Seguro Compartir archivos para Nonprofit Organizations

La AEPD ha multado a asociaciones sin ánimo de lucro por gestionar datos de donantes sin cifrado adecuado: el RGPD no exime a las entidades del tercer sector. Si tu organización recauda fondos, gestiona subvenciones o trabaja con voluntarios, los archivos que compartes contienen información personal sujeta a la LOPDGDD y, según el ámbito, a la normativa de la Directiva NIS2. La buena noticia: construir una pila segura y económica es perfectamente viable con los programas de donación que ya existen.

Por qué los datos de donantes merecen protección de nivel bancario

Un listado de donantes es un objetivo de alto valor. Combina nombre completo, dirección, historial de aportaciones y, en ocasiones, datos bancarios —el perfil exacto que buscan los delincuentes de identidad—. Las filtraciones en Blackbaud (2020, más de 13.000 ONGs afectadas) demostraron cómo un proveedor comprometido puede arrastrar a miles de organizaciones en cascada.

El RGPD impone obligaciones concretas: base jurídica para el tratamiento, información a los interesados, plazo de conservación definido y medidas técnicas proporcionales al riesgo. La LOPDGDD añade, para datos de categoría especial —salud, ideología, origen étnico—, un nivel de protección reforzado. La línea base práctica: cifrado en reposo con AES-256-GCM, cifrado en tránsito con TLS 1.3, y registro de accesos auditables.

Programas gratuitos y con descuento para el tercer sector

Antes de gastar nada, reclama lo que ya está disponible:

• Google Workspace for Nonprofits: plan Business Standard gratuito (2 TB por usuario, Unidades compartidas) para ONGs validadas
• Microsoft 365 Business Premium: precio reducido para entidades sin ánimo de lucro, incluye OneDrive 1 TB y Microsoft Defender
• Canva para ONGs: plan Pro gratuito para materiales de comunicación
• Slack: 85 % de descuento en planes Standard y Plus
• AWS for Nonprofits: hasta 5.000 USD/año en créditos de computación

Combinados, cubren el 80 % del presupuesto tecnológico de una organización pequeña. Lo que suele faltar es la transferencia externa sin fricciones: ahí entra una herramienta dedicada como HexaTransfer para el envío puntual de documentos sensibles.

Propuestas de subvención: mantener confidenciales los presupuestos

Las convocatorias de la UE —Erasmus+, Horizonte Europa— y los fondos estatales gestionados a través de entidades como el INCIBE exigen cada vez más canales de envío con garantías de integridad. Un paquete típico de candidatura suma 30 a 200 MB: memoria justificativa en PDF, anexo presupuestario en hoja de cálculo, certificado de personalidad jurídica y cartas de apoyo.

El correo electrónico no es el canal adecuado: los límites de adjuntos, la ausencia de auditoría y la falta de cifrado de extremo a extremo lo descalifican para documentación sensible de subvenciones.

Protocolo recomendado:

1. Comprime el paquete en un ZIP con contraseña fuerte
2. Usa una transferencia protegida con vencimiento de 14 días
3. Comparte la contraseña por un canal separado (llamada telefónica o mensaje cifrado)
4. Guarda el registro del envío —fecha, destinatario, hash del archivo— en tu sistema documental

Para relaciones continuadas con el mismo financiador, configura una carpeta compartida en la plataforma que el financiador prefiera para que el historial de documentación sea continuo.

Incorporación de voluntarios sin dispersión de datos

Los voluntarios rotan con frecuencia. Cada alta necesita acceso a documentos concretos —reglamento interno, autorización de imagen, materiales formativos— pero nunca a la base de datos de donantes ni a expedientes financieros.

Estructura el acceso por niveles:

• Público: página web, dípticos, formulario de inscripción
• Voluntarios: materiales de formación, calendario de turnos, directorio de contacto (enlace de solo lectura con expiración automática)
• Equipo técnico: CRM de donantes, actas de junta, cuentas anuales
• Órgano de gobierno: documentación de auditoría, acuerdos estratégicos, expedientes legales

Usa grupos de Google Workspace para cada nivel. Cuando un voluntario causa baja, elimínalo del grupo: su acceso a todas las carpetas compartidas se revoca de inmediato. Para eventos masivos puntuales —jornadas de emergencia, actos anuales—, usa un enlace de descarga temporal en lugar de crear cuentas efímeras; expira el enlace a medianoche y listo.

Colaboración con socios internacionales y equipos de campo

Las organizaciones que operan en zonas con conectividad limitada necesitan herramientas que soporten interrupciones. Un trabajador de campo con conexión 2G no puede descargar un vídeo formativo de 500 MB.

Medidas prácticas:

• Comprime antes de enviar: exporta PDFs con «reducir tamaño» y usa MP4 a 720p H.264 en lugar de 4K
• Divide archivos grandes: 7-Zip crea volúmenes de 50 MB que se descargan de forma independiente
• Elige herramientas con reanudación: los servicios que implementan HTTP range requests permiten retomar una descarga interrumpida donde se dejó
• Para trabajo en jurisdicciones hostiles —documentación de derechos humanos, expedientes de refugiados—, usa servicios con cifrado de extremo a extremo por diseño, donde ni el proveedor puede acceder al contenido

Documentación financiera y auditoría anual

La auditoría anual genera un volumen considerable: exportaciones del libro mayor, conciliaciones bancarias, cartas de concesión de subvenciones y actas de junta, todo ello potencialmente varios gigabytes.

Procedimiento estandarizado de entrega al auditor:

1. Crea una carpeta fechada por ejercicio (Auditoría 2026 - Nombre de la firma)
2. Estructura subcarpetas por área (Ingresos, Gastos, Nómina, Gobernanza)
3. Concede acceso de visualización y descarga durante el periodo de trabajo
4. Revoca el acceso 30 días después de la emisión del informe de auditoría
5. Archiva en almacenamiento frío durante el plazo de conservación legal —habitualmente 7 años—

Para el borrador del informe de auditoría, que es confidencial hasta su aprobación por la junta directiva, usa una transferencia cifrada con vencimiento de 10 días en lugar de una carpeta compartida permanente.

Cuando los servicios de salud entran en juego

Las clínicas sin ánimo de lucro, centros de atención a personas en situación de vulnerabilidad y entidades que gestionan expedientes médicos están sujetas al RGPD en su categoría especial —datos de salud, artículo 9— y a la normativa de historia clínica cuando actúan en el ámbito sanitario.

Requisitos técnicos mínimos:

• Cifrado en reposo y en tránsito (AES-256-GCM y TLS 1.3)
• Acuerdos de encargado del tratamiento firmados con cada proveedor que acceda a datos de salud
• Registro de accesos y notificación a la AEPD ante cualquier brecha en un máximo de 72 horas

Ninguna herramienta de transferencia gratuita para consumidores, sin contrato de encargado firmado, puede transportar datos de salud. El incumplimiento puede suponer multas de hasta 20 millones de euros o el 4 % de la facturación global bajo el RGPD.

Presupuesto realista para una organización pequeña

Seguridad anual para una entidad de 5 a 20 personas:

| Herramienta | Coste aproximado | |---|---| | Google Workspace for Nonprofits | 0 € | | Gestor de contraseñas (Bitwarden Teams, con descuento) | ~150 €/año | | Herramienta de transferencia cifrada (nivel gratuito) | 0 € | | Llaves de seguridad MFA (5 unidades) | ~250 € (coste único) | | Seguro de ciberriesgos (cobertura 500.000 €) | ~800-1.200 €/año | | Simulacro anual de respuesta a incidentes | ~400-600 € |

Total primer año: en torno a 1.700-2.200 €. Continuación: menos de 1.500 €/año. Una fracción del coste de remediar una sola brecha de seguridad, que según el INCIBE puede superar los 50.000 € para una entidad de este tamaño.

Pruébalo en https://hexatransfer.com — gratuito, sin cuenta, hasta 10 GB.