte de talento humano y ese tercero necesita entrar al correo de novedades, a una carpeta con incapacidades y a un software donde se cargan documentos de empleados. Si no existe un anexo de accesos, pueden aparecer tres problemas al mismo tiempo:

• El proveedor recibe más permisos de los necesarios.
• Nadie deja por escrito quién aprobó esos permisos.
• Al terminar el servicio, algunos usuarios quedan activos.

En ese escenario, el anexo sirve para delimitar usuarios, sistemas, finalidad, aprobadores y cierre.

Modelo orientativo de anexo

El siguiente texto es orientativo y debe ajustarse al servicio concreto, a la arquitectura tecnológica de la empresa y al flujo real de información:

Anexo orientativo de accesos y usuarios autorizados
Contrato principal: [Identificación interna del contrato]
Proveedor: [Nombre o razón social]
Servicio contratado: [Descripción breve]

1. Finalidad de los accesos
Los accesos autorizados al proveedor se otorgan exclusivamente para ejecutar las actividades previstas en el contrato principal y dentro del alcance funcional aprobado por la empresa contratante.

2. Usuarios autorizados
La empresa contratante autoriza únicamente a las personas relacionadas en este anexo o en sus actualizaciones escritas. Cada usuario deberá ser individualizable y no podrá operar con credenciales compartidas, salvo decisión interna documentada por la contratante.

3. Sistemas, carpetas o canales habilitados
Se listarán de forma específica las plataformas, correos, repositorios, carpetas, aplicativos o tableros a los que podrá acceder el proveedor, indicando nivel de permiso, área responsable y finalidad del acceso.

4. Restricciones de uso
El proveedor y sus usuarios autorizados no podrán usar la información para fines distintos a la ejecución del servicio, ni copiar, descargar, divulgar, circular o conservar información por fuera de lo acordado o de las instrucciones documentadas de la empresa.

5. Aprobaciones y cambios
Toda creación, modificación, ampliación, suspensión o eliminación de accesos deberá quedar soportada por solicitud interna o medio equivalente que identifique fecha, responsable y alcance del cambio.

6. Medidas de control
La empresa podrá definir validaciones de ingreso, revisión periódica de usuarios activos, registro de cambios y confirmación de revocatoria al cierre del servicio.

7. Terminación y cierre
Al finalizar el contrato o la actividad que justifica el acceso, el proveedor deberá coordinar el cierre de usuarios, devolución de información y entrega de soportes de terminación, según el procedimiento interno de la empresa.

8. Prevalencia
En caso de inconsistencia entre este anexo y la operación diaria, prevalecerán las instrucciones documentadas emitidas por la empresa dentro del marco del contrato principal.

Qué campos conviene incluir en la tabla del anexo

Además de la cláusula, ayuda mucho incorporar una tabla simple como esta:

• Nombre del usuario autorizado.
• Documento o identificación interna.
• Cargo o rol operativo.
• Sistema o repositorio al que accede.
• Nivel de permiso.
• Finalidad del acceso.
• Área interna que aprueba.
• Fecha de inicio.
• Fecha de revisión o vencimiento.
• Fecha de cierre o revocatoria.

Eso evita depender de correos dispersos o instrucciones verbales.

Base jurídica que sí puede afirmarse con las fuentes verificadas

La Ley 1581 de 2012, vigente desde 2012, aplica a los datos personales registrados en bases de datos tratadas por entidades públicas o privadas y define el tratamiento como operaciones como recolección, almacenamiento, uso, circulación o supresión. También define al responsable del tratamiento y al encargado del tratamiento. Fuente consultada: Ley 1581 de 2012.

Con base en ese mismo texto, sí puede afirmarse que el tratamiento debe sujetarse, entre otros, a los principios de finalidad, acceso y circulación restringida, seguridad y confidencialidad. Por eso, cuando un proveedor entra a sistemas o carpetas con información de personas naturales, conviene documentar quién accede, para qué y con qué límites.

Desde el frente contractual, el Código de Comercio señala en su artículo 4 que las estipulaciones de los contratos válidamente celebrados prefieren a las normas legales supletivas. Eso hace útil definir estos aspectos en anexos claros y no dejarlos a la costumbre de cada área. Fuente consultada: Código de Comercio.

Errores comunes que este anexo ayuda a prevenir

• Permisos amplios por comodidad operativa en lugar de accesos delimitados por función.
• Usuarios genéricos compartidos que impiden trazabilidad interna.
• Cambios de personal del proveedor sin actualización documental del acceso.
• Cierre incompleto al terminar el contrato.
• Desalineación entre contrato, operación y mesa de ayuda de tecnología.

Cómo conectarlo con documentos que ya debería tener la empresa

Este anexo funciona mejor si no queda aislado. Normalmente debería conversar con:

• El contrato principal o la orden de servicio.
• Un acta de inicio que deje claro qué se habilita desde el día uno.
• Una cláusula de manejo de información y confidencialidad.
• Un acta o soporte de cierre cuando termine el servicio.

Si su empresa está ordenando este frente, puede complementar esta lectura con el artículo sobre acta de inicio de servicios: modelo práctico para empresas en Colombia y con la guía sobre cláusula de niveles de servicio: ejemplo para contratos con proveedores en Colombia. Ambos ayudan a cerrar vacíos entre lo que se firma y lo que luego exige la operación.

¿Cuándo vale la pena una revisión mensual y no solo un formato?

Cuando la empresa contrata varios proveedores al tiempo, cambia usuarios con frecuencia o maneja procesos sensibles de RR. HH., cartera, servicio al cliente o administración, el problema deja de ser un documento aislado y pasa a ser una necesidad recurrente de estandarización legal.

En esos casos, un acompañamiento continuo puede ayudar a unificar alcance del contrato, entregables, atención acordada, confidencialidad, honorarios y terminación, sin confundir el apoyo jurídico externo con suministro de personal. Si quiere estructurar ese modelo en su empresa, puede conocer nuestro servicio de outsourcing legal para empresas. Si ya tiene un contrato o anexo en revisión, también puede escribirnos por la página de contacto.