Compartir documentos en ONG: subvenciones y donantes

Las organizaciones no lucrativas gestionan más documentos sensibles por euro de presupuesto que casi cualquier otro sector. Una organización de atención social maneja datos de donantes, expedientes de beneficiarios, informes de auditoría, documentación para la obtención de subvenciones públicas, actas del patronato y justificantes fiscales, todo ello con un equipo de tres personas. Compartir estos documentos con financiadores, auditores y entidades colaboradoras debe ser económico, conforme al RGPD y a la LOPDGDD, y seguro, sin necesidad de adquirir software empresarial. Esta guía explica cómo las organizaciones pequeñas mueven documentos con seguridad sin un departamento de TI ni un presupuesto de seis cifras en software.

Dónde falla la compartición de documentos en ONG

El patrón más habitual es una mezcla de adjuntos de Gmail, cuentas gratuitas de Dropbox y carpetas de Google Drive compartidas con quien esté activo en ese momento. Esto falla de tres formas predecibles. Los datos personales de donantes (nombres, domicilios, historial de donaciones) quedan en hilos de correo sin cifrar. Los documentos de subvenciones acaban en cuentas personales que desaparecen cuando se va un empleado. Y los informes de auditoría se envían al asesor en fragmentos de 50 MB porque Gmail rechaza el archivo completo.

Paquetes de solicitud de subvenciones

Una solicitud de subvención pública —a través del Sistema Nacional de Publicidad de Subvenciones (SNPS) o de convocatorias de comunidades autónomas— puede superar los 200 MB con cartas de apoyo, marcos lógicos, justificaciones presupuestarias e informes de investigación adjuntos. Las fundaciones que aceptan solicitudes a través de sus portales propios admiten subidas de hasta 50 MB por archivo en general. Cuando el portal falla o el responsable del programa solicita documentación complementaria durante la revisión, necesitas un canal cifrado fiable. Envía mediante un enlace de transferencia cifrado con protección por contraseña y una fecha de expiración que coincida con el calendario de decisión de la convocatoria. Conserva una copia interna en tu sistema de gestión documental para cumplir con el plazo de retención de diez años que exige la Ley General de Subvenciones.

Informes a donantes y comunicaciones de grandes donantes

Los grandes donantes esperan informes de impacto personalizados. Un informe de fin de año para un donante de cinco o seis cifras puede incluir un PDF de 30 páginas, galerías de fotos con 200 MB y estados financieros. Un paquete de 200 MB rebotará en la mayoría de las bandejas de entrada corporativas con sus límites de 25 MB. Envía en cambio un enlace de descarga cifrado con el nombre del donante, una nota personalizada y una ventana de expiración corta. Rastrea la confirmación de entrega. Para documentos de donaciones programadas —testamentos, designaciones de beneficiarios, fideicomisos de donación con reserva de usufructo— el cifrado de extremo a extremo con AES-256-GCM protege contra cualquier brecha del lado de la plataforma que exponga las intenciones del donante.

Gobierno del patronato y materiales confidenciales de reuniones

Los dossieres del patronato suelen tener entre 50 y 150 páginas con estados financieros, actas de sesión ejecutiva, evaluaciones de la dirección y documentos de estrategia. Los patronos están dispersos en distintas zonas horarias y dispositivos. Publicar los dossieres en un portal de patronato cuesta entre 2.000 y 10.000 € al año. Para organizaciones más pequeñas, un servicio de transferencia cifrada que genera un único enlace con contraseña funciona bien. Envía el dossier 72 horas antes de la reunión, con un nombre de archivo claro y un readme si hay varios ficheros. La conservación de las actas firmadas es habitualmente obligatoria bajo la normativa autonómica de fundaciones y asociaciones, así que archívalas en almacenamiento permanente, no en el servicio de transferencia.

