Generador de cuestionarios de seguridad y RGPD para proveedores de universidades

Describid la herramienta que vais a contratar en siete preguntas breves y obtened un cuestionario para el proveedor que solo pregunta lo que importa en su caso. Cada pregunta incluye el motivo, la referencia jurídica o normativa y las evidencias que solicitar. Copiadlo, descargadlo en CSV o Markdown, o imprimidlo.

Publicado el 9 de octubre de 2026 · Fuentes verificadas el 9 de octubre de 2026

También disponible en: English · Svenska · Nederlands · Norsk · Suomi · Dansk · Français · Português

¿Qué es un cuestionario de seguridad para proveedores?

Un cuestionario de seguridad para proveedores es un conjunto estructurado de preguntas que una universidad envía a un proveedor antes de contratar o renovar un servicio. Pregunta cómo protege el proveedor los datos, qué normas cumple y qué documentos lo acreditan. Bien utilizado, es un índice de evidencias: cada respuesta remite a una cláusula contractual, un certificado, un informe o una lista que se puede comprobar.

En una universidad europea, el cuestionario sirve a varias personas a la vez. El delegado de protección de datos necesita las condiciones del encargado, los subencargados y las transferencias conforme al RGPD. Seguridad TI necesita certificados, cifrado, control de acceso y gestión de incidentes. Contratación necesita las condiciones del contrato, la responsabilidad y la salida, y cada vez más alguien tiene que revisar las funciones de IA con el Reglamento de IA y la accesibilidad con la EN 301 549. Nuestra guía de evaluación de proveedores para universidades (en inglés) describe todo el proceso; el cuestionario es un paso dentro de él.

¿Por qué adaptar el cuestionario?

Porque los cuestionarios largos y genéricos producen malas respuestas. Los proveedores que venden a muchas universidades reciben cientos de cuestionarios al año. Cuando llega una hoja de cálculo de 300 líneas para una herramienta sencilla sin datos personales, las respuestas suelen copiarse de una respuesta anterior, y las preguntas que importan se pierden entre las que no.

Adaptarlo ayuda a ambas partes:

• El proveedor responde menos preguntas, todas claramente aplicables, así que las respuestas son más concretas.
• Quien revisa lee menos respuestas y puede dedicar el tiempo a los documentos que las respaldan.
• La decisión es más fácil de defender, porque la profundidad de la revisión corresponde al riesgo.

Así funcionan también hoy los cuestionarios del sector, con un alcance basado en el riesgo. EDUCAUSE indica que HECVAT 4 empieza con preguntas de alcance que deciden qué preguntas se aplican (véase nuestra guía del HECVAT para universidades europeas, en inglés). Varias universidades escalan su proceso según el valor o los datos, como muestran los ejemplos más abajo.

Cómo elige las preguntas el generador

El generador asigna a la herramienta una puntuación a partir de vuestras respuestas iniciales. Los datos personales, las categorías especiales de datos, los datos de menores, la IA generativa, el alojamiento desconocido o fuera del EEE, las integraciones amplias, la inclusión en NIS2 y un valor contractual alto suman puntos. La puntuación fija un nivel, y cada pregunta del banco tiene un nivel mínimo y, cuando procede, un activador.

Los activadores funcionan con independencia del nivel. Si marcáis LTI, aparecen las preguntas sobre LTI 1.3 y los datos de matrícula. Si la herramienta usa IA generativa, aparecen las preguntas sobre entrenamiento, proveedor del modelo, conservación de instrucciones y transparencia del artículo 50. Si el alojamiento está fuera del EEE o se desconoce, las preguntas sobre transferencias pasan al nivel básico. Las categorías especiales de datos y los datos de menores generan siempre un cuestionario completo.

El resultado es un punto de partida. Eliminad las preguntas que no encajen y añadid vuestros propios requisitos institucionales, como las normas nacionales de clasificación de seguridad o las condiciones de las licencias de la biblioteca.

¿Existe una alternativa al HECVAT para Europa?

El HECVAT sigue siendo útil en Europa, pero no sustituye a las preguntas específicas de la UE. El HECVAT, que mantiene EDUCAUSE con Internet2 y REN-ISAC, es un cuestionario amplio de seguridad, privacidad y accesibilidad que muchos proveedores de la educación superior ya han completado. El Derecho europeo exige documentos concretos: un contrato de encargo del artículo 28, un instrumento de transferencia para cada destinatario fuera del EEE, una clasificación conforme al Reglamento de IA y un informe de conformidad con la EN 301 549.

Análisis de Validemic
Si un proveedor envía un HECVAT 4 reciente, aceptadlo para las preguntas generales de seguridad y enviad solo los ámbitos específicos de la UE de este generador: RGPD y contrato de encargo, subencargados, transferencias, IA y accesibilidad. Así se evita preguntar dos veces lo mismo al proveedor. Para una versión en Word con 77 preguntas en 11 secciones, véase el cuestionario europeo para proveedores de nuestra página sobre el HECVAT (en inglés).

¿Estáis evaluando a un proveedor? Validemic contrasta su documentación con el RGPD y el Reglamento de IA e indica la fuente de cada conclusión. Probad el entorno de demostración

¿Cómo se evalúan las respuestas?

Evaluad las evidencias, no el texto de las respuestas. La respuesta a un cuestionario es una declaración del proveedor; la decisión debe apoyarse en los documentos a los que remite. Leed cada respuesta junto a su evidencia, anotad las carencias y enviad una ronda de preguntas de seguimiento antes de decidir.

1. Comprobad que las respuestas corresponden al plan que contratáis. Las condiciones de privacidad, la configuración por defecto del entrenamiento de IA y la ubicación de los datos suelen variar entre los planes gratuitos, educativos y empresariales.
2. Leed el contrato de encargo frente al artículo 28.3. Cada una de las letras a) a h) debe figurar en el contrato, no solo en el cuestionario. Nuestro verificador de contratos de encargo contrasta un borrador punto por punto.
3. Revisad la lista de subencargados y los flujos de datos. El CEPD indica que los responsables deben tener la identidad de todos los encargados y subencargados "readily available at all times" (disponible en todo momento) (Dictamen 22/2024). Comparad la lista con las respuestas sobre ubicación de los datos y acceso remoto, y usad después la herramienta de mecanismos de transferencia para cada destinatario fuera del EEE.
4. Comprobad el alcance y la fecha de los certificados. Un certificado ISO/IEC 27001 o un informe SOC 2 solo importa si cubre el producto y el alojamiento que contratáis y está vigente.
5. Clasificad las funciones de IA. Usad el verificador del Reglamento de IA para la educación con cualquier función que califique, admita, oriente o supervise a estudiantes.
6. Decidid si hace falta una EIPD. Pasad el cribado de EIPD con lo que hayáis averiguado.
7. Registrad las condiciones. Aprobad con condiciones cuando sea necesario, por ejemplo «solo con SSO» o «funciones de IA desactivadas», y fijad una fecha de revisión.

Señales de alerta en las respuestas de los proveedores

Análisis de Validemic
Ninguna de estas respuestas es descalificante por sí sola. Cada una exige una pregunta de seguimiento antes de aprobar.

Las herramientas no autorizadas suelen saltarse esta revisión por completo. Nuestra guía sobre la TI en la sombra y las herramientas de IA en las universidades explica cómo incorporarlas al proceso.

Cómo evalúan las universidades a sus proveedores

Los procedimientos universitarios publicados muestran el mismo patrón: la evaluación se activa por el acceso a datos o a sistemas, su profundidad depende del riesgo o del valor, y empieza mucho antes del contrato.

• Universidad de Aberdeen (Reino Unido). Sus orientaciones para el personal de octubre de 2020 usan el valor del contrato para elegir la vía: "If the total value of your contract is under £10,000, complete the Standard Assessment" (si el valor total del contrato es inferior a 10 000 libras, completad la evaluación estándar). Por encima de esa cifra, la evaluación reforzada usa la herramienta de apoyo a la contratación en ciberseguridad del Gobierno escocés. Las orientaciones recomiendan prever unas cuatro semanas.
• Universidad de Edimburgo (Reino Unido). Sus orientaciones sobre servicios en la nube piden al personal que revise los acuerdos negociados, la ubicación del almacenamiento y el cifrado: "Check that any cloud service provider handling data on your behalf will encrypt it, both at rest and in transit" (comprobad que cualquier proveedor de nube que trate datos por vuestra cuenta los cifrará, tanto en reposo como en tránsito).
• Universidad Tecnológica de Luleå (Suecia). Sus directrices sobre seguridad de la información en la contratación, basadas en orientaciones de la Agencia Sueca de Contingencias Civiles (MSB), exigen requisitos detallados y evaluables, indicando "which requirements are mandatory ("must") and which are non-mandatory ("should")" (qué requisitos son obligatorios y cuáles no).
• Montclair State University (Estados Unidos). Exige una revisión de seguridad de los servicios en la nube y SaaS antes de la compra, la renovación o un piloto, acepta HECVAT 3.x o posterior y señala que "Generally, vendor security reviews are valid for two years" (por lo general, las revisiones de seguridad de los proveedores son válidas durante dos años).

El generador sigue la misma lógica: la información inicial fija la profundidad, y el resultado separa lo que hay que preguntar de lo que hay que comprobar.

Fuentes

Todas las fuentes se consultaron el 9 de octubre de 2026. Los textos jurídicos de la UE se leyeron en las versiones del Diario Oficial de la Oficina de Publicaciones y se enlazan en EUR-Lex. Las citas en inglés van acompañadas de una traducción entre paréntesis.

1. Reglamento (UE) 2016/679 (RGPD), en particular los artículos 3, 5, 8, 9, 22, 25, 27, 28, 30, 32 a 36, 44 a 49 y 89: eur-lex.europa.eu/eli/reg/2016/679/oj/spa
2. Reglamento (UE) 2024/1689 (Reglamento de IA), artículos 3, 4, 5, 6, 13 a 15, 25 a 27, 50 y 53 y anexo III: eur-lex.europa.eu/eli/reg/2024/1689/oj/spa
3. Reglamento (UE) 2026/1744 (Ómnibus Digital sobre IA), que modifica el artículo 4, la transición del artículo 50 y las fechas del artículo 113: eur-lex.europa.eu/eli/reg/2026/1744/oj/spa
4. Directiva (UE) 2022/2555 (NIS2), artículos 2.5, 21 y 23 y anexos I y II: eur-lex.europa.eu/eli/dir/2022/2555/oj/spa
5. Reglamento (UE) 2023/2854 (Reglamento de Datos), artículos 25 y 29: eur-lex.europa.eu/eli/reg/2023/2854/oj/spa
6. Reglamento (UE) 2024/2847 (Reglamento de Ciberresiliencia), artículos 14 y 71: eur-lex.europa.eu/eli/reg/2024/2847/oj/spa
7. Directiva (UE) 2016/2102 (Directiva de accesibilidad web), artículo 7: eur-lex.europa.eu/eli/dir/2016/2102/oj/spa
8. Decisión de Ejecución (UE) 2021/1339 de la Comisión (referencia de la EN 301 549 V3.2.1): eur-lex.europa.eu/eli/dec_impl/2021/1339/oj/spa
9. Directiva 2014/24/UE (contratación pública), artículos 4, 42.1 y 58.4: eur-lex.europa.eu/eli/dir/2014/24/oj/spa
10. Decisión de Ejecución (UE) 2018/1523 de la Comisión (modelo de declaración de accesibilidad): eur-lex.europa.eu/eli/dec_impl/2018/1523/oj/spa
11. Directiva 2002/58/CE (Directiva sobre la privacidad y las comunicaciones electrónicas), artículo 5.3 en la redacción dada por la Directiva 2009/136/CE: eur-lex.europa.eu/eli/dir/2009/136/oj/spa
12. Decisión de Ejecución (UE) 2021/914 de la Comisión (cláusulas contractuales tipo), cláusulas 14 y 15: eur-lex.europa.eu/eli/dec_impl/2021/914/oj/spa
13. Decisión de Ejecución (UE) 2023/1795 de la Comisión (Marco de Privacidad de Datos UE-EE. UU.): eur-lex.europa.eu/eli/dec_impl/2023/1795/oj/spa
14. CEPD, Dictamen 22/2024 sobre determinadas obligaciones derivadas del recurso a encargados y subencargados del tratamiento, adoptado el 9 de octubre de 2024: edpb.europa.eu, Dictamen 22/2024
15. CEPD, Directrices 07/2020 sobre los conceptos de responsable del tratamiento y encargado del tratamiento en el RGPD: edpb.europa.eu, Directrices 07/2020
16. CEPD, Recomendaciones 01/2020 sobre medidas complementarias para las transferencias, versión 2.0, apartado 13 (el acceso remoto es una transferencia): edpb.europa.eu, Recomendaciones 01/2020
17. ENISA, Good Practices for Supply Chain Cybersecurity (13 de junio de 2023): enisa.europa.eu
18. EDUCAUSE, Higher Education Community Vendor Assessment Toolkit (HECVAT): educause.edu (detalles según el resumen de nuestra guía del HECVAT, comprobados el 7 de octubre de 2026)
19. ISO/IEC 27001:2022, sistemas de gestión de la seguridad de la información: iso.org/standard/27001; ISO/IEC 42001:2023, sistemas de gestión de la IA: iso.org/standard/42001
20. ETSI EN 301 549 V3.2.1 (2021-03), requisitos de accesibilidad de productos y servicios TIC: etsi.org (PDF)
21. 1EdTech, Learning Tools Interoperability (LTI 1.3 y LTI Advantage): 1edtech.org/standards/lti
22. Universidad de Aberdeen, «How to undertake a supplier assessment» (21 de octubre de 2020): abdn.ac.uk
23. Universidad de Edimburgo, Information Security, «Using cloud services»: infosec.ed.ac.uk
24. Universidad Tecnológica de Luleå, «Guidelines for information security in procurement and purchasing» (LTU-2486-2021, 4 de diciembre de 2023): ltu.se (PDF)
25. Montclair State University, Information Security, «Vendor Assessment (HECVAT)»: inside.montclair.edu

Sobre esta página

Redactamos el banco de preguntas a partir de los textos jurídicos y las normas citados, leídos el 9 de octubre de 2026, y de procedimientos universitarios publicados. Las preguntas son propias y no proceden del HECVAT ni de ningún otro cuestionario con licencia. Las referencias remiten a la disposición en que se apoya cada pregunta; cuando una disposición solo se aplica en algunos casos (por ejemplo, los sistemas de IA de alto riesgo o los servicios de tratamiento de datos del Reglamento de Datos), la pregunta lo indica. Los cambios pendientes del RGPD de la propuesta Ómnibus Digital de la Comisión no son derecho vigente y no se recogen. Esta herramienta no es asesoramiento jurídico, y la universidad sigue siendo responsable de su evaluación. Si encontráis un error o una referencia que haya cambiado, escribidnos y lo corregiremos.