Cómo hacer un documento de confidencialidad (NDA): guía completa

Qué es un documento de confidencialidad y en qué se apoya

Un documento de confidencialidad —o NDA, por las siglas inglesas de non-disclosure agreement— es un contrato por el que una o varias partes se comprometen a no revelar a terceros ni usar para fines distintos de los pactados la información que reciben de la otra. No hay en España una ley que lleve ese nombre ni que imponga un contenido mínimo, y por eso su fuerza depende casi por completo de lo bien o mal que esté redactado.

La base jurídica está repartida. El artículo 1255 del Código Civil consagra la autonomía de la voluntad: puedes pactar lo que quieras mientras no contradiga la ley, la moral ni el orden público. Los artículos 1254 y 1278 añaden que el contrato obliga desde que hay consentimiento y cualquiera que sea la forma en que se celebre, así que un documento privado firmado vale tanto como una escritura para obligar a las partes (la escritura aporta prueba, no validez). Y el artículo 1101 impone indemnizar los daños a quien incumple lo pactado. Sobre ese armazón se apoya todo lo demás. Si buscas el documento ya redactado, tienes el modelo de acuerdo de confidencialidad NDA comentado cláusula a cláusula.

Conviene entender qué hace y qué no hace este documento, porque ahí empiezan casi todos los problemas que llegan a los juzgados. Un NDA crea una obligación de comportamiento sobre quien lo firma. No convierte la información en propiedad tuya, no impide que un tercero que nunca lo firmó use lo que averiguó por su cuenta, y no borra el hecho de que, una vez la información circula, recuperar el terreno perdido es prácticamente imposible. Sirve para dos cosas muy concretas: disuadir por adelantado y darte una posición sólida si tienes que reclamar después.

Un acuerdo de confidencialidad no es una caja fuerte, es una prueba. Su valor real aparece el día que tienes que demostrar ante un juez que la otra parte sabía exactamente qué información no podía usar y para qué se la habías dado.

Cuándo tiene sentido firmarlo (y cuándo no)

Los escenarios clásicos son una negociación de compraventa o de entrada de un socio, una due diligence, la contratación de un desarrollador o una agencia externa, la presentación de un proyecto a un inversor, una relación con un proveedor que va a conocer tus costes o tus procesos, y la incorporación de un empleado a un puesto con acceso a información sensible. En una operación de venta o traspaso, el NDA suele ser el primer papel que se firma: lo explicamos en la guía del traspaso de negocio y su modelo de contrato.

También hay situaciones donde firmarlo es puro teatro. Si lo que vas a enseñar ya está publicado en tu web, si estás negociando con alguien a quien no piensas dar acceso real a nada, o si el acuerdo es tan genérico que abarca «toda la información de la empresa», el papel no aporta protección: aporta fricción y una falsa sensación de seguridad. Un NDA que define como confidencial absolutamente todo es, en la práctica, un NDA que no define nada, y ese es justo el argumento que usará la otra parte para defenderse.

Tipos de NDA: unilateral, recíproco y multilateral

La primera decisión que tomas al redactar es quién asume el deber de callar. De ahí salen tres modelos, y elegir mal el tipo condiciona todo el documento.

NDA unilateral

Solo una parte revela información y solo la otra queda obligada. Es el formato típico cuando contratas a un freelance, cuando incorporas a un empleado o cuando enseñas tu proyecto a alguien que no va a enseñarte nada suyo. Al ser asimétrico, la parte que firma suele negociar con dureza los plazos y las excepciones, y hace bien: está aceptando una carga sin recibir la misma protección. Para relaciones con profesionales por cuenta propia, revisa también el contrato mercantil con freelance, donde el NDA suele ir como anexo.

NDA recíproco o bilateral

Ambas partes revelan y ambas se obligan. Es el estándar en negociaciones entre empresas, alianzas, integraciones técnicas y procesos de compraventa, porque durante una due diligence la información viaja en las dos direcciones aunque al principio no lo parezca. Ojo con un detalle que se cuela mucho: hay contratos que se presentan como recíprocos pero cuyas definiciones y plazos solo encajan con el negocio de una de las partes. Léelo pensando en qué pasa si el incumplidor eres tú.

NDA multilateral

Tres o más partes que intercambian información entre sí bajo un único documento. Se usa en consorcios, uniones temporales de empresas, proyectos de I+D con varios socios y licitaciones conjuntas. Ahorra papeleo frente a firmar acuerdos cruzados uno a uno, pero exige precisar quién puede compartir qué con quién, porque el riesgo no es que salga fuera del grupo sino que circule dentro de él sin control.

Cómo definir la información confidencial por categorías

Aquí se gana o se pierde el acuerdo. La tentación es escribir «toda la información que se intercambie entre las partes» y pasar a otra cosa. El problema aparece después: si tienes que reclamar, tendrás que demostrar que un dato concreto estaba cubierto, y una definición ilimitada se defiende fatal porque incluye cosas que evidentemente no merecían secreto. La técnica que funciona es la contraria: enumerar categorías y añadir una cláusula de cierre.

Categorías que conviene enumerar

• Información técnica: código fuente, algoritmos, arquitectura, esquemas, prototipos, fórmulas, procesos de fabricación, resultados de pruebas, documentación de desarrollo.
• Información comercial: cartera y listas de clientes, condiciones y descuentos pactados, márgenes, escandallos de costes, estructura de precios, canales y acuerdos con distribuidores.
• Información financiera: cuentas no depositadas, previsiones, planes de tesorería, estructura de capital, valoraciones, condiciones de financiación.
• Información estratégica: planes de expansión, operaciones corporativas en estudio, hoja de ruta de producto, resultados de estudios de mercado propios.
• Información sobre personas: organigramas, políticas retributivas, procesos de selección en curso. Si incluye datos personales, entra además el RGPD, que veremos más abajo.
• Información de terceros: lo que te han confiado tus propios clientes o proveedores y que estás obligado a proteger por otro contrato.

Cómo se marca en la práctica

Hay dos sistemas y ninguno es perfecto. El de marcado formal exige que lo confidencial se entregue rotulado como tal, o que lo comunicado verbalmente se confirme por escrito en un plazo corto. Da seguridad, pero si tu equipo se olvida de rotular un documento, ese documento queda fuera. El de definición objetiva considera confidencial todo lo que encaje en las categorías descritas, se haya marcado o no. Es más protector para quien revela y más incómodo para quien recibe. En la práctica, la fórmula más equilibrada combina las categorías objetivas con el compromiso de marcar lo que sea razonablemente posible, sin que el olvido de marcar tumbe la protección.

Y un consejo operativo que ahorra disgustos: lleva un registro de qué has entregado, a quién y cuándo. Un simple listado con fecha, destinatario y descripción del material convierte una discusión sobre percepciones en una discusión sobre hechos. Si te toca ordenar el mapa documental completo de la empresa, empieza por la guía de tipos de documentos legales para empresas.

Las cinco excepciones y la salvedad de la Ley 2/2023

Un acuerdo sin excepciones no es más fuerte: es más frágil. Un juez difícilmente hará cumplir una obligación de secreto sobre información que ya era pública o que el receptor conocía de antes, y la ausencia de estas salvedades es señal de que el documento se copió sin criterio. Las cinco que se consideran estándar en el tráfico mercantil son estas.

1. Información ya pública o que se hace pública sin culpa del receptor. Lo que está publicado, registrado o accesible no puede reclamarse como secreto. Ojo al matiz «sin culpa»: si es pública precisamente porque el receptor la filtró, la excepción no le ampara.
2. Conocimiento previo documentado. Lo que el receptor ya tenía antes de recibirlo. La palabra que hace el trabajo es «documentado»: la excepción solo debería operar si puede acreditarse con registros anteriores a la entrega, no con una afirmación a posteriori.
3. Desarrollo independiente. Lo que el receptor crea por su cuenta sin usar la información recibida. Es la excepción más discutida en tribunales y la que más conviene reforzar exigiendo prueba del proceso de desarrollo paralelo.
4. Revelación obligatoria por ley o por orden de autoridad. Un requerimiento judicial, una inspección administrativa o una obligación de información normativa se cumplen. Lo que sí puedes pactar es un deber de notificación previa, para que la parte afectada pueda oponerse o pedir tratamiento reservado, salvo que la propia norma prohíba avisar.
5. Obtención legítima de un tercero. Si el receptor recibe la misma información de alguien que no estaba obligado a guardar secreto, no puede reprochársele. Aquí también hay matiz: si sabía o debía saber que ese tercero la había obtenido de forma ilícita, la excepción decae.

La salvedad de la Ley 2/2023: no puedes comprar el silencio

Por encima de lo que pacten las partes hay un límite que conviene tener muy presente. La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, protege a quien comunica determinadas infracciones por los canales internos o externos previstos, y declara nulas las cláusulas contractuales que limiten o impidan esa comunicación. Traducido: un NDA no puede usarse para tapar un delito, un fraude o una infracción del Derecho de la Unión, y quien lo intenta no solo no consigue el silencio sino que se coloca en una posición muy incómoda.

Por eso muchos acuerdos bien redactados incluyen hoy una cláusula que reconoce expresamente esta salvedad, junto a la de revelación obligatoria por ley. No debilita el contrato: demuestra que quien lo redactó sabe lo que hace y evita que la otra parte alegue que todo el pacto pretendía un fin ilícito.

Los tres relojes: vigencia, obligación y prescripción

Cuando alguien pregunta cuánto dura un NDA, casi siempre está mezclando tres cosas distintas que corren a velocidades diferentes. Separarlas es lo que evita el error más común de todos: creer que al terminar la relación comercial termina también el deber de callar.

Reloj 1: la vigencia del contrato

Es el periodo durante el cual las partes se intercambian información al amparo del acuerdo. Puede coincidir con la negociación, con el proyecto, con la relación laboral o con el contrato marco al que el NDA sirve de anexo. Cuando este plazo se agota, deja de haber entregas nuevas cubiertas por el documento. Nada más.

Reloj 2: la duración de la obligación de secreto

Es cuánto tiempo sigue obligado el receptor a guardar silencio sobre lo que ya recibió. Se pacta libremente y no tiene por qué coincidir con el reloj anterior: lo habitual es que lo supere. La duración razonable depende de la vida útil de la información, y ese es el criterio que deberías aplicar en lugar de copiar un número. Un dato de precios de campaña pierde valor en meses; una fórmula o un proceso industrial puede conservarlo durante décadas. Para lo que constituye secreto empresarial en sentido estricto, hay quien pacta que la obligación dure mientras la información mantenga esa condición, sin fecha fija, y es una fórmula defendible siempre que la definición sea precisa.

La cláusula de supervivencia

Es la que conecta los dos relojes anteriores y la que falta en la mitad de las plantillas que circulan. Dice, con todas las letras, que las obligaciones de confidencialidad, devolución de material y no uso siguen vigentes tras la terminación o resolución del contrato, cualquiera que sea su causa, durante el plazo pactado. Sin ella, la otra parte tiene un argumento cómodo: el contrato terminó, luego terminaron todas sus obligaciones. Escríbela siempre, y enumera qué cláusulas sobreviven.

Reloj 3: el plazo para reclamar

Aunque la obligación siga viva, tu derecho a reclamar por un incumplimiento concreto tiene su propio calendario. En las acciones personales que no tienen señalado plazo especial, el artículo 1964.2 del Código Civil fija la prescripción en cinco años desde que pudo exigirse el cumplimiento de la obligación. Es el plazo vigente desde la reforma operada por la Ley 42/2015, que redujo los quince años anteriores. La consecuencia práctica es simple: descubrir tarde una filtración y dejar pasar el tiempo puede costarte la acción entera, así que en cuanto tengas indicios documenta la fecha y consulta con un abogado sobre cómo interrumpir la prescripción.

Si un solo número de tu acuerdo debe estar bien pensado, es la duración de la obligación de secreto. Un plazo corto deja la información desnuda justo cuando todavía vale; un plazo eterno sobre información banal invita al juez a mirar todo el contrato con desconfianza.

Ley 1/2019 de Secretos Empresariales frente al NDA contractual

Esta es la pieza que más se echa en falta en las guías sobre NDA, y sin embargo cambia por completo el terreno de juego. La Ley 1/2019, de 20 de febrero, de Secretos Empresariales, que traspone la Directiva (UE) 2016/943, protege determinada información al margen de que hayas firmado un contrato con quien la usa. Es decir, te da munición también frente a terceros que nunca fueron parte de tu acuerdo.

Los tres requisitos del secreto empresarial

Para que una información se considere secreto empresarial tiene que cumplir, de forma acumulativa, tres condiciones:

1. Ser secreta, en el sentido de que no sea generalmente conocida ni fácilmente accesible para las personas de los círculos en que normalmente se utilice ese tipo de información, ni en su conjunto ni en la configuración y reunión precisas de sus componentes.
2. Tener valor empresarial, real o potencial, precisamente por ser secreta.
3. Haber sido objeto de medidas razonables por parte de su titular para mantenerla en secreto.

El tercer requisito es el que convierte al NDA en algo más que un papel. Firmar acuerdos de confidencialidad con quienes acceden a la información es, junto al control de accesos, las políticas internas, el cifrado y la clasificación documental, una de las medidas razonables que acreditan que tratabas esa información como secreta. Sin medidas, el juez puede concluir que no había secreto que proteger. Con ellas, entras en el ámbito de la ley. Las políticas internas escritas suman aquí más de lo que parece: tienes la guía para crear el documento de políticas internas.

Qué acciones te da la ley

Frente al NDA puro, que te deja con la reclamación contractual por incumplimiento, la Ley 1/2019 pone a tu disposición un abanico de acciones civiles que puedes ejercitar acumuladamente:

• Declaración de la violación del secreto empresarial.
• Cesación o prohibición de los actos de violación, incluida la prohibición de fabricar, ofrecer, comercializar o usar mercancías infractoras.
• Remoción: retirada del tráfico de las mercancías infractoras, eliminación de la información del material del infractor, entrega o destrucción de documentos y soportes.
• Indemnización de daños y perjuicios, que puede calcularse por las consecuencias económicas negativas sufridas, por los beneficios obtenidos por el infractor o por la regalía hipotética que habría tenido que pagar una licencia, y que puede incluir el daño moral y los gastos de investigación.
• Publicación de la sentencia a costa del infractor.
• Medidas cautelares, que en esta materia son decisivas: permiten frenar el uso o la difusión mientras se resuelve el pleito, cuando esperar a la sentencia equivaldría a perder el secreto para siempre.

La conclusión operativa es que no eliges entre una vía y otra: construyes las dos. El acuerdo firmado es la puerta de entrada a la protección legal, y la protección legal es lo que da dientes al acuerdo firmado.

Cláusula penal: artículos 1152 y 1154 del Código Civil

Probar cuánto has perdido porque un competidor conoció tu lista de clientes es, con frecuencia, imposible. Ese es el motivo por el que la cláusula penal existe. El artículo 1152 del Código Civil establece que en las obligaciones con cláusula penal, la pena sustituye a la indemnización de daños y al abono de intereses en caso de falta de cumplimiento, salvo que se haya pactado otra cosa. Traducido: pactas una cantidad por adelantado y te ahorras el via crucis probatorio.

Cómo se redacta bien

Tres decisiones marcan la diferencia. La primera es si la pena es sustitutiva o cumulativa: por defecto sustituye a la indemnización, pero puedes pactar expresamente que se pueda reclamar además el daño acreditado que exceda de la pena. Escríbelo, porque el silencio juega en tu contra. La segunda es si la pena opera por cada incumplimiento o una sola vez por todos ellos; una filtración continuada durante meses no se trata igual en un caso que en otro. La tercera es el importe, y ahí no hay tabla que copiar: debe guardar proporción con el valor de la información y con la operación en la que se enmarca, porque una pena desmesurada es exactamente lo que invita a la moderación judicial.

La moderación del artículo 1154

El artículo 1154 ordena al juez modificar equitativamente la pena cuando la obligación principal ha sido en parte o irregularmente cumplida por el deudor. Es importante entender su alcance real, porque circula mucha confusión: la moderación está pensada para el cumplimiento parcial, no para rebajar sin más una pena que a alguien le parezca alta si el incumplimiento fue total y de la clase prevista por las partes. Aun así, la práctica enseña que una pena claramente desproporcionada acaba discutiéndose, y que una pena proporcionada se cobra antes y con menos ruido.

Añade también, junto a la pena, dos cosas que no cuestan nada y valen mucho: el derecho a solicitar medidas cautelares sin que la existencia de la pena lo impida, y la obligación del receptor de notificar cualquier filtración o acceso no autorizado en cuanto la detecte. La segunda te da tiempo, que en esta materia es el bien más escaso.

Confidencialidad no es no competencia: el error más caro

De todas las confusiones que rodean a este documento, esta es la que más dinero cuesta. Son dos pactos con finalidades, requisitos y consecuencias distintas, y meterlos en el mismo saco tiene un efecto muy concreto: la cláusula acaba siendo inaplicable justo cuando la necesitas.

El acuerdo de confidencialidad prohíbe revelar o usar información concreta. No dice nada sobre dónde puede trabajar alguien ni con quién puede hacer negocios. El pacto de no competencia postcontractual, en cambio, restringe la actividad profesional de una persona después de terminar la relación, y precisamente por eso el ordenamiento lo somete a condiciones estrictas.

Los tres requisitos del artículo 21.2 del Estatuto de los Trabajadores

En el ámbito laboral, el artículo 21.2 del Estatuto de los Trabajadores establece que el pacto de no competencia para después de extinguido el contrato de trabajo solo será válido si concurren estos requisitos:

• Que el empresario tenga un efectivo interés industrial o comercial en ello. No basta invocarlo de forma genérica: tiene que existir un riesgo real de aprovechamiento.
• Que se satisfaga al trabajador una compensación económica adecuada. Sin compensación, el pacto no se sostiene, y una compensación simbólica equivale a no pagarla.
• Que no exceda de dos años para los técnicos y de seis meses para los demás trabajadores. Son topes máximos, no plazos por defecto.

Cuando una empresa mete la restricción de competencia dentro del NDA sin compensar económicamente, lo habitual es que esa parte caiga. Y el estropicio no siempre se queda ahí: haber intentado colar una restricción nula tampoco ayuda a la credibilidad del resto del documento. La forma correcta de hacerlo es separar los pactos, con su propia cláusula, su propia contraprestación y su propio plazo. Si lo que necesitas es esa segunda pieza, tienes la guía para redactar un acuerdo de no competencia con modelo de cláusula.

Fuera del ámbito laboral, entre empresas o con profesionales autónomos, el margen de pacto es mayor porque rige la libertad contractual, pero tampoco es ilimitado: una restricción sin límite de objeto, territorio o tiempo puede chocar con la normativa de defensa de la competencia y con los límites del artículo 1255. Aquí la prudencia consiste en delimitar bien qué actividad, en qué mercado y durante cuánto.

Y una tercera figura: la no captación

Junto a las dos anteriores suele aparecer el pacto de no captación de clientes o de empleados, que prohíbe llevarse la cartera o al equipo. Es distinto de los otros dos y también se negocia por separado. Confundirlo con la confidencialidad es frecuente porque la lista de clientes suele ser, además, información confidencial, pero una cosa es no poder revelarla y otra no poder dirigirse a esos clientes.

Ley aplicable, jurisdicción y firma electrónica

Dos cláusulas breves al final del documento deciden dónde y con qué reglas se pelea si algo sale mal, y una tercera decide si podrás demostrar que la otra parte firmó.

Ley aplicable y tribunales competentes

Si ambas partes están en España y la operación es interna, lo natural es someterse a la legislación española y a los juzgados de una plaza concreta. Cuando hay un elemento internacional, la elección importa mucho más: en el ámbito europeo, el Reglamento (CE) 593/2008 (Roma I) permite a las partes elegir la ley aplicable al contrato, y el Reglamento (UE) 1215/2012 (Bruselas I bis) reconoce los acuerdos de sumisión a tribunales de un Estado miembro. Elegir tribunales muy lejanos suena inofensivo al firmar y se vuelve prohibitivo el día que hay que demandar, así que valora el coste real de litigar allí antes de aceptar la propuesta de la otra parte.

El arbitraje es la alternativa habitual en contratos entre empresas, sobre todo internacionales, por su confidencialidad y por la facilidad de ejecución de laudos en el extranjero. Tiene sentido cuando el valor en juego lo justifica; para un NDA modesto, añade coste sin aportar demasiado. Y en materia de secretos hay un matiz que pesa: la posibilidad de obtener medidas cautelares rápidas ante un juzgado suele ser el factor decisivo.

Firma electrónica: eIDAS y Ley 6/2020

La duda de si vale firmar por medios electrónicos está resuelta desde hace tiempo. El Reglamento (UE) 910/2014, conocido como eIDAS, impide denegar efectos jurídicos y admisibilidad como prueba a una firma electrónica por el mero hecho de serlo, y equipara la firma electrónica cualificada a la manuscrita. La Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza, completa el marco en España y aborda el valor probatorio en juicio.

Lo que cambia entre modalidades no es la validez, es la posición probatoria. Una firma electrónica simple (un clic, un correo de aceptación) es válida, pero si la otra parte niega haber firmado tendrás que acreditarlo con otros elementos. Una firma avanzada vinculada de forma única al firmante y capaz de detectar alteraciones posteriores te deja mucho mejor. Y una cualificada, basada en certificado cualificado y dispositivo cualificado de creación, traslada la carga al que niega. Para un NDA relevante, la avanzada con trazabilidad completa suele ser el punto de equilibrio sensato.

Sobre la fecha, recuerda que el artículo 1227 del Código Civil regula cuándo la fecha de un documento privado se cuenta respecto de terceros. Un sellado de tiempo cualificado o el depósito ante notario no hacen más válido el acuerdo, pero hacen mucho más difícil discutir cuándo se firmó, que es una de las escaramuzas típicas de estos pleitos.

NDA y RGPD: el contrato del artículo 28 no es opcional

Aquí hay un fallo de bulto que se repite en empresas por lo demás bien asesoradas: creer que, como el proveedor ha firmado un acuerdo de confidencialidad, la parte de protección de datos ya está cubierta. No lo está, y la diferencia no es formal.

Si la información que compartes incluye datos personales y el tercero los va a tratar por tu cuenta —una gestoría, una agencia de marketing, un proveedor de software, un desarrollador con acceso a la base de datos—, el artículo 28.3 del Reglamento (UE) 2016/679 exige un contrato de encargado del tratamiento con un contenido mínimo tasado: objeto, duración, naturaleza y finalidad del tratamiento, tipo de datos personales, categorías de interesados, obligaciones y derechos del responsable, actuación solo bajo instrucciones documentadas, compromiso de confidencialidad de las personas autorizadas, medidas de seguridad del artículo 32, régimen de subencargados, asistencia al responsable para atender los derechos de los interesados y para las notificaciones de brechas, y devolución o supresión de los datos al terminar el servicio.

Un NDA no contiene nada de eso. Cubre el secreto, que es apenas uno de los renglones de esa lista. Además, la Ley Orgánica 3/2018 completa el marco español, y las obligaciones de registro de actividades y de notificación de brechas siguen siendo tuyas como responsable con independencia de lo que hayas firmado con el proveedor.

El acuerdo de confidencialidad protege tu negocio. El contrato de encargado del tratamiento protege a las personas cuyos datos manejas y es una obligación legal. Necesitas los dos, y ninguno hace el trabajo del otro.

La forma práctica de resolverlo es tener el NDA como documento propio y el contrato del artículo 28 como anexo específico cuando haya datos personales de por medio, con su descripción de tratamientos. Cuando la relación implique transferencias fuera del Espacio Económico Europeo, habrá que sumar el mecanismo del capítulo V del RGPD que corresponda. Si esta parte te queda grande, es exactamente el momento de hablar con un abogado especializado en protección de datos o con un delegado de protección de datos: sale mucho más barato que una inspección.

Cómo redactarlo paso a paso, cláusula a cláusula

Con todo lo anterior sobre la mesa, redactar deja de ser un ejercicio de copiar y pegar. Este es el orden que funciona y lo que decides en cada bloque.

1. Encabezamiento e identificación de las partes

Denominación social completa, forma jurídica, NIF, domicilio y datos registrales de cada empresa; nombre, apellidos, DNI y domicilio si es persona física. Añade quién firma en representación y en virtud de qué poder, porque un acuerdo firmado por alguien sin facultades es un problema que aparece tarde y mal. Si intervienen filiales o empresas del grupo, dilo aquí: o quedan cubiertas expresamente o no lo están.

2. Exposición: el contexto de la operación

Un par de párrafos explicando por qué las partes se intercambian información: una negociación de compraventa, un proyecto de desarrollo, una evaluación de proveedor. Parece decorativo y no lo es. Ese contexto es lo que después delimita el uso permitido y lo que permite a un juez entender qué se pretendía proteger.

3. Definición de información confidencial

Categorías enumeradas, soportes cubiertos (documentos, correos, prototipos, accesos a sistemas, información verbal), y sistema de marcado. Evita la fórmula omnicomprensiva.

4. Exclusiones

Las cinco excepciones del apartado anterior, más la salvedad expresa de la Ley 2/2023 y de la revelación exigida por ley o autoridad, con el deber de notificación previa cuando sea posible.

5. Obligaciones del receptor

Aquí concreta: no revelar, no usar para fines distintos del contexto declarado (la obligación de no uso es la que más se olvida y la más valiosa), custodiar con la misma diligencia que aplica a su propia información sensible, limitar el acceso a las personas que lo necesiten, y hacer que esas personas queden vinculadas por deberes equivalentes.

6. Personas autorizadas y subcontratistas

Define el círculo de acceso: empleados, asesores, auditores, entidades financieras. Exige que el receptor responda de los incumplimientos de las personas a las que dio acceso; sin esa cláusula, la cadena se rompe en el primer eslabón externo.

7. Propiedad de la información

Deja claro que entregar información no transfiere ningún derecho de propiedad intelectual o industrial, ni concede licencia alguna, ni obliga a cerrar la operación. Es una frase corta que evita discusiones largas.

8. Plazos y supervivencia

Los tres relojes explicados más arriba, con la cláusula de supervivencia enumerando qué obligaciones continúan tras la terminación.

9. Devolución y destrucción

Qué ocurre al terminar: devolución de originales y copias, borrado de sistemas, certificación escrita de la destrucción, y las excepciones razonables (copias de seguridad automáticas y copias que deban conservarse por obligación legal, que seguirán sujetas al deber de secreto mientras existan).

10. Consecuencias del incumplimiento

Cláusula penal bien calibrada, reserva expresa de acciones al amparo de la Ley 1/2019, y mención a la posibilidad de solicitar medidas cautelares.

11. Cláusulas de cierre

Ley aplicable, jurisdicción o arbitraje, notificaciones, integridad del acuerdo, nulidad parcial (que la caída de una cláusula no arrastre al resto), y modalidad de firma. Fecha y firma de todas las partes, con rúbrica en cada página o firma electrónica que garantice la integridad del conjunto.

Errores que dejan el acuerdo en papel mojado

Estos son los fallos que aparecen una y otra vez en documentos que sus titulares creían sólidos.

• Definir como confidencial «toda la información». Protege tan poco como no definir nada y debilita el resto.
• Prohibir revelar pero no usar. El daño real suele venir del uso interno silencioso, no de la filtración pública.
• Olvidar la cláusula de supervivencia. El día que termina la relación, termina la protección.
• Meter la no competencia dentro del NDA sin compensación. El artículo 21.2 del Estatuto de los Trabajadores no admite atajos.
• Copiar un NDA anglosajón sin adaptarlo. Aparecen figuras que aquí no operan igual, referencias a legislación extranjera y penalizaciones punitivas que nuestro sistema no contempla del mismo modo.
• Firmarlo después de haber enseñado la información. Se firma antes de la primera entrega, sin excepción.
• No dejar rastro de qué se entregó. Sin registro de entregas, la discusión se vuelve palabra contra palabra.
• Confiar solo en el papel. Sin control de accesos, cifrado y políticas internas, ni cumples el tercer requisito de la Ley 1/2019 ni evitas el problema.
• Pena desproporcionada. Invita a la moderación del artículo 1154 y resta credibilidad al conjunto.
• No tocarlo nunca más. Un acuerdo firmado hace ocho años para un negocio que ha cambiado protege el negocio de hace ocho años.

Plantillas y recursos para empezar

Una plantilla es un buen punto de partida y un mal punto de llegada. Sirve para no olvidar bloques y para hablar con tu asesor con los deberes hechos; no sustituye la adaptación al caso concreto, que es justo donde se juega la eficacia. En Ofizio tienes modelos gratuitos descargables en la sección de plantillas, y si prefieres empezar por el documento ya comentado, el modelo de acuerdo de confidencialidad desglosa cada cláusula. Para el resto de contratos de la relación, tienes también las plantillas de contratos gratuitas.

Sobre las fuentes normativas, todas las que se citan en esta guía son consultables gratis y en su versión consolidada en el BOE: el Código Civil, la Ley 1/2019 de Secretos Empresariales, el Estatuto de los Trabajadores, la Ley 2/2023, la Ley 6/2020 y el Reglamento (UE) 2016/679. Antes de dar por buena cualquier referencia, comprueba la versión vigente, porque los textos consolidados se actualizan.

Cuándo llamar a un abogado

Con honestidad: casi siempre que la información en juego valga más que la factura del abogado. En operaciones corporativas, licencias de tecnología, entrada de inversores, cesión de código o cualquier escenario con elemento internacional, la revisión profesional deja de ser un lujo. También cuando alguien te presenta su NDA para que lo firmes y no tienes claro qué estás asumiendo: revisar lo que firmas es tan importante como redactar lo que propones. Esta guía es divulgativa y no sustituye el asesoramiento de un abogado colegiado sobre tu caso.

Conclusiones

Un documento de confidencialidad bien hecho se reconoce en tres detalles: define la información por categorías con excepciones realistas, prohíbe usarla y no solo revelarla, y sobrevive al final de la relación con un plazo pensado para la vida útil de eso que proteges. Lo demás es acompañamiento.

Recuerda también que el contrato es solo una capa. La Ley 1/2019 te da acciones frente a terceros que nunca firmaron nada, pero exige que hayas tratado la información como un secreto de verdad: controlando accesos, clasificando documentos y, sí, firmando acuerdos con quien accede. Y si hay datos personales de por medio, el contrato del artículo 28 del RGPD va aparte y no es negociable.

Empieza por la plantilla, adáptala a tu operación con las decisiones que hemos repasado y, cuando lo que está en juego lo justifique, ponlo en manos de un profesional antes de firmar.

Preguntas frecuentes sobre cómo hacer un documento de confidencialidad

¿Qué es un documento de confidencialidad?

Es un contrato por el que una o varias partes se obligan a no revelar a terceros ni usar para fines ajenos la información que reciben de la otra. En España no tiene una ley propia: se sostiene sobre la libertad de pactos del artículo 1255 del Código Civil y, cuando lo protegido encaja en la definición de secreto empresarial, se apoya además en la Ley 1/2019.

¿Cuánto tiempo dura un acuerdo de confidencialidad?

Conviene distinguir tres plazos que suelen confundirse: la vigencia del contrato o de la relación comercial, la duración de la obligación de secreto (que se pacta libremente y puede sobrevivir a la relación gracias a la cláusula de supervivencia) y el plazo de prescripción para reclamar, que en las acciones personales sin plazo especial es de cinco años desde que pudo exigirse el cumplimiento, según el artículo 1964.2 del Código Civil.

¿Es válido un NDA firmado con firma electrónica?

Sí. El Reglamento (UE) 910/2014 (eIDAS) y la Ley 6/2020 impiden negar efectos jurídicos ni valor probatorio a una firma electrónica solo por ser electrónica, y equiparan la firma electrónica cualificada a la manuscrita. Lo que cambia entre modalidades es la carga de la prueba si la otra parte niega haber firmado.

¿Qué pasa si no incluyo cláusula penal?

El acuerdo sigue siendo exigible, pero tendrás que acreditar el daño y su importe conforme al artículo 1101 del Código Civil, algo difícil con información. La cláusula penal del artículo 1152 sustituye a la indemnización de daños salvo pacto en contra y te ahorra esa prueba, aunque el juez puede moderarla si la obligación se cumplió en parte o de forma irregular (artículo 1154).

¿La confidencialidad impide que un empleado se vaya a la competencia?

No. Son pactos distintos. Un NDA prohíbe revelar o usar información concreta, pero no restringe dónde trabaja alguien. Para eso hace falta un pacto de no competencia postcontractual, que en el ámbito laboral exige, según el artículo 21.2 del Estatuto de los Trabajadores, un interés industrial o comercial efectivo, una compensación económica adecuada y un límite temporal de dos años para técnicos y seis meses para el resto.

¿Puedo obligar a alguien a callar sobre una irregularidad o un delito?

No. La Ley 2/2023 de protección del informante declara nulas las cláusulas que limiten o impidan comunicar infracciones dentro de su ámbito, y el informante que cumple sus requisitos queda protegido frente a represalias. Tampoco puede oponerse la confidencialidad a un requerimiento judicial, administrativo o de una autoridad de supervisión.

¿El NDA sustituye al contrato de encargado del tratamiento del RGPD?

No. Si la información confidencial incluye datos personales y un tercero los trata por tu cuenta, el artículo 28.3 del RGPD exige un contrato con un contenido mínimo tasado: objeto, duración, naturaleza y fin del tratamiento, tipo de datos, categorías de interesados, instrucciones documentadas, subencargados, medidas de seguridad, asistencia y devolución o supresión al final. Un NDA no cubre nada de eso.

¿Qué información no puede proteger un NDA?

Las excepciones habituales son cinco: la información que ya era pública o se hace pública sin culpa del receptor, la que el receptor ya conocía y puede documentar, la desarrollada de forma independiente sin usar lo recibido, la que debe revelarse por imperativo legal o por orden de autoridad, y la obtenida legítimamente de un tercero sin deber de secreto. Sin estas excepciones el acuerdo se vuelve inaplicable en la práctica.

¿Hace falta notario o registro para que valga?

No. Rige la libertad de forma de los artículos 1254 y 1278 del Código Civil, así que un documento privado firmado obliga. El notario o el sellado de tiempo no añaden validez, añaden prueba de la fecha frente a terceros, algo que también contempla el artículo 1227 del Código Civil.

¿Cuánto cuesta que un abogado redacte un NDA?

No existe arancel ni tarifa oficial: desde la reforma de la Ley 2/1974 por la Ley 25/2009, los colegios profesionales no pueden fijar baremos de honorarios vinculantes, así que el precio es libre y depende del despacho y de la complejidad. Pide siempre presupuesto por escrito con el alcance detallado, incluidas las rondas de revisión.

¿Puedo usar una plantilla genérica descargada de internet?

Como borrador de trabajo, sí. Como documento final, mejor no. Las plantillas genéricas suelen fallar en lo mismo: definición omnicomprensiva, ausencia de obligación de no uso, falta de cláusula de supervivencia y silencio sobre los datos personales. Úsala para no olvidar bloques y adapta después las decisiones a tu operación.

¿Y si la otra parte se niega a firmar el acuerdo?

Es información en sí misma. A veces la negativa es razonable (inversores que reciben muchos proyectos similares y no quieren quedar contaminados), y entonces la respuesta correcta es escalonar lo que enseñas: primero una presentación sin el núcleo sensible, y el detalle solo cuando haya interés real y acuerdo firmado. Cuando la negativa viene de un proveedor que va a acceder a tus sistemas, es una señal de alarma.