Cumplimiento fiscal y documentación de la Agencia Tributaria

Las ONG están sujetas a obligaciones tributarias específicas: declaraciones informativas sobre donaciones recibidas (modelo 182), justificación del destino de fondos ante la AEAT y, en caso de recibir subvenciones públicas, a controles de la Intervención General de la Administración del Estado. Cuando se comparten papeles de trabajo de auditoría con una entidad externa, usa transferencia cifrada y registra cada acceso. Para organizaciones sujetas al control externo de auditoría conforme a la Ley de Fundaciones, la documentación de transferencias puede ser requerida en una auditoría de cuentas anuales.

Expedientes de beneficiarios y registros de programas

Las ONG de servicios sociales y sanitarios mantienen datos personales y a veces datos de salud de las personas a las que atienden. Los formularios de acogida, las notas de caso y los datos de resultados están sujetos al RGPD, a la LOPDGDD y, en el ámbito sanitario, a la normativa específica de protección de datos de salud. Transferir esta información a evaluadores, entidades colaboradoras o servicios de facturación requiere cifrado de extremo a extremo y acceso con límite de tiempo. Una carpeta de Google Drive con "cualquier persona con el enlace" es una brecha a la espera de ocurrir. Envía solo datos disociados cuando sea posible; para datos identificados, usa cifrado de extremo a extremo con contraseñas específicas del destinatario.

Combinaciones de herramientas con presupuesto ajustado

La mayoría de las ONG españolas pueden acceder a descuentos de TechSoup o a programas de donación de software de Google y Microsoft. Google Workspace para organizaciones sin ánimo de lucro ofrece Business Starter gratuito para entidades elegibles. Microsoft 365 Business Premium sale a unos 5,50 € por usuario al mes para ONG certificadas. Para la transferencia de archivos específicamente, Proton Drive ofrece 200 GB a 3,99 €/mes con cifrado de extremo a extremo. HexaTransfer ofrece transferencias cifradas de extremo a extremo de hasta 10 GB de forma gratuita y sin cuenta para el receptor, lo que funciona bien cuando se envía a una entidad colaboradora que no quiere darse de alta en otra plataforma. Mantén una combinación de herramientas en lugar de apostar todo a una sola.

Flujos de documentos con voluntarios y contratistas

Los voluntarios y contratistas a corto plazo necesitan recibir materiales de formación y a veces devolver autorizaciones firmadas, consentimientos de verificación de antecedentes y justificantes de gastos. Crear cuentas en un sistema documental para un voluntario de dos semanas es un desperdicio. Un enlace de transferencia con protección por contraseña y expiración de siete días permite que el voluntario descargue un paquete de orientación sin fricción, y un enlace de subida en un solo sentido le permite devolver los documentos firmados. Para los resultados de verificación de antecedentes que contienen datos personales muy sensibles, exige cifrado de extremo a extremo y elimina los archivos recibidos del servicio de transferencia en un plazo de 30 días.

Calendarios de retención y purga

Establece recordatorios de calendario para las purgas de retención. Los registros de donantes con implicaciones de deducibilidad fiscal se conservan durante siete años. Los registros de empleo se conservan durante cuatro años conforme al Estatuto de los Trabajadores. Los expedientes de subvención se conservan durante el plazo que establezca la convocatoria, habitualmente entre cinco y diez años, y más si hay litigios pendientes. Los registros de beneficiarios siguen las normas autonómicas específicas. Purga las transferencias antiguas que superen el plazo de retención. Un servicio de transferencia con expiración automática hace este trabajo por ti en las copias compartidas; tu archivo interno necesita un calendario de retención independiente. Incorpora el calendario a tu política de gestión de datos y revísalo anualmente en el comité de auditoría del patronato.

Pruébalo en https://hexatransfer.com — gratuito, sin cuenta, hasta 10 GB. Para enviar a una entidad colaboradora que no quiere otra cuenta, un enlace cifrado de extremo a extremo con expiración de siete días resuelve el intercambio sin burocracia adicional